Windows域环境下部署ISA2006企业版99051456

1、Winddowss域环境境下部署署ISAA Seerveer 220066防火墙墙（一）安装和配配置ISSA SServver 20006服务务器及客客户端ISA Serrverr 20006可可以部署署在各种种规模的的网络中中，不同同的部署署方式可可以针对对不同规规模的企企业。为为其提供供一个安安全的解解决方案案。ISA Serrverr 20006主主要有三三大功能能：第一、将将其部署署成一台台专用防防火墙，作作为内部部用户接接入Innterrnett的安全全网关；第二、利利用ISSA SServver 20006，企企业内部部用户能能够向IInteerneet发布布服务器器；第三、IIS

2、A Serrverr 20006可可以像代代理防火火墙一样样，通过过服务器器的缓存存实现网网络的加加速。这三大功功能咱们们都会说说到。今今天先来来看一下下如何在在域环境境下部署署ISAA Seerveer 220066.ISA Serrverr 20006有有两个版版本，标标准版和和企业版版。咱们们今天用用的是企企业版，在在安装之之前先说说一些注注意事项项 如下下：1、硬件件配置是是否支持持（这个个问题在在这个年年代，应应该不是是个问题题，呵呵呵！）2、是否否已存在在ISAA Seerveer3、 是是否需要要缓存功功能4、是否否进行安安全服务务器的发发布5、wiindoows域域环境是是否已

3、搭搭建好6、ISSA SServver的的应用有有多大规规模为什么要要注意上上面所说说的几个个问题呢呢？主要要还是考考虑到性性价比的的问题。如果要要求不是是很高，完完全用不不着企业业版，标标准版足足亦！还还能节省省成本，毕毕竟这玩玩艺儿还还不是很很便宜。再说一下下ISAA Seerveer 220066的组件件，想有有效地部部署ISSA SServver 20006，必必须了解解 ISSA SServver 20006的各各个组件件及其功功能。IISA Serrverr 20006主主要由下下面的组组件构成成：1、阵列列阵列列是对一一组ISSA SServver 20006服务务器的统统一管理

4、理方式。并且它它们可以以共享同同样的配配置。2、配置置存储服服务器用于于存储企企业中全全部阵列列的配置置信息，是是ISAA中最重重要的部部分3、ISSA服务务器服务务运行行防火墙墙、VPPN和缓缓存服务务的ISSA服务务器4、ISSA服务务器管理理用于于管理企企业和阵阵列成员员的管理理终端本次以及及后面要要说的IISA Serrverr 20006部部分都会会依据下下面这幅幅拓扑图图。之所所以用这这幅图主主要是它它比较常常见，是是很多中中型企业业大概的的拓扑结结构。拓拓扑如下下：我们可以以看到：1、这是是一种三三向外围围的网络络形式2、wiindoows域域环境，域域名为：zppp.coom3

5、、公司司内部有有WebbSerrverr主机名名为m及MaailSServver主主机名为为m需要发发布,它它们处在在DMZZ区。4、ISSA SSERVVER上上有三块块网卡，a.LAN IP：/24；b.DMZ IP:；c.WAN IP：/8此次的部部署我们们就从安安装说起起， 安安装其实实很简单单，设置置比较少少。基本本都是NNEXTT就可以以了，但但还是需需要注意意一些问问题，下下面我截截取了几几幅需要要注意的的图。供供参考，wwinddowss不像LLinuux哪样样抽象，还还是比较较直观的的。现在在咱们开开始安装装吧！1、首先先确认wwinddowss域已经经搭建好好，我这这里已经

6、经搭好了了的，域域名为m,DNNS也OOK，如如拓扑上上一致。搭域的的步骤很很简单我我这就不不在多说说。如图图确认一一下：2、 确确认ISSA SServver 三块网网卡已经经连接好好，并配配置了正正确的TTCP/IP参参数。如如图：3、 打打开ISSA SServver 20006的安安装光盘盘，找到到“ISAAAuttoruun.eexe”文件，双双击启动动ISAA Seerveer 220066的安装装界面，如如下图：4、 单单击安装装ISAA seerveer 220066，再单单击下一一步。选选择我同同意后输输入用户户名、单单位名及及产品序序列号，单单击下一一步，如如图：5、下面面

7、这幅图图我解释释一下。它是让让我们选选择安装装方案，如如果域中中已经配配置了存存储服务务器，我我们就选选第一项项就可以以了；如如果还没没有就选选第三项项；要是是只想安安装配置置存储服服务器，选选择第二二项就可可以了；第四项项用于仅仅安装IISA服服务器管管理；现现在咱们们的网络络中还没没有配置置存储服服务器，所所以就选选第三项项。如图图：下面几步步很简单单我就以以笔带过过，不截截图了哈哈，免得得大家说说我没有有一点技技术含量量6、选择择所有安安装组件件，单击击下一步步7、选择择新ISSA服务务器企业业，单击击下一步步8、这时时会弹出出一个警警告，咱咱们不用用理会，直直接单击击下一步步即可。9、

8、设置置配置存存储服务务器所使使用的用用户帐号号，注意意此帐号号必须属属于Doomaiin AAdmiin组，咱咱们就用用admminiistrratoor吧！10、接接下来设设置企业业内部网网络，单单击添加加，然后后单击添添加适配配器，将将LANN网卡加加入即可可，下图图是我确确定之后后的画面面。11、此此时需要要清除“允许不不加密的的防火墙墙客户端端连接”，单击击下一步步。为什什么要清清除此项项呢？这这一项的的作用还还是为了了兼容像像98、me这这样的老老版操作作系统，我我想这样样的操作作系统也也只能在在博物馆馆里找到到了，呵呵呵！所所以咱们们用不着着这一项项。12、在在服务警警告页中中单击

9、下下一步，再再单击安安装，我我们就开开始安装装了哈！注意：核核心组件件装完后后，系统统还会自自动安装装附加组组建并进进行系统统初始化化。初始始化完毕毕后就好好了。装好之后后ISAA Seerveer 220066的配置置管理界界面就长长这样的的，如图图：就这样我我们的IISA Serrverr 20006服服务端就就装好了了。接下下来咱们们来看一一下客户户端的安安装，装装了客户户端后我我们才能能使用到到后面会会说到的的众多功功能。客客户端的的安装比比服务器器更简单单，步骤骤如下：1、打开开ISAA Seerveer 220066安装光光盘中的的Cliientt文件夹夹，双击击“settup.e

10、xee”文件，开开始安装装防火墙墙客户端端。如图图：2、单击击下一步步，选择择同意，单单击下一一步；选选择“我接受受许可协协议中的的条款”，确定定之后，单单击下一一步，选选择连接接到此IISA服服务器计计算机，输输入ISSA服务务器内网网卡的地地址。单单击下一一步，如如图：3、现在在单击安安装按钮钮，我们们就开始始安装IISA防防火墙。如图：安装完成成之后，确确认一下下计算任任务栏的的右侧出出现一个个小图标标。表示示防火墙墙客户端端启动。如图：好了！现现在我们们已经将将ISAA Seerveer 220066 服务务器端和和客户端端都配置置好了.我们现现在要做做的事就就是先来来熟悉一一下ISS

11、A 220066 管理理器的控控制台。先从管理理控制台台中的模模板说起起吧，IISA Serrverr 20006共共给我们们提供了了四种模模板分别别是：边边缘防火火墙、33向外围围网络、前端防防火墙、后端防防火墙和和单网卡卡适配器器。下面面我们来来具体看看看这几几种防火火墙模板板。了解解了这几几种模板板对我们们了解IISA Serrverr乃至安安全解决决方案都都是有帮帮助的。1、边缘缘防火墙墙边缘防火火墙配置置起来很很方便。下图就就是边缘缘放火墙墙的模板板，可以以看到防防火墙将将Intternnet与与内网连连接起来来了，形形成了一一个屏障障。有效效的避免免了来自自Intternnet的的

12、网络攻攻击行为为。另外外边缘也也是目前前winndowws安全全解决方方案中使使用最广广泛的之之一。大大多数企企业可以以考虑这这种方案案的部署署。说明：前前端防火火墙只需需要一台台ISAA Seerveer就可可以了，但但需要有有两块网网卡。一一块用来来连接内内网，一一块用来来连接IInteerneet。2、前端端防火墙墙下图就是是前端防防火墙的的典型应应用，利利用ISSA SServver连连接外部部网络的的网络拓拓扑，其其作为前前端防火火墙，内内部还有有一个防防火墙，配配置在后后端来保保护内部部网络。说明：前前端防火火墙至少少需要两两台ISSA SServver，且且每台都都要有两两块网卡

13、卡。一台台用来隔隔离内部部网络，另另一台用用来隔离离内网及及放置服服务器的的DMZZ区。3、后端端防火墙墙看到下图图，感觉觉和上面面差不多多，其实实不一样样。在前前端防火火墙的后后面，用用于连接接外围（DDMZ）网网络和内内部网络络的防火火墙配置置，用以以保护内内部网络络的为后后端防火火墙。说明：和和前端防防火墙一一样，后后端防火火墙的设设备要求求和拓扑扑结构是是一样的的。只是是前后角角色有些些不同而而已。4、单网网卡型适适配器说明：单单网卡型型适配器器就没什什么好说说的了，它它几乎是是被当成成了代理理服务器器在使用用。对安安全要求求不太高高的小型型企业如如果只有有访问IInteerneet的

14、需需求，可可以考虑虑部署这这种结构构。5、3向向外围网网络第五种就就是咱们们特别要要去说的的一种类类型，在在接下来来的配置置中都是是采用的的这种模模板，那那就是33向外围围网络。3向外外围也是是一个比比较热门门的部署署方案，从从下图中中我们可可以看到到，部署署这种方方案的投投资并不不是太大大。说明：这这种部署署方案在在ISAA Seerveer上需需要有三三块网卡卡，一块块用来连连接内部部网络，另另一块用用来连接接服务器器所在的的外围网网络，也也就是DDMZ区区，还有有一块当当然就是是用来连连接Innterrnett.好了，相相信现在在大家对对winndowws的安安全解决决方案产产品ISSA

15、 SServver 20006有了了一个大大概的了了解，由由于篇幅幅的限制制这次就就只能说说到这里里，在后后面将会会看到常常用防火火墙策略略的应用用，及各各种服务务器的发发布。Winddowss域环境境下部署署ISAA Seerveer 220066防火墙墙（二）本次接上上回，上上次咱们们在wiindoows域域环境中中部署了了ISAA Seerveer 220066,安全全性确实实提高了了，但也也有点“太高了了”，因为为现在用用户只能能在局域域网里活活动，连连最基本本的上网网服务都都无法使使用。 这次就就来解决决这个问问题，利利用ISSA防火火墙策略略及缓存存实现用用户安全全快速上上网。我我

16、们分两两部分来来说，第第一部分分先使用用防火墙墙策略，把把内网用用户上网网的问题题解决了了。第二二部分再再来优化化部署加加快访问问速度，提提高效率率。下面面是拓扑扑图：可以看到到基本上上还是上上次的图图，DMMZ区咱咱们先不不看。后后面说服服务器发发布时才才会说到到的。在在外网上上多了一一台weeb服务务器，主主机名为为：wwww.IIT.ccom IPP为611.1334.11.100/8，（注注意公网网DNSS我也做做到这上上面了）现现在我们们要做的的就是能能让内网网用户通通过域名名的方式式成功的的访问wweb主主机，并并通过配配置缓存存加快其其访问外外网的速速度。下面开使使实施：第一部分

17、分：配置置放火墙墙策略使使内网用用户能够够访问IInteerneet1、在IISA服服务器管管理的控控制台中中，选中中防火墙墙，现在在可以看看到是空空的，我我们将要要在这里里添加访访问策略略。如图图：、右击击防火墙墙策略，选选择新建建然后选选择访问问规则。如图：、在弹弹出的新新建访问问规则向向导中，键键入访问问规则的的名称。我们这这里因为为是给内内网用户户访问IInteerneet用的的，所以以我们键键入一个个名称“内网用用户到IInteerneet”来做一一个标识识。4、这里里选择允允许，就就是说我我们允许许符合这这个规则则的对象象去做什什么。如如果要拒拒绝某个个对象，比比如我们们不让财财务

18、部的的小财访访问Innterrnett。我们们就可建建一条拒拒绝的策策略。5、现在在是让我我们选择择协议。因为我我们只有有上网的的需求，所所以只须须选择DDNS、HTTTP、HHTTPPS就可可以了。如果要要收发邮邮件或使使用FTTP啊其其它什么么的，就就可以都都添加进进来就是是了。有有很多协协议可以以选。6、现在在让我们们选择访访问规则则源，也也就是说说从什么么地方来来的。我我们这里里就选择择内部。因为我我们现在在是一个个从内网网到外网网的访问问过程。7、刚才才是打哪哪儿来，现现在是到到哪儿去去，当然然是选择择外部喽喽！如图图：8、现在在是让我我们选择择这个规规则将会会应用到到哪些用用户集，

19、这这里可以以选择“所有通通过身份份验证的的用户”、“系统和和网络服服务”、“所有用用户”，咱这这里选择择所有用用户，因因为我们们目的是是让所有有内网用用户访问问Intternnet.9、好了了现在这这条策略略就设置置好了，应应用一下下点击确确定就可可以了。如图：现在我们们到客户户机上来来看看能能否访问问。我们们用这台台IP为为1922.1668.11.111/244的内网网用户测测试一下下。看到下图图，说明明策略生生效了，内内网用户户可以使使用域名名成功的的访问WWeb主主机。注意：我我这里用用了一台台Linnux服服务器模模拟weeb服务务器，并并且安装装了DNNS。为为了内网网用户能能够使

20、用用域名访访问Weeb主机机，还得得在内网网的DNNS服务务器（我我这是和和DC集集成到一一起的）上上做转发发器转到到外网的的DNSS上。现在上网网的问题题解决了了，可能能过不了了多久就就会有员员工像你你抱怨。上网速速度太慢慢了，能能否加快快一点。这时我我们可以以通过启启用ISSA SServver的的缓存功功能来实实现这个个需求。第二部分分：加快快内网用用户访问问Intternnet的的速度1、在“ISAA服务器器管理”的控制制台树中中，单击击“缓存”。然后后在详细细信息窗窗格中，选选择“缓存驱驱动器”选项卡卡，位置置如图所所示：2、然后后在缓存存驱动器器选项卡卡里选择择要设置置的驱动动器，

21、咱咱这里CC盘是系系统，那那就用DD盘吧，把缓存大大小设置置为20000MMB，单单击设置置，再确确定就好好了。注意：缓缓存的大大小要根根据实际际情况来来设置3、现在在可能会会弹出一一个警告告对话框框，我们们选择第第二项“保存更更改，并并重新启启动服务务”。点击击确定之之后，应应用策略略。4、现在在到缓存存规则选选项卡中中，点击击任务栏栏中的“配置缓缓存设置置”。如图图：5、选择择高级选选项卡中中的“在内存存中缓存存的URRL的最最大大小小（字节节）”的文本本框，设设置信息息如图所所示，还还是比较较好理解解的，就就不啰嗦嗦了设置完毕毕后我们们到D盘盘下，会会看到系系统自动动生成了了一个用用于存

22、放放缓存内内容的数数据库文文件（注注意这个个文件是是无法打打开的）。好了，经经过这样样一设置置之后。内网用用户访问问Intternnet时时速度会会因为缓缓存而大大大提高高。内网网用户会会访问到到实时的的信息，因因为缓存存是动态态更新的的。本次就说说到这里里吧！希希望大家家能活学学活用，IISA Serrverr策略非非常的多多，而且且运用起起来千变变万化，但但原理都都是一样样。只要要始终记记得从哪哪里来，到到哪里去去，使用用什么协协议、端端口是拒拒绝还是是允许就就觉得很很简单了了。下次将会会看到利利用ISSA SServver 20006发布布DMZZ区中的的Webb服务器器及邮件件服务器器

23、。Winddowss域环境境下部署署ISAA Seerveer 220066防火墙墙（三）利用ISSA SServver220066发布DDMZ区区服务器器上次咱们们通过设设置防火火墙策略略使内网网用户可可以上网网了，并并且通过过配置缓缓存加快快了访问问Intternnet的的速度。今天我我们的任任务就是是把外围围区域（DDMZ）的的服务器器发布出出去。我我重点会会去说wweb服服务器的的发布。其它的的服务比比如：mmaill、FTTP、DDNS都都是一样样的，大大家掌握握一种方方法其它它的就都都学会了了。拓扑图在在下面，前前面两次次虽然也也是这幅幅图，但但我们一一直没有有说到的的一个地地方，

24、就就是DMMZ区域域，在IISA Serrverr中它又又叫外围围区域。接下来来我们就就要把这这个区域域中的服服务器发发布到外外部供IInteerneet上的的朋友们们访问。为什么么不让他他们直接接访问而而要通过过发布的的方式呢呢？因为为如果没没有防火火墙的保保护，直直接暴露露在外网网的话，估估计不到到两分种种就歇菜菜了。什什么病毒毒啊，黑黑客啊全全来了。所以我我们要把把它们发发布出去去，这样样Intternnet上上的用户户访问外外网接口口，就等等于访问问了DMMZ区域域中的服服务器。我想大大家在路路由器上上都应该该做过NNAT，NNAT有有个技术术叫PAAT，它它也可以以用来发发布服务务器

25、，通通过端口口来定位位服务。咱这和和那个道道理是一一样的。我们还还要把这这些服务务器发布布到内网网而不不是让他他们直接接访问，为为什么呢呢？“家贼难难防”！，就就不用解解释了。来看看看具体的的步骤首先还是是分析一一下拓扑扑。为了了大家看看起来方方便我把把大概的的的信息息罗列到到下面：1、DMMZ区域域中有两两台服务务器，分分别是：1.wweb服服务器 主机名名：m IIP:120/116 GW:172.mmaill服务器器 主机机名：mmaill.zppp.ccom IPP:1700/166 GGW:112、ISSA SServver

26、的的三块网网卡IPP分别为为：1.内内网卡LLAN IPP：1992.1168.1.11/2442外围围网卡DDMZ IPP：17/163外网网卡 WWAN IPP:611.1334.11.4/8主要的TTCP/IP参参数就是是上面罗罗列的那那些，其其他没说说到的咱咱们边做做边说。第一部分分：创建建并配置置DMZZ区域前面一直直是这个个图，但但其实DDMZ区区我们并并没有去去用到它它，所以以这之前前我们一一直是一一种边缘缘防火墙墙的部署署方式。这次们们就来开开辟这块块非军事事化区（DDMZ）。使之成成为三向向外围部部署方式式。1、打开开“ISAA服务管管理器”，展开开“配置”，选择择“网络”，

27、在右右边的模模板栏里里选择33向外围围网络，就就会出现现下图的的界面。如图：2、连续续单击两两个下一一步，就就到了指指定内网网卡的地地方，点点击添加加适配器器，加入入内网卡卡（LAAN）确确定就是是如下的的界面。（注意意可别添添错了啊啊）3、还是是一样，这这里就是是添加外外围网卡卡（DMMZ），单单击添加加适配器器，把DDMZ网网卡添进进来就可可以了。4、这里里是选择择防火墙墙策略，有有一大堆堆，咱们们就选第第一个“阻止所所有访问问”，为什什么呢？等一下下要用什什么就开开什么。要知道道这里只只是一个个向导界界面，真真正的策策略是我我们一条条一条添添加进去去的。5、好了了，确认认一下设设置的内内

28、部和外外围等信信息，看看看有没没有什么么问题，没没有的话话就可以以单击完完成了。也许您您会问，为为什么没没有让选选择外部部网卡？您想，总总共三块块网卡。定义了了内部和和外围之之后剩下下的当然然是外部部喽！6、到这这个界面面时，我我们点击击应用之之后确定定即可。至此，咱咱们的网网络环境境就从原原来的边边缘网络络，变成成了三向向外围的的网络。第二部分分：发布布webb服务器器在各类服服务器的的发布中中，weeb服务务器的发发布是最最多的。其步骤骤也相对对较多一一些，掌掌握了wweb服服务的发发布，其其它的就就简单的的多了。这次重重点以发发布weeb服务务器为主主。下面面是步骤骤：1、在IISA管管

29、理控制制台里，点点击一下下防火墙墙策略，再再点击任任务栏中中的发布布网站，如如图，咱咱们将会会在这个个界面下下做设置置。2、在弹弹出的wweb发发布规则则向导界界面中，我我们给它它取个名名子叫“webb服务发发布规则则”，这样样做个标标识，别别人一看看就知道道是干什什么用的的。如图图：3、在“请选择择规则条条件”选项卡卡中选择择“允许”。记住住，ISSA里面面的规则则操作除除了允许许就是拒拒绝。4、这里里选择第第一项“发布单单个网站站或负载载平衡器器”，因为为咱们只只有一个个webb站点要要发布嘛嘛。如果果做了主主机头，要要发布多多个网站站可发选选择第三三项“发布多多个网站站”。单击击下一步步

30、，如图图：5、在服服务器连连接安全全这里我我们选择择第二项项，第一一项是要要求使用用SSLL的，一一些要求求安全性性较高的的网站比比如：淘淘宝啊、银行啊啊等网站站，要用用htttps访访问的就就可以选选择此项项，当然然得有PPKI支支持才行行，有时时间的话话我会写写一篇带带SSLL的网站站发布。咱们不不用选择择第一项项，第二二项就可可以了。大多数数网站都都没有使使用SSSL。因因为访问问起来会会变得麻麻烦，而而且很慢慢，更重重要的是是得有一一套PKKI支持持才行。6、现在在到了配配置内部部发布详详细信息息这里，把把站点名名wwww.zppp.ccom写写到内部部站点名名称这里里，然后后勾选“使

31、用计计算机名名称或IIP地址址连接到到发布的的服务器器”，并且且别忘了了把IPP写上去去，如图图：7、上面面步骤完完了之后后下一步步就到这这里了，这这是在问问我们要要发布哪哪些内容容，咱们们全部都都发布所所以用个个“/*”代替就就可以了了。8、此处处设置的的是公共共名称细细节，在在接收请请求这里里选择“任何域域名”。下面面的路径径保持默默认即可可。如果果有其它它的可以以单独指指定。9、现在在选择WWeb侦侦听器，因因为没有有所以就就选择新新建，来来创建一一个。（侦侦听器用用来指定定ISAA服务器器侦听传传入Weeb请求求的IPP和端口口）10、下下面是新新建weeb侦听听器的向向导界面面，还是

32、是一样先先取个名名子，做做个标识识。11、这这里和刚刚才上面面设置的的时候意意思是一一样的，还还是选择择第二项项“不需要要与客户户端建立立SSLL安全连连接”，如图图：12、这这一步就就比较关关键了，它它让我们们选择wweb侦侦听器的的IP地地址。如如果只选选择外部部，就只只能把服服务器发发布到外外部，咱咱这儿是是要把服服务器从从DMZZ发到内内网和IInteerneet所以以就勾两两项。如如图：13、身身份验证证这里选选择“没有身身份验证证”即可。这个一一般用的的不多。当然为为了安全全性更高高也可以以设置带带身份验验证的。14、好好了，现现在把wweb侦侦听器的的配置在在检查一一下，就就可以

33、点点击完成成了。15、有有了weeb侦听听器，我我们继续续发布服服务器，注注意应在在次确认认一下侦侦听器的的属性。看看有有无错误误，没有有就可以以单击下下一步了了，如图图：16、在在身份验验证委派派这里选选择“无委派派，客户户端无法法直接进进行身份份验证”。17、用用户集这这里选择择所有用用户即可可，因为为咱们是是让所有有人访问问，如果果有特殊殊要求，可可根据实实际情况况去设置置。18、OOK，现现在策略略设置好好了，点点击应用用之后确确定，就就可以测测试结果果了。第三部分分：测试试内网用用户和外外网用户户访问DDMZ区区域的wweb服服务器在测试之之前先确确保缓存存开着没没有，虽虽然并不不是

34、必要要的，但但这样会会提高访访问速度度。何乐乐而不为为呢！下下图显示示缓存是是开着的的。现在内网网的员工工只能通通过内网网接口（LLAN）来来访问WWeb站站点。然然后再通通过ISSA SServver转转到真正正的weeb服务务器1700上。所所以我们们要在内内网中添添加一个个DNSS主机记记录，FFQDNN为m IPP为1992.1168.1.11。如图图：在IE中中输入主主机名wwww.zppp.coom.可可以看到到我们能能够正常常的访问问webb站点。（注意意我这里里开了一一台Liinuxx并启动动了htttpdd来模拟拟DMZZ区域中中的weeb服务务器）如如图：Pingg一下域域

35、名m可以看看到piing的的其实是是IP为为1922.1668.11.1的的内网卡卡（LAAN）。以此说说明，DDMZ区区中的wweb服服务器发发布到内内部网络络中成功功现在到外外网客户户机上来来测试一一下，（注注意：外外网客户户机的DDNS我我用的是是hossts文文件的方方式，当当然真实实环境下下，肯定定是要在在公网DDNS服服务器上上注册的的）。下下图是用用外网客客户机ppingg出的结结果，如如图，可可以看到到pinng wwww.zpppp.ccom其其实实在在pinng外网网口的地地址。现在通过过这个域域名访问问，可以以看到可可以成功功访问。说明DDMZ区区域中的的webb发布到到

36、外网成成功。Winddowss域环境境下部署署ISAA Seerveer 220066防火墙墙（四）构建基于于ISAA Seerveer 220066的远程程接入VVPN服服务器接上回，本本次将会会说到在在ISAA Seerveer 220066上配置置远程接接入VPPN服务务。以此此来解决决公司员员工出差差之后访访问公司司内部的的问题。配置了了远程接接入VPPN服务务后，出出差的员员工不管管走到哪哪里，只只要能上上网都能能够通过过拨号的的方式连连接到公公司内部部网络。远程接入入VPNN服务可可以配置置在wiindoows系系统上。之前我我写过一一篇文章章winndowws下NNAT妙妙用（

37、HYPERLINK /730423/238512 hhttpp:/zppp20009.bblogg.511ctoo.coom/77304423/23885122），就就是把VVPN服服务做在在winndowws系统统上的，既既使用NNAT把把它放到到了内网网但还是是感觉不不太安全全，因为为winndowws系统统本身应应对一些些安全问问题还是是比较吃吃力的。这一次次就弥补补了这个个问题，我我们把IISA Serrverr 20006装装在wiindoows系系统上，使使这台服服务器变变得强大大。然后后再在IISA Serrverr 20006上上构建远远程接入入VPNN服务。这样的的话，安安全

38、性就就大大提提高了。下面我我们来看看看具体体的实施施方法。拓扑在如如下：虽然这幅幅图大家家已经见见到好几几次了，但但每次都都是有些些区别的的。比如如这次就就增加了了出差的的员工，这这在企业业里是不不得不考考虑的问问题 。公司作作为wiindoows域域环境，各各员之间间，员工工与公司司之间的的关系都都是非常常紧密的的。现在在我们就就开始边边做边说说第一部分分：设置置VPNN策略1、打开开DC，在在上面创创建一个个组，名名子就叫叫vpnn-grroupp吧，然然后再创创建一个个测试用用的帐户户zppp0011,并把把他加入入vpnn-grroupp。这样样做的目目的就是是为了便便于稍后后配置时时

39、定义哪哪些个组组的用户户可以拨拨入，总总的来说说还是为为了提高高安全性性。我这这是域环环境所以以创建的的是域用用户及组组。并且且我是在在DC上上添加的的，要是是是工作作组环境境下，就就要在IISA Serrverr上添加加本地的的用户和和组，大大家千万万别搞错错了。如如图：2、只有有上面还还不够在在用户属属性拨入入选项卡卡上还得得选择“允许访访问”，如图图，只有有这样用用户才可可以拨进进来的。3、现在在我们就就到ISSA SServver上上来设置置吧,先先展开阵阵列，然然后单击击“虚拟专专用网络络VPNN”就显示示了如下下图所示示的界面面，如图图，可以以看到配配置VPPN客户户端的几几个步骤

40、骤。4、点击击图中第第一步上上的“配置地地址分配配方法”，就会会弹出让让我们给给VPNN客户端端分配IIP地址址的界面面。如图图，咱们们可以通通过动态态地址配配置协议议（DHHCP）给给VPNN客户端端分配置置IP地地址，也也可以通通过分配配静态地地址的方方法来分分配。注意：这这里的地地址随便便配都可可以只要要不提示示出错，我我这里就就配成1192.1688.1000.11-300。不要要给的太太多，有有几人出出差就给给几个是是最好的的，免得得被黑客客大哥们们利用了了。5、现在在到第二二步里面面点击“指定wwinddowss用户”，在弹弹出的组组对话框框中添加加，刚刚刚创建的的vpnn-grr

41、oupp组，如如图，添添完之后后点击确确定即可可。（现现在明白白刚刚为为什么要要创建用用户和组组了吧！）6、现在在该第三三步了吧吧，如图图,点击击“验证VVPN属属性”，在弹弹出的对对话框中中选中“启用PPPTPP”。然后后确定即即可。7、现在在单击第第三步中中的“远程访访问配置置”，在弹弹出的对对话框中中勾选外外部，如如图。这一步是是干什么么的呢？它的作作用就是是让VPPN客户户端通过过VPNN服务器器的这个个外部网网络连接接拨上来来。8、好了了，现在在VPNN策略已已经设置置好了，只只需点击击应用确确定，就就可以了了。如图图：大家可能能会在想想，那第第四步和和第五步步为什么么不做啊啊？因为

42、为第四步步和第五五步都是是查看，不不是必要要的动作作。不过过还没完完，刚刚刚设置的的是VPPN的策策略，接接下来还还要设置置防火墙墙策略。第二部分分：设置置防火墙墙策略1、展开开阵列，右右击防火火墙策略略，选择择新建，再再选择访访问规则则。如图图所示：2、现在在弹出了了新建访访问规则则向导，咱咱们给规规则命个个名，就就叫VPPN吧。如图：3、这里里选择“允许”，就不不用解释释了吧，咱咱们前面面已经看看到很多多这个界界面了啊啊。4、在协协议选项项卡里选选择“所有出出站通讯讯”。单击击下一步步，注意意，如果果不这样样选择的的话即使使用户拨拨上来，也也做不了了什么。5、访问问规则源源选择这这里选择择

43、“VPNN客户端端”。这里里就是让让咱们指指定从哪哪儿来的的对象。6、目标标选择“内部”，因为为咱们是是让VPPN客户户端通过过拨号的的方式拨拨入到内内部网络络。7、用户户集这里里选择所所有用户户。当然然为了更更高的安安全性，还还可以根根据实际际情况缩缩小小用用户集的的范围。选择之之后点击击下一步步即可。8、策略略设置顶顶好了，现现在确认认一下有有无错误误，如果果没的话话，就可可以点击击“完成”。如图图：9、现在在点击“应用”，可以以看到在在“防火墙墙规则”中多了了一条名名称为“VPNN”的策略略规则。至此，我我们就完完成了IISA Serrverr上远程程接入服服务的配配置，接接下来就就是配置置客户端端及测试试。第三部分分：配置置客户端端及测试试1、现在在来到外外网客户户机这里里，它的的IP是是61.1344.1.10/8和拓拓扑一致致，在网网络连接接属性