ISA三种客户端(经典收藏)

《ISA三种客户端(经典收藏)》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、通过前面两次课我们学习了如何在企业里统一部署ISA的三种客户端，今天我们就来学习一下如何通过防火墙策略来对我们企业网络进行统一部署。ISAServer能对企业进行安全的防护，依靠的是它的防火墙策略规则，其实基本上分三类规则：1.网络规则：主要是指网络与网络之间的关系，分为路由和NAT两种。2.访问规则：源网络上的客户端如何访问目标网络上的资源。一般比如企业内部用户通过ISA访问互联网。3.发布规则：让外部用户访问企业的Web或邮件等服务器。同时又不危及内部网络的安全性。那么到底什么时候使用访问规则，什么时候使用发布规则呢？这个要取决于你的网络规则！各位是否记

2、得我们在安装ISA的时候就选择了内部网络，所以在默认情况下，你安装完ISA后就已经有了几个网络：内部网络、外部网络、本地主机、VPN客户端网络、隔离的VPN客户端网络这样五个网络，如下图所示：图片看不清楚？请点击这里查看原图（大图）。下面解释一下这几个网络：内部网络：一般是指你的Intranet，即企业内网，往往都是私有IP。如10.0.0.0/8、172.16.0.0/12、192.168.0.0/16等。外部网络：即Internet。一般不包含其它四个网络的地址的网络。本地主机：ISA本身的几个网卡所使用的IP以及127.0.0.1统一为一个网络，就是本

3、地主机。VPN客户端网络：当ISA上跑VPN后，用户通过VPN拔上来就属于VPN客户端网络。隔离的VPN客户端网络：类似于VPN客户端网络，如果用户通过VPN拔上来之后，通过检查某些安全配置不符要求，可以把这些客户端放在一个特殊的网络里，就是隔离的VPN客户端网络。当然如果我们希望还要有一些其它网络，如DMZ网络，那我们就得手动创建这些网络。稍后我们会讲到。有了网络，ISA也会默认创建不同网络之间的某些网络关系（即网络规则），如下图所示：图片看不清楚？请点击这里查看原图（大图）。因此，如果各位想自己创建自己的网络，就得创建自己的这些网络与其它网络之间的网络关

4、系。所以我们可以这样认为：ISA控制的就是网络与网络之间的安全通信！！这个通信的前提就是要有相应的网络，继而ISA会根据这些网络之间的网络规则（路由或NAT）来告诉用户，你可以创建访问规则或发布规则来实现网络之间的安全通信。总之，在企业准备部署防火墙时，必须要先确定你的企业拓朴是一个什么样子，比如有几个网络，你希望这些网络之间存在一个什么样关系，这些定了，其实ISA上再跑什么规则（访问或发布）也就定了。注意：如果两个网络之间不存在任何关系如路由或NAT，那么这两个网络无论如何是不能通信的！！举个例子：我们新建了两个城市（类似于新建网络），接下来，我们就要在这

5、两个城市之间铺路，是铺双向路（路由关系）还是单向路（NAT），如果铺好了路，比如双向路，再接下来我们就要划路标并规定什么样车型可以在这条路上跑，如大货车只能晚上跑（访问规则等）。总结一下：城市----网络铺路---网络规则道路限制规则---访问规则或发布规则注意：NAT是有方向的！！****什么时候在ISA上创建访问规则或发布规则呢？当网络之间的关系是路由或从A网络----》B网络（有路即NAT）：访问规则。解释一下，如果A网络到B网络方向的NAT（注意NAT是有方向的，单向路不也有方向吗），而你要控制A网络对B网络的访问，我们就建访问规则，但反之，如果B网

6、络要访问A网络资源就得做发布规则。也就是通过ISA达到B网络访问A网络的目的。注意：如果存在路由关系也可以做发布。补充一下：在装完ISA后，默认的配置需要各位要知道：a.默认阻塞连接到ISASRV的网络间的所有网络通信，即ISA所连的任意网络间都是无法通信的。b.只有本地管理员组的成员具有管理权限c.创建默认网络：即5个网络d.访问规则包括系统策略规则和默认访问规则。在这里标准版ISA会有30条系统策略规则，主要定义是的ISA到内到外的访问动作，而默认的访问规则就是上面的第一条即默认阻塞连接到ISASRV的网络间的所有网络通信。如下图所示：e.不发布任何服务

7、器：没有创建发布规则。f.禁用缓存g.可访问FirewallClientInstallationShare（如果已安装）下面演示一下如何创建网络及网络规则：假设企业内部网络的拓朴如下所示：注意默认情况下，已经创建内部网络，并制定了内部网络到外部网络的NAT的网络关系，接下来我们需要创建DMZ网络以及制定DMZ网络和内部网络、外部网络之间的网络关系（NAT或Route），具体如下图所示：图片看不清楚？请点击这里查看原图（大图）。一、新建网络：打开ISA控制台，右击网络---选新建--网络，如下图：图片看不清楚？请点击这里查看原图（大图）。在向导界面，输入网络名

8、称，如DMZ，单击下一步：选择网络类型（注，凡是自己