ISA Server 2004 SP2新特性(下)

新增特性: BITS缓存支持 HTTP压缩支持 基于DifferServ协议的数据包QoS支持(HTTP DiffServ)  修改的特性: CARP Web代理的直接访问 身份验证安全性  跟踪机制  修复了32个问题(KB903676) 

  DiffServ协议简介: DiffServ(差异服务)协议: 新兴的QoS标准协议  将IP数据包头中的服务类型(TOS)字段改名为DS字段,并用于承载数据包优先级信息  数据包优先级通过DS字段中定义的DiffServ代码点(DSCP)类型指出  支持DiffServ协议的路由器根据DSCP类型的不同来决定转发数据包时的�跳行为(PHB)   标准�跳行为类型: Expedited Forwarding: 加速转发,具有最高的优先级  DSCP: 101110  Assured Forwarding: 保证转发,提供不同级别的转发特性 四类,每类三个子类 DSCP: 共计12种类型  Best Effort: 尽力而为,默认DSCP,无优先级。DSCP: 000000

  ISA防火墙中的HTTP DiffServ: 仅支持对基于HTTP/HTTPS协议的IP数据包进行处理: 不支持对基于其他协议的IP数据包进行处理  并且ISA防火墙可能会删除其他协议IP数据包中的现有DiffServ代码点类型。 默认情况下并未启用HTTP DiffServ支持特性,如需启用,你必须同时配置: 数据包优先级级别(DiffServ代码点类型) 针对的URL(HTTP)或域名(HTTPS) 启用HTTP DiffServ的网络。 ISA防火墙只是在转发IP数据包时,修改了匹配DiffServ规则设置的IP数据包的DiffServ代码点类型,并不会对数据包执行其他任何QoS操作: 对IP数据包的具体QoS操作依赖于ISA防火墙将IP数据包转发到的路由器 

  标准DiffServ代码点类型: PHB类      PHB子类      DiffServ代码点

                                  EF            无             101110

                                 AF4         AF43           100110                                                                       

                                               AF42           100100

                                               AF41           100010

                                 AF3         AF33           011110

                                               AF32           011100

                                               AF31           011010

                                 AF2         AF23           010110

                                               AF22           010100

                                               AF21           010010

                                 AF1         AF13           001110

                                               AF12           001100

                                               AF11           001010

                                  BE           无              000000   

  修改的特性: CARP   SP2前的CARP: ISA防火墙基于请求URL地址的哈希路由算法来决定处理请求的阵列服务器: www.isacn.org/info1/ *-> ISA 1  www.isacn.org/info2/ * -> ISA 2  当客户访问位于CARP例外中的Web站点时,ISA防火墙基于客户请求的主机名头来决定处理此请求的阵列服务器: 所有针对此Web站点的客户请求都将通过某个固定的阵列服务器进行处理   Web代理的直接访问: SP2前的Web代理的直接访问: 当客户发起的访问请求匹配两个条件中的任何一个时,客户越过ISA防火墙的Web代理直接进行访问: 客户请求访问的服务器名匹配直接访问的服务器名或域名 客户请求访问的目的IP地址匹配直接访问的IP地址范围  SP2对Web代理直接访问的修改: 如果直接访问的服务器或域列表中不含有IP地址,则客户的直接访问行为保持不变。如果直接访问的服务器或域列表中包含有IP地址,那么只有当客户发起的请求同时匹配两个条件时,才会越过代理直接进行访问: 客户请求访问的服务器名匹配直接访问的服务器名或域名 客户请求访问的目的IP地址匹配直接访问的IP地址范围  因此,如果你在直接访问的服务器或域列表中加入了IP地址,那么应加入所有需要直接访问的IP地址,否则客户不会进行直接访问。身份验证安全性: SP2前的身份验证安全性: 当使用HTTP to HTTP桥接时,支持将Web侦听器的身份验证方式配置为: 基本身份验证 OWA RADIUS验证  导致身份验证信息使用明文在网络上传送,降低了网络安全性  SP2中对身份验证安全性的修改: 当使用HTTP to HTTP桥接时,不再支持将Web侦听器的身份验证方式配置为以上三种身份验证方式  强制要求在使用SSL后才能使用以上三种身份验证方式  相关错误信息: 基本身份验证 ->403 Forbidden.The page must be viewed over a secure channel(Secure Sockets Layer(SSL)).Contact the server administrator.(12211)  RADIUS/OWA ->500 Internal Server Error.An internal error occurred.(1359)  跟踪机制: SP2中包含了一个后台运行的调试级别为错误的跟踪机制: 基本上不会对ISA Server的性能造成任何影响 不会搜集任何个人信息  默认文件大小为400M: %windir%\debug\isalog.bin  配置跟踪机制: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ISATrace: BootTracing=0 禁用跟踪机制 CircularlLogSizeMB 配置文件大小 

  SP2相关问题: 主要集中在HTTP压缩方面: ISA防火墙并未请求压缩响应,但是服务器却返回了压缩的响应: 警告: ISA服务器无法从%url%处理响应正文。尽管ISA服务器未请求压缩,但服务器却提供了压缩响应。该响应已被丢弃。ISA防火墙请求压缩响应,但是返回的压缩响应使用了不兼容的压缩方式: ISA防火墙只支持GZIP压缩方式  警告: ISA服务器无法从%url%处理响应正文,因为该响应是用ISA服务器不支持的%mode%方法压缩的。因此,该响应被丢弃。当服务器忽略来自ISA服务器的针对GZIP压缩的请求,转而使用%mode%压缩响应时,将会发生这种情况。解决方案(避免HTTP压缩): 配置ISA防火墙对此Web服务器不请求压缩响应  新建一个TCP出站80端口的协议,允许客户使用此协议访问相应的Web服务器  禁用HTTP压缩筛选器和压缩内容缓存筛选器  配置客户使用HTTP 1.0