Terminal Services Gateway của Windows Server 2008
Các quản trị viên bảo mật của Microsoft luôn có một chút cảnh giác
trong việc đưa ra Terminal Servers trên Internet. Lý do là vì chưa có
một khả năng để có thể thẩm định từ trước các kết nối hoặc chính sách
người dùng để xác định xem những người dùng nào có thể truy cập vào
Terminal Server nào. Việc thiếu vấn đề tiền thẩm định là một vấn đề thực
sự khó khăn. Không có cơ chế tiền thẩm định thì người dùng nặc danh có thể
nâng cao các kết nối nặc danh thỏa hiệp với Terminal Server đã được ban bố.
Một Terminal Server bị thỏa hiệp sẽ trở thành một lỗ hổng nghiêm trọng đối
với mạng của bạn, vì khi đó kẻ tấn công có thể truy cập vào toàn bộ hệ điều
hành và thực hiện các tấn công.
Trước những khó khăn đó, Windows Server 2008 cung cấp cho các bạn một
giải pháp cho vấn đề bảo mật này: Terminal Services Gateway. Sử dụng
Terminal Services Gateway bạn có thể thẩm định trước những người dùng và
kiểm soát những Terminal Servers nào mà người dùng có thể truy cập dựa
trên các thông tin cá nhân và chính sách. Tính năng này còn cho phép bạn có
thể kiểm soát một cách tinh tế hơn những gì cần để bảo đảm rằng bạn có một
giải pháp RDP truy cập từ xa một cách an toàn.
Trong loạt bài gồm hai phần này, chúng ta sẽ cùng tìm hiểu cách làm việc với
giải pháp Terminal Servers, sử dụng mạng lab như hình bên dưới. Các mũi
tên thể hiện hướng truyền thông từ máy khách RDP bên ngoài tới Terminal
Server.
Hình 1
Mỗi một máy chủ trong kịch bản này đều đang sử dụng Windows Server
2008 Enterprise Edition. Trong mạng ví dụ này, chúng tôi đang sử dụng máy
chủ Windows Server 2008 NAT với tư cách là Internet gateway. Bạn có thể
sử dụng bất cứ một thiết bị NAT đơn giản nào khác hoặc có thể là bộ định
tuyến lọc gói dữ liệu giống như PIX, hoặc thậm chí là một tường lửa tiên tiến
như Microsoft ISA Firewall. Tùy chọn cấu hình chính ở đây là hướng các kết
nối của cổng TCP 443 đến máy tính Terminal Service Gateway.
Domain Controller có DNS, DHCP, Certificate Services trong chế độ
Enterprise CA và WINS đã được cài đặt từ trước.
Terminal Server chỉ có một hệ điều hành cơ bản đã được cài đặt. Chúng tôi sẽ
cài đặt các dịch vụ khác trong suốt loạt bài này.
TS Gateway chỉ có một hệ điều hành cơ bản được cài đặt. Chúng tôi cũng sẽ
cài đặt các dịch vụ khác.
Loạt bài này sẽ mô tả các quá trình và thủ tục cần đến để thực hiện chạy một
giải pháp cơ bản:
Cài đặt Terminal Services và Terminal Services Licensing trên
Terminal Server
Cấu hình Terminal Services Licensing
Cài đặt Desktop Experience trên Terminal Server (không bắt buộc)
Cấu hình chế độ Terminal Services Licensing
Cài đặt Terminal Services Gateway Service trên Terminal Services
Gateway
Yêu cầu chứng chỉ cho Terminal Services Gateway
Cấu hình Terminal Services Gateway để sử dụng chứng chỉ
Tạo Terminal Services Gateway RAP
Tạo Terminal Services Gateway CAP
Cấu hình RDP Client để có thể sử dụng Terminal Services Gateway
Cài đặt Terminal Services và Terminal Services Licensing trên Terminal
Server
Bước đầu tiên là cài đặt Terminal Services trên máy tính Terminal Services.
Thực hiện các bước dưới đây để cài đặt Terminal Services và Terminal