Asennusopas Tarkistusversio B. McAfee SaaS Web Protection Service

Transkriptio

1 Asennusopas Tarkistusversio B McAfee SaaS Web Protection Service

2 COPYRIGHT Copyright 2013 McAfee, Inc. Älä kopioi ilman lupaa. TUOTEMERKIT McAfee, McAfee logo, McAfee Active Protection, McAfee CleanBoot, McAfee DeepSAFE, epolicy Orchestrator, McAfee epo, McAfee EMM, Foundscore, Foundstone, Policy Lab, McAfee QuickClean, Safe Eyes, McAfee SECURE, SecureOS, McAfee Shredder, SiteAdvisor, McAfee Stinger, McAfee Total Protection, TrustedSource, VirusScan, WaveSecure ovat McAfee, Inc:n tai sen tytäryhtiöiden tavaramerkkejä tai rekisteröityjä tavaramerkkejä Yhdysvalloissa ja muissa maissa. Muiden nimien ja merkkien omistusoikeudet voivat kuulua muille. Tuotteiden ja toimintojen nimet ja kuvaukset voivat muuttua ilman ennakkoilmoitusta. Uusimmat tuotteet ja toiminnot löydät osoitteesta mcafee.com. KÄYTTÖOIKEUSTIEDOT Käyttöoikeussopimus TIEDOKSI KAIKILLE KÄYTTÄJILLE: TUTUSTU HUOLELLISESTI VIRALLISEEN SOPIMUKSEEN, JOKA VASTAA HANKKIMAASI KÄYTTÖOIKEUTTA, JOSTA NÄKYVÄT KÄYTTÖOIKEUDEN ALAISEN OHJELMISTON KÄYTTÖÄ KOSKEVAT YLEISET EHDOT JA MÄÄRÄYKSET. JOS ET TIEDÄ MINKÄTYYPPISEN KÄYTTÖOIKEUDEN OLET HANKKINUT, SELVITÄ ASIAA MYYNNISTÄ TAI MUISTA VASTAAVISTA KÄYTTÖOIKEUS JA HANKINTA ASIAKIRJOISTA, JOTKA OVAT TULLEET HANKKIMASI OHJELMISTOPAKETIN MUKANA TAI JOTKA OLET SAANUT ERIKSEEN HANKINTAAN KUULUVANA OSANA (KIRJASENA, TUOTTEESEEN LIITTYVÄN CD LEVYN TIEDOSTONA TAI SILTÄ VERKKOSIVULTA, JOSTA IMUROIT OHJELMISTOPAKETIN). JOS ET HYVÄKSY KAIKKIA SOPIMUKSESSA MAINITTUJA EHTOJA, ÄLÄ ASENNA OHJELMISTOA. TIETYIN EHDOIN VOIT PALAUTTAA TUOTTEEN MCAFEELLE TAI HANKINTAPAIKKAAN JA SAADA TAKAISIN TÄYDEN HANKINTAHINNAN. 2 McAfee SaaS Web Protection Service Asennusopas

3 Sisällys 1 Johdanto 5 Vaatimukset SaaS Web Protection Servicen määrittäminen 7 Web Protectionin todennuksen määrittäminen Käyttäjien lisääminen Tilin hallintaan (eksplisiittinen käyttäjä tai läpinäkyvä todennus) Käyttäjätietojen lisääminen McAfee Client Proxyyn WDS Connector (läpinäkyvä todennus) Lataa WDS Connector Välityspalvelimen määrittäminen 11 Staattisen välityspalvelimen määrittäminen selaimessa Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä Välityspalvelimen lukitseminen Mozilla.cfg-tiedoston automaattinen määrittäminen kirjauskomentosarjalla Proxy Automatic Configuration- tai Web Proxy Auto-Detect -tiedoston luonti WPAD:n määrittäminen DNS:n määrittäminen WPAD-komentosarjalle Verkkopalvelimen määrittäminen käyttämään PAC- tai WPAD-tiedostoa Esimerkki WPAD- tai PAC-perustiedostosta Yleiset määritysongelmat 21 Tarkista ensin pysyväiskoodatun välityspalvelimen asetus Tarkista, että kaikki määritykset on kirjoitettu pienin kirjaimin Käytäntösarjojen asettaminen 25 Forensics WDS Connectorin optimointi suuremmille asennuksille 27 Välityspalvelimen määrittäminen monille asiakasohjelmille McAfee SaaS Web Protection Service Asennusopas 3

4 Sisällys 4 McAfee SaaS Web Protection Service Asennusopas

5 1 1 Johdanto McAfee SaaS Web Protection Service tarjoaa reaaliaikaisen suojan verkkouhkia ja eteisverkon asiatonta sisältöä vastaan, ennen kuin ne pääsevät sisäiseen verkkoon. Käyttäjien selainliikenne ohjataan SaaS Web Protection Serviceen. SaaS Web Protection Service tarkistaa jokaisen verkkosisällöpyynnön vastaanottamisen yhteydessä, onko sisältö määritettyjen käytäntöjen mukainen, ja jos kyllä, ettei sisällössä ole tunnettuja matoja ja viruksia. Käyttäjälle palautetaan vain sisältö, joka ei riko näitä käytäntöjä ja jossa ei ole tunnettuja uhkia. Voit ottaa käyttöön tai poistaa käytöstä erityistä verkkosisältöä koskevat käytännöt SaaS Web Protection Servicen kattavassa graafisessa käyttöliittymässä, Controle Consolessa. Vaatimukset Kun olet määrittänyt verkon suodatuskäytännöt Control Consolen kautta, Web Protection ohjaa yrityksen verkkoliikenteen välityspalvelimeen suojausten käyttöönottamiseksi. Suorita seuraavat toimenpiteet ennen Web Protection Servicen käyttöä: Tilaa Web Protection Luo asiakas Luo toimialue Tilin hallinnan Hakemiston integrointi toiminto kannattaa ottaa käyttöön ennen WDS Connectorin käyttöä. Tällä tavoin lisäät merkittävästi sen todennäköisyyttä, että käyttäjän sähköpostiosoitteet Active Directoryssa vastaavat Control Consolen sähköpostiosoitteita. Katso tietoja Web Protectionia tukevista ympäristöistä uusimmista tiedotteista. McAfee SaaS Web Protection Service Asennusopas 5

6 1 Johdanto Vaatimukset 6 McAfee SaaS Web Protection Service Asennusopas

7 2 SaaS 2 Web Protection Servicen määrittäminen SaaS Web Protection Service (Web Protection) pysäyttää uhat, ennen kuin ne pääsevät yrityksen verkkoon. Kun Web Protectionin suodatuskäytännöt on määritetty, verkkoliikenne on ohjattava välityspalvelimeen ja suojaus otetaan käyttöön. Jos uhkapalvelu on hankittu, Web Protection suodattaa myös järjestelmällisesti loppukäyttäjän verkkoistunnot virusten ja vakoiluohjelmien estämiseksi ennen kuin ne pääsevät verkkoon. Sisällys Web Protectionin todennuksen määrittäminen Käyttäjien lisääminen Tilin hallintaan (eksplisiittinen käyttäjä tai läpinäkyvä todennus) Käyttäjätietojen lisääminen McAfee Client Proxyyn WDS Connector (läpinäkyvä todennus) Web Protectionin todennuksen määrittäminen Voit Käyttoikeusasetukset ikkunassa määrittää tavan, jolla käyttäjät todennetaan, kun he käyttävät verkkoa. Voit esimerkiksi tallentaa organisaatiossasi hyväksyttyjen IP osoitteiden luettelon. Valitse yksi neljästä esitetystä menetelmästä, joilla voit käyttää Web Protection järjestelmää. Samanaikaisesti voidaan käyttää tarvittaessa useampaa kuin yhtä todennusta. IP osoitealueen todennus Edut: Käyttäjäkirjautumista ei vaadita Salasanoja ei tarvitse säilyttää käyttäjille Ohjelmistoa ei tarvitse asentaa Voidaan ottaa käyttöön verkon reunassa reitityksellä Haittapuolet: Ryhmäkäytäntöjä ei voida soveltaa (kaikilla käyttäjillä on sama käytäntö) Ei erillistä raportointia, ulkoinen IP osoite ryhmittää kaiken raportoinnin Eksplisiittinen käyttäjien todennus Edut: McAfee SaaS Web Protection Service Asennusopas 7

8 2 SaaS Web Protection Servicen määrittäminen Web Protectionin todennuksen määrittäminen Ryhmäkäytäntöjä voidaan soveltaa (eri käyttäjillä voi olla erilaisia käytäntöjä) Käyttäjäkohtainen erillinen raportointi Ohjelmistoa ei tarvitse asentaa Haittapuolet: Käyttäjät voivat kirjautua vain yhteen selainistuntoon kerrallaan Salasanat on säilytettävä ja/tai todennettava vertaamalla niitä yhtiön palvelimen tietoihin Läpinäkyvä todennus (WDS Connector) WDS Connectoriin voidaan soveltaa useita parhaita käytäntöjä. Useimmissa tapauksissa McAfee suosittelee, että WDS Connector asennetaan erilliselle palvelimelle. Vaikka tämä ei olekaan vaatimus pienemmille asiakkaille, erillinen palvelin estää sen, että muut prosessit eivät häiritse WDS Connectorin toimintaa. McAfee suosittelee ei olennaisten ohjelmistojen asennuksen purkua tai käytöstä poistamista palvelimelta, johon WDS Connector on asennettu. Edut: Käyttäjäkirjautumista ei vaadita Salasanoja ei tarvitse säilyttää käyttäjille Web Protection järjestelmässä Ryhmäkäytäntöjä voidaan soveltaa (eri käyttäjillä voi olla erilaisia käytäntöjä) Käyttäjäkohtainen erillinen raportointi Haittapuolet: Ohjelmisto on asennettava yhtiön infrastruktuuriin Vaatii Active Directory ja NTLM todennusta käyttäjien tunnistamiseksi Jokaisella käyttäjällä on oltava Active Directoryssä sähköpostiosoite, joka vastaa Controle Consolen sähköpostiosoitetta Käyttäjien on kirjauduttava toimialueelle interaktiivisesti Koko selainliikenne on reititettävä WDS Connectorin kautta McAfee Client Proxy (MCP) McAfee Client Proxy on Windows agentti, joka ohjaa saumattomasti HTTP ja HTTPS liikenteen SaaS Web Protection palvelimiin. McAfee Client Proxy voidaan määrittää ohjaamaan liikenteen pilven suojan takaamiseksi, ohjaamaan liikenteen verkkovierailun suojaamiseksi, kun käyttäjä on yhtiön verkon ulkopuolella. McAfee Client Proxy toimittaa pilvelle yksittäistä käyttäjää, käyttäjien ryhmäjäsenyyttä ja asiakastilejä koskevia salattuja tietoja. Järjestelmä tunnistaa automaattisesti käyttäjän, ryhmän tai asiakkaan asianmukaisen käytännön soveltamiseksi. Edut: Käyttäjäkirjautumista ei vaadita Salasanoja ei tarvitse säilyttää käyttäjille Web Protection järjestelmässä Ryhmäkäytäntöjä voidaan soveltaa (eri käyttäjillä voi olla erilaisia käytäntöjä) 8 McAfee SaaS Web Protection Service Asennusopas

9 SaaS Web Protection Servicen määrittäminen Käyttäjien lisääminen Tilin hallintaan (eksplisiittinen käyttäjä tai läpinäkyvä todennus) 2 Käyttäjäkohtainen erillinen raportointi Voidaan määrittää estämään agentin käytöstä poistaminen Toimii verkkotasolla kaikissa palvelimissa ja kaikissa muissa HTTP tai HTTPS pyynnöissä Haittapuolet: Vain Windows tuki Otettava käyttöön päätepisteessä (pöytätietokone tai kannettava tietokone) Vain englanninkielinen Käyttäjien lisääminen Tilin hallintaan (eksplisiittinen käyttäjä tai läpinäkyvä todennus) Tilin hallinta on hallinnollisten näyttöjen sarja, jota käytetään Web Protection Servicessa olevien entiteettien määrittämiseen ja hallintaan yhdessä sijainnissa. Tämä on McAfee Client Proxyn asetus. Näitä entiteetteja ovat: Toimialueet Käyttäjät Muut järjestelmänvalvojat, mukaan lukien muut asiakasjärjestelmänvalvojat, toimialueen järjestelmänvalvojat, karanteerin valvojat ja raporttien valvojat Tilin hallinnalla valvotaan lisäksi sellaisia käyttäjäryhmiä, joilla on yhteinen sähköpostien suodatuskäytäntö. Määritä Web Protection Servicen käyttäjät lataamalla Tilin hallinnan järjestelmänvalvojan opas ja noudata ohjeita. 1 Siirry sivulle 2 Kirjaudu sisään vaadittaessa. 3 Napsauta Reference Materials (viitemateriaalit). 4 Napsauta Tilin hallinnan järjestelmänvalvojan opas. Käyttäjätietojen lisääminen McAfee Client Proxyyn McAfee Client Proxya voidaan käyttää ilman käyttäjänimien määrittämistä. Control Console yhdistää käyttäjänimet McAfee Client Proxyn toimittamiin Windows toimialueen/käyttäjänimen tietoihin. Control Consolessa on apuohjelma, jolla käyttäjänimet yhdistetään luotuihin sähköpostikäyttäjiin. Tehtävä 1 Käynnistä Web Protection Käytännöt McAfee Client Proxy käytännöt. 2 Napsauta MCP käyttäjien tunnistusapuohjelma. Tämä apuohjelma yhdistää käyttäjänimet automaattisesti Active Directoryssa Control Consolen sähköpostitileihin. Jos käyttäjänimen tietoja ei toimiteta, McAfee Client Proxy apuohjelma käyttää ryhmä tai asiakaskohtaisia tietoja suodatuksessa sovellettavan käytännön määrittämiseksi. McAfee SaaS Web Protection Service Asennusopas 9

10 2 SaaS Web Protection Servicen määrittäminen WDS Connector (läpinäkyvä todennus) WDS Connector (läpinäkyvä todennus) Käyttäjät voivat WDS Connector SM :n, joka on parannus SaaS Web Protection Serviceen (Web Protection), avulla käyttää verkkoa Web Protectionin kautta nykyisillä paikallisilla verkon toimialueen valtuustiedoilla. Tämän valmiuden, joka tunnetaan myös nimellä läpinäkyvä todennus, ansiosta Web Protectionin ei tarvitse todentaa käyttäjää joka kerta selaimen avaamisen yhteydessä. Web Protection validoi käyttäjän sen sijaan automaattisesti, kun hän avaa selaimen. Web Protection palvelun järjestelmänvalvojat voivat edelleen soveltaa käyttäjiin ryhmäkäytäntöjä sekä seurata erillisistä verkon käyttöä, uhkia ja muita tekijöitä. Lataa WDS Connector Lataa WDS Connector ohjelmisto, jotta voit asentaa ohjelmiston ja käyttää WDS Connectoria. Tehtävä 1 Napsauta Web Protection Setup välilehteä (verkkosuojan asetus). 2 Napsauta WDS Connector linkkiä. 3 Lataa napsauttamalla Download WDS Connector (lataa WDS Connector) ja asenna WDS Connector ohjelmisto. Jos käytät Control Consolea Windows palvelimelta, jota käytät WDS Connectorin välityspalvelimena, voit ajaa ohjelmiston asennuksen latauksen aikana. Napsauta tällöin Run (aja), kun näkyviin tulee ensimmäinen asennusikkuna. Jos käytät Control Consolea tietokoneesta, jossa ei ole WDS Connectorin välityspalvelinta, sinun on tallennettava ohjelmisto USB levylle, CD levylle tai muulle välineelle, siirrettävä ohjelmisto WDS Connectorin välityspalvelimelle ja sitten asennettava ohjelmisto. 10 McAfee SaaS Web Protection Service Asennusopas

11 3 Välityspalvelimen 3 määrittäminen Kun olet määrittänyt Web Protectionin, sinun on määritettävä asiakasohjelmasi käyttämään välityspalvelinta. Tämän voi tehdä neljällä pääasiallisella tavalla: Määritä asiakasohjelmat manuaalisesti osoittamaan Web Protectioniin ja/tai WDS Connectoriin Internet Explorerin tai Firefoxin välityspalvelinasetuksilla. Tämä on tehokas keino lukita tietokoneet osoittamaan Web Protectioniin. Tämän asetuksen pääasiallinen ongelma on kuitenkin sen joustamattomuus, joten siten suositellaan vain pieniin sivustoihin tai sivustoihin, joilla vierailevat pääasiassa pöytätietokoneiden käyttäjät kannettavien tietokoneiden käyttäjien sijasta. Käyttäjä voi myös mahdollisesti peruuttaa paikallisen tietokoneen määrityksen, kun IT vastuuhenkilö ei ole paikan päällä. Parhaillaan pohditaan myös sitä, miten Internet Explorer ja Firefox voidaan lukita niin, että käyttäjä ei voi helposti muuttaa tai poistaa välityspalvelinasetuksia. Lopuksi voit ryhmäkäytännön avulla pysyväiskoodata käyttäjien välityspalvelimet siten, ettei niitä voida muuttaa. Määritä Proxy Auto Configuration tiedoston (PAC tiedosto) avulla komentosarja, jonka mukaan käyttäjän verkkoselain löytää ja käyttää verkossasi olevia välityspalvelimia. Kannettavien tietokoneiden käyttäjien tapauksessa ei ole helppo määrittää manuaalisesti asiakasohjelmien pysyväiskoodausta välityspalvelimeen, koska tätä välityspalvelinta ei ole saatavilla, ellei tietokoneita ole kytketty yritysverkkoon joko langallisen yhteyden tai VPN:n kautta. Voit korjata tämän ongelman PAC tiedoston avulla valvomalla, mistä selain hakee välityspalvelimen tietoja. Se voi näin ohittaa välityspalvelimen ja mennä suoraan Internetiin, jos välityspalvelinta ei löydy. Toinen PAC tiedostojen käyttämisen etu on, että voit määrittää välitettävän sisällön. Vaikka yleinen verkkoselaus onkin yleensä esimerkiksi parempi ohjata Web Protectionin kautta, et ehkä halua, että kriittisiä verkkopohjaisia sovelluksiasi ohjataan välityspalvelimen kautta. Voit PAC tiedoston avulla määrittää, miten käyttäjän selain reitittää liikennettä. Web Proxy Auto Detect Protocol (WPAD) muuttaa asiakasohjelmaa vain hieman tai ei lainkaan, ja selain etsii pikemminkin Automaattinen asetusten haku asetuksen avulla määritystiedostoa verkkopalvelimelta. Jos se ei löydä WPAD asetuksia tai palvelinta, selain mukauttaa nopeasti käytäntöään ja menee suoraan Internetiin. Tämä asetus on helpointa määrittää asiakasohjelmassa mutta vaatii järjestelmänvalvojalta enemmän, koska tämän on määritettävä verkko, DHCP ja DNS palvelimet. WPAD.DAT tiedoston muoto vastaa onneksi PAC tiedoston muotoa ja annamme tässä osiossa esimerkkejä, jotka voit leikata ja liimata tarvittaessa. Jos käytät McAfee Client Proxya, McAfee Client Proxyn määrityskäytännössä määritetään, miten ja missä liikennettä ohjataan. Katso lisätietoja Controle Controlea käsittelevistä McAfee Client Proxy asiakirjoista kohdasta Web Protection Setup McAfee Client Proxy. Tehtävät Staattisen välityspalvelimen määrittäminen selaimessa sivulla 12 Internet Explorerin tai Firefoxin asetukset on helppo pysyväiskoodata pieniin sivustoihin ja sivustoihin, joita käytetään useimmiten pöytätietokoneilla. Näitä asetuksia ei ole kuitenkaan helppo määrittää paikallisesti tai etänä työskenteleville kannettavien tietokoneiden käyttäjille, koska he eivät voi käyttää Internetiä ilman yhteyttä välityspalvelimeen. Intelligent Routing (älykäs reititys) tai Failover (vikasieto) eivät myöskään toimi, jos välityspalvelimeen ei saada yhteyttä. McAfee SaaS Web Protection Service Asennusopas 11

12 3 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen selaimessa Sisällys Staattisen välityspalvelimen määrittäminen selaimessa Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä Staattisen välityspalvelimen määrittäminen selaimessa Internet Explorerin tai Firefoxin asetukset on helppo pysyväiskoodata pieniin sivustoihin ja sivustoihin, joita käytetään useimmiten pöytätietokoneilla. Näitä asetuksia ei ole kuitenkaan helppo määrittää paikallisesti tai etänä työskenteleville kannettavien tietokoneiden käyttäjille, koska he eivät voi käyttää Internetiä ilman yhteyttä välityspalvelimeen. Intelligent Routing (älykäs reititys) tai Failover (vikasieto) eivät myöskään toimi, jos välityspalvelimeen ei saada yhteyttä. Ennen aloittamista Tässä määrityksessä oletetaan, että asiakasohjelmaa ja palvelinta ei ole määritetty estämään porttia 3128 ja/tai porttia Tehtävä 1 Käynnistä Internet Explorer. 2 Napsauta Työkalut Internet asetukset. 3 Napsauta Yhteydet välilehteä. 4 Napsauta Lähiverkon asetukset. 5 Valitse Käytä välityspalvelinta lähiverkossa. Jos käytät WDS Connectoria: a Syötä täydellinen toimialueen nimi (ensisijainen) tai DNS palvelimen nimi palvelimessa, johon WDS Connector on asennettu. b Syötä Port kenttään (portti) Syötä välityspalvelinsyöte, jonka sait aktivointipaketissa toimituksen yhteydessä. 7 Syötä Port kenttään (portti) Valitse Bypass proxy server for local addresses (ohita välityspalvelin paikallisissa osoitteissa). Kun olet lopettanut, välityspalvelimen on näytettävä seuraavalta: jossa proxy server (välityspalvelin) on WDS Connectoriin asentamasi palvelimen nimi. McAfee suosittelee pelkän palvelimen nimen sijasta täydellistä toimialueen nimeä, kuten välityspalvelin.toimialueesi.com. 9 Napsauta Connections välilehteä (yhteydet). Jos Dial up and Virtual Private Network asetuksissa (soittoyhteys ja virtuaalinen yksityinen verkko) on syötteitä, ne on määritettävä myös välityspalvelimeen. a Valitse määritettävä VPN asetus ja napsauta Settings (asetukset). b Valitse Use a proxy server for this connection (käytä välityspalvelinta tässä yhteydessä). 10 Jos käytät WDS Connectoria: a Syötä täydellinen toimialueen nimi (ensisijainen) tai DNS palvelimen nimi palvelimessa, johon WDS Connector on asennettu. b Syötä Port kenttään (portti) McAfee SaaS Web Protection Service Asennusopas

13 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä 3 11 Jos et käytä WDS Connectoria, McAfee suosittelee valitsemaan Bypass proxy server for local addresses (ohita välityspalvelin paikallisissa osoitteissa). Syötä aktivointipaketissa mainittu välityspalvelin. 12 Syötä Port kenttään (portti) Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä Voit määrittää Microsoft toimialueen kaikki tietokoneet ryhmäkäytännöllä siten, että niissä on pysyväiskoodattu välityspalvelimen asetus. Firefoxille ei ole nykyisin saatavilla ryhmäkäytäntöön perustuvaa ratkaisua. Jos ajat GPEDIT.MSC:n paikallisessa tietokoneessa, muokkaat paikallisen tietokoneesi käytäntöä. Jos ajat sen Active Directoryn käyttäjien ja tietokoneiden tai ryhmäkäytännön hallinnan läpi, muokkaat toimialueen valvojan ryhmäkäytäntöä koko toimialueella. Toimi kummassakin tapauksessa varovasti! Välityspalvelimen lukitseminen Sen sijaan että kaikkien käyttäjien on erikseen määritettävä välityspalvelimensa asetukset, voit soveltaa ryhmäkäytäntöä tietokoneessa, jossa on Windows käyttöjärjestelmä (vain Internet Explorer). Tehtävä 1 Valitse Käynnistys valikosta Suorita. Näkyviin tulee Paikallinen ryhmäkäytäntöeditori valintaikkuna. 2 Syötä gpedit.msc ja napsauta OK. Näkyviin tulee Ryhmäkäytäntö ikkuna. 3 Valitse vasemmassa paneelissa Käyttäjäasetukset Windows asetukset Internet Explorerin ylläpito Yhteys. 4 Kaksoisnapsauta oikeassa paneelissa Välityspalvelimen asetukset asetusta. Näkyviin tulee Välityspalvelimen asetukset valintaikkuna. 5 Valitse Ota käyttöön välityspalvelimen asetukset. 6 Syötä HTTP kenttään tervetulokirjeessäsi mainittu välityspalvelimen osoite. Jos olet valmistellut palvelimen osoitteessa portal.mcafeesaas.com, käytä <yourdomainhere.com>.web01.mxlogic.net Jos olet valmistellut palvelimen osoitteessa console.mcafeesaas.com, käytä <yourdomainhere.com>.web02.mxlogic.net Muokkaa <yourdomainhere.com> osoitetta organisaatioosi sopivaksi. 7 Syötä Port kenttään (portti) McAfee SaaS Web Protection Service Asennusopas 13

14 3 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä 8 Ohita verkon välityspalvelin. a Syötä Exceptions valintaruutuun (poikkeukset) niiden verkkosivustojen osoitteet, joiden liikennettä ei suodateta. Voit syöttää osittaiset toimialueet tai IP osoitteet, kuten *.yourdomain.com;10.*; *. Jokainen syöte on erotettava puolipisteellä.. b c Varmista, että olet valinnut Do not use proxy server for local (intranet) addresses (älä käytä välityspalvelinta paikallisissa (intranet) osoitteissa). Napsauta OK. McAfee Web Protection Servicen välityspalvelimia ei voida kytkeä organisaatiosi yksityisen yritysverkon (lähiverkko) palvelimiin. Jotta voit käyttää näitä yksityisiä verkkosivustoja, sinun on ohitettava välityspalvelin. Mozilla.cfg-tiedoston automaattinen määrittäminen kirjauskomentosarjalla Tämä on yksi monista tavoista, joilla voit lähettää tämän tiedoston ja muokata all.js tiedostoa kirjauskomentosarjalla. Kirjauskomentosarja tarkistaa ensin, onko Firefox asennettu, ja etsii sitten Mozilla.cfg tiedoston. Jos Firefox on asennettu, mutta Mozilla.cfg tiedostoa ei ole, se kopioi ensin tiedoston ja muokkaa all.js tiedostoa lisäämällä uuden rivin, ja lisää sitten pref komennon all.js tiedostoon, jotta se tietää etsiä Mozilla.cfg tiedostoa. Kaikki komentosarjan suorittamat toiminnot kirjoitetaan lokitiedostoon, ja saat näin täydelliset tiedot siitä, onnistuiko asennus. Tämä ei vaikuta käyttäjään. Kun seuraavan kerran suljet ja avaat selaimen, tiedot tallennetaan välityspalvelimen määritykseen. Tehtävä 1 Kopioi Mozilla.cfg tiedosto jaettuun asemaan, jota kaikki käyttäjät voivat käyttää verkossasi (vain luku). 2 Muokkaa kirjauskomentosarjaa seuraavasti: Älä unohda muuttaa \\server\share palvelimessa ja jaetun resurssin nimeä. :: Firefox Proxy Config file drop and all.js adjustment GOTO Check :Check :: First check to see if Firefox is installed, then see if the config file is there IF NOT EXIST "C: \Program Files\Mozilla Firefox" GOTO Lognofirefox IF NOT EXIST "C:\Program Files\Mozilla Firefox\mozilla.cfg" GOTO Update IF NOT EXIST "C:\Program Files\Mozilla Firefox\mozilla.cfg" GOTO Update GOTO Logalreadyinstalled GOTO End :Update :: Drop the config file and adjust all.js copy \\server\share\mozilla.cfg C:\Program Files\Mozilla Firefox :: ::C reate a new line at the bottom of the all.js file ECHO. >> "C:\Program Files\Mozilla Firefox\greprefs\all.js" :: ::Add a pref to point to the new CFG file to the end of all.js ECHO pref(general.config.filename, mozilla.cfg); >> C:\Program Files\Mozilla Firefox \greprefs\all.js GOTO Loginstalled :Lognofirefox Echo %date% %time% user %username% on %computername% does not have FireFox installed >> \\server\share \log.txt GOTO End :Logalreadyinstalled Echo %date% %time% user %username% on %computername% already has mozilla.cfg downloaded >> \\server\share\log.txt GOTO End :Loginstalled Echo %date% %time% user %username% on %computername% SUCCESS!! FireFox Proxy installed! >> \\server\share\log.txt GOTO End :End ::All done! Testaa aina kirjauskomentosarjaa yhdessä tai kahdessa tietokoneessa, ennen kuin otat sen käyttöön. Pudota Mozilla.cfg tiedosto manuaalisesti tietokoneisiin, joita et halua lukita, mutta älä päivitä all.js tiedostoa. Muussa tapauksessa komentosarja ohittaa tämän tietokoneen ja olettaa, että se on jo päivitetty. 14 McAfee SaaS Web Protection Service Asennusopas

15 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä 3 Proxy Automatic Configuration- tai Web Proxy Auto-Detect - tiedoston luonti Proxy Automatic Configuration (PAC) tiedosto ja Web Proxy Auto Detect (WPAD) tiedosto ovat kummatkin yksinkertaisia tiedostoja, joita isännöidään sisäisellä verkkopalvelimella. Se käyttää JavaScriptia kertomaan selaimelle, mitä sen on tehtävä, ennen kuin selain yrittää ladata verkkosivustoa. PAC ja WPAD tiedostojen etuna on, että ne parantavat välityspalvelimen määrityksen älykkyyttä ja sitä voidaan mukauttaa, kun tietokonetta ei ole kytketty verkkoon tai välityspalvelin ei toimi. Voit myös päättää, mihin sivustoihin välityspalvelin liitetään, jotta se ei vaikuta koskaan liiketoiminnallisesti kriittisiin verkkosivustoihin. WPAD:n määrittäminen Kun käytät Web Proxy Auto Detect protokollaa, selain etsii ensin DHCP:n ja sijoittaa siihen wpad.dat tiedoston tiedot. Jos se ei löydä DHCP:ää, se etsii DNS:n ennen kuin yrittää Internetiin. Sinun on määritettävä DHCP palvelin näiden tietojen toimittamiseksi. Asetus 252 lisääminen DHCP:ään Tehtävä 1 Valitse DHCP:n suorittavalla palvelimella (tai käyttämällä tietokoneesi MMC:ää) Start Programs Administrative Tools DHCP. 2 Voit muokata DHCP palvelinta napsauttamalla sitä hiiren oikealla painikkeella ja valitsemalla Set Predefined Options (esimääritetyt asetukset). 3 Etsi 252. Jos sitä ei ole: a Lisää uusi asetus napsauttamalla Add (lisää). b Syötä Option name kenttään (asetuksen nimi) WPAD. c Syötä Code kenttään (koodi) 252. d Syötä tietokenttään valittu komentosarja ja napsauta OK. 4 Valitse avattavasta Option Name luettelosta (asetuksen nimi) 252 WPAD. 5 Syötä String kenttään (komentosarja) Tässä mywebserver on sen verkkopalvelimen nimi, johon sijoitit wpad.dat määritystiedoston. Tämä komentosarja on kirjoitettava ehdottomasti kokonaan pienin kirjaimin. 6 Napsauta OK. Nämä WPAD tiedot näkyvät tämän muutoksen jälkeen kunkin uuden IP osoitteen yhteydessä. Varmista siten, että ne ovat oikein DHCP palvelimella ja että komentosarja toimii. Varmista, että julkaiset/uudistat IP osoitteesi, jotta voit testata sitä kun olet napsauttanutok. Kun olet suorittanut edellä mainitun vaiheen, jossa lisäsit asetuksen 252 DHCP palvelimeen, voit määrittää sen koko DHCP palvelimelle tai sen erityisiin osiin tai kumpaankin. 7 Napsauta hiiren oikealla painikkeella Server Options (palvelinasetukset) ja valitse Configure Options (määritysasetukset). Tämä vaihe on tehtävä pienin kirjaimin. McAfee SaaS Web Protection Service Asennusopas 15

16 3 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä 8 Valitse Option 252 Varmista, että sen verkkopalvelintiedot, portti ja tiedostonimi ovat oikein. Ne on kirjoitettava pienin kirjaimin. 9 Napsauta OK. 10 Avaa kyseinen soveltamisala 11 Napsauta hiiren oikealla painikkeella Scope Options (soveltamisalan asetukset) ja napsauta Configure Options (määritysasetukset). 12 Valitse Option Lisää palvelinimeen verkkopalvelimen nimi, portti ja wpad.dat tiedosto. Nämä syötteet on kirjoitettava kaikki pienin kirjaimin. 14 Napsauta OK. DNS:n määrittäminen WPAD-komentosarjalle Internet Explorer etsii DHCP Option 252, jos Automaattinen asetusten haku painike on valittu, joten saatat pohtia, miksi suosittelemme tätä muutosta myös DNS:ään. Tähän on useita syitä: Haluat välityspalvelimen määritystiedoston toimivan tietokoneissa, joilla on staattinen IP osoite. Käytät muita selaimia, jotka suosivat DHCP:n sijasta DNS syötettä, kuten Firefox. Olet huolestunut siitä, että Automaattinen asetusten haku pakottaa selaimen hakemaan jatkuvasti, kunnes se löytää mahdollisesti väärällä toimialueella olevan config tiedoston. Jos olet valinnut selaimessasi esimerkiksi Tunnista välityspalvelimen asetukset automaattisesti asetuksen, mutta selaimesi ei löydä wpad.dat tiedostoa osoitteelle dallas.mydomain.com, se etsii wpad tietoja osoitteesta wpad.mydomain.com ja sitten wpad.com, ennen kuin se luovuttaa. Jos selain löytää sen, se ajaa tyytyväisenä mistä tahansa näiltä toimialueilta löydetyn komentosarjan aiheuttaen näin ilmiselviä turvallisuus ja määritysongelmia. Oletuksena on, että haluat toimittaa paikallisen toimialueesi WPAD tietoja. Jos paikallinen toimialueesi on mydomain.info, muokkaat DNS palvelinta toimialueella mydomain.info ja lisäät cname tietueen nimeltä WPAD, joka osoittaa verkkopalvelimeen, jossa tiedosto sijaitsee. Tehtävä 1 Käynnistä DNS MMC:ssä käyttämällä DNS:n isäntänä toimivan toimialueen valvojan hallintotyökaluja. 2 Laajenna Forward Lookup Zones. 3 Napsauta hiiren oikealla painikkeella Forward Lookup Zone aluetta ja valitse New Alias (CNAME) (uusi tunnus). 4 Syötä Alias kenttään (tunnus) WPAD. 5 Syötä WPAD tiedostoa isännöivän palvelimen täydellinen toimialuenimi. 6 Napsauta OK. 16 McAfee SaaS Web Protection Service Asennusopas

17 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä 3 7 Napsauta OK. Testaa valitsemalla Automaattinen asetusten haku asetus Internet Explorerissa. Kun selaimesi löytää sivun nimeltä wpad.yourdomain.com, välityspalvelimen tiedot päivitetään automaattisesti. 8 Kun olet suorittanut alla olevat DNS ja DHCP asetusohjeet, määritä selaimesi tunnistamaan välityspalvelinasetukset automaattisesti. a Käynnistä Internet Explorer. b c d e Valitse Työkalut Internet asetukset.. Napsauta Yhteydet välilehteä. Valitse Lähiverkon asetukset, jos tietokone on kytketty johdolla verkkoon. Valitse Automaattinen asetusten haku. Verkkopalvelimen määrittäminen käyttämään PAC- tai WPADtiedostoa Jotta PAC tai WPAD tiedostoa voidaan käyttää välityspalvelinten määrittämiseen, verkossa on määritettävä useampia asioita. Ennen aloittamista PAC tiedosto on paljon yksinkertaisempi kuin WPAD asetus, koska kerrot PAC tiedoston avulla selaimellesi, mistä se löytää tiedoston, joten sinun tarvitsee vain sijoittaa se verkkopalvelimen juureen ja kertoa tälle palvelimelle, miten se ladataan. WPAD asetus taas käyttää DHCP:ää ja DNS:ää tiedoston sijaintipaikan selvittämiseksi kun käyttäjän selaimen asetuksena on Automaattinen asetusten haku, joten sinun on sijoitettava tiedosto verkkopalvelimelle ja päivitettävä DHCP ja DNS, jotta selain tietää, mistä se hakee tiedostoa. PAC ja WPAD tiedosto on sijoitettava verkkopalvelimelle. Suosittelemme voimakkaasti sisäistä verkkopalvelinta Internet palvelimen sijaan; suosittelemme myös vain luku tiedostoa, jotta hakkerit eivät pysty ohjaamaan kaikkea Internet liikennettä suosikkivakoilusivustolleen. Löydät lisätietoja PAC tiedoston tai WPAD protokollan käyttöä koskevista mahdollisista turvallisuusongelmista sivulta Tehtävä 1 Kopioi proxy.pac tiedosto verkkoselaimesi juuriasiakirjahakemistoon. Sen on oltava juuriasiakashakemisto Sen on oltava oletusvirtuaalipalvelin tai aktiivinen virtuaalipalvelin. Tiedosto on kirjoitettava pienin kirjaimin 2 Lisää verkkopalvelimesi määritykseen MIME syöte, jotta palvelin tietää, miten tiedosto avataan. 3 Avaa IIS Manager verkkopalvelimessa. 4 Lisää MIME tyyppinapsauttamalla verkkosivustoa hiiren oikealla painikkeella. 5 Napsauta Properties (ominaisuudet). 6 Napsauta HTTP Headers välilehdestä (HTTP otsikot) MIME Type (MIME tyyppi). 7 Napsauta New (uusi). McAfee SaaS Web Protection Service Asennusopas 17

18 3 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä 8 Syötä Laajennus kenttään tiedostonimen tunniste: pac a b SyötäMime Types kenttään: application/x javascript config Napsauta OK ja käynnistä sitten IIS Service uudelleen (tarvittaessa tämän verkkopalvelimen muiden toimintojen mukaan). Tehtävät Verkkoselainten määritys Apache version 1.x -palvelimelle sivulla 18 Määritä verkkoselaimet Apache 1.x palvelimelle seuraavasti. Verkkoselainten määrittäminen Apache version 2.x -palvelimelle sivulla 19 Määritä verkkoselaimet Apache 2.x palvelimelle seuraavasti. Verkkoselainten määritys Apache version 1.x -palvelimelle Määritä verkkoselaimet Apache 1.x palvelimelle seuraavasti. Tehtävä 1 Muokkaa /etc/apache/httpd.conf 2 Lisää AddType application/x javascript config pac 3 Muokkaa /etc/apache2/mods available/mime.conf. 4 Lisää AddType application/x javascript config pac Käynnistä Apache Web Server uudelleen (tarvittaessa tämän verkkoselaimen muiden toimintojen mukaan). 5 Testaa avaamalla Jos verkkoselaimesi kysyy, haluatko avata proxy.pac tiedoston, olet suorittanut tämän vaiheen oikein. Määritä selaimesi osoittamaan proxy.pac tiedostoon Internet Explorerissa seuraavasti: a b c d Napsauta Työkalut Internet asetukset. Napsauta Yhteydet välilehteä. Napsauta Lähiverkon asetukset. Jos tietokone on kytketty johdolla verkkoon, aseta asetukset määrittämään VPN. Syötä Komentosarjan automaattinen määritys kentään verkkoselaimesi URL osoite. WPAD.DAT tiedoston verkkopalvelinmääritys: 6 Kopioi wpad.dat tiedosto verkkoselaimesi juuriasiakirjahakemistoon. a b c Sen on oltava juuriasiakirjahakemisto, ei alisivusto tai alihakemisto. Sen on oltava oletusvirtuaalipalvelin tai aktiivinen virtuaalipalvelin. Tiedostonimi on EHDOTTOMASTI kirjoitettava pienin kirjaimin tai WPAD.dat ei toimi, sen on oltava wpad.dat. 7 Lisää verkkopalvelimesi määritykseen MIME syöte, jotta palvelin tietää, miten tiedosto avataan. 8 Avaa IIS Manager verkkopalvelimessa. 9 Lisää MIME tyyppi napsauttamalla hiiren oikealla painikkeella haluamaasi verkkosivustoa. 10 Napsauta Properties (ominaisuudet). 18 McAfee SaaS Web Protection Service Asennusopas

19 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä 3 11 Napsauta HTTP Headers välilehdestä (HTTP otsikot) MIME Types (MIME tyypit). 12 Napsauta New (uusi). 13 Syötä tunnistekentään tiedostonimen tunniste: pac. a Syötä Mime Type valintaruutuun: application/x javascript config. b Napsauta OK ja käynnistä sitten IIS Service uudelleen (tarvittaessa tämän verkkopalvelimen muiden toimintojen mukaan). Verkkoselainten määrittäminen Apache version 2.x -palvelimelle Määritä verkkoselaimet Apache 2.x palvelimelle seuraavasti. Tehtävä 1 Muokkaa /etc/apache2/mods available/mime.conf 2 Lisää seuraava rivi: (dat for wpad, pac for.pac) a Lisää Type application/x javascript config dat b Käynnistä Apache Web Server uudelleen (tarvittaessa tämän verkkopalvelimen muiden toimintojen mukaan). 3 Testaa avaamalla Internet selaimellasi. Jos verkkoselaimesi kysyy, miten haluat avata wpad.datin (esimerkiksi Notepadilla), olet suorittanut tämän vaiheen oikein. 4 Kun olet suorittanut alla olevat DNS ja DHCP asetusohjeet, määritä selaimesi tunnistamaan välityspalvelinasetukset automaattisesti. a Käynnistä Internet Explorer. b c d e Valitse Työkalut Internet asetukset. Napsauta Yhteydet välilehteä. Valitse Lähiverkon asetukset, jos kone on kytketty johdolla verkkoon. Valitse Automaattinen asetusten haku. Esimerkki WPAD- tai PAC-perustiedostosta Seuraavassa on esimerkki PAC tai WPAD perustiedostosta. Esimerkki WPAD tai PAC tiedostosta function FindProxyForURL(url, host) { return "PROXY proxyserver.example.com:3128 } Jos Internet Information Server tai Apache Web Server ja Internet Explorer on määritetty oikein (käsittelemme tätä jäljempänä) ja selaimesi yrittää ladata verkkosivuston, se ajaa ensin tämän komentosarjan ja tietää etsiä välityspalvelinta portista Jos se ei löydä sitä, se lähettää selaimen suoraan Internetiin. Tämä oli varsin yksinkertainen esimerkki. Entä jos haluat välityspalvelintiedoston ohittavan paikallisen verkon ja tietokoneen? WPAD tai PAC tiedosto, joka ei välitä paikallista isäntää tai verkkoa function FindProxyForURL(url, host) { function FindProxyForURL(url, host) { if ( isplainhostname(host) localhostordomainis(host, " ") isinnet(host, " ", " ")) return "DIRECT"; else return ""PROXY proxyserver.example.com:3128"; } McAfee SaaS Web Protection Service Asennusopas 19

20 3 Välityspalvelimen määrittäminen Staattisen välityspalvelimen määrittäminen kaikissa tietokoneissa, jotka käyttävät ryhmäkäytäntöä Jos haluat määrittää PAC tiedoston ohittamaan erityiset verkkosivustot, lisää shexpmatch(url, Katso seuraava esimerkki. WPAD tai PAC tiedosto, joka ohittaa erityiset verkkosivustot function FindProxyForURL(url, host) { if ( isplainhostname(host) localhostordomainis(host, " ") isinnet(host, ", " ) shexpmatch(url, "*.yourcompanyname.*")) // Don t proxy mxlogic.* return DIRECT; else return ""PROXY proxyserver.example.com: 3128"; } Lopuksi jos haluat määrittää välityspalvelimesi käsittelemään tilanteita, joissa se ei löydä välityspalvelinohjelmistoa, voit asettaa saataville useita välityspalvelinohjelmistoja tai pyytää välityspalvelinta menemään suoraan Internetiin.. else return PROXY proxyserver.example.com:3128; proxy domain.com.web02.mxlogic.net:8080; DIRECT; } Tässä tapauksessa kerromme selaimelle, että sen on yritettävä käyttää paikallista välityspalvelinta. Jos tämä epäonnistuu, yritä mennä suoraan McAfeeheen välitystä varten. Jos tämä epäonnistuu, mene suoraan Internetiin. PAC ja WPAD tiedostoissa on monia erilaisia asetuksia. Microsoft Technet on maininnut näistä useita artikkelissaan, joka löytyy sivulta us/library/dd aspx. Seuraavalla sivulla on myös erinomainen artikkeli PAC ja WPAD tiedostojen erilaisista asetuksista: Muut seikat Yksi merkillepantava asia on, että Internet Explorerissa ei ole PAC tai WPAD tiedoston virheentarkistusta. Jos unohdit aalto tai kaarisulun tai kirjoitit komennon väärin, selaimesi ei kerro sitä sinulle vaan menee suoraan Internetiin. Kun luot PAC tiedostoa, välityspalvelimen puuttuminen (kun olet jo varmistanut, että suora yhteys välityspalvelimeen toimii) saattaa merkitä komentosarjan virhettä. Huomaa myös, että selain voi tallentaa tämän tiedoston välimuistiin paikallisesti. PAC tai WPAD tiedoston muutokset palvelimella eivät siten välttämättä vaadi asiakasohjelman muuttamista, kunnes välityspalvelimen määritys kytketään pois päältä ja jälleen päälle Internet Explorerissa tai Firefoxissa. 20 McAfee SaaS Web Protection Service Asennusopas