Windows域环境下部署ISA Server 2006防火墙(一)

安装和配置ISA Server 2006 服务器及客户端

ISA Server 2006 可以部署在各种规模的网络中，不同的部署方式可以针对不同规模的企业。为其提供一个安全的解决方案。

ISA Server 2006 主要有三大功能，第一，将其部署成一台专用防火墙，作为内部用户接入 Internet 的安全网关；第二，利用 ISA Server 2006 ，企业内部用户能够向 Internet 发布服务器；第三， ISA Server 2006 可以像代理防火墙一样，通过服务器的缓存实现网络的加速。这三大功能咱们都会说到。今天先来看一下如何在域环境下部署 ISA Server 2006.

ISA Server 2006 有两个版本，标准版和企业版。咱们今天用的是企业版，在安装之前先说一些注意事项 如下：

1>    硬件配置是否支持（这个问题在这个年代，应该不是个问题，呵呵！）

2>    是否已存在ISA Server

3>    是否需要缓存功能

4>    是否进行安全服务器的发布

5>    windows 域环境是否已搭建好

6>    ISA Server 的应用有多大规模

为什么要注意上面所说的几个问题呢？主要还是考虑到性价比的问题。如果要求不是很高，完全用不着企业版，标准版足亦！还能节省成本，毕竟这玩艺儿还不是很便宜。

再说一下 ISA Server 2006 的组件，想有效地部署 ISA Server 2006 ，必须了解 ISA Server 2006 的各个组件及其功能。 ISA Server 2006 主要由下面的组件构成：

1>    阵列——阵列是对一组ISA Server 2006 服务器的统一管理方式。并且它们可以共享同样的配置。

2>    配置存储服务器——用于存储企业中全部阵列的配置信息，是ISA 中最重要的部分

3>    ISA 服务器服务——运行防火墙、VPN 和缓存服务的ISA 服务器

4>    ISA 服务器管理——用于管理企业和阵列成员的管理终端

本次以及后面要说的 ISA Server 2006 部分都会依据下面这幅拓扑图。之所以用这幅图主要是它比较常见，是很多中型企业大概的拓扑结构。拓扑如下：

 

我们可以看到：

1>    这是一种三向外围的网络形式

2>    windows 域环境，域名为：zpp.com

3>    公司内部有WebServer 主机名为www.zpp.com 及MailServer 主机名为mail.zpp.com 需要发布, 它们处在DMZ 区。

4>    ISA SERVER 上有三块网卡，1.LAN IP ：192.168.1.1/24 ；2.DMZ IP:172.16.1.1 ；3.WAN IP ：61.134.1.4/8

此次的部署我们就从安装说起， 安装其实很简单，设置比较少。基本都是 NEXT 就可以了，但还是需要注意一些问题，下面我截取了几幅需要注意的图。供参考， windows 不像 Linux 哪样抽象，还是比较直观的。现在咱们开始安装吧！

1.      首先确认windows 域已经搭建好，我这里已经搭好了的，域名为zpp.com,DNS 也OK ，如拓扑上一致。搭域的步骤很简单我这就不在多说。如图确认一下：

 

2.      确认ISA Server 三块网卡已经连接好，并配置了正确的TCP/IP 参数。如图：

 

3.      打开ISA Server 2006 的安装光盘，找到“ISAAutorun.exe ”文件，双击启动ISA Server 2006 的安装界面，如下图：

 

4.      单击安装ISA server 2006 ，再单击下一步。选择我同意后输入用户名、单位名及产品序列号，单击下一步，如图：

 

5.      下面这幅图我解释一下。它是让我们选择安装方案，如果域中已经配置了存储服务器，我们就选第一项就可以了；如果还没有就选第三项；要是只想安装配置存储服务器，选择第二项就可以了；第四项用于仅安装ISA 服务器管理；现在咱们的网络中还没有配置存储服务器，所以就选第三项。如图：

 

下面几步很简单我就以笔带过，不截图了哈，免得大家说我的博客没有一点技术含量，呵呵！

6.      选择所有安装组件，单击下一步

7.      选择新ISA 服务器企业，单击下一步

8.      这时会弹出一个警告，咱们不用理会，直接单击下一步即可。

9.      设置配置存储服务器所使用的用户帐号，注意此帐号必须属于Domain Admin 组，咱们就用administrator 吧！

10.  接下来设置企业内部网络，单击添加，然后单击添加适配器，将LAN 网卡加入即可，下图是我确定之后的画面。

 

11.  此时需要清除“允许不加密的防火墙客户端连接”，单击下一步。为什么要清除此项呢？这一项的作用还是为了兼容像98 、me 这样的老版操作系统，我想这样的操作系统也只能在博物馆里找到了，呵呵！所以咱们用不着这一项。

12.  在服务警告页中单击下一步，再单击安装，我们就开始安装了哈！

 

注意：核心组件装完后，系统还会自动安装附加组建并进行系统初始化。初始化完毕后就好了。

装好之后 ISA Server 2006 的配置管理界面就长这样的，如图：

 

就这样我们的 ISA Server 2006 服务端就装好了。接下来咱们来看一下客户端的安装，装了客户端后我们才能使用到后面会说到的众多功能。客户端的安装比服务器更简单，步骤如下：

1.      打开ISA Server 2006 安装光盘中的Client 文件夹，双击“setup.exe ”文件，开始安装防火墙客户端。如图：

 

2.      单击下一步，选择同意，单击下一步；选择“我接受许可协议中的条款”，确定之后，单击下一步，选择连接到此ISA 服务器计算机，输入ISA 服务器内网卡的地址。单击下一步，如图 ：

 

3.      现在单击安装按钮，我们就开始安装ISA 防火墙。如图：

 

安装完成之后，确认一下计算任务栏的右侧出现一个小图标。表示防火墙客户端启动。如图：

 

好了！现在我们已经将 ISA Server 2006 服务器端和客户端都配置好了 . 我们现在要做的事就是先来熟悉一下 ISA 2006 管理器的控制台。

先从管理控制台中的模板说起吧， ISA Server 2006 共给我们提供了四种模板分别是：边缘防火墙、 3 向外围网络、前端防火墙、后端防火墙和单网卡适配器。下面我们来具体看看这几种防火墙模板。了解了这几种模板对我们了解 ISA Server 乃至安全解决方案都是有帮助的。

1.      边缘防火墙

边缘防火墙配置起来很方便。下图就是边缘放火墙的模板，可以看到防火墙将 Internet 与内网连接起来了，形成了一个屏障。有效的避免了来自 Internet 的网络攻击行为。另外边缘也是目前 windows 安全解决方案中使用最广泛的之一。大多数企业可以考虑这种方案的部署。

 

说明：前端防火墙只需要一台 ISA Server 就可以了，但需要有两块网卡。一块用来连接内网，一块用来连接 Internet 。

2.      前端防火墙

下图就是前端防火墙的典型应用，利用 ISA Server 连接外部网络的网络拓扑，其作为前端防火墙，内部还有一个防火墙，配置在后端来保护内部网络。

 

说明：前端防火墙至少需要两台 ISA Server ，且每台都要有两块网卡。一台用来隔离内部网络，另一台用来隔离内网及放置服务器的 DMZ 区。

3.      后端防火墙

看到下图，感觉和上面差不多，其实不一样。在前端防火墙的后面，用于连接外围（ DMZ ）网络和内部网络的防火墙配置，用以保护内部网络的为后端防火墙。

 

说明：和前端防火墙一样，后端防火墙的设备要求和拓扑结构是一样的。只是前后角色有些不同而已。

4.      单网卡型适配器

 

说明：单网卡型适配器就没什么好说的了，它几乎是被当成了代理服务器在使用。对安全要求不太高的小型企业如果只有访问 Internet 的需求，可以考虑部署这种结构。

5.      3 向外围网络

第五种就是咱们特别要去说的一种类型，在接下来的配置中都是采用的这种模板，那就是 3 向外围网络。 3 向外围也是一个比较热门的部署方案，从下图中我们可以看到，部署这种方案的投资并不是太大。

 

说明：这种部署方案在 ISA Server 上需要有三块网卡，一块用来连接内部网络，另一块用来连接服务器所在的外围网络，也就是 DMZ 区，还有一块当然就是用来连接 Internet.

好了，相信现在大家对 windows 的安全解决方案产品 ISA Server 2006 有了一个大概的了解，由于篇幅的限制这次就只能说到这里，在后面将会看到常用防火墙策略的应用，及各种服务器的发布。

本文出自 “ zpp” 博客，请务必保留此出处 http://zpp2009.blog.51cto.com/730423/281473