Les règles de stratégie système

le réseau interne. En aucun cas, un utilisateur externe ne peut accéder au serveur ISA ou bien au réseau de l’entreprise via l’une de ces règles. Le but de Microsoft avec la stratégie système est de trouver un bon compromis entre connectivité et sécurité.

Si la stratégie système n’existait pas, le serveur ISA ne pourrait communiquer avec aucune autre machine. Ceci empêcherait notamment le serveur ISA de réaliser les actions suivantes :
• Ouvrir une session sur le domaine
• Récupérer un bail DHCP • Résoudre les noms de domaines pleinement qualifiés en adresse IP
• Etc.

Le scénario de l’installation à distance via une session Terminal Server permet de bien se rendre compte de l’utilité de la stratégie système du point de vu administratif. En effet, si la stratégie système n’existait pas, vous pourriez installer ISA 2004 sur une machine distante, mais dès le lancement du service pare-feu, la session Terminal Server serait immédiatement déconnectée car le protocole RDP serait bloqué. Cela obligerait ensuite l’administrateur à se déplacer sur le site distant pour créer une règle d’accès autorisant le protocole RDP ce qui peut s’avérer contraignant si le site distant est situé à 6000 kilomètres ! Voir Figure 7.

Bien entendu, les règles de stratégie système inutiles doivent être désactivées afin de réduire la surface d’attaque. Pour ce faire, un assistant spécifique nommé Éditeur de stratégie système est disponible. Il permet de désactiver toutes les règles de stratégie système, mais aussi de les configurer. Voir Figure 8.