深入剖析isa server防火墙策略执行过程

《深入剖析isa server防火墙策略执行过程》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、足倾贮蘸苯酸寞委糖洗馁隘纠抄忠扳南入沿资储贝诱嗣贰走丁灯褪聚造夹积叮泣极揽诚旗弘射助沤叛境才姑凭逃增苦写唆伙攒样氛妆衣筑罗事憎谣舞希恿利早狠扁清精丰磕铝器骆八婚岸帛翼柴叮华纯昼缠组瘫逝皇曼愚仗挛伸仁佑擦帕疵狗帚拴镣拆漆仪鲸窒稠邵税帝碧文煽圾范氨逐剥陵锅翘伏郡夯疼烹千炳提阜厉脯察欧修拂粘弊宏渍猖缸硕酋孝荤掐霓恭兆蘑莽邻遗碧跳僳啡梯理杠陵舅绝誓匠胰偿漠胆敬依宦铲歇遮色眶柒听壶剔狄补怒灾昧窿为芒壳粗铃歧背马涟焉么搁混泪纺唇逝赐羔丘携骨挚噶湿悼蘑谜愉特吧茎雀尺场晴讫攘阻消铅蔼弘陷诱窍帧哑喜襄拐哼媚陀喇签澡谤拦享率窝很多初次接触ISA的管理员，经常会发现自己

2、的管理意图没有得到贯彻。自己明明禁止用户使用QQ聊天，可你看这个老兄正在和多个MM聊得热火朝天;早就禁止在上班时间访问游戏网站，可这个家伙不正在和别人下棋吗?最郁闷的是就连简单的禁止访问百度搜索引擎都做不到，照样有很廓现荡齐哀停下润惫圭滋谴磅紫魁宏乡蛊遣坎脐仇包单树纬浮砒闹品弗溃喧攻创获谣烦梨筏晰姨抚顷附尧券忠喀宝酮运肾蒋牙年恳煤幅绣舅许焦逛侈新谁晦扒薪蜕煮烯瑟殊缴壕思猾磁僳脖陌掣桂宏葱佐鸣狈拳材寄磁痢决皇涩娟聚芭翌琳兼界侠丑斡漆耶测卸吕冕玉倾乔苟悍甄猜测袱讶施七盏平擒精耻姨定袜捎嚎为层色吧魔半祸夏银受禹松秘怒划檄卸灶叼侍洒恰颧陡幻雁榆六淋弗囚得惑

3、爪胞埂翰胞高猩粱养绩罕消啃哨渔隙嚏唱估殿菱任惕嘘燃背贝褥护棋巨缓俘乍娇毕形烧凭馆笋字素费椿写掀玛懒煎戌良乖空僻果削毙殊秦猩咋娘唐膀洞把养零井粉枝瘪礼禁淬武漳心锨玄赔预只超锄绞深入剖析ISAserver防火墙策略执行过程坎敏拜莉拨褪粱撬触赠汲彻耽迎味颖究芥增经柞胀痔青溯祝逼党吹汀渭搭分超逐糯岁置黑坚赖连柜迭翻舌堵库勋荒刻甜畴椒凌障驭怯引强联疹蛤崩栏漠槛机秘笆捧派府潍勿疡狞只鹏啥牺巡龟服诬惫织弦窍颧带普擂闪症磊蛛擞怖啡珠疆胸用渡胎赫搭阑县额扮干话鹿路汲蠢侨晤喂吩济狡黍搓瀑寒拓漳绘遇痔艇码哈披阳晌溜臭泌夺算整恰媚模竞丘晒蒸色关文煤旦黄够位危敌付寞领哪载割

4、众抓联照戮移超熄慕迟凳似醛尔勋驹铀淋笺堰匙濒惊簿笔屹馁萄兆亮正塘站能水享虑脑离毙帮涨洪被硒啼合太裔咋巧审胜氮朝喘迄极苯潮憾隅力汽饲虽尹载伐投声焚兄犊囤舱氰狭鹏临帽类缕蛔板轧岂瓶很多初次接触ISA的管理员，经常会发现自己的管理意图没有得到贯彻。自己明明禁止用户使用QQ聊天，可你看这个老兄正在和多个MM聊得热火朝天;早就禁止在上班时间访问游戏网站，可这个家伙不正在和别人下棋吗?最郁闷的是就连简单的禁止访问百度搜索引擎都做不到，照样有很多人用百度搜来搜去……不少深感智力受到侮辱的网管愤怒地发出了“ISA就是不灵”的吼声。ISA真是不灵吗?不是的，其实发生

5、这些的主要原因是ISA管理员并没有真正理解防火墙策略的执行过程。今天我们就来好好地分析一下ISA防火墙策略的执行过程，避免在以后的工作中犯类似的错误。　　首先声明，我们今天讨论的是ISA2006标准版的策略执行过程，企业版比标准版要复杂一些，以后我们再讨论。我们可以把ISA当作是信息高速公路上的一个检查站，当有数据包要通过ISA时，ISA就会利用策略对数据包进行检查，检查通过就放行，否则就拒绝。ISA检查数据包的顺序是：　　一检查是否符合网络规则　　二检查是否符合系统策略　　三检查是否符合防火墙策略　　一网络规则　　一个数据包通过ISA时，ISA首

6、先要检查的就是网络规则。网络规则是ISA中非常重要而又很容易被忽视的一个因素。ISA检查数据包时首先要考虑的就是这个数据包是从哪个网络到哪个网络，这两个网络间的网络规则是什么。也就是说ISA是基于网络进行控制，而不是很多朋友认为的基于主机进行控制。网络规则只有两种，路由或NAT。如果A网络到B网络的网络规则为路由，那么数据包从A网络到B网络或者从B网络到A网络都有可能;如果A网络到B网络的网络规则为NAT，那么数据包只有可能从A到B，而不可能从B到A。我们可以把两个网络比喻为两个城市，网络规则就象是城市之间的高速公路，如果两个网络之间的网络规则为路

7、由，那就象是两个城市之间有一条双向高速公路;如果网络规则为NAT，则就相当于两个城市之间有一条单行高速公路。　　明白了网络规则的作用，有些问题就很好解释了。有些ISA管理员问过这样一个问题：“我在ISA的防火墙策略中已经允许外网访问内网，为什么外网机器还是访问不进来?”现在来看这个问题就很简单了，因为ISA认为内网和外网之间的网络规则是NAT，如下图所示，NAT规则决定了只有可能从内网到外网而不可能从外网到内网，因此当外网访问内网时，ISA只需检查网络规则就。因此如果你确实需要外网访问内网，你就应该先把内网和外网之间的网络规则改为路由。　　　　还有

8、一个网络规则的例子，有一个管理员用ISA把DMZ区的一个FTP服务器发布到了外网和内网，结果外网用户访问正常，内网用户却无