แนะนำ Microsoft Forefront Threat Management Gateway 2010 (ISA Server 2010)

TMG 2010 หรือ ISA Server 2010 นั้นเป็นซอฟท์แวร์ประเภท Security Gateway ที่ผมเขียนอย่างนี้ก็เพราะว่า TMG 2010 นั้นไม่ได้เป็นแค่ Proxy เหมือนกับบรรพบุรุษอย่าง Microsoft Proxy Server อีกแล้ว แต่ TMG 2010 ในปัจจุบันมีทั้ง Firewall, VPN, IPS, Anti-Spam, Content Inspection, URL Filtering, Load Balance และอื่นๆอีกมากมาย ด้วยเหตุนี้เองจึงจัดว่า TMG 2010 เป็น Security Gateway ไปเรียบร้อยแล้ว

อย่างไรก็ดีสิ่งหนึ่งที่ต้องยอมรับก็คือ หากนำฟีเจอร์ทั้งหมดของ TMG 2010 ไปเปรียบเทียบกับอุปกรณ์หรือซอฟท์แวร์ที่ทำหน้าที่ในด้านนั้นๆเพียงอย่างเดียว อย่างเช่น เปรียบเทียบ IPS ของ TMG 2010 กับ IPS จาก TippingPoint หรือเปรียบเทียบ Antispam ของ TMG 2010 กับ Antispam จาก Ironport (Cisco ซื้อไปแล้ว) ก็คงต้องบอกว่าคงจะสู้ไม่ได้

แต่ข้อดีของ TMG 2010 คือมีให้ใช้แทบจะครบทุกฟีเจอร์ และหากเราไม่ได้ต้องการตั้งค่าใดๆที่ต้องวางระบบแบบพิสดารพันลึกแล้ว TMG 2010 ก็คงจะตอบโจทย์ได้แน่ๆ เพราะในหลายๆครั้ง ผมก็พบว่าการใช้ Appliance ราคาแพงอาจจะไม่ได้จำเป็นเสมอไป เพราะเราอาจจะใช้แค่ฟีเจอร์ไม่กี่อย่าง ซึ่งฟีเจอร์เหล่านี้ในบางครั้งก็มีอยู่ใน Appliance ที่ราคาต่ำกว่า หรือในซอฟท์แวร์ OpenSource ด้วยซ้ำไป

สำหรับผู้ที่กังวลในเรื่องของ Security นั้นผมขอบอกซักนิดเลยว่าหากท่านมีการทำ OS Hardening ที่ดีแล้ว การโจมตีต่างๆแทบจะไม่ระคาย OS ของท่านเลย แต่อน่างไรก็ดีการทำ OS Hardening ก็อาจจะต้องใช้ประสบการณ์และความรู้เพิ่มเติมพอสมควร ซึ่งสิ่งเหล่านี้ก็ต้องพยายามศึกษาและทดลองกันครับ

วันนี้ขอแนะนำเพียงเท่านี้ก่อนนะครับ ในโอกาสหน้าจะค่อยๆเข้าเรื่องไปเรื่อยๆครับ

ScreenOS ความสบายที่ยังไม่อยากให้จากกันเลยจริงๆ

ปัจจุบันทาง Juniper Networks มีการวางจำหน่ายอุปกรณ์ประเภท  Gateway Appliance (หรือง่ายๆก็ Firewall แหละครับ) ในโมเดลใหม่คือ SRX ซึ่งมี OS เป็น JUNOS อันเป็น OS ที่สร้างชื่อให้กับ Juniper มากๆ เพราะ JUNOS เป็น OS ที่อยู่ใน Router ของทาง Juniper ที่ขึ้นชื่อมากใน Router ระดับ Hi-End พวก ISP ใหญ่ๆในเมืองนอกนิยมกันมาก

ทุกอย่างดูจะดีทีเดียวครับ เพราะ JUNOS ถือเป็น OS ที่การสั่งงานผ่าน CLI ยอดเยี่ยมมากเฉกเช่น CISCO IOS เลย (แต่ GUI อย่าไปคาดหวังนะครับ ฮ่าๆ รู้กันครับของแบบนี้) และยังเสถียรอย่างมากอีกด้วย แต่สำหรับคนที่ทำ Firewall ของ Juniper มาแต่ต้นคงจะคุ้นเคยกันอยู่กับ ScreenOS มากพอสมควร (ซึ่งไปซื้อเค้ามาอีกที เนื่องจากจะขายไฟร์วอลล์ด้วย) ซึ่งปัจจุบันทาง Juniper Networks ยืนยันว่าจะยังคงขาย Firewall ที่เป็น ScreenOS อยู่ แต่หากดูจากเทรนด์แล้ว คงพอจะเดาๆกันได้ว่าอีกไม่นาน ScreenOS น่าจะหายไปจากตลาดแล้ว เพราะหากดู Performance ของ SRX (JUNOS) กับ SSG (ScreenOS) แล้วจะเห็นชัดๆเลยว่าราคาที่ตั้งมานั้น SRX ทำราคาได้ดีกว่ามาก เหมือนกับว่าตั้งใจว่ากลุ่มลูกค้าใหม่นี่เอา JUNOS ไปเลย ส่วน ScreenOS จะเก็บไว้บริการลูกค้าเก่าหรือคนที่มีอยู่แล้วแต่จะซื้อเพิ่มเพื่อทำ HA กัน

เรื่องนี้สำหรับคนที่คุ้นเคยกับ ScreenOS อยู่แล้วคงจะต้องเสียเวลามาเรียนรู้ JUNOS นิดหนึ่ง (เฉพาะคนไม่เคยทำ Router ถ้าเคยทำก็ command เดิมๆเลย เพิ่มมาแต่ส่วน firewall, security) ถามว่าเป็นเรื่องลำบากไหม ผมคิดว่าไม่เท่าไหร่ครับเพราะเอาจริงๆคนที่ทำด้าน Network มานานๆเปลี่ยน Hardware หรือ Command นิดหน่อยไม่น่าจะกระเทือนเท่าไหร่หรอกครับ เพราะอุปกรณ์ Network ทุกอย่างมันก็เกิดมาจากทฤษฎีและมาตรฐานเดียวกันอยู่แล้ว ดังนั้นหากแม่นเรื่องพวกนี้ไปทำอะไรก็รอดหมดครับ

แต่สิ่งที่ผมรู้สึกเสียดายนิดหน่อยคือเรื่องที่ต้องจาก CLI ที่คุ้นเคยอย่าง ScreenOS ไปมากกว่า เพราะผมเองทำ ScreenOS มาระยะหนึ่ง และรู้สึกว่า CLI ของมันสะดวกดี ถึงขนาดว่ามีไฟล์เก็บ Useful Command ไว้เลย เวลาจะใช้ก็มาแก้ค่าไอพีกะค่าจิปาถะเล็กน้อย กอปวางเข้าไป จบงานเลย งานนี้เลยต้องบอกว่าเสียดายเล็กน้อยครับ

งานชิ้นล่าสุดที่ได้ไปทำก็คือวันศุกร์ที่ผ่านมา หิ้วน้องเล็กอย่าง SSG20 ไปทำ Lab Test งานชิ้นหนึ่ง ไปถึงก็โยน command ไป แป้บเดียวจบ จากนั้นก็ไปเซตตัวอื่นๆต่อ สรุปจบงาน Test ได้ในครึ่งวัน เรียกว่าหากเป็นตัวอื่นผมคิดว่าน่าจะเสียเวลามากกว่านี้แน่ๆครับ พอทำเสร็จก็เลยมาคิดได้ว่า อีกไม่นานจะต้องทำ JUNOS แล้วแน่ๆ งานนี้เลยรู้สึกเสียดายนิดๆ (แต่หากมี Lab Test หากเป็นไปได้ก็จะใช้ SSG20 นี่ล่ะ และ SSG20 ตัวนี้ในออฟฟิซเค้าไม่เรียก Firewall กันแล้ว เพราะมี Lab ทีไร มันกลายเป็น Router ทุกที ไม่ NAT ก็ Route แทบไม่ได้เซต security function ไหนทีมันมีเลย นอกจาก any any allow ฮ่าๆ)

เอ้า โชคดีนะ ScreenOS

เปิดสอน Forefront Threat Management Gateway 2010 หรือ ISA Server เดิมแล้วครับ

สวัสดีครับ ขอเข้าสู่ช่วงขายยานิดนะครับ

ตอนนี้ผมมีคอร์สใหม่เพิ่มเข้ามาแล้วคือ Forefront Threat Management Gateway 2010 หรือที่รู้จักกันดีว่า ISA Server นั่นเอง ในเวอร์ชันนี้มีความสามารถใหม่ๆเพิ่มเข้ามามากมาย และเพื่อให้การเรียนเป็นไปอย่างเป็นระบบผมจึงขอแบ่งคอร์สการสอนออกเป็น 2 คอร์สก่อนแบบคร่าวๆ (ในอนาคตอาจจะมากกว่านี้) คือ

1. Forefront Threat Management Gateway 2010:Proxy คอร์สนี้เรียนพื่อเอา TMG 2010 ไปทำเป็น Proxy สอนกันแบบเน้นๆกันเลยทีเดียวครับ
2. Forefront Threat Management Gateway 2010:Secure Gateway คอร์สนี้เน้นไปที่การวางระบบ Security โดยใช้ TMG 2010 เช่น การใช้งาน Firewall, IPS

ทั้งสองคอร์สเรียนแล้วนำไปประยุกต์ใช้ได้กับ Proxy หรือ Firewall อื่นๆได้ด้วยครับ เช่น BlueCoat, Juniper, Checkpoint, CiscoPIX เพราะการสอนจะมีในส่วนของทฤษฎีด้าน Network, Security พอสมควร และด้วยเหตุที่ Product ทุกอย่างในตลาดไม่ว่าจะยี่ห้อใดก็ตม จะพัฒนาขึ้นจากหลักการที่ว่านี้เหมือนๆกันทั้งสิ้น จึงขอบอกครับว่าไม่มีปัญหาในการคอนฟิกข้ามยี่ห้อแน่ถ้าเราเข้าใจทุกอย่างดี (แต่ก็ต้องศึกษาการคอนฟิกไว้บ้างนะครับ ไม่งั้นเดี๋ยวจะกลายเป็นไปนั่งมั่วแทน)

รายละเอียดดูได้ที่นี่เลยครับ

http://www.izitcer.com/?page_id=29

สนใจติดต่อได้ที่izitcer@gmail.com ครับ

เบอร์ติดต่อขอได้ทางเมลนะครับ

ขอบคุณครับ

Load Balance กับ Firewall

Load Balance เป็น Feature อีกหนึ่งอย่างที่อาจจะถือได้ว่าเป็น Option เสริมที่ช่วยให้องค์กรหลายๆแห่งตัดสินใจเลือกซื้ออุปกรณ์ Firewall ได้ง่ายยิ่งขึ้น

ปัจจุบัน เท่าที่ผมเองได้มีโอกาส Implement ระบบ Firewall ภายในองค์กร พบว่า Firewall โดยมากแล้วจะไม่มี Feature นี้ นั่นเพราะ Firewall ที่ทำมาส่วนใหญ่ผู้ผลิตจะเน้นไปในด้านของ Security มากกว่า และใน Firewall รุ่นใหญ่ๆก็นิยมทำเป็น Firewall ที่เป็น Firewall อย่างเดียวเท่านั้น เพราะหากรันทุก Feature สิ่งที่ตามมาคือ Appliance ช้า หรืออาจจะ Hang ไปเลยก็ได้ เดือดร้อนผู้ดูแลต้องมารีเซตให้ใหม่ หรือบางยี่ห้อฉลาดหน่อยก็อาจจะ Restart Service ได้เองเมื่อเอ๋อไประยะหนึ่ง

แต่ในองค์กรแบบ SME หรือมีต้นทุนจำกัด การใช้ Appliance ที่มีครบทุกอย่างหรือที่เรียกว่า UTM (Unified Threat Management) คือ Antivirus, Antispam, Antispyware และ Firewall ก็ดูจะเป็นทางเลือกที่ไม่เลวนัก ยิ่งมี Load Balance เข้ามาให้ใช้อีกก็ยิ่งป็นทางเลือกที่ดีสำหรับองค์กรที่มี 2 WAN

ปกติแล้วการทำ Load Balance บน Firewall ทั่วไป เราอาจจะแบ่ง Client เป็นกลุ่ม แล้วใช้ SBR หรือ PBR ในการกระจาย Traffic ไปยัง WAN Link ทั้งหมด

แต่ Firewall บางยี่ห้อ อย่างเช่น Stonegate หรือ Fortigate (บางรุ่น) นั้นอาจจะพิเศษนิดหน่อยตรงที่มี Load Balance แถมมาให้ด้วย เท่าที่ได้ลองมาก็พอไปวัดไปวาได้เหมือนกัน โดยเลือกได้ว่าจะกระจาย Traffic ในลักษณะของ Round Robin หรือ Weight ก็ได้ นับว่าคุ้มค่าทีเดียวสำหรับองค์กรที่สนใจ

ในกรณีที่มีงบประมาณมากเพียงพอ ผมแนะนำให้ใช้ Appliance ที่ทำหน้าที่อย่างใดอย่างหนึ่งไปเลยจะดีกว่า เพราะหากเปิด Feature หลายๆอย่างอาจจะทำให้ Appliance มีโอกาส Hang ไปได้เหมือนกัน

Websense อีกหนึ่ง Web Filtering คุณภาพ

วันนี้ขอแนะนำซอฟท์แวร์ประเภท Web Filtering ซักเล็กน้อย

เนื่องจากบริษัทนี้ได้ก้าวหน้าจนซื้อ SurfControl ซึ่งเป็น Web Filtering Engine ของ Juniper Netscreen Firewall ที่จัดว่าเป็นอุปกรณ์ชิ้นโปรดอีกอันหนึ่งของผมไปซะแล้ว (เดือดร้อนต้องไปอัปเกรด Netscreen ให้ชาวบ้านอีก)

Websense เป็นซอฟท์แวร์ประเภท Web Filtering ที่จัดได้ว่าเป็นกลุ่มผู้นำในปัจจุบัน (อ้างอิงจาก Gartner Quadrant) เรียกว่าคู่คี่กับทาง BlueCoat ทีเดียว

จุดดีของ Websense นั้นมีหลายอย่างทีเดียว ขอไล่เรียงตามความประทับใจนะครับ

1. มี Policy Server ตั้งแยกได้ ทำให้ง่ายต่อการ Manage และหากมันล่ม ผู้ใช้ก็ยังทำงานได้อยู่ เพียงแต่ขะไม่โดน Filter เท่านั้น ตรงจุดนี้จะออกแบบมาคล้ายกับ TippingPoint IPS ที่ไปปุ๊บปล่อยปั๊บ
2. User Interface ในการคอนฟิกเข้าใจได้ง่ายมาก สามารถีโมทเข้ามาจัดการได้ผ่านทาง Web Browser ธรรมด๊า ธรรมดา
3. สามารถ Integrate เข้ากับชาวบ้านได้มากมาย แต่ที่ทำบ่อยๆเป็น ISA เลยเข้าใจว่ามันทำมาคู่กับ ISA ซะงั้น
4. Database ท่านใหญ่พอสมควร เลยบล๊อคได้เยอะ แถมซอยย่อยเป็นหลาย Category ให้ ก็นับว่าสะดวกดี (แต่รู้สึกฐานข้อมูลเว็บประหลาดๆในไทยจะอัปเดตไม่เท่า BlueCoat นะ)

หลังจากจุดดีแล้ว ก็ขอแนะนำจุดที่ฮาซะหน่อย

1. เราสามารถ Manage ผ่าน Web Browser ธรรมดาได้ก็จริง แต่หากผิดเวอร์ชันที่มันซัพพอร์ตไปซักนิด กดตั้งอะไรจะ Error ตลอดศก เช่น มันแนะนำให้เป็น Firefox 3.0 พอเอา 3.5 ไปเล่นกับมัน เอ๋อสนิท
2. อย่าได้เปลี่ยนไอพี Policy Server ตามอำเภอใจ เพราะเปลี่ยนปุ๊บ เดี้ยวปั๊บ เข้า Manage ไม่ได้ ต้องแก้ร่วมๆสิบจุดกว่ามันจะมา และหากแก้ไม่ครบ งานนี้มี Error หนักอีกตะหาก
3. คิดม่าออก ลองเล่นดู หากพลาดมาจะรู้ว่างานเข้าเป็นไง