[技术分享 - ISA 篇] 给我用户验证，安全免谈?!

您在 ISA 2006 服务器中建了一条内网服务器 Web 发布规则，并在 Web 侦听器上启用了用户验证，相应的 Web 侦听器启用的是 HTTP 协议。当您用一台外网客户端进行测试时，您可能发现客户端收到以下报错：

ISA is configured to block the HTTP requests that require authentication。

这个问题是由于 ISA 2006 与 ISA 2004 相比有一个安全性的改进，默认情况下，在 Web 侦听器中不允许基于 HTTP 协议的外部客户端验证。

当然您可以启用允许基于 HTTP 的外部客户端验证。具体做法参见下图：

但一般在生产环境下，我们不建议启用以上选项，因为这样做用户验证信息和数据信息得不到 SSL 加密，可能引起安全问题。

参考

Client requests to access a published Web site are blocked when you configure ISA Server 2006 to use pass-through authentication to access a published Web server

http://support.microsoft.com/kb/924374/en-us

James Yi
Microsoft Support Expert