La implementación del cliente Firewall en las infraestructuras con Microsoft ISA Server 2000/2004/2006 y Microsoft Forefront Threat Management Gateway 2010 ofrece numerosas ventajas. Sin embargo uno de los incidencias más comunes, es la de configurar los
clientes firewall para que se comuniquen con el servidor adecuado. Los sistemas de las versiones previas utilizaban el registro WPAD (Web Proxy Autodiscovery) para detectar el servidor firewall correspondiente.
Sin embargo estos sistemas tradicionales presentan problemas derivados de ataques en redes de datos, como la de modificar a través del ataque de DNS Spoofing la información de solicitud del registro en tránsito para reconducir la comunicación. O bien atacar el servidor DNS, para crear o modificar el registro y alterar la comunicación original. Para evitar este hecho los registros WPAD en los servidores DNS han sido bloqueados. Estos se pueden desbloquear, tal y como se comentó en un post anterior [
Desbloqueo de registro WPAD en Windows Server 2008].
Con Forefront Threat Management Gateway 2010, Microsoft propone una solución alternativa para el descubrimiento automático del servidor. Dicho descubrimiento se realiza a través del Directorio Activo mediante registro creado en la siguiente ruta:
LDAP://Configuration/Services/Internet Gateway("Container") /Winsock Proxy("ServiceConnectionPoint")
Este método es más seguro que los existentes
WPAD.DAT/WSPAD.DAT
La creación del registro se realiza a través de la aplicación
TMGADConfig.exe, que forma parte del
conjunto de herramientas para Microsoft Forefront Threat Management Gateway 2010. La ejecución de la aplicación se realiza mediante la siguiente sintaxis:
TmgAdConfig.exe add -default -type winsock -url [-f]
La ruta de
“service-url”, identifica la dirección url donde escucha el servicio WSPAD. La sintaxis para la misma sería:
http://:8080/wspad.dat
La siguiente imagen muestra el resultado de creación del registro correspondiente en el Directorio Activo del dominio empresa para el servidor ForTMG.
Figura 1: Registro winsock en el Directorio Activo
La siguiente figura muestra el registro creado, visto desde la herramienta Adsiedit de Microsoft.
Figura 2: Registro creado en el Directorio Activo
En el caso de querer eliminar el registro creado, se puede realizar a través de la misma herramienta mediante la siguiente sintaxis.
TmgAdConfig.exe del -default -type winsock