預先驗證、迂迴轉接 保護Web應用存取安全

過去若想要防護遠端連線Exchange Server的安全,必須整合ISA Server、TMG或是UAG之類的解決方案,但這些方案到了2010年便沒有再推出新的版本,這對於導入新版本Exchange Server 2013而想要部署高度安全性遠端存取架構的IT人員來說,該怎麼辦呢?對此,本文將介紹如何使用絕佳的替代方案Web Application Proxy技術來解決這項棘手的安全問題。

切換至「發行設定」頁面,在輸入唯一的發行「名稱」之後,陸續輸入外部URL、後端伺服器URL以及後端伺服器SPN。

其中,後端伺服器SPN會自動產生,如果與自己所設定的不一樣,也可以進行修改。最後,選擇【外部憑證】選項,並按下〔下一步〕按鈕。


接著就會來到「確認」頁面,在此可以檢視到這一項發佈工作建立時,背景所執行的PowerShell命令與參數,如圖36所示。可以選擇將其複製起來,以作為後續快速發佈設定時使用。最後,按一下〔執行〕按鈕。


▲圖36 確認發行。

完成設定應用程式的發佈之後,便可以嘗試從遠端電腦進行連線存取。這裡連線的是對外發佈的網址,將會出現整合AD FS的表單驗證視窗。如圖37所示,輸入正確的應用程式之登入帳戶與密碼,然後按下〔登入〕按鈕。


▲圖37 登入發行的應用程式。

圖38所示是成功從遠端連線登入Exchange Server 2013 OWA的結果頁面。能夠成功連線至此應用程式,即表示Web Application Proxy與AD FS的整合設定是正確的。


▲圖38 成功存取應用程式。

而對於沒有開放遠端連線存取的後端應用程式,當使用者嘗試連線時,則會出現如圖39所示的「找不到網頁」錯誤訊息。


▲圖39 尚未發佈的應用程式存取。

TOP 9:如何設定應用程式的發佈授權規則

Web Application Proxy結合AD FS預先驗證機制,可以協助用戶達成於前端就完成遠端使用者身分識別的作業,而無須等到後端應用程式的驗證回應。

回到如圖40所示的ADFS管理介面,點選「動作」窗格中的「編輯發佈授權規則」連結。


▲圖40 發佈授權規則管理。

如果這時像筆者一樣已經設定了一則「允許所有使用者存取」規則,那麼在選取之後按一下〔編輯規則〕按鈕繼續。不然,就按下〔新增規則〕按鈕,如圖41所示。


▲圖41 發佈授權規則。

接著,在「選擇規則類型」頁面中選取「根據傳入宣告來允許或拒絕使用者」,此規則簡單來說就是要採用AD FS本身的驗證機制,來預先決定是否讓遠端使用者可以進行存取。

按下〔下一步〕按鈕後,進入「設定宣告規則」頁面。這裡除了需要設定「宣告規則名稱」之外,筆者以驗證特定群組成員的身分為例,選取了【群組SID】類型。

當然,後續也可以根據其他多種類型設定來辨別合法身分,例如【裝置OS版本】、【裝置識別碼】、【電子郵件地址】等等。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!