Введение

Microsoft Forefront Threat Management Gateway (TMG) 2010 очень сильно зависит от самых различных служб для поддержания безопасности сети и оптимального быстродействия. Настройка сетевых интерфейсов и в особенности разрешение имен имеет ключевую роль, особенности в случае если TMG настроен как прямой и обратный прокси. В моей практике очень много проблем с TMG были вызваны неправильной настройкой DNS. В этой статье я хотел бы поговорить о настройке сетевых интерфейсов и требований к DNS серверам для правильного разрешения имен в TMG.

Требования к DNS серверам

При выборе DNS сервера в TMG необходимо принять во внимание несколько важных факторов. За очень редким исключением TMG должен быть настроен на использование только внутренних DNS серверов, которые могут резолвить внутреннее пространство адресов а также внешние адреса. Для обеспечения безотказной работы данные DNS сервера должны быть подключены по быстрым соединениям и иметь достаточно ресурсов для успешной обработки всех входящих запросов на разрешение имен. Это целиком зависит от того, как много пользователей подключены к TMG и каким образом они подключены. Клиент веб-прокси и TMG клиент целиком и полностью зависят от TMG в процессе разрешения имен, увеличивая загрузку DNS серверов. Клиенты SecureNAT выполняют разрешение самостоятельно. Если DNS сервера слишком перегружены или между TMG и DNS проблемы с каналами связи, вы можете испытывать самые разнообразные проблемы в работе TMG. Например результатом этого может быть медленная загрузка страниц или запрос на аутентификацию для пользователей, которые должны быть аутентифицировы прозрачно с помощью NTLM или Kerberos.

Конфигурация сетевых интерфейсов

Настройка сетевого интерфейса в TMG c одним сетевым интерфейсом очень проста: IP адрес, маска, шлюз и DNS сервера все настраиваются в локальном интерфейсе. Ситуация несколько усложняется когда имеется несколько сетевых интерфейсов. Если TMG имеет несколько сетевых интерфейсов, то каждый интерфейс должен иметь свой собственный уникальный IP и маску подсети. Однако вне зависимости от того, как много у вас сетевых интерфейсов вы можете иметь только один дефолтный шлюз, причем на внешнем интерфейсе. Никогда не настраивайте шлюз по умолчанию на другом интерфейсе, отличном от внешнего (кроме случая настройки ISP redundancy, при котором оба внешний интерфейса имеют свои собственные шлюзы по умолчанию). С случае необходимости получения доступа к любой удаленной подсети внутри сети или в сети периметра используйте постоянные статические маршруты.

Порядок назначения сетевых интерфейсов

Для TMG c несколькими сетевыми интерфейсами есть ещё одна настройка, про которую очень часто и не обоснованно забывают. Это порядок привязки сетевых интерфейсов. Откройте Network and Sharing Center, нажмите ссылку Change adapter settings. Далее нажмите наAdvanced и Advanced Settings…

Выберите вкладку Adapters and Bindings и убедитесь что внутренний сетевой интерфейс идет первым по списку. Если это не так, выберите его и с помощью стрелочек справа передвиньте на первое место.

Настройка DNS

DNS сервера должны быть указаны только на внутреннем интерфейсе. Не настраиваете DNS на любом другом интерфейсе. Очень частой ошибкой является когда администраторы указывают адреса DNS серверов провайдера на внешнем интерфейсе в дополнение в внутренним DNS серверам, указанным на внутреннем интерфейсе.

Исключение из правила

Существует только один вид развертывания TMG при котором допускается указывание DNS серверов на внешнем интерфейсе. В этом сценарии TMG не является членом домена и не связан с внутренними ресурсами.

Внутренние корневые DNS сервера

В некоторых ситуациях внутрениие DNS сервера не могут резолвить внешние адреса. Это может быть например в случае когда внутренние DNS сервера настроены как корневые сервера для вашего внутреннего простанства имен. Тем не менее требования TMG остаются неизменными. Для его работы требуется возможность резолвинга как внутренних так и внешних адресов.

В данном сценарии вам нужно настроить DNS сервер для TMG для соответствия этим требованиям. Лучшим способом для этого является настройка выделенного кэширующего DNS сервера с настроенной пересылкой.

Полезная информация

sivpk.ru - сайт о выборе и сборке компьютера. Здесь можно прочитать о выборе и составе игрового, мультимедийного и офисного компьютера.

Интересный сайт, на котором есть подробный обзор хостингов и другие интересные статьи по выбору хостинга, инструментах для веб-мастера и многое другое.