ISA防火墙实施文档

武汉生意网()——生意人的第一站武汉生意网()——生意人的第一站1某公司ISA项目实施文档：武汉生意网出品武汉生意网()——生意人的第一站武汉生意网()——生意人的第一站2目录1.ISAServer2004的基本功能描述.......................31.1.ISAServer2004引入了多网络解决方案：...............................................................31.2.增强的虚拟专用网络...................................................................................................31.3.更方便的管理...............................................................................................................41.3.1.全新的管理界面...............................................................................................41.3.2.策略模板支持...................................................................................................51.3.3.配置的导出和导入...........................................................................................61.3.4.其他管理增强...................................................................................................61.4.强大的应用层过滤.......................................................................................................91.4.1.基于每个策略的HTTP过滤...........................................................................91.4.2.阻止对所有可执行文件的访问.......................................................................91.4.3.扩展名决定是否可以下载.............................................................................101.4.4.“HTTP签名”控制HTTP访问......................................................................111.4.5.FTP策略.........................................................................................................122.系统及网络需求..................................................132.1.要使用ISA服务器，配置需要：...........................................................................132.2.安装ISAServer2004.................................................................................................142.3.ISA客户端的配置：.................................................................................................202.3.1.WebProxyclient的配置................................................................................212.3.2.SNAT客户端配置..........................................................................................222.3.3.Firewallclient..................................................................................................233.ISA基本功能......................................................263.1.访问控制功能.............................................................................................................263.2.后端防火墙的架设.....................................................................................................303.3.ISAServer2004的Web缓存功能............................................................................333.3.1.为内部用户的Internet请求创建缓存规则...................................................353.3.2.设置内容下载任务。.....................................................................................374.备份与还原..........................................................384.1.备份防火墙策略.........................................................................................................384.2.导入防火墙策略.........................................................................................................404.3.备份整个ISA服务器的配置....................................................................................414.4.还原整个ISA服务器的配置....................................................................................41武汉生意网()——生意人的第一站武汉生意网()——生意人的第一站31.ISAServer2004的基本功能描述1.1.ISAServer2004引入了多网络解决方案：网络：从ISAServer2004服务器的角度看，网络是可以包含一个或多个IP地址范围或域的元素。网络包含一台或多台计算机，并且始终对应于ISAServer2004服务器上的特定网络适配器。您可以对一个或多个网络应用规则。网络对象：创建网络后，可以将其组织成网络对象集（子网、地址范围、计算机集、URL集或域名集）。规则可以应用于网络或网络对象。网络规则：可以配置网络规则，以定义并描述网络拓扑。网络规则确定了两个网络之间是否存在连接关系，以及将使用哪一种连接。可以通过下列方式之一连接网络：网络地址转换(NAT)或路由（Route）。使用ISAServer2004服务器的多网络功能可以限制客户端（甚至你自己组织内部的客户端）之间的通讯，从而防止网络受到内部和外来的安全威胁。可以通过在ISAServer2004服务器中定义各个网络之间的关系，从而确定各个网络中的计算机如何通过ISAServer2004服务器相互进行通信。还可以将计算机组织成ISAServer2004服务器网络对象（如计算机集和地址范围），并针对各个网络对象配置相应的访问策略。1.2.增强的虚拟专用网络ISAServer2004服务器改进后的VPN管理功能可以帮助您轻松的设置虚拟专用网络(VPN)，并且由于支持产业标准Internet协议安全(IPSec)，所以ISAServer2004可以加入到其他供应商提供的已有VPN基础结构的环境中，其中包括那些对站点到站点连接采用IPSec隧道模式配置的环境。武汉生意网()——生意人的第一站武汉生意网()——生意人的第一站4图示：ISAServer2004中全面增强了VPN功能在ISAServer2004中，有两种类型的VPN连接：I.远程访问VPN连接：客户端建立远程访问VPN连接，以连接到专用网络。ISAServer2004服务器作为VPN接入服务器，远程客户通过连接它来进入内部网络。II.站点到站点的VPN连接：两个VPN服务器之间建立站点到站点的VPN连接，将专用网络的两个部分安全地连接起来。将ISAServer2004服务器作为VPN服务器的好处是可以防止公司网络受到恶意VPN连接的威胁。通过新增的多网络支持和对VPN监控状态的检查，ISAServer2004能很好的保证VPN的安全。同时VPN服务器集成到了防火墙功能中，所以为预配置的VPN客户端网络定义的ISAServer2004服务器访问策略都适用于VPN用户。所有VPN客户端都属于VPN客户端网络，并且受到防火墙策略的限制。ISAServer2004服务器中新增的隔离模式，可以确保在允许客户端加入VPN客户端网络（通常具有不受限制的内部网络访问权限）之前，先检查其是否符合公司的软件策略。通过使用隔离控制，可以在真正地允许远程(VPN)客户端访问网络之前，将其限定为隔离模式，从而为其提供了阶段性的网络访问权限。在客户端计算机配置被调整或被断定为符合组织的特定隔离限制后，会依照您指定的隔离类型对连接应用标准的VPN策略。例如，隔离限制可能规定在连接到您的网络时应安装并启用特定的防病毒软件。尽管隔离控制并不防范攻击者，但是已授权的用户在访问网络前，其计算机配置可以得到验证，如有必要，也可以得到更正。还可以使用计时器设置来指定在客户端不满足配置要求的情况下经过多长时间即断开其连接。可以为每个VPN客户端网络创建两个不同的策略：I.被隔离的VPN客户端网络。将访问限制在某些服务器的范围内，客户端可以从这些服务器下载必要的更新以便达到软件策略的要求。II.VPN客户端网络。可以允许