Posted on 2006-02-11 09:14
漂泊深圳 阅读(1198)
评论(0) 编辑 收藏 引用
【ISA Server 2004服務器基本配置手記】〖基本完成，後續補充中〗
Microsoft ISA Server 2004 简体中文版安装手记
(第一部分)
最近,应广大999宝藏网会员要求，针对ISA Server进行局域网控制管理功能进行一些说明，现在本人将ISA 2004 Server在Windows Server 2003版操作系统中安装及常用功能的使用进行讲解。
说明：
1、因为本人机器配置不是很高，所以运行虚拟机VMware中安装Windows Server 2003会导致很慢，所以可能有部分图片清晰度不是很高,还请谅解。
2、本例讲解的基础是机器中装了双网卡作代理服务还控制管理内部局域网上网，如果使用单网卡的话，那就是单纯的本机防火墙而已，所以在此就不作介绍，基本方法类似。
一、ISA Server简单介绍：
通常来说，内部网络的概念是指公司内部网络中的所有计算机，外部网络是指公司内部网络以外的所有计算机（通常指Internet）。但是由于使用移动计算机访问公司内部网络的用户的出现，从而使用户实际上成为了独立于网络的部分。分支办公室连接到总部，并希望像公司总部的内部网络组成部分一样使用总部的资源。许多公司使其公司网络中的服务器（尤其是 Web 服务器）可接受公开访问，但希望将这些服务器组织成一个单独的网络（DMZ网络）。ISA Server 2004服务器新增的多网络功能使你可以通过很简单的配置来为这些复杂的网络方案提供保护。多网络支持影响到大部分 ISA Server 2004服务器的防火墙功能。
使用 ISA Server 2004服务器的多网络功能可以限制客户端（甚至你自己组织内部的客户端）之间的通讯，从而防止网络受到内部和外来的安全威胁。可以通过在 ISA Server 2004服务器中定义各个网络之间的关系，从而确定各个网络中的计算机如何通过 ISA Server 2004服务器相互进行通信。还可以将计算机组织成 ISA Server 2004服务器网络对象（如计算机集和地址范围），并针对各个网络对象配置相应的访问策略。
在常见的服务器发布方案中，您可能要将发布的服务器隔离在其自己的网络（如DMZ网络）中。ISA Server 2004服务器的多网络功能支持这样的方案，让你可以很方便的配置公司网络中的客户端如何访问DMZ网络，以及 Internet 上的客户端如何访问DMZ网络。你也可以配置各个不同网络之间的关系，从而在各个网络之间定义不同的访问策略。ISA Server 2004 服务器中新增了网络模板和网络模板向导的功能，使得你可以很方便的配置你的网络拓扑结构。
二、ISA Server 2004的安装环境：
1、ISA Server服务器的硬件配置：
CPU：至少550MHz，最多支持四个CPU；
内存：至少256MB；
硬盘空间：150MB，不含缓存使用的磁盘空间； 缓存需要存放在NTFS分区上；
网络适配器：必须为连接到 ISA Server 2004服务器的每个网络单独准备一个网络适配器，至少需要一个网络适配器。（本例假设已安装两个网络适配器，一块网卡连接内部网络，如连接HUB或交换机等<本例中为标识为LAN，并配置好TCP/IP协议，>，另一块网卡连接外部网络<本例中为拨号网络连接或固定IP上网等，因本人是在虚拟机VMware中做测试，所以外部网卡我就指定IP 地址。>）
2、ISA服务器安装的软件要求：
操作系统：Windows 2000高级服务器版或Windows Server 2003，如果你的操作系统是Windows 2000高级服务器版，那么必须达到如下要求：
必须安装 Windows2000 Service Pack4 或更高版本；
必须安装 Internet Explorer6 或更高版本；
如果您使用的是 Windows2000 SP4 整合安装，还要求打KB821887补丁（可到微软网站下载）
为了使ISA服务器能够更好更快速的为您服务，建议你使用Windows Server 2003。
DNS服务器：ISA Server 2004服务器不具备转发DNS请求的功能，必须使用额外的DNS服务器。你或者在内部网络中建立一个DNS服务器，或者使用外网（Internet）的DNS服务器。（在本例中，我们使用内部DNS来配置ISA服务器，在稍候的讲解中会讲到DNS服务器的建立方法。）
三、配置DNS服务器
1、在Windows Server 2003系统中，点击“开始”菜单，选择“管理你的服务器”，在弹出的窗口中选择“添加或删除角色”，选择“DNS服务器”，如下图。
点击“下一步”，直至完成DNS服务器的安装。
2、安装完成后，在管理服务器界面中点击“管理此DNS服务器”，打开DNS服务器设置，如下图。
选择“正向查找区域”，点右键，选择“新建区域”，在区域选择对话框中选中“新建区域”，并在下一步的区域名中输入域名，如：in9.cn。并一直点丰一步直至完成区域的创建。
3、新建主机。在区域“in9.cn”上点右键，选择“新建主机”，主机名留空，在下面的IP地址中输入你的内网卡的IP地址。点击“添加主机”完成主机的创建。如下图：
4、配置DNS转向属性。在DNS根节点下DNS服务器名（通常为机器名）点右键，选择属性，在弹出的页面中选择“转发器”选项卡，在“所选域的转发器的IP地址列表”中添加网络服务商提供的DNS值，如深圳ADSL是：202.96.134.133以及202.96.128.166。见下图，
输完后点击确定。至此，DNS服务器设置完成。
Microsoft ISA Server 2004 简体中文版安装手记
(第二部分)
四、配置好以上设置后，就可以正式安装ISA Server2004了。运行Setup.exe出现安装欢迎界面，如下图。
点击安装“安装ISA Server 2004”，出现以下界面。
点击“下一步”，在“许可协议”页，选择“我接受许可协议中的条款”，点击“下一步”。
在客户信息页，输入个人信息和产品序列号，如下图。
点击“下一步”继续。
在安装类型页，如果你想改变ISA Server的默认安装选项，可以点击“自定义”，当然，我们在这里选择典型就行。然后点击"下一步"：
在内部网络页面中， 点击“添加”按钮。在ISA Server 2004中，内部网络定义为ISA Server 2004必须进行数据通信的信任的网络。防火墙的系统策略会自动允许ISA Server 2004到内部网络的部分通信。
在地址添加对话框中，点击“选择网卡”，出现“选择网卡”对话框：
在“选择网卡”对话框中，移去“添加下列专用范围...”选项，保留“基于Windows路由表添加地址范围选项。 选上连接内部网络的适配器，点击OK。在弹出的提示对话框中点击OK。
在内部网络地址对话框中点击OK：
点击确定，出现内部网络页的下一步：
在防火墙客户端连接设置页上，去掉勾选“允许运行早期版本的防火墙客户端软件的计算机连接”，点击“下一步”：
在服务页中，直接点击“下一步”：
在可以安装程序了页点击安装：
此时，ISA Server2004正在开始安装。见下图。
在安装向导完成页，选择“在向导关闭时运行ISA服务器管理”，然后点击“完成”。 此时，会出现Microsoft Internet Security and Acceleration Server 2004 控制台。
至此，ISA Server 2004服务器安装完成。
ISA Server 2004服務器安裝手記
（第三部分）
五、ISA Server服務器配置
在ISA Server 2004中，防火墙策略是由网络规则、访问规则和服务器发布规则三者的结合。网络规则定义了不同网络间如何访问，而访问规则则定义了用户（内、外网）的访问，服务器发布规则则定义了如何让用户访问服务器。
1、网络规则
网络规则定义并描述网络拓扑。网络规则确定两个网络之间是否存在连接，以及定义如何进行连接。网络连接的方式有：
网络地址转换 (NAT)：当指定这种类型的连接时，ISA 服务器将用它自己的 IP 地址替换源网络中的客户端的 IP 地址。当定义内部网络与外部网络之间的关系时，可以使用 NAT 网络规则。
路由：当指定这种类型的连接时，来自源网络的客户端请求将被直接转发到目标网络。源客户端地址包含在请求中。当发布位于DMZ网络中的服务器时，可以使用路由网络规则。
路由网络关系是双向的。如果定义了从网络A 到网络B 的路由关系，那么从网络B 到网络A 也存在着路由关系。相反，NAT 关系则是唯一的和单向的。如果定义了从网络A 到网络B 的 NAT 关系，则不能定义从 B 到 A 的网络关系。您可以创建定义双向关系的网络规则，但是 ISA 服务器将忽略有序规则列表中的第二条网络规则。
安装完ISA Server后，将默认创建一些规则，如下图：
上图中，
★本地主机访问。此规则定义了在本地主机网络与其他所有网络之间存在的路由关系。
★VPN 客户端到内部网络。此规则指定在两个 VPN 客户端网络（“VPN 客户端”和“被隔离的 VPN 客户端”）与内部网络之间存在着路由关系。
★Internet 访问。此规则定义了在内部网络与外部网络之间存在的 NAT 关系。
2、访问规则
（1）防火墙系统策略
在安装 ISA Server 2004服务器时，会创建默认的系统策略。系统策略允许 ISA Server 2004服务器访问它连接到的网络的特定服务。在防火墙策略上点击右键，指向“查看”，然后点击“显示系统策略规则”， 将打开默认的防火墙系统规则，一般情况下，除非你的ISA服务器的规则有较深了解，否则，请不要轻易更改系统规则。如下图：
（2）访问策略
现在我们需要建立一条访问策略以允许内部网络客户访问外部网络（Internet），同时，因为内部网络客户需要访问ISA Server 2004服务器上的DNS服务器以解析域名，我们也需要建立一条策略以允许内部网络客户访问ISA Server 2004服务器的DNS服务。
新建一条允许所有内部客户访问外部网络的所有服务的访问规则：
在防火墙策略上点击右键，指向“新建”，然后点击“访问规则”。 在“新建访问规则向导”的访问规则名称文本框中，输入“允许所以内部到外部”，然后点击“下一步”。然后在“规则操作”页，选择“允许”，点击“下一步”；
在协议页，选择“所有出站通讯”，也就是说允许内部所有机器访问外部所有协议，即内部客户端无限制上网。点击“下一步”；
在访问规则源页，点击“添加”，在“添加网络实体”对话框，双击“内部”，然后点击“关闭”，点击"下一步"；
同样的道理，在访问规则目标页，点击“添加”，在“添加网络实体”对话框，双击“外部”，然后点击“关闭”，点击"下一步"；
在用户集页，接受默认的所有用户，（说明：如果你是在域环境中安装ISA，在这里可以设定哪些用户能够通过这条规则，如果在工作组中安装ISA，则按默认值所有用户）点击"下一步"；
点击完成，即完成这条规则的创建。如果要想新建立的规则生效，则还需要点击规则上面的应用，才能使这条规则生效。
上面讲解的是一条允许内部访问外部所有协议的规则，在实际规则的建立中，我们只允许内部访问外部的规则并不是所有协议，这样就起不到管理的作用，如，只能许内部用户访问网页（即HTTP协议）。此时，则在协议页中，选择“所选协议”，点击添加，在协议列表中选择通用协议下的“HTTP协议”，点击添加按钮，HTTP协议就添加到当前允许协议中，点击完成。如下图：
选择协议后，其它的设置基本相同。
3 启用缓存
启用缓存有两个条件，首先是设置了缓存所用的驱动器，其次是设置缓存规则。
（1）设置缓存所用的驱动器
在ISA Server 2004管理控制台的“缓存”上点击右键，选择“定义缓存驱动器”。注意，此时的缓存上有个向下的红色箭头，表明没有启用缓存。
在定义缓存驱动器对话框中，根据你自己的网络带宽及流量进行设置，输入缓存大小后点击设置按钮。不过需要注意的是，缓存驱动器必须采用NTFS分区格式。
（2）设置缓存规则
此时“缓存”上已经没有向下的箭头了，表明已经设置了缓存驱动器。在“缓存”上点击右键，指向“新建”，点击“缓存规则”。 输入缓存规则名称“ISA缓存规则”。
点击“下一步”。在缓存规则目标页，点击添加，选择“外部”，点击“下一步”；
在内容检索页，接受默认的“只有在缓存中存在对象的...”，点击“下一步”；
在缓存内容页，接受默认的“如果源和请求头指明要缓存”，你可以根据你的需要勾选下面的选项，建议使用默认值。点击“下一步”；
在缓存高级配置页，根据你自己的需要进行设置，建议使用缓存值为512K。点击“下一步”；
在HTTP缓存页，使用默认设置，点击下一步。
在FTP缓存页，取消“启用FTP缓存”的勾选（你可以根据你的需求进行设置），点击“下一步”；
在新缓存规则向导页，回顾你的设置，然后点击“完成”。
点击“应用”以保存修改和更姓防火墙策略，ISA Server 2004会弹出一个警告提示你，选择“保存更改，并重启动服务”，然后点击“确定”。
4 取消FTP的只读
最后谈一点，ISA Server 2004默认是不允许FTP上传的（即不能写FTP服务器）。取消的办法是：在允许访问FTP服务器的规则上（在这儿是允许所有内部到外部）上点击右键，然后选择“配置FTP”， 在配置FTP协议策略对话框中，取消 “只读”的勾选，点击确定，最后点击“应用”以保存修改和更新防火墙策略。
至此。ISA Server2004服务器基本配置就讲解完了，希望大家在使用过程中灵活运行，后续将向大家讲解一些针对性较强的设置，如：不允许上QQ，MSN等。
（後續）