第4章用访问策略配置internet安全

《第4章用访问策略配置internet安全》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第4章用访问策略配置Internet安全4.1用ISAServer创建访问策略814.2创建自定义的策略单元864.3配置协议规则944.4配置站点和内容规则1034.5配置IP数据包筛选器1124.6配直ISAServer以检测外部攻击和入侵1224.7本章复习126本章概要创建Internet安全策略需要考虑特定的网络配置和安全需要。安全需要可能会根据用户、计算机、源IP地址、目标IP地址、时期、协议、内容类型以及所要求的Web站点的不同而有所差别。要创建适合自己网络的访问策略，首先必须要了解ISAServer是如何处理客户请求的

2、。然后，分别创建满足特定要求的策略单元，例如时间表和客户集等。接着，才能够开始配置访问策略的3种规则：协议规则、站点和内容规则，以及IP数据包筛选器。最后，为了防止有害的外部入侵破坏网络,可以选择启用防火墙的入侵检测功能。先决条件为了学习本章，您必须：•达到“前言”所列的要求。Server!配置为域控制器，IP地址为192.168.0.1;Server2配置为该域中的一个成员，IP地址为192.168.0.2。Server1必须建立到Internet的拨号连接。•完成本书第3章中所有的练习。4.1用ISAServer创建访问策略ISA

3、Server的一个主要功能就是将局域网连接到Internet+,并保护局域网免受外部信源的恶性内容的破坏。要定义适合H己网络的安全链接，可以用ISAServer來创建允许内部用户访问特定的Internet主机的访问策略。用户访问Internet的方式则由访问策略和路由规则一起决定。本节学习目标•描述ISAServer如何处理传出请求•说明ISAServer处理來自防火墙的通过身份验证的用户和Web代理客户的请求所需要的条件。•选择ISAServer的系统安全级别估计学习时间：30分钟4.1.1控制传出请求ISAServer处理一个传出

4、请求时，首先检测路由规则、站点和内容规则以及协议规则，以确定该访问是否得到规则许可。只冇协议规则以及站点和内容规则都许可，同时没冇一个规则明确地拒绝该请求时，它才能允许传出。ISAServer装成防火墙模式或集成模式时，会激活一个预定义的站点和内容规则，允许对•所有站点以及所有内容进行访问。但是，I办议规则没有设置为默认状态的。协议规则以及站点和内容规则口丁用于源客户地址集（IP地址范围）或者是请求某一对彖的特定的用户或组。根据客户端类型安全网络地址转换客户端、防火墙客户端、以及Web代理客户端）和ISAServer配置的不同，ISA

5、Server处理请求的方法也不相同。对于一个传出请求，规则和数据包筛选器按如下次序处理：1.协议规则2.站点和内容规则3.IP数据包筛选器4.路由规则或防火墙链式配置图4.1所示为传出Web请求的处理流程图解。ISAServer在检测其他规则或数据包筛选器之前，先检测协议规则。ISAServer允许请求的条件是：有一个协议规则明确地允许该请求，同时没有其他的协议规则明确地拒绝该请求。检测完协议规则Z后，ISAServer开始检测站点和内容规则。ISAServer允许该请求的条件是：冇一个站点和内容规则明确地允许该请求，同时没冇其他的站

6、点和内容规则明确地拒绝该请求。检测完站点和内容规则Z后，ISAServer通过检测判断是否是特定配宜了IP数据包筛选器來阻塞该请求。需要说明的是，IP数据包筛选器和协议规则以及站点和内容规则不同，它并不一定要特定配置來允许客户机的请求。要点就Internet访问,ISAServer计算机和客户端的行为有很大的区别。来自ISAServer计算机的请求，IP数据包筛选器允许其有完全的Internet访问权限。和ISAServer客户端不同的是，ISAServer计算机一旦配置了允许类型的协议规则以及站点和内容规则，就不再具备完全的Inte

7、rnet访问权限。不过，IP数扌居包筛选器是静态的，规则是动态的，所以一般情况下不应经常使用ISAServer计算机作Internet访问。因此，对于位于ISAServer之后的客户端，本书将重点介绍如何配置安全的Internet访问（关于配置IP数据包筛选器详见本章4.5节）。來H内部客八端的请求是是否有协议规则拒绝请求否I——I拒绝请求是否有协议规则允许请求II是是否冇站点和内容规则拒绝请求否是否有站点和内容规则允许请求是IP数据包筛选器阻塞请求吗？17rI—I路由到上游路由规则指定该I丨的吗？是检索对彖Y该路由直接到In⑹询吗卜

8、_服务器吗？图4.1处理访问请求最后，ISAServer通过检测路由规则（如果是Web代理客户向对象提出请求）或者FirewallChaining（防火墙链式）配査（如果是安全网络地址转换客户或防火墙客户向对象提出请求）