为企业布署ISASERVER

1、为企业布署ISASERVER由于 Internet 的运用持续扩展，安全和性能所面临的挑战也持续加大。许多安全咨询题都能够利用 ISA Server Firewall 服务来解决，它承诺通过基于任意数量可配置的策略单元规则，操纵进出网络资源的访咨询。什么是ISA Server 2006？ISA Server 2006 是一种集成的边缘安全网关产品，在使您的用户对应用系统和数据进行快速而安全的远程访咨询的同时，有助于爱护您的IT环境免受来自基于Internet 的威逼。使用场景ISA Server 2006 为 IT 经理、网络治理员、以及关怀安全、性能、治理能力、或者降低网络运行成本的信息安全

2、专业人员提供了价值。ISA Server 2006 能够协助您：安全地公布远程访咨询内容。通过为利用Internet 进行访咨询的企业应用系统提供安全爱护，ISA Server 2006 有助于改进实施操作。连接和爱护分支机构。 通过利用现有网络连接， ISA Server 2006 为安全地扩展企业网络，降低网络运行成本提供了一种稳健的方法。防备外部和内部的、基于 Web 的威逼。 ISA Server 2006 旨在为治理和爱护您的网络提供更加大大的安全爱护。安全地公布远程访咨询内容企业需要向雇员和合作伙伴提供从任何 PC 或设备，对应用系统、文档和数据进行安全和适当的远程访咨询的能力。I

3、SA Server 2006 使企业能够让企业网络以外的远程用户以更加安全的方式访咨询其Exchange、SharePoint、以及其他Web 应用服务器。通过在对任何公布的服务器进行访咨询之前对用户进行身份验证，在应用层进行状态检查（即使是加密的通信） ，并提供自动公布工具，ISA Server 2006 能够更加轻松地爱护通过Internet 对企业应用系统实施的访咨询。连接和爱护您的分支机构企业需将分支机构的远程站点与其总部进行连接，为来自分支机构的 Internet 访咨询提供增强的安全性，同时更加有效地利用有限的带宽。防备来自环境外部和内部的、基于Web 的威逼企业需要借助一组全面地

4、、用于扫描和阻止有害内容、文件和 Web 站点的工具，排除恶意代码和攻击所造成的破坏阻碍。下面列表展现了ISA Server 2006 标准版和企业版提供的要紧特性。对内部的Microsoft 服务器的安全的远程访咨询特性针对基于窗体的验证由防火墙产生窗体。使用 SSL 对终端服务进行远程访咨询。强制通过MicrosoftOutlook 消息和协作的 MAPI 客户端与描述ISA Server 2006能够产生由 Outlook Web Access站点使用的窗体，用于基于窗体的验证。这项针对Outlook Web Access站点进行远程访咨询改进的安全措施， 能够防止未体会证的用户与Out

5、look WebAccess服务器进行联系。运行 Windows Server 2003操作系统的运算机支持通过SSL 的 RDP承诺一个 SSL连接到 Windows Server 2003终端服务上。通过ISAServer 2006 ，您能够使用 SSL技术的终端服务器，更加安全地公布Windows Server 2003 。ISA Server 2006安全的 Exchange Server公布规则使远程用户能够通过 Internet，使用全部功能的Outlook MAPI客户端，连接到Exchange Server 。尽管如此， Outlook客户端必须设置成使用安全的RPC ，只有如

6、此连接才能进行加密。利用ISA Server 2006 RPC策略，您能够阻止所有非加密的Outlook MAPI客户端连接。特性描述MicrosoftExchange RPC连接。Outlook Web通过来自 SSL VPN 核心的 SSL 连接进行无托付的远程访咨询。 ISAAccess 公布向Server 2006 Outlook Web Access公布向导带您闲逛创建防火墙规则，导。以及创建与您的Exchange 服务器连接的 Outlook Web Access SSL 。在那个向导中能够创建所有的网络要素，而且在创建策略要素的时候，无需离开那个向导。SharePoint一个能够

7、同时公布多个 Windows SharePoint Services站点的新向导，Server 公布向同时提供用于自动链接的翻译。导。针对 ExchangeISA Server 2006中包含了对 Exchange 2007 特性设置的内置支持。2007 提供集成的支持虚拟专用网(VPN)特性描述分支机构 VPN那个向导自动设置了两个独立的分支机构之间站点对站点的VPN 连连接向导接。VPN 同ISA Server 2006包括一种更加丰富的集成的虚拟专用网机制，广泛地Microsoft 防火以 Windows Server 2003和 Windows 2000 Server为基础的特性。墙服

8、务的充分的集成用于 VPN 的状VPN 的客户端被设置为单独的网络区域。因此，您能够为VPN 的客户态过滤和检查端分别创建单独的策略。防火墙规则引擎能够分别验证来自不同VPN客户端的要求。那个引擎能够成功地过滤和检查这些要求，同时动态地打开基于访咨询策略的连接。SecureNAT 客户ISA Server 2006通过承诺 SecureNAT 客户端访咨询Internet，而无端支持 VPN 客需在客户端系统上安装防火墙客户端，扩展了对VPN 客户端的支持。户端与 ISA您还能够通过在VPN SecureNAT 客户端上强制执行基于用户或者基于Server2006 VPN 组的防火墙策略，提升

9、企业网络的安全性。服务器的连接对在站点对站点ISA Server 2006引入了针对在站点对站点的VPN 通道中穿行的所有的 VPN 通道中 通信进行基于状态的过滤和检查。结果是，您能够操纵特定的托管服务穿行的通信进行 资源，或者是对链接方对端网络的访咨询。使用基于用户或者基于组的基于状态的过滤 的访咨询策略，能够获得针对跨过包含这些链接的资源使用的细化操和检查纵。特性描述VPN 隔离ISA Server 2006使用 Windows Server 2003 VPN隔离工具，深化了您的防火墙策略的VPN 客户端检查和集成。公布 VPN 服务ISA Server 2006的服务器公布规则能够用于

10、公布IP 协议和 PPTP 服器务器。 ISA Server 2006 的智能 PPTP 应用过滤器能够完成复杂的连接治理。另外，您还能够通过使用ISA Server 2006服务器公布功能，跨过 IPSec VPN服务器公布 Windows Server 2003 NAT-T L2TP 。IPSec 隧道模式ISA Server 2006使用 IPSec 隧道模式作为 VPN 协议，改进了对站点支持站点对站点对站点的链接。利用广泛的第三方解决方案，IPSec 隧道模式支持极大的 VPN 链接地增加了 ISA Server 2006的协同工作能力。治理特性易于使用的治理功能易于使用的向导设置数

11、据的导出和导入用于防火墙治理角色的托付许可向导集中的日志记录和报告防火墙策略的集中储备（设置储备服务器）企业策略自动化的阵列设置描述ISA Server 2006 包括的治理功能，使通过幸免误操作来改进网络的安全性变得更容易。包括在任务状态条，内容关联的关心状态条，以及起步向导中的用户接口功能。新的设置向导公布 Windows SharePoint Services ，Exchange ，以及通用的 Web 站点而保留。 一个新的分支机构 VPN 连接向导为设置站点对站点的 VPN 连接而保留。ISA Server 2006 提供了设置信息的导出和导入能力。您能够使用这项功能，将设置参数储存到

12、一个 .xml 文件中，然后能够将设置信息从文件中导入到另一台服务器中。治理托付向导有助于您为用户和组指派治理角色。这些事先定义的角色代表了针对特定的ISA Server 2006服务的治理操纵用户的级别。ISA Server 2006 企业版的日志和报告通信覆盖了企业阵列的所有成员。再也不必从每个防火墙收集日志信息，也不必对日志进行组织来创建唯独的报告信息。ISA Server 2006 企业版针对防火墙策略的储备使用活动名目应用模式(ADAM)。 ADAM储备能够使您将策略储备的容器放置在企业内部的任何地点，从而为防火墙策略的冗余和方便存取增强了灵活性和可用性。利用阵列级的策略和本地策略，

13、以适当的方式，通过设置企业级的安全策略，能够为您遍布不同地区的企业实现超跃安全标准的一致操纵。新的服务器能够动态地添加到您的企业中，同时利用简单的向导进行排队。为了获得设置和策略的详细信息，ISA Server能够自动读取ADAM的数据库。ISA Server2006一个全新设计的用于ISA Server 2006的 MOM 治理工具包，能够实现特性描述Microsoft企业级的事件监控和通用防火墙活动的合并。OperationsManager (MOM)治理软件包证书治理现在使每个 Web 受众利用多个证书，以及在每个阵列成员中使用不同的证书已成为可能。通过改进ISA Server 2006

14、，实现了对证书治理的简化，同时在公布Web 站点的时候，降低了使用证书的总拥有成本。广泛的 SDKISA Server 2006包括用于开发工具的广泛的SDK，这些 SDK 建立在ISA Server 2006防火墙、缓存和治理功能的基础之上。广泛的供应商支独立的供应商提供的产品，如病毒检测、治理工具、以及内容过滤和报持告，均以 ISA Server 2006为基础并与之相集成。基于硬件的 ISA现在能够以预装硬件的方式提供ISA Server 2006标准版和企业版。Server 应用设备企业范畴内策略对深层基础架构的改进能够提升效率。的传播监控和报告特性描述对日志记录的实利用 ISA Se

15、rver 2006，您能够实时查看防火墙、Web 代理、以及 SMTP时监控消息过滤日志。 ISA Server治理插件在防火墙将日志信息记录到日志文件的时候就能够显示这些日志。内置的日志查询您能够使用内置的日志查询工具查询日志文件。日志能够按照日志文件工具中记录的任何条目所包含的信息进行查询。您能够限制对特定时刻结构的查询范畴。查询结果能够显示在ISAServer治理插件中，同时能拷贝到剪贴板上，然后粘贴到另外的应用系统中用于详细的分析。防火墙会话的实利用 ISA Server 2006 ，您能查看防火墙的所有活动的连接。从一个会时监控和过滤话视图，您能够对单个会话或者一组会话进行分类和中断

16、操作。另外，您还能够在会话界面进行条目过滤，从而重点关注阻碍使用内置会话过滤工具的会话。连接验证器您能够通过从使用连接验证器的ISA Server 2006运算机，对特定的运算机或者 URL 进行有规律的连接监控，实现连通性的验证。您能够设置采纳何种方法来确定是否连通：Ping 、TCP 连接到特定的端口、或者是 HTTP GET。您能够提供指定的IP地址、运算机名、或者URL 来选择对哪个连接进行监控。定制 ISA针对在防火墙报告中增加的更多信息，ISA Server 2006 包含了一种增Server 2006 报强的报告定制功能。特性描述告报告公布您能够设置 ISA Server 200

17、6报告任务，实现将一份报告的拷贝自动储存到本地的文件夹或者网络文件共享。那个储存了报告的文件夹或者文件共享能够被映射到Web 站点的虚拟名目中，由此，其他的用户就即可查看这份报告。创建报告之后，您还能够手工公布报告，而不必进行自动公布设置。报告创建之后通您能够设置报告任务，以便在实现报告创建之后向您发送电子邮件消过电子邮件进行息。通知针对日志摘要的ISA Server 2006设计了在 00:30 ( 上午 12:30)创建日志摘要的功能。创建定制时刻报告以日志摘要所包含的信息为基础。当日志摘要由ISA Server 2006创建以后，您能够专门轻松地定制时刻。这为您在确定每天创建报告的时刻方

18、面提供了进行改进的灵活性。登录到 MSDE 数除了 .txt文件和 Microsoft SQL Server?数据库之外，现在还可将据库日志储备到 .mdb文件中。 记录到本地数据库提升了查询的速度和灵活性。增强的 SQL您能够将日志储存到位于内部网络上的另一台运行SQL Server 数据库Server 日志记的运算机上。 ISA Server 2006的 SQL Server日志记录功能差不多得录到了优化，能够提供更高的性能。多重网络特性描述多重网络设置您能够设置一个或者多个网络，每个网络都具有专门的与其它网络的关系。按照相应的网络进行访咨询策略的定义，同时不需要按照特定的内部网络进行定义

19、。 ISA Server 2006 扩展了应用于在任何网络或者网络对象之间进行通信的防火墙功能和安全功能。每个网络的唯独新的 ISA Server 2006多重网络功能，针对内部和外部的安全威逼，策略能够通过限制客户端之间的通信，即使这些客户端处于您的企业内部，使您更好地爱护网络。多重网络功能支持成熟的边缘网络，也确实是通常所讲的隔离区 (DMZ)，或者屏蔽子网的场景，有助于您设置客户端如何对边缘网络进行访咨询。网络之间的访咨询策略现在能够基于由每个网络所代表的唯独的安全区。路由与网络地址依据访咨询的类型和网络之间的通信要求，您能够使用ISA Server转换之间的关系2006 来定义网络之间

20、的路由关系。在某些情形下，您可能期望在网络之间进行更加安全、透亮度较低的通信。针对这种情形，您能够定义一个网络地址转换关系。在其他情形下， 您可能期望简化通过 ISA Server的路由通信。针对这种情形，您能够定义一个路由关系。将路由的网络上传输的通信包完全暴露给ISA Server 2006的状态过滤和检查机制。特性描述网络负载平稳网络负载平稳提供了实时的失败转移， 同时为通过 ISA Server 2006 企业版阵列的连接提供负载平稳。 实时的失败转移能够为企业阵列提供高可用性，同时负载平稳能够平均分配通过防火墙阵列服务器的连接，防止由防火墙的压力引起的网络速度降低。高级的防火墙爱护特

21、性描述多层防火墙ISA Server 2006提供了三种类型的防火墙功能：包过滤( 也称电路层 ) 、状态过滤和应用层过滤。应用层过滤ISA Server通过内置的应用过滤器提供了深入的内容过滤。基于每个规则的IISA Server2006 HTTP 策略承诺防火墙执行深层的HTTP 状态检查 ( 应HTTP 过滤用层过滤 ) 。检查的范畴被设置在一个按照规则的基础上。利用此能力，您能够为 HTTP 的对内和对外访咨询设置定制的约束。阻止对所有可执您能够设置 ISA Server 2006的 HTTP 策略，阻止所有试图对行内容的访咨询Microsoft Windows 操作系统可执行内容的连

22、接，而不必关怀资源中的文件使用何种扩展名。通过文件的扩展ISA Server2006 的 HTTP 策略能够使您基于文件的扩展名来定义策略，名操纵 HTTP 文包括“除特定扩展名组之外承诺所有文件”或者是“除特定扩展名组件的下载之外阻止所有文件。”HTTP 过滤被用利用 ISA Server 2006的 HTTP 策略，您能够针对所有的ISA Server于所有的 ISA2006 客客户端连接操纵HTTP 访咨询。Server 2006 客户端连接基于“ HTTP 签ISA Server 2006的深层 HTTP 检查能够关心您创建“ HTTP 签名”，名”操纵 HTTP实现对要求的 URL、

23、要求的报头、要求的主体、以及响应的主体进行对的访咨询比。那个功能使您能够对用户通过ISA Server 2006防火墙对内部和外部访咨询的内容进行精确的操纵。操纵经承诺的您能够采纳不同方法对用户访咨询进行设置，实现对被承诺通过防火墙HTTP 方法的 HTTP 方法进行操纵。例如，您能够限制HTTP POST 方法来防止用户使用 HTTP POST 方法向 Web 站点发送数据。广泛的协议支持ISA Server 2006能够使您操纵访咨询，以及对任何协议的使用，包括IP- 级的协议。用户能够使用诸如Ping 和 Tracert的应用系统，同时能够使用 PPTP 创建 VPN 连接。另外，通过I

24、SA Server能够实现IPSec 通信。对需要多重要紧专门多流媒体和语音或者视频应用系统需要防火墙对复杂的协议进行连接的复杂协议治理。 ISA Server 2006能够治理这些协议，同时您能够使用一个易于的支持使用的新协议向导来创建协议的定义。特性描述可自定义的协议利用 ISA Server 2006，您能够针对任何协议为您所创建的防火墙规则定义操纵源和目的地的端口数量。那个功能为ISA Server 2006防火墙治理员确定哪些包能够被承诺通过防火墙入站或者出站，提供了高级别的操纵。FTP 策略ISA Server 2006的 FTP 策略能够被设置为使用户实现通过FTP 进行上传和下

25、载，或者您能够限制用户的FTP 访咨询，只能进行下载。细化对 IP 选项利用 ISA Server 2006，您能够在细化的基础上设置IP选项，同时只的操纵承诺您要求的 IP选项，同时阻止其他的选项。防火墙的用户组您能够使用 ISA Server 2006创建自定义防火墙组，这些组由在本地帐户数据库差不多存在的或者活动名目服务域的组所组成。因为治理员能够通过这些现有的组创建自定义安全组，那个功能增加了您对基于用户或者组成员关系的访咨询进行操纵的灵活性。针对入站和出站访咨询操纵创建自定义安全组，删除了防火墙治理员必须是域治理员的需求限制。通过防火墙实现ISA Server 2006改进的 HTT

26、P 过滤器能够使用户通过易于设置的防火对基于 Web 的墙规则访咨询 Hotmail，而不必在客户端或者防火墙上进行专门的设Microsoft置。Hotmail? 电子邮件的访咨询网络对象利用 ISA Server 2006，在通过创建运算机、网络、网络设置、地址范畴、子网、运算机设置、以及域名设置来定义网络对象方面，极大地扩展了您的能力。 这些网络对象被用于针对防火墙规则定义源和目的地设置。防火墙规则向导ISA Server 2006包括一套新的规则向导，使创建访咨询策略变得更加容易。 ISA Server 2006的访咨询策略能够通过成熟的防火墙规则进行创建，那个规则能够使您创建任何被要求

27、的策略要素。创建网络对象时不需要离开规则向导。能够通过那个向导创建任意网络对象和网络关系。防火墙规则表现ISA Server 2006的防火墙规则表现为一个规则列表，那个列表中包含为一个规则列表的参数会第一与顶级规则进行比较。ISA Server 2006会向下移动规则的列表，直到找到与连接参数相匹配的规则，同时强制执行匹配规则的策略。 这种防火墙策略的使用方法使确定什么原因承诺或者拒绝特定的连接变得更加容易。基于用户或者基利用 ISA Server 2006增强的防火墙规则，您能够为用户或者组能够于组的访咨询策访咨询的每个协议定义源和目的地。关于入站和出站访咨询操纵，此特略性极大地增加了灵活

28、性。对 FTP 的支持ISA Server 2006使您能够访咨询 Internet FTP服务器，在交替的端特性描述口号上进行收听，而不需要在客户端或者是ISA Server 2006防火墙上进行专门的设置。在交替的端口号上公布FTP 服务器，除了需要一个简单的 FTP 服务器公布规则之外，不需要任何其它的设置。用于 FTP 服务使用 ISA Server 2006 ，您能够在端口号上接收连接，同时将那个要求器公布规则的端重新指向已公布服务器的另外一个不同的端口号。口重定向洪流回弹新的洪流回弹功能能够爱护ISA Server 2006，幸免在洪流攻击过程中连续地不可使用，降低性能或者不可治理

29、。增强的攻击过程通过日志扼杀、内存占用操纵、以及对可疑的DNS 查询的操纵，洪流中的补救能力回弹功能在攻击过程中提供了增强的补救。身份验证特性身份验证将防火墙客户端的证书传递到 Web 代理服务用于 Web 代理客户端身份验证的 RADIUS 支持差不多验证的授权描述通过使用 Windows 内建的、 LDAP、 RADIUS、或者 RSA SecurID 验证，实现对用户的身份验证。对前端和后端设置的分离，提供了更高的灵活性和细化程度。支持将单点登录用于对Web 站点的验证。能够对任何命名空间中的用户或者用户组应用规则。第三方供应商能够使用SDK来扩展这些内置的验证机制。ISA Server

30、 2006 承诺防火墙的客户端利用 HTTP 过滤器访咨询 Web 缓存，而不需要利用 Web 代理服务进行分别身份验证。利用 ISA Server 2006，通过使用RADIUS 查询活动名目，您能够在活动名目和其它验证数据库中对用户进行身份验证。Web 公布规则还能够使用 RADIUS 验证远程的访咨询连接。在连接被转发到已公布的Web 站点之前，通过要求ISA Server 2006防火墙对用户进行身份验证，能够爱护差不多公布的Web 站点，幸免未体会证的访咨询。那个功能防止了未体会证的用户试探，幸免了对已公布的 Web 服务器的接触。用于 Web 代理ISA Server 2006 能

31、够使用 SecurID的双重代理验证对远程连接进行客户端的身份验证。因为用户必须了解已公布的Web 服务器的某些信息并拥有SecurID 验证获得对服务器访咨询的某些信息，那个功能提供了更高级别的验证安全性。单点登录单点登录承诺用户访咨询一组差不多公布的Web 站点，而不必被要求为每个 Web 站点提供验证。基于窗体的验证基于窗体的验证现在能够用于所有差不多公布的Web 站点， 而不是仅仅用于 Outlook Web Access 。特性描述会话治理ISA Server 2006包含了改进的基于cookie的会话操纵，提供了更高的安全性。针对LDAP验LDAP 验证承诺ISA Server对活动名目进行验证而不必成为域的成员。证的支持服务器公布特性描述安全的 Web 公利用 ISA Server ，您能够将服务器放置在防火墙的后面，不论在是企布业网络上依旧在边缘网络上，并公布他们的服务。利用改进的爱护Web公布向导， 您能够创建一个规则， 使用户使用 SSL 对差不多公布的Web服务器进行远程访咨询。用于 Web 公布由于您能够将用户发送给