SE の雑記

TMG 2010 RC のインストールをまとめてみたいと思います。
今回は Windows Server 2008 R2 + TMG 2010 RC の環境を構築しています。

インストーラーで役割までインストールできるのでかなり簡単に導入できます。

ISA 2006 は CSS をインストールしてから、ISA をインストールするパターンで構築しましたが、
今回は両方を一度にインストールする方法でインストールしてみたいと思います。

[役割 / 機能のインストール]

サーバーマネージャで必要となる役割をインストールしなくても、インストーラーから必要なものを
一括でインストールすることができます。

1. インストーラーを起動します。
2. [Run Preparation Tool] をクリックします。
   
3. [次へ] をクリックします。
   
4. [I accept the terms of the License Agreements] を有効にして、[次へ] をクリックします。
   
5. [Forefront TMG services and Management] を選択し、[次へ] をクリックします。
   
6. 必要となる役割 / 機能がインストールされます。
   
7. [完了] をクリックします。
   ?

これでインストール前の準備は完了です。

役割は

• Active Directory ライトウェイト ディレクトリサービス
• ネットワーク ポリシーとアクセスサービス

機能は

• .NET Framework 3.5.1
• ネットワーク負荷分散
• AD LDS スナップインおよびコマンドライン ツール
• Windows PowerShell の Active Directory モジュール
• ネットワーク負荷分散ツール

がインストールされます。

[TMG 2010 のインストール]

[Launch Forefront TMG Installation Wizard] を有効にした状態で、[完了] をクリックすると
自動的にインストールウィザードが起動されます。
有効にしていなかった場合は、インストーラーの [Run Installation Wizard] をクリックします。

1. [Next] をクリックします。
   
2. [I accept the terms in the license agreement] を選択し、[Next] をクリックします。
   
3. [Next] をクリックします。
   
4. [Next] をクリックします。
   
5. [Add] をクリックして、内部ネットワークを追加し、[Next] をクリックします。
   ?
6. [Next] をクリックします。
   
7. [Install] をクリックします。
   
   
8. [Finish] をクリックします。
   ?

これでインストールは完了です。

次は冗長構成のためにサーバーを追加してみたいと思います。

ISA 2006 SP1 をインストールするとイベントビューアのアプリケーションに以下の警告が表示されることがあります。

SNP が有効になっていると警告が表示されるみたいですね。
SNP を無効にする方法は説明に表示されている KB948496 に記載されています。

Windows Server 2003 ベースおよび Small Business Server 2003 ベースの既定の SNP 機能をオフにする更新プログラム

KB948496 の更新プログラムを適用するかレジストリ変更により、SNP を無効にできます。

直接レジストリを変更する場合は以下のコマンドを実行すると楽かも。

?

Windows Server 2008 で SNP を無効にする場合は、以下の KB が参考になります。

Windows Server 2008 で TCP Chimney オフロード、受信側のスケーリング、およびダイレクト メモリ アクセスのネットワーク機能に関する情報

TMG 2010 では特に警告は表示されないみたいですね。
SNP が有効になっているとたまに障害が発生することがあるので、無効にしておいた方がよいのでしょうか？？

Windows Server 2008 R2 では NetDMA も netsh コマンドで変更できますので、レジストリ操作はせずに
コマンドだけで SNP が無効にできそうです。
# netdma というパラメータが使用できます。

ISA 2006 には Windows Update 用のルールがデフォルトで作成されていますが、現在の Windows Update で
必要となるドメイン名セットがいくつか入っていません。
# 投稿を書く前に設定をしてしまったので、具体的にどのドメイン名が抜けていたのかが記載できません…。

必要となるドメイン名は以下の KB に記載されています。

ISA Server を実行するサーバーを経由して Windows Update Version 6 の Web サイトにアクセスするときにエラーが発生する

Windows Update の設定ですが、既定のポリシーでは設定されている個所が 2 個所ありそうです。

1. システム ポリシーの許可サイト
2. Microsoft Update ドメイン名

[システム ポリシーの許可サイト] は ISA サーバー自身のアクセスが許可されるドメイン名が定義されています。
# Enterprise Edition の場合はエンタープライズのポリシーとして設定されています。
ISA サーバーが Windows Update に接続できない場合はこのポリシーにドメイン名を設定します。

[Microsoft Update ドメイン名] はアレイにデフォルトで作成されている Windows Update ドメイン名です。
Web プロキシを使用する場合は、許可する宛先としてこのドメイン名セットを指定してルールを作成します。

Windows Update ができない場合は、上記ポリシーの内容を変更して、許可するドメインを増やしていきます。

手動で Windows Update をした場合、 [go.microsoft.com] 経由でアクセスされることがありますので、
KB の記載以外に [go.microsoft.com] または、[*.microsoft.com] の定義も追加が必要かもしれません。
# Windows Update → Microsoft Update への切り替えで必要だったみたいです。

ドメイン名セットだけでアクセスできない場合は、[65.55.0.0 / 16] のセグメントや [202.232.140.15] への
アクセスが拒否されて実行できていないこともあるようです。
アクセス拒否のログを確認していたところ、上記 IP アドレスへのアクセスが拒否となって Windows Update が
できなかったことがありました。

65.55 のセグメントは Microsoft が使用しているもののようですね。202.～ は akamai のようです。
65.55 はサブネットでは開けたくないのですが、Windows Update 用にいくつか IP があるみたいなんですよね。

サーバーで Windows Update を実行するのであれば、この辺の設定を構築段階で確認しておいた方が良さそうです。

TMG でも IP を設定しておかないと手動で Windows Update できませんでした。
私の環境特有の問題なのでしょうか？？DNS の逆引きがうまくいっていないのかな…。

ちなみに TMG になると KB のドメイン名はデフォルトで設定されていました。
# [forefrontdl.microsoft.com] が増えているようですね。

ドメイン名セットを確認したくて TMG をインストールしてみたのですがインストーラーに
適切な役割を追加する機能が付いていてかなり簡単にインストールできました。
TMG は x64 専用なんですね。はじめて知りました。

ISA 2006 EE ではサーバー ファームの機能があります。

サーバー ファームは ISA 2006 を経由して公開する Web サーバーの負荷分散を Web サーバーで NLB を
組むのではなく、ISA 側で実装する機能です。

絵に描くと下図の形になります。

青が ISA で設定する個所になります。
緑が Web サーバーで NLB を設定する個所です。

サーバー ファームで負荷分散する場合は、どの Web サーバーを負荷分散させるのかの設定までをISA で設定します。
NLB ではないので Web サーバーで仮想 IP は付与しません。

NLB で負荷分散構成を行う場合は、ISA からの転送先は Web サーバー側で設定した仮想 IP になりますので
通常のリバースプロキシと同じですね。

それでは実際の設定です。

[サーバー ファームの作成]

まずは負荷分散をする Web サーバーをファームとしてまとめる必要があります。

1. [ISA Server の管理] を実行します。
2. 設定をするアレイを展開し、[ファイアウォール ポリシー] を選択します。
   
3. [ツールボックス] から [ネットワーク オブジェクト]? を選択し、[新規作成] → [サーバー ファーム] をクリックします。
   
4. [サーバー ファーム名] を入力して、[次へ] をクリックします。
   
5. [追加] をクリックして、ファームに登録するサーバーを設定します。
   
   今回は、Windows Server 2003 のサーバーを 2 台用意してありますので、追加をして [次へ] をクリックします。
   
6. サーバーの死活監視方法を設定し、[次へ] をクリックします。
   
7. [完了] をクリックします。
   ?
8. [適用] をクリックします。
   
9. [OK] をクリックします。
   

これでファームの設定は完了です。

あとはこのファームを宛先として、Web サイトの公開ルールを作成します。

[サーバー ファームを使用した公開ルールの作成]

1. [タスク] から [Web サイトの公開] をクリックします。
   
2. ルール名を入力して、[次へ] をクリックします。
   
3. [許可] を選択して、[次へ] をクリックします。
   
4. [負荷分散 Web サーバーのサーバー ファームを公開する] を選択して、[次へ] をクリックします。
   
5. HTTP / HTTPS のどちらで公開するかを
   選択して、[次へ] をクリックします。
   今回は HTTP で公開します。
   
6. 内部サイト名を入力して、[次へ] をクリックします。
   NLB を使っていない場合は、ホストヘッダーを使っている場合以外に利用することってあるのでしょうか？？
   ?
7. 特定のディレクトリの公開設定をする場合はパスを入力して、[次へ] をクリックします。
   今回は特にディレクトリを限定しないので省略しています。
   
8. 負荷分散に使用するファームと負荷分散方法を選択して、[次へ] をクリックします。
   
9. パブリック名を入力して、[次へ] をクリックします。
   こちらの名称は外部からのアクセスで使用される名称ですね。
   
10. 要求を受け付けるリスナーを選択して、[次へ] をクリックします。
    
11. 認証の委任方法を選択して、[次へ] をクリックします。
    
12. アクセスの許可対象を選択して、[次へ] をクリックします。
    
13. [完了] をクリックします。
    ?
14. [適用] をクリックします。
15. [OK] をクリックします。

これでファームを使用した負荷分散構成の設定は完了です。
HTTP の GET 要求で負荷分散をしてくれますので、サーバーは動いているが IIS が落ちているという状態だと、
IIS が動いているサーバーに要求が行くようになるので便利そうです。
# NLB はポートや要求の死活監視はしていなかった気がします。
　 IIS が落ちてもサーバーが動いてると負荷分散対象として収束されたままだったかと。

Application Center Server がなくなってから、ポート単位での負荷分散はどのようにやればいいのかと
思っていたのですが、ISA のサーバー ファームを使うことで対応できるかも。

今回の投稿で ISA をいろいろと調べることができたので、次期バージョンの TMG を使用したリバースプロキシも
検証してみたいと思います。
Forefront Threat Management Gateway

リバースプロキシで使用する仮想 IP アドレスを設定するために NLB の設定を行います。

[Hyper-V 2.0 特有の設定]

今回は検証環境に Hyper-V 2.0 を使用しています。
Hyper-V 2.0 で NLB を設定する場合は、仮想 IP を付与する NIC の設定で、[MAC アドレスのスプーフィングを有効にする] を
有効にしておく必要があります。
# この設定は SCVMM でみた時は、ゲスト OS のネットワークアダプタの下の方にあるのでプロパティウィンドウを下に伸ばして、
　 大きくしないと表示されません。

Hyper-V 1.0 の時は [静的 MAC アドレス] にして、ゲスト OS に同様の MAC アドレスを割り当てる必要があったはずです。

[統合 NLB の設定]

通常、Winodws の NLB の設定をする場合、[ネットワーク負荷分散マネージャ] から NLB クラスタを構築しますが、
ISA の統合 NLB の場合は ISA の管理コンソールから設定します。

1. NLB を設定するアレイを選択し、[構成] → [ネットワーク] を右クリック → [ネットワーク負荷分散の統合の有効化]
   をクリックします。
   
2. [次へ] をクリックします。
   
3. NLB を設定するネットワークが含まれる対象のチェックを有効にし、選択した状態にし、[仮想 IP の設定] をクリックします。
   
4. NLB の仮想 IP を設定し、[OK] → [次へ] をクリックします。
   
5. [完了] をクリックします。
   
6. [OK] をクリックします。
   
7. [適用] をクリックします。
   
8. [変更は保存するが、サービスは再起動しない] を選択し、[OK] をクリックします。
   ?
9. [OK] をクリックします。
   
10. 操作をしなかった ISA でも管理コンソールを起動して、ネットワークを右クリックした際に、[負荷分散ネットワークの構成] が
    表示されることを確認します。
    ISA で NLB が有効になると右クリック時のメニューが変更されます。
    
11. 両 ISA サーバーで [Microsoft Firewall] サービスを再起動します。
    ?
12. サービス再起動後に [ipconfig] コマンドを実行して仮想 IP が付与されていれば設定は完了です。
    NLB が収束するまで時間がかかりますが、設定が終わると IP アドレスが 2 種類 (実 IP と 仮想 IP) 表示されます。
    

以上で NLB の設定は終了です。
統合 NLB ですと [ユニキャスト] モードで設定がされるので、NIC が 1 枚だとサーバー間の通信ができなくなったはずです。
1 枚の NIC だと ISA + CSS 複数台で統合 NLB の設定はできないかもしれないですね。

今回は NIC を 2 枚設定しているので問題なく稼働しています。

[マルチキャスト] モードで設定する場合は、統合 NLB ではなく普通に設定しないといけないのでしょうか？？
NLB の設定に関してはまだまだ確認の余地があります。

これで NLB の設定は完了です。

あとはリバースプロキシ用の [Web サイト公開ルール] を作成すれば一通りの作業完了です。
この設定は SE のリバプロ設定と変わらないので割愛したいと思います。

設定方法を全然覚えていなくて設定したら、
公開 Web サイトにアクセス クライアントの要求をパススルー認証を使用して、公開 Web サーバーにアクセスする ISA Server 2006 を構成するときにブロックされます。
の KB のエラーが出て四苦八苦しましたが…。
# 認証の委任の設定
が [委任できません。クライアントは直接認証できません。] であればエラーは出なかったですが、
　 どこで認証させるかによってこの辺の設定も変わりますよね。

次は ISA 2006 でサーバーファームの設定をまとめてみたいと思います。