La première action a effectuer lors de la configuration d'une entreprise ISA Server est la création des objets Réseaux. Ils doivent correspondre aux sites et aux plages d'adresses IP réellement affectés au sein de l'organisation. Ces objets réseaux définis au niveau de l'entreprise sont communs à toutes les stratégies d'entreprise et vont permettre la création de règles d'accès fines et précises. Ces règles seront interprétées de la même manière par tous les serveurs ISA de l'organisation, et ce, quelque soit leur placement (ce qui n'est pas le cas d'une règle du type Interne vers Externe, puisque les réseaux Interne et Externe ne contiennent pas toujours la même chose selon le serveur ISA considéré !).

Dans l'exemple ci-contre, quatre réseaux reflétant les quatre sites de la société ont été crées. Pour chaque réseau, une plage d'adresse IP correspondant à la réalité a été attribuée. Une fois que les règles de réseaux appropriées auront été crée, il sera aisé de créer des règles d'accès faisant intervenir ces réseaux. Il est aussi possible de créer des ensembles de réseaux afin de simplifier encore plus la configuration. On pourrait par exemple créer un ensemble de réseaux nommé Tous les sites distants contenant les réseaux Lyon, Nantes et Nice. cela permettrait de faciliter la création des règles d'accès autorisant la communication entre le site principal (Réseau Paris) et les sites distants (Tous les sites distants).

Lorsque les réseaux, les ensembles de réseaux et les règles de réseaux ont été crées, l'administrateur peut ensuite définir des éléments de stratégie spécifique à l'entreprise ou bien de nouvelles stratégies d'entreprise. Il existe une seule stratégie d'entreprise prédéfinie. Elle est nommée Stratégie par défaut et contient uniquement une règle d'accès bloquant le trafic en provenance de tous les réseaux et à destination de tous les réseaux. Cette stratégie d'entreprise n'est pas modifiable !!! Elle est uniquement présente pour verrouiller la configuration des serveurs ISA (grâce à la règle bloquant tout le trafic).

La création d'une ou plusieurs stratégies d'entreprise est donc un passage obligé pour l'équipe sécurité. Il est recommandé de se limiter à une seule stratégie d'entreprise dans la mesure du possible (cela évite de rendre la configuration trop complexe).

Avec ISA Server EE on ne parle plus de serveur ISA mais de grappes (arrays) de serveurs ISA. Une grappe est un ensemble de serveurs ISA possédant une configuration identique ! L'avantage des grappes (ou groupes) de serveurs est qu'elle permet la mise en place de l'équilibrage de la charge (NLB) et du cache distribué (CARP), notions qui seront détaillées dans les chapitres 4 et 5. Il est tout à fait possible de créer une grappe de serveurs ne possédant qu'un seul serveur si le but recherché n'est pas la mise en place des technologies précédemment citées ou si le budget est limité. Ce type de configuration (une grappe contenant un seul serveur) permet déjà d'appliquer une configuration standardisée (c'est-à-dire une stratégie d'entreprise) tout en permettant une croissance horizontale (ajout de nouveaux serveurs ISA dans la grappe pour améliorer les performances et la disponibilité).

Dans l'exemple ci-contre, quatre groupes de serveurs nommés GRP-PARIS, GRP-NANTES, GRP-LYON et GRP-NICE sont présents. La configuration du groupe GRP-LYON est développée et on observe que les options de configuration d'un groupe de serveurs sont identique à celles présentes sur un serveur ISA exécutant la version standard. La seule nouveauté dans l'arborescence est le paramètre Configuration/Serveurs qui permet de configurer tous les serveurs présents dans la grappe mais aussi d'activer le support de Network Load Balancing (NLB).

Lors de la création d'une nouvelle grappe de serveurs ISA, il suffit de spécifier les trois paramètres suivants :

• un nom convivial qui est affiché dans la console Gestion ISA server

• un nom de domaine pleinement qualifié (FQDN) qui pourra être utilisé par les clients pare-feu et par les clients du proxy Web pour joindre le groupe de serveurs

• la stratégie d'entreprise utilisée (si aucune stratégie n'a été crée, la stratégie appliquée est la Stratégie par défaut)

Une fois le groupe crée, l'administrateur a accès a d'autres options qui doivent impérativement être configurées pour assurer le bon fonctionnement de la grappe ! Pour commencer l'onglet Paramètres de stratégie permet de modifier la stratégie d'entreprise utilisée et de définir les règles d'accès et de publications qui pourront être crées au niveau de la grappe. Trois options sont disponibles :

• Règles d'accès de type "refuser"

• Règles d'accès de type "autoriser"

• Règles de publication (de types "refuser" et "autoriser")

Si un administrateur tente de créer une règle d'accès au niveau de la grappe alors que cette fonctionnalité est désactivée, le message d'erreur suivant s'affichera :

Nous avons vu précédemment comment mettre en place un système de stockage centralisé et redondant. Cela passe par l'installation et la configuration de plusieurs serveurs CSS. Etant donné que le mode ADAM n'utilise pas de serveur DNS pour enregistrer les machines exécutant le service d'annuaire, les ordinateurs clients (en l'occurrence les serveurs ISA) sont incapables de localiser un serveur CSS en interrogeant leur serveur DNS principal.

Pour qu'un groupe de serveur ISA soit capable de joindre un serveur de stockage de configuration, il faut configurer les noms de domaine pleinement qualifié des serveurs CSS manuellement ! Cela se réalise dans l'onglet Stockage des configurations des propriétés de la grappe. Il est possible de configurer un serveur CSS principal et un serveur CSS de sauvegarde. Si les serveurs ISA sont placé dans un groupe de travail, le FQDN entré pour le serveur de stockage de configuration doit impérativement correspondre avec le nom commun du certificat numérique qui a été déployé lors de son installation. Dans cet exemple, cela signifie qu'un certificat ayant le nom commun CSS-1.laboms.lan a été installé sur le serveur CSS.

Cet onglet permet aussi la configuration de deux options cruciales pour le bon fonctionnement de la grappe :

• L'intervalle avec lequel les serveurs ISA présents dans la grappe interrogent le serveur CSS pour obtenir les éventuelles mises à jour de la configuration (par défaut toutes les quinze secondes)

• La méthode d'authentification utilisée par les serveurs ISA pour joindre les serveurs CSS. Dans le cas où les serveurs CSS et les serveurs ISA appartiennent au même domaine (ou à des domaines reliés entre-eux par des relations d'approbation correctement configurés) l'authentification Windows peut être utilisée. Pour tous les autres cas, l'authentification sur un canal SSL crypté doit être utilisée (comme expliquée précédemment cette méthode nécessite l'installation d'un certificat sur les serveurs CSS).