FOREFRONT TMG 2010 : 02. INSTALLATION

I. Mô hình


Trong mô hình lab sử dụng 2 máy Windows Server 2008 R2 và 01 máy Windows 7
- TMG Server (HI-TMG.MSOPENLAB.COM)
- DC, DNS Server (PDC.MSOPENLAB.COM)
- Client (CLIENT.MSOPENLAB.COM)
Thiết lập TCP/IP cho 3 máy như trong bảng sau:

INTERFACE\SERVER	TMG SERVER	DC/DNS	CLIENT
INT	IP:     172.16.1.1 GW: DNS:  172.16.1.10	IP:      172.16.1.10 GW:    172.16.1.1 DNS:   172.16.1.10	IP : 172.16.1.20 GW:    172.16.1.1 DNS:   172.16.1.10
EXT	IP:     192.168.10.10 GW:   192.168.10.1 (DSL Router) DNS :

- Cấu hình Domain Controller & DNS Server với domain MSOPENLAB.COM
- Join TMG Server và Client vào domain MSOPENLAB.COM

II. Thực hiện :
1. Thực hiện Windows Update
Chạy Windows Update để cài đặt các bản cập nhật & bản vá lỗi cần thiết trước khi cài đặt Forefront TMG Server
- Trên TMG Server, logon MSOPENLAB\Administrator, chay file autorun.hta trong source cài đặt Forefront TMG 2010

- Trong  cửa sổ cài đặt Forefront TMG 2010, chọn Run Windows Update
- Sau khi update thành công, chọn Install updates
- Trong hộp thoại Windows Update, chọn I accept the license terms, chọn Finish
-  Sau khi cài đặt Windows Update thành công, chọn Restart now

2. Chạy Preparation Tool :
Chạy Preparation Tool để cài đặt các Roles & Features cần thiết cho Forefront TMG Server
- Trong cửa sổ cài đặt Forefront TMG 2010, chọn Run Preparation Tool

- Trong hộp thoại Welcome, chọn Next

- Trong hộp thoại License Agreement, đánh dấu chọn I accept the terms of the License Agreements, chọn Next

- Trong hộp thoại Installation Type, chọn Forefront TMG services and Management, chọn Next


-  Sau khi cài đặt thành công, chọn Finish


3. Cài đặt Forefront TMG Server
- Trong cửa sổ cài đặt Forefront TMG 2010, chọn Run Installation Wizard

- Trong hộp thoại Welcome, chọn Next

- Trong hộp thoại License Agreement, chọn I accept the terms in the license agreement, chọn Next

- Trong hộp thoại Customer Information, khai báo Product Serial Number, chọn Next

- Trong hộp thoại Setup Scenarios, chọn Forefront TMG services and Management

- Trong hộp thoại Installation Path, khai báo đường dẫn cài đặt, chọn Next

- Trong hộp thoại Define Internal Network, chọn Add để khai báo subnet sử dụng trong hệ thống nội bộ

-  Trong hộp thoại Address, chọn Add Adapter…

- Trong hộp thoại Select Network Adapters, đánh dấu chọn card LAN (Card LAN là card mạng kết nối và nội bộ), chọn OK

-  Trong hộp thoại Define Internal Network, kiểm tra subnet nội bộ là 172.16.1.0-172.16.1.255, chọn Next


- Trong hộp thoại Services Warning, chọn Next

- Trong hộp thoại Ready to Install the Program, chọn Install

- Tiến trình cài đặt bắt đầu


-  Sau khi cài đặt thành công, chọn Finish

- Vào Start\All Programs\Microsoft Forefront TMG Management, mở Forefront TMG Management
- Trong hộp thoại Getting Started Wizard, chọn Configure network settings

-Trong hộp thoại Welcome, chọn Next

- Trong hộp thoại Network Template Selection, chọn Edge firewall, chọn Next

- Để chỉ định card mạng kết nối vào nội bộ, trong hộp thoại Local Area Network (LAN) Setting, chọn card LAN, chọn Next 

- Để chỉ định card mạng kết nối ra Internet,trong hộp thoại Internet Settings, chọn card WAN, chọn Next, chọn Finish

- Kiểm qua quá trình cấu hình và chọn Finish

- Trong hộp thoại Getting Started Wizard, chọn Configure system settings

- Trong hộp thoại Welcome, chọn Next

-  Trong hộp thoại Host Identification, bảo đảm khai báo đúng thông tin của máy TMG Server như trong hình bên dưới, chọn Next, chọn Finish


- Trong hộp thoại Getting Started Wizard, chọn Define deployment options

- Hộp thoại Welcome, chọn Next

-Trong hộp thoại Microsoft Update Setting, chọn use the Microsoft Update service to check for updates, chọn Next

-Trong hộp thoại Forefront TMG Protection Features Setting, khai báo License cho NIS & Web Protection như hình bên dưới, đánh dấu chọn Enable Mailware Inspection & Enable URL Filtering, chọn Next

- Hộp thoại NIS Sgnature Update Settings, giữ nguyên cấu hình mặc định, chọn Next

- Hộp thoại Customer Feedback, chọn No, I don’t want to participate, chọn Next

- Hộp thoại Microsoft Telemetry Reporting Service, chọn chế độ Basic, chọn Next & Finish

- Trong hộp thoại Getting Started Wizard, bỏ dấu chọn Run the Web Access wizard, chọn Close

- Kiểm tra cài đặt Forefront TMG Server thành công

- Giao diện quản lý Forefront Threat Management Gateway (TMG) 2010

FOREFRONT TMG 2010: 03. WPAD & FIREWALL CLIENT

Có 3 cơ chế để các Clients trong nội bộ truy cập internet thông qua Forefront TMG Server là Secure NAT Client, Web Proxy Client & Forefront TMG Client với các đặc điểm được so sánh trong bảng sau:

Với các đặc điểm trong bảng so sánh trên, chúng ta thấy rõ ưu điểm của Forefront TMG Client là vừa hỗ trợ được tất cả protocols vừa hỗ trợ kiểm soát truy cập theo User account, vì vậy trong hệ thống Forefront TMG 2010 chúng ta nên cấu hình cho các máy Clients truy cập Internet bằng cơ chế Forefront TMG Client. Và để TMG Client tự động dò & kết nối đến TMG Server, trong tôi sẽ trình bày cách thức cấu hình chức năng Auto Discovery trên Forefront TMG 2010

1. Bật chức năng Auto Discovery trên Forefront TMG Server
- Trên TMG Server, logon MSOPENLAB\Administrator, mở Forefront TMG Management, vào Networking
- Trong cửa sổ giữa, qua tab Network, chuột phải Internal chọn Properties

– Trong hộp thoại Internal Properties, qua tab Auto Discovery, đánh dấu chọn vào ô Publish automatic discovery information for this network, chọn OK

- Trong cửa sổ Forefront TMG, chọn Apply

-Trong hộp thoại Saving Configuration Changes, chọn OK


2. Cấu hình Auto Discovery
Có 3 cách cấu hình Auto Discovery:
- Cấu hình Auto Discovery bằng Alias record trên DNS Server
- Cấu hình Auto Discovery bằng DHCP Option
- Cấu hình Auto Discovery bằng Active Directory

Cách 1:  Cấu hình Auto Discovery bằng Alias record trên DNS Server
- Trên DNS Server, mở DNS Management, bung Forward Lookup Zones, chuột phải trên zone msopenlab.com chọn New Alias (CNAME)

-Trong hộp thoại New Resource Record, khai báo các thông tin như trong hình bên dưới, chọn OK (HIEU-TMG.MSOPENLAB.COM là tên của máy TMG Server)

Vì trên Windows Server 2008 R2, trong danh sách Global Query Block List cấm phân giải tên WPAD nên chúng ta phải làm hành động xóa danh sách Global Query Block List hiện thời.
- Để kiểm tra danh sách Global Query Block List hiện thời các bạn sử dụng lệnh: dnscmd /info /globalqueryblocklist

- Để xóa  danh sách Global Query Block List hiện thời các bạn sử dụng lệnh: dnscmd /config /globalqueryblocklist

- Sử dụng lệnh nslookup kiểm tra phân giải thành công alias WPAD.MSOPENLAB.COM


Cách 2: Cấu hình Auto Discovery bằng DHCP Option
Thực hiện tại DHCP Server
- Mở công cụ quản lý DHCP, chuột phải IPv4 chọn Set Predefined Options


-Trong hộp thoại Predefined Options and Values, chọn Add để tạo 1 DHCP Option mới

-Trong hộp thoại Option Type, khai báo các giá trị như trong hình bên dưới, chọn OK

-Trong hộp thoại Predefined Options and Values, nhập http://hieu-tmg.msopenlab.com:8080/wpad.dat vào ô String, chọn OK
(HIEU-TMG.MSOPENLAB.COM là tên của máy TMG Server)

-Trong cửa sổ DHCP,bung Scope LAN, chuột phải Server Options chọn Configure Options

-Trong hộp thoại Server Option, đánh dấu chọn ô 252 WPAD, chọn OK

- Trong Server Option, kiểm tra có option 252 WPAD


Cách 3: Cấu hình Auto Discovery bằng Active Directory
Thực hiện tại TMG Server
- Download AdConfigPack.exe , chạy file AdConfigPack.exe để cài đặt

-Trong hộp thoại Welcome, chọn Next

-Trong hộp thoại License Agreement, chọn I accept the terms in the license agreement, chọn Next

- Hộp thoại Location to Save Files, để đường dẫn mặc định, chọn Next, chọn Finish

- Mở Command Line, chuyển qua đường dẫn C:\Program Files (x86)\Microsoft TMG\AdConfig, gõ lệnh
TMGAdConfig.exe add -default -type winsock -url http://HIEU-TMG.MSOPENLAB.COM:8080/wspad.dat -f
(HIEU-TMG.MSOPENLAB.COM là tên của máy TMG Server)


3. Cài đặt Forefront TMG Client
Đề triển khai cài đặt Forefront TMG Client cùng lúc cho tất cả các máy Clients, trong hệ thống thực tế các bạn có thể sử dụng chức năng Deploy Software của GPO hoặc SCCM. Trong bài viết này, để hiểu rõ vấn đề cài đặt Forefront TMG Client nên tôi sẽ cài bằng tay.
- Trên các máy Client, mở source cài đặt Forefront TMG 2010, vào thư mục client, chạy file MS_FWC.msi để cài đặt

-  Trong hộp thoại Welcome, chọn Next

– Trong hộp thoại License Agreement, chọn I accept the terms in the license agreement, chọn Next

- Hộp thoại Destination Folder, giữ nguyên đường dẫn mặc định, chọn Next

- Trong hộp thoại, Forefront TMG Computer Selection chọn:
  + Connect to this Forefront TMG computer để khai báo TMG Server bằng tay
  + Automatically detect the appropriate Forefront TMG computer để TMG Client tự động dò và kết nối TMG Server
Vì chúng ta đã cấu hình Auto Discovery nên lúc này chúng ta chọn chế độ Automatically detect the appropriate Forefront TMG computer 

- Hộp thoại Ready to Install the Program, chọn Install

- Hộp thoại Install Wizard Completed, chọn Finish

- Mở Forefront TMG Client, qua tab Setting, kiểm tra TMG Client kết nối đến TMG Server thành công.


- Chọn Advanced , trong hộp thoại Advanced Automatic Detection, kiểm tra chúng ta đang sử dụng cả 3 cơ chế Auto Discovery