在中小型企业的网络架构设计中企业为了节约成本，一般不采用价格昂贵的硬件防火墙，但又为了保证内部网络的安全很多企业采用微软的ISA server 2006软件防火墙实现内部网络安全的作用。
实例环境：公司总共有300多人，另外有一台对外发布的WEB服务器，公司通过一条出口介入internet。
实例拓扑：
注：内部网络和ISA服务器均加入到域
一、加入域
在添加三块网卡的服务器上配置内部、DMZ、外部网卡的信息。然后加入到域如图所示
二、 安装ISA 2006
插入ISA2006光盘出现如图所示的画面
点击【安装ISA Server 2006】选项卡进入安装向导，按照向导一步一步的安装，如图选择【同时安装ISA Server服务和配置存储服务器】
点击【下一步】选择安装路径，这里我们用默认的。
由于这是第一台ISA服务器所以我们选择【创建新ISA服务企业】然后点击【下一步】
这时弹出一个警告，我们不用管它继续下一步
选择【添加】选项卡进入网络地址配置对话框
选择【添加网络适配器】确定内部网络地址范围如图所示然后点击确定并【下一步】
这里提示防火墙客户端是否支持加密，由于内部客户端我们选择SNAT模式所以这里我们选择不加密点击【下一步】继续
提示一些需要重新启动的服务，我们点击【下一步】
在【可以安装程序】对话框中单击【安装】开始安装过程
这时需要等上一段时间，然后出现如图所示的向导完成界面，并点击【完成】完成安装向导
三、 配置ISA sever 2006
3.1 添加外围网络
在【开始】——【所有程序】——【ISA服务管理器】。并找到阵列下面的网络配置界面，并新建网络如图所示。
进入向导模式，填写网络名称
点击下一步，选择【外围网络】选项卡。然后点击下一步
选择DMZ区域的网络适配器如图所示
然后点击确定并下一步完成向导
3.2 创建网络规则
在企业网络中创建DMZ网络区域放置WWW、FTP服务器来对外发布。为了内部网络的安全，可以设置内网到DMZ的网络规则是NAT，DMZ到internet是NAT。具体设计步骤如下：
在ISA服务管理器中找到网络组件，然后右键选择创建【网络规则】如图所示
进入【新建网络规则向导】输入网络规则名称点击下一步
在网络通讯源对话框中添加源网络“内部”，然后点击下一步
在网络通讯目标对话框中添加目标网络“DMZ”，然后点击下一步
在网络关系对话框中有两种网络关系，这里我们选择【网络地址转换NAT】，然后点击下一步
在【完成新建网络规则向导】对话框中点击【完成】
同样的方法创建DMZ到internet为NAT关系的网络规则
3.3 添加访问规则
建立网络规则后我们要为两个网络添加访问规则，ISA防火墙默认规则是阻止一切通信，所以在内网到DMZ建立访问规则，DMZ到外网建立发布规则。
首先在 ISA 服务管理器中找到【防火墙策略】组件右键新建【访问规则】
进入【新建访问规则向导】输入访问规则名称点击下一步
在规则操作对话框中选择【允许】并点击下一步
由于DMZ区域只有WEB和FTP服务器，所以这里协议只选择相应的访问协议
在访问规则源对话框中添加【内部】网络
在访问规则目标添加【DMZ】目标网络
在用户集对话框中选择规则应用的用户，根据企业不同的访问需求可以选择不同的用户，这里我们选择所有用户。
完成访问规则向导
由于ISA本地主机也是属于一个网络，可以同时设置一条本地主机访问其他网络的规则，设置方法相同，这里不再陈述。
要实现内网用户访问外网，需再添加一条策略让内网用户和外网进行通信.
四、 发布web和ftp服务
上面我们说了DMZ到internet是NAT的网络关系，所以我们要应用服务器的发布规则。
4.1 发布web服务器
发布web服务有两种方式，一种是安全的一种是不安全的。这里我们设置不安全的web发布规则。
在 ISA 服务管理器找到【防火墙策略】右键新建【网站发布规则】
进入新建web发布规则向导输入web发布规则名称点击下一步
在选择规则操作对话框中选择【允许】选项，然后点击下一步
由于我们只发布一个web服务器，所以我们选择第一项【发布单个网站或负载平衡器】并点击下一步
网站设计中并没有要求安全的web访问所以我们选择【使用不安全的连接连接发布的web服务器】并点击下一步
在内部发布详细信息对话框中填写内部站点名称，我们发布的web站点是属于工作组环境，我们要勾选【使用计算机名称或IP地址连接到发布的服务器】并填写web服务器的IP地址，然后点击下一步
由于这里我们搭建的web没有虚拟路径，这里就填写所有文件如图所示
在公共名称细节对话框中填写公用名称，表示凡是www.testorg.com访问请求都被转发到发布的web站点。
在【选择web侦听器】对话框中新建一个80侦听器，让外网卡侦听80端口。
进入新建web侦听器定义向导页面，输入侦听器名称然后点击下一步
在【客户端连接安全设置】对话框中选择【不需要与客户端建立ssl安全连接】然后点击下一步
在【web侦听器IP地址】选择外部网卡侦听
在【身份验证设置】对话框中选择【没有身份验证】然后点击下一步
在【单一登录设置】对话框中单击下一步并完成。
然后选择我们刚建好的listen 80侦听器并单击【下一步】在【身份验证委派】选择【无委派，客户端无法直接进行身份验证】
在【用户集】对话框中添加【所有用户】并点击下一步
在【正在完成新建web发布规则 向导】页面中点击【完成】并应用防火墙规则
五、 测试
5.1内网用户访问外网
内网用户设置SNAT客户端模式，并访问百度网站
5.2外网用户访问web站点
实验环境下我们在外部网络客户端上设置DNS记录并以域名访问
