Le contexte :
A l'instar de son prédécesseur, Forefront Threat Management Gateway 2010 (TMG) intègre un assistant de publication pour Exchange 2007.
Cet assistant permet de publier les divers services Web intégrés à Exchange 2007 :
-
Le Webmail Outlook Web Access
-
Le push mail ActiveSync
-
Le mode Outlook Anywhere (RPC over HTTP)
-
Les services Web Outlook 2007 (OAB Web, Autodiscover...)
Cet assistant génère des règles "sécurisées" dans le sens où seuls les répertoires virtuels associés à ces services Web sont publiés (/OWA, /EWS, /Autodiscover...). Il vous est aussi possible de paramétrer une authentification au niveau du périmètre à l'aide du port d'écoute Web.
Il est possible d'augmenter encore plus le niveau de sécurité de la publication en utilisant le filtre HTTP intégré à ISA/ TMG. Cette fonctionnalité, méconnue ou du moins très peu mise en valeur au sein d'ISA/TMG, permet d'effectuer un filtrage plus fin sur les requêtes HTTP.
Fonctionnement du filtre HTTP
Le filtre HTTP permet d'agir à différents niveaux :
-
Limitation de la longueur des URL, des en-têtes et du corps des requêtes HTTP
-
Blocage de certaines méthodes HTTP / Webdav
-
Blocage d'extensions de fichiers et de types MIME
-
Blocage de certains en-têtes HTTP
-
Modification à la volée de l'en-tête "Server" ou de l'en-tête "Via"
-
Blocage de "signatures" (une signature correspond à une application cliente reconnue grâce au contenu de l'en-tête HTTP "User-Agent")
-
Etc.
Le filtre HTTP se configure indépendamment au niveau de chaque règle d'accès ou de publication Web. Dans une règle de publication Web, il est possible de lancer l'interface de configuration via le bouton Filtering de l'onglet Traffic (cf. capture d'écran ci-dessous).
Sinon il est également possible d'effectuer un clic droit sur la règle, puis de cliquer sur Configure HTTP.
Règles de publication pour Exchange 2007
Les outils d'analyse des requêtes HTTP comme Fiddler ou HTTPWatch permettent de mettre en valeur les méthodes HTTP utilisées par chacun des services Web Exchange.
Ainsi le Webmail Outlook Web Access n'utilise que les méthodes GET et POST alors que le mode Outlook Anywhere d'Outlook 2003/2007 utilise les méthodes Webdav RPC_IN_DATA et RPC_OUT_DATA.
Pour autoriser de manière très fine les bonnes méthodes sur chacun des types d'accès Web, il suffit de créer plusieurs règles de publication Web.
Le tableau ci-dessous est un exemple dans lequel six règles sont définies (une règle par service Web). Pour chaque règle sont indiquées les méthodes HTTP et les répertoires virtuels à autoriser.
| n° |
Objet de la règle |
Répertoires virtuels |
Méthodes HTTP |
| 1 |
Publication OWA |
/owa
/Exchange
/Exchweb
/Public |
GET
POST |
| 2 |
Publication ActiveSync |
/Microsoft-Server-ActiveSync |
POST
OPTIONS |
| 3 |
Publication Autodiscover (RPC over HTTPs) |
/Autodiscover |
POST |
| 4 |
Publication Outlook Anywhere |
/rpc |
RPC_IN_DATA
RPC_OUT_DATA |
| 5 |
Publication OAB Web (Outlook 2007 uniquement) |
/oab |
GET
HEAD |
| 6 |
Publication autres services Web Exchange (OOF, availability service...) |
/ews |
POST |
Remarque : La sécurisation de ces flux passant également par l'authentification des utilisateurs, il est également intéressant d'implémenter une authentification au niveau du serveur ISA / TMG avec une délégation des informations d'identification vers le serveur CAS.
Sauvegarde de la configuration
Attention, la configuration du filtre HTTP n'est pas sauvegardée lorsque l'on effectue un export ou une sauvegarde dans la console MMC !!!
Pour sauvegarder la configuration du filtre HTTP il faut utiliser le script HttpFilterConfig.vbs fournit dans le SDK du produit ! Ce script prend en paramètre l'action (backup ou restore) ainsi que le nom de la règle.
Cela signifie qu'il faudra exécuter le script six fois pour sauvegarder la configuration de six règles. Dans ces conditions la création d'un batch est appréciable ! (ce batch peut également sauvegarder le reste de la configuration à l'aide du script ImportExport.vbs lui aussi présent dans le SDK).
A titre informatif, les SDK d'ISA Server 2006 et de Forefront Threat Management Gateway 2010 Beta3 sont disponibles aux adresses suivantes :