Страница приветствия ISA Server 2006

рисунок заголовка
Microsoft® Internet Security and Acceleration (ISA) Server представляет собой усовершенствованный программный пакет с отслеживанием состояния соединений и решение с проверкой на уровне приложений для межсетевого экрана, виртуальной частной сети (VPN) и веб-кэширования, позволяющий повысить эффективность инвестиций в информационное обеспечение предприятия путем повышения безопасности и производительности сетей.
фирменный маркер О справке
Данная документация предназначена для помощи при выполнении повседневных задач администрирования сервера ISA Server. Каждый раздел содержит краткое описание определенных функций и инструкции по настройке этих функций.
фирменный маркер Приступая к работе
Краткое описание функций сервера ISA Server можно найти в разделе Приступая к работе.
фирменный маркер Настройка сервера ISA Server
Создание политик доступа и правил для сетей, обслуживаемых сервером ISA Server.
  • Администрирование
  • Наблюдение
  • Сеть
  • Политика межсетевого экрана
  • Настройка клиентов
  • Виртуальные частные сети
  • Кэширование
  • Надстройки
  • Настройка общих параметров
фирменный маркер Веб-узел с рекомендациями для ISA Server
Веб-узел с рекомендациями для ISA Server является основным источником подробных технических сведений о сервере ISA Server. Периодически в библиотеку добавляются новые документы. Тем самым обеспечивается доступность последней технической информации о сервере ISA Server.

Справка ISA Server может обновляться после выпуска программного обеспечения ISA Server.

Чтобы загрузить и установить обновления справки и получить дополненное и обновленное содержимое, обратитесь на веб-узел с рекомендациями для ISA Server
фирменный маркер Сообщество ISA Server
Сообщество ISA Server (ISA Server Community) — это место встречи как для новичков, так и опытных пользователей, где можно поделиться идеями, получить ответы на вопросы, прочитать статьи с рекомендациями специалистов и многое другое. Присоединяйтесь к дискуссиям по проблемам, возникающим при эксплуатации сервера, и по их решениям на веб-странице ISA Server Community.
фирменный маркер Ресурсы по устранению неполадок сервера ISA Server
Список ресурсов по устранению неполадок сервера ISA Server можно найти в разделе Устранение неполадок.


Приступая к работе

Microsoft® ISA Server 2006 - это расширяемый корпоративный межсетевой экран и сервер веб-кэша, основанный на безопасности, управлении, контроле доступа к каталогам, ускорения и управления межсетевым взаимодействием на основе политик операционной системы Microsoft Windows Server™ 2003.

Интернет дает организациям возможность связи с клиентами, партнерами и сотрудниками. Несмотря на возможности, он также представляет риск и снижение безопасности, производительности и управляемости. ISA Server разработан для удовлетворения нужд современных предприятий, использующих Интернет. ISA Server предоставляет многоуровневый корпоративный межсетевой экран, который помогает защитить сетевые ресурсы от вирусов, хакеров и несанкционированного доступа. Веб-кэш ISA Server 2006 позволяет организациям снизить использование пропускной способности сети и предоставляет более быстрый веб-доступ пользователям, выдавая объекты локально, а не через перегруженный Интернет.

Несмотря на то, развернут ли он как выделенный компонент или как встроенный межсетевой экран и сервер кэширования, ISA Server предоставляет унифицированную консоль управления, которая упрощает управление безопасностью и доступом. Разработанный как для платформы Windows Server 2003, так и для платформы Windows® 2000 Server, ISA Server предоставляет безопасную и быструю связь через Интернет при помощи эффективных встроенных средств управления.

Данный раздел содержит общие сведения о продукте ISA Server.

  • Новые возможности ISA Server 2006
  • Программа по улучшению качества программного обеспечения

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.
Отправить замечания или отзыв об этой странице Отправить замечания или отзыв об этой странице.


Что нового в ISA Server 2006

Microsoft® ISA Server 2006 использует функциональность ISA Server 2004 для обеспечения и оптимизации безопасной веб-публикации, включая публикацию Microsoft Windows® SharePoint® Services, публикацию веб-клиентов Outlook® (Microsoft), публикацию нескольких веб-узлов и публикацию ферм веб-серверов. ISA Server 2006 предоставляет большее разнообразие методов проверки подлинности, улучшенное управление цифровыми сертификатами и новые функции по предотвращению Flood-атак. ISA Server 2006 также включает улучшения, такие как сжатие HTTP, которое обеспечивает эффективную, более легко настраиваемую связь между удаленными офисами.

Новые функции ISA Server 2006 кратко описаны в данном разделе, а полную информацию можно найти в документе, посвященном новым возможностям ISA Server 2006, на веб-узле с рекомендациями для ISA Server. (http://www.microsoft.com/)

Безопасные веб-публикации и единый вход

ISA Server 2006 сосредотачивается на безопасной веб-публикации, делая внутренние веб-ресурсы доступными через Интернет безопасно и эффективно. ISA Server 2006 поддерживает больше методов проверки подлинности, механизмов проверки и параметров делегирования. Новые мастеры упрощают публикацию веб-клиента Outlook, SharePoint Portal Server и публикацию нескольких веб-узлов. ISA Server также поддерживает балансировку нагрузки между серверами фермы веб-серверов. Улучшенные возможности преобразования ссылок обеспечивают работоспособность веб-ссылок для внешних клиентов.

Новая функция единого входа позволяет пользователям безопасно перемещаться от одного приложения к другому, не требуя повторной проверки подлинности. Например, с помощью ISA Server 2006 прошедший проверку пользователь может безопасно и просто перемещаться от веб-клиента Outlook к веб-узлу SharePoint, щелкая ссылку в сообщении электронной почты, без необходимости в повторной проверке подлинности.

Поддержка удаленных офисов

ISA Server 2006 также поддерживает взаимодействие с удаленными офисами, обеспечивая простое безопасное подключение удаленных офисов через виртуальную частную сеть (VPN) и более эффективную связь по протоколу HTTP между филиалом и головным офисом.

Переход с ISA Server 2004 на ISA Server 2006

Для получения дополнительных сведений о переходе с ISA Server 2004 на ISA Server 2006 см. документ Переход на ISA Server 2006 на веб-узле с рекомендациями для ISA Server. (http://www.microsoft.com/)

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Программа улучшения качества программного обеспечения

Программа улучшения качества программного обеспечения поставляется с Microsoft® ISA Server 2006, чтобы разрешить корпорации Майкрософт собирать данные об использовании ISA Server. Это помогает корпорации Майкрософт понимать, как развертывается ISA Server и какие функции используются.

По умолчанию Программа по улучшению качества программного обеспечения для ISA Server отключена.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Администрирование

В данном разделе приведен краткий обзор администрирования Microsoft® ISA Server 2006 и инструкции по выполнению административных задач.

  • Администрирование: принципы
  • Администрирование: инструкции

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Администрирование: принципы

Администрирование Microsoft ISA Server 2006 производится через диспетчер ISA Server. Диспетчер ISA Server представляет собой консоль оснастки в консоли управления (MMC). Она состоит из трех основных областей: дерево консоли (также называемое деревом MMC), область сведений (также называемая областью результатов в MMC) и панель задач (также называемая областью действий в MMC).

Диспетчер ISA Server включает специальные возможности для пользователей с физическими нарушениями. Для получения дополнительных сведений см. Использование диспетчера ISA Server.

Примечание

  • Для наилучшего отображения диспетчера ISA Server рекомендуется установить разрешение экрана 800x600 или выше.

Дерево консоли, область сведений и панель задач

На рисунке изображена консоль оснастки диспетчера ISA Server.

Консоль оснастки ISA Server

Дерево консоли (отмеченное на рисунке цифрой 1) отображает доступные в диспетчере ISA Server узлы. Область сведений (отмечена на рисунке цифрой 2) - это большая область между деревом консоли и областью задач. Область сведений отображает информацию и функции, относящиеся к выделенному элементу дерева. При щелчке разных элементов дерева информация в области сведений меняется. Область сведений может отображать различные типы сведений, включая веб-страницы, графику, диаграммы, таблицы и столбцы.

Правая область содержит панель задач (помечена на рисунке цифрой 3). Панель задач может иметь вкладки Задачи и Справка. В узлах Политики предприятия (для ISA Server 2006 Enterprise Edition) и Политика межсетевого экрана на панели задач также имеется вкладка Инструментарий. В узле Сети на панели задач также имеется вкладка Шаблоны.

Можно закрыть панель задач. Нажмите кнопку Открыть / Закрыть панель задач на разделителе (помечен на рисунке цифрой 4). (Кнопка выглядит как длинный прямоугольник с указывающей вправо стрелкой.) Чтобы заново открыть панель задач, нажмите кнопку Открыть / Закрыть панель задач еще раз. (Кнопка выглядит как длинный прямоугольник с указывающей влево стрелкой.) Обратите внимание, что при закрытой панели задач можно видеть больше содержимого в области сведений, но некоторые действия доступны только на панели задач. Более того, когда панель задач закрыта, вкладка Справка, которая предоставляет сведения о том, как выполнять большинство действий при помощи панели задач, недоступна.

Каждый узел дерева имеет собственные меню и панель инструментов, отличающиеся от главного окна, которые помогают выполнять действия.

Выбор правил

Чтобы выбрать смежные правила, выберите первое правило, а затем, удерживая нажатой клавишу SHIFT, щелкните последний элемент.

Чтобы выбрать несмежные правила, выберите первое правило, а затем, удерживая нажатой клавишу CTRL, щелкните дополнительные элементы.

Применение изменений

Многие страницы свойств имеют кнопку Применить, которую можно нажать для сохранения изменений конфигурации в памяти. Однако, изменения конфигурации сохраняются в хранилище только после нажатия кнопки Применить на панели применения изменений.

Панель применения изменений появляется автоматически при внесении изменений в конфигурацию. Для применения изменений нажмите кнопку Применить на панели применения изменений. Для отмены изменений нажмите кнопку Не применять на панели применения изменений. Если нажать кнопку Игнорирование на панели применения изменений, то сохраненная в памяти конфигурация будет удалена.

Для выпуска ISA Server Standard Edition: изменения сохраняются в реестре.

Для выпуска ISA Server Enterprise Edition: изменения сохраняются на сервере хранилища настроек. Изменения распространяются на специальный сервер хранилища настроек, а затем на всех членов массива, как запланировано в свойствах массива. Инструкции см. Назначение сервера хранилища настроек для массива (Enterprise Edition).

Инструментарий

Вкладка Инструментарий имеется только в узлах Политики предприятия (для ISA Server Enterprise Edition) и Политика межсетевого экрана. Она включает список элементов правила, которые могут использоваться в правилах политики межсетевого экрана: определения протоколов, пользователи, типы содержимого, расписания и сетевые объекты.

Редактирование перетаскиванием

В областях сведений Политики предприятия (для ISA Server Enterprise Edition) и Политика межсетевого экрана можно редактировать правила, открыв страницы свойств для отдельного правила. Другой способ: можно перетянуть нужные элементы правила из вкладки Инструментарий в правило в области сведений, изменяя тем самым это правило.

Управление предприятием (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

Сгруппировав компьютеры ISA Server 2006 Enterprise Edition в массивы, можно централизованно управлять сетевой политикой предприятия целиком. Можно выбрать централизованную политику предприятия, которая применяется ко всем массивам предприятия, или более гибкую политику, где каждый администратор массива может определять локальную политику. Централизованное управление может привести к повышению безопасности. Все административные задачи можно выполнять с одного компьютера, и конфигурация применяется ко всем, гарантируя, что все серверы используют одну и ту же настроенную политику доступа. Это крайне полезно в больших организациях, где массивы могут включать много компьютеров ISA Server.

Для получения дополнительных сведений по управлению предприятием см. Управление предприятием на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).

Для получения дополнительных сведений о принципах администрирования в ISA Server см. документ Введение в администрирование ISA Server на веб-узле с рекомендациями для ISA Server. (http://www.microsoft.com/)


Администрирование: Инструкции

В этом разделе приведены инструкции по выполнению задач администрирования в Microsoft ISA Server 2006.

Поскольку сервер ISA Server выполняет важную функцию, его администрирование должно выполняться с тщательностью, а разрешения должны делегироваться с большой осторожностью. Требуется также периодическое создание резервных копий конфигурации. При развертывании сети с более чем одним компьютером ISA Server рекомендуется экспортировать конфигурации, чтобы частично автоматизировать процесс настройки.

  • Вывод панели задач
  • Просмотр номера версии сервера ISA Server
  • Просмотр подробных сведений о компьютере ISA Server
  • Использование диспетчера ISA Server
  • Настройка участия в Программе по улучшению качества программного обеспечения
  • Управление предприятием (Enterprise Edition)
  • Управление массивами (Enterprise Edition)
  • Управление компьютером ISA Server (Standard Edition)
  • Резервирование и восстановление
  • Назначение административных ролей


Вывод панели задач

  • В меню Вид диспетчера ISA Server выберите Панель задач.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Просмотр подробных сведений о компьютере ISA Server

Для выпуска ISA Server 2006 Enterprise Edition. Выполните указанные ниже действия.

  1. В дереве консоли диспетчера ISA Server щелкните Серверы.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Серверы.
  2. В области сведений щелкните соответствующий сервер.
  3. На вкладке Задачи щелкните Настроить выбранный сервер.

Для выпуска ISA Server 2006 Standard Edition. Выполните следующие действия:

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.
  2. В области сведений выберите Просмотрите сведения о компьютере ISA Server.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Просмотр номера версии сервера ISA Server

  • В меню Справка диспетчера ISA Server щелкните О продукте Microsoft ISA Server 2006.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Доступ

В дополнение к средствам доступа Microsoft Windows Server 2003 (или Windows 2000 Server) и консоли управления (MMC), ISA Server 2006 предлагает использование сочетаний клавиш для выбора команд и перемещения между панелями консоли.

Перемещение

Как и в любой оснастке консоли MMC, можно просматривать дерево консоли диспетчера ISA Server, раскрывая и сворачивая ветви щелчками по значкам плюс и минус или дважды щелкнув соответствующий узел. В следующей таблице приведены клавиши быстрого доступа, которые можно использовать для перемещения внутри и между панелями.

Комбинации клавиш | Результат
TAB | Перемещение вперед между панелями активного окна.
SHIFT+TAB | Перемещение назад между панелями активного окна.
СТРЕЛКА ВВЕРХ | Перемещение выделенного элемента вверх на одну позицию.
СТРЕЛКА ВНИЗ | Перемещение выделенного элемента вниз на одну позицию.
PAGE UP | Перемещение выделенного элемента на первое место в видимой части панели.
PAGE DOWN | Перемещение выделенного элемента на последнее место в видимой части панели.
HOME | Перемещение выделенного элемента на первое место.
END | Перемещение выделенного элемента на последнее место.
СТРЕЛКА ВПРАВО | Раскрытие выделенного элемента.
СТРЕЛКА ВЛЕВО | Сворачивание выделенного элемента. Если выделенный элемент не содержит скрытых элементов, работает как СТРЕЛКА ВВЕРХ.

В следующей таблице приведены действия мышью, которые можно использовать для перемещения по дереву консоли диспетчера ISA Server.

Действие мыши | Результат
Щелчок | Выбор элемента.
Двойной щелчок | Отображение или скрытие элементов, содержащихся в выделенном элементе. Отображение свойств или открывание элемента.
Щелчок правой кнопкой | Отображение контекстного меню для выделенного элемента.

Перемещение между вкладками

Можно перемещаться между вкладками при помощи команды Переключиться в меню Вид. Нажмите ALT+V для доступа к меню Вид, а затем W для доступа к команде Переключиться. Затем нажмите соответствующее сочетание клавиш для доступа к вкладке.

Если вкладка содержит список, для выбора элемента списка используйте кнопку со стрелкой ВНИЗ.

Сочетания клавиш

В следующей таблице перечислены сочетания клавиш для команд меню диспетчера ISA Server.

Действие | Результат
F1 | Открывает раздел справки для выбранного элемента, если такой раздел существует.
F5 | Обновляет содержимое всех панелей консоли.
ВВОД | Отображает окно свойств для выбранного элемента, если существует.
ALT+ПРОБЕЛ | Отображает меню окна диспетчера ISA Server.
ALT+F4 | Закрывает оснастку.
ALT+A | Отображает меню Действие.
ALT+V | Отображает меню Вид.
ALT+F | Отображает меню Файл.
ALT+H | Отображает меню Справка.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка участия в программе улучшения качества программного обеспечения

Для настройки участия в программе улучшения качества программного обеспечения

  1. В дереве консоли диспетчера ISA Server откройте свойства массива или компьютера ISA Server.
  2. на вкладке Отзывы пользователей выберите, участвовать ли в программе.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, щелкните правой кнопкой Имя_массива и щелкните Свойства.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Свойства.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Управление предприятием (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

В этом разделе приведены ссылки на этапы управления предприятием в Microsoft ISA Server 2006 Enterprise Edition.

  • Подключение к серверу хранилища настроек (Enterprise Edition)
  • Отключение от предприятия (Enterprise Edition)
  • Переименование сервера хранилища настроек (Enterprise Edition)
  • Копирование элементов правила массива на уровень предприятия (Enterprise Edition)


Подключение к серверу хранилища настроек (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Microsoft Internet Security and Acceleration Server 2006.
  2. На вкладке Задачи нажмите кнопку Установить соединение с сервером хранилища настроек.
  3. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Каждое предприятие связано с одним или несколькими серверами хранилища настроек. На каждом сервере хранилища настроек хранятся идентичные данные конфигурации, подлежащие периодической репликации. Члены каждого массива получают данные конфигурации с заданного для предприятия сервера хранилища настроек.
  • Подключиться можно как к локальному, так и удаленному серверу хранилища настроек. Выбирая локальный сервер хранилища настроек, необходимо установить его на текущем компьютере.
  • Если выбран удаленный сервер хранилища настроек, необходимо иметь соответствующие разрешения на доступ к нему.
  • Настроить частоту репликации можно с помощью программы AdamSites.exe, скачать которую можно из Центра загрузок Microsoft (http://www.microsoft.com/). Инструмент "Редактирование ADSI" позволяет запланировать проведение репликации по времени дня. Соответствующие инструкции см. в разделе "Настройка частоты репликации в пределах узла" в справке режима ADAM (Active Directory Application Mode) на сервере хранилища настроек.
  • Дополнительные сведения о серверах хранилища настроек можно получить из документа Управление предприятием на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Отключение от предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Microsoft Internet Security and Acceleration Server 2006.
  2. Нажмите кнопку Отключение от предприятия на вкладке Задачи.
  3. При появлении окна сообщения нажмите кнопку Да.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • После отключения от предприятия становится невозможным просматривать и управлять корпоративной конфигурацией или конфигурацией массива ISA Server с данного компьютера.


Переименование сервера хранилища настроек (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. На компьютере с запущенным диспетчером ISA Server измените файл Hosts следующим образом:
    1. Откройте файл Hosts в папке %windir%\system32\drivers\etc.
    2. В пустой строке введите текущий IP-адрес сервера хранилища настроек. Затем поставьте один или более пробелов и введите новое имя сервера хранилища настроек (то же имя, которое необходимо указывать на этапе 3).
    3. Сохраните файл Hosts.
  2. Проверьте, что в настоящий момент все члены массива используют основной сервер хранилища настроек. Инструкции см. в разделе Просмотр состояния настройки (Enterprise Edition). Инструкции по изменению основного сервера хранилища настроек для массива см. в разделе Указание сервера хранилища настроек для данного массива (Enterprise Edition).
  3. Переименуйте сервер хранилища настроек. Чтобы изменение имени вступило в силу, необходимо перезапустить компьютер.
  4. На компьютере с запущенным диспетчером ISA Server удалите запись, которая была взята из файла Hosts.
  5. На компьютере с запущенным диспетчером ISA Server укажите новое имя сервера хранилища настроек. На каждом массиве выполните действия, подробно описанные в разделе Указание сервера хранилища настроек для данного массива (Enterprise Edition).

Примечание

  • Обновление настройки всех членов массива может занять до 30 минут. Это значение определяется COM-свойством FallbackDelay, которое указывает время (в минутах), по истечении которого массив запустится с использованием альтернативного сервера хранилища настроек, если основной сервер недоступен. Дополнительные сведения о настройке этого свойства см. в разделе Установка времени задержки сервера хранилища настроек на веб-узле Microsoft TechNet (http://www.microsoft.com/).


Копирование элементов правила массива на уровень предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, Массивы, Имя_массива.
  2. На вкладке Задачи щелкните Скопировать элементы правил массива на уровень предприятия.
  3. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Управление массивами (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

В этом разделе приведены ссылки на этапы управления массивами в Microsoft ISA Server 2006 Enterprise Edition.

  • Создание массива (Enterprise Edition)
  • Переименование массива (Enterprise Edition)
  • Удаление массива (Enterprise Edition)
  • Назначение сервера хранилища настроек для массива (Enterprise Edition)
  • Настройка альтернативного сервера хранилища настроек (Enterprise Edition)
  • Использование сервера хранилища настроек (Enterprise Edition)
  • Выбор учетных данных для взаимодействия с сервером хранилища настроек (Enterprise Edition)
  • Определение внутренних учетных данных массива (Enterprise Edition)
  • Применение политики предприятия (Enterprise Edition)
  • Настройка преобразования ссылок между массивами (Enterprise Edition)

Дополнительные сведения об управлении предприятием см. в разделе Принципы управления предприятием в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).


Создание массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Массивы:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006 и выберите Массивы.
  2. На вкладке Задачи нажмите кнопку Создать новый массив.
  3. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Переименование массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server правой кнопкой щелкните массив ISA Server, а затем щелкните Свойства:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, Массивы, правой кнопкой щелкните Имя_массива, а затем щелкните Свойства.
  2. На вкладке Общие в поле Имя введите имя, используемое для управления конфигурацией сервера ISA Server.
  3. В поле DNS-имя введите DNS-имя, представляющее массив. Это имя, используемое клиентами межсетевого экрана и веб-прокси для подключения к данному массиву.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Необходимо щелкнуть кнопку Применить, чтобы сохранить данное изменение конфигурации.


Удаление массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, Массивы, Имя_массива.
  2. На вкладке Задачи нажмите кнопку Удалить выбранные массивы.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Назначение сервера хранилища настроек для массива (Enterprise Edition)

Указание сервера хранилища настроек для массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, Массивы, Имя_массива.
  2. На вкладке Задачи нажмите кнопку Настроить свойства массива.
  3. В поле Сервер хранилища настроек вкладки Хранилище конфигураций введите имя или IP-адрес компьютера, исполняющего для данного массива роль сервера хранилища настроек.
  4. (Дополнительно). В поле Альтернативный сервер хранилища настроек введите имя компьютера, который в случае недоступности основного сервера хранилища настроек будет заменять его.
  5. Установите переключатель Проверять наличие обновлений на сервере хранилища настроек каждые в одно из следующих положений:
    • 15 секунд. Это принимаемое по умолчанию значение задает довольно высокую частоту проверки обновлений, которая обеспечивает поступление самых свежих данных конфигураций членов массива.
    • 10 минут. Это значение определяет среднюю частоту проверок на предмет изменения конфигураций.
    • 60 минут. Это значение рекомендуется устанавливать только в тех случаях, когда заведомо известно, что конфигурации меняются крайне редко.
    • Настраиваемое. Если выбран этот параметр, укажите частоту обновления (в секундах) в текстовом окне.

Примечания

  • Дополнительные сведения об управлении предприятием см. в разделе Принципы управления предприятием в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Мы рекомендуем настроить массив так, чтобы проверять сервер хранилища настроек как можно чаще — настолько часто, насколько позволяют ограничения по пропускной способности сети.
  • Если основной сервер хранилища настроек не отвечает в течение 30 минут, ISA Server обращается к альтернативному серверу хранилища настроек, если таковой определен. После 6 часов обращения к альтернативному серверу хранилища настроек ISA Server начинает периодически проверять основной сервер хранилища настроек на предмет его доступности. Если основной сервер хранилища настроек становится доступен в течение 10 минут, ISA Server вновь переключается на основной сервер.
    Временные значения, указанные в данной процедуре, приняты по умолчанию. Изменить их можно с помощью пакета SDK ISA Server. Пример сценария, позволяющего изменить принятые по умолчанию временные значения, приводится в документе об установке задержек сервера хранилища настроек на веб-узле Microsoft TechNet (http://www.microsoft.com/).
  • После переназначения сервера хранилища настроек убедитесь в том, что компьютер, на котором запущены службы ISA Server, включен в набор компьютеров Управляемые компьютеры ISA Server.
  • Для установки сервера хранилища настроек в роли реплицированного сервера на другом узле воспользуйтесь программой AdamSites.exe. AdamSites.exe можно загрузить в центре загрузок Microsoft (http://www.microsoft.com/).
  • Если сервер хранилища настроек недоступен, в диспетчере ISA Server на сервере-копии хранилища настроек укажите этот сервер-копию как сервер хранилища настроек для массива. Затем запустите на каждом члене массива сценарий ChangeStorageServer.vbs, размещенный в установочной папке ISA Server. Для вывода инструкций по его применению запустите команду cscript ChangeStorageServer.vbs ?.
  • Сменить сервер хранилища настроек можно путем переустановки ISA Server и запуска процедуры восстановления. Остановите службу межсетевого экрана на компьютере. В ходе повторной установки укажите имя нового сервера хранилища настроек. Обратите внимание, что при использовании таких приложений, как пакет управления Microsoft Operations Manager (MOM) для ISA Server, используются файлы ISA Server, что может помешать программе установки ISA Server. Во избежание проблем остановите эти приложения до выполнения следующих задач: Восстановление, изменение, установка или обновление ISA Server.
  • Обращения из массива к новому серверу хранилища настроек не начинаются сразу после установки его параметров. Чтобы определить, задействован ли новый сервер хранилища настроек, проверьте состояние настройки. Инструкции по просмотру состояния настройки см. в разделе Просмотр состояния настройки (Enterprise Edition).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка альтернативного сервера хранилища настроек (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, Массивы, Имя_массива.
  2. На вкладке Задачи нажмите кнопку Настроить свойства массива.
  3. В поле Альтернативный сервер хранилища настроек на вкладке Хранилище конфигураций введите имя или IP-адрес компьютера, который предполагается назначить альтернативным сервером хранилища настроек для данного массива. Этот сервер будет заменять основной сервер хранилища настроек в случае его недоступности.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если основной сервер хранилища настроек не отвечает в течение 30 минут, ISA Server обращается к альтернативному серверу хранилища настроек, если таковой определен. После 6 часов обращения к альтернативному серверу хранилища настроек ISA Server начинает периодически проверять основной сервер хранилища настроек на предмет его доступности. Если основной сервер хранилища настроек становится постоянно доступен в течение 10 минут, ISA Server вновь начинается обращаться к нему.
    Временные значения, указанные в данной процедуре, приняты по умолчанию. Изменить их можно с помощью пакета SDK ISA Server. Пример сценария, позволяющего изменить принятые по умолчанию временные значения, приводится в документе об установке задержек сервера хранилища настроек на веб-узле Microsoft TechNet (http://www.microsoft.com/).
  • По истечении тридцатиминутного периода недоступности альтернативного сервера массив переключается на основной сервер хранилища настроек (если он доступен).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Использование опубликованного сервера хранилища настроек (Enterprise Edition)

  1. В дереве консоли диспетчера ISA Server, правой кнопкой мыши щелкните Имя_массива, а затем щелкните пункт Свойства.
  2. На вкладке Опубликованные хранилища настроек можно выбрать способ доступа к серверам хранилища настроек массива: прямо по сети или через подключение виртуальной частной сети типа "сеть-сеть".
  3. При использовании доступа через VPN-подключение типа "сеть-сеть" введите полное доменное имя безопасно опубликованного сервера хранилища настроек в поле Изменить безопасно опубликованный сервер хранилища настроек.
  4. Нажмите кнопку ОК, чтобы закрыть страницу свойств массива.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Такие параметры конфигурации необходимо настроить до разрыва VPN-подключения, чтобы воспользоваться преимуществами альтернативного безопасно опубликованного сервера хранилища настроек.
  • Дополнительные сведения о безопасной публикации сервера хранилища настроек см. в документе Публикация серверов хранилища настроек в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Дополнительные сведения об изменении периода времени, необходимого члену массива перед переключением между основным и альтернативным сервером хранилища настроек, см. в документе Настройка времени задержки серверов хранилища настроек в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Выбор учетных данных для взаимодействия с сервером хранилища настроек (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, Массивы, Имя_массива.
  2. На вкладке Задачи нажмите кнопку Настроить свойства массива.
  3. Нажмите кнопку Выбрать на вкладке Хранилище настроек.
  4. Установите переключатель Выбор типа проверки подлинности в одно из двух положений:
    • Проверка подлинности Windows. Этот параметр применим в тех случаях, когда сервер хранилища настроек и компьютер, на котором запущены службы ISA Server, находятся в одном домене или в двух доменах, между которыми установлены доверительные отношения.
    • Проверка подлинности через канал с SSL-шифрованием. Этот параметр применим в тех случаях, когда члены массива и серверы хранилища настроек находятся в рабочей группе или в доменах, между которыми не установлены доверительные отношения.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При выборе параметра Проверка подлинности через канал с SSL-шифрованием на сервере хранилища настроек необходимо установить сертификат. Разместить сертификаты можно при помощи инструмента ISACertTool, доступного в центре загрузки ISA Server (http://www.microsoft.com/). По умолчанию инструмент ISACertTool удаляет все сертификаты, хранящиеся в локальном хранилище ADAM_ISASTGCTRL. Если запустить этот инструмент с ключом /keepcerts, все существующие сертификаты будут сохранены.
  • Как правило, для каждого сертификата определяется срок действия, редко превышающий один год. ISA Server не работает с просроченными сертификатами. Сертификаты нужно обязательно обновлять до истечения срока действия; иначе ISA Server не сможет работать.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Определение внутренних учетных данных массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, Массивы, Имя_массива.
  2. На вкладке Задачи нажмите кнопку Настроить свойства массива.
  3. Выберите один из нижеперечисленных параметров на вкладке Учетные данные внутри массива:
    • Проверять подлинность с использованием учетной записи компьютера члена массива. Позволяет организовать проверку подлинности среди членов массива посредством учетных записей локального компьютера. Этот параметр следует устанавливать только в том случае, если члены массива находятся в домене Windows.
    • Проверять подлинность с использованием данной учетной записи (только для рабочих групп). Позволяет организовать проверку подлинности среди членов массива с помощью указанной учетной записи. Этот параметр следует устанавливать только в том случае, если члены массива входят в состав рабочей группы.
  4. В случае установки параметра Проверять подлинность с использованием данной учетной записи нажмите кнопку Настройка учетной записи и укажите учетную запись пользователя, с помощью которой будет проводиться проверка подлинности.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Применение политики предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
  2. Выберите Microsoft Internet Security and Acceleration Server 2006, Массивы, Имя_массива.
  3. На вкладке Задачи нажмите кнопку Настроить свойства массива.
  4. В списке Политика предприятия на вкладке Параметры политики выберите политику предприятия, которую предполагается применить к данному массиву.
  5. Выберите один или несколько параметров из числа перечисленных ниже:
    • Правила доступа типа "Запретить". Позволяет создавать в данном массиве правила, запрещающие доступ.
    • Правила доступа типа "Разрешить". Позволяет создавать в данном массиве правила, разрешающие доступ.
    • Правила публикаций ("Запретить" и "Разрешить"). Позволяет создавать в данном массиве правила публикации.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Устанавливать типы правил, создание которых допускается в данном массиве, могут только администраторы предприятия ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка преобразования ссылок между массивами

  1. В дереве консоли диспетчера ISA Server правой кнопкой мыши щелкните узел предприятия и выберите Свойства.
  2. На вкладке Преобразование ссылок между массивами выберите Включить преобразование ссылок между массивами, чтобы включить преобразование ссылок между массивами.
  3. Щелкните Добавить, чтобы добавить массивы, к которым необходимо применить преобразование ссылок между массивами.
  4. Выберите, откуда извлечь содержимое: из конкретного массива или ближайшего массива, т. е. из первого доступного массива из алфавитного списка массивов ISA Server.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Управление серверами (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

В этом разделе описаны процедуры управления серверами, составляющими массив Microsoft ISA Server 2006.

  • Изменение идентификатора узла (Enterprise Edition)
  • Настройка адреса внутри массива (Enterprise Edition)
  • Определение имени компьютера для удаленного управления (Enterprise Edition)
  • Настройка протокола CARP (Enterprise Edition)


Изменение идентификатора узла (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Серверы.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Серверы.
  2. В области сведений щелкните соответствующий сервер.
  3. На вкладке Задачи щелкните Настроить выбранный сервер.
  4. На вкладке Общие в разделе Идентификатор узла щелкните раскрывающийся список и выберите из списка один из свободных идентификаторов узлов.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Вручную перезапустите службу межсетевого экрана Microsoft, если она не перезапустилась после изменения идентификатора узла для разрешения конфликта идентификаторов узлов.
  • Из-за конфликта идентификаторов узлов для конкретного сервера может потребоваться повторная конфигурация идентификаторов узла. Конфликты идентификаторов узлов могут возникать в следующих сценариях.
    • В некоторых конфигурациях экспорта и импорта идентификатор узла может автоматически создаваться в течение экспорта. Если данный идентификатор узла вызывает конфликт во время импорта, то импорт завершится успешно, но служба межсетевого экрана не запустится. В данном случае будет создано оповещение. После завершения импорта дополнительные сведения см. в окне просмотра событий.
    • Во время запуска автоматической установки можно указать свойство HostID. Если его значение не указано, то идентификатор узла назначается серверу автоматически. Назначение идентификатора узла в течение автоматической установки может привести к конфликту идентификаторов узлов. В данном случае несмотря на завершение установки служба межсетевого экрана не запустится. При этом будет создано оповещение. Дополнительные сведения см. в окне просмотра событий.


Настройка адреса внутри массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Серверы.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Серверы.
  2. Выберите нужный сервер в области сведений.
  3. На вкладке Задачи щелкните Настроить выбранный сервер.
  4. В секции Использовать данный IP-адрес для соединения между членами массива вкладки Соединение выберите IP-адрес, который данный сервер должен использовать для обмена данными внутри массива.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При повторной настройке внутримассивного адреса новый адрес добавляется в набор компьютеров Серверы массива.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка имени компьютера для удаленного управления (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Серверы.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Серверы.
  2. Выберите нужный сервер в области сведений.
  3. На вкладке Задачи щелкните Настроить выбранный сервер.
  4. Выберите один из следующих параметров на вкладке Соединение:
    • Использовать полное имя компьютера. В случае выбора этого параметра при подключении к компьютеру ISA Server для удаленного управления будет использоваться полное имя компьютера.
    • Использовать данный IP-адрес или имя компьютера. В случае выбора этого параметра необходимо указать IP-адрес или полное доменное имя (FQDN), которое будет задействоваться при подключении к данному компьютеру ISA Server для удаленного управления.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • По имени, которое определяется в рассматриваемой процедуре, внешние системы будут обращаться к данному компьютеру для удаленного управления массивом.
  • Если IP-адрес данного компьютера изменится, обязательно внесите соответствующие изменения в параметры удаленного управления.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка протокола CARP (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

В этом разделе приведены ссылки на этапы настройки протокола CARP в Microsoft ISA Server 2006 Enterprise Edition.

  • Разрешение протокола CARP (Enterprise Edition)
  • Отключение протокола CARP для отдельных веб-узлов (Enterprise Edition)
  • Настройка уровня загрузки (Enterprise Edition)

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Разрешение протокола CARP (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. Выберите Разрешить протокол CARP для данной сети на вкладке Протокол CARP.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Отключение протокола CARP для отдельных веб-узлов (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. Выберите Разрешить протокол CARP для данной сети на вкладке Протокол CARP.
  5. Щелкните Добавить.
  6. Выберите в списке набор доменных имен, для которого необходимо отключить протокол CARP (Cache Array Routing Protocol), а затем последовательно нажмите кнопки Добавить и Закрыть.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Протокол CARP следует отключить для веб-узлов, для которых необходимо, чтобы IP-адреса клиентов оставались неизменными в течение сеанса.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка уровня загрузки (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Серверы.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Серверы.
  2. Выберите нужный член массива в области сведений.
  3. На вкладке Задачи щелкните Настроить выбранный сервер.
  4. В поле Уровень загрузки на вкладке Протокол CARP введите значение уровня загрузки.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Уровень загрузки выражает относительную доступность данного сервера для целей кэширования.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Управление компьютером ISA Server (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

В этом разделе приведены ссылки на этапы управления компьютером Microsoft ISA Server 2006 Standard Edition.

  • Подключение к компьютеру ISA Server (Standard Edition)
  • Отключение от компьютера ISA Server (Standard Edition)
  • Переименование сервера ISA Server (Standard Edition)


Подключение к компьютеру ISA Server (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

  1. В дереве консоли диспетчера ISA Server щелкните Microsoft Internet Security and Acceleration Server 2006.
  2. На вкладке Задачи нажмите Подключиться к локальному или удаленному серверу ISA Server.
  3. В окне Подключение выберите Другой компьютер (удаленное управление), затем введите имя компьютера, которым планируется управлять.
  4. Выберите один из следующих параметров:
    • Подключиться с использованием учетных данных вошедшего в систему пользователя. Для управления удаленным компьютером ISA Server с использованием учетных данных пользователя, вошедшего в настоящий момент в систему.
    • Подключиться с использованием учетных данных другого пользователя. Для указания имени другого пользователя, который будет осуществлять удаленное управление компьютером ISA Server. Затем введите имя пользователя, пароль и имя домена для пользователя, который будет осуществлять удаленное управление компьютером ISA Server.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Чтобы ввести имя компьютера, можно использовать имя_компьютера или его IP-адрес.
  • Для управления удаленным компьютером ISA Server с помощью диспетчера ISA Server необходимо с помощью редактора системной политики включить группу настройки "Удаленное управление: консоль управления Microsoft (MMC)".
  • Кроме того, в случае подключения с компьютера ISA Server, необходимо добавить соответствующее правило доступа, чтобы разрешить доступ из сети локального узла к компьютеру ISA Server по протоколу Firewall Control.
  • При указании учетных данных пользователя домена обязательно укажите поле домена (в формате домен\DonH).
  • При указании учетных данных локального пользователя на компьютере, на котором установлен Windows 2000 Server, не указывайте имя домена.
  • Если управление осуществляется с компьютера в домене компьютера ISA Server, который принадлежит рабочей группе, в качестве имени домена необходимо указать имя компьютера ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Отсоединение от компьютера ISA Server (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

  1. В дереве консоли диспетчера ISA Server щелкните имя компьютера ISA Server:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006 и щелкните Имя_сервера.
  2. На вкладке Задачи нажмите Отсоединить выбранный сервер от консоли управления.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Переименование сервера ISA Server (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

  1. В дереве консоли диспетчера ISA Server правой кнопкой щелкните имя, используемое для управления компьютером ISA Server, а затем щелкните Свойства:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, правой кнопкой щелкните Имя_сервера и щелкните Свойства.
  2. На вкладке Общие в поле Имя введите имя, используемое для управления конфигурацией сервера ISA Server.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Необходимо щелкнуть кнопку Применить, чтобы сохранить данное изменение конфигурации.


Резервирование и восстановление

В этом разделе приведены ссылки на этапы резервного копирования и восстановления данных в Microsoft ISA Server 2006.

  • Экспорт частичной конфигурации
  • Импорт конфигурации
  • Резервирование конфигурации предприятия (Enterprise Edition)
  • Восстановление конфигурации предприятия (Enterprise Edition)
  • Резервирование конфигурации крупного предприятия с помощью программы архивации данных (Enterprise Edition)
  • Восстановление конфигурации крупного предприятия с помощью программы архивации данных (Enterprise Edition)
  • Экспорт конфигурации (Standard Edition)
  • Восстановление конфигурации (Standard Edition)

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Экспорт частной конфигурации

Для выпуска ISA Server 2006 Enterprise Edition. Выполните указанные ниже действия.

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий объект. Например, чтобы экспортировать правило:
    1. Нажмите Политика межсетевого экрана:
      • Разверните Microsoft Internet Security and Acceleration Server 2006, разверните Массивы, разверните Имя_Массива, затем нажмите Политика межсетевого экрана.
    2. В области сведений щелкните правой кнопкой мыши соответствующее правило, затем нажмите Экспортировать выделенное.
  2. Следуйте инструкциям на экране.

Для выпуска ISA Server 2006 Standard Edition. Выполните следующие действия:

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий объект. Например, чтобы экспортировать правило:
    1. Нажмите Политика межсетевого экрана:
      • Разверните Microsoft Internet Security and Acceleration Server 2006, разверните Имя_Сервера, затем нажмите Политика межсетевого экрана.
    2. В области сведений щелкните правой кнопкой мыши соответствующее правило, затем нажмите Экспортировать выделенное.
  2. В поле Имя файла введите имя файла с экспортируемыми данными.
  3. Чтобы экспортировать конфиденциальные данные (например пользовательские пароли или сертификаты), нажмите кнопку Экспортировать конфиденциальные данные. При экспорте этих данных будет использовано шифрование.
  4. Чтобы экспортировать разрешения пользователей, нажмите кнопку Экспортировать параметры разрешений пользователей.
  5. Нажмите кнопку Экспорт.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Для выпуска ISA Server 2006 Enterprise Edition. Для экспорта конфигурации предприятия требуются права администратора предприятия или аудитора предприятия. Для экспорта конфиденциальных данных требуются права администратора предприятия. Для экспорта конфиденциальных данных уровня массива требуются права администратора массива сервера ISA Server.
  • При выполнении экспорта политики межсетевого экрана правила системной политики не экспортируются. Чтобы экспортировать системную политику, выберите задачу Экспортировать системную политику.
  • Чтобы экспортировать конфиденциальные данные (например пользовательские пароли или сертификаты), нажмите кнопку Экспортировать конфиденциальные данные. При экспорте этих данных будет использовано шифрование.
  • При экспорте конфиденциальных данных достаточно указать пароль.
  • Чтобы обеспечить должную защиту зашифрованных данных, укажите надежный пароль. Пароль считается надежным, если он обеспечивает эффективную защиту от несанкционированного доступа. Надежный пароль не должен содержать частично или полностью имя учетной записи пользователя. Он должен содержать по меньшей мере три из следующих четырех категорий символов: прописные буквы, строчные буквы, основные 10 цифр и имеющиеся на клавиатуре специальные символы (например !, @ и #).


Импорт конфигурации

Для выпуска ISA Server 2006 Enterprise Edition. Выполните указанные ниже действия.

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы и щелкните Имя_массива.
  2. На вкладке Задачи нажмите Импортировать (восстановить) настройки массива.
  3. Следуйте инструкциям на экране.

Для выпуска ISA Server 2006 Standard Edition. Выполните следующие действия:

  1. В дереве консоли диспетчера ISA Server щелкните имя компьютера ISA Server:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006 и щелкните Имя_сервера.
  2. На вкладке Задачи нажмите кнопку Импортировать из экспортированного файла конфигурации ISA Server.
  3. В поле Где искать укажите папку, содержащую импортируемый файл.
  4. В поле Имя файла укажите имя импортируемого XML-файла.
  5. Чтобы импортировать разрешения пользователей, нажмите Импортировать параметры разрешений пользователей. Этот параметр доступен только в том случае, если разрешения пользователей были экспортированы.
  6. Чтобы импортировать характерные для сервера данные (например параметры диска кэша), нажмите кнопку Импортировать сведения о сервере. Этот параметр доступен только в том случае, если соответствующие сведения были экспортированы.
  7. Если экспортированный файл содержит конфиденциальные данные, укажите пароль, требуемый для расшифровки конфиденциальных данных.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Чтобы импортировать разрешения пользователей, нажмите кнопку Импортировать параметры разрешений пользователей. Этот параметр доступен только в том случае, если разрешения пользователей были экспортированы.
  • Чтобы импортировать характерные для сервера данные (например параметры диска кэша), нажмите кнопку Импортировать сведения о сервере. Этот параметр доступен только в том случае, если соответствующие сведения были экспортированы.
  • Если экспортированный файл содержит конфиденциальные данные, укажите пароль, требуемый для расшифровки конфиденциальных данных.

Внимание!

  • Следует импортировать только файлы конфигурации, полученные от доверенных источников, при сохранении которых перед импортом были обеспечены необходимые меры защиты. При импортировании файла конфигурации политика сервера ISA Server отображает данную конфигурацию.


Резервное копирование конфигурации предприятия или массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server:
    • Щелкните Microsoft Internet Security and Acceleration Server 2006, чтобы создать резервную копию конфигурации предприятия.
    • Разверните узел Массивы и щелкните имя массива, чтобы создать резервную копию конфигурации массива.
  2. На вкладке Задачи щелкните:
    • Экспортировать конфигурацию предприятия, чтобы создать резервную копию конфигурации предприятия.
    • Экспортировать (резервировать) конфигурацию массива, чтобы создать резервную копию конфигурации массива.
  3. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Для выполнения экспорта конфигурации предприятия требуются права администратора предприятия или аудитора предприятия. Для экспорта конфиденциальных данных требуются права администратора предприятия.
  • Следует обеспечить защиту экспортированного файла конфигурации, так как он содержит сведения конфиденциального характера. Чтобы обеспечить должную защиту зашифрованных данных, укажите надежный пароль. Пароль считается надежным, если он обеспечивает эффективную защиту от несанкционированного доступа. Надежный пароль не должен содержать частично или полностью имя учетной записи пользователя. Он должен содержать по меньшей мере три из следующих четырех категорий символов: прописные буквы, строчные буквы, основные 10 цифр и имеющиеся на клавиатуре специальные символы (например, !, @ и #).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Восстановление конфигурации предприятия или массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server:
    • Выберите Microsoft Internet Security and Acceleration Server 2006 для восстановления конфигурации предприятия.
    • Разверните узел Массивы и щелкните имя массива для восстановления конфигурации массива.
  2. На вкладке Задачи щелкните:
    • Импортировать (восстановить) конфигурацию для восстановления конфигурации предприятия.
    • Импортировать (восстановить) конфигурацию массива для восстановления конфигурации массива.
  3. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Резервирование конфигурации крупного предприятия с помощью программы архивации данных (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. Выберите Пуск, Все программы, Стандартные, Служебные, Архивация данных.
  2. При появлении страницы Приветствие выберите Расширенный режим.
  3. На вкладке Архив выберите папку ADAMData, находящуюся в каталоге Program files\Microsoft ISA Server.
  4. Введите имя резервного файла в поле Носитель архива или имя файла.
  5. Нажмите кнопку Архивировать.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Восстановление конфигурации крупного предприятия с помощью программы архивации данных (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. Выберите Пуск, Все программы, Стандартные, Служебные, Архивация данных.
  2. При появлении страницы Приветствие выберите Расширенный режим.
  3. Выберите объект, который требуется восстановить, на вкладке Восстановление и управление носителем.
  4. Установите переключатель Восстановить файлы в в положение Альтернативное размещение.
  5. В поле Альтернативное размещение укажите папку, в которую требуется восстановить данные из резервированных копий. Эта папка должна находиться на NTFS-диске локального компьютера. Указывать папки, находящиеся на других компьютерах сети, нельзя.
  6. Выберите Параметры в меню Сервис.
  7. Установите параметр Всегда заменять файл на компьютере, нажмите кнопку ОК.
  8. Нажмите кнопку Восстановить.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Экспорт конфигурации (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

  1. В дереве консоли диспетчера ISA Server щелкните имя компьютера ISA Server:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006 и щелкните Имя_сервера.
  2. На вкладке Задачи нажмите кнопку Экспортировать конфигурацию сервера ISA Server в файл.
  3. В поле Сохранить в укажите папку, в которой необходимо сохранить файл с экспортируемыми данными.
  4. В поле Имя файла введите имя файла, в который будут экспортироваться данные.
  5. Чтобы экспортировать конфиденциальные данные (например пользовательские пароли или сертификаты), нажмите кнопку Экспортировать конфиденциальные данные. При экспорте этих данных будет использовано шифрование.
  6. Чтобы экспортировать разрешения пользователей, нажмите кнопку Экспортировать параметры разрешений пользователей.
  7. Нажмите кнопку Экспорт.
  8. Если выбран режим экспортирования конфиденциальных данных, необходимо указать пароль, который будет вводиться при импорте для расшифровки этих данных.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При экспорте политики межсетевого экрана правила системной политики не экспортируются. Чтобы экспортировать системную политику, в узле Политика межсетевого экрана выберите задачу Экспортировать системную политику.
  • При экспорте конфиденциальных данных достаточно указать пароль.
  • Чтобы обеспечить должную защиту зашифрованных данных, укажите надежный пароль. Пароль считается надежным, если он обеспечивает эффективную защиту от несанкционированного доступа. Надежный пароль не должен содержать частично или полностью имя учетной записи пользователя. Он должен содержать по меньшей мере три из следующих четырех категорий символов: прописные буквы, строчные буквы, основные 10 цифр и имеющиеся на клавиатуре специальные символы (например !, @ и #).
  • Если выбрана задача Экспортировать конфиденциальные данные, экспортируются данные конфигурации, которые должны сохраняться как конфиденциальные. К этой категории относятся следующие данные:
    • Пароли учетных данных пользователей, используемые в конфигурации сервера ISA Server. К их числу относятся, например, пароли для подключения к компьютеру с сервером SQL Server, для запуска определенной программы по оповещению или для удаленной проверки подлинности L2TP.
    • Общий секрет RADIUS.
    • Предварительный ключ IPsec для VPN.
  • Если выбрана задача Экспортировать параметры разрешений пользователей, экспортируются разрешения, используемые в конфигурации диспетчера ISA Server. Обычно этот параметр выбирается для репликации существующей конфигурации в пределах одной организации.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Восстановление конфигурации (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

  1. В дереве консоли диспетчера ISA Server щелкните имя компьютера ISA Server:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006 и щелкните Имя_сервера.
  2. На вкладке Задачи щелкните Восстановить настройки этого сервера ISA Server.
  3. В поле Где искать укажите папку, где расположен ранее зарезервированный файл.
  4. В поле Имя файла введите имя ранее зарезервированного файла, а затем щелкните Восстановить.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Назначение административных ролей

В этом разделе приведены ссылки на этапы назначения ролей в Microsoft ISA Server 2006. Описание административных ролей приводится в документе Принципы администрирования на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).

  • Назначение административных ролей администраторам массива (Enterprise Edition)
  • Назначение административных ролей администраторам предприятия (Enterprise Edition)
  • Назначение административных ролей администраторам политики предприятия (Enterprise Edition)
  • Назначение административных ролей (Standard Edition)


Назначение административных ролей администраторам массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующий массив:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы и щелкните Имя_массива.
  2. На вкладке Задачи щелкните Назначить административные роли.
  3. Если компьютер, на котором запущены службы ISA Server, входит в домен, нажмите верхнюю кнопку Добавить на вкладке Назначение ролей. Затем выполните следующие действия.
    1. В поле Группа или пользователь введите имя группы или пользователя, которому разрешен доступ к серверу хранилища настроек.
    2. Установите переключатель Роль в одно из трех положений:
      • Администратор массива ISA Server. Предоставляет указанной группе или пользователю разрешения на полный доступ к массиву. Администратору, кроме того, разрешается просматривать политику предприятия, действие которой распространяется на массив.
      • Аудитор массива ISA Server. Предоставляет указанной группе или пользователю разрешения, достаточные для проведения наблюдения и просмотра конфигурации массива.
      • Аудитор наблюдения за массивом ISA Server. Предоставляет указанной группе или пользователю отдельные разрешения на проведение наблюдения.
  4. Если компьютер, на котором запущены службы ISA Server, входит в состав рабочей группы, нажмите нижнюю кнопку Добавить на вкладке Назначение ролей. Затем выполните следующие действия.
    1. В поле Группа или пользователь введите имя группы или пользователя, которому разрешен доступ к серверу хранилища настроек.
    2. Установите переключатель Роль в одно из трех положений:
      • Администратор массива ISA Server. Предоставляет указанной группе или пользователю разрешения на полный доступ к массиву. Администратору, кроме того, разрешается просматривать политику предприятия, действие которой распространяется на массив.
      • Аудитор массива ISA Server. Предоставляет указанной группе или пользователю разрешения, достаточные для проведения наблюдения и просмотра конфигурации массива.
      • Аудитор наблюдения за массивом ISA Server. Предоставляет указанной группе или пользователю отдельные разрешения на проведение наблюдения.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если компьютер, на котором запущены службы ISA Server, входит в состав рабочей группы, то идентичные (дублированные) учетные записи согласно рассматриваемой процедуре необходимо создать во всех системах-членах массива.
  • При настройке в условиях рабочих групп имя пользователя или группы нужно указывать в двух местах:
    • Нажав верхнюю кнопку Добавить, введите имя группы или пользователя в поле Группа или пользователь в следующем формате: Имя_сервера_хранения_настроек\Пользователь.
    • Нажав нижнюю кнопку Добавить, введите имя группы или пользователя в поле Группа или пользователь в следующем формате: Пользователь. Имя_сервера_хранения_настроек в данном случае указывать не нужно.
  • Если сервер хранилища настроек находится в домене, необходимо указать данные пользователя уровня домена. Не вводите данные локального пользователя.
  • Не делегируйте административные роли следующим идентификаторам безопасности: Создатель-владелец и Группа-создатель. Дело в том, что эти идентификаторы не предусмотрены в режиме ADAM (Active Directory Application Mode), в котором хранится конфигурация ISA Server.
  • Описание административных ролей можно найти в разделе Принципы администрирования на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Назначение административных ролей администраторам предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Предприятие:
    • Выберите Microsoft Internet Security and Acceleration Server 2006, Предприятие.
  2. На вкладке Задачи щелкните Назначить административные роли.
  3. Если компьютер, на котором запущены службы ISA Server, входит в домен, нажмите верхнюю кнопку Добавить на вкладке Назначение ролей. Затем выполните следующие действия.
    1. В поле Группа или пользователь введите имя группы или пользователя, которому разрешен доступ к серверу хранилища настроек.
    2. Установите переключатель Роль в одно из трех положений:
      • Администратор предприятия ISA Server. Предоставляет указанной группе или пользователю разрешения на полный доступ.
      • Аудитор предприятия ISA Server. Предоставляет указанной группе или пользователю полномочия просмотра конфигураций предприятия и массива.
  4. Если компьютер, на котором запущены службы ISA Server, входит в состав рабочей группы, нажмите нижнюю кнопку Добавить на вкладке Назначение ролей. Затем выполните следующие действия.
    1. В поле Группа или пользователь введите имя группы или пользователя, которому разрешен доступ к серверу хранилища настроек.
    2. Установите переключатель Роль в одно из трех положений:
      • Администратор предприятия ISA Server. Предоставляет указанной группе или пользователю разрешения на полный доступ.
      • Аудитор предприятия ISA Server. Предоставляет указанной группе или пользователю полномочия просмотра конфигураций предприятия и массива.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если компьютер, на котором запущены службы ISA Server, входит в состав рабочей группы, то идентичные (дублированные) учетные записи согласно рассматриваемой процедуре необходимо создать во всех система-членах массива.
  • При настройке в условиях рабочих групп имя пользователя или группы нужно указывать в двух местах:
    • Нажав верхнюю кнопку Добавить, введите имя группы или пользователя в поле Группа или пользователь в следующем формате: Имя_сервера_хранения_настроек\Пользователь.
    • Нажав нижнюю кнопку Добавить, введите имя группы или пользователя в поле Группа или пользователь в следующем формате: Пользователь. Имя_сервера_хранения_настроек в данном случае указывать не нужно.
  • Не делегируйте административные роли следующим идентификаторам безопасности: Создатель-владелец и Группа-создатель. Дело в том, что эти идентификаторы не предусмотрены в режиме ADAM (Active Directory Application Mode), в котором хранится конфигурация ISA Server.
  • Описание административных ролей можно найти в разделе о принципах администрирования на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Назначение административных ролей администраторам политики предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующую политику предприятия:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие, раскройте Политики предприятия и щелкните Политика_предприятия.
  2. На вкладке Задачи нажмите кнопку Редактировать свойства политики предприятия.
  3. На вкладке Назначение ролей нажмите кнопку Добавить. Затем выполните следующие действия.
    • В поле Группа или пользователь введите имя группы или пользователя, которому разрешен доступ к серверу хранилища настроек.
    • В списке Роль, выберите Редактор политики корпоративной конфигурации ISA Server.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Описание административных ролей можно найти в разделе Принципы администрирования на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Назначение административных ролей (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

  1. В дереве консоли диспетчера ISA Server щелкните имя компьютера ISA Server:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006 и щелкните Имя_сервера.
  2. На вкладке Задачи щелкните Определение административных ролей.
  3. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Описание административных ролей можно найти в разделе Принципы администрирования на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Функции наблюдения

В данном разделе представлены сведения о функциях наблюдения Microsoft® ISA Server 2006.

  • Наблюдение: принципы
  • Наблюдение: инструкции

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Наблюдение: принципы

В данном разделе представлен обзор функций наблюдения Microsoft ISA Server 2006.

Функции наблюдения ISA Server включают:

  • Панель. На панели обобщаются данные наблюдения за сеансами, оповещениями, службами, отчетами, связями и общим состоянием системы.
  • Оповещения. Служба межсетевого экрана уведомляет о наступлении определенных событий. Можно настроить определения оповещений для инициирования определенных действий при наступлении события.
  • Наблюдение за сеансами. При помощи функции наблюдения в реальном времени можно централизованно следить за деятельностью компьютера ISA Server.
  • Службы. Можно отслеживать состояние служб ISA Server из диспетчера ISA Server.
  • Журналы. ISA Server предоставляет несколько параметров журнала, которые позволяют отслеживать трафик, обрабатываемый ISA Server.
  • Отчеты. Можно использовать функцию отчетов для обобщения и анализа структуры коммуникаций.
  • Подключение. С помощью функции проверки подключения можно проверять подключение, регулярно отслеживая подключения компьютера ISA Server к отдельным компьютерам или URL-адресу в любой сети.
  • Наблюдение за производительностью. Данные о производительности можно просматривать в виде отчета или в формате различных графиков или журналов.
  • Состояние настройки. (Enterprise Edition) Просмотр состояния настройки помогает проверить, что на всех массивах была обновлена конфигурационная информация с сервера хранилища настроек, к которому подключен диспетчер ISA Server.

Подробные сведения о функциях наблюдения ISA Server приведены в разделе о принципах наблюдения в ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Наблюдение: Инструкции

В этом разделе приведены ссылки на этапы наблюдения за сервером Microsoft ISA Server 2006.

  • Обновление данных наблюдения
  • Настройка периода обновления
  • Просмотр Панели
  • Просмотр состояния настройки (Enterprise Edition)
  • Включение аудита параметров разрешений сервера хранилища настроек (Enterprise Edition)
  • Настройка оповещений
  • Настройка наблюдения за сеансами
  • Запуск и остановка служб
  • Настройка ведения журнала
  • Настройка составления отчетов
  • Настройка средств проверки подключений


Обновление представления наблюдения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку, данные в которой необходимо обновить.
    • Для выпуска ISA Server 2006 Enterprise Edition. Имеются вкладки Панель, Оповещения, Сеансы, Службы, Конфигурация, Отчеты, Подключение и Ведение журнала.
    • Для выпуска ISA Server 2006 Standard Edition. Доступные вкладки включают в себя Панель, Оповещения, Сеансы, Службы, Отчеты, Подключение и Ведение журнала.
  3. На вкладке Задачи щелкните Обновить сейчас.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Если щелкнуть кнопку Обновить, то данные обновляются только на выбранной вкладке.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка периода обновления

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку, данные в которой необходимо обновить.
    • Для выпуска ISA Server 2006 Enterprise Edition. Имеются вкладки Панель, Оповещения, Службы, Конфигурация, Отчеты и Подключение.
    • Для выпуска ISA Server 2006 Standard Edition. Имеются вкладки Панель, Оповещения, Службы, Отчеты и Подключение.
  3. Откройте вкладку Задачи и установите переключатель Частота автоматического обновления в одно из четырех положений: Отсутствует, Низкая, Средняя или Высокая.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Если выбран низкий период обновления, данные обновляются каждые 120 секунд.
    Если выбран средний период обновления, данные обновляются каждые 60 секунд.
    Если выбран высокий период обновления, данные обновляются раз в 30 секунд.
  • Величина периода обновления не влияет на работу средств проверки подключения. Чтобы изменить период обновления для средств проверки подключения, воспользуйтесь соответствующим сценарием, опубликованном на странице ISA Server Coding Corner (http://www.microsoft.com/). Обратите внимание, что в выпуске ISA Server 2006 Enterprise Edition период обновления распространяется на все средства проверки подключения на всех членах массива, а в выпуске ISA Server 2006 Standard Edition — на все средства проверки подключения.

См. также

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Отображение Панели

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. Щелкните вкладку Панель в области сведений.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.


Просмотр состояния настройки (Enterprise Edition)

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  2. Откройте вкладку Конфигурация в области сведений.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Включение аудита параметров разрешений сервера хранилища настроек (Enterprise Edition)

  1. На компьютере, исполняющем роль сервера хранилища настроек, выберите Пуск, Администрирование, Локальная политика безопасности.
  2. Последовательно выберите Параметры безопасности, Локальные политики, Политика аудита.
  3. Щелкните правой кнопкой на записи Аудит доступа к службе каталогов в области сведений и выберите в меню пункт Свойства.
  4. Установите флажки Успех и Ошибка.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Настройка оповещений

В этом разделе приведены ссылки на этапы настройки оповещений в Microsoft ISA Server 2006.

  • Включение определения оповещения
  • Добавление определения оповещения
  • Изменение определения оповещения
  • Изменение условия оповещения
  • Изменение порога оповещения
  • Изменение действия оповещения
  • Подтверждение оповещения
  • Настройка оповещения о недопустимом предложении DHCP
  • Сброс оповещения

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение определения оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. На вкладке Задачи щелкните Настроить определения оповещений.
  4. Чтобы включить оповещение, установите флажок в соответствующем поле на вкладке Определения оповещений.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.


Добавление определения оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. На вкладке Задачи нажмите Настроить определения оповещений, затем нажмите Добавить.
  4. Следуйте экранным инструкциям в мастере создания оповещений.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Создать новые определения оповещений можно только для событий, у которых нет ассоциированных определений оповещений.


Изменение определения оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. На вкладке Задачи щелкните Настроить определения оповещений.
  4. На вкладке Определения оповещений выберите определение оповещения, затем нажмите Изменить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Событие представляет собой условие с заданным временем выполнения, для которого служба сервера ISA Server создает уведомление, способное инициировать оповещение. События, инициирующие определенные оповещения, идентифицируются по типу события и, в случае событий с дополнительными условиями, дополнительным условием. Дополнительные условия можно использовать для определения различных оповещений для очень специфичных условий.
  • Чтобы выключить определение оповещения, снимите флажок с имени оповещения.


Изменение условия оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. На вкладке Задачи щелкните Настроить определения оповещений.
  4. Выберите определение оповещения, которое необходимо изменить, и щелкните Изменить.
  5. На вкладке События выполните следующие действия:
    • В окне Событие выделите событие, инициирующее оповещение. Если к событию необходимо добавить дополнительное условие, нажмите требуемое условие в окне Дополнительное условие.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Событие, связанное с каким-либо определением оповещения, можно изменить только при условии, что данное событие не связано с определением другого оповещения.


Изменение порога оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. На вкладке Задачи щелкните Настроить определения оповещений.
  4. Выберите определение оповещения, которое необходимо изменить, и щелкните Изменить.
  5. На вкладке События щелкните в поле Число повторений и введите требуемое число повторений события, необходимых для инициирования оповещения.
  6. Установите флажок в поле Количество событий в секунду и введите число событий в секунду, необходимых для инициирования оповещения.
  7. Выберите один из следующих параметров:
    • Если оповещение должно быть инициировано непосредственно после повторения события, нажмите Немедленно.
    • Если оповещение должно быть инициировано после сброса события, нажмите Только если оповещение сброшено вручную.
    • Если оповещение должно быть инициировано по истечении определенного интервала времени, нажмите Если время последнего выполнения превышает Число минут, затем введите продолжительность интервала в минутах, по истечении которого действие должно выполняться.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Событие, связанное с каким-либо определением оповещения, можно изменить только при условии, что данное событие не связано с определением другого оповещения.
  • Оповещение будет инициировано после заданного количества повторений события. Например, если указано 5 повторений, оповещение будет инициировано после шестого повторения события. Подобным образом, оповещение будет инициировано по истечении заданного количества секунд после события. Например, если указано 5 секунд, оповещение будет инициировано по истечении шестой секунды после события.


Изменение действия оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. На вкладке Задачи щелкните Настроить определения оповещений.
  4. Выберите определение оповещения, которое необходимо изменить, и щелкните Изменить.
  5. На вкладке Действие измените одно или несколько из перечисленных действий.
    • Чтобы отправить сообщение по электронной почте при возникновении условия оповещения, установите флажок Отправить сообщение по электронной почте, а затем укажите SMTP-сервер, получателя и отправителя.
    • Чтобы запустить приложение при возникновении условия оповещения, установите флажок Запустить программу, а затем в поле Файл программы введите команду для запуска из командной строки. Введите параметры программы в поле Параметры. Чтобы выбрать учетную запись, в контексте которой запускается программа, щелкните Выбрать учетную запись, а затем выберите учетную запись.
    • Чтобы зарегистрировать событие в журнале, установите флажок Отчет в журнал событий Windows.
    • Чтобы остановить службы ISA Server, установите флажок Остановить выбранные службы, а затем щелкните Выбрать, чтобы выбрать, какие службы ISA Server остановить при возникновении условия оповещения.
    • Чтобы запустить службы ISA Server, установите флажок Запустить выбранные службы, а затем щелкните Выбрать, чтобы выбрать, какие службы ISA Server запустить при возникновении условия оповещения.

Примечания

  • Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Можно указать несколько получателей сообщений электронной почты, вводя адреса в полях Куда и Копия, разделенные точкой с запятой (;).
  • Если настроить использование действия электронной почты на SMTP-сервере, расположенном во внутренней сети, также необходимо активировать правило системной политики, разрешающее сети локального узла иметь доступ к внутренней сети по протоколу SMTP. В редакторе системной политики в группе настройки Удаленное наблюдение выберите SMTP, а затем щелкните Включить. Это активирует правило Разрешить передачу пакетов по протоколу SMTP от межсетевого экрана к доверенным серверам.
  • Если настроить использование действия электронной почты на внешнем SMTP-сервере, то необходимо создать правило доступа, разрешающее сети локального узла иметь доступ к внешней сети (или к сети, в которой находится SMTP-сервер) по протоколу SMTP.
  • Если сервер ISA Server запускает некоторую программу, то можно указать, какая учетная запись пользователя должна быть использована. Указанный пользователь должен иметь разрешения Вход в качестве пакетного задания.
  • Программы, выполняющиеся в рамках действия оповещения, запускаются неинтерактивно и поэтому не отображают пользовательский интерфейс.
  • В окне Использовать данную учетную запись можно щелкнуть Выбрать учетную запись, чтобы указать учетную запись пользователя для запуска программы.


Подтверждение оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. В области сведений выберите оповещение или группу оповещений, которые необходимо подтвердить.
  4. На вкладке Задачи нажмите Подтвердить выбранные оповещения.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Можно подтвердить всю группу оповещений, выбрав только заголовок группы.
  • В окне "Оповещения" экземпляры оповещений группируются по категориям (например, Отключение служб). Заголовки групп можно раскрывать или сворачивать, чтобы отобразить или скрыть содержащиеся в них элементы.
  • Чтобы выделить несколько оповещений, расположенных рядом, щелкните первое оповещение, затем, удерживая нажатой клавишу SHIFT, щелкните последнее оповещение.
  • Чтобы выделить несколько оповещений, не расположенных рядом, щелкните первое оповещение, затем, удерживая нажатой клавишу CTRL, щелкните по очереди другие оповещения.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


настроить оповещение о недопустимом предложении DHCP

Настройка оповещения о недопустимом предложении DHCP

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. Щелкните имя группы Недопустимое предложение DHCP в области сведений и выберите оповещение Недопустимое предложение DHCP.
  4. На вкладке Задачи нажмите кнопку Обновить DHCP-адреса.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Сброс оповещения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Оповещения.
  3. В области сведений выберите оповещение или группу оповещений, которые необходимо сбросить.
  4. На вкладке Задачи щелкните Сбросить выбранные оповещения.
  5. Щелкните Да, чтобы подтвердить сброс выбранных оповещений.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Можно сбросить целую группу оповещений, выбрав ее заголовок.
  • В окне "Оповещения" экземпляры оповещений группируются по категориям (например, Отключение служб). Заголовки групп можно раскрывать или сворачивать, чтобы отобразить или скрыть содержащиеся в них элементы.
  • Чтобы выбрать смежные оповещения, выберите первое оповещение, а затем, удерживая нажатой клавишу SHIFT, щелкните последний элемент.
  • Чтобы выбрать несмежные оповещения, выберите первое оповещение, а затем, удерживая нажатой клавишу CTRL, щелкните дополнительные элементы.
  • В случае перезапуска службы контроля Microsoft ISA Server (isactrl) все оповещения автоматически сбрасываются.


Настройка наблюдения за сеансами

В этом разделе приведены ссылки на этапы настройки наблюдения за сеансами в Microsoft ISA Server 2006.

  • Просмотр сеансов
  • Отключение сеанса
  • Наблюдение за выбранными сеансами
  • Сохранение определения фильтра
  • Загрузка определения фильтра
  • Приостановка сеансов наблюдения
  • Остановка наблюдения за сеансами

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Просмотр сеансов

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Сеансы.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.
  • Список сеансов отображается в области сведений.


Отключение сеанса

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Сеансы.
  3. Выберите нужный сеанс.
  4. На вкладке Задачи щелкните Отключить сеанс.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.


Наблюдение за выбранными сеансами

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Сеансы.
  3. На вкладке Задачи нажмите Изменить фильтр.
  4. В окне Фильтровать по выберите один из следующих параметров:
    • Активация. Фильтрация только для сеансов, активированных после указанного времени.
    • Имя приложения. Фильтрация на основе имени приложения.
    • Имя узла клиента, IP-адрес клиента или Имя пользователя клиента. Фильтрация сеансов отдельных клиентов.
    • Тип сеанса. Фильтрация сеансов отдельных типов клиентов. Клиент межсетевого экрана, SecureNAT, VPN-клиент, VPN типа "сеть-сеть" или веб-прокси.
    • Имя сервера. Фильтрация на основе имени сервера.
    • Исходная сеть. Фильтрация сеансов отдельных исходных сетей.
  5. Укажите соответствующее условие в окнах Условие и Значение, затем нажмите Добавить в список.
  6. Чтобы добавить другие условия к фильтру, повторите этапы 4 и 5. Затем нажмите Выполнить запрос.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • По умолчанию все сеансы отображаются в таблице в области сведений "Сеансы".
  • Средство просмотра сеансов отображает данные только тех сеансов, которые полностью соответствуют выражениям, определенным в фильтре. Выражения фильтра сочетаются с помощью логического оператора И.
  • По умолчанию столбцы Имя приложения и Имя сервера не отображаются в области сведений "Сеансы". Чтобы отобразить эти столбцы, щелкните правой кнопкой мыши заголовки столбцов в таблице в области сведений, затем выберите соответствующий столбец.
  • Чтобы удалить какое-либо выражение из списка фильтра, нажмите Изменить фильтр. Далее выберите требуемое выражение и нажмите Удалить.
  • Чтобы изменить какое-либо выражение в списке фильтра, нажмите Изменить фильтр. Далее выделите выражение, внесите требуемые изменения, затем нажмите Обновить.


Сохранение определения фильтра

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Сеансы.
  3. Нажмите кнопку Экспорт определений фильтров на вкладке Задачи.
  4. В поле Имя файла укажите имя XML-файла с определением фильтра. Затем нажмите кнопку Сохранить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.


Загрузка определения наблюдения

Загрузка определения фильтра

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Сеансы.
  3. На вкладке Задачи щелкните Импорт определений фильтров.
  4. В поле Имя файла укажите имя XML-файла с определением фильтра. Затем щелкните Загрузить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Приостановка сеансов наблюдения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Сеансы.
  3. На вкладке Задачи щелкните Приостановить сеансы наблюдения.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Чтобы возобновить сеансы наблюдения, на вкладке Задачи щелкните Возобновить сеансы наблюдения.
  • В случае приостановки наблюдения за сеансами сеансы, отображаемые в окне "Сеансы", не удаляются. Однако новые сеансы не добавляются в окно просмотра. При возобновлении наблюдения за сеансами сервер ISA Server обновляет окно "Сеансы" релевантной информацией о новых сеансах.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Остановка сеансов наблюдения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Сеансы.
  3. Выберите Остановить сеансы наблюдения на вкладке Задачи.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • В случае остановки сеансов наблюдения сервер ISA Server утрачивает данные наблюдения за любыми предшествующими сеансами.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Запуск и остановка служб

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. Откройте вкладку Службы в области сведений.
  3. Выберите соответствующую службу: служба Microsoft Data Engine, служба межсетевого экрана Microsoft или служба планировщика заданий Microsoft ISA Server.
  4. На вкладке Задачи нажмите Запустить выбранную службу, чтобы запустить выбранную службу, или Остановить выбранную службу, чтобы остановить выбранную службу.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Если служба уже остановлена, пункт Остановить выбранную службу на вкладке Задачи будет недоступен.


Настройка ведения журнала

В этом разделе приведены ссылки на инструкции по настройке функции ведения журнала в Microsoft ISA Server 2006.

  • Включение ведения журнала для определенной службы
  • Регистрация запросов, соответствующих правилу
  • Определение полей для журнала
  • Настройка ведения журнала в базе данных SQL
  • Использование шифрования данных при подключении к базе данных SQL (Enterprise Edition)
  • Настройка ведения журнала в базе данных MSDE
  • Настройка SQL Server для ведения журналов ISA Server
  • Настройка ограничения размера журналов
  • Настройка ведения журнала в файле
  • Фильтрация данных для средства просмотра журнала
  • Сохранение определения фильтра журнала
  • Загрузка определения фильтра журнала
  • Сохранение данных средства просмотра журналов

Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).


Включение ведения журнала для конкретной службы

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите подходящую задачу.
    • Настройка ведения журнала межсетевого экрана. Чтобы настроить местонахождение журнала межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Чтобы настроить местонахождение журнала веб-прокси.
  4. На вкладке Журнал установите флажок Включить ведение журнала для данной службы.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Чтобы отключить ведение журнала для конкретной службы, на вкладке Журнал снимите флажок Включить ведение журнала для данной службы.


Регистрация запросов, соответствующих правилу

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для запросов уровня предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие, Политики предприятия и щелкните Политика_предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для запросов уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.
  2. В области сведений щелкните правило, для которого должно быть включено ведение журнала.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Действие установите флажок Регистрировать в журнале запросы, подпадающие под данное правило.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При регистрации большого объема данных из конкретного протокола или источника можно создать новое правило, которое применяется, чтобы не регистрировать запросы к такому типу трафика. Например, предположим, что текущая политика не разрешает DHCP-запросы. В результате имеется много отброшенных DHCP-запросов. Можно создать новое правило доступа, которое отклоняет DHCP-запросы, но не заносит их в журнал.
  • Отключение ведения журнала для конкретного правила позволяет эффективно сократить нагрузку на компьютер ISA Server в условиях атаки. Однако следует отметить, что при отключении ведения журнала для правила отклонения по умолчанию сервер ISA Server не может обнаружить атаки сканирования портов.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Определение полей для журнала

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите нужную задачу.
    • Настройка ведения журнала межсетевого экрана. Чтобы настроить местонахождение журнала межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Чтобы настроить местонахождение журнала веб-прокси.
  4. На вкладке Поля выполните одно из следующих действий:
    • Чтобы выбрать конкретные поля, установите соответствующий флажок.
    • Чтобы снять все флажке в списке полей, щелкните Очистить все.
    • Чтобы установить все флажки в списке полей, щелкните Выбрать все.
    • Чтобы выбрать набор полей по умолчанию для файла журнала ISA Server, щелкните Восстановить значения по умолчанию.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка ведения журнала в базе данных SQL

Для выпуска ISA Server 2006 Enterprise Edition. Выполните указанные ниже действия.

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите подходящую задачу.
    • Настройка ведения журнала межсетевого экрана. Чтобы настроить журнал межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Чтобы настроить журнал веб-прокси.
  4. На вкладке Журнал выберите База данных SQL.
  5. Щелкните Параметры, а затем выполните следующие действия.
    • В поле Сервер введите имя компьютера с SQL Server, где будет регистрироваться информация.
    • В поле Порт введите номер используемого порта. Номер порта по умолчанию для компьютера с SQL Server: 1433.
    • В поле База данных введите имя база данных на компьютере с SQL Server.
    • Выберите Использовать проверку подлинности Windows (рекомендуется) или Использовать проверку подлинности SQL Server.
    • В полях Пользователь и Пароль введите учетные данные учетной записи для использования при проверке подлинности данного подключения.

Для выпуска ISA Server 2006 Standard Edition. Выполните следующие действия:

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите нужную задачу.
    • Настройка ведения журнала межсетевого экрана. Чтобы настроить местонахождение журнала межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Чтобы настроить местонахождение журнала веб-прокси.
  4. На вкладке Журнал щелкните База данных SQL.
  5. Подтвердите или измените следующие параметры:
    • Имя источника данных ODBC (DSN)
    • Имя таблицы
    • Использовать данную учетную запись
  6. (Необязательно) Если необходимо изменить учетную запись пользователя, щелкните Выбрать учетную запись, введите имя пользователя в поле Пользователь и пароль в полях Пароль и Подтверждение.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Для регистрации в базе данных SQL должна быть активирована группа настройки системной политики Ведение удаленного журнала (SQL).
  • Для выпуска ISA Server 2006 Enterprise Edition. По возможности рекомендуется использовать проверку подлинности Windows. При развертывании рабочих групп во время настройки ведение SQL-журнала для проверки подлинности Windows необходимо указать локальную учетную запись пользователя. Эта учетная запись должна существовать на всех членах массива и на компьютере с SQL Server. Такая учетная запись также должна иметь соответствующие разрешения на вход, указанные в параметрах в безопасности SQL Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Если используется порт SQL по умолчанию, включается правило системной политики Разрешить ведение удаленных SQL-журналов из ISA Server на выбранных серверах, разрешающее SQL-доступ из сети локального узла ко всем компьютерам внутренней сети.
    Рекомендуется изменить системную политику так, чтобы данное правило применялось только к конкретному компьютеру с SQL Server. Инструкции см. Изменение пунктов назначения для правил системной политики.
  • Для выпуска ISA Server 2006 Enterprise Edition. Если указан нестандартный номер порта (этап 5), то необходимо выполнить следующие действия:
    1. Создайте протоколы UDP и TCP для указанного порта. Инструкции см. в разделе Создание протокола.
    2. Создайте правило доступа из сети локального узла к сети, в которой расположен компьютер и SQL Server, разрешающее использовать два созданных протокола. Инструкции см. в разделе Создание правила доступа.
  • Для выпуска ISA Server 2006 Standard Edition. При настройке DSN на использование проверки подлинности Windows предоставьте подходящие права доступа к компьютеру ISA Server. Обратите внимание, что в данном случае учетные данные, настроенные в свойствах ведения журнала диспетчера ISA Server, игнорируются для конкретного журнала.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Использование шифрования данных при подключении к базе данных SQL (Enterprise Edition)

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите подходящую задачу.
    • Настройка ведения журнала межсетевого экрана. Чтобы настроить журнал межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Чтобы настроить журнал веб-прокси.
  4. На вкладке Журнал выберите База данных SQL.
  5. Нажмите кнопку Параметры.
  6. Выберите Требовать шифрования данных.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Для успешной регистрации в базе данных SQL должна быть введена в действие группа настройки системной политики Удаленная регистрация (SQL).
  • По умолчанию шифрование включено для входа в базу данных SQL, требуя ISA Server подключаться к базе данных SQL через SSL-подключение. SSL-подключение требует наличия сертификата на компьютере с SQL Server. Также необходимо обновить доверенный корневой центр сертификации на каждом члене массива ISA Server, чтобы доверять сертификату сервера. Дополнительные сведения см. в разделе Лучшие решения: Ведение журнала на веб-узле Microsoft ISA Server TechCenter (http://www.microsoft.com/).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка ведения журнала в базе данных MSDE

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите подходящую задачу.
    • Настройка ведения журнала межсетевого экрана. Чтобы настроить местонахождение журнала межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Чтобы настроить местонахождение журнала веб-прокси.
  4. На вкладке Ведение журнала щелкните База данных MSDE.
  5. (Необязательно) Щелкните Параметры, чтобы подтвердить или изменить приведенные ниже параметры.
    • Папка журналов ISA или Эта папка. Чтобы настроить местонахождение файла журнала.
    • Удалить файлы старше, чем (дней). Укажите число дней хранения файлов журналов до их автоматического удаления.

Примечания

  • Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • При удалении файла базы данных Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) без предварительного его отсоединения от MSDE 2000 автономное средство просмотра журналов может обрабатывать запросы не так, как ожидается. Сервер ISA Server поддерживает автоматическую очистку файлов базы данных, но для удаления файла в ручную сначала необходимо его отсоединить от MSDE 2000. Чтобы отсоединить базу данных от сервера, введите в командной строке следующую последовательность:
    OSQL -S <computer_name>\MSFW -E
Drop database <database_name>
go
quit
  • При указании местонахождения папки файлов журналов можно определить переменную среды. Например, можно определить %logDirectory%. Если указанная папка не существует, сервер ISA Server предупредит о том, что указанное местонахождение неверно и попытается создать такую папку. Если серверу ISA Server не удается создать папку, то служба не будет запущена.
  • При перемещении файлов журналов в другую папку или раздел необходимо убедиться в том, что учетная запись сетевой службы обладает хотя бы разрешениями на чтение из корневого раздела и любой родительской папки по отношению к папке файлов журналов ISA Server. Для папки файла журнала требуются следующие разрешения:
    • Сетевая служба: полный доступ
    • Система: полный доступ
    • Администраторы: полный доступ

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка SQL Server на ведение журналов ISA Server

  1. Настройка файла базы данных в SQL Server
    1. На компьютере с SQL Server запустите программу Enterprise Manager.
    2. Подключитесь к компьютеру с запущенной SQL Server, на котором планируется разместить файлы базы данных.
    3. В меню Сервис щелкните Анализатор SQL-запросов.
    4. В меню Файл щелкните Открыть, чтобы открыть "ISA CD":\FPC\Program Files\Microsoft ISA Server.
    5. Откройте один из указанных ниже SQL-файлов в зависимости от требуемого способа ведения журналов в базе данных SQL.
      • Для службы межсетевого экрана Microsoft откройте файл Fwsrv.sql.
      • Для веб-прокси откройте файл W3proxy.sql.
    6. Создайте базу данных.
    7. В начало каждого сценария добавьте следующие строки:
      Use <database name>
Go
    8. В меню Запрос щелкните Выполнить.
  2. Настройте SQL Server на прием подключения линии данных от компьютера ISA Server. Если сервер ISA Server не расположен в том же домене Windows Server 2003 или Windows 2000, то для СУБД SQL Server необходимо создать учетную запись.
    1. Запустите программу SQL Enterprise Manager и подключитесь к компьютеру с SQL Server, на котором были размещены базы данных текущего пользователя.
    2. Щелкните Серверы Microsoft SQL, щелкните Группа SQL Server, щелкните Имя_сервера, щелкните Безопасность и правой кнопкой щелкните Входы в систему.
    3. Щелкните Новый вход в систему.
    4. Если компьютер пользователя находиться в том же домене, что и сервер ISA Server, то можно щелкнуть Проверка подлинности Windows.
      1. В поле Имя введите следующее: domainname\isaservername$
      2. На вкладке Доступ к базе данных выберите базы данных, доступные для данного метода входа в систему (базы данных, созданные ранее).
      Для выпуска ISA Server 2006 Enterprise Edition. В конфигурации массива для каждого члена массива следует создать отдельный вход в систему.
    5. Если домены компьютера пользователя и сервера ISA Server различны, то необходимо использовать проверку подлинности SQL Server:
      1. В поле Имя введите конкретное имя.
      2. Используйте имя для описания метода входа в систему.
      3. Введите пароль для данного метода входа в систему.
      4. На вкладке Доступ к базе данных выберите базы данных, доступные для данного метода входа в систему (базы данных, созданные ранее).
    6. Выберите Изменить базу данных по умолчанию, а затем выберите базу данных, в которой сервер ISA Server должен регистрировать журнальные данные.
    7. Настройте для данной таблицы разрешения SELECT и INSERT. Настройте разрешения EXECUTE для процедуры sp_batch_insert службы ISA Server в целях ведения журналов в данной базе данных.

Примечания

  • Для выпуска ISA Server 2006 Enterprise Edition. По умолчанию сервер ISA Server использует SSL-шифрование при подключении к компьютеру с SQL Server, чтобы защитить уязвимые данные файлов журналов. Чтобы активировать такое подключение, необходимо на членах массива установить сертификат корневого центра сертификации (ЦС). Дополнительные сведения см. на веб-узле в разделе "Как включить SSL-шифрование для SQL Server 2000 с сервером сертификации" (http://www.microsoft.com/).
  • Для выпуска ISA Server 2006 Standard Edition. По умолчанию сервер ISA Server использует SSL-шифрование при подключении к компьютеру с SQL Server, чтобы защитить уязвимые данные в файлах журналов. Чтобы активировать такое подключение, необходимо на компьютер ISA Server установить сертификат корневого центра сертификации (ЦС). Дополнительные сведения см. на веб-узле в разделе "Как включить SSL-шифрование для SQL Server 2000 с сервером сертификации" (http://www.microsoft.com/).
  • Для выпуска ISA Server 2006 Enterprise Edition. Инструкции по настройке шифрования данных для сервера ISA Server см. в разделе Как использовать шифрование данных при подключении базе данных SQL.
  • Для выпуска ISA Server 2006 Enterprise Edition. Для обеспечения взаимодействия между членами массива и компьютером с SQL Server рекомендуется использовать PCI-карты Ethernet со скоростью передачи 100 Мбит/с.
  • Для выпуска ISA Server 2006 Standard Edition. Для обеспечения взаимодействия между компьютерами с сервером ISA Server и SQL Server рекомендуется использовать PCI-карты Ethernet со скоростью передачи 100 Мбит/с.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка ограничения размера журналов

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите подходящую задачу.
    • Настройка ведения журнала межсетевого экрана. Используется для настройки ограничений на размеры журнала межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Используется для настройки ограничений на размеры журнала веб-прокси.
  4. На вкладке Ведение журнала выберите Файл или База данных MSDE.
  5. Нажмите кнопку Параметры.
  6. Чтобы ограничить размер журналов, выберите Ограничить общий размер файлов журнала (ГБ). Затем укажите максимальный размер журнала.
  7. Чтобы поддерживать указанный объем свободного места на диске, где хранятся журналы, выберите Поддерживать количество свободного места на диске (МБ). Затем укажите объем свободного места на диске, который необходимо поддерживать.
  8. Если установлен флажок Ограничить общий размер файлов журнала (ГБ) или Поддерживать количество свободного места на диске (МБ), то необходимо выбрать один из приведенных ниже параметров.
    • Удалять старые файлы журнала по мере необходимости. Используется для удаления самых старых файл журналов в случае превышения установленных ограничений.
    • Отбрасывать новые записи журнала. Используется, чтобы запретить серверу ISA Server добавление любых новых записей журнала (сохраняя все старые данные журнала).
  9. Чтобы удалить старые данные журнала, выберите Удалять файлы старше, чем (дней). Затем укажите период хранения данных журнала.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Невозможно установить ограничение на размер журналов базы данных SQL.
  • Сервер ISA Server следит за тем, чтобы размер журналов не превышал установленных ограничений, выполняя проверку каждые десять минут. Размер журналов может превышать установленные ограничения в течение не более десяти минут.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка ведения журнала в файле

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи выберите подходящую задачу.
    • Настройка ведения журнала межсетевого экрана. Чтобы настроить местонахождение журнала межсетевого экрана.
    • Настройка ведения журнала веб-прокси. Чтобы настроить местонахождение журнала веб-прокси.
  4. На вкладке Ведение журнала щелкните Файл.
  5. (Необязательно) Щелкните Параметры, чтобы подтвердить или изменить приведенные ниже параметры.
    • Папка журналов ISA или Эта папка. Чтобы настроить местонахождение файла журнала.
    • Сжать файлы журналов. Чтобы сжать файл журнала.
    • Удалить файлы журналов старше, чем (дней). Укажите число дней хранения файлов журналов до их автоматического удаления.

Примечания

  • Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • При указании местонахождения папки файлов журналов можно определить переменную среды. Например, можно определить %logDirectory%. Если указанная папка не существует, сервер ISA Server предупредит о том, что указанное местонахождение неверно и попытается создать такую папку. Если серверу ISA Server не удается создать папку, то служба не будет запущена.
  • При перемещении файлов журналов в другую папку или раздел необходимо убедиться в том, что учетная запись сетевой службы обладает хотя бы разрешениями на чтение из корневого раздела и любой родительской папки по отношению к папке файлов журналов ISA Server. Для папки файла журнала требуются следующие разрешения:
    • Сетевая служба: полный доступ
    • Система: полный доступ
    • Администраторы: полный доступ
  • Сжатие файла журнала уменьшает его размер и сокращает занимаемый им объем пространства.
  • При работе со сжатыми файлами в NTFS можно заметить снижение производительности. При чтении из сжатого файла ОС Windows автоматически распаковывает его, а после выполнения записи в файл сжимает. Этот процесс может снизить производительность компьютера.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Фильтрация данных средства просмотра журнала

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи нажмите Изменить фильтр.
  4. В окне Фильтровать по выберите одно из полей журнала.
  5. Укажите соответствующее условие в окнах Условие и Значение, затем нажмите Добавить в список.
  6. Чтобы добавить другие условия к фильтру, повторите этапы 4 и 5. Затем нажмите Выполнить запрос.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Средство просмотра журнала отображает только те данные журнала, которые полностью соответствуют выражениям, определенным в фильтре. Выражения фильтра сочетаются с помощью логического оператора И.
  • Для изменения какого-либо выражения в списке фильтра нажмите Изменить фильтр. Далее, выберите требуемое выражение и нажмите Обновить.
  • Чтобы исключить выражение из списка фильтра, выберите соответствующее выражение в окне Отображать только записи, удовлетворяющие данным условиям, затем нажмите Удалить.
  • При создании фильтра необходимо указать только один параметр Время записи и один параметр Тип журнала.
  • Обновление данных средством просмотра журналов производится только во время работы службы межсетевого экрана. Когда служба межсетевого экрана не работает, сервер ISA Server вводит заблокированный режим. Для получения дополнительных сведений см. раздел Заблокированный режим.
  • Средство просмотра журналов отображает данные только по журналам межсетевого экрана и веб-прокси.


Сохранение определения фильтра журнала

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. Нажмите кнопку Экспорт определений фильтров на вкладке Задачи.
  4. В поле Имя файла укажите имя XML-файла с определением фильтра. Затем нажмите кнопку Сохранить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.


Загрузка определения фильтра журнала

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. На вкладке Задачи щелкните Импорт определений фильтров.
  4. В поле Имя файла укажите имя XML-файла с определением фильтра. Затем щелкните Загрузить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Сохранение данных средства просмотра журналов

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Ведение журнала.
  3. Откройте вкладку Задачи и выберите один из следующих параметров:
    • Скопировать все результаты в буфер. Копирование всех данных, отображенных в средстве просмотра журналов.
    • Скопировать выделенные результаты в буфер. Копирование данных, выделенных в средстве просмотра журналов.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Чтобы выделить несколько смежных записей в журнале, щелкните первую из них, нажмите клавишу SHIFT, а затем, не отпуская ее, щелкните последнюю запись.
  • Чтобы выделить несколько разрозненных записей в журнале, щелкните первую из них, нажмите клавишу CTRL, после чего, не отпуская ее, выделите остальные записи.
  • После копирования данных в буфер их можно вставить в виде текста в нужное приложение для анализа.


Настройка составления отчетов

В этом разделе приведены ссылки на инструкции по настройке составления отчетов в Microsoft ISA Server 2006.

  • Создание отчета
  • Создание задания периодических отчетов
  • Настройка базы данных сводных отчетов
  • Отключение функции создания сводной базы данных отчетов
  • Настройка создания периодических отчетов
  • Просмотр и публикация отчетов

Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи нажмите кнопку Сформировать новый отчет.
  4. Следуйте инструкциям на экране.

Примечания

  • Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Чтобы можно было создать отчет, должна быть запущена служба планировщика заданий Microsoft ISA Server.
  • Если отчет публикуется в общую папку, обязательно предоставьте учетные данные, которые будут использоваться модулем создания отчетов для публикации. Эти учетные данные должны иметь разрешения на запись в указанную папку. Чтобы разрешить другим просматривать опубликованный отчет, предоставьте им разрешения на чтение из этой папки.
  • Можно опубликовать отчет в общей папке, используя локальный путь, например ИмяДиска:\ОбщаяПапка. Нельзя публиковать отчет в локальной общей папке, например \\ИмяЛокальногоСервера\ОбщаяПапка. (Будет выдано сообщение об ошибке.)
  • Чтобы создать задание периодических отчетов, нажмите кнопку Создать и настроить задания отчетов на вкладке Задачи.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Создание задания периодических отчетов

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Щелкните Добавить, чтобы создать новое задание периодических отчетов, и следуйте инструкциям на экране.

Примечания

  • Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Чтобы создать отчет, должна быть запущена служба планировщика заданий Microsoft ISA Server.
  • При публикации отчета в общей папке убедитесь в предоставлении учетных данные, которые будут использоваться модулем создания отчетов в целях публикации. Такие учетные данные должны иметь разрешения на запись в указанную папку. Чтобы другие могли просматривать опубликованный отчет, предоставьте им разрешения на чтение из этой папки.
  • Можно опубликовать отчет в общей папке, используя локальный путь, например, ИмяДиска:\ОбщаяПапка. Нельзя публиковать отчет в локальной общей папке, например, \\ИмяЛокальногоСервера\ОбщаяПапка. (Будет выдано сообщение об ошибке).
  • Для выпуска ISA Server 2006 Enterprise Edition. При развертывании рабочей группы необходимо установить флажок Проверять подлинность с использованием данной учетной записи на вкладке Внутренние учетные данные массива страницы свойств массива и указать учетную запись пользователя, определенную на всех членах массива. Инструкции см. в разделе Указание внутренних учетных данных массива (Enterprise Edition).


Настройка базы данных сводных отчетов

Настройка базы данных сводные отчеты

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи выполните одно из указанных ниже действий.
    • Для выпуска ISA Server 2006 Enterprise Edition. Щелкните Настроить параметры сводки журнала и отчета.
    • Для выпуска ISA Server 2006 Standard Edition. Щелкните Настроить сводку журнала.
  4. На вкладке Сводка журнала установите флажок Включить ежедневные и ежемесячные сводки.
  5. В поле Укажите время создания введите время дня, когда должны создаваться данные отчета.
  6. Выполните одно из следующих действий.
    • Чтобы сохранить отчеты в подпапке ISASummaries на данном компьютере, выберите папку ISASummaries.
    • Чтобы сохранить отчеты в другой папке, выберите Эту папку, а затем щелкните Обзор, а затем — папку, предназначенную для сохранения отчетов.
  7. Настройка количества сохраненных сводок
    • В поле Количество сохраненных сводок раздела Ежедневные сводки введите число сохраняемых ежедневных сводок.
    • В поле Ежемесячные сводки укажите число сохраняемых ежемесячных сводок.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Должно сохраняться не менее 35 ежедневных сводок. Должно сохраняться не менее 13 ежемесячных сводок.


Отключение создания базы данных сводных отчетов

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи выполните одно из указанных ниже действий:
    • Для выпуска ISA Server 2006 Enterprise Edition. Щелкните Настроить параметры сводки журнала и отчета.
    • Для выпуска ISA Server 2006 Standard Edition. Щелкните Настроить сводку журнала.
  4. На вкладке Сводка журналов снимите флажок Включить ежедневные и ежемесячные сводки.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Если создается отчет при отключенном создании базы данных сводных отчетов, сервер ISA Server создает недостающие сводки журналов, чтобы создать требуемый отчет. Если сводки были созданы, а затем удалены, то они заново не создаются.


Настройка периодических отчетов

В данном разделе предоставляются конкретные инструкции по настройке периодических отчетов в Microsoft ISA Server 2006.

  • Настройка содержимого отчета для задания отчета
  • Настройка расписания заданий отчета
  • Настройка периодичности отчета
  • Указание даты и времени запуска задания отчета
  • Немедленный запуск задания запланированного отчета
  • Уведомление о создании отчета
  • Удаление задания отчета

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка содержимого отчета для задания отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Выберите соответствующее задание отчета, затем нажмите Изменить.
  5. На вкладке Содержимое выберите, какие из следующих отчетов должны создаваться:
    • Сводка
    • Отчет о доступе в веб-ресурсам
    • Отчет об использовании приложений
    • Отчет о трафике и использовании
    • Отчет о безопасности

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Когда для создания отчетов используется мастер создания отчета, требующиеся типы отчетов можно указать на странице мастера Типы отчетов.
  • Сводные отчеты состоят из набора отчетов, представляющих общие данные по используемым протоколам, посещаемым веб-узлам, использовании кэша и общим параметрам трафика. Эти отчеты представляют наибольший интерес для администраторов сети и лиц, занимающихся управлением и планированием работы в Интернете для компании.
  • Отчеты о доступе к веб-ресурсам состоят из набора отчетов, отражающих основных веб-пользователей, а также общие данные по ответам и веб-обозревателям. Эти отчеты представляют наибольший интерес для администраторов сети и лиц, занимающихся управлением и планированием работы в Интернете для компании. Они отражают данные по использованию Интернета для компании.
  • Отчеты об использовании приложений показывают данные по использованию интернет-приложений в компании, включая входящий и исходящий трафик, основных пользователей, клиентские приложения и места назначения. Эти отчеты представляют наибольший интерес для администраторов сети и лиц, занимающихся управлением и планированием работы в Интернете для компании, так как они содержат необходимые данные для планирования политики по емкости и пропускной способности сети.
  • Отчеты с данными о трафике и использовании представляют общие данные по использованию Интернета по приложениям, протоколам и направлениям. Эти отчеты отражают такие статистические данные, как средний трафик и пиковое число одновременных подключений, эффективность работы кэш-памяти, статистику ошибок и др. Такие отчеты помогают планировать и контролировать емкость сети и определять политику по пропускной способности.
  • Отчеты о безопасности представляют списки попыток нарушения безопасности сети. Отчеты о безопасности помогают в идентификации атак и нарушений защиты после их осуществления.


Настройка расписания заданий отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Выберите соответствующее задание отчета, затем нажмите Изменить.
  5. На вкладке Расписание:
    • Чтобы отчеты создавались ежедневно, щелкните Ежедневно.
    • Чтобы отчеты создавались в определенные день еженедельно, щелкните В следующие дни и укажите соответствующие дни недели.
    • Чтобы отчеты создавались ежемесячно, щелкните Ежемесячно в указанный день. Укажите день месяца для создания отчета.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Содержимое отчета будет отображать период, указанный при настройке отчетного периода.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка периодичности отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Выберите соответствующее задание отчета, затем нажмите Изменить.
  5. На вкладке Содержимое в окне Выберите отчетный период:
    • Выберите Ежедневно, если отчеты должны создаваться для отражения данных по активности за прошедшие сутки.
    • Выберите Еженедельно, если отчеты должны создаваться для отражения данных по активности за прошедшую неделю.
    • Выберите Ежемесячно, если отчеты должны создаваться для отражения данных по активности за прошедший месяц.
    • Выберите Ежегодно, если отчеты должны создаваться для отражения данных по активности за прошедший год.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • При создании задания периодических отчетов период отчетности предполагается равным периоду, указанному в расписании заданий отчетов. Например, когда создается задание еженедельного периодического отчета, в отчетах будут отражены данные по активности за прошедшую неделю.


Указание даты и времени запуска задания отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Выберите соответствующее задание отчета, затем нажмите Изменить.
  5. На вкладке Расписание в поле Дата создания укажите день, в который должно быть запущено данное задание отчета.
  6. В поле Дата начала укажите дату запуска данного отчета.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Если указать дату, отсутствующую в некоторых месяцах (например, 31), то отчеты в такие месяцы создаваться не будут.


Немедленный запуск задания запланированного отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Выберите нужное задание отчета и нажмите кнопку Запустить сейчас.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.


Уведомление о создании отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Выберите соответствующее задание отчета, затем нажмите Изменить.
  5. На вкладке Уведомление выберите Отправить почту.
  6. В поле SMTP-сервер введите имя почтового сервера, используемого для отправки уведомлений по электронной почте.
  7. В полях От, Кому и Копия введите адреса электронной почты отправителя и получателей.
  8. В поле Сообщение введите сообщение, отправляемое получателям электронной почты.
  9. Чтобы убедиться в успешной отправке сообщения, щелкните Проверка.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.


Удаление задания отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи щелкните Создать и настроить задания отчета.
  4. Выберите соответствующее задание отчета, затем нажмите Удалить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.


Просмотр и публикация отчетов

В этом разделе представлены инструкции по просмотру и публикации отчетов в Microsoft ISA Server 2006.

  • Просмотр отчета
  • Настройка данных отчета
  • Сортировка данных отчета
  • Публикация отчета
  • Удаление отчета

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Просмотр отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты, а затем выберите подходящий отчет.
  3. Нажмите кнопку Просмотреть выбранный отчет на вкладке Задачи.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • На диаграмме выводятся только верхние десять записей отчета.


Настройка данных отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи, чтобы настроить соответствующих тип отчета, выберите один из следующих параметров:
    • Настроить содержимое сводки
    • Настроить данные о доступе к веб-ресурсам
    • Настроить данные об использовании приложений
    • Настроить данные о трафике и использовании
    • Настроить содержимое безопасности
  4. Щелкните вкладку, а затем в поле Включить данное количество укажите максимальный объем данных, которые должны быть включены в отчет.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.


Сортировка данных отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты.
  3. На вкладке Задачи выберите настройку соответствующего типа отчета:
    • Настроить параметры сводки
    • Настроить параметры отчета о доступе к веб-ресурсам
    • Настроить параметры отчета об использовании приложений
    • Настроить параметры отчета о трафике и использовании
    • Настроить параметры отчета о безопасности
  4. Щелкните соответствующую вкладку, а затем в окне Порядок сортировки выберите параметр для использования при сортировке данных отчета.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Выбранный порядок сортировки будет применен при следующем просмотре отчета.
  • При этом данные в таблицах будут сортироваться заново, но графики в отчетах заново не создаются.
  • Невозможно настроить порядок сортировки в отчете о безопасности.
    Невозможно настроить порядок сортировки для параметра "Основные протоколы" в сводных отчетах.


Публикация отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты, а затем выберите подходящий отчет.
  3. На вкладке Задачи щелкните Опубликовать выбранный отчет.
  4. В окне Выбор папки выберите папку, в которой должна быть создана папка опубликованных отчетов.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Опубликованные отчеты хранятся в папке с именем Имя_задания_отчета_(Дата начала—дата завершения).
    Например, в случае публикации задания отчета с именем ЕжедевныеОтчеты, создание которого запланировано на период от 1 декабря 2004 г. до 15 декабря 2004 г., папка опубликованных отчетов будет иметь имя ЕжедневныеОтчеты_(12.1.2004—12.15.2004).
  • Чтобы просмотреть отчет, дважды щелкните файл report.htm, расположенный в опубликованной папке. Он содержит ссылки на все типы созданных отчетов.
  • Публикацию отчетов можно настроить во время создания отчета или настройки задания периодических отчетов. На странице Публикация отчетов данного мастера введите имя папки, в которой должна быть создана папка опубликованных отчетов.


Удаление отчета

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Отчеты, а затем выберите подходящий отчет.
  3. На вкладке Задачи нажмите Удалить выбранный отчет. Затем нажмите Да.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.


Настройка средств проверки подключений

В этом разделе содержатся сведения по созданию и настройке средств проверки подключения в Microsoft ISA Server 2006.

  • Создание средства проверки подключения
  • Задание способа проверки подключения
  • Задание тайм-аута проверки подключения
  • Настройка группы средств проверки подключения
  • Отключение средства проверки подключения

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание средства проверки подключения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Подключение.
  3. На вкладке Задачи нажмите Создать новое средство проверки подключения.
  4. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • При просмотре Панели состояния соединений приведены по группам. Если все серверы в группе отвечают и время ожидания ответа ниже заданного порога, то в состоянии группы показывается, что серверы в этой группе отвечают нормально. Если не удается получить своевременный ответ от какого-либо сервера из группы, то в состоянии группы отражается наихудшее состояние, имеющееся в данной группе, например "Медленное соединение" или "Нет соединения".


Настройка способа проверки подключения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Средство проверки подключения, затем выберите соответствующее средство проверки подключения.
  3. На вкладке Задачи нажмите Изменить выбранное средство проверки.
  4. На вкладке Свойства выберите один из следующих методов:
    • Отправка HTTP-запроса "GET"
    • Отправка запроса проверки связи
    • Установление TCP-соединения
  5. Если выбран параметр Установление TCP-соединения, в окне Подключиться к порту укажите, что протокол выбирает соответствующий порт по умолчанию, или выберите Настраиваемый и укажите номер порта.

Примечания

  • Дополнительные сведения о наблюдении, ведении журналов и отчетности см. в разделе Принципы наблюдения, ведения журналов и отчетности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • Если используется средство проверки HTTP-подключения, средство проверки возвращает ошибку, если сертификат удаленного сервера неверен.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Задание тайм-аута проверки подключения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Подключение и выберите соответствующее средство проверки подключения.
  3. На вкладке Задачи нажмите Изменить выбранное средство проверки.
  4. На вкладке Свойства в поле Укажите пороговое значение тайм-аута ответа (мсек) введите время ожидания (в миллисекундах) при определении отсутствия ответа от сервера.
  5. Выберите Инициировать оповещение, если ответ сервера не пришел за указанный период времени, если требуется инициирование оповещения со стороны сервера ISA Server в случае отсутствия ответа от сервера.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.


Настройка группы средств проверки подключения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Подключение, затем выберите соответствующее средство проверки подключения.
  3. На вкладке Задачи нажмите Изменить выбранное средство проверки.
  4. На вкладке Свойства, в окне Тип группы выберите один из следующих параметров:
    • Active Directory
    • DHCP
    • DNS
    • Другие
    • Опубликованные серверы
    • Веб (Интернет)

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.

Внимание!

  • При просмотре Панели состояния соединений приведены по группам. Если все серверы в группе отвечают и время ожидания ответа ниже заданного порога, то в состоянии группы показывается, что серверы в этой группе отвечают нормально. Если не удается получить своевременный ответ от какого-либо сервера из группы, то в состоянии группы отражается наихудшее состояние, имеющееся в данной группе, например "Медленное соединение" или "Нет соединения".

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Отключение средства проверки подключения

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. В области сведений щелкните вкладку Подключение, затем выберите соответствующее средство проверки подключения.
  3. На вкладке Задачи щелкните Отключить выбранные средства проверки.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, а затем щелкните Наблюдение.


Сеть

Microsoft® ISA Server 2006 предоставляет сетевую модель, которая позволит определять отношения между сетями, защищенными ISA Server. В данном разделе описаны функции поддержки сети и представлены пошаговые инструкции по настройке поддержки сети в ISA Server.

  • Сеть: принципы
  • Сеть: инструкции


Сеть: принципы

В Microsoft ISA Server 2006 сеть является элементом правила, который может содержать один или несколько диапазонов IP-адресов. Сети включают один или несколько компьютеров, обычно соответствующих физической сети. Можно применять правила к одной или нескольким сетям, или ко всем адресам, за исключением адресов указанной сети.

Для выпуска ISA Server Enterprise Edition. Можно создавать сети уровня массива и корпоративные сети. Сети уровня массива используются в пределах отдельного массива, в то время как корпоративные сети могут использоваться любым массивом в предприятии.

Каждой сетевой плате компьютера (для выпуска ISA Server Standard Edition) или члена массива (для выпуска ISA Server Enterprise Edition) можно сопоставить одну сеть. Сеть может включать адреса, связанные с одной или несколькими сетевыми платами. Сеть также определяет, поддерживаются ли в сети клиенты межсетевого экрана и клиенты веб-прокси.

ISA Server 2006 включает шаблоны сети, которые соответствуют распространенным общим топологиям сети. Можно использовать шаблоны сети для настройки политики межсетевого экрана для трафика между сетями.

Для получения дополнительных сведений о принципах работы с сетями в ISA Server см. документ Принципы поддержки сетей в ISA Server на веб-узле с рекомендациями для ISA Server. (http://www.microsoft.com/)

Цепочки

При помощи правил образования веб-цепочки можно условно маршрутизировать запросы в зависимости от места назначения. Например, запросы можно маршрутизировать напрямую в Интернет или на другой компьютер ISA Server в другом филиале.

Для клиентов межсетевого экрана можно использовать последовательное соединение межсетевых экранов для настройки маршрутизации запросов напрямую в Интернет или на вышестоящий прокси-сервер.

Балансировка сетевой нагрузки (Enterprise Edition)

Можно использовать ISA Server для настройки и управления функцией балансировки сетевой нагрузки Microsoft Windows Server™ 2003, выполняемой на массивах ISA Server. Если балансировка сетевой нагрузки настраивается через ISA Server, она интегрируется с функциональностью сервера ISA Server. Это дает важные возможности, которые недоступны отдельно в балансировке сетевой нагрузки Windows.

Для получения дополнительных сведений о балансировке сетевой нагрузки см. документ о балансировке сетевой нагрузки в ISA Server Enterprise Edition на веб-узле Microsoft TechNet. (http://www.microsoft.com/)

Корпоративные сети (Enterprise Edition)

Перед развертыванием массивов и членов массива в предприятии, администратор предприятия настраивает корпоративные сети. Корпоративная сеть - это сеть, определенная на уровне предприятия, которая является глобальной для всех массивов предприятия. Корпоративная сеть состоит из IP-диапазонов и не имеет никаких других свойств, которые определяются для сетей массива.

Каждый IP-адрес можно назначить только одной корпоративной сети. IP-адреса, определенные на уровне предприятия и включенные в некоторые корпоративные сети, рассматриваются как диапазон адресов предприятия. Обычно после создания корпоративной сети, сеть включается в одну или несколько сетей уровня массива.


Сеть: инструкции

В этом разделе приведены ссылки на этапы настройки сетевой политики в рамках продукта Microsoft ISA Server 2006.

  • Применение шаблона сети
  • Настройка сетей
  • Настройка балансировки сетевой нагрузки (Enterprise Edition)
  • Настроить набор сетей
  • Настройка сетевых правил
  • настроить правила веб-цепочки
Дополнительные сведения о сетях в ISA Server см. в разделе Принципы работы с сетями в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).


Применение шаблона сети

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Шаблоны выберите требуемый шаблон сети.
  4. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Во время установки сервера ISA Server создаются два набора сетей:
    • Все сети. Включает все сети, определенные на компьютере ISA Server. Когда создается новая сеть, она автоматически добавляется в набор сетей "Все сети".
    • Все защищенные сети. Включает все сети, определенные во время установки, за исключением внешней сети. Когда создается новая сеть, она автоматически добавляется в набор сетей "Все сети".
  • В результате применения шаблона сети сервер ISA Server выполняет замену всех имеющихся правил. В выпуске Enterprise Edition заменяются все правила на уровне массивов.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка сетей

В этом разделе приведены ссылки на этапы настройки сетей в Microsoft ISA Server 2006.

  • Создание корпоративной сети (Enterprise Edition)
  • Создание сети уровня массива (Enterprise Edition)
  • Включение корпоративных сетей в состав сети уровня массива (Enterprise Edition)
  • Создание сети (Standard Edition)
  • Настройка сетевых адресов
  • Настройка доменов, включенных в сеть
  • Удаление сети


Создание корпоративной сети (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Корпоративные сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Корпоративные сети.
  2. В области сведений перейдите на вкладку Сети.
  3. На вкладке Задачи щелкните Создать сеть.
  4. После запуска мастера создания сети следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Каждый IP-адрес можно назначить только одной корпоративной сети.


Создание сети уровня массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  2. В области сведений перейдите на вкладку Сети.
  3. На вкладке Задачи щелкните Создать сеть.
  4. После запуска мастера создания сети следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Включение корпоративных сетей в состав сети уровня массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. Нажмите кнопку Добавить сеть на вкладке Адреса.
  5. Выберите нужные корпоративные сети в секции Выберите корпоративные сети, включенные в эту сеть массива.
    Чтобы выбрать все приведенные в списке корпоративные сети, нажмите кнопку Выделить все.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • За исключением внутренней сети невозможно изменять адреса сетей по умолчанию, созданных при установке ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Создание сети (Standard Edition)

Только для выпуска ISA Server 2006 Standard Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений перейдите на вкладку Сети.
  3. На вкладке Задачи щелкните Создать сеть.
  4. После запуска мастера создания сети следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.


Настройка сетевых адресов

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Адреса выполните одно из следующих действий:
    • Для добавления особого диапазона IP-адресов щелкните Добавить диапазон. Затем введите первый адрес диапазона сетевых адресов в поле Начальный адрес и последний адрес диапазона сетевых адресов в поле Конечный адрес.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива — для добавления IP-адресов, связанных с определенной платой, щелкните Добавить плату, а затем в поле Сведения сетевой платы выберите одну или несколько плат.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива — для добавления диапазонов частных IP-адресов щелкните Добавить частный, а затем выберите диапазон из списка.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива — для добавления корпоративной сети щелкните Добавить сеть, а затем выберите одну или несколько корпоративных сетей из списка.
    • Для выпуска ISA Server 2006 Standard Edition. Для добавления IP-адресов, связанных с определенной платой, щелкните Добавить плату, а затем в поле Сведения сетевой платы выберите одну или несколько плат.
    • Для выпуска ISA Server 2006 Standard Edition. Для добавления диапазонов частных IP-адресов щелкните Добавить частный, а затем выберите диапазон из списка.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • За исключением внутренней сети невозможно изменять адреса сетей по умолчанию, созданных при установке ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Невозможно включить следующие корпоративные сети по умолчанию в сеть уровня массива: внешняя, локальный узел, карантин VPN-клиентов и VPN-клиенты.
  • Для выпуска ISA Server 2006 Enterprise Edition. Для удаления корпоративной сети на вкладке Сети щелкните Добавить сеть. Затем очистите выбор для соответствующей корпоративной сети.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка доменов, включенных в сеть

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Домены щелкните Добавить. Введите имя домена в окне Имя домена для включения в сеть.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Чтобы включить в сеть отдельный компьютер, необходимо ввести его полное доменное имя. Имя сервера должно быть уникальным. Использование полного доменного имени позволит избежать конфликтов, связанных с дублирующими именами серверов.
  • Для выпуска ISA Server 2006 Enterprise Edition. Не предусмотрена настройка доменов для корпоративных сетей или для любых сетей уровня массива, определенных по умолчанию, за исключением внутренней сети по умолчанию.
  • Для включения в сеть имени всего домена рекомендуется ввести *.имя_домена.
  • Для включения в сеть всех доменов введите *.
  • Чтобы удалить из сети какой-либо домен, выберите соответствующее имя домена на вкладке Домены, затем нажмите Удалить.


Удаление сети

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите нужную сеть.
  3. На вкладке Задачи нажмите Удалить выбранную сеть, затем нажмите Да.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Невозможно удалить любую из сетей по умолчанию, созданных при установке сервера ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка балансировки сетевой нагрузки (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

В этом разделе приведены ссылки на этапы настройки балансировки сетевой нагрузки в Microsoft ISA Server 2006.

  • Включение интеграции балансировки сетевой нагрузки (Enterprise Edition)
  • Включение балансировки сетевой нагрузки для сети (Enterprise Edition)
  • Настройка виртуального IP-адреса сети (Enterprise Edition)
  • Отключение интеграции балансировки сетевой нагрузки (Enterprise Edition)
  • Постепенное завершение работы и остановка балансировки сетевой нагрузки (Enterprise Edition)


Включение интеграции балансировки сетевой нагрузки (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи нажмите кнопку Включить интеграцию балансировки сетевой нагрузки.
  4. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Во внешней сети функцию балансировки нагрузки следует включать только в том случае, если платы внешней сети массива напрямую подключены к Интернету; если они устанавливают соединения с Интернетом через третью сеть, эта функция не нужна.
  • Если для сети определен виртуальный IP-адрес, ISA Server назначает его сетевым платам на всех серверах и соответствующим образом обновляет таблицу маршрутизации.
  • Сочетание виртуального IP-адреса и маски сети должно давать ту же подсеть, что и сочетание IP-адреса и маски платы в этой сети. Виртуальный IP-адрес должен принадлежать к данной сети.
  • При включении или отключении режима интегрированной балансировки сетевой нагрузки необходимо перезапустить службу межсетевого экрана на всех членах массива.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение балансировки сетевой нагрузки для сети (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. Откройте вкладку Балансировка сетевой нагрузки и выберите Включить балансировку нагрузки для данной сети.
  5. В поле Виртуальный IP-адрес введите виртуальный IP-адрес для применения в данной сети.
  6. В поле Маска введите 32-битовое значение маски подсети, соответствующей указанному виртуальному IP-адресу.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Процедура отключения функции балансировки сетевой нагрузки выглядит следующим образом:
    1. Выберите нужную сеть.
    2. На вкладке Задачи щелкните Изменить выбранную сеть.
    3. Снимите флажок Включить балансировку нагрузки для данной сети на вкладке Балансировка сетевой нагрузки.
  • Перед настройкой в сети функции балансировки необходимо перейти в режим интегрированной балансировки сетевой нагрузки. Соответствующие инструкции см. в разделе Включение интеграции балансировки сетевой нагрузки (Enterprise Edition).
  • Функцию балансировки сетевой нагрузки нельзя настроить в сетях уровня предприятия, а также в следующих стандартных сетях уровня массива: Сети локальных узлов, сети VPN-клиентов, помещенных в карантин, сети VPN-клиентов.
  • Во внешней сети функцию балансировки нагрузки следует включать только в том случае, если платы внешней сети массива напрямую подключены к Интернету; если они устанавливают соединения с Интернетом через третью сеть, эта функция не нужна.
  • Если для сети определен виртуальный IP-адрес, ISA Server назначает его сетевым платам на всех серверах и соответствующим образом обновляет таблицу маршрутизации.
  • Сочетание виртуального IP-адреса и маски сети должно давать ту же подсеть, что и сочетание IP-адреса и маски платы в этой сети. Виртуальный IP-адрес должен принадлежать к данной сети.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка виртуальных IP-адресов сети (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. В поле Виртуальный IP-адрес на вкладке Балансировка сетевой нагрузки введите виртуальный IP-адрес, который предполагается назначить данной сети.
  5. В поле Маска введите 32-битовое значение маски подсети, соответствующей указанному виртуальному IP-адресу.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Функцию балансировки сетевой нагрузки нельзя настроить в сетях уровня предприятия, а также в следующих стандартных сетях уровня массива: Сети локальных узлов, сети VPN-клиентов, помещенных в карантин, сети VPN-клиентов.
  • Если для сети определен виртуальный IP-адрес, ISA Server назначает его сетевым платам на всех серверах и соответствующим образом обновляет таблицу маршрутизации.
  • Сочетание виртуального IP-адреса и маски сети должно давать ту же подсеть, что и сочетание IP-адреса и маски платы в этой сети. Виртуальный IP-адрес должен принадлежать к данной сети.
  • Чтобы добавить виртуальные IP-адреса, на вкладке Балансировка сетевой нагрузки окна свойств сети щелкните Добавить виртуальный IP-адрес. Каждый адрес будет добавлен для соответствующей сети сетевой платы с той же маской подсети, как и у основного виртуального IP-адреса.


Отключение интеграции балансировки сетевой нагрузки (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Сети:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи нажмите кнопку Отключить интеграцию балансировки сетевой нагрузки.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При включении или отключении режима интегрированной балансировки сетевой нагрузки необходимо перезапустить службу межсетевого экрана на всех компьютерах-членах массива.
  • Для полного отключения балансировки сетевой нагрузки эту функцию нужно, в первую очередь, отключить по отдельности в каждой сети балансировки сетевой нагрузки. Соответствующие инструкции см. в разделе Включение балансировки сетевой нагрузки для сети (Enterprise Edition). Затем введите изменения в действие и убедитесь в том, что они привели к ожидаемому результату на всех серверах-членах массива. Наконец, отключите интеграцию балансировки сетевой нагрузки.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Постепенное завершение работы и остановка балансировки сетевой нагрузки (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  2. Откройте вкладку Службы в области сведений.
  3. В области сведений выберите Балансировка сетевой нагрузки для соответствующего члена массива (сервера).
  4. Чтобы постепенно завершить работу и остановить выбранную службу, нажмите кнопку Постепенно завершить обслуживание и остановить выбранную службу на вкладке Задачи. Чтобы остановить эту службу без постепенного завершения работы, нажмите кнопку Остановить выбранную службу на той же вкладке.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Выполнение этой задачи возможно только при работающей функции балансировки сетевой нагрузки.
  • После постепенного завершения балансировки сетевой нагрузки на сервере этот член массива может обслуживать только активные подключения. При обработке всех последующих подключений к данному массиву этот сервер будет исключен из алгоритма балансировки сетевой нагрузки.


Настройка набора сетей

В этом разделе приведены ссылки на этапы настройки наборов сетей в Microsoft ISA Server 2006.

  • Создание набора сетей
  • Изменение набора сетей
  • Удаление набора сетей

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание набора сетей

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений перейдите на вкладку Наборы сетей.
  3. На вкладке Задачи щелкните Создать новый набор сетей.
  4. После запуска мастера создания нового набора сети следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Для выпуска ISA Server 2006 Enterprise Edition. Наборы сетей уровня массива могут включать (или исключать) только сети уровня массива. Наборы сетей на уровне предприятия могут включать (или исключать) только корпоративные сети.


Изменение набора сетей

  1. В дереве консоли диспетчера ISA Server выполните следующее:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Наборы сетей, затем выберите соответствующий набор сетей.
  3. На вкладке Задачи нажмите Изменить выбранный набор сетей.
  4. На вкладке Сети можно выбрать одну или несколько сетей для включения в набор сетей.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Для выпуска ISA Server 2006 Enterprise Edition. Наборы сетей уровня массива могут включать (или исключать) только сети уровня массива. Наборы сетей на уровне предприятия могут включать (или исключать) только корпоративные сети.
  • Для выпуска ISA Server 2006 Enterprise Edition. Наборы корпоративных сетей можно изменить только на уровне предприятия.
  • Для выпуска ISA Server 2006 Enterprise Edition. Невозможно изменить следующие заданные по умолчанию наборы сетей уровня предприятия или массива: "Все защищенные сети" и "Все сети" (и локальный узел).


Удаление набора сетей

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Наборы сетей, затем выберите соответствующий набор сетей.
  3. На вкладке Задачи нажмите Удалить выбранный набор сетей, затем нажмите Да.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Невозможно удалить любой из наборов сетей по умолчанию, созданных при установке сервера ISA Server.
  • Невозможно удалить набор сетей, используемый в каком-либо правиле политики межсетевого экрана.


Настройка сетевых правил

В этом разделе приведены ссылки на этапы настройки сетевых правил в Microsoft ISA Server 2006.

  • Создание сетевого правила
  • Изменение сетевого правила
  • Отключение сетевого правила
  • Удаление сетевого правила

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание сетевого правила

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений перейдите на вкладку Правила сети.
  3. На вкладке Задачи щелкните Создать сетевое правило.
  4. После запуска мастера сетевого правила следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • После создания сетевого правила следует в области сведений щелкнуть кнопку Применить, чтобы сохранить изменения и обновить конфигурацию.
  • Так как отношения преобразования адресов (NAT) являются направленными, не следует создавать сетевые правила, которые фактически определяют двухсторонние отношения NAT.
  • В случае отношения преобразования адресов (NAT) IP-адреса компьютеров исходной сети замещаются IP-адресом платы компьютера ISA Server, подключенного к сети назначения. Отношения преобразования адресов (NAT) являются уникальными и однонаправленными. Если отношение преобразования адресов (NAT) определено между сетью А (исходная сеть) и сетью Б (сеть назначения), то между сетью Б (в качестве исходной) и сетью А (в качестве назначения) никакие сетевые отношения определить нельзя.
  • В отношении маршрутизации сервер ISA Server распределяет трафик между компьютерами исходной сети и сети назначения. IP-адреса компьютеров обеих сетей являются видимыми. Отношения маршрутизации являются двусторонними. Если отношение маршрутизации определено для трафика, направленного от сети А (источник) к сети Б (назначение), то отношение маршрутизации также существует и для трафика, отправленного из сети Б к сети А.
  • Для выпуска ISA Server 2006 Enterprise Edition. Сервер ISA Server сначала обрабатывает сетевые правила уровня массива, а затем — сетевые правила уровня предприятия. Администраторы массива могут переопределить сетевые правила уровня предприятия путем создания сетевых правил уровня массива.
  • Для выпуска ISA Server 2006 Enterprise Edition. Сетевые правила уровня предприятия могут применяться только к объектам корпоративной сети. Сетевые правила уровня массива могут применяться к сетям уровня массива и уровня предприятия.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Изменение сетевого правила

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Правила сети, затем выберите соответствующее сетевое правило.
  3. На вкладке Задачи нажмите Изменить выбранное сетевое правило.
  4. На вкладке Исходные сети перейдите на Это правило применяется к трафику от следующих источников, нажмите Добавить, затем выполните следующие действия:
    1. Выберите сетевой объект в поле Добавить сетевые объекты и нажмите Добавить.
    2. Чтобы добавить другие объекты, повторите этап "a". Затем нажмите кнопку Закрыть.
    3. Чтобы не применять данное правило к отдельным сетевым объектам, рядом с полем Исключения нажмите кнопку Добавить.
    4. Выберите сетевой объект в поле Добавить сетевые объекты, затем нажмите кнопку Добавить.
    5. Чтобы добавить другие объекты, повторите этап "d". Затем нажмите кнопку Закрыть.
  5. На вкладке Сети назначения рядом с полем Это правило применяется к трафику, отправленному по следующим направлениям нажмите кнопку Добавить и выполните следующие действия:
    1. Выберите сетевой объект в поле Добавить сетевые объекты и нажмите Добавить.
    2. Чтобы добавить другие объекты, повторите этап "a". Затем нажмите Закрыть.
    3. Чтобы не применять данное правило к отдельным сетевым объектам, рядом с полем Исключения нажмите кнопку Добавить.
    4. Выберите сетевой объект в окне Добавить сетевые объекты, затем нажмите Добавить.
    5. Чтобы добавить другие объекты, повторите шаг d. Затем нажмите Закрыть.
  6. На вкладке Отношения сетей выберите один из следующих параметров:
    • Преобразование сетевых адресов (NAT). Отношение преобразования адресов (NAT) будет использоваться от исходной сети к сети назначения.
    • Маршрут. Маршрут будет использоваться между исходной сетью и сетью назначения.

Примечания

  • Дополнительные сведения о сетях в ISA Server см. в разделе Принципы работы с сетями в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Чтобы сохранить изменения и выполнить обновление конфигурации после изменения сетевого правила, необходимо нажать кнопку Применить, расположенную в области сведений.
  • При установлении отношения преобразования адресов (NAT) IP-адреса компьютеров в исходной сети заменяются IP-адресом платы, расположенной на компьютере ISA Server и соединенной с сетью назначения. Отношения преобразования адресов (NAT) являются уникальными и однонаправленными. Если задано отношение преобразования адресов (NAT) между сетью А (исходная сеть) и сетью Б (сеть назначения), то определение отношения сетей между сетью Б (в качестве исходной сети) и сетью А (в качестве сети назначения) не допускается.
  • В случае маршрута сервер ISA Server маршрутизирует трафик между компьютерами исходной сети и сети назначения. IP-адреса компьютеров обеих сетей являются видимыми. Отношения маршрутизации являются двусторонними. Если маршрут определен для трафика, направленного от сети А (источник) к сети Б (назначение), то маршрут существует также и для трафика от сети Б к сети А.
  • Так как отношения преобразования адресов (NAT) характеризуются направленностью, не следует создавать сетевые правила, фактически определяющие двунаправленные отношения преобразования адресов (NAT).
  • Для выпуска ISA Server 2006 Enterprise Edition. Сервер ISA Server сначала обрабатывает сетевые правила уровня массива, а затем — сетевые правила уровня предприятия. Администраторы массива могут переопределить сетевые правила уровня предприятия путем создания сетевых правил уровня массива.
  • Для выпуска ISA Server 2006 Enterprise Edition. Сетевые правила уровня предприятия могут применяться только к объектам корпоративной сети. Сетевые правила уровня массива могут применяться к сетям уровня массива и уровня предприятия.
  • При изменении типа отношения сетей трафик проверки связи ICMP не проходит в течение одной минуты. Это происходит, поскольку ISA Server ожидает одну минуту перед инициированием нового подключения, для предотвращения преждевременного прерывания существующих сеансов. Другие типы трафика (такие как HTTP, FTP и UDP Echo) проходят без изменений.


Отключение сетевого правила

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений перейдите на вкладку Правила сети.
  3. На вкладке Задачи щелкните Отключить выбранные правила.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Чтобы сохранить изменения и выполнить обновление конфигурации, необходимо нажать кнопку Применить, расположенную в области сведений.


Удаление сетевого правила

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для корпоративных сетей раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие и щелкните Корпоративные сети.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для сетей уровня массива раскройте Microsoft ISA Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.
  2. В области сведений щелкните вкладку Правила сети, затем выберите соответствующее сетевое правило.
  3. На вкладке Задачи нажмите Удалить выбранные сетевые правила, затем нажмите Да.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Для выпуска ISA Server 2006 Enterprise Edition. Невозможно удалить правило доступа к локальному компьютеру на уровне массива, которое определяет маршрутизацию между сетью локального узла и всеми другими сетями.


Настройка правил веб-цепочки

В этом разделе приведены ссылки на этапы настройки правил веб-цепочки в Microsoft ISA Server 2006. Дополнительные сведения об организации цепочки см. в документе Цепочки в ISA Server на веб-узле с рекомендациями для ISA Server. (http://www.microsoft.com/)

  • Создания правила веб-цепочки
  • Настройка механизма извлечения запросов при помощи правил веб-цепочки
  • Настройка основного маршрута для веб-запросов
  • Настройка резервного маршрута для веб-запросов
  • Разрешения делегирования учетных данных
  • Настройка перенаправления HTTP-запросов
  • Настройка перенаправления SSL-запросов
  • Удаление правила веб-цепочки

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создания правила веб-цепочки

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочка.
  3. На вкладке Задачи щелкните Создать правило веб-цепочки.
  4. После запуска мастера создания правил веб-цепочки следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Сети.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка способа получения запросов при помощи правил веб-цепочки

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочки и выберите соответствующее правило веб-цепочки.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Действие выберите один из следующих параметров:
    • Чтобы получать запрашиваемый объект напрямую из Интернета, щелкните Получать их напрямую из указанного места назначения.
    • Если обслуживание запроса должно выполняться вышестоящим сервером, нажмите Перенаправлять их на указанный вышестоящий сервер. Затем выполните следующие действия.
      • Чтобы разрешить проверку подлинности клиента вышестоящим сервером, на который перенаправляется запрос, выберите Разрешить делегирование учетных данных для обычной проверки подлинности.
      • Настройте резервный маршрут.
  5. Если необходимо перенаправлять запрос на другой компьютер, щелкните Перенаправлять их на размещенный веб-узел и укажите веб-узел, порт и SSL-порт.
  6. (Необязательно) Если запрос маршрутизируется напрямую на указанный адрес или на определенный вышестоящий сервер, установите флажок в поле Использовать автоматическое подключение для основного маршрута.
  7. (Необязательно) Если запрос маршрутизируется напрямую на вышестоящий сервер с указанием резервного маршрута, установите флажок в поле Использовать автоматическое подключение для резервного маршрута.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка основного маршрута для веб-запросов

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочки и выберите соответствующее правило веб-цепочки.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Действие щелкните Перенаправлять их на указанный вышестоящий сервер, затем щелкните Параметры.
  5. В поле Сервер введите имя или IP-адрес компьютера ISA Server.
  6. В поле Порт введите номер порта, на котором вышестоящий сервер прослушивает HTTP-запросы. Обычно это порт 8080.
  7. В поле SSL-порт введите номер порта, на котором вышестоящий сервер прослушивает SSL-запросы. Обычно это порт 8443.
  8. (Необязательно) Если для получения объектов от вышестоящего сервера сервер ISA Server должен определять конфигурацию вышестоящего сервера, щелкните Автоматически запрашивать настройки вышестоящего сервера и введите URL-адрес сервера.
  9. (Необязательно) Если вышестоящий сервер становится доступным только при предоставлении сервером учетных данных, щелкните Использовать учетную запись, щелкните Настройка учетной записи и введите имя пользователя, пароль и способ проверки подлинности.
  10. (Необязательно) Если для обеспечения основных соединений требуется внешнее подключение сервера ISA Server, на вкладке Действие под заголовком Автоматическое подключение выберите Использовать автоматическое подключение для основного маршрута.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Если выбран параметр Автоматически запрашивать настройки вышестоящего сервера, сервер ISA Server будет определять конфигурацию вышестоящего сервера. Локальный компьютер ISA Server использует эти данные для получения объектов от вышестоящего сервера.
  • Так как сервер ISA Server поддерживает сквозную проверку подлинности, сведения о проверке подлинности клиента, запрашивающего объект, будут передаваться на вышестоящий сервер. Однако если у вышестоящего сервера нет возможности идентифицировать клиента, можно указать Использовать учетную запись и указать, какие учетные данные будут переданы для сквозной передачи.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка резервного маршрута для веб-запросов

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочки и выберите соответствующее правило веб-цепочки.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Действие щелкните Перенаправлять их на указанный вышестоящий сервер, затем щелкните Параметры.
  5. В окне Сервер введите имя вышестоящего сервера, затем нажмите кнопку ОК.
  6. В окне Резервный маршрут выберите Вышестоящий прокси-сервер и щелкните Параметры.
  7. В окне Сервер введите имя вышестоящего сервера и нажмите кнопку ОК.
  8. (Необязательно) Выберите Использовать запись автоматического подключения для резервного маршрута, если для резервного маршрута требуется внешнее подключение сервера ISA Server.
  9. Нажмите Параметры.
  10. В окне Сервер введите имя компьютера ISA Server.
  11. В окне Порт введите номер порта вышестоящего сервера. Обычно это порт 8080.
  12. В окне SSL-порт введите номер SSL-порта вышестоящего сервера. Обычно это порт 8443.
  13. (Необязательно) Если вышестоящий сервер должен предоставлять данные о конфигурации, нажмите Автоматически запрашивать настройки вышестоящего сервера, затем введите URL-адрес сервера.
  14. (Необязательно) Если вышестоящий сервер становится доступным только при предоставлении сервером учетных данных, щелкните Использовать учетную запись, затем нажмите кнопку Выбрать учетную запись. Затем введите имя пользователя в поле Пользователь, введите пароль в поле Пароль и нажмите кнопку ОК. В поле Проверка подлинности введите применяемый метод проверки подлинности.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Чтобы использовать запись автоматического подключения для резервного маршрута, необходимо настроить подключение удаленного доступа. Соответствующие инструкции см. в разделе Настройка автоматического подключения.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Разрешение делегирования учетных данных

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочки и выберите соответствующее правило веб-цепочки.
  3. На вкладке Задачи нажмите кнопку Изменить выбранное правило.
  4. На вкладке Действие нажмите кнопку Перенаправлять их на указанный вышестоящий сервер.
  5. Нажмите Разрешить делегирование учетных данных для обычной проверки подлинности, если известно, что веб-сервер, на который перенаправляется запрос, может выполнить проверку подлинности этого клиента.

Примечания

  • Дополнительные сведения о сетях в ISA Server см. в разделе Принципы работы с сетями в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Если доступ не ограничивается только пользователями, прошедшими проверку подлинности (как в случае применения правила разрешения доступа к группе Все пользователи), а опубликованный сервер не требует проверки подлинности, то не прошедшие проверку подлинности запросы будут пересылаться на опубликованный сервер, даже если выбран метод делегирования.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка перенаправления HTTP-запросов

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочки и выберите соответствующее правило веб-цепочки.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Использование моста в области Перенаправлять HTTP-запросы как выберите один из следующих параметров:
    • Чтобы маршрутизировать HTTP-запросы на вышестоящий сервер по протоколу HTTP, нажмите HTTP-запросы.
    • Чтобы маршрутизировать HTTP-запросы на вышестоящий сервер по протоколу HTTPS, нажмите SSL-запросы.
  5. (Необязательно) Если выбран параметр SSL-запросы, установите флажок в поле Использовать сертификат для проверки подлинности на веб-сервере SSL и щелкните Выбрать, чтобы указать используемый сертификат.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Если выбран параметр HTTP-запросы, сервер ISA Server закрывает имеющийся безопасный канал управления.
  • Если выбран параметр SSL-запросы, сервер ISA Server открывает новый безопасный канал управления к вышестоящему серверу.
  • Сертификат требуется, только если на веб-сервер требуется проверка подлинности сертификата клиента.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка перенаправления SSL-запросов

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочки и выберите соответствующее правило веб-цепочки.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Использование моста в окне Перенаправлять SSL-запросы как выберите один из следующих параметров:
    • Чтобы маршрутизировать SSL-запросы на вышестоящий сервер по протоколу HTTP, нажмите кнопку HTTP-запросы.
    • Чтобы маршрутизировать SSL-запросы на вышестоящий сервер по протоколу HTTPS, нажмите кнопку SSL-запросы.
  5. (Необязательно) Если выбран параметр SSL-запросы, установите флажок Использовать сертификат для проверки подлинности на веб-сервере SSL и нажмите кнопку Выбрать, чтобы выбрать используемый сертификат.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Если выбран параметр HTTP-запросы, сервер ISA Server закрывает имеющийся безопасный канал управления.
  • Если выбран параметр SSL-запросы, сервер ISA Server открывает новый безопасный канал управления к вышестоящему серверу.
  • Сертификат требуется, только если на веб-сервер требуется проверка подлинности сертификата клиента.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Удаление правила веб-цепочки

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений выберите вкладку Веб-цепочки и выберите соответствующее правило веб-цепочки.
  3. На вкладке Задачи щелкните Удалить выбранное правило.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Сети.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Политика межсетевого экрана

В данном разделе приведен краткий обзор политики межсетевого экрана Microsoft® ISA Server 2006 и инструкции по настройке политики межсетевого экрана.

  • Политика межсетевого экрана: принципы
  • Политика межсетевого экрана: инструкции

Инструкции по выполнению административных задач приведены в разделе Администрирование: инструкции

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Политика межсетевого экрана: принципы

В данном разделе представлен краткий обзор политики межсетевого экрана Microsoft ISA Server 2006.

Для получения дополнительных сведений о политике межсетевого экрана ISA Server см. документ с рекомендациями по использованию политики межсетевого экрана для ISA Server на веб-узле Microsoft TechNet. (http://www.microsoft.com/)

Как работает политика межсетевого экрана

Используя ISA Server 2006, можно создавать политику межсетевого экрана, которая включает набор правил публикации и правил доступа. Данные правила, совместно с сетевыми правилами, определяют, как клиенты получают доступ к ресурсам сетей.

Исходящие запросы

Одной из основных функций ISA Server является создание подключения между сетью источника и сетью назначения, защищенного при этом от несанкционированного доступа. Чтобы упростить это подключение, с помощью сервера ISA Server создайте политику доступа, которая разрешает клиентам из исходной сети получать доступ к определенным компьютерам в сети назначения. Политика доступа определяет, как клиенты получают доступ к другим сетям.

Когда ISA Server обрабатывает исходящий запрос, он проверяет сетевые правила и правила политики межсетевого экрана для определения, разрешен ли доступ. Для запросов клиентов веб-прокси или HTTP сетевые правила игнорируются. Заметьте, что если веб-прокси отключен, потребуется сетевое правило.

Некоторые правила можно настроить для применения к определенным клиентам. В этом случае клиентов можно указать по IP-адресу или по имени пользователя. ISA Server обрабатывает запросы по-разному, в зависимости от типа клиентов, запрашивающих объект, и настроек ISA Server.

Сначала ISA Server проверяет сетевые правила, чтобы убедиться, что две сети подключены. Если сетевые правила определяют подключение между сетью источника и назначения, ISA Server обрабатывает правила политики доступа.

Затем ISA Server по очереди проверяет правила доступа. Если к запросу применяется разрешающее правило, ISA Server разрешает запрос. А именно, ISA Server применяет правило, если запрос удовлетворяет следующим условиям правила, проверяя элементы правила в данном порядке:

  1. Протокол
  2. Исходный адрес и порт
  3. Расписание
  4. Адреса назначения, имена, URL-адреса
  5. Пользователи
  6. Группы содержимого

После применения правила ISA Server не проверяет запрос на соответствие другим правилам и останавливает проверку правил. Впоследствии ISA Server может запретить запрос, в зависимости от дополнительных фильтров протоколов, применяемых к правилу.

Наконец, ISA Server заново проверяет сетевые правила, чтобы определить, как подключены сети. ISA Server проверяет правила веб-цепочки (если объект запросил клиент веб-прокси) или настройки последовательного соединения межсетевых экранов (если объект запросил клиент SecureNAT или клиент межсетевого экрана) для определения, как будет выполняться запрос.

Например, предположим, что ISA Server установлен на компьютер с двумя сетевыми платами: одна подключена к Интернету, а другая подключена к локальной сети. Имеются разрешающие корпоративные инструкции, которые разрешают для всех пользователей доступ ко всем узлам. В данном случае политика будет состоять из следующих правил политики доступа:

  • Сетевое правило, которое устанавливает связь между сетью источника (локальной сетью) и сетью назначения (Интернет).
  • Правило доступа, которое разрешает всем внутренним клиентам иметь доступ ко всем узлам в любое время при помощи любого протокола.

Правила доступа, которые запрещают трафик, обрабатываются перед правилами публикации. Если запрос подпадает под правило доступа, запрос будет запрещен, даже если правило публикации разрешило запрос.

Входящие запросы

ISA Server может предоставить безопасный доступ к серверам для клиентов из других сетей. Сервер ISA Server используется для создания политики публикации для безопасной публикации серверов. Политика публикации, которая состоит из правил веб-публикации, правил публикации серверов, правил безопасных веб-публикаций и правил публикации почтовых серверов, наряду с правилами веб-цепочки, определяет, как предоставляется доступ к опубликованным серверам.

Для публикации серверов можно использовать одно из следующих правил ISA Server:

  • Правила веб-публикации. Для публикации содержимого веб-сервера.
  • Правила публикации серверов. Для публикации любого другого содержимого.
  • Защита серверов веб-публикаций. Для публикации SSL-содержимого.

Когда ISA Server обрабатывает запрос HTTP или HTTPS от клиента, он проверяет правила публикации и правила веб-цепочки для определения, разрешен ли запрос, и какой сервер будет обслуживать запрос.

Для не HTTP-запросов ISA Server проверяет сетевые правила, а затем проверяет правила публикации для определения, разрешен ли запрос.

Для входящих веб-запросов правила обрабатываются в следующем порядке:

  1. Правила веб-публикации.
  2. Правила веб-цепочки. Дополнительные сведения см. в разделе Правила веб-цепочки.

Например, рассмотрим случай, когда ISA Server установлен на компьютере с двумя сетевыми платами: одна подключена к Интернету, а другая подключена к локальной сети. Применяется следующее:

  1. Если правило веб-публикации специально запрещает запрос, запрос запрещается.
  2. Если правило веб-цепочки указывает, что запросы необходимо маршрутизировать на определенный вышестоящий сервер или на другой размещенный веб-узел, запрос обрабатывает указанный сервер.
  3. Если правило веб-цепочки указывает, что запросы необходимо маршрутизировать на указанный сервер, внутренний веб-сервер возвращает объект.

Правила веб-публикации и правила веб-цепочки

Правила веб-публикации обрабатываются по порядку. Правила веб-цепочки также обрабатываются по порядку.

Когда внешний клиент запрашивает объект с внутреннего веб-сервера, правила обрабатываются в следующем порядке:

  1. Правила веб-публикации
  2. Правила веб-цепочки

Например, рассмотрим следующие правила:

  • Правило веб-публикации, которое перенаправляет запросы от всех клиентов для widgets.microsoft.com на размещенный веб-узел (веб-сервер), указанный как msweb.
  • Правило веб-цепочки, которое маршрутизирует запросы для назначения, которые содержат msweb, обрабатывая их напрямую.

Когда внешний (Интернет) пользователь запрашивает объект с widgets.microsoft.com, ISA Server перехватывает запрос. Сначала он обрабатывает правило веб-публикации, определяя, что запрос будет перенаправлен на компьютер msweb. Затем он обрабатывает правило веб-цепочки, определяя, что запрос будет обслужен непосредственно указанным сервером (msweb).

В следующем примере показано, что происходит при создании правила веб-публикации, не создавая соответствующего правила веб-цепочки:

  • Правило веб-публикации, которое перенаправляет запросы от всех клиентов набору назначения, которое включает example.microsoft.com, на размещенный веб-узел, который называется myinternalms.
  • Правило веб-цепочки, которое маршрутизирует запросы для всех пунктов назначения на вышестоящий сервер.

В данном случае правило веб-публикации обрабатывается первым. Все запросы example.microsoft.com перенаправляются на myinternalms. Однако правило веб-цепочки определяет, что запрос будет маршрутизироваться на вышестоящий сервер (а не пересылаться напрямую на сервер назначения). Запрос всегда будет маршрутизироваться на вышестоящий сервер.

Как ISA Server проверяет имена

Когда клиент посылает HTTP-запрос, это может быть имя, полное доменное имя или IP-адрес. ISA Server обрабатывает эти запросы по-разному.

Если HTTP-запрос использует имя веб-узла (например http://www.fabrikam.com), ISA Server опознает имя в запросе и выполняет прямое разрешение имен через DNS-сервер для получения полного доменного имени, псевдонимов и IP-адресов, связанных с данным именем. В результате ISA Server имеет доступное имя узла, полное доменное имя, псевдонимы и IP-адреса для сравнения с требованиями правила доступа. Любой из этих элементов может быть проверен на соответствие правилу, в зависимости от того, какой элемент используется в правиле.

В примере www.fabrikam.com на соответствие правилу доступа могут быть проверены следующие элементы:

  • Имя: www.fabrikam.com
  • Полное доменное имя: fabrikam.com
  • IP-адреса: 207.46.250.119, 207.46.130.108

Если HTTP-запрос использует IP-адрес, ISA Server сначала проверяет правила, чтобы убедиться, что IP-адрес подпадает под какое-либо правило. Если во время этого процесса сервер ISA Server обнаружит правило, требующее имени, он выполняет обратное разрешение имен, чтобы получить полное доменное имя для данного IP-адреса. ISA Server может сравнить полное доменное имя с определениями правил доступа.

Если при обратном разрешении имени происходит ошибка, при сравнении с определениями правила используется только исходный IP-адрес.

Примечание

  • Когда клиент SecureNAT запрашивает узел по имени, ISA Server сначала проверяет, что содержимое заголовка узла не маскирует несвязанный IP-адрес, запрошенный клиентом. Если проверка завершается успешно, процесс продолжается в обычном порядке как для клиента веб-прокси.

Проверка подлинности

При обработке правил, требующих проверки подлинности, ISA Server требует предоставления учетных данных клиентом. Если клиент не может предоставить учетные данные, запрос отбрасывается перед применением правил. Это означает, что запросы от клиентов SecureNAT будут отбрасываться, если применяемое правило требует проверки подлинности.

Правила на уровне предприятия могут также быть настроены для требования проверки подлинности. Когда политика предприятия, включающая такие правила, применяется к массиву, все клиенты межсетевого экрана должны предоставлять учетные данные.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Политика межсетевого экрана: Инструкции

В этом разделе содержатся пошаговые инструкции по настройке политики межсетевого экрана в Microsoft ISA Server 2006.

  • Настройка политики предприятия (Enterprise Edition)
  • Настройка правил доступа
  • Настройка правил веб-публикации
  • Настройка служб Windows SharePoint Services
  • Публикация доступа веб-клиента Exchange
  • Настройка правил публикации серверов
  • Настройка правил политики межсетевого экрана
  • Настроить фильтрацию для каждого правила
  • Настройка системной политики
  • Настройка элементов инструментария
  • Настройка проверки подлинности

Дополнительные сведения по политике межсетевого экрана см. в разделе Принципы политики межсетевого экрана ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка политики предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

В этом разделе приведены ссылки на этапы настройки политики предприятия в Microsoft ISA Server 2006 Enterprise Edition.

  • Создание политики предприятия (Enterprise Edition)
  • Создание правила политики предприятия (Enterprise Edition)
  • Изменение порядка обработки правила политики предприятия (Enterprise Edition)

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание политики предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Политики предприятия:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Политики предприятия.
  2. Нажмите кнопку Создать новую политику предприятия на вкладке Задачи.
  3. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Содержимое новой политики предприятия ограничено стандартным запретительным правилом, которое обрабатывается после всех правил политики межсетевого экрана уровня массива, в отношении которого действует данная политика предприятия. Инструкции по созданию правил предприятия см. в разделе Создание правила политики предприятия (Enterprise Edition).
  • После создания политики предприятия ее можно применить к любому массиву предприятия. Инструкции см. в разделе Применение политики предприятия (Enterprise Edition).
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Создание правила политики предприятия (Enterprise Edition)

Создание правила доступа предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующую политику предприятия:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие, раскройте Политики предприятия и щелкните Политика_предприятия.
  2. На вкладке Задачи нажмите кнопку Создать корпоративное правило доступа.
  3. Следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • По умолчанию при создании первого правила доступа в политике предприятия оно вводится в действие после правил массива. Как и в случае с любыми другими правилами политики предприятия, можно изменить порядок обработки правила. Соответствующие инструкции см. в разделе Изменение порядка обработки правила политики предприятия (Enterprise Edition).
  • Создавать правила предприятия в принятой по умолчанию политике предприятия нельзя.
  • Чтобы обеспечить возможность передачи трафика, необходимо создать сетевое правило, определяющее отношения между источником и пунктом назначения, указанными в правиле доступа.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Изменение порядка обработки правила политики предприятия (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните соответствующую политику предприятия:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие, раскройте Политики предприятия и щелкните Политика_предприятия.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Переместить выбранные правила или Переместить выбранные правила вниз.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Правила политики предприятия подразделяются на две группы: правила, подлежащие обработке перед правилами политики межсетевого экрана, установленных для массива, в отношении которого действует данная политика предприятия, и правила, подлежащие обработке после правил политики межсетевого экрана уровня массива. Правила политики предприятия можно переносить из одной группы в другую. За счет таких операций изменяется фактическая политика на уровне массива.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.


Настройка правил доступа

В этом разделе приведены ссылки на этапы настройки правил доступа в Microsoft ISA Server 2006. Инструкции по настройке свойств общих правил политики межсетевого экрана приведены в разделе Настройка правил политики межсетевого экрана.

  • Создание правила доступа
  • Настройка протоколов для правила доступа
  • Настройка типов содержимого для правила доступа
  • Разрешение отдельных исходных портов для реализации правила доступа


Создание правила доступа

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для конкретной политики предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие, раскройте Политики предприятия и щелкните Политика_предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для политики межсетевого экрана уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.
  2. Выполните одно из следующих действий:
    • Для конкретной политики предприятия на вкладке Задачи щелкните Создать правило доступа предприятия.
    • Для политики межсетевого экрана на уровне массива на вкладке Задачи щелкните Создать правило доступа массива.
    • Для политики межсетевого экрана ISA Server 2006 Standard Edition на вкладке Задачи щелкните Создать правило доступа.
  3. В мастере создания правил доступа следуйте инструкциям на экране.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Соответствующая политика обновляется после нажатия кнопки Применить в полосе "Применить изменения". Новая политика применяется только к новым подключениям.
  • После создания политики предприятия ее можно применить к любому массиву предприятия. Инструкции см. в разделе Применение политики предприятия (Enterprise Edition).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка протоколов для правила доступа

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для конкретной политики предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие, раскройте Политики предприятия и щелкните Политика_предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для политики межсетевого экрана уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Протоколы выполните одно из следующих действий:
    • Если правило применяется ко всем протоколам (даже к протоколам, неявно определенным сервером ISA Server), щелкните Весь исходящий трафик.
    • Если правило применяется только к конкретным протоколам, щелкните Выбранные протоколы.
    • Если правило применяется ко всему IP-трафику за исключением конкретных протоколов, щелкните Весь исходящий трафик кроме выделенного.
  5. Если выбран параметр Выбранные протоколы или Весь исходящий трафик кроме выделенного, щелкните Добавить и выберите один или несколько протоколов.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка содержимого для правила доступа

Настройка типов содержимого для правила доступа

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для конкретной политики предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие, раскройте Политики предприятия и щелкните Политика_предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для политики межсетевого экрана на уровне массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.
  2. В области сведений щелкните подходящее правило доступа.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Типы содержимого выполните одно из перечисленных ниже действий.
    • Чтобы задать применение правила ко всем типам содержимого, щелкните Все типы содержимого.
    • Чтобы задать применение правила только к конкретному типу содержимого, щелкните Выбранные типы содержимого, а затем — одну или несколько групп типов содержимого.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При задании параметра Выбранные типы содержимого данное правило применяется только к HTTP-трафику.
  • Если выбрать Все типы содержимого, то правило применяется ко всем типам содержимого независимо от наличия определенных типов содержимого.
  • Тип содержимого не всегда присутствует в URL-адресе или заголовке ответа. По этой причине настройка правила доступа с помощью типов содержимого может привести к непредусмотренному поведению политики межсетевого экрана.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Новая политика применяется только к новым подключениям.
  • Microsoft ISA Server 2006 предпринимает следующие действия для определения типа содержимого.
    1. Сервер ISA Server получает ответ веб-сервера и проверяет наличие в нем заголовка с типом содержимого.
    2. Если заголовок с типом содержимого присутствует в ответе, то сервер ISA Server сравнивает значение заголовка с параметрами политики типа содержимого.
    3. Если ответ не содержит заголовка с типом содержимого, то сервер ISA Server сравнивает расширение запрошенного URL-адреса с настройками политики типа содержимого.
    4. Если URL-адрес не содержит расширений, то сервер ISA Server делает вывод об отсутствии соответствия между данным типом содержимого и правилом.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Разрешение отдельных исходных портов для правила доступа

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для конкретной политики предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие, раскройте Политики предприятия и щелкните Политика_предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для политики межсетевого экрана на уровне массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.
  2. В области сведений щелкните подходящее правило доступа.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Протоколы выберите Порты.
  5. Можно выбрать один из следующих параметров:
    • Если согласно настройкам на странице От требуется пропускать исходящий трафик из всех портов разрешенных клиентов, выберите Разрешить трафик от любого разрешенного исходного порта.
    • Если согласно настройкам на странице От исходящий трафик предполагается пропускать только из определенного диапазона портов разрешенных клиентов, выберите Ограничить доступ к трафику от данного диапазона исходных портов. Укажите на страницах От и До диапазон разрешенных исходных портов.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Ограничить доступ отдельными портами можно только для основных подключений.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.
  • Путем назначения диапазона из нескольких исходных портов можно ограничить клиентский трафик данными, поступающими из портов в этом диапазоне.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка правил веб-публикации

В этом разделе приведены ссылки на этапы настройки правил веб-публикации в Microsoft ISA Server 2006. Инструкции по настройке общих свойств правил политики межсетевого экрана см. в разделе Настройка правил политики межсетевого экрана.

  • Создание правила веб-публикации
  • Настройка имени веб-сервера для публикации
  • Настройка внешнего имени для правила веб-публикации
  • Настройка сопоставления путей
  • Настройка механизм перенаправления HTTP-запросов для правил веб-публикации
  • Настройка прослушивателя для правила веб-публикации
  • Замена абсолютных ссылок на веб-страницах

Дополнительные сведения о веб-публикациях см. в разделе Принципы веб-публикации в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

Дополнительные сведения о преобразовании ссылок см. в разделе Принципы преобразования ссылок в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание правила веб-публикации

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи щелкните Опубликовать веб-узлы.
  3. В мастере создания правил веб-публикации следуйте инструкциям на экране.

Примечания

  • Дополнительные сведения о веб-публикациях см. в разделе Принципы веб-публикации в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Правила веб-публикации сопоставляют входящие клиентские запросы с соответствующим веб-узлом на веб-сервере или веб-ферме.
  • Обязательно введите имя внутреннего веб-узла на странице Внутренние детали публикации мастера. Оно отличается от внешнего имени, которое клиенты вводят в веб-обозревателе, чтобы подключиться к веб-узлу. Введите внешнее имя на странице Параметры внешнего имени мастера.
  • В правиле веб-публикации настраивается делегирование проверки подлинности. Дополнительные сведения см. в разделе Делегирование учетных данных.
  • Можно создавать запрещающие трафик правила веб-публикации, чтобы блокировать входящий трафик, соответствующий условиям данного правила.
  • ISA Server не учитывает регистр символов пути. Если веб-сервер содержит папки папкаa и папкаA и вы публикуете путь к одной из них, будут опубликованы обе папки.
  • Соответствующая политика обновляется после нажатия кнопки Применить в полосе "Применить изменения". Новая политика применяется только к новым подключениям.


Настройка имени веб-сервера для публикации

  1. В дереве консоли диспетчера ISA Server щелкните Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Кому в окне Сервер введите имя или IP-адрес компьютера (веб-сервера), на котором размещен веб-узел.
  5. Если сервер ISA Server должен пересылать данные исходного заголовка узла, установите флажок на Пересылать исходный заголовок узла вместо действующего. Когда сервер ISA Server пересылает данные заголовка узла, запросы клиентов отправляются на конкретный веб-узел, размещенный на опубликованном компьютере.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Для получения дополнительных сведений о заголовках узлов см. раздел Заголовки узлов.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка внешнего имени для правила веб-публикации

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Внешнее имя в поле Данное правило применяется к выберите один из параметров:
    • Все запросы. Выберите данный параметр, если правило будет применяться ко всем запросам указанного веб-сервера.
    • Запросы следующих веб-узлов. Выберите данный параметр, если правило будет применяться к отдельным веб-узлам веб-сервера.
  5. Если выбран параметр Запросы к следующим веб-узлам, нажмите кнопку Добавить и укажите имена веб-узлов, к которым будет предоставлен доступ.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Рекомендуется публиковать только один веб-узел в одном правиле. Поскольку личные данные, принадлежащие одному веб-узлу, могут быть видимыми при доступе к другому веб-узлу, опубликованному с использованием того же внешнего имени.
  • Внешние веб-узлы должны регистрироваться в службе доменных имен (DNS). Для получения дополнительных сведений см. Регистрация веб-узлов в службе DNS.
  • После нажатия кнопки Применить в области сведений выполняется обновление политики. Новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка сопоставления путей

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Пути нажмите Добавить.
  5. В текстовом окне введите путь на веб-сервере (опубликованном).
  6. Можно выбрать один из следующих параметров:
    • Совпадает с опубликованной папкой. Если указанный в запросе путь соответствует пути на опубликованном веб-сервере.
    • Следующая папка. Если указанный в запросе путь должен быть сопоставлен к пути, указанным в текстовом окне. Введите путь, по которому должны перенаправляться запросы на опубликованном веб-сервере.

Примечания

  • Дополнительные сведения о веб-публикациях см. в разделе Принципы веб-публикации в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Когда клиент делает веб-запрос, путь может быть указан как часть запроса. Это называется внешним путем. ISA Server изменяет все перечисленные здесь внешние пути на соответствующий внутренний путь на веб-сервере.
  • Внутренний путь, по которому должны перенаправляться запросы, необходимо указать в следующем формате: /mypath/*.
  • Использование подстановочных символов при указании пути не допускается. Например, нельзя вводить mypath*/ или /mypath*.
  • При настройке сопоставления путей также не рекомендуется указывать имена файлов. Если указывается имя файла, будут обслуживаться только запросы на полный путь к файлу.
  • Пути должны быть различными. Один путь не может быть префиксом другого. Это относится как к внешним, так и ко внутренним путям. Например, /путьA/* и /путьB/* являются различными путями. Однако /путьA/* является префиксом для /путьA/a/, и ISA Server не допустит ввода обоих путей.
  • ISA Server не учитывает регистр символов пути. Если веб-сервер содержит папки папкаa и папкаA и публикуется путь к одной из них, будут опубликованы обе папки.
  • После нажатия кнопки Применить в области сведений политика обновляется. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка перенаправления HTTP-запросов для правил веб-публикации

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Использование моста укажите, должен ли запрос быть перенаправлен на FTP-сервер или на веб-сервер. Можно выбрать один из следующих параметров:
    • FTP-сервер. Если выбран этот параметр, введите в текстовое поле порт FTP-сервера, на который будут перенаправляться запросы.
    • Веб-сервер.
  5. При выборе Веб-сервер:
    • Если необходимо перенаправлять HTTP-запросы на веб-сервер через протокол HTTP, щелкните Перенаправлять запросы на HTTP-порт.
    • Если необходимо перенаправлять HTTP-запросы на веб-сервер через протокол HTTPS, щелкните Перенаправлять запросы на SSL-порт.
  6. (Необязательно) Если выбран параметр Перенаправлять запросы на SSL-порт, щелкните Использовать сертификат для проверки подлинности на веб-сервере SSL, затем нажмите кнопку Выбрать, чтобы указать используемый сертификат.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если выбран параметр Перенаправлять запросы на SSL-порт, компьютер ISA Server открывает новый безопасный канал управления к опубликованному веб-серверу.
  • Если выбрано перенаправление запросов веб-сервера на порты HTTP и SSL, входящий трафик будет маршрутизироваться через указанные порты с использованием соответствующего протокола. Если выбран только один параметр, весь трафик будет маршрутизироваться через указанный порт.
  • Если на этапе 4 выбран FTP-сервер, ISA Server не будет выполнять преобразование ссылок.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка прослушивателя для правила веб-публикации

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Прослушиватель выберите нужный прослушиватель из раскрывающегося списка. Если необходимо, щелкните Создать, чтобы создать новый веб-прослушиватель для данного правила.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы включить единый вход при создании нового веб-прослушивателя, на странице Параметры проверки подлинности мастера создания веб-прослушивателя выберите Проверка подлинности HTML-форм. На следующей странице мастера можно включить функцию единого входа и ввести имя домена единого входа.
  • Если создан веб-прослушиватель, который использует проверку подлинности на основе форм и RSA SecurID и в данной форме включен параметр Собирать дополнительные учетные данные для делегирования, ISA Server не проверяет, вводит ли пользователь одно и то же имя в качестве дополнительных учетных данных.
  • В правиле публикации с веб-прослушивателем, который использует определенную форму проверки учетных данных, должен использоваться набор учетных записей, согласующийся с данной формой проверки. Например, правило публикации с веб-прослушивателем, который использует проверку учетных данных LDAP, должно также использовать набор учетных записей, который состоит из пользователей LDAP. Оно не может включать пользователей Active Directory.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.
  • Дополнительные сведения см. в обзоре веб-прослушивателя.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Замена абсолютных ссылок на веб-страницах

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Преобразование ссылок щелкните Применить преобразование ссылок к данному правилу.
  5. Для преобразования ссылок с веб-страниц, содержащих другие наборы символов, установите флажок Применить преобразование ссылок также к веб-содержимому с набором символов и выберите набор символов в раскрывающемся списке.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • При выборе данного параметра автоматически создается каталог преобразования ссылок. В большинстве случаев введения новых записей в каталог преобразования по умолчанию не требуется.
  • Сервер ISA Server преобразует только ссылки в строках HTML-документов (например внутренние имена компьютеров), указанные в формате UTF-8 (UCS Transformation Format 8).
  • Если выбран этот параметр, ссылки в веб-содержимом, использующие внутренние имена серверов, будут преобразованы во внешние имена. К правилу публикации будут применены локальное и глобальное сопоставления.
  • Преобразование ссылок не применяется к правилам для публикации FTP-серверов.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.
  • При включении преобразования ссылок правило должно указать явное внешнее доменное имя. Имя домена не может включать символ звездочки (*).
  • Для получения дополнительных сведений см. раздел Параметры глобального преобразования ссылок.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Добавление записи каталога преобразования ссылок в правило веб-публикации

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Преобразование ссылок выберите Заменить абсолютные ссылки на веб-страницах.
  5. Щелкните Добавить.
  6. В поле Заменить данным текстом введите строку. Веб-фильтр преобразования ссылок выполнит поиск строки на внутреннем (опубликованном) веб-узле.
  7. В поле Данным текстом введите строку, которую веб-фильтр преобразования ссылок будет использовать для замены вхождений в строку ответа, возвращенную клиенту.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Обычно имя, указанное в поле Заменить данный текст, может содержать имена внутренних веб-узлов и серверов, которые недоступны для внешних клиентов.
  • Обычно имя, указанное в поле Данным текстом, может содержать имена, доступные внешним клиентам, такие как полное доменное имя ISA Server.
  • Когда клиент запрашивает диапазон из HTML-страницы (преобразуемой), URL-адрес не преобразуется. Другими словами, ответ клиенту будет содержать диапазон исходного ответа сервера.
  • Все записи, указанные в каталоге преобразования ссылок, должны быть явными. Например, запись, которая сопоставляет http://myInternal для http://www.microsoft.com, не сопоставляет http://myInternal:8080 и http://www.microsoft.com:8080.
  • Каталоги преобразования с большим количеством записей, которые применены к веб-узлам, содержащим много ссылок, требующих преобразования, могут негативно повлиять на производительность ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка Windows SharePoint Services

В этом разделе приведены ссылки на этапы публикации веб-узла в службах Microsoft Windows SharePoint и настройка альтернативного сопоставления доступа для Microsoft Office SharePoint Portal Server 2003.

  • Публикация веб-узла SharePoint
  • Настройка альтернативного сопоставления доступа для SharePoint Portal Server


Публикация веб-узла SharePoint

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи щелкните Опубликовать веб-узлы SharePoint.
  3. В мастере правила публикации SharePoint следуйте указаниям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, щелкните правой кнопкой Имя_массива и щелкните Свойства.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Свойства.

Внимание!

  • Данный мастер поможет опубликовать один или несколько веб-узлов SharePoint. Узлы могут размещаться на одном сервере или на ферме серверов.
  • Проверка подлинности между ISA Server и Windows SharePoint Services настраивается автоматически для использования протокола проверки подлинности NTLM, хотя проверка подлинности пользователя может проводиться на ISA Server с использованием различных протоколов. Всегда используйте NTLM-делегирование для служб Windows SharePoint Services.
  • ISA Server всегда пересылает исходный HTTP-заголовок узла клиента службам Windows SharePoint Services. Данные сведения, которые определяют зону, к которой принадлежит удаленный клиент, используются для альтернативного сопоставления доступа в Windows SharePoint Services.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.
  • Для завершения настройки данного правила публикации служб Windows SharePoint Services, возможно, потребуется настроить альтернативное сопоставление доступа на опубликованном сервере Sharepoint внешнее имя узла и тип подключения клиента.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка альтернативного сопоставления доступа для SharePoint Services

Для настройки альтернативного сопоставления доступа для служб SharePoint Services

Некоторые ссылки, созданные службами Windows SharePoint Services и SharePoint Portal Server не будут правильно преобразовываться при помощи преобразования ссылок ISA Server. По этой причине следует настроить альтернативное сопоставление доступа:

  • Если публикуются службы Windows SharePoint Services, настройте альтернативное сопоставление доступа в службах Windows SharePoint Services.
  • Если публикуется сервер SharePoint Portal Server, на сервере SharePoint Portal Server настройте альтернативное сопоставление доступа служб Windows SharePoint Services.
Подробные инструкции по настройке альтернативного сопоставления доступа см. в следующих документах по SharePoint:
  • Службы Windows SharePoint Services: См. раздел "Поддержка обратного прокси, альтернативных URL-адресов и SSL-окончаний" на веб-узле Microsoft Office Online (http://www.microsoft.com)
  • Сервер SharePoint Portal Server: Развертывание сервера SharePoint Portal Server 2003 во внешней сети (http://www.microsoft.com)

Внимание!

  • Рекомендуется использовать настройки по умолчанию для правила публикации SharePoint сервера ISA Server, которые разрешают пересылку исходного заголовка узла на сервер SharePoint Portal. Это позволит SharePoint отличать внешние запросы, для которых предоставляются преобразованные ссылки, от внутренних запросов, для которых предоставляются внутренние ссылки.
  • ISA Server поддерживает публикацию сервера SharePoint Portal Server с пакетом обновления 2 (SP2) и служб Windows SharePoint Services с SP2.

Примечания

  • Дополнительные сведения об альтернативном сопоставлении доступа на сервере SharePoint Portal Server см. на веб-узле Microsoft Office Online (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Публикация доступа веб-клиента Exchange

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи щелкните Опубликовать доступ веб-клиента Exchange.
  3. В мастере правил публикации Exchange следуйте указаниям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Правила публикации Microsoft Exchange используются для доступа клиентов на основе веб, таких как веб-клиент Microsoft Outlook, Outlook RPC/HTTP(S), Outlook Mobile Access и Microsoft Exchange ActiveSync. Для публикации доступа клиентов к почтовым серверам через RPC, IMAP, POP3 и SMTP создайте правило публикации почтового сервера.
  • При публикации веб-клиента Outlook убедитесь, что выбран прослушиватель, настроенный для использования проверки подлинности на основе форм, на странице мастера Выбор веб-прослушивателя.
  • Для веб-клиента, который использует сервер Exchange 2003, или более раннюю версию, необходимо использовать обычное делегирование.
  • При публикации RPC через HTTP, журнал ISA Server может содержать записи Сбой подключения с ошибкой 64: "Указанное сетевое имя больше недоступно" (ERROR_NETNAME_DELETED). Можно спокойно пропустить такие записи, которые являются реакцией на работу Exchange с подключениями RPC через HTTP.
  • Использование ограниченного делегирования Kerberos требует настройки Active Directory для распознавания ISA Server как доверенного для делегирования.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Блокирование вложенных файлов электронной почты для веб-клиентов Outlook

Настройка параметров веб-клиентов Outlook

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений дважды щелкните правило публикации веб-клиента Outlook, чтобы открыть его свойства.
  3. На вкладке Параметры приложения настройте следующие параметры:
    • Выберите, должна ли использоваться настраиваемая HTML-форма, и укажите путь к этой форме.
    • Укажите URL-адрес выхода из приложения для опубликованного сервера, который будет отображаться при выходе пользователя.
    • Укажите, может ли пользователь указать, использует ли он общедоступный или личный компьютер, или ограничить пользователя параметрами для общедоступного компьютера.
    • Укажите, разрешено ли кэширование на клиентских компьютерах.
    • Настройте блокировку доступа к вложениям электронной почты.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.


Настройка правил публикации серверов

В этом разделе приведены ссылки на этапы настройки правил публикации серверов в Microsoft ISA Server 2006. Инструкции по настройке общих свойств правил политики межсетевого экрана см. в разделе Настройка правил политики межсетевого экрана.

  • Создание правила публикации сервера
  • Публикация почтового сервера
  • Настройка протоколов для правила публикации сервера
  • Настройка сетевых прослушивателей для правила публикации сервера
  • Переопределение портов по умолчанию для правил публикации сервера
  • Настройка запросов прокси для правила политики межсетевого экрана

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание правила публикации сервера

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи нажмите кнопку Опубликовать протоколы не веб-серверов.
  3. В мастере создания правила публикации сервера следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Новая политика применяется только к новым подключениям.
  • Правила публикации сервера не поддерживаются для конфигурации с одной сетевой платой.


Публикация почтового сервера

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи нажмите Опубликовать почтовые серверы.
  3. В мастере создания правила публикации почтового сервера следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы опубликовать доступ клиентов к почтовым серверам через RPC, IMAP, POP3 и SMTP, создайте правило публикации почтового сервера. Для обеспечения клиентского доступа на основе Интернета (например веб-клиент Outlook, Outlook RPC/HTTP(S), Outlook Mobile Access или Exchange ActiveSync), необходимо создать правило публикации Exchange.
  • Правило публикации сервера создается для каждого протокола, указанного на странице "Выбор служб".
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка протоколов для правила публикации сервера

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило публикации сервера.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик выберите протокол (сетевого трафика), к которому должно применяться правило публикации сервера.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • В правилах публикации сервера можно использовать только протоколы, определенные как исходящие.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка сетевых прослушивателей для правила публикации сервера

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило публикации сервера.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Сети выберите сети, на которых сервер ISA Server должен прослушивать запросы клиентов.
  5. Необязательно. Для настройки прослушивания ISA Server на определенных IP-адресах сетей щелкните Адреса. Можно выбрать:
    • Прослушивание на всех IP-адресах компьютера ISA Server или массива, находящихся в выбранной сети. Это является конфигурацией по умолчанию.
    • Прослушивание на IP-адресах по умолчанию для сетевых плат выбранных сетей.
    • Укажите IP-адреса, на которых ISA Server будет осуществлять прослушивание.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Для обеспечения нормальной работы правила необходимо в сеть, выбранную в качестве сетевого прослушивателя, включить источники трафика (сетевые объекты), указанные на вкладке От в свойствах правила публикации.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.
  • При настройке сетевого прослушивателя указывается сеть, соответствующая сетевой плате на компьютере ISA Server, которая будет прослушивать входящие запросы на опубликованную службу.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Переопределение портов по умолчанию для правил публикации сервера

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик щелкните Порты.
  5. В окне Порты межсетевого экрана выберите один из приведенных ниже параметров.
    • Публиковать с помощью порта по умолчанию, заданного в определении протокола. Если выбрать этот параметр, сервер ISA Server будет принимать входящие запросы клиентов через порт по умолчанию.
    • Публиковать через этот порт вместо порта по умолчанию. Если выбрать этот параметр, сервер ISA Server будет принимать входящие запросы клиентов на порт, отличный от порта по умолчанию. Если выбран альтернативный порт, то сервер ISA Server принимает запросы клиентов на опубликованную службу через этот нестандартный порт, а затем пересылает запросы на обозначенный порт на опубликованном сервере.
  6. В списке Порты опубликованных серверов выберите один из следующих параметров:
    • Отправлять запросы на порт по умолчанию опубликованного сервера. Если выбран этот параметр, то сервер ISA Server принимает запросы для опубликованной службы на порт по умолчанию, заданный в определении протокола.
    • Отправлять запросы на данный порт опубликованного сервера. Если выбран этот параметр, то сервер ISA Server принимает запрос для опубликованных служб через порт, отличный от порта по умолчанию.
  7. В разделе Исходные порты выберите один из следующих параметров.
    • Разрешить трафик от любого разрешенного исходного порта. Если выбран этот параметр, то сервер ISA Server принимает запросы от любого порта разрешенных клиентских компьютеров.
    • Ограничить доступ к трафику от данного диапазона исходных портов. Если выбран этот параметр, то сервер ISA Server принимает запрос только от указанных портов.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Параметры переопределения портов позволяют переопределить порты по умолчанию, используемые для подключения к опубликованному серверу.
  • При ограничении доступа к трафику от конкретного диапазона исходных портов указанный диапазон должен относиться к клиентам, указанным в списке разрешенных источников трафика для данного правила.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка запросов прокси для правила политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Куда выберите один из следующих параметров:
    • Запросы приходят от компьютера ISA Server. При выборе этого параметра IP-адрес, от которого исходит запрос, будет показываться как компьютер ISA Server. В этом случае адрес клиента, сделавшего запрос, остается скрытым.
    • Запросы приходят от исходного клиента. При выборе этого параметра IP-адрес, от которого исходит запрос, будет показываться как адрес клиента. Некоторые приложения требуют идентификации обратившегося с запросом клиента. При публикации этих приложений можно настроить сервер ISA Server на отправку запросов, в которых указан IP-адрес обратившегося с запросом (исходного) клиента.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Некоторые приложения требуют идентификации обратившегося с запросом клиента. При публикации этих приложений следует выбрать параметр Запросы приходят от исходного клиента.
  • Если выбран параметр Запросы приходят от исходного клиента, сервер ISA Server должен быть настроен как шлюз для опубликованного веб-сервера. Другой способ: можно настроить сервер ISA Server в качестве основного шлюза для IP-адреса исходного клиента.
  • Если включен параметр Запросы приходят от компьютера ISA Server, компьютер ISA Server также заменяет исходный адрес входящих запросов, вследствие чего отправляемые на внутренний сервер пакеты имеют адрес компьютера ISA Server. Это позволяет конфигурации маршрутизации IP в больших сетях возвращать пакеты на компьютер ISA Server. Далее сервер ISA Server с помощью преобразования сетевых адресов (NAT) может отправлять пакеты на внешний узел, с которого исходил запрос.
  • Работа функции Запросы приходят от имени компьютера ISA Server возможна только при условии, если опубликованный протокол не требует фильтра приложения. Иными словами, компонент работает правильно, если нет заданных для протокола вторичных подключений. Исключением из этого правила является публикация серверов FTP и RPC, которые имеют фильтры приложения. Фильтры приложений FTP и RPC поддерживают функцию "Запросы приходят от компьютера ISA Server".
  • Преобразование исходных адресов клиентов обеспечивает правильную работу публикации сервера при использовании балансировки сетевой нагрузки на внешнем интерфейсе компьютера ISA Server. Без этого изменения поддержка публикации сервера при использовании балансировки сетевой нагрузки на внешнем интерфейсе не обеспечивается.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка правил политики межсетевого экрана

В этом разделе приведены ссылки на этапы настройки общих свойств для правил политики межсетевого экрана в Microsoft ISA Server 2006.

  • Настройка действия для правила политики межсетевого экрана
  • Настройка пользователей для правил политики межсетевого экрана
  • Настройка расписания для правил политики межсетевого экрана
  • Настройка объектов в сети назначения для правил политики межсетевого экрана
  • Настройка объектов в исходной сети для правил политики межсетевого экрана
  • Настройка фильтрации приложений для правил политики межсетевого экрана
  • Изменение порядка правила политики межсетевого экрана
  • Удаление правила политики межсетевого экрана
  • Отключение правила политики межсетевого экрана


Настройка действия для правила политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Действие выполните одно из следующих действий:
    • Чтобы разрешить доступ клиентов, щелкните Разрешить.
    • Чтобы запретить доступ клиентов, щелкните Запретить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Для правила доступа: если выбран запрет доступа к узлам, то можно дополнительно установить флажок Перенаправить HTTP-запрос к данной веб-странице, а затем указать альтернативный URL-адрес, на который будут перенаправляться запросы клиентов. Обратите внимание на следующее:
    • Указанный URL-адрес должен быть доступен клиентам или пользователям. Для этого данный URL-адрес должен соответствовать внутреннему компьютеру или правило должно явно разрешать доступ по данному URL-адресу.
    • При задании пункта назначения, на который перенаправляется запрос, можно указать другое место, введя http://URL-адрес.
  • Для правил веб-публикации: если выбран запрет трафика, то блокируется весь входящий трафик, удовлетворяющий данным условиям правила.
  • Этот параметр применим только к правилам веб-публикации и правилам доступа.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка пользователей для правил политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации или доступа.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Пользователи нажмите Добавить.
  5. В окне Наборы пользователей выберите требуемый набор пользователей, нажмите Добавить, затем нажмите Закрыть.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы применить правило ко всем пользователям, кроме указанных наборов пользователей, нажмите нижнюю кнопку Добавить.
  • Этот параметр применим только к правилам веб-публикации и правилам доступа.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка расписания для правил политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации или доступа.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Расписание в окне Расписание выберите соответствующее расписание.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если правило изменяется так, чтобы оно применялось только в определенное время (согласно заданному при настройке расписанию), это правило применяется только для новых подключений. Прохождение трафика от существующих подключений будет продолжаться, даже если он не разрешен по новому расписанию.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка объектов сети назначения для правила политики межсетевого экрана

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для конкретной политики предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие, Политики предприятия и щелкните Политика_предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для политики межсетевого экрана на уровне массива раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Куда нажмите Добавить.
  5. В окне Сетевые объекты выберите соответствующий сетевой объект, щелкните Добавить, затем щелкните Закрыть.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Чтобы применить правило ко всем сетевым объектам, кроме указанных сетевых объектов, нажмите нижнюю кнопку Добавить.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка объектов исходной сети для правил политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке От нажмите Добавить.
  5. В окне Сетевые объекты выберите соответствующий сетевой объект, нажмите Добавить, затем нажмите Закрыть.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы применить правило ко всем сетевым объектам, кроме указанных сетевых объектов, нажмите нижнюю кнопку Добавить.
  • В случае правил веб-публикации правило применимо только к отдельным сетевым объектам, которые также входят в сети веб-прослушивателей, указанных для данного правила.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка фильтрации приложений для правил политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Протоколы (вкладка Трафик для публикации сервера) щелкните Фильтрация и выберите один из следующих параметров:
    • Чтобы настроить фильтрацию HTTP, нажмите Настроить HTTP.
    • Чтобы настроить фильтрацию RPC, нажмите Настроить протокол RPC. Применяется только для правил доступа.
    • Чтобы настроить фильтрацию FTP, нажмите Настроить FTP.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Настройка фильтрации приложений возможна, только если правило применимо к указанному протоколу:
    • Фильтрация HTTP. Правило должно быть применимо к протоколу HTTP.
    • Фильтрация RPC. Правило должно быть применимо к какому-либо протоколу RPC.
    • Фильтрация FTP. Правило должно быть применимо к протоколу FTP.
  • Нельзя настроить фильтрацию приложений для правила политики межсетевого экрана, которое отклоняет трафик. Это действует даже для протоколов, включенных в список исключений на вкладке Протоколы.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Изменение порядка для правила политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Переместить выбранные правила или Переместить выбранные правила вниз.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Стандартное правило политики межсетевого экрана всегда ставится последним среди правил политики межсетевого экрана.
  • Правила системной политики обрабатываются перед всеми правилами политики межсетевого экрана.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Удаление правила политики межсетевого экрана

Чтобы удалить правило политики межсетевого экрана, необходимо

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните применимое правило.
  3. На вкладке Задачи щелкните Удалить выбранные правила.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Удаление правила политики межсетевого экрана по умолчанию (именуемого "Правило по умолчанию") невозможно.
  • Невозможно удалить правила системной политики.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Отключение правила политики межсетевого экрана

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений выберите соответствующие правила.
  3. На вкладке Задачи щелкните Отключить выбранные правила.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • После отключения правила все попытки подключения будут отклонены. Но при этом сервер ISA Server не закрывает активные подключения. Активные подключения можно прервать, отключив соответствующие сеансы.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настроить фильтрацию для каждого правила

В этом разделе приведены ссылки на этапы настройки фильтрации для каждого правила политики межсетевого экрана с помощью Microsoft ISA Server 2006.

  • Настройка FTP-фильтрации
  • Настройка HTTP-фильтрации
  • Настройка RPC-фильтрации

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка FTP-фильтрации

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите правило публикации сервера или правило доступа, применяемые к FTP-трафику.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правила публикации сервера) или на вкладке Протоколы (для правила доступа) нажмите кнопку Фильтрация, затем нажмите кнопку Настроить FTP.
  5. На вкладке Используемый протокол выберите Только для чтения, если требуется блокировать загрузки через FTP.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Загрузка FTP-содержимого от клиента веб-прокси невозможна. Также не дают результатов попытки удаленного управления каталогами и файлами.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка фильтрации HTTP

В этом разделе приведены ссылки на этапы настройки фильтрации HTTP для правил политики межсетевого экрана, использующих протокол HTTP.

  • Ограничение максимального размера заголовков в HTTP-запросах
  • Ограничение длины полезных данных запроса
  • Ограничение числа URL-адресов, указываемых в одном запросе
  • Блокировка ответов с исполняемым содержимым Windows
  • Блокировка указанных методов HTTP
  • Блокировка указанных расширений HTTP
  • Блокировка указанных заголовков HTTP
  • Указание способа возвращения заголовков HTTP
  • Указание способа отправления и возвращения транзитных заголовков HTTP
  • Блокировка выбранных подписей HTTP

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Ограничение максимального размера заголовков в HTTP-запросах

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Общие в окне Максимальная длина заголовков (байт) введите максимальное число байтов, которое разрешается в заголовке запроса (URL-адрес и заголовки), чтобы он не был заблокирован.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Данный параметр является общим для всех правил, к которым применяется фильтр HTTP.
  • Максимально допустимая длина для заголовка в 32768 байт может быть ограничена политикой предприятия.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Ограничение длины полезных данных в запросах

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Общие убедитесь, что не установлен флажок Разрешить любую длину полезных данных.
  6. В поле Максимальная длина полезных данных (байты) введите максимально допустимую длину для полезных данных в одном запросе.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы разрешить все запросы независимо от длины полезных данных, установите флажок Разрешить любую длину полезных данных.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Ограничение числа URL-адресов, указываемых в одном запросе

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Общие выполните следующие действия:
    • В окне Максимальная длина URL-адреса (байт) введите максимально допустимую длину URL-адреса. Запросы, длина URL-адреса которых превышает указанное значение, будут заблокированы.
    • В окне Максимальная длина запроса (байт) введите максимально допустимую длину запроса. Запросы, длина которых превышает указанное значение, будут заблокированы.
    • Выберите Проверять нормализацию, чтобы указать, что будут блокироваться запросы, имеющие в URL-адресе символы разделения после нормализации.
    • Выберите Блокировать символы расширенного набора, чтобы указать, что URL-адреса, содержащие символы расширенного набора, будут блокироваться.
    • Сервер ISA Server не поддерживает использование URL-адресов по стандарту IDN (International Domain Name).

Внимание!

  • Если выбран параметр Блокировать символы расширенного набора, будут блокированы URL-адреса, содержащие символы DBCS и Latin 1. Это может повлиять на выполнение таких операций как публикация веб-клиента Outlook (Microsoft), публикация Microsoft SharePoint Portal Server и других, в которых запрос "GET" передает параметр, содержащий символ в двухбайтовой кодировке (DBCS).

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Блокирование ответов с исполняемым содержимым Windows

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Общие нажмите Блокировать запросы, содержащие исполняемое содержимое Windows.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если выбран этот параметр, все ответы, имеющие MZ в качестве первого слова загружаемого двоичного файла, будут блокированы. Например, все EXE-файлы будут блокированы, а файлы с расширениями COM и PIF не будут блокированы.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Блокирование указанных методов HTTP

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Методы выберите один из следующих параметров:
    • Разрешить все методы. Выберите этот параметр, если ни один метод не должен блокироваться.
    • Разрешить только указанные методы. Выберите этот параметр, если должны разрешаться только запросы с определенными методами.
    • Блокировать указанные методы (разрешить все остальные). Выберите этот параметр, если должны разрешаться все запросы, за исключением тех, которые имеют указанные методы.
  6. Если выбран параметр Разрешить только указанные методы или Блокировать указанные методы (разрешить все остальные), далее нажмите Добавить, затем введите метод HTTP в поле Метод.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Названия методов чувствительны к регистру.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Блокирование указанных расширений HTTP

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) щелкните Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Расширения выберите один из следующих параметров:
    • Разрешить все расширения. Выберите этот параметр, если ни одно расширение не должно блокироваться.
    • Разрешить только указанные расширения. Выберите этот параметр, если должны разрешаться только запросы с определенными расширениями.
    • Блокировать указанные расширения (разрешить все остальные). Выберите этот параметр, если должны разрешаться все запросы, за исключением тех, которые имеют указанные расширения.
  6. Если выбран параметр Разрешить только указанные расширения или Блокировать указанные расширения (разрешить все остальные), нажмите Добавить и введите расширение HTTP в поле Расширение.
  7. Если необходимо блокировать также запросы, расширение файла которых невозможно определить, установите флажок в окне Блокировать запросы, содержащие неоднозначные расширения.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Блокировка указанных заголовков HTTP

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Заголовки нажмите Добавить.
  6. В окне Поиск в выберите Заголовки запросов или Заголовки ответов.
  7. В окне Заголовок HTTP введите заголовок, который необходимо блокировать.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Длина заголовка считается от знака : (двоеточие) до последнего символа в новой строке (CRLF).
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Указание способа возвращения заголовков HTTP

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Заголовки в окне Заголовок сервера выберите один из следующих параметров:
    • Отправить исходный заголовок. Если требуется возвращать исходный заголовок в ответе сервера ISA Server.
    • Вырезать заголовок из ответа. Если не требуется возвращать какие-либо заголовки в ответе сервера ISA Server.
    • Изменить заголовок в ответе. Если требуется возвращать измененный заголовок в ответе сервера ISA Server.
      Если выбран этот параметр, в окне Изменить на введите значение, которое необходимо вставить в ответ.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • При публикации веб-серверов рекомендуется выбрать параметр Вырезать заголовок из ответа. Этот параметр не рекомендуется для публикации сервера Windows Media server.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Указание способа отправления и возвращения транзитных заголовков HTTP

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Заголовки в окне Транзитный заголовок выберите один из следующих параметров, чтобы определить способ передачи транзитного заголовка в запросе и его возвращения в ответе:
    • Отправить заголовок по умолчанию. Чтобы использовать заголовок по умолчанию.
    • Изменить заголовок в запросе и ответе. Если сервер ISA Server должен заменить транзитный заголовок измененным заголовком. Если выбран этот параметр, в окне Изменить на следует вводить заголовок, на который будет заменен транзитный заголовок.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Блокирование указанных подписей HTTP

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений нажмите соответствующее правило доступа или правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Трафик (для правил веб-публикации) или Протоколы (для правил доступа) выберите Фильтрация, затем нажмите Настроить HTTP.
  5. На вкладке Подписи нажмите Добавить.
  6. На странице Подпись выполните следующее:
    • В окне Имя введите имя, которое должно использоваться для идентификации подписей.
    • В окне Поиск в выберите URL-адрес запроса, Заголовки запросов, Тело запроса, Заголовки ответов или Тело ответа.
    • В окне Подпись введите строку подписи, которая в случае обнаружения в выбранном заголовке запроса, теле запроса, заголовке ответа или теле ответа должна быть блокирована.
    • Если выбрано Тело запроса или Тело ответа, в окнах От и До введите пределы диапазона поиска в теле.
    • Если выбрано Тело запроса или Тело ответа, в окне Формат выберите Текст или Двоичный, чтобы указать формат искомой строки.
  7. На вкладке Подписи можно включить или отключить подписи с помощью флажков рядом с ними. Выберите Отображать только включенные строки поиска, чтобы отображать только выбранные подписи.

Примечания

  • Дополнительные сведения о фильтрации HTTP см. в разделе Принципы фильтрации HTTP в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • При выборе поиска строки подписи в теле запроса или в теле ответа для обеспечения необходимого быстродействия рекомендуется указать небольшой диапазон байтов (с помощью окон От и До).
  • Блокировка определенных подписей по существу означает блокировку приложений, которые передают трафик по протоколу HTTP в туннельном режиме и характеризуются определенными шаблонами в заголовке запроса, теле запроса, теле ответа и заголовке ответа (например Windows Messenger). Блокировка подписей HTTP не означает блокировку других приложений, использующих запросы с другими типами шифровки содержимого или диапазонами.
  • Для выполнения блокировки текстовых подписей необходимо, чтобы все запросы и ответы HTTP были шифрованы с помощью набора символов UTF-8.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.


Пошаговые инструкции по настройке фильтрации RPC в правилах

Настройка фильтрации RPC

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните запись любого правила доступа, применяемого к трафику по протоколу RPC.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. Выберите Фильтрация на вкладке Протоколы выбранного правила доступа и нажмите кнопку Настроить протокол RPC.
  5. Если применение всех протоколов RPC предполагается запретить, выберите Требовать обязательной совместимости RPC на вкладке Используемый протокол.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если выполняется публикация интерфейса RPC при наличии маршрута между сетями, параметры переназначения портов игнорируются. При реализации правила публикации применяется исходный IP-адрес или порт.
  • В случае отключения параметра Требовать обязательной совместимости RPC трафик DCOM и других протоколов RPC разрешается.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка системной политики

В этом разделе приведены ссылки на этапы настройки системной политики в Microsoft ISA Server 2006.

  • Включение группы настройки системной политики
  • Изменение назначений для группы настройки системной политики
  • Отображение правил системной политики
  • Отключение строгой совместимости RPC для группы настройки Active Directory

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение группы настройки системной политики

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи щелкните Изменить системную политику.
  3. В окне Группы настройки выберите требуемую группу конфигурации.
  4. На вкладке Общие нажмите Задействовать.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Изменение источников или пунктов назначения для группы настройки системной политики

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи щелкните Изменить системную политику.
  3. В окне Группы настройки выберите требуемую группу настройки.
  4. В редакторе системной политики:
    • Для пунктов назначения на вкладке Куда нажмите Добавить.
    • Для источников на вкладке От нажмите Добавить.
  5. Выберите сетевой объект в списке Сетевые объекты. Последовательно нажмите кнопки Добавить и Закрыть.

Примечания

  • Дополнительные сведения о политике межсетевого экрана см. в разделе Принципы политики межсетевого экрана в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы изменить источник или пункт назначения, выделите источник или пункт назначения в списке и нажмите кнопку Изменить.
  • Чтобы удалить источник или пункт назначения, выделите источник или пункт назначения в списке и нажмите кнопку Удалить.
  • Не все группы настройки системной политики применяются к пунктам назначения. В правилах, не соответствующих пунктам назначения, вкладка Куда не предусмотрена.
  • Не все группы настройки системной политики применяются к источникам. В правилах, не соответствующих источникам, вкладка От не предусмотрена.
  • После нажатия кнопки Применить в области сведений выполняется обновление политики. Новая политика применяется только к новым подключениям.


Отображение правил системной политики

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. Нажмите кнопку Отображать правила системной политики на вкладке Задачи.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.


Отключение строгой совместимости RPC для группы настройки Active Directory

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Задачи щелкните Изменить системную политику.
  3. В окне Конфигурационные группы выберите группу настройки Active Directory.
  4. На вкладке Общие снимите флажок Требовать обязательной совместимости RPC.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если установлен флажок Требовать обязательной совместимости RPC, то протоколы типа RPC (включая DCOM) будут запрещены.
  • После нажатия кнопки Применить в области сведений выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка элементов инструментария

В этом разделе приведены ссылки на этапы создания и настройки элементов инструментария в Microsoft ISA Server 2006.

  • Создание типа содержимого
  • Создание протокола
  • Применение фильтра приложения к протоколу
  • Создание расписания
  • Создание набора URL-адресов
  • Создание набора доменных имен
  • Создание набора пользователей
  • Создание объекта "Компьютер"
  • Создание подсети
  • Создание диапазона адресов
  • Создание набора компьютеров
  • Создание фермы серверов
  • Очистка сервера
  • Изменение набора доменных имен
  • Изменение набора компьютеров
  • Настройка веб-прослушивателей

Дополнительные сведения об элементах инструментария см. в разделе Справочник по элементам инструментария в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание типа содержимого

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для типов содержимого политики предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Политика предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для типов содержимого на уровне массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Типы содержимого.
  3. На панели инструментов под надписью Тип содержимого щелкните Создать.
  4. В поле Имя введите имя типа содержимого.
  5. (Необязательно) В поле Описание введите описание типа содержимого.
  6. В поле Доступные типы выполните одну из перечисленных ниже операций.
    • Чтобы выбрать существующий тип содержимого, щелкните расширение имени файла или MIME-тип.
    • Чтобы добавить новый тип содержимого, введите новое расширение имени файла или MIME-тип.
  7. Щелкните Добавить.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При создании типов содержимого рекомендуется указывать MIME-тип содержимого и расширение имени файла.
  • При настройке типа содержимого и задании MIME-типа можно использовать звездочку (*) в качестве знака подстановки. Например, чтобы включить все типы приложений, введите application/*. Знак подстановки звездочка можно использовать только для MIME-типов (но не для расширений имен файлов). Звездочку можно указать только один раз в конце MIME-типа после знака косой черты (/).
  • Чтобы удалить расширение имени файла или MIME-тип из типа содержимого, в окне Выбранные типы щелкните нужное расширение имени файла или тип MIME, а затем — Удалить.
  • Для выпуска ISA Server 2006 Enterprise Edition. Типы содержимого на уровне массива можно использовать только в правилах доступа на уровне массива.
  • Для выпуска ISA Server 2006 Enterprise Edition. Типы содержимого на уровне предприятия нельзя изменять на уровне массива. Более того, для их изменения необходимо иметь разрешения администратора предприятия.
  • В HTTP-запросах входящее содержимое определяется MIME-типом. При отсутствии информации MIME или при использовании протокола FTP содержимое определяется по типу файла (расширению).
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.


Создание протокола

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для протоколов уровня предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, затем Предприятие и щелкните Политики предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для протоколов уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Протоколы.
  3. На панели инструментов под заголовком Протоколы щелкните Создать, а затем — Протокол.
  4. После запуска мастера определения протокола следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • После создания протокола к нему можно применить один или несколько фильтров приложений. В случае применения фильтр приложений выполняет дополнительные функции фильтрации.
  • Для выпуска ISA Server 2006 Enterprise Edition. Протоколы, определенные или измененные на уровне предприятия, можно использовать в правилах уровня массива. Однако такие протоколы уровня предприятия на уровне массива изменить нельзя.
  • В правилах публикации сервера можно использовать только протоколы, определенные как исходящие.
  • Чтобы использовать протоколы в правилах доступа, направление протоколов должно быть исходящим. В случае правил публикации сервера направление протоколов должно быть входящим.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.
  • Дополнительные сведения см. в разделе Протоколы.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Применение фильтра приложения к протоколу

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Протоколы.
  3. Раскройте соответствующую папку и выберите нужный протокол. В панели инструментов под заголовком Протоколы щелкните Изменить.
  4. На вкладке Параметры раздела Фильтры приложений выберите фильтры, применяемые к данному протоколу.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • В случае применения фильтр приложений выполняет дополнительные функции фильтрации.
  • При отключении фильтра приложения, обычно применяемого к протоколу, также отключаются функциональные возможности всех фильтров приложений. Например, при отключении фильтра веб-прокси для протокола HTTP отключается все операции кэширования и прокси для данного протокола.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Создание расписания

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Расписания.
  3. На панели инструментов под надписью Расписания щелкните Создать.
  4. В поле Имя введите имя расписания.
  5. (Необязательно) В поле Описание введите описание расписания.
  6. Используйте таблицу расписаний, чтобы задать расписание.
    • Щелкните ячейку, чтобы выбрать конкретный час конкретного дня.
    • Щелкните день в левом столбце, чтобы выделить весь день.
    • Щелкните час в верхнем ряду, чтобы выделить этот же час во всех днях.
  7. Щелкните Активное, чтобы данное правило включалось в течение выбранных диапазонов времени, или Неактивное, чтобы отключить выбранные диапазоны времени.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • В данной таблице темные ячейки означают, что данное правило действует в течение этого часа соответствующего дня. Белые ячейки означают, что данное правило не действует.
  • Расписания задаются на почасовой основе (запуск выполняется в начале соответствующего часа).
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Новая политика применяется только к новым подключениям.


Создание набора URL-адресов

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов под заголовком Сетевые объекты щелкните Создать, а затем — Набор URL-адресов.
  4. В поле Имя введите имя для данного набор URL-адресов.
  5. Щелкните Добавить, а затем введите URL-адрес, включаемый в данный набор URL-адресов.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Во время проверки сервером ISA Server наборов URL-адресов, настроенных для некоторого правила, текст, следующий за знаком вопроса (?), пропускается. URL-адреса со знаком вопроса ("?"), включенные в набор URL-адресов, игнорируются.
  • Сервер ISA Server не поддерживает использование URL-адресов по стандарту IDN (International Domain Name).
  • В случае некорректной настройки службы DNS правила на основе наборов URL-адресов могут действовать не так, как ожидается.
  • Наборы URL-адресов применяются только к HTTP-трафику.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Создание набора доменных имен

Порядок создания набора доменных имен

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов под заголовком Сетевые объекты щелкните Создать, а затем — Набор доменных имен.
  4. В поле Имя введите имя для данного набора доменных имен.
  5. Щелкните Создать, а затем укажите домен, включаемый в данный набор доменных имен.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • При определении имени домена для обозначения набора компьютеров можно подставить знак звездочки (*). К примеру, чтобы охватить все компьютеры в домене microsoft.com, укажите имя *.microsoft.com. Звездочка может быть установлена только в начале имени домена и только один раз.
  • При определении имени домена имя компьютера следует задавать в виде полного доменного имени (FQDN). Пример: имя_компьютера.microsoft.com, но не //имя_компьютера.
  • В случае некорректной настройки DNS правила на основе наборов URL-адресов могут действовать не так, как ожидается.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.


Создание набора пользователей

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий выберите Пользователи.
  3. На панели инструментов в пункте Пользователи щелкните Создать.
  4. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если используется проверка подлинности RADIUS или SecurID, ISA Server сравнивает учетные данные, переданные пользователем, со строкой, заданной на вкладке Пользователи.
    Например, если правило применяется к набору пользователей, включающему только Домен\Пользователь, а пользователь передает учетные данные в виде Пользователь@Домен, ISA Server не сможет применить к такому пользователю это правило.
  • После нажатия кнопки Применить в области сведений выполняется обновление политики. Новая политика применяется только к новым подключениям.


Создание сетевого объекта компьютера

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов под пунктом Сетевые объекты щелкните Создать, а затем Компьютер.
  4. В поле Имя введите имя компьютера.
  5. В поле IP-адрес компьютера введите IP-адрес компьютера. Кроме того, можно щелкнуть Обзор, чтобы найти IP-адрес на основе имени компьютера.
  6. Нажмите кнопку ОК, чтобы закрыть диалоговое окно.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.


Создание подсети

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов под надписью Сетевые объекты щелкните Создать, а затем — Подсеть.
  4. В поле Имя введите имя подсети.
  5. В поле Сетевой адрес введите первый адрес диапазона адресов, соответствующего подсети.
  6. Выполните одно из следующих действий.
    • В поле Число IP-адресов укажите число IP-адресов, включаемых в подсеть. Можно ввести число для ограничения диапазона адресов в подсети.
    • В поле Маска сети укажите маску сети. Маска с помощью логического И объединяется с первым адресом подсети (указан в поле Сетевой адрес), чтобы определить диапазон адресов подсети.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • После нажатия кнопки Применить в области сведений выполняется обновление политики. Новая политика применяется только к новым подключениям.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание диапазона адресов

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов Сетевые объекты щелкните Создать, а затем Диапазон адресов.
  4. В поле Имя введите имя диапазона адресов.
  5. В поле Начальный адрес введите первый адрес в диапазоне.
  6. В поле Конечный адрес введите последний адрес в диапазоне.
  7. Нажмите кнопку ОК, чтобы закрыть диалоговое окно.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.


Создание набора компьютеров

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Под панелью инструментов Сетевые объекты щелкните Создать, а затем выберите Набор компьютеров.
  4. В поле Имя введите имя набора компьютеров.
  5. Щелкните Добавить и выберите, что следует добавить к набору компьютеров: компьютер, диапазон адресов или подсеть. Введите требуемые данные для выбранного объекта. Повторяйте это действие до тех пор, пока набор компьютеров не будет содержать все необходимые компьютеры, диапазоны адресов и подсети.
  6. Нажмите кнопку ОК, чтобы закрыть диалоговое окно.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Создание фермы серверов

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов под разделом Сетевые объекты щелкните Создать, а затем выберите Ферма серверов.
  4. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Фермы серверов используются для публикации веб-приложений с балансировкой нагрузки.
  • Можно добавить существующий кластер с балансировкой нагрузки как ферму серверов.
  • При настройке фермы серверов ISA Server создает для каждого веб-сервера средство проверки подключения. На странице Наблюдение за подключением этого мастера в качестве средства проверки подключения можно выбрать HTTP/HTTPS-запрос "GET", запрос проверки связи или TCP-соединение. Подключение к серверу можно отслеживать на вкладке Подключение узла "Наблюдение".
  • HTTP/HTTPS-запрос "GET" поддерживается только для серверов, имена которых не содержат не английских символов.
  • Если выбрать HTTP в качестве метода проверки подключения, можно включить правило системной политики с названием: Разрешить отправлять HTTP/HTTPS-запросы от сервера ISA Server на выбранные серверы для средств проверки подключения
  • Если веб-сервер настроен для использования порта, отличного от порта 80, укажите этот порт на вкладке Подключение к ферме. Настройкой по умолчанию для средств проверки подключения к ферме является запрос "GET" на порт 80.
  • Если вы настраиваете средство проверки для отправки HTTP/HTTPS-запроса "GET" на нестандартный HTTP-порт, необходимо создать правило доступа для разрешения отправки запросов на серверы.
  • Можно отслеживать подключение к ферме на вкладке Подключение узла Наблюдение.
  • Оповещение Нет подключения инициируется каждый раз, когда средство проверки подключения обнаруживает, что сервер в ферме недоступен.
  • Если недоступна ферма целиком, выдается оповещение Серверы веб-фермы недоступны.
  • После нажатия кнопки Применить в области сведений выполняется обновление политики. Новая политика применяется только к новым подключениям.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Постепенная остановка сервера

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов в пункте Сетевые объекты раскройте Фермы серверов.
  4. Дважды щелкните выбранную ферму серверов, чтобы открыть свойства.
  5. На вкладке Серверы выберите требуемый сервер из списка.
  6. Нажмите Постепенная остановка, чтобы постепенно остановить сервер.
  7. Чтобы сервер возобновил обслуживание запросов, нажмите Продолжить.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если требуется произвести обслуживание сервера, выполните следующие операции:
    1. Постепенно завершите работу сервера.
    2. Дождитесь момента, когда количество существующих веб-подключений снизится до приемлемого уровня. Например, можно воспользоваться счетчиками производительности служб IIS (Internet Information Services), показывающими количество имеющихся подключений.
    3. Отсоедините сервер и выполните требующиеся работы по обслуживанию.
    4. Вновь подключите сервер и нажмите Продолжить в свойствах фермы серверов.


Изменение набора доменных имен

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для наборов доменных имен уровня предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Политики предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для наборов доменных имен уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Наборы доменных имен и выберите нужный набор доменных имен.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. Нажмите кнопку Создать и введите имя домена.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если правило применяется к набору доменных имен, сервер ISA Server проверяет, соответствует ли запрос указанному набору доменных имен. Имя проверяется полностью, в том числе номера портов.
  • При определении имени домена для обозначения набора компьютеров можно подставить знак звездочки (*). К примеру, чтобы охватить все компьютеры в домене microsoft.com, укажите имя *.microsoft.com. Звездочка может быть установлена только в начале имени домена и только один раз.
  • При определении имени домена имя компьютера следует задавать в виде полного доменного имени (FQDN). Пример: имя_компьютера.microsoft.com, но не //имя_компьютера.
  • В случае некорректной настройки DNS правила на основе наборов URL-адресов могут действовать не так, как ожидается.
  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Изменение набора компьютеров

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для наборов компьютеров уровня предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Политики предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для наборов компьютеров уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Группы компьютеров и выберите нужный набор компьютеров.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. Чтобы добавить в выбранный набор новый компьютер, последовательно нажмите кнопки Добавить и Компьютер.
  6. В поле Имя введите имя компьютера.
  7. В поле IP-адрес компьютера введите IP-адрес компьютера, который предполагается ввести в состав набора.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • После нажатия в области сведений кнопки Применить выполняется обновление политики. Данная новая политика применяется только к новым подключениям.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка веб-прослушивателей

В этом разделе приведены ссылки на этапы настройки веб-прослушивателей для сервера Microsoft ISA Server 2006.

  • Создание веб-прослушивателя
  • Настройка веб-прослушивателя для прослушивания запросов HTTP или SSL
  • Настройка максимального числа разрешенных одновременных подключений
  • Настройка RSA SecurID
  • Настройка параметров проверки подлинности на основе форм

Дополнительные сведения о веб-публикациях см. в разделе Принципы веб-публикации в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

Дополнительные сведения о проверке подлинности в ISA Server см. в разделе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание веб-прослушивателя

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. На панели инструментов в пункте Сетевые объекты щелкните Создать, затем щелкните Веб-прослушиватель.
  4. Следуйте инструкциям мастера создания веб-прослушивателя.

Примечания

  • Дополнительные сведения о проверке подлинности в ISA Server см. в документе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы разрешить единый вход, на странице Параметры проверки подлинности данного мастера выберите Проверка подлинности с помощью HTML-форм. На следующей странице мастера можно включить функцию единого входа и ввести имя домена единого входа.
  • При включении единого входа обязательно укажите определенный домен единого входа. Ввод общего домена, такого как .co.uk, позволит веб-обозревателю отправлять файл cookie единого входа ISA Server на любой веб-узел этого домена, создавая угрозу безопасности.
  • Если вы разрешаете пользователям подключаться к ISA Server через HTTP, а затем направляете этот трафик через HTTPS на опубликованный сервер, ISA Server будет преобразовывать HTTPS-ссылки в HTTP, что может отразиться на безопасности. Это проблема для веб-прослушивателя, который прослушивает HTTP или HTTP и HTTPS. Рекомендуется, чтобы в случае настройки ISA Server на перенаправление трафика на опубликованный сервер через HTTPS соответствующий веб-прослушиватель был настроен для прослушивания только HTTPS.
  • В правиле публикации с веб-прослушивателем, который использует определенную форму проверки учетных данных, должен использоваться набор учетных записей, согласующийся с данной формой проверки. Например, правило публикации с веб-прослушивателем, который использует проверку учетных данных LDAP, должно также использовать набор учетных записей, который состоит из пользователей LDAP. Оно не может включать пользователей Active Directory.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка веб-прослушивателя для прослушивания запросов HTTP или SSL

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели, затем выберите соответствующий веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке Настройки выберите Включить HTTP, если сервер ISA Server должен прослушивать HTTP-запросы.
    В окне HTTP-порт введите номер порта, на котором сервер ISA Server будет прослушивать запросы.
  6. Выберите Включить SSL, если сервер ISA Server должен прослушивать SSL-запросы.
    В окне SSL-порт введите номер порта, на котором сервер ISA Server будет прослушивать SSL-запросы.
  7. Если выбран Включить SSL, нажмите Выбрать и выберите сертификат, используемый для SSL-запросов.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Номер порта по умолчанию для входящих веб-запросов HTTP - 80. Номер порта по умолчанию для исходящих веб-запросов - 8080.
  • Для SSL-запросов большинство веб-обозревателей могут использовать только порт 443.


Настройка максимального числа разрешенных одновременных подключений

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели, затем выберите соответствующий веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке Настройки выберите Дополнительно.
  6. В поле Дополнительные параметры выберите один из следующих параметров:
    • Неограниченно. Чтобы разрешить одновременное подключение к серверу неограниченного числа клиентов.
    • Максимально для сервера. Чтобы ограничить максимальное число клиентов, одновременно подключаемых к серверу.
      Введите максимально допустимое количество подключений.
  7. В Дополнительные параметры в поле Время ожидания подключения введите период времени в секундах, по истечении которого сервер автоматически отсоединяет неактивных пользователей.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка параметров проверки подлинности на основе форм

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели, а затем дважды щелкните нужный веб-прослушиватель, чтобы открыть его свойства.
  4. На вкладке Формы щелкните Дополнительно.
  5. В разделе Параметры файлов cookie можно ввести имя файла cookie, который ISA Server предоставляет клиенту после успешной проверки подлинности на основе форм. Из раскрывающегося списка можно выбрать, являются ли файлы cookie постоянными (продолжают существовать на клиенте после завершения сеанса) на всех компьютерах, только на личных компьютерах или никогда.
  6. В разделе Параметры безопасности клиента выберите:
    • Считать равным максимальному времени ожидания для установки таймаута на основе периода времени, в течение которого пользователь остается неактивным.
    • Считать равным максимальной продолжительности сеанса для установки таймаута на основе продолжительности сеанса. Затем введите время ожидания для общедоступных и частных компьютеров, которое используются для установления максимального времени ожидания или максимальной продолжительности сеанса.
    • Выходить, когда пользователь покидает узел, если требуется автоматически отменять регистрацию, когда пользователь покидает узел, на который он входил.

Примечания

  • Дополнительные сведения о проверке подлинности в ISA Server см. в разделе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Сведения по настройке форм см. в разделе Настройки форм.
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • По достижении порога таймаута клиент должен пройти повторную регистрацию, указав свои учетные данные.
  • При настройке времени ожидания для проверки подлинности на основе форм рекомендуется установить время ожидания меньшим, чем назначено для опубликованного сервера. Если время ожидания опубликованного сервера истечет раньше, чем на ISA Server, пользователь будет ошибочно полагать, что сеанс завершен. Это позволит злоумышленникам использовать данный сеанс, который остается открытым до явного закрытия пользователем или по таймауту сервером ISA Server, который настроен в параметрах форм.
  • Используйте постоянные файлы cookie для разрешения открытия документов через службы Microsoft Windows SharePoint Services без необходимости повторной проверки подлинности.
  • Обратите внимание, что с постоянными файлами cookie связаны следующие угрозы безопасности:
    • Злоумышленник, который завладел постоянным файлом cookie может суметь провести атаку простым перебором параметров для получения учетных данных пользователя из файла cookie.
    • На общедоступном компьютере, если пользователь не вышел самостоятельно, файл cookie его сеанса может быть использован следующим пользователем для доступа к опубликованным узлам. Данную угрозу можно предотвратить, не включая постоянные файлы cookie для общедоступных компьютеров.
    • Шпионское ПО может получить доступ к файлу cookie.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка RSA SecurID

В этом разделе приведены ссылки на этапы настройки метода проверки подлинности RSA SecurID.

  • Настройка веб-прослушивателя на использование проверки подлинности для RSA SecurID
  • Разрешение использования файлов cookie домена для проверки подлинности RSA SecurID
  • Экспорт секрета домена
  • Истечение срока действия незанятых файлов cookie после тайм-аута
  • Игнорирование IP-адреса веб-обозревателя при проверке
  • Предотвращение кэширования защищенных страниц
  • Пересылка файла cookie RSA SecurID на вышестоящий сервер
  • Включение блокирования имен


Настройка веб-прослушивателя для использования проверки подлинности для RSA SecurID

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке Настройки щелкните Проверка подлинности.
  6. В окне Метод щелкните SecurID.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если выбрана проверка подлинности RSA SecurID, то никакой другой метод проверки подлинности выбрать нельзя.
  • При использовании проверки подлинности RSA SecurID все пользовательские запросы регистрируются с указанием имени пользователя SecurID в соответствующем поле журнала веб-прокси.
  • Запросы от пользователей, прошедших проверку подлинности RSA SecurID, могут быть идентифицированы по префиксу "(SecurID)" в поле "Имя пользователя клиента". Например, (SecurID)Alexei.
  • Если в конфигурации сервера ISA Server имеется несколько сетевых плат, то при создании веб-прослушивателя с поддержкой проверки подлинности RSA SecurID необходимо явно настроить адрес сетевой платы, через которую сервер ISA Server должен подключаться к серверу RSA ACE в целях проверки подлинности. В противном случае запросы, требующие проверки подлинности, могут не обрабатываться в соответствии с правилами веб-публикации, используемыми данным прослушивателем. В разделе реестра HKEY_LOCAL_MACHINE\SOFTWARE\SDTI\AceClient\PrimaryInterfaceIP укажите IP-адрес как строковое значение.
  • Веб-клиент Outlook (Microsoft) нельзя настроить на использование учетных данных SecurID. Сервер ISA Server может пересылать файл cookie серверу веб-клиента Outlook, но этот сервер ничего с ним не будет делать.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Разрешение использования файлов cookie домена для проверки подлинности RSA SecurID

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке RSA SecurID щелкните Управление конфигурацией домена.
  6. Щелкните Включить файлы cookie домена.
  7. В поле Доменное имя введите полное DNS-имя домена, для которого необходимо включить использование файлов cookie.
  8. В поле Имя файла cookie введите имя файла cookie домена (например mscookie).
  9. Щелкните Управление секретом домена, чтобы создать, импортировать или экспортировать секрет домена.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • При задании доменного имени (этап 7) убедитесь, что указано не менее двух уровней. Например, .Microsoft.com и .sales.Microsoft.com являются допустимыми записями. Однако, .com не является допустимой записью.
  • Имена cookie не могут содержать более 30 символов. Можно использовать любую комбинацию букв, цифр, дефисов и символов подчеркивания. Не используйте проблемы или специальные символы.
  • По умолчанию веб-фильтр SecurID распространяет файлы cookie, действительные только на веб-прослушивателе, для которого они были выпущены. Чтобы выпустить файлы cookie, действительные в нескольких правилах публикации, можно включить файлы cookie домена.
  • При включении файлов cookie домена не используйте сокращения в ссылках на другие серверы домена DNS WWW. Для правильной работы файлов cookie домена в URL-адресах необходимо использовать полное доменное имя.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Экспорт секрета домена

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке RSA SecurID щелкните Управление конфигурацией домена.
  6. Выберите Включить файлы cookie домена.
  7. Щелкните Управление секретом домена.
  8. Щелкните Экспортировать секрет домена на другие серверы или прослушиватели, затем нажмите кнопку OK.
  9. Выберите диск назначения съемного носителя и щелкните Сохранить, чтобы сохранить на носителе файл секрета домена (Domain.sdi).
  10. В поле Пароль и Подтверждение введите пароль для защиты данного файла секрета домена.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Чтобы импортировать секрет домена, щелкните Импортировать секрет домена с другого сервера или прослушивателя.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


истечение срока действия незанятых файлов cookie после тайм-аута

Ограничение строка действия бездействующих файлов cookie после истечения времени ожидания

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов в пункте Сетевые объекты щелкните Изменить.
  5. На вкладке RSA SecurID установите флажок Срок действия файла cookie всегда истекает после указанного времен.
  6. В поле Срок действия укажите, сколько минут должно пройти до истечения срока действия незанятых файлов cookie.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Для завершения срока действия неиспользуемых файлов cookie установите флажок Срок действия файла cookie истекает, если он не используется в течение указанного времени.
  • Минимальный срок истечения: 1 минута. Максимальный срок истечения: 1440 минут (один день).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Игнорирование IP-адреса веб-обозревателя при проверке

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке RSA SecurID проверьте, что флажок Игнорировать IP-адрес веб-обозревателя при проверке файлов cookie не установлен.

Внимание!

  • Другой путь дополнительной защиты файлов cookie заключается в минимизации срока истечения действия файлов cookie.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • При выборе этого параметра файл cookie сохраняет и подписывает IP-адрес клиента, тем самым гарантируя невозможность использования пользователем того же файла cookie с другого IP-адреса.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Предотвращение кэширования защищенных страниц

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке RSA SecurID установите флажок Запретить кэширование защищенных страниц у клиента.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Microsoft Internet Explorer версий ниже 3.01 не поддерживает эту функцию, даже если задать размер кэша равным 0. Убедитесь, что пользователи не активируют в веб-обозревателях Internet Explorer параметр, запрещающий кэширование защищенных страниц. Если пользователи загружают файлы или пытаются запустить приложение с файлами из защищенного ресурса, такие файлы будут загружены в кэш на их компьютерах. Однако файлы будут удалены из кэша, прежде чем пользователи смогут их открыть. В качестве обходного пути рекомендуйте пользователям включить функцию очистки кэша в веб-обозревателях.
  • Включение этой функции приведет только к запрету кэширования в веб-обозревателе защищенных данных. Это не предотвращает кэширование защищенных страниц на компьютере ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Пересылка файла cookie RSA SecurID на вышестоящий сервер

Пересылка файлов cookie RSA SecurID на вышестоящий сервер

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. Установите параметр Отправлять файлы cookie SecurID вышестоящему серверу на вкладке RSA SecurID.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если этот параметр не установлен, ISA Server удаляет из заголовка файл cookie SecurID, а недействительные файлы cookie пересылаются на публикуемый сервер веб-клиентов Outlook. Если в ISA Server настроено использование проверки подлинности SecurID, то проверка подлинности на основе форм не будет работать в обычном режиме, так как для идентификации клиента в этом случае требуется особый файл cookie. После успешной проверки подлинности клиента в ISA Server и на сервере веб-клиентов Outlook веб-обозреватель Internet Explorer передает на сервер ISA Server оба файла cookie в одном заголовке. ISA Server удаляет из заголовка файл cookie SecurID, а остальные файлы cookie изменяет таким образом, что они становятся недействительными. В такой ситуации сервер веб-клиентов Outlook, не получив необходимых учетных данных, повторно передает клиенту форму проверки подлинности.

См. также

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение блокирования имен

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке RSA SecurID установите флажок Использовать функцию блокирования имен сервера RSA ACE 5.0.
  6. Щелкните Использовать раздельные страницы имени пользователя и секретного кода, если сервер ISA Server (агент RSA ACE) должен сначала запрашивать имя пользователя, а секретный код запрашивается только после введения пользователем имени пользователя.

Внимание!

  • Если сервер требует блокирования имен в записи агента узла из базы данных сервера RSA ACE, то необходимо включить блокирование имен в агенте узла. Если сервер требует блокирования имени, а агент узла не использует эту функцию, то все запросы проверки подлинности от данного агента узла будут отклонены. Если сервер не требует блокирования имен, но оно включено в агенте узла, то сервер может обрабатывать запросы агента без использования блокирования имен.
  • Злоумышленник может надолго заблокировать пользователя в результате нескольких попыток входа.

Примечания

  • Для использования этой функции необходимо на сервере RSA ACE установить сервер RSA ACE 5.0 Patch 03.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка проверки подлинности

В этом разделе приведены ссылки на этапы настройки проверки подлинности в Microsoft ISA Server 2006.

  • Настройка метода проверки подлинности для веб-прослушивателя
  • Настройка метода проверки подлинности для клиентов веб-прокси (исходящие запросы)

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка метода проверки подлинности для веб-прослушивателя

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. На вкладке Инструментарий щелкните Сетевые объекты.
  3. Раскройте Веб-прослушиватели и выберите нужный веб-прослушиватель.
  4. На панели инструментов под надписью Сетевые объекты щелкните Изменить.
  5. На вкладке Приложения в поле Метод проверки подлинности клиентов выберите подходящий метод проверки подлинности.

Примечания

  • Дополнительные сведения о проверке подлинности в ISA Server см. в разделе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Возможно использование следующих способов проверки подлинности одновременно на веб-прослушивателе: Обычная, дайджест, встроенная Windows, а также проверка подлинности сертификата клиента. Если выбрана проверка подлинности RADIUS, SecurID или проверка подлинности на основе форм, то необходимо, чтобы она была единственным настроенным механизмом проверки подлинности.
  • Если на компьютере сервера Windows Server 2003 выбирается метод проверки подлинности SecurID, учетная запись сетевой службы требует доступа для чтения-записи к следующему разделу реестра: HKLM\Software\SDTI\ACECLIENT.
  • Проверка подлинности Kerberos зависит от пакетов протокола UDP, которые обычно фрагментированы. Если компьютер ISA Server или массив принадлежит домену и включена блокировка фрагментов IP, произойдет сбой при проверке подлинности Kerberos. Например, если компьютер использует Kerberos для проверки подлинности при входе, вход не будет выполнен. Рекомендуется не включать блокировку пакетов, содержащих фрагменты IP, в случае использования проверки подлинности Kerberos.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка метода проверки подлинности для клиентов веб-прокси (исходящие запросы)

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, затем выберите соответствующую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Веб-прокси нажмите Проверка подлинности.
  5. В окне Метод выберите требуемый метод проверки подлинности.

Примечания

  • Дополнительные сведения о проверке подлинности в ISA Server см. в разделе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Возможно использование следующих способов проверки подлинности одновременно на веб-прослушивателе: Обычная, дайджест, встроенная Windows, а также проверка подлинности сертификата клиента. Если выбрана проверка подлинности RADIUS, SecurID или проверка подлинности на основе форм, то необходимо, чтобы она была единственным настроенным механизмом проверки подлинности.
  • Если на компьютере с Microsoft Windows Server 2003 выбран метод проверки подлинности SecurID, учетная запись сетевой службы требует доступа для чтения-записи к следующему разделу реестра: HKLM\Software\SDTI\ACECLIENT.
  • Проверка подлинности Kerberos зависит от пакетов протокола UDP, которые обычно фрагментированы. Если компьютер ISA Server или массив принадлежит домену и включена блокировка фрагментов IP, произойдет сбой при проверке подлинности Kerberos. Например, если компьютер использует Kerberos для проверки подлинности при входе, вход не будет выполнен. Рекомендуется не включать блокировку пакетов, содержащих фрагменты IP, в случае использования проверки подлинности Kerberos.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Клиенты

Настройка клиентов

Microsoft® ISA Server 2006 поддерживает несколько типов клиентов: клиент межсетевого экрана, клиент SecureNAT и клиент веб-прокси. В данном разделе описаны клиенты, поддерживаемые ISA Server, и приведены пошаговые инструкции по настройке данных клиентов.

  • Клиенты: принципы
  • Клиенты: инструкции

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Клиенты: принципы

Microsoft ISA Server 2006 использует различные уровни связи для защиты корпоративной сети. На пакетном уровне ISA Server реализует политику межсетевого экрана. Таким образом ISA Server управляет данными на сетевом интерфейсе, оценивая трафик перед тем, как он достигнет какого-либо ресурса. Прохождение данных разрешается только после обработки правил службой межсетевого экрана Microsoft для определения, должен ли выполняться запрос.

Архитектура ISA Server

Как показано на рисунке, ISA Server защищает три типа клиентов: клиент межсетевого экрана, клиент SecureNAT и клиент веб-прокси.

Клиент межсетевого экрана. Компьютеры, на которых установлено и запущено программное обеспечение клиента межсетевого экрана. Запросы клиентов межсетевого экрана направляются службе межсетевого экрана на компьютере ISA Server для определения, разрешен ли доступ. После этого они могут быть отфильтрованы фильтрами приложений и другими надстройками. Служба межсетевого экрана также может кэшировать запрашиваемые объекты или выдавать объекты из кэша ISA Server.

Клиенты SecureNAT. Компьютеры, на которых не установлено программное обеспечение клиента межсетевого экрана. Запросы клиентов SecureNAT направляются сначала драйверу преобразования сетевых адресов (NAT), который заменяет глобальный IP-адрес Интернет внутренним IP-адресом клиента SecureNAT. Запросы клиентов после этого направляются службе межсетевого экрана для определения, разрешен ли доступ. Наконец, они могут быть отфильтрованы фильтрами приложений и другими расширениями. Служба межсетевого экрана также может кэшировать запрашиваемые объекты или выдавать объекты из кэша ISA Server.

Клиенты веб-прокси. Веб-приложения, совместимые с CERN. Запросы клиентов веб-прокси направляются службе межсетевого экрана на компьютере ISA Server для определения, разрешен ли доступ. Служба межсетевого экрана также может кэшировать запрашиваемые объекты или выдавать объекты из кэша ISA Server.

Независимо от типа клиента, когда ISA Server получает HTTP-запрос, клиент рассматривается как клиент веб-прокси. Даже если HTTP-запрос делает клиент межсетевого экрана или клиент SecureNAT, клиент рассматривается как клиент веб-прокси. Это имеет особые последствия при проверке подлинности клиентов.

Компьютеры клиента межсетевого экрана и компьютеры клиентов SecureNAT могут также являться клиентами веб-прокси. Если веб-приложение на компьютере явно настроено для использования ISA Server, все веб-запросы посылаются напрямую в службу межсетевого экрана, включая HTTP, FTP и HTTPS. Все остальные запросы обрабатываются сначала службой межсетевого экрана.

В следующей таблице приведено сравнение клиентов ISA Server.

Функция | Клиент SecureNAT | Клиент межсетевого экрана | Клиент веб-прокси
Установка | Да, требуются некоторые изменения конфигурации сети | Да | Нет, требуется настройка веб-обозревателя
Поддержка операционных систем | Любая операционная система с поддержкой TCP/IP | Только платформа Windows | Все платформы, но посредством веб-приложения
Поддержка протоколов | Фильтры приложений для протоколов с несколькими подключениями | Все Winsock-приложения | HTTP, HTTPS и FTP
Поддержка проверки подлинности на уровне пользователя | Да, только для VPN -клиентов | Да | Да

Дополнительные сведения о клиентах см. в разделе Принципы работы внутренних клиентов ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Клиенты: Инструкции

В этом разделе приведены ссылки на этапы установки и настройки клиентов в Microsoft ISA Server 2006.

  • Установка клиента межсетевого экрана
  • Настройка клиента межсетевого экрана
  • Настройка клиентов веб-прокси
  • Настройка автоматического обнаружения

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Установка клиента межсетевого экрана

В данном разделе приведены пошаговые инструкции по установке программного обеспечения клиента межсетевого экрана на клиентский компьютер.

  • Установка программного обеспечения клиента межсетевого экрана
  • Запуск автоматической установки клиента межсетевого экрана

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Установка программного обеспечения клиента межсетевого экрана

  1. В командной строке на компьютере клиента межсетевого экрана введите:

    Path\Setup

    где Path - это путь к общим установочным файлам клиента ISA Server.
  2. Следуйте инструкциям на экране.

Примечания

  • Для выполнения указанной процедуры необходимо быть членом группы администраторов на клиентском компьютере.
  • Невозможно установить программное обеспечение клиента межсетевого экрана на компьютере с любой запущенной версией ISA Server.
  • После установки клиент межсетевого экрана будет включен.
  • Можно установить программное обеспечение клиента межсетевого экрана на клиентском компьютере под управлением Microsoft Windows Server 2003, Windows 2000 Server, Windows NT Server 4.0, Windows XP или Windows Millennium Edition. Также можно установить программное обеспечение клиента межсетевого экрана на компьютере с операционной системой Windows 98 Second Edition с установленным Microsoft Internet Explorer 5 или выше.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Запуск автоматической установки клиента межсетевого экрана

  • В командной строке на компьютере клиента межсетевого экрана введите:

    Путь\Setup /v"[SERVER_NAME_OR_IP=Имя_сервера_ISA] [ENABLE_AUTO_DETECT={1|0}] [REFRESH_WEB_PROXY={1|0}] /qn"

    где:

    • Путь — это путь к общим установочным файлам клиента ISA Server 2006. Как правило, эти файлы хранятся в одной из папок на компьютере ISA Server с именем общего ресурса ISA\MSPclnt.
    • Имя_сервера_ISA — это имя компьютера ISA Server, к которому должен подключаться клиент межсетевого экрана.
    • Параметр ENABLE_AUTO_DETECT=1 устанавливает автоматическое определение компьютера ISA Server, к которому следует подключиться, клиентом межсетевого экрана.
    • Параметр REFRESH_WEB_PROXY=1 устанавливает обновление конфигурации клиента межсетевого экрана в соответствии с конфигурацией веб-прокси на компьютере ISA Server.

Примечания

  • Чтобы выполнить автоматическое удаление, введите в командной строке следующую команду:

    MsiExec.exe /X {199B7F78-69B7-47C5-8D4B-A3ED1391FB6B} /qn

  • Для выполнения указанной процедуры необходимо быть членом группы администраторов на клиентском компьютере.
  • Установить программное обеспечение клиента межсетевого экрана на компьютере ISA Server невозможно.
  • После установки клиент межсетевого экрана будет включен.
  • Можно установить программное обеспечение клиента межсетевого экрана на клиентском компьютере с операционными системами Microsoft Windows Server 2003, Windows 2000 Server, Windows NT Server 4.0, Windows XP или Windows Millennium Edition. Также можно установить программное обеспечение клиента межсетевого экрана на компьютере с операционной системой Windows 98 Second Edition с установленным Microsoft Internet Explorer 5 или выше.
  • Для того чтобы клиентские компьютеры могли обращаться к общему ресурсу клиентов межсетевого экрана, необходимо ввести в действие группу настройки системной политики установки клиента межсетевого экрана. Эта группа настройки автоматически включается во время установки общего ресурса клиентов межсетевого экрана.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка клиента межсетевого экрана

В этом разделе приведены ссылки на этапы настройки клиента межсетевого экрана для Microsoft ISA Server 2006.

  • Прослушивание запросов клиентов межсетевого экрана
  • Настройка параметров веб-обозревателя для клиента межсетевого экрана

Дополнительные сведения о клиентах см. в разделе Принципы работы внутренних клиентов ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).


Прослушивание запросов клиентов межсетевого экрана

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Клиент межсетевого экрана нажмите Включить поддержку клиентов межсетевого экрана для данной сети.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Свойства клиентов межсетевого экрана невозможно настроить для следующих встроенных сетей: внешние, VPN-клиенты и помещенные в карантин VPN-клиенты.
  • Включение транспортного режима по протоколу IPsec в сети может ухудшить функциональные возможности сети для клиентов межсетевого экрана. При обнаружении отклонений в поведении клиентов межсетевого экрана в сети от ожидаемого рекомендуется выключить маршрутизацию IP. Для получения инструкций см. Включение маршрутизации IP.


Настройка параметров веб-обозревателя для клиента межсетевого экрана

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Клиент межсетевого экрана выберите Включить поддержку клиентов межсетевого экрана для данной сети, если веб-обозреватель клиента межсетевого экрана должен использовать данные о конфигурации, содержащиеся в указанном сценарии автоматической настройки.
  5. Выберите Автоматическое определение параметров, если клиентский компьютер должен автоматически пытаться найти компьютер сервера ISA Server.
  6. Выберите Использовать сценарий автоматической настройки, если веб-обозреватель на компьютере клиента межсетевого экрана должен использовать параметры конфигурации, содержащиеся в указанном сценарии автоматической настройки. Если выбран этот параметр, необходимо указать один из следующих параметров:
    • Использовать URL-адрес по умолчанию. Означает, что должен использоваться сценарий настройки клиента по умолчанию. При установке сервер ISA Server создает URL-адрес по умолчанию, который соответствует местоположению сценария автоматической настройки. Так как сценарий настройки по умолчанию всегда автоматически доступен веб-обозревателю, поэтому можно обновлять параметры всех веб-обозревателей клиентов без необходимости настройки каждого веб-обозревателя по отдельности.
    • Использовать настраиваемый URL-адрес. Означает, что должен использоваться собственный сценарий настройки клиента. В качестве альтернативы сценарию настройки по умолчанию можно вручную создать свой сценарий настройки. Если веб-обозреватель будет искать сценарий настройки, веб-обозревателю будет возвращен пользовательский сценарий.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Щелкните в области сведений кнопку Применить, чтобы сохранить изменения и обновить конфигурацию сервера ISA Server.
  • Сценарий настройки создается на основе параметров, указанных на вкладке Веб-обозреватель. Сценарий настройки автоматически становится доступным веб-обозревателю клиента межсетевого экрана, поэтому можно обновлять параметры всех веб-обозревателей без необходимости настройки каждого веб-обозревателя по отдельности.
  • Если включен режим Автоматическое определение параметров, можно настроить сервер DNS или DHCP для использования автоматического обнаружения веб-прокси (WPAD). Компонент WPAD используется клиентом веб-прокси для автоматического обнаружения компьютера ISA Server для веб-запросов. Это обеспечивает автоматическое подключение к соответствующему компьютеру ISA Server без необходимости выполнения длительных настроек для клиентов в режиме поиска, регистрировавшихся в Интернете. Это относится только к веб-обозревателю Internet Explorer 5 или к более поздним версиям, а также к другим веб-обозревателям, поддерживающим данный режим.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка клиентов веб-прокси

В этом разделе приведены ссылки на этапы настройки клиентов веб-прокси в Microsoft ISA Server 2006.

  • Прослушивание запросов клиентов веб-прокси
  • Настройка методов проверки подлинности для клиентов веб-прокси
  • Настройка максимального числа подключений клиентов веб-прокси
  • Настройка доступа клиента веб-обозревателя

Дополнительные сведения о клиентах см. в разделе Принципы работы внутренних клиентов ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Прослушивание запросов клиентов веб-прокси

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Веб-прокси выберите Разрешить подключения клиентов веб-прокси к данной сети.

Примечания

  • Дополнительные сведения о клиентах см. в разделе Принципы работы внутренних клиентов ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Сети.

Внимание!

  • Свойства клиента веб-прокси нельзя настроить для следующих встроенных сетей: внешние, помещенные в карантин VPN-клиенты и VPN-клиенты.
  • Для включения прослушивания HTTP-запросов выберите Включить HTTP. Для включения прослушивания SSL-запросов выберите Включить SSL. Для данного параметра необходимо иметь установленный сертификат проверки подлинности сервера на ISA Server. Дополнительные сведения о сертификатах см. в разделе о цифровых сертификатах для сервера ISA Server на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com/).

    Параметр SSL используется в первую очередь для запросов от нижестоящих веб-прокси, которые отправляют запросы на ISA Server через SSL.


Настройка методов проверки подлинности для клиентов веб-прокси

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Веб-прокси нажмите Проверка подлинности.
  5. Выберите метод проверки подлинности для проверки клиентов, подключаемых к выбранной сети.
  6. Если требуется обязательная проверка клиентов этой сети с помощью одного из указанных методов проверки подлинности, выберите Требовать проверки подлинности всех пользователей.
  7. Если выбрана проверка подлинности RADIUS, дайджест-проверка или обычная проверка подлинности, нажмите Выбор домена и введите имя домена для использования во время проверки подлинности клиентов.
  8. Если выбрана проверка подлинности RADIUS, необходимо также включить группу настройки системной политики RADIUS (в категории Службы проверки подлинности).
  9. Если выбрана проверка подлинности RADIUS, нажмите RADIUS-серверы и укажите серверы для использования при проверке подлинности RADIUS.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, раскройте Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Требование проверки подлинности всех пользователей может заблокировать трафик к веб-узлам (например Центр обновления Windows), которые не поддерживают проверку подлинности пользователей. Чтобы случайно не заблокировать трафик к таким веб-узлам, рекомендуется устанавливать принудительную проверку подлинности пользователей с помощью правил доступа политики межсетевого экрана и правил публикации, а не использовать параметр Требовать проверки подлинности всех пользователей.
  • Пользователи, которые подключаются к сети, пройдя обычную проверку подлинности, должны принадлежать к определенному домену. Домен Windows, используемый для обычной проверки подлинности, как правило, является локальным доменом, в котором действует веб-сервер. При желании можно указать другой домен.
  • Если нет явно указанных доменов, сервер ISA Server использует свой собственный домен.
  • Если выбрана проверка подлинности RADIUS, выбор других методов проверки подлинности не допускается.
  • Если не указаны какие-либо методы проверки подлинности, а политика межсетевого экрана содержит правила, которые требуют проверки подлинности пользователей, все попытки проверки подлинности завершатся ошибкой и запросы будут отклонены.
  • Проверка подлинности Kerberos зависит от UDP-пакетов, которые обычно фрагментированы. Если компьютер ISA Server или массив принадлежит домену и включена блокировка фрагментов IP, произойдет сбой при проверке подлинности Kerberos. Например, если компьютер использует Kerberos для проверки подлинности при входе, вход не будет выполнен. Рекомендуется не включать блокировку пакетов, содержащих фрагменты IP, в случае использования проверки подлинности Kerberos.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка максимального числа подключений клиентов веб-прокси

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Веб-прокси щелкните Дополнительно.
  5. Можно выбрать один из следующих параметров:
    • Неограниченно. Если в любое время к серверу ISA Server может подключаться неограниченное число клиентов веб-прокси.
    • Максимально для сервера. Чтобы ограничить максимальное число одновременных подключений веб-прокси к серверу ISA Server. В данном поле необходимо указать максимальное число подключений.
  6. В поле Время ожидания подключения введите число секунд ожидания перед отключением сервером ISA Server неактивного пользователя.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Свойства клиента веб-прокси нельзя настроить для следующих встроенных сетей: внешние, VPN-клиенты и помещенные в карантин VPN-клиенты.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка доступа клиента веб-обозревателя

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Веб-обозреватель выберите один из следующих параметров:
    • Не использовать прокси для веб-серверов данной сети. Выберите данный параметр, если веб-обозреватель на компьютере клиента межсетевого экрана должен обходить компьютер сервера ISA Server при доступе к локальным веб-серверам.
    • Напрямую обращаться к компьютерам, указанным на вкладке Домены. Выберите данный параметр, если для веб-обозревателя на компьютере клиента межсетевого экрана имеется прямой доступ к компьютерам, определенным в локальных доменах.
    • Если ISA Server недоступен, использовать данный резервный маршрут для подключения к Интернету. Выберите данный параметр, если веб-обозреватель на компьютере клиента межсетевого экрана должен использовать резервный маршрут для обслуживания запросов в случае, если компьютер с сервером ISA Server недоступен. Если выбран данный параметр, необходимо указать или Прямой доступ, или Альтернативный ISA Server.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Щелкните в области сведений кнопку Применить, чтобы сохранить изменения и обновить конфигурацию сервера ISA Server.
  • Выбранные во время этой процедуры параметры отображаются в используемой веб-обозревателем сценарии настройки.


Настройка автоматического обнаружения

В этом разделе приведены ссылки на этапы настройки функции автоматического обнаружения в Microsoft ISA Server 2006.

  • Публикация данных автоматического обнаружения
  • Включение автоматическое обнаружение для клиентов межсетевого экрана
  • Включение автоматического обнаружения для клиентов веб-прокси
  • Настройка службы DNS для автоматического обнаружения сервера ISA Server
  • Создать запись WPAD в службе DNS
  • Создания записи параметра 252 в DHCP
  • Настройка параметра 252 для области DHCP

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Публикация данных автоматического обнаружения

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть (обычно внутреннюю).
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Автоматическое обнаружение выберите Опубликовать данные автоматического обнаружения.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Сети.

Внимание!

  • Щелкните в области сведений кнопку Применить, чтобы сохранить изменения и обновить конфигурацию сервера ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение автоматического обнаружения для клиентов межсетевого экрана

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, а затем выберите подходящую сеть (обычно внутреннюю).
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Автоматическое обнаружение выберите Опубликовать данные автоматического обнаружения.
  5. В поле Использовать данный порт для запросов автоматического обнаружения введите номер порта, который компьютер ISA Server должен использовать для прослушивания запросов на автообнаружение веб-прокси (WPAD) и автоматическое обнаружение Winsock-прокси (WSPAD).

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Сети.

Внимание!

  • Щелкните в области сведений кнопку Применить, чтобы сохранить изменения и обновить конфигурацию сервера ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение автоматического обнаружения для клиентов веб-прокси

На компьютерах клиентов веб-прокси с Internet Explorer 6 или Internet Explorer 5 выполните следующие действия.

  1. В меню Инструментарий щелкните Параметры Интернета.
  2. На вкладке Подключения щелкните Параметры локальной сети.
  3. Установите флажок Автоматическое определение параметров.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка службы DNS для автоматического обнаружения сервера ISA Server

  1. Щелкните Пуск, выберите Все программы, выберите Администрирование и щелкните DNS.
  2. В дереве консоли правой кнопкой мыши щелкните соответствующую зону прямого просмотра, а затем щелкните Создать псевдоним.
    • Раскройте DNS, затем DNS-сервер, Зоны прямого просмотра, правой кнопкой мыши щелкните соответствующую зону, а затем щелкните Создать псевдоним.
  3. В поле Имя псевдонима введите WPAD.
  4. В поле Полное имя узла назначения:
    • Для выпуска ISA Server 2006 Enterprise Edition. Введите полное доменное имя компьютера или массива ISA Server.
    • Для выпуска ISA Server 2006 Standard Edition. Введите полное доменное имя компьютера ISA Server.

Примечания

  • Выполняйте это задание на соответствующем DNS-сервере.
  • Если служба DNS отсутствует в меню "Администрирование", то это значит, что она не установлена.
  • Для выпуска ISA Server 2006 Enterprise Edition. Если уже имеется запись узла (A) для компьютера или массива ISA Server, можно нажать кнопку Обзор, чтобы выполнить поиск имени сервера или массива с сервером ISA Server в пространстве DNS-имен.
  • Для выпуска ISA Server 2006 Standard Edition. Если уже имеется запись узла (A) для компьютера ISA Server, можно нажать кнопку Обзор, чтобы выполнить поиск имени сервера ISA Server в пространстве DNS-имен.
  • Если служба DNS используется для публикации WPAD, автоматическое обнаружение необходимо настроить на использование порта 80. Другой способ: исходящие веб-запросы необходимо настроить на прослушивание порта 80.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создать запись WPAD в службе DNS

Процедура создания записи WPAD в службе DNS

  1. Щелкните Пуск, выберите Все программы, Администрирование, а затем щелкните DNS.
  2. В дереве консоли правой кнопкой мыши щелкните соответствующую зону прямого просмотра, а затем щелкните Создать псевдоним.
    • Раскройте DNS, раскройте DNS-сервер, раскройте Зоны прямого просмотра, правой кнопкой мыши щелкните соответствующую зону, а затем щелкните Создать псевдоним.
  3. В поле Имя псевдонима введите WPAD.
  4. В поле Полное имя целевого узла укажите полное доменное имя WPAD-сервера.

Внимание!

  • Выполните это задание на подходящем DNS-сервере.
  • Компьютеру ISA Server требуется, чтобы запись узла (A) была определена до создания записи псевдонима. Если запись узла (A) определена, то можно нажать кнопку Обзор, чтобы найти пространство имен DNS для данного компьютера ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создания записи параметра 252 в DHCP

  1. Щелкните Пуск, выберите Все программы, Администрирование, а затем щелкните DHCP.
  2. В дереве консоли правой кнопкой щелкните соответствующий DHCP-сервер, щелкните Установить предопределенные параметры, а затем — Добавить.
  3. В поле Имя введите WPAD.
  4. В поле Код введите252.
  5. В списке Тип данных выберите Строка, а затем нажмите кнопку OK.
  6. В поле Строка введите http://Имя_компьютера:Порт/wpad.dat, где:
    • Имя_компьютера — это полное доменное имя компьютера ISA Server.
    • Порт — это номер порта, по которому публикуются данные автоматического обнаружения. Можно указать любой номер порта. По умолчанию сервер ISA Server публикует данные автоматического обнаружения через порт 8080.
  7. Правой кнопкой щелкните Параметры сервера, а затем щелкните Настроить параметры.
  8. Подтвердите выбор Параметра 252.

Внимание!

  • Выполните это задание на подходящем DHCP-сервере.
  • При указании строки параметра 252 убедитесь в использовании букв нижнего регистра при наборе wpad.dat. Например, если ввести http://isaserver:8080/Wpad.dat, запрос будет неудачным. Сервер ISA Server использует файл wpad.dat и учитывает регистры.
  • Для Wspad.dat ничего специального создавать не требуется. Wspad.dat использует тот же параметр 252, что и wpad.dat, и меняет имя wpad.dat на Wspad.dat в соответствии с необходимостью.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка параметра 252 для уровня DHCP

  1. Щелкните Пуск, выберите Все программы, выберите Администрирование и щелкните DHCP.
  2. Щелкните правой кнопкой мыши Компоненты области, затем выберите Настройка компонентов.
  3. Нажмите Дополнительно, а затем в окне Класс поставщика нажмите Стандартные компоненты.
  4. В окне Доступные компоненты выберите Автоматическое обнаружение 252 прокси, затем нажмите кнопку ОК.

Внимание!

Выполняйте это задание на соответствующем DHCP-сервере.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Поддержка виртуальных частных сетей

Microsoft® ISA Server 2006 поддерживает виртуальные частные сети для клиентов удаленного доступа и подключений типа "сеть-сеть". Клиенты удаленного доступа также известны как клиенты виртуальных частных сетей (VPN). В данном разделе приведен краткий обзор функций VPN в ISA Server, и представлены пошаговые инструкции по настройке VPN.

  • VPN: принципы
  • Рекомендации по обеспечению безопасности VPN
  • VPN: инструкции

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


VPN: принципы

Виртуальная частная сеть (VPN) - это расширение частных сетей, которое устанавливает каналы через общие или публичные сети, такие как Интернет. При помощи VPN можно пересылать данные между двумя компьютерами через общие или публичные сети способом, который эмулирует частный канал типа "точка-точка". Поддержка виртуальных частных сетей - это способ создания и настройки виртуальных частных сетей.

VPN-подключения позволяют пользователям, которые работают дома или в дороге, иметь подключение удаленного доступа к серверу организации, используя инфраструктуру, предоставляемую публичными сетями, такими как Интернет. С точки зрения пользователя VPN - это подключение типа "точка-точка" между компьютером, VPN-клиентом, и сервером организации (VPN-сервер). Точное описание инфраструктуры общей или публичной сети неважно, поскольку все происходит так, будто данные передаются через выделенный частный канал.

VPN-подключения также позволяют организациям иметь маршрутизируемые подключения к другим организациям через публичные сети, такие как Интернет, поддерживая при этом безопасное соединение, например для территориально распределенных офисов. Маршрутизируемые VPN-подключения через Интернет логически работают так же, как выделенные каналы глобальной сети (WAN).

При помощи Microsoft ISA Server 2006 можно настроить безопасную сеть VPN, доступную для клиентов удаленного доступа и удаленных сетей, в соответствии с вашими требованиями. Использование компьютера ISA Server в качестве VPN-сервера имеет то преимущество, что корпоративная сеть защищается от злонамеренных VPN-подключений. Поскольку VPN-сервер встроен в функциональность межсетевого экрана, пользователи VPN подчиняются политике межсетевого экрана ISA Server. Также, используя компьютер ISA Server в качестве VPN-сервера, можно управлять VPN-подключениями типа "сеть-сеть" и доступом для VPN-клиентов к корпоративной сети.

ISA Server поддерживает два типа VPN-подключений:

  • VPN-подключение для удаленного доступа. Клиент удаленного доступа устанавливает VPN-подключение для удаленного доступа, которое подключает его к частной сети. ISA Server предоставляет доступ ко всей сети, к которой присоединен VPN-сервер.
  • VPN-подключение типа "сеть-сеть". Маршрутизатор устанавливает VPN-подключение типа "сеть-сеть", которое соединяет две части частной сети. ISA Server предоставляет подключение к сети, к которой присоединен компьютер ISA Server.

В ISA Server каждый тип VPN-подключений настраивается немного по-разному. Когда доступ требуется отдельному удаленному VPN-клиенту, настройка производится для данного отдельного пользователя. При конфигурация сети типа "сеть-сеть", всей сети удаленных пользователей должен быть предоставлен доступ, т.е. должна быть настроена сеть пользователей VPN.

Однако, многое в настройке VPN для обоих сценариев одинаково. Например, ISA Server принимает начальный запрос на подключение от удаленной сети, как если бы это был любой запрос одиночного удаленного VPN-клиента. Протоколы туннелирования, методы проверки подлинности, сеть, к которой осуществляется доступ, и назначение адресов для начального подключения должны настраиваться, как если бы они настраивались для клиента удаленного доступа.

Дополнительные сведения по VPN см. в разделе Решение: работа с виртуальными частными сетями в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com), или раздел VPN на веб-узле с рекомендациями для ISA Server.

веб-ссылка Получите последнее содержимое ISA Server на узле http://www.microsoft.com/isaserver/techinfo/howto/default.asp.


Рекомендации по обеспечению безопасности VPN

Важно следовать рекомендациям по безопасности при использовании Microsoft ISA Server 2006 в качестве VPN-сервера. Ниже приведен список рекомендаций по обеспечению безопасности компьютера ISA Server, выступающего в роли VPN-сервера:

  • Следуйте данным требованиям при определении, какие методы проверки подлинности включить:
    • Используйте методы проверки подлинности, которые обеспечивают адекватную безопасность. Наиболее безопасный метод проверки подлинности - это протокол расширенной проверки подлинности-безопасности на транспортном уровне (EAP-TLS), используемый одновременно со смарт-картами. Несмотря на сложности при развертывании EAP-TLS и смарт-карт, что требует наличия инфраструктуры открытого ключа (PKI), данный метод считается наиболее безопасным методом проверки подлинности.
    • Если используется проверка подлинности на основе пароля, включите в сети политику надежных паролей, чтобы сделать более сложным осуществление атак перебором по словарю.
    • Следует требовать от удаленных VPN-клиентов проверки подлинности с использованием более безопасных протоколов проверки подлинности, таких как Microsoft Challenge Handshake Authentication Protocol версии 2 (MS-CHAP v2) или протокол расширенной проверки подлинности (EAP), а не таких, которые позволяют использовать такие протоколы, как Password Authentication Protocol (PAP), Shiva Password Authentication Protocol (SPAP) и протокол проверки пароля CHAP.
    • Настоятельно рекомендуется отключить протоколы PAP, SPAP и CHAP. Протоколы PAP, SPAP и CHAP отключены по умолчанию.
    • Включите протокол EAP-TLS, который отключен по умолчанию в профиле политики удаленного доступа. При использовании протокола проверки подлинности EAP-TLS необходимо установить сертификат компьютера на сервере службы проверки подлинности в Интернете. Для проверки подлинности клиентов и пользователей можно установить сертификат на клиентский компьютер или использовать смарт-карты. Перед установкой сертификатов необходимо создать сертификат с правильными требованиями.
  • Для использования устойчивого шифрования рекомендуются подключения протокола L2TP/IPsec.
  • Рекомендуется реализовать и включить политику надежного пароля, снизив тем самым вероятность атаки перебором по словарю. При реализации такой политики можно отключить блокирование учетной записи, снизив, тем самым, вероятность того, что злоумышленник заблокирует учетную запись.
  • Следует требовать от удаленных VPN-клиентов использования определенных операционных систем (таких как Microsoft Windows Server™ 2003, Windows® 2000 Server или Windows XP). Не все операционные системы имеют одинаковые уровни безопасности файловых систем и учетных записей пользователей. Также не все функции удаленного доступа доступны для всех операционных систем.
  • Используйте функцию управления карантином ISA Server для обеспечения поэтапного доступа к сети для удаленных VPN-клиентов. При помощи управления карантином клиенты переводятся в ограниченный режим карантина перед разрешением доступа к сети. Хотя управление карантином не защищает от атак, перед разрешением доступа к сети конфигурация компьютера может быть проверена и, при необходимости, исправлена.
  • Функция карантина не защищает от вредоносных пользователей в сети VPN-клиента.
  • Компьютеры VPN-клиента, зараженные вирусом, не блокируются автоматически при попытке Flood-атаки на компьютер ISA Server или защищенные им сети. Для предотвращения таких атак регулярно используйте функции наблюдения для обнаружения аномалий (например оповещения или необычные пики нагрузки трафика) и настройте отправку оповещений по электронной почте. Если обнаружен инфицированный компьютер VPN-клиента:
    • Ограничьте VPN-доступ по имени пользователя при помощи политики удаленного доступа, чтобы исключить этого пользователя из группы VPN-клиентов, которым разрешено подключаться.
    • Ограничьте VPN-доступ по IP-адресу. Сделайте это, создав новую сеть, содержащую заблокированные внешние IP-адреса, и переместив IP-адрес данного клиента из внешней сети в новую сеть.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


VPN: Инструкции

В этом разделе приведены инструкции по настройке доступа клиентов удаленной виртуальной частной сети (VPN) (VPN-клиентов), VPN-подключений типа "сеть-сеть" и общих параметров настройки VPN в Microsoft ISA Server 2006.

  • Подключение филиалов
  • Настройка доступа удаленных VPN-клиентов
  • Настройка VPN-подключений типа "сеть-сеть"
  • Настройка общих параметров VPN


Подключение удаленных офисов

В ISA Server 2006 имеется мастер, который поможет подключить компьютеры и массивы ISA Server удаленного офиса к компьютеру или массиву ISA Server главного офиса. Данный мастер недоступен через диспетчер ISA Server. Для получения дополнительных сведений об использовании мастера см. документ Настройка удаленных офисов при помощи ISA Server 2006 на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка доступа удаленных VPN-клиентов

В этом разделе приведены ссылки на этапы настройки доступа клиентов удаленной виртуальной частной сети (VPN) в Microsoft ISA Server 2006.

  • Разрешение доступа для удаленных VPN-клиентов
  • Настройка максимального числа одновременных подключений удаленных клиентов
  • Создание пользователей и групп для удаленных VPN-клиентов
  • Включение удаленного доступа для доменных групп
  • Настройка туннельных протоколов для доступа удаленных клиентов
  • Включение сопоставления пользователей
  • Включение управления карантином
  • Исключение пользователей из управления карантином
  • Наблюдение за VPN-клиентами


Разрешение доступа для удаленных VPN-клиентов

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку VPN-клиенты.
  3. На вкладке Задачи щелкните Разрешить доступ для VPN-клиентов.

Примечания

  • Дополнительные сведения по VPN см. в разделе Решение: виртуальные частные сети в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Если включен доступ VPN-клиентов, активируется правило системной политики с названием Разрешить доступ VPN-клиентов к межсетевому экрану.
  • После разрешения VPN-доступа удаленных клиентов включается сетевое правило по умолчанию, чтобы установить маршрут между внутренней сетью и двумя сетями VPN-клиентов (VPN-клиенты и VPN-клиенты, помещенные в карантин).
  • Чтобы разрешить соответствующий доступ к VPN-клиентам, необходимо создать правила доступа. Например, можно создать правило, чтобы разрешить доступ от сети VPN-клиентов к внутренней сети по всем или конкретным протоколам.
  • При настройке доступа для VPN-клиентов в ISA Server 2004 при указании локальных групп, имеющих удаленный доступ, можно добавить только следующие группы:
    • HelpServicesGroup
    • IIS_WPG
    • TelnetClients
    Нельзя добавлять в списки доступа другие встроенные локальные группы, например "Администраторы", "Операторы архива" и "Опытные пользователи". Это происходит потому, что другие локальные группы являются общими. VPN-сервер не может отличить локальных администраторов от администраторов домена.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка максимального числа одновременных подключений удаленных клиентов

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку VPN-клиенты.
  3. На вкладке Задачи щелкните Настройка доступа для VPN-клиентов.
  4. Убедитесь в установке флажка Включить доступ VPN-клиентов.
  5. В поле Максимальное разрешенное количество VPN-клиентов укажите максимальное число VPN-клиентов, которые могут подключаться одновременно.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • При включении доступа для VPN-клиентов активируется правило системной политики под названием Разрешить доступ VPN-клиентов к межсетевому экрану.
  • Одновременно может подключаться до 1000 VPN-клиентов в Standard Edition или 16000 VPN-клиентов в Enterprise Edition.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание пользователей и групп для удаленных VPN-клиентов

  1. В окне управления компьютером щелкните Локальные пользователи и группы, щелкните правой кнопкой мыши Группы и выберите Создать группу.
  2. В поле Новая группа введите имя группы, нажмите кнопку Создать, затем нажмите кнопку Закрыть.
  3. Щелкните Пользователи. Для каждого пользователя, которому необходимо обеспечить удаленный VPN-доступ, выполните следующие действия:
    1. Дважды щелкните имя пользователя, чтобы открыть свойства.
    2. На вкладке Членство нажмите Добавить.
    3. В поле Введите имена выбираемых объектов введите имя группы, затем нажмите кнопку ОК.
    4. На вкладке Подключить выберите Управлять доступом на основе политики удаленного доступа, затем нажмите кнопку ОК.

Внимание!

  • Использование сервера ISA Server для доступа VPN-клиентов разрешается только пользователям с соответствующе настроенными свойствами подключения.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Разрешение удаленного доступа для групп домена

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку VPN-клиенты.
  3. На вкладке Задачи щелкните Настройка доступа для VPN-клиентов.
  4. Нажмите кнопку Добавить на вкладке Группы.
  5. Введите имена пользователей или групп, которым разрешается удаленный доступ к компьютеру ISA Server.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • При настройке пользователей VPN можно добавить только несколько встроенных локальных групп Windows: HelpServicesGroup, IIS_WPG, TelnetClients. Нельзя добавлять в списки доступа другие встроенные локальные группы, например "Администраторы", "Операторы архива" и "Опытные пользователи". Эти локальные группы считаются общими, а ISA Server различает локальных администраторов и администраторов домена.
  • Когда домены Active Directory работают в основном режиме, удаленный доступ для учетных записей доменов управляется по умолчанию политикой удаленного доступа. В смешанном (неосновном) режиме работы доменов Active Directory удаленный доступ через VPN необходимо включать по отдельности для каждой учетной записи пользователя домена. Для каждой учетной записи на вкладке Удаленное подключение выберите Разрешить доступ.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка туннельных протоколов для доступа удаленных клиентов

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку VPN-клиенты.
  3. На вкладке Задачи щелкните Настройка доступа для VPN-клиентов.
  4. На вкладке Протоколы выберите один или несколько из предложенных ниже параметров.
    • Включить PPTP
    • Включить L2TP/IPsec

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Если удаленным VPN-клиентам разрешается подключаться к ISA Server 2006 с помощью туннельного протокола L2TP, то в данном случае требуется сертификат.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Включение сопоставления пользователей

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку VPN-клиенты.
  3. На вкладке Задачи щелкните Настройка доступа для VPN-клиентов.
  4. На вкладке Сопоставление пользователей нажмите Включить сопоставление пользователей.
  5. Если имя сопоставляемого пользователя не содержит имя домена, выберите Если в имени пользователя не содержится домен, использовать данный домен. Затем в окне Имя домена введите требуемое имя домена.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Если RADIUS-сервер и сервер ISA Server принадлежат разным доменам (или один из них принадлежит рабочей группе), функция сопоставления пользователей поддерживается только методами проверки подлинности по протоколу проверки пароля (PAP) и по протоколу проверки пароля Shiva (SPAP). Если применяется другой метод проверки подлинности, использовать функцию сопоставления пользователей не следует.
  • Сопоставление пользователей можно использовать только при условии, если сервер ISA Server установлен в домене. Не следует включать функцию сопоставления пользователей в среде рабочей группы.
  • Компонент сопоставления пользователей требуется только при создании политики межсетевого экрана на основе групп. В случае создания политики на основе пользователей рекомендуется определять наборы пользователей с заданными пространствами имен RADIUS.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Включение управления карантином

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, затем выберите сеть VPN-клиенты, помещенные в карантин.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Карантин нажмите Включить управление карантином.
  5. Выберите один из следующих параметров:
    • Помещать в карантин в соответствии с политиками RADIUS-сервера. При попытке подключения со стороны VPN-клиента возможность передачи его запроса на сервер ISA Server определяется политикой маршрутизации и удаленного доступа. После проверки на соответствие политике маршрутизации и удаленного доступа клиент присоединяется к сети VPN-клиентов без дополнительных условий.
    • Помещать VPN-клиенты в карантин в соответствии с политиками ISA Server При попытке подключения к компьютеру ISA Server со стороны VPN-клиента служба маршрутизации и удаленного доступа передает его запрос на сервер ISA Server без дополнительных условий. Далее сервер ISA Server помещает подключаемый клиент в сеть "VPN-клиенты, помещенные в карантин", автоматически устанавливая для него политику межсетевого экрана, заданную для данной сети. После прохождения клиентом карантина он перемещается в сеть VPN-клиентов. При выборе этого параметра функция карантина для службы маршрутизации и удаленного доступа должна быть выключена, чтобы сделать возможным установление VPN-подключений.
  6. Если требуется, чтобы находящиеся в карантине клиенты были отключены по истечении заданного периода времени, выберите Отключать пользователей в карантине через (сек) и введите период времени в секундах, по истечении которого клиент будет удален из сети "VPN-клиенты, помещенные в карантин" и отключен от сервера ISA Server.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • При выборе данного параметра необходимо настроить функцию управления карантином как на компьютере ISA Server, так и на удаленных VPN-клиентах, которые пытаются подключиться. В противном случае, удаленные VPN-клиенты останутся в карантине до истечения заданного периода времени и затем будут отключены от сервера ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Исключение пользователей из управления карантином

  1. В дереве консоли диспетчера ISA Server щелкните Сети.
  2. В области сведений щелкните вкладку Сети, затем выберите сеть VPN-клиенты, помещенные в карантин.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Карантин нажмите Включить управление карантином.
  5. Щелкните Добавить.
  6. В окне Доступные наборы пользователей выберите пользователей, которых необходимо исключить из управления карантином.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Сети.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Сети.

Внимание!

  • Если включено управление карантином, необходимо настроить управление карантином как на компьютере ISA Server, так и на удаленных VPN-клиентах, которые пытаются подключиться. В противном случае удаленные VPN-клиенты останутся в карантине до истечения заданного периода времени и затем будут отключены от сервера ISA Server.
  • Исключенные из управления карантином пользователи автоматически становятся членами сети VPN-клиентов.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Наблюдение за VPN-клиентами

Отслеживание VPN-клиентов

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку VPN-клиенты.
  3. На вкладке Задачи щелкните Выполнять наблюдение за VPN-клиентами.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Для выпуска ISA Server 2006 Enterprise Edition. В программе просмотра сеансов выводятся данные о VPN-клиентах, подключившихся к данному массиву.
  • Для выпуска ISA Server 2006 Standard Edition. В программе просмотра сеансов выводятся данные о VPN-клиентах, подключившихся к ISA Server.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка VPN-подключений типа "сеть-сеть"

В этом разделе приведены ссылки на этапы настройки подключений виртуальной частной сети (VPN) типа "сеть-сеть" в Microsoft ISA Server 2006.

  • Создание удаленной сети
  • Настройка туннельного протокола для удаленной сети
  • Настройка конечной точки удаленного туннеля (Enterprise Edition)
  • Настройка конечной точки локального туннеля (Enterprise Edition)
  • Назначение владельца подключения (Enterprise Edition)
  • Настройка адресов для удаленной сети
  • Настройка дополнительных конечных точек туннеля для удаленной сети (Enterprise Edition)
  • Предоставление ISA Server разрешения на организацию подключений к удаленному шлюзу VPN
  • Настройка методов проверки подлинности VPN для подключений типа "сеть-сеть", инициируемых ISA Server
  • Отключение удаленной сети
  • Наблюдение за сеансами с удаленными сетями
  • Настройка сетей PPTP и L2TP
  • Настройка сетей IPsec
  • Создание файла ответов для удаленной сети VPN

Дополнительные сведения по VPN см. в разделе Решение: виртуальные частные сети в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).


Добавление удаленной сети

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети.
  3. На вкладке Задачи щелкните Добавить удаленную сеть.
  4. После запуска мастера следуйте экранным инструкциям.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • При создании удаленной сети, использующей туннельный протокол IPsec, служба межсетевого экрана Microsoft вносит изменения в фильтры IPsec компьютера во время перезапуска службы межсетевого экрана. Этот процесс может занять до нескольких минут — в зависимости от количества подсетей, входящих в диапазоны адресов данной сети. Чтобы свести задержку к минимуму, мы рекомендуем задать диапазоны IP-адресов по границам подсетей.
  • Остановка или перезапуск службы IPsec PolicyAgent приводит к потере динамических данных настройки IPsec, в том числе параметров конфигурации IPsec для сети VPN типа "сеть-сеть" сервера ISA Server, в результате чего VPN-клиенты будут отключены. Для восстановления параметров конфигурации необходимо запустить службу PolicyAgent или перезапустить службу межсетевого экрана.
  • Удаленная сеть не может иметь общий IP-адрес с какой-либо из других сетей.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка туннельного протокола для удаленной сети

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. На вкладке Задачи щелкните Настроить удаленную сеть.
  4. На вкладке Используемый протокол выберите один из следующих параметров:
    • L2TP/IPsec. Для разрешения туннельного протокола L2TP поверх протокола IPsec на компьютере ISA Server.
      При выборе данного параметра можно также установить флажок Использовать проверку подлинности IPSec с предварительным ключом вместо проверки подлинности с помощью сертификата и ввести предварительный ключ, который будет использоваться для дополнительной проверки подлинности. Этот предварительный ключ должен быть настроен на каждом клиенте, который подключается с помощью данной политики.
    • PPTP. Для разрешения туннельного протокола точка-точка (PPTP) на компьютере ISA Server. PPTP представляет собой туннельный протокол, используемый для управления туннелями и инкапсуляции данных.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Данное задание может выполняться только на сетях, использующих протоколы PPTP и L2TP. Чтобы выбрать туннельный протокол туннельного режима IPsec, необходимо создать новую удаленную сеть.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка конечной точки удаленного туннеля (Enterprise Edition)

Настройка удаленной конечной точки туннеля (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. Выберите Настроить удаленную сеть на вкладке Задачи.
  4. На вкладке Подключение:
    • (Для сетей IPsec) введите IP-адрес в поле Введите удаленную конечную точку туннеля.
    • (Для сетей PPTP и L2TP) введите имя или IP-адрес удаленного шлюза VPN в поле Имя или IP-адрес удаленного шлюза.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если удаленная сеть, к которой производится подключение, представляет собой массив с поддержкой балансировки сетевой нагрузки, то адрес конечной точки удаленного туннеля должен совпадать с виртуальным IP-адресом этого массива.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка конечной точки локального туннеля (Enterprise Edition)

Настройка локальной конечной точки туннеля (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. Выберите Настроить удаленную сеть на вкладке Задачи.
  4. На вкладке Подключение:
    • (Для сетей IPsec) введите IP-адрес локального шлюза VPN в поле Введите локальную конечную точку туннеля.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если на сетевой плате, используемой для соединения с удаленной сетью, включена функция балансировки сетевой нагрузки, используйте в качестве локальной конечной точки туннеля виртуальный IP-адрес этой платы.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Назначение владельца подключения (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. На вкладке Задачи щелкните Настроить удаленную сеть.
  4. Выберите владельца подключения в раскрывающемся списке Выберите владельца подключения на вкладке Сервер.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если в массиве осуществляется балансировка сетевой нагрузки, назначать владельца подключения не нужно. Он определяется автоматически, независимо от владельца подключения, указанного на этой странице.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка адресов для удаленной сети

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. На вкладке Задачи щелкните Настроить удаленную сеть.
  4. Нажмите кнопку Добавить диапазон на вкладке Адреса.
  5. В поле Начальный адрес введите первый адрес диапазона. В поле Конечный адрес введите последний адрес диапазона.
  6. Для выпуска ISA Server 2006 Enterprise Edition. Чтобы добавить корпоративную сеть, нажмите кнопку Добавить сеть и выберите нужную сеть.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • При создании удаленной сети, использующей туннельный протокол IPsec, служба межсетевого экрана Microsoft вносит изменения в фильтры IPsec компьютера во время перезапуска службы межсетевого экрана. Этот процесс может занять до нескольких минут — в зависимости от количества подсетей, входящих в диапазоны адресов данной сети. Чтобы свести задержку к минимуму, рекомендуется задать диапазоны IP-адресов по границам подсетей.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка дополнительных конечных точек туннеля для удаленной сети (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
    • Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. Выберите Настроить удаленную сеть на вкладке Задачи.
  4. Нажмите кнопку Добавить диапазон на вкладке Удаленная балансировка сетевой нагрузки.
  5. В поле Начальный адрес введите первый адрес диапазона. В поле Конечный адрес введите последний адрес диапазона.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • Если удаленный шлюз находится в массиве с включенной функцией балансировки сетевой нагрузки, в ходе рассматриваемой процедуры необходимо указать все выделенные IP-адреса. Виртуальный IP-адрес указывать не нужно.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Предоставление ISA Server разрешения на выполнение подключений к удаленному VPN-шлюзу

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. Выберите Настроить удаленную сеть на вкладке Задачи.
  4. На вкладке Подключение в окне Имя или IP-адрес удаленного шлюза введите имя или IP-адрес удаленного VPN-шлюза.
  5. Нажмите Локальная сеть может инициировать подключение к удаленной сети. Далее в полях Имя пользователя, Домен, Пароль и Подтверждение пароля введите имя пользователя, которое может использоваться сервером ISA Server для инициирования подключений.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Указываемое в этой процедуре имя пользователя должно быть настроено на удаленном VPN-шлюзе.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка методов проверки подлинности VPN для подключений типа "сеть-сеть", инициируемых ISA Server

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. Откройте вкладку Удаленные сети в области сведений и выберите нужную удаленную сеть.
  3. На вкладке Задачи щелкните Настроить удаленную сеть.
  4. Откройте вкладку Проверка подлинности и выберите один из протоколов, при помощи которого удаленный VPN-шлюз будет проводить проверку подлинности подключений, инициируемых ISA Server.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Отключение удаленной сети

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. На вкладке Задачи щелкните Отключить выбранную сеть.

Примечания

  • Дополнительные сведения по VPN см. в разделе Решение: работа с виртуальными частными сетями в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Наблюдение за сеансами с удаленными сетями

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений откройте вкладку Удаленные сети и выберите нужную удаленную сеть.
  3. Нажмите кнопку Выполнять наблюдение за сеансами с сетями на вкладке Задачи.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • На вкладке Сеансы выводятся данные для той сети, для которой настроено наблюдение.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Создание файла ответов для удаленной сети VPN

Порядок создания файла ответов для удаленной сети VPN

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть.
  3. На вкладке Задачи щелкните Создание файла ответов для удаленной сети VPN.
  4. После открытия мастера создания файла ответов следуйте инструкциям на экране.

Примечания

  • Дополнительные сведения о VPN см. в разделе Решение: виртуальные частные сети в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Мастер создания файла ответов помогает пользователю создать файл ответов для использования при запуске мастера подключения удаленного офиса на удаленном офисе.
  • Этот мастер можно запустить только после создания удаленной сети VPN.


Настройка сетей PPTP и L2TP

В этом разделе приведены ссылки на этапы настройки сетей туннельного протокола точка-точка (PPTP) или L2TP.

  • Создание учетной записи удаленного подключения для шлюза удаленной сети
  • Автоматическое закрытие неактивных VPN-подключений

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание учетной записи удаленного подключения для шлюза удаленной сети

  1. На компьютере ISA Server выберите Пуск, Администрирование, Управление компьютером.
  2. В окне управления компьютером выберите Управление компьютером, Служебные, Локальные пользователи и группы, Пользователи.
  3. Щелкните запись нужного пользователя в области сведений правой кнопкой мыши и выберите в появившемся меню пункт Свойства.
  4. В секции Разрешение на удаленный доступ (VPN или модем) на вкладке Входящие звонки установите параметрРазрешить доступ.

Примечания

  • Учетная запись удаленного подключения создается только для сетей PPTP и L2TP. Создавать учетную запись удаленного подключения для сетей IPsec не нужно.
  • Чтобы из удаленной сети можно было установить подключение к локальной сети, в последней должен присутствовать пользователь с настроенными свойствами подключения удаленного доступа. Имена учетной записи пользователя и сети типа "сеть-сеть" должны полностью совпадать. К примеру, если в сети СетьА создана сеть типа "сеть-сеть", представляющая СетьБ, то необходимо одновременно создать пользователя с именем "СетьБ". СетьБ будет подключаться к СетьА с применением учетных данных пользователя с именем СетьБ.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Автоматическое закрытие неактивных VPN-подключений

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. Откройте вкладку Удаленные сети в области сведений и выберите одну из удаленных сетей (только для сетей PPTP или L2TP).
  3. На вкладке Задачи щелкните Настроить удаленную сеть.
  4. На вкладке Подключение в поле со списком Закрывать неактивные подключения через укажите время, в течение которого сеанс может оставаться неактивным до его закрытия.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).


Настройка сетей IPsec

В этом разделе приведены ссылки на этапы настройки протокола IPsec с помощью Microsoft ISA Server 2006.

  • Просмотр политики IPSec
  • Настройка дополнительных параметров IPsec для Phase I
  • Настройка дополнительных параметров IPSec для Phase II


Просмотр политики IPSec

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, а затем выберите подходящую удаленную сеть IPsec.
  3. На вкладке Задачи щелкните Просмотреть политику IPsec.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка дополнительных параметров IPsec для Phase I

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, затем выберите соответствующую удаленную сеть IPsec.
  3. На вкладке Задачи нажмите кнопку Изменить выбранную сеть.
  4. На вкладке Подключение щелкните Параметры IPSec.
  5. На вкладке Phase I в поле Алгоритм шифрования выберите один из следующих параметров:
    • DES, чтобы использовать алгоритм DES с одним 56-разрядным ключом.
    • 3DES, чтобы использовать алгоритм тройной DES (Triple Data Encryption Standard) с тремя уникальными 56-разрядными ключами. Этот параметр обеспечивает более высокую безопасность.
  6. В разделе Алгоритм проверки целостности выберите один из предложенных ниже параметров.
    • SHA1, чтобы использовать 160-разрядный ключ (более стойкий).
    • MD5, чтобы использовать 128-разрядный ключ (более быстрый).
  7. В окне Группа Диффи-Хеллмана выберите один из следующих параметров:
    • Группа 1 (768 разрядов), чтобы создать 768-разрядный материал для основного ключа.
    • Группа 2 (1024 разряда), чтобы создать 1024-разрядный материал для основного ключа (более стойкая защита).
    • Группа 3 (2048 разряда), чтобы создать 2048-разрядный материал для основного ключа (более стойкая защита).
  8. В окне Проверять подлинность и создавать новый ключ через каждые введите интервал времени, через который необходимо создать основной ключ и перезапустить проверку подлинности.

Примечания

  • Дополнительные сведения по VPN см. в разделе Решение: работа с виртуальными частными сетями в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Если для параметров Диффи-Хеллмана используется более стойкая группа, то секретный ключ, полученный в результате обмена ключей по методу Диффи-Хеллмана, обладает большей стойкостью. Используйте группу 2, если требуется возможность взаимодействия с Microsoft Windows Server 2003, Windows 2000 Server и Windows XP.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка дополнительных параметров IPSec для Phase II

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку Удаленные сети, а затем выберите соответствующую удаленную сеть IPsec.
  3. На вкладке Задачи щелкните Изменить выбранную сеть.
  4. На вкладке Подключение щелкните Параметры IPSec.
  5. На вкладке Phase II в разделе Алгоритм шифрования выберите один из представленных ниже параметров.
    • 3DES, чтобы использовать алгоритм тройной DES (Triple Data Encryption Standard) с тремя уникальными 56-разрядными ключами. Этот параметр обеспечивает более высокую безопасность.
    • DES, чтобы использовать алгоритм DES с одним 56-разрядным ключом.
  6. В разделе Алгоритм проверки целостности выберите один из предложенных ниже параметров.
    • MD5, чтобы использовать 128-разрядный ключ (более быстрый).
    • SHA1, чтобы использовать 160-разрядный ключ (более стойкий).
  7. Выберите Проверять подлинность и создавать новый ключ каждые, чтобы ограничить длительность использования ключа до того, как потребуется повторная проверка подлинности. Укажите предельный строк, введя значение в поле КБ, сек. или в обоих полях.
  8. Выберите Использовать безопасную пересылку (PFS), если материал основного ключа не должен использоваться для создания ключа более чем одного сеанса. При включенной безопасной пересылке (PFS) требуется повторная проверка подлинности, что может сказаться на производительности. Затем в разделе Группа Диффи-Хеллмана выберите один из следующих параметров.
    • Группа 1 (768 разрядов), чтобы создать 768-разрядный материал для основного ключа.
    • Группа 2 (1024 разряда), чтобы создать 1024-разрядный материал для основного ключа (более стойкая защита).
    • Группа 3 (2048 разрядов), чтобы создать 2048-разрядный материал для основного ключа (самая стойкая защита).

Примечания

  • Дополнительные сведения по VPN см. в разделе Решение: работа с виртуальными частными сетями в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массив, Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Если в разделе КБ или сек. установить ограничение на параметры ключа сеанса, то после достижения установленного предела запускается новый ключ.
  • Если для параметров Диффи-Хеллмана используется более стойкая группа, то секретный ключ, полученный в результате обмена ключей по методу Диффи-Хеллмана, обладает большей стойкостью. Используйте группу 2, если требуется возможность взаимодействия с Microsoft Windows Server 2003, Windows 2000 Server и Windows XP.


Настройка общих параметров VPN

В этом разделе приведены ссылки на этапы настройки общих параметров виртуальной частной сети (VPN) в Microsoft ISA Server 2006.

  • Настройка сетей доступа VPN
  • Настройка назначения VPN-адресов
  • Настройка методов проверки подлинности VPN
  • Настройка предварительного ключа для VPN-подключений
  • Использование проверки подлинности RADIUS
  • Использование протокола RADIUS для системы учета

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка сетей доступа VPN

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. В области сведений щелкните вкладку VPN-клиенты.
  3. Нажмите кнопку Выбрать сети для доступа на вкладке Задачи.
  4. На вкладке Сети доступа:
    • Выберите сеть, к которой должны подключаться удаленные клиенты VPN (при настройке удаленного доступа VPN-клиентов).
    • Выберите сеть, к которой должен подключаться шлюз удаленной сети (при настройке доступа VPN типа "сеть-сеть").

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Настраиваемые согласно этой процедуре сети доступа применяются как для доступа удаленных VPN-клиентов, так и для доступа типа "сеть-сеть".

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка назначения VPN-адресов

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. На вкладке Задачи щелкните Определить назначения адресов.
  3. На вкладке Назначение адресов выберите один из следующих параметров:
    • Пул статических адресов. Назначение статических адресов удаленному VPN-шлюзу или удаленным VPN-клиентам.
    • Протокол DHCP. Динамическое назначение адресов удаленному VPN-шлюзу или удаленным VPN-клиентам.
  4. Если выбран параметр Пул статических адресов, выполните следующие действия:
    1. Нажмите кнопку Добавить.
    2. Для выпуска ISA Server 2006 Enterprise Edition. В списке Выбор сервера выберите члена массива, для которого определяется данный пул статических адресов.
    3. В поле Начальный адрес введите первый адрес диапазона адресов, назначаемых VPN-клиентам.
    4. В поле Конечный адрес введите последний адрес диапазона адресов, назначаемых VPN-клиентам.
  5. В списке Использовать следующую сеть для получения доступа к службам DHCP, DNS и WINS выберите сеть, в которой размещены серверы разрешения имен.
  6. Нажмите кнопку Дополнительно. Затем выполните следующие действия:
    1. Из списка Разрешение имен выберите один из следующих параметров:
      • Получить адреса DNS-сервера при помощи настроек DHCP. Выберите этот параметр, если VPN-клиенты должны получать адрес DNS-сервера с помощью конфигурации DHCP.
      • Использовать следующие адреса DNS-серверов. Выберите этот параметр, чтобы ввести статический IP-адрес DNS-сервера, который VPN-клиенты должны использовать для разрешения имен.
    2. Если выбран параметр Использовать следующие адреса DNS-серверов, в поле Основной введите IP-адрес расположенного во внутренней сети DNS-сервера, который VPN-клиенты могут использовать для разрешения имен во внутренней сети. В поле Резервный введите IP-адрес расположенного во внутренней сети DNS-сервера, который VPN-клиенты могут использовать для разрешения имен во внутренней сеть при недоступности основного DNS-сервера.
    3. Можно выбрать один из следующих параметров:
      • Получить адреса WINS-сервера при помощи настроек DHCP. Выберите этот параметр, если VPN-клиенты должны получать адрес WINS-сервера с помощью конфигурации DHCP.
      • Использовать следующие адреса WINS-сервера. Выберите этот параметр, чтобы предоставить статический IP-адрес WINS-сервера, который VPN-клиенты должны использовать для разрешения имен.
    4. Если выбран параметр Использовать следующие адреса WINS-серверов, в поле Основной введите IP-адрес расположенного во внутренней сети WINS-сервера, который VPN-клиенты могут использовать для разрешения имен во внутренней сети. В поле Резервный введите IP-адрес WINS-сервера, расположенного во внутренней сети, который VPN-клиенты могут использовать для разрешения имен во внутренней сети при недоступности основного DNS-сервера.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Пользователи маршрутизации и удаленного доступа не поддерживаются.
  • Диапазон удаленных IP-адресов, заданный в данном мастере, должен точно соответствовать определению сети и маске подсети удаленной сети.
  • Для выпуска Enterprise Edition. При выборе параметра Пул статических адресов для удаленных сетей необходимо создать пул статических адресов на каждом члене массива.
  • Для выпуска Enterprise Edition. Протокол DHCP не может быть использован в массивах с несколькими серверами.
  • Для выпуска Enterprise Edition. Адреса, назначенные посредством службы Active Directory (на вкладке Удаленное подключение окна свойств пользователя в окне управления компьютером), нельзя использовать в массивах с несколькими серверами.
  • Выпуск ISA Server Enterprise Edition: сервер ISA Server можно настроить так, чтобы DHCP-сервер использовался для назначения IP-адресов удаленным VPN-клиентам только для массивов с одним сервером. При наличии нескольких членов массива используйте назначение пула статических адресов, выбрав параметр Использовать следующие адреса DNS-серверов.


Настройка методов проверки подлинности VPN

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. Откройте вкладку Задачи и нажмите кнопку Выбрать методы проверки подлинности.
  3. На вкладке Проверка подлинности установите флажки, соответствующие протоколам, при помощи которых ISA Server будет проводить проверку подлинности удаленных клиентов и удаленных VPN-шлюзов (если последние настроены).

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • В условиях удаленных сетей должен быть выбран метод проверки подлинности, согласно которому удаленный VPN-шлюз будет устанавливать соединение с компьютером ISA Server.
  • Пользователи EAP проходят проверку подлинности средствами RADIUS-серверов. К таким пользователям правила политики межсетевого экрана будут применяться лишь в случае дополнительной настройки функции сопоставления пользователей.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка предварительного ключа для VPN-подключений

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. Откройте вкладку Задачи и нажмите кнопку Выбрать методы проверки подлинности.
  3. Если особая политика IPSec может использоваться для VPN-подключениям по протоколу L2TP, на вкладке Проверка подлинности выберите Разрешать особую политику IPSec для L2TP-подключения.
  4. В поле Предварительный ключ введите предварительный ключ, который будет использоваться для всех подключений на основе данной особой политики IPsec.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

Внимание!

  • Для удаленных сетей: выбираемый метод проверки подлинности будет использоваться при инициировании удаленным VPN-шлюзом соединения с компьютером ISA Server.


Использование проверки подлинности RADIUS

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. На вкладке Задачи щелкните Настройка конфигурации RADIUS.
  3. На вкладке RADIUS выберите Использовать RADIUS для проверки подлинности.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).


Использование протокола RADIUS для системы учета

  1. В дереве консоли диспетчера ISA Server щелкните Виртуальные частные сети (VPN).
  2. На вкладке Задачи щелкните Настройка конфигурации RADIUS.
  3. Выберите Использовать RADIUS для системы учета (ведение журнала) на вкладке RADIUS.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массив, раскройте Имя_массива и щелкните Виртуальная частная сеть (VPN).
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Виртуальные частные сети (VPN).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Кэширование

Microsoft® ISA Server 2006 имеет кэш наиболее часто запрашиваемых объектов для повышения производительности сети. Можно настроить кэш так, чтобы он содержал наиболее часто используемые данные.

  • Кэширование: принципы
  • Кэширование: инструкции

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Кэширование: принципы

Microsoft ISA Server 2006 имеет кэш наиболее часто запрашиваемых объектов для повышения производительности сети. Можно настроить кэш так, чтобы он содержал наиболее часто используемые данные.

По умолчанию при установке ISA Server кэширование отключено, так как для кэширования не выделено место на каком-либо диске компьютера ISA Server. Когда при настройке диска кэширования указывается количество места на диске, кэширование фактически включается. Дальнейшую настройку кэша можно выполнить, указав содержимое для кэширования.

Когда кэширование включено, можно настроить правила кэширования, которые определяют, какое содержимое указанных узлов должно сохраняться и извлекаться из кэша ISA Server. Правило кэширования применяется к запрошенным узлам независимо от исходной сети.

Также, когда кэширование включено, можно настроить задания загрузки содержимого. При помощи заданий загрузки содержимого ISA Server можно настроить для автоматической загрузки содержимого в указанное время. Производительность сети может быть улучшена, поскольку ISA Server можно настроить для доступа к наиболее часто запрашиваемому содержимому во внепиковое время.

Дополнительные сведения о кэшировании в ISA Server см. в разделе Принципы кэширования в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

Использование кэширования

ISA Server может быть установлен как сервер прямого кэширования, который обеспечивает клиентам более быстрый доступ к запрашиваемому содержимому. ISA Server поддерживает централизованный кэш часто запрашиваемых объектов, к которому имеет доступ любой веб-обозреватель. Объекты, выдаваемые из кэша диска, требуют значительно меньшего времени для обработки, чем объекты, получаемые из другой сети. Это повышает производительность клиентского веб-обозревателя, снижает время ответа пользователю, а также снижает использование пропускной способности подключения к Интернету.

На следующем рисунке клиенты внутренней сети запрашивают объекты с серверов внешней сети. На рисунке показано, как ISA Server отвечает на запросы объектов пользователями.

Как работает кэширование

На рисунке также показаны преимущества пользователей при кэшировании объектов на ISA Server. Хотя на рисунке изображен случай прямого кэширования, процесс аналогичен и для обратного кэширования, когда пользователи Интернета получают доступ к корпоративному веб-серверу. На рисунке показаны следующие этапы:

  1. Первый пользователь (Клиент 1) запрашивает веб-объект.
  2. ISA Server проверяет, находится ли объект в кэше. Поскольку объект отсутствует в кэше ISA Server, ISA Server запрашивает объект с сервера в Интернете.
  3. Сервер в Интернете возвращает объект компьютеру ISA Server.
  4. ISA Server сохраняет копию объекта в кэше и возвращает объект Клиенту 1.
  5. Клиент 2 запрашивает тот же объект.
  6. ISA Server возвращает объект из кэша, а не получает его из Интернета.

ISA Server может быть развернут перед веб-сервером организации, который содержит коммерческие веб-приложения или обеспечивает доступ бизнес-партнерам. При получении веб-запросов ISA Server может обезличить веб-сервер для внешнего мира, выполняя запросы клиентов на веб-содержимое из кэша. ISA Server пересылает запросы на веб-сервер, только если запросы не удается выполнить из кэша.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Кэширование: Инструкции

В данном разделе представлены инструкции по настройке функции кэширования в Microsoft ISA Server 2006.

  • Включить кэширование
  • Настройка основных параметров кэша
  • Настройка правил кэширования
  • Настройка заданий загрузки содержимого
  • Настройка протокола CARP (Enterprise Edition)
  • Удаление содержимого кэша

Дополнительные сведения о кэшировании в ISA Server см. в разделе Принципы кэширования в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений нажмите вкладку Диски кэша и выберите соответствующий диск.
  3. На вкладке Задачи нажмите Назначить диски кэша (включить кэширование).
  4. Выберите один диск из списка.
  5. В окне Максимальный размер кэша (МБ) введите объем памяти, выделяемый для кэширования на выбранном диске.

Примечания

  • Дополнительные сведения о кэшировании в ISA Server см. в разделе Принципы кэширования в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Кэширование включается, только если размер по крайней мере одного из дисков кэша больше нуля.
  • Когда служба межсетевого экрана Microsoft остановлена, диски кэша нельзя определить или изменить, а кэширование в диспетчере ISA Server не может быть включено.
  • После включения режима кэширования можно убедиться в исправном функционировании кэширования по показаниям счетчика производительности кэша на сервере ISA Server.
  • При настройке диска для кэширования ISA Server создает файл содержимого кэша (Dir1.cdat) в папке диск:\urlcache. Можно указать другое местонахождение файла кэша на диске, включая переменные среды, такие как %cacheDirectory%. Если указанная папка не существует, сервер ISA Server предупредит о том, что указанное местонахождение неверно, и попытается создать такую папку.
  • Чтобы отключить кэширование, щелкните Отключить кэширование.


Настройка основных параметров кэша

В данном разделе представлены пошаговые инструкции по настройке основных параметров кэширования в Microsoft ISA Server 2006.

  • Настройка размера кэша
  • Настройка кэшируемого содержимого
  • Настройка максимального размера объектов в кэше
  • Настройка отрицательного кэширования
  • Настройка выдачи объектов с истекшим сроком хранения из кэша
  • Настройка процента свободной памяти, отводимого для кэширования


Настройка размера кэша

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений нажмите вкладку Диски кэша и выберите соответствующий диск.
  3. На вкладке Задачи нажмите Назначить диски кэша (включить кэширование).
  4. Выберите один диск из списка.
  5. В окне Максимальный размер кэша (МБ) введите объем памяти, выделяемый для кэширования на выбранном диске.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Кэширование включается, только когда размер по крайней мере одного из дисков кэша больше нуля.
  • При остановке службы межсетевого экрана Microsoft прекращается отображение данных с диска кэша на экране диспетчера ISA Server.
  • Неформатированные диски, даже если они входят в список, не могут использоваться для кэширования.
  • (Только для выпуска ISA Server 2006 Enterprise Edition) При изменении размера диска кэша появляется сообщение с требованием сохранить вновь введенный параметр и перезапустить службу межсетевого экрана. Чтобы избежать необходимости перезапустить службу на всех членах массива, выберите сохранение без перезапуска. Затем вручную выполните перезапуск службы межсетевого экрана только для члена массива, на котором были изменены параметры конфигурации.


Настройка кэшируемого содержимого

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования или Задания загрузки содержимого.
  3. На вкладке Задачи нажмите кнопку Настроить параметры кэширования.
  4. На вкладке Дополнительно установите флажок Объекты кэша, для которых не указано время последнего изменения, чтобы кэшировать объекты, для которых не указано время последнего изменения.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Настройка максимального размера объектов в кэше

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования или Задания загрузки содержимого.
  3. На вкладке Задачи нажмите Настроить параметры кэширования.
  4. Чтобы ограничить максимальный размер URL-адресов, записываемых в кэш, откройте вкладку Дополнительно и в текстовом окне Максимальный размер URL-адреса в кэше (байты) введите необходимое число байт.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Настройка отрицательного кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования или Задания загрузки содержимого.
  3. На вкладке Задачи нажмите Настроить параметры кэширования.
  4. На вкладке Дополнительно установите флажок Кэшировать даже объекты без кода состояния HTTP 200.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Настройка выдачи объектов с истекшим сроком хранения из кэша

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования или Задания загрузки содержимого.
  3. На вкладке Задачи нажмите кнопку Настроить параметры кэширования.
  4. На вкладке Дополнительно выберите один из следующих параметров:
    • Не возвращать объект с истекшим сроком действия. При выборе этого параметра будет возвращена страница ошибки.
    • Возвращать объект с истекшим сроком действия только по истечении срока действия. Выберите этот параметр для возвращения объектов с истекшим сроком действия из кэша сервера ISA Server.
  5. Если выбран параметр возвращения объектов с истекшим сроком действия, необходимо указать значение Срок жизни для данного объекта:
    • В поле Раньше, чем данный процент от исходного срока жизни укажите максимальный процент от срока жизни. Если срок действия превышает указанный предел, объект не возвращается.
    • В поле Но не более укажите максимально допустимое количество минут после истечения срока действия объекта. Если срок действия превышает указанный предел, объект не возвращается.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Настройка процента свободной памяти, отводимого для кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования или Задания загрузки содержимого.
  3. На вкладке Задачи нажмите кнопку Настроить параметры кэширования.
  4. На вкладке Дополнительно, в поле Процент свободной памяти для кэширования введите число от 1 до 100, чтобы указать максимальный процент памяти, выделяемой для кэширования.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Вводимое значение Процент свободной памяти для кэширования соответствует выраженной в процентах части полного объема ОЗУ, отводимой под кэш сервера ISA Server. Память выделяется в процессе запуска службы межсетевого экрана Microsoft. Внесенные изменения вступают в силу только после перезапуска службы межсетевого экрана Microsoft.


Включить кэширование

Удаление содержимого кэша

  1. В дереве консоли диспетчера ISA Server щелкните Наблюдение.
  2. Откройте вкладку Службы в области сведений.
  3. Правой кнопкой мыши щелкните Межсетевой экран Microsoft и выберите Стоп.
  4. Запустите проводник.
  5. Найдите папку Urlcache.
  6. В папке Urlcache найдите файл с расширением CDAT.
  7. Правой кнопкой мыши щелкните этот CDAT-файл, а затем щелкните Удалить.
  8. При появлении запроса о подтверждении удаления CDAT-файла щелкните Да. Если появится запрос о подтверждении удаления CDAT-файла без перемещения в корзину из-за его большого объема, щелкните Да.
  9. Перезапустите службу межсетевого экрана Microsoft (см. этапы 1-3, на этапе 3 выберите Пуск).

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Наблюдение.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, а затем щелкните Наблюдение.


Настройка правил кэширования

В этом разделе приведены ссылки на этапы настройки правил кэширования в Microsoft ISA Server 2006.

  • Создание правила кэширования
  • Просмотр правила кэширования обновлений Microsoft
  • Настройка сетевых объектов для правила кэширования
  • Настройка способа кэширования веб-объектов
  • Настройка кэширования HTTP для правила кэширования
  • Настройка кэширования FTP-трафика для правила кэширования
  • Настройка кэширования SSL для правила кэширования
  • Ограничение размера кэшируемых объектов для правила кэширования
  • Отключение правила кэширования
  • Отключение правила кэширования обновлений Microsoft
  • Создание правила кэширования обновлений Microsoft
  • Удаление правила кэширования

Дополнительные сведения по кэшированию в ISA Server см. в Принципы кэширования в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений перейдите на вкладку Правила кэширования.
  3. На вкладке Задачи щелкните Создать правило кэширования.
  4. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Создание правила кэширования обновлений Microsoft

Просмотр правила кэширования обновлений Microsoft

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений перейдите на вкладку Правила кэширования.
  3. Дважды щелкните Правило кэширования обновлений Microsoft, чтобы просмотреть его свойства.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Правило кэширования обновлений Microsoft должно оставаться первым в упорядоченном списке правил кэширования.
  • Правило кэширования обновлений Microsoft включено по умолчанию, но функционирует только в случае определения хотя бы одного диска кэша.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка сетевых объектов для правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило кэширования.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. Откройте вкладку Куда и выполните следующие действия:
    • Чтобы применить правило к определенным сетевым объектам, нажмите верхнюю кнопку Добавить и выберите эти объекты.
    • Чтобы определить сетевые объекты, в отношении которых правило не применяется, нажмите нижнюю кнопку Добавить и выберите эти объекты.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Правило никогда не применяется к сетевым объектам, включенным в список Исключения, даже если сетевой объект также включен в список Это правило применяется к содержимому, запрошенному следующими сетевыми объектами.


Настройка кэширования веб-объектов

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило кэширования.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Хранение и получение данных из кэша выберите один из нижеперечисленных параметров:
    • Если из кэша предполагается извлекать только объекты с неистекшим сроком действия, выберите Только если в кэше существует верная версия данного объекта. Если верная версия не существует, перенаправить запрос.
    • Если объект из кэша при его наличии требуется извлекать в любом случае (а при отсутствии — принимать его по указанному маршруту), выберите Если в кэше существует какая-либо версия объекта. Если не существует, маршрутизировать запрос.
    • Если объект нужно извлекать только в том случае, если его копия имеется в кэше, выберите Если в кэше существует какая-либо версия объекта. Если не существует, отбросить запрос.
  5. Перейдите на вкладку Хранить в кэше и выберите один из следующих параметров:
    • Если получаемые объекты не должны кэшироваться, выберите Никогда, никакое содержимое не будет кэшироваться.
    • Если содержимое должно кэшироваться только в том случае, если кэширование указано в заголовках источника и запроса, выберите Если заголовки источника и запроса указывают на необходимость кэширования. Затем выберите один или несколько параметров из числа перечисленных ниже:
      • Динамическое содержимое (если ISA Server кэширует объекты во всех случаях, даже если кэширование для них не указано)
      • Содержимое для автономного просмотра (ответы 302, 307)
      • Содержимое, требующее для получения проверки подлинности пользователя

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Если выбран параметр Если в кэше существует какая-либо версия объекта. Если не существует, перенаправить запрос, сохраняется возможность извлечения запросов, созданных заданиями запланированной загрузки содержимого.


Настройка кэширования HTTP для правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило кэширования.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке НТTP установите флажок Включить кэширование HTTP.
  5. Чтобы указать срок хранения HTTP-объектов в кэше, выраженный в процентах от времени существования содержимого, введите число в поле Установить срок жизни для объектов.
  6. Чтобы указать срок хранения HTTP-объектов в кэше, выраженный в единицах времени, введите минимальное и максимальное время в поле Не менее и Не более.
  7. Чтобы хранить объекты в кэше сверх срока действия, но в соответствии с настроенными параметрами, выберите Также применять эти границы срока жизни к источникам, указывающим истечение срока действия.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Чем больший процент указан в поле Установить срок жизни для объектов, тем реже будет обновляться кэш.
  • Если срок жизни сокращен путем установки флажка в поле Также применять эти границы срока жизни к источникам, указывающим истечение срока действия, объекты кэша будут более новыми. Однако может произойти некоторое снижение производительности сети, поскольку объекты будут чаще загружаться из Интернета.
  • Для восстановления срока жизни по умолчанию щелкните Восстановить значения по умолчанию.
  • Даже если кэширование HTTP отключено для всех правил кэширования, ISA Server выделяет память кэша. Чтобы остановить выделение памяти ISA Server, установите размер кэша равным 0.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка кэширования FTP-трафика для правила кэширования

Для настройки кэширования FTP-трафика для правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило кэширования.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке FTP установите флажок Включить кэширование FTP-трафика.
  5. Чтобы указать срок хранения FTP-объектов в кэше, введите число в поле Срок жизни для FTP-объектов. Выберите единицу времени из раскрывающегося списка: сек, мин, час, дней или недель.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Чтобы сбросить политику политика времени прекращения действия FTP-объектов для равной важности, щелкните Восстановить значения по умолчанию.
  • При выключении кэширования FTP-трафика для всех правил кэширования ISA Server выделяет память кэша. Чтобы остановить выделение памяти ISA Server, установите размер кэша равным 0.


Настройка кэширования SSL для правила кэширования

Для настройки кэширования SSL для правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило кэширования.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Дополнительно установите флажок Кэшировать SSL-ответы.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Данные параметры влияют только на пересылаемый трафик SSL (Secure Sockets Layer). Туннелируемый трафик SSL не кэшируется.


Ограничение размера кэшируемых объектов для правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило кэширования.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Дополнительно установите флажок Не кэшировать объекты, размер которых превышает.
  5. Введите размер и выберите единицу измерения из раскрывающегося списка.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • ISA Server включает размер заголовка объекта при расчете размера объекта.


Отключение правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило.
  3. На вкладке Задачи щелкните Отключить выбранные правила.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Для включения правила кэширования на вкладке Задачи щелкните Включить выбранные правила.


Отключение правила кэширования обновлений Microsoft

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений перейдите на вкладку Правила кэширования.
  3. На вкладке Задачи щелкните Отключить правило кэширования обновлений Microsoft.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Удаление правила кэширования

Для удаления правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования и выберите соответствующее правило.
  3. На вкладке Задачи щелкните Удалить выбранные правила.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Создание правила кэширования обновлений Microsoft

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений перейдите на вкладку Правила кэширования.
  3. На вкладке Задачи щелкните Создать правило кэширования обновлений Microsoft.
  4. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Правило кэширования обновлений Microsoft предоставляется по умолчанию во время установки ISA Server и активируется по умолчанию в случае определения одного или нескольких дисков кэша.
  • Рекомендуется использовать стандартные узлы обновления продуктов Microsoft, предоставляемые данным мастером.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка заданий загрузки содержимого

В этом разделе приведены ссылки на этапы настройки заданий загрузки содержимого в Microsoft ISA Server 2006.

  • Создание запланированного задания загрузки содержимого кэша
  • Настройка расписания заданий загрузки содержимого кэша
  • Настройка расположения, из которого загружается содержимое кэша
  • Ограничение количества подключений, созданных для заданий загрузки содержимого
  • Настройка срока хранения загруженного содержимого кэша
  • Настройка содержимого, включаемого в задание загрузки содержимого
  • Запуск задания загрузки содержимого
  • Отключение задания загрузки содержимого
  • Удаление задания загрузки содержимого

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Создание запланированного задания загрузки содержимого кэша

Чтобы создать запланированное задание загрузки содержимого кэша, необходимо

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого.
  3. На вкладке Задачи нажмите Назначить задание загрузки содержимого.
  4. Следуйте инструкциям на экране.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Задания загрузки содержимого можно запустить только при выполнении следующих условий:
    1. Сеть локального узла настроена для прослушивания запросов клиентов веб-прокси.
    2. Правила системной политики, разрешающие загрузку содержимого, включены.
    3. Служба планировщика заданий Microsoft ISA Server запущена.


Настройка расписания заданий загрузки содержимого кэша

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого и выберите задание загрузки содержимого.
  3. На вкладке Задачи нажмите кнопку Изменить выбранное задание.
  4. На вкладке Расписание в окнах Дата и Время укажите дату и время загрузки выбранного содержимого из Интернета.
  5. В окне Частота загрузки выберите один из следующих параметров:
    • Для однократной загрузки содержимого в указанное время щелкните Однократно.
    • Для ежедневной загрузки содержимого в указанное время щелкните Ежедневно.
    • Для загрузки содержимого в определенные дни недели в указанное время щелкните Еженедельно по, затем установите флажки в полях дней недели, по которым планируется выполнить загрузку.
  6. Если выбран параметр Ежедневно или Еженедельно по, в окне Частота ежедневной загрузки выберите один из следующих параметров:
    • Чтобы выполнить загрузку содержимого только один раз в день, нажмите Запускать задание один раз каждый день.
    • Чтобы выполнить загрузку содержимого несколько раз в течение дня, нажмите Повторить каждые, затем введите частоту повторений задания.
    • В поле Не выполнять новый запуск задания через введите самое позднее время для запуска задания загрузки содержимого.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Настройка места, из которого загружается содержимое кэша

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого, а затем выберите задание загрузки содержимого.
  3. На вкладке Задачи щелкните Изменить выбранное задание.
  4. На вкладке Содержимое в поле Загрузить содержимое с URL-адреса введите URL-адрес, с которого должна выполняться загрузка содержимого.
  5. Чтобы выполнить загрузку только с домена, указанного в поле Начинать загрузку с URL-адреса, установите флажок в поле Не переходить по ссылкам за пределы указанного доменного имени URL-адреса.
  6. Чтобы ограничить число ссылок для перехода при загрузке содержимого, указываемых на одной странице, установите флажок в поле Максимальная глубина переходов по ссылкам для страницы, затем введите число ссылок.
  7. Чтобы ограничить общее число объектов кэширования, в поле Максимальное число одновременных TCP-соединений, создаваемых для данного задания введите число соединений.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • URL-адреса необходимо вводить в следующем формате: http://widgets.microsoft.com/path.


Ограничение количества подключений, созданных для заданий загрузки содержимого

Для ограничения количества подключений, созданных для заданий загрузки содержимого

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого, а затем выберите соответствующее задание загрузки содержимого.
  3. На вкладке Задачи щелкните Изменить выбранное задание.
  4. На вкладке Содержимое в поле Максимальное количество одновременных TCP-подключений для создания для данного задания введите максимальное количество подключений, которое может быть создано для данного задания.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.


Настройка срока жизни загруженного содержимого кэша

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого и выберите соответствующее задание загрузки содержимого.
  3. На вкладке Задачи щелкните Изменить выбранное задание.
  4. Чтобы переопределить срок жизни какого-либо объекта, щелкните вкладку Кэширование и выберите Переопределить срок жизни объекта.
  5. Если срок жизни не определен, то для переопределения срока жизни объекта выберите Установить срок жизни, если он не определен в ответе.
  6. Чтобы настроить определенный срок жизни для загруженных объектов, введите значение срока жизни в поле Установить для загруженных объектов новый срок жизни (мин).

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Если выбран параметр Переопределить срок жизни объекта, срок жизни объекта будет определяться указанным здесь значением срока жизни или значением срока жизни, указанным в свойствах конфигурации кэша.


Настройка содержимого, включаемого в задание загрузки содержимого

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого, а затем выберите соответствующее задание загрузки содержимого.
  3. На вкладке Задачи щелкните Изменить выбранное задание.
  4. На вкладке Кэширование в Кэширование содержимого выберите один из следующих параметров:
    • Если все содержимое должно всегда кэшироваться, даже если в заголовках запроса или ответа указано, что объект не должен кэшироваться, щелкните Все содержимое будет кэшироваться.
    • Если содержимое должно кэшироваться только в том случае, если заголовки запроса или ответа указывают на необходимость кэширования данного объекта или если содержимое является динамическим, щелкните Если заголовки источника и запроса указывают на необходимость кэширования или содержимое является динамическим, данное содержимое будет кэшироваться.
    • Если содержимое должно кэшироваться только в том случае, если заголовки запроса и ответа указывают на необходимость кэширования объекта, щелкните Если заголовки источника и запроса указывают на необходимость кэширования, данное содержимое будет кэшироваться.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Если выбран параметр Все содержимое будет кэшироваться, все содержимое кэшируется, включая ответы перенаправления (301, 302 и 307).
  • Если выбран параметр Если заголовки источника и запроса указывают на необходимость кэширования или содержимое является динамическим, данное содержимое будет кэшироваться, даже когда заголовок не сообщает о необходимости кэширования, содержимое кэшируется, поскольку оно динамично.


Запуск задания загрузки содержимого

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого, а затем выберите соответствующее задание загрузки содержимого.
  3. На вкладке Задачи щелкните Запустить выбранные задания сейчас.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

Внимание!

  • Задание загрузки содержимого можно запустить, только если:
    • Сеть локального узла настроена для прослушивания запросов клиентов веб-прокси.
    • Правила системной политики, разрешающие загрузку содержимого, включены.
    • Служба планировщика заданий Microsoft ISA Server запущена.
  • Для остановки задания загрузки содержимого на вкладке Задачи щелкните Остановить запущенные задания.


Отключение задания загрузки содержимого

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого, а затем выберите соответствующее задание загрузки содержимого.
  3. На вкладке Задачи щелкните Отключить выбранные задания.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.

Внимание!

  • Для включения задания загрузки содержимого на вкладке Задачи щелкните Включить выбранные задания.


Удаление задания загрузки содержимого

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Задания загрузки содержимого, а затем выберите соответствующее задание загрузки содержимого.
  3. На вкладке Задачи щелкните Удалить выбранные задания.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Кэширование.


Надстройки

Надстройки - это фильтры приложений и веб-фильтры, разработанные корпорацией Майкрософт или сторонними производителями. Эти надстройки предоставляют дополнительные функции фильтрации Microsoft® ISA Server 2006. В данном разделе описаны надстройки и представлены пошаговые инструкции по их настройке.

  • Надстройки: принципы
  • Надстройки: инструкции

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Надстройки: принципы

Политика безопасности и реализации зависит от организации. Объем трафика и форматы содержимого также вносят особенности. Поскольку один продукт или поставщик не может удовлетворить все требования безопасности и производительности большой организации, Microsoft ISA Server 2006 обладает высокой расширяемостью. ISA Server включает комплексный пакет SDK для заказных разработок. Также большое количество независимых поставщиков предлагают совместимые и дополняющие решения, которые расширяют возможности ISA Server и интегрируются с ISA Server. Эти предложения третьих сторон включают средства обеспечения безопасности, такие как различные сканеры вирусов и лексические анализаторы, а также средства управления, такие как наблюдение в режиме реального времени, удаленное администрирование, блокирование узлов, классификация URL-адресов, составление отчетов и другие. Пакет SDK ISA Server включает полную документацию по API, пошаговые указания и примеры исходного кода для разработки расширений и надстроек.

ISA Server использует следующие механизмы расширения:

  • Расширенное администрирование. Можно создавать сценарии или средства управления при помощи административного COM-объекта с программируемым доступом чтения-записи ко всем параметрам управления.
  • Фильтры приложений. Можно разрабатывать фильтры приложений, которые перехватывают, анализируют и изменяют любой поток данных.
  • Веб-фильтры. Можно создавать веб-фильтры, основанные на API Интернет-сервера (ISAPI), для просмотра, анализа, блокирования, перенаправления или изменения трафика протоколов HTTP и FTP.
  • Расширяемый пользовательский интерфейс. Можно расширить интерфейс ISA Server при помощи оснасток консоли управления (MMC).
  • Расширенные оповещения. Можно определить новые события и сценарии, которые будут автоматически выполняться в ответ на события.
  • Расширяемое хранилище. Можно зарегистрировать дополнительные сведения, которые будут сохранены в конфигурации ISA Server, осуществляющей централизованное управление фильтрами и средствами надстроек.

Установка надстроек

Фильтры приложений и веб-фильтры, разработанные сторонними поставщиками, можно установить на компьютер ISA Server. Для выпуска ISA Server 2006 Enterprise Edition. При установке надстроек в среде предприятия следует обязательно устанавливать эти надстройки на каждом члене массива. Во избежание проблем с установкой, не устанавливайте надстройки на все члены массива одновременно.

Для выпуска ISA Server 2006 Enterprise Edition. Устанавливать и регистрировать надстройки на компьютере ISA Server могут администраторы массива и предприятия. Администратору ISA Server не требуется принадлежность к группе администраторов локального компьютера. Когда администратор массива или предприятия регистрирует надстройку, надстройка загружается в процесс службы межсетевого экрана Microsoft, который выполняется под учетной записью сетевой службы.

Надстройки уровня предприятия

Только для выпуска ISA Server 2006 Enterprise Edition

Надстройки можно настраивать на уровне предприятия и на уровне массива. Когда надстройка включена на уровне предприятия, она также применяется к каждому массиву. Когда надстройка отключена на уровне предприятия, администратор массива может включить надстройку для каждого массива. Надстройка, включенная на уровне предприятия, не может быть отключена на уровне массива.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Надстройки: Инструкции

В этом разделе приведены ссылки на инструкции по использованию надстроек фильтрации, разработанных корпорацией Майкрософт или сторонними поставщиками. Надстройки обеспечивают дополнительные функции фильтрации для Microsoft ISA Server 2006.

  • Включение и отключение фильтра
  • Настройка веб-фильтра или фильтра приложения
  • Настройка фильтра H.323
  • Настройка веб-фильтра для проверки подлинности RSA SecurID
  • Настройка фильтра SOCKS
  • Настройка порогов переполнения буфера фильтра SMTP

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение и отключение фильтра

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для надстроек уровня предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Надстройки уровня предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для надстроек уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Надстройки.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Надстройки.
  2. В области сведений перейдите на вкладку Фильтры приложений или Веб-фильтры, а затем щелкните соответствующий фильтр приложения или веб-фильтр.
  3. На вкладке Задачи выполните одно из указанных ниже действий.
    • Чтобы включить фильтр, щелкните Включить выбранные фильтры.
    • Чтобы отключить фильтр, щелкните Отключить выбранные фильтры.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

Внимание!

  • При отключении фильтра отключается фильтрация приложений для соответствующих протоколов. Рекомендованный метод отключения фильтрации приложений заключается в отмене применения фильтра к конкретному протоколу.
  • Для выпуска ISA Server 2006 Enterprise Edition. Надстройки можно включать на уровне массива или предприятия. Когда надстройка включена на уровне предприятия, она также применяется к каждому массиву. Надстройка, включенная на уровне предприятия, не может быть отключена на уровне массива. Когда надстройка отключена на уровне предприятия, администратор массива может включить надстройку для каждого массива.
  • Надстройки фильтров протокола PPTP и веб-прокси отключить нельзя.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка веб-фильтра или фильтра приложения

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для выпуска ISA Server 2006 Enterprise Edition. Для надстроек уровня предприятия раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Надстройки уровня предприятия.
    • Для выпуска ISA Server 2006 Enterprise Edition. Для надстроек уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Надстройки.
    • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Надстройки.
  2. В области сведений перейдите на вкладку Фильтры приложений или Веб-фильтры, а затем щелкните соответствующий фильтр приложения или веб-фильтр.
  3. На вкладке Задачи щелкните Настроить выбранный фильтр.

Примечание

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка фильтра H.323

Для настройки фильтра H.323

  1. В дереве консоли диспетчера ISA Server щелкните Надстройки.
  2. В области сведений, на вкладке Фильтры приложений выберите Фильтр H.323.
  3. На вкладке Задачи щелкните Настроить выбранный фильтр.
  4. На вкладке Управление вызовами выполните одно из следующих действий:
    • Чтобы указать привратника H.323, установите флажок Использовать данный привратник и введите полное доменное имя (FQDN) сервера привратника H.323.
    • Чтобы включить поиск привратника DNS, установите флажок Использовать поиск DNS-привратника и сообщения LRQ для разрешения псевдонимов.
    • Чтобы разрешить аудиовызовы, установите флажок Разрешить аудио.
    • Чтобы разрешить видеовызовы, установите флажок Разрешить видео.
    • Чтобы разрешить данные T.120 и общий доступ к приложениям, установите флажок Разрешить T120 и общий доступ к приложениям.
  5. На вкладке Сети выберите сети для которых ISA Server будет прослушивать вызовы H.323.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Надстройки.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Надстройки.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка веб-фильтра для проверки подлинности RSA SecurID

В этом разделе представлены ссылки на этапы настройки ролей агента RSA ACE и сервера RSA ACE в Microsoft ISA Server 2006.

  • Настройка компьютера ISA Server в качестве агента RSA ACE
  • Проверка того, что сервер ISA Server может проверять подлинность сервера RSA ACE

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка компьютера ISA Server в качестве агента RSA ACE

  • Скопируйте файл Sdconf.rec, расположенный в папке ACE\Data на компьютере сервера RSA ACE, в каталог установки ISA Server \sdconfig на компьютере ISA Server.

Примечание

  • При использовании сервера RSA ACE версии ниже 5.0 выполните следующие действия:
    1. В компьютере сервера RSA ACE щелкните Пуск, выберите пункт Все программы, щелкните Сервер RSA ACE, а затем — Администрирование база данных — режим узла.
    2. В меню Узел агента щелкните Добавить узел агента.
    3. В поле Имя введите имя компьютера ISA Server.
    4. В поле Сетевой адрес введите IP-адрес компьютера ISA Server, если он не появился в списке.
    5. В меню Узел агента щелкните Создать файл конфигурации, щелкните Один узел агента, нажмите кнопку OK, дважды щелкните имя компьютера ISA Server и сохраните файл Sdconf.rec в папке каталога установки ISA Server\sdconfig на компьютере.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Проверка того, что сервер ISA Server может проверять подлинность сервера RSA ACE

  1. Скопируйте файл Sdtest.exe из папки \Tools компакт-диска или общей сетевой папки, содержащей файлы сервера ISA Server, в папку установки сервера ISA Server.
  2. Запустите программу Sdtest.exe.
  3. В окне Информация по проверке подлинности RSA SecurID щелкните Прямая проверка сервера RSA ACE.
  4. В окне Проверка подлинности RSA SecurID введите имя пользователя в поле Введите имя пользователя, секретный код — в поле Введите секретный код.
  5. Нажмите кнопку OK при появлении сообщения об успешной проверке подлинности.

Внимание!

  • Так как веб-фильтр проверки подлинности RSA SecurID используется для связи и проверки подлинности сервера RSA ACE, то компьютер ISA Server должен быть способен взаимодействовать и проверять подлинность сервера RSA ACE.
  • Секретный код — это персональный идентификационный номер (ПИН) пользователя. Такой 6-разрядный код предоставляется устройством SecurID.


Настройка фильтра SOCKS

Для выпуска ISA Server 2006 Enterprise Edition. Выполните указанные ниже действия.

  1. Действия в дереве консоли диспетчера ISA Server:
    • Для доступа к параметрам корпоративных надстроек раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Предприятие и щелкните Корпоративные надстройки.
    • Для доступа к параметрам надстроек уровня массива раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Надстройки.
  2. На вкладке Фильтры приложений в области сведений выберите Фильтр SOCKS V4.
  3. На вкладке Задачи щелкните Настроить выбранный фильтр.
  4. Перейдите на вкладку Общие, и для настройки корпоративного фильтра SOCKS установите параметр Включить этот фильтр на всех массивах. Для настройки фильтра SOCKS уровня массива выберите Включить данный фильтр.
  5. Для настройки фильтра SOCKS уровня массива укажите в поле Порт вкладки Сети номер порта, через который ISA Server должен прослушивать запросы SOCKS.
  6. Для настройки фильтра SOCKS уровня массива выберите одну или несколько сетей, в которых ISA Server должен прослушивать запросы SOCKS.

Для выпуска ISA Server 2006 Standard Edition. Выполните следующие действия:

  1. В дереве консоли диспетчера ISA Server щелкните Надстройки:
    • Раскройте Microsoft Internet Security and Acceleration Server 2006 и выберите Имя_сервера, Конфигурация, Надстройки.
  2. На вкладке Фильтры приложений в области сведений выберите Фильтр SOCKS V4.
  3. На вкладке Задачи щелкните Настроить выбранный фильтр.
  4. Перейдите на вкладку Общие и выберите Включить данный фильтр.
  5. Укажите в поле Порт вкладки Сети номер порта, через который ISA Server должен прослушивать запросы SOCKS.
  6. Выберите одну или несколько сетей, в которых ISA Server будет прослушивать запросы SOCKS.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. При отключении фильтра SOCKS уровня предприятия фильтр уровня массива можно настроить для каждого отдельного массива.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка порогов переполнения буфера фильтра SMTP

  1. В дереве консоли диспетчера ISA Server щелкните Надстройки.
  2. В области сведений на вкладке Фильтры приложений щелкните Фильтр SMTP.
  3. На вкладке Задачи щелкните Настроить выбранный фильтр.
  4. На вкладке SMTP-команды щелкните соответствующую команду и нажмите кнопку Изменить.
  5. В окне Правило SMTP-команд выберите Включить SMTP-команды.
  6. В окне Максимальная длина введите максимально допустимую длину для команд в командной строке.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Надстройки.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Надстройки.

Внимание!

  • Чтобы добавить новую команду, нажмите Добавить и введите имя команды в окне Правило SMTP-команд.
  • Если клиент использует определенную, но отключенную команду, фильтр закрывает данное подключение.
  • Если клиент использует команду, которая не распознается фильтром SMTP, данное сообщение не подвергается фильтрации.
  • Фильтром SMTP фильтруются только команды для входящего трафика.
  • Допускается добавление только простых SMTP-команд.
  • Если клиент использует команду TURN, фильтр будет отбрасывать все сообщения электронной почты.
  • Команда AUTH рассматривается протоколом RFC как часть команды MAIL FROM, поэтому фильтр SMTP блокирует команды MAIL FROM только в тех случаях, когда их длина превышает общую длину команд MAIL FROM и AUTH (если команда AUTH задействована). Например, если для MAIL FROM указана максимальная длина 266 байтов, а для AUTH - 1024 байта, сообщение будет блокировано, только если длина команды MAIL FROM превысит 1290 байтов.


Настройка общих параметров

В Microsoft® ISA Server 2006 можно настроить общие административные задачи и задачи дополнительной безопасности в узле Общие диспетчера ISA Server.

  • Настройка последовательного соединения межсетевых экранов
  • Определение параметров клиента межсетевого экрана
  • Разрешение подключений от клиентов, использующих предыдущие версии клиента межсетевого экрана
  • Настройка параметров удаленного доступа к сети
  • Настройка преобразования ссылок
  • Настройка сжатия HTTP
  • Настройка приоритизированных служб
  • Выбор параметров отзыва сертификатов
  • Настройка RADIUS-серверов
  • Настройка LDAP-серверов
  • Определение настройки IP
  • Настройка фильтров обнаружения атак
  • Настройка предотвращения Flood-атаки


Настройка последовательного соединения межсетевых экранов

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Настроить последовательное соединение межсетевых экранов.
  3. Действия на вкладке Последовательное соединение межсетевых экранов
    • Чтобы использовать основной метод подключения ISA Server для доступа к Интернету, щелкните Использовать основное подключение.
    • Чтобы переслать запрос на вышестоящий компьютер ISA Server, щелкните Последовательно соединиться с данным компьютером и введите имя компьютера в текстовом поле.
  4. Если выбран параметр Последовательно соединиться с данным компьютером, выполните следующие действия:
    • Если запрошенное приложение требует проверки подлинности, установите флажок Использовать данную учетную запись и щелкните Выбрать учетную запись.
    • В поле Пользователь введите доменное имя и имя пользователя в следующем формате:
      ИмяДомена\ИмяПользователя
    • В текстовых полях Пароль и Подтверждение введите пароль.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • В сценарии цепочки веб-прокси для имен и паролей пользователей используются только 7-разрядные символы. В противном случае на нижестоящем прокси-сервере невозможно выполнить встроенную проверку подлинности Windows.
  • Рекомендуется указывать IP-адрес вышестоящего компьютера, а не его имя. Кроме того, на вышестоящем компьютере необходимо настроить клиент межсетевого экрана для выбора компьютера ISA Server вручную. Затем следует указать IP-адрес компьютера ISA Server вместо полного доменного имени.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Определение параметров клиента межсетевого экрана

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений нажмите Определить параметры клиента межсетевого экрана.
  3. На вкладке Параметры приложения нажмите Создать.
  4. В окне Приложение введите имя нового приложения.
  5. В окне Ключ выберите имя ключа.
  6. В окне Значение введите значение для ключа.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

Внимание!

  • Чтобы удалить существующий параметр приложения, выберите его на вкладке Параметры приложения и нажмите кнопку Удалить.
  • Чтобы изменить существующий параметр приложения, выберите его на вкладке Параметры приложения и нажмите кнопку Изменить.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Разрешение подключений от клиентов, использующих предыдущие версии клиента межсетевого экрана

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений нажмите Определить параметры клиента межсетевого экрана.
  3. На вкладке Подключение нажмите Разрешить незашифрованные подключения клиентов межсетевого экрана.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

Внимание!

  • При выборе этого параметра разрешается подключение для компьютеров, на которых установлены предыдущие версии программы клиента межсетевого экрана. Кроме того, разрешается подключение клиентов межсетевого экрана с операционными системами Microsoft Windows NT Server 4.0, Windows Millennium Edition и Windows 98.
  • При выборе этого параметра незашифрованный трафик от прошедших проверку пользователей будет блокирован. Проверка подлинности пользователей выполняется только при условии, если правило политики межсетевого экрана требует такой проверки.


Настройка параметров удаленного подключения

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений нажмите Укажите параметры удаленного доступа.
  3. Чтобы разрешить автоматическое подключение, выберите Разрешить автоматическое подключение к данной сети.
  4. В раскрывающемся списке выберите соответствующую сеть.
  5. Если подключение удаленного доступа является основным шлюзом, выберите Настроить данное подключение удаленного доступа как основной шлюз.
  6. В поле Использовать следующее подключение удаленного доступа введите имя подключения удаленного доступа или нажмите Выбрать для выбора требуемого подключения.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

Внимание!

  • Для создания подключений удаленного доступа в серверах Windows Server 2003 или Windows 2000 Server воспользуйтесь мастером создания подключения.
  • Выбор VPN-подключения в качестве записи удаленного доступа к сети может привести к ошибкам при подключении. Причина в том, что протоколы PPTP и L2TP/IPsec, используемые для установления VPN-подключений, по умолчанию блокируются в сервере ISA Server. Чтобы избежать этого, необходимо создать правила доступа, разрешающие трафик PPTP и L2TP/IPsec. Инструкции см. в разделе Создание правила доступа.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка преобразования ссылок

Для настройки преобразования ссылок

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Настройка глобального преобразования ссылок
  3. Для настройки глобального сопоставления на вкладке Глобальные сопоставления щелкните Добавить для добавления нового глобального сопоставления.
  4. Для настройки перенаправления ссылок для неопубликованных внутренних узлов, на вкладке Перенаправление ссылок:
    • Выберите Перенаправлять пользователей при переходе на неопубликованные веб-узлы
    • Щелкните Добавить для создания и добавления набора URL-адресов, содержащего внутренние адреса неопубликованных узлов.
    • В поле Перенаправлять пользователей на данный опубликованный URL-адрес введите URL-адрес, на который надо перенаправлять пользователей при запросе одного из неопубликованных узлов.
  5. Для настройки типов содержимого на вкладке Типы содержимого в поле Выбранные типы содержимого выберите один или несколько типов содержимого.

Примечания

  • Дополнительные сведения о преобразовании ссылок см. в разделе Принципы преобразования ссылок в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_массива и щелкните Общие.

Внимание!

  • Используйте функцию перенаправления ссылок, когда требуется перенаправлять пользователей при доступе к неопубликованному узлу на определенный URL-адрес вместо выдачи ошибки.
  • По умолчанию преобразование ссылок применяется только к HTML-содержимому: text/html, text/css и text/webviewhtml.
  • Чтобы просмотреть MIME-типы и типы файлов, включенные в группу содержимого, просмотрите свойства группы содержимого.
  • Рекомендуется использовать стандартную страницу ошибки ISA Server, или специально созданную на основе стандартной страницы ошибки, чтобы не создавать уязвимость к атакам сценариев между узлами. Дополнительные сведения по сценариям между узлами см. в разделе об уязвимости защиты от межузловых сценариев на веб-узле Microsoft TechNet (http://www.microsoft.com).
  • Когда ISA Server настроен для перенаправления трафика на опубликованный сервер через HTTPS, рекомендуется, чтобы соответствующий веб-прослушиватель был настроен для прослушивания только HTTPS. Если вы разрешаете пользователям подключаться к ISA Server через HTTP, а затем направляете этот трафик через HTTPS на опубликованный сервер, ISA Server будет преобразовывать HTTPS-ссылки в HTTP, что может отразиться на безопасности. Это является проблемой для веб-прослушивателя, который прослушивает только HTTP, или HTTP и HTTPS.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка сжатия HTTP

В этом разделе приведены ссылки на этапы настройки сжатия HTTP для Microsoft ISA Server 2006.

  • Настройка сжатия HTTP для элемента сети
  • Настройка типов содержимого для сжатия HTTP

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка сжатия HTTP для элемента сети

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Определение параметров сжатия HTTP.
  3. На вкладке Общие проверьте установку флажка Включить сжатие HTTP.
  4. На вкладке Вернуть сжатые данные щелкните Добавить, чтобы добавить элементы сети, из которых клиентам разрешается запрашивать сжатые ответы HTTP.
  5. В разделе Исключения можно щелкнуть Добавить, чтобы добавить элементы сети, из которых клиентам не разрешается запрашивать сжатые ответы HTTP.
  6. Щелкните Типы содержимого и определите сжимаемые типы содержимого. Если не определено ни одного типа содержимого, то сжатие выполняться не будет.
  7. На вкладке Запросить сжатые данные щелкните Добавить, чтобы добавить элементы сети, из которых сервер ISA Server будет запрашивать сжатые ответы HTTP.
  8. В разделе Исключения можно щелкнуть Добавить, чтобы добавить элементы сети, из которых серверу ISA Server будет запрещено запрашивать сжатые ответы HTTP.

Примечания

  • Дополнительные сведения по сжатию HTTP в ISA Server см. в разделе Принципы сжатия HTTP в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Сервер ISA Server сжимает содержимое, только если установлен флажок Сжимать все типы содержимого, кроме выбранных и некоторые типы не выбраны или если установлен флажок Сжимать только выбранные типы содержимого и выбраны некоторые типы.
  • Если выбрать Сжимать все типы содержимого, кроме выбранных и не выбирать типы содержимого, весь трафик будет сжиматься.
  • Сжатие можно применять к трафику, обрабатываемому правилами доступа и правилами публикации.
  • Чтобы клиентский компьютер мог принять сжатое содержимое от ISA Server, его обозреватель должен быть настроен для использования HTTP 1.1. В Internet Explorer данный параметр находится на вкладке Дополнительно свойств обозревателя.
  • Список сетевых объектов упорядочен, поэтому между сетевыми объектами можно задать приоритетность сжатия. Используйте кнопки со стрелкой ВВЕРХ или стрелкой ВНИЗ, чтобы упорядочить элементы сети.
  • Чтобы добавить дополнительные элементы сети, повторите данную процедуру.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка типов содержимого для сжатия HTTP

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Определение параметров сжатия HTTP.
  3. На вкладке Типы содержимого выберите один из приведенных ниже параметров:
    • Сжать все типы содержимого за исключением выбранного, чтобы указать исключаемые типы содержимого (все остальные будут включены).
    • Сжать только выбранные типы содержимого, чтобы указать типы содержимого, которые будут включены (все остальные будут исключены).
  4. В списке Типы содержимого выберите конкретные типы содержимого, которые должны быть исключены или включены.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Можно добавить новые типы содержимого, а затем применить к ним сжатие HTTP. Инструкции см. в разделе Как создать тип содержимого.
  • Ниже перечислены типы содержимого, которые не могут быть сжаты, так как они уже сжаты или представлены в виде потока.
    • видео
    • аудио
    • application/x-tar
    • x-world/x-vrml
    • application/zip
    • application/x-gzip
    • application/x-zip-compressed
    • application/x-compress
    • application/x-compressed
    • application/x-spoon

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка приоритизированных служб

В этом разделе приведены ссылки на этапы настройки протокола приоритизированных служб в Microsoft ISA Server 2006.

  • Включение приоритизации трафика (приоритизированные службы)
  • Настройка приоритетов для применения к значениям приоритизированных служб
  • Назначение приоритета URL-адресу
  • Назначение приоритета домену
  • Применение приоритизированных служб к сети

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение приоритизации трафика (приоритизированные службы)

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Укажите параметры приоритизированных служб.
  3. На вкладке Общие щелкните Включить приоритизацию сетевого трафика в соответствии с битами приоритизированных служб (качество обслуживания)

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Для включения приоритизированных служб необходимо сначала настроить поддерживаемые приоритеты (URL-адреса или домены, к которым применяются приоритеты), а также настроить сети, к которым будут применяться приоритизированные службы.
  • Сервер ISA Server определяет приоритеты трафика для URL-адресов и доменов, указанных на вкладках URL-адреса и Домены.
  • Приоритизация пакетов на основе приоритизированных служб работает в сетях, маршрутизаторы которой поддерживают функциональность качества обслуживания (QoS).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Настройка приоритетов для применения к значениям приоритизированных служб

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Укажите параметры приоритизированных служб.
  3. На вкладке Приоритеты щелкните Добавить.
  4. В диалоговом окне Добавить приоритет сделайте следующее:
    • В поле Имя приоритета введите имя этого приоритета.
    • В поле Биты приоритизированных служб введите соответствующее шестизначное двоичное число, представляющее значение приоритизированных служб (оно также называется "DSCP", кодовая точка приоритизированных служб). Это двоичное число должно соответствовать двоичному числу, используемому маршрутизатором для настройки конкретного параметра качества обслуживания (QoS).
    • Выберите Применить ограничение размера к данному приоритету, если приоритет должен быть применен только к запросам или ответам максимального размера. Затем в поле Предельный размер укажите максимальный размер.
  5. Установите флажок Разрешить особую обработку заголовков запросов и ответов, если сервер ISA Server должен обрабатывать заголовки с приоритетом (повышенный), отличным от других частей запросов и ответов. Затем в поле Использовать данный приоритет выберите приоритет обработки заголовков.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Параметр Разрешить особую обработку заголовков запросов и ответов в соответствии с приоритетом применяется к первому блоку трафика, а не к первому пакету.
  • Сервер ISA Server определяет приоритеты трафика для URL-адресов и доменов, указанных на вкладках URL-адреса и Домены.
  • Приоритизация пакетов на основе приоритизированных служб работает в сетях, маршрутизаторы которой поддерживают функциональность качества обслуживания (QoS).
  • Можно назначать приоритеты, определенные для конкретных URL-адресов и доменов, указанных на вкладках URL-адреса и Домены. При пересылке запросов для данных URL-адресов или доменов к маршрутизатору, поддерживающему QoS, сервер ISA Server также пересылает значение приоритизированных служб, указанное для данного приоритета. Маршрутизатор соответствующим образом приоритизирует трафик.
  • Если установить флажок Применить ограничения размера к данному приоритету, то запросу или ответу, размер которого превышает максимально установленный, назначается следующий по порядку приоритет.
  • После добавления приоритетов можно упорядочить их с помощью кнопок со стрелками ВВЕРХ и ВНИЗ.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Присвоение приоритета URL-адресу

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Укажите параметры приоритизированных служб.
  3. На вкладке URL-адреса щелкните Добавить.
  4. В диалоговом окне Добавление приоритета URL-адреса выполните следующие действия:
    • На вкладке URL-адрес введите URL-адрес для приоритизации.
    • На вкладке Приоритет выберите приоритет для данного URL-адреса.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Приоритизация пакетов на основе приоритизированных служб работает в сетях, маршрутизаторы которой поддерживают функциональность качества обслуживания (QoS).
  • Приоритеты URL-адресов, перечисленные на вкладке URL-адреса, будут использоваться сервером ISA Server для применения битов приоритизированных служб к содержимому, которое может проверяться сервером ISA Server (содержимое, которое не передано по туннелю). Содержимое, переданное по туннелям посредством протокола HTTPS, не может проверяться, а данный URL-адрес не может быть известен, поэтому сервер ISA Server будет применять биты приоритизированных служб к доменам, указанным на вкладке Домены.
  • Используйте символ звездочка (подстановочный символ) в конце URL-адреса, если вы не хотите назначить приоритет только определенному URL-адресу.
  • После добавления URL-адресов можно изменить их порядок сортировки с помощью кнопок со стрелками ВВЕРХ и ВНИЗ. Это позволяет назначать приоритет определенным URL-адресам. Если конкретному URL-адресу предшествует общий URL-адрес, то конкретный URL-адрес никогда не будет сопоставлен.
    Например, может возникнуть желание назначить высокий приоритет адресу www.contoso.com/news/*, а низкий приоритет — адресу www.contoso.com/*. Для правильного назначения приоритетов приоритет адреса www.contoso.com/news/* должен быть самым высоким в списке. В противном случае запрос /news/* будет соответствовать www.contoso.com/* и ему присваивается более низкий приоритет, пока не будет найдена запись /news/*.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Присвоение приоритета домену

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Укажите параметры приоритизированных служб.
  3. На вкладке Домены нажмите кнопку Добавить.
  4. В диалоговом окне Добавление приоритета домена выполните следующее:
    • В поле Домен введите домен для присвоения приоритета.
    • В поле Приоритет выберите приоритет для назначения указанному домену.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Приоритизация пакетов на основе приоритизированных служб работает в сетях, маршрутизаторы которых поддерживают функцию качества обслуживания (QoS).
  • Приоритеты URL-адресов, перечисленные на вкладке URL-адреса, будут использоваться сервером ISA Server для применения битов приоритизированных служб к содержимому, которое может проверяться сервером ISA Server (содержимое, которое не передано по туннелю). Содержимое, переданное по туннелям посредством протокола HTTPS, не может проверяться, а данный URL-адрес не может быть известен, поэтому сервер ISA Server будет применять биты приоритизированных служб к доменам, указанным на вкладке Домены.
  • После добавления доменов можно изменить их порядок сортировки с помощью кнопок со стрелками ВВЕРХ и ВНИЗ. Это позволяет присвоить приоритеты конкретным доменам. Например, можно применить более высокий приоритет для mail.contoso.com, а более низкий приоритет для остальных доменов, *.contoso.com. Чтобы приоритеты применялись правильно, mail.contoso.com должен быть в списке выше. В противном случае запросы на mail.contoso.com будут обработаны по записи *.contoso.com и будут иметь более низкий приоритет до того как будет достигнута запись, содержащая узел mail.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Применение приоритизированных служб к сети

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Укажите параметры приоритизированных служб.
  3. На вкладке Сети выберите сети, которым должны быть назначены приоритизированные службы (приоритизация пакетов).

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Приоритизация пакетов на основе приоритизированных служб работает в сетях, маршрутизаторы которых поддерживают функцию качества обслуживания (QoS).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Выбор параметров отзыва сертификатов

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. Выберите Укажите метод отзыва сертификатов в области сведений.
  3. Выберите Проверьте, что входящие сертификаты клиента не отозваны.
  4. Чтобы ISA Server проверял, присутствуют ли в списке отзыва сертификатов сертификаты сервера, поступившие от вышестоящего сервера, выберите Проверьте, что входящие сертификаты сервера не отозваны в вышестоящем сценарии.
  5. Чтобы ISA Server проверял, присутствуют ли в списке отзыва сертификатов сертификаты сервера, поступившие от опубликованного сервера, выберите Проверьте, что входящие сертификаты сервера не отозваны в обратном сценарии.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Список отзыва сертификатов - это документ, поддерживаемый и публикуемый центром сертификации, в котором перечислены отозванные сертификаты. Важно настроить, какие типы отозванных сертификатов не принимаются ISA Server, поскольку отозванные сертификаты могут представлять угрозу безопасности.
  • Если при установке этих параметров сертификат обнаруживается в списке отзыва сертификатов, то запрос отвергается.


Настройка RADIUS-серверов

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений выберите Определите серверы LDAP и RADIUS.
  3. На вкладке RADIUS-серверы нажмите кнопку Добавить.
  4. В поле Имя сервера введите имя RADIUS-сервера для применения в процессе проверки подлинности.
  5. Нажав кнопку Изменить, после чего в поле Новый секрет введите общий секрет, на основе которого будет проводиться безопасная передача данных между ISA Server и RADIUS-сервером. Для успешной организации передачи данных на ISA Server и на RADIUS-сервере необходимо указать один и тот же секрет.
  6. В поле Порт введите номер UDP-порта, через который RADIUS-сервер будет принимать входящие запросы на проверку подлинности RADIUS. По умолчанию в соответствии с RFC 2138 указан номер порта 1812. При работе со старыми RADIUS-серверами следует сменить номер порта на 1645.
  7. В поле Тайм-аут (сек) введите период времени (в секундах), на протяжении которого ISA Server должен пытаться получить ответ от текущего RADIUS-сервера, прежде чем обратиться к следующему подобному серверу в упорядоченном списке. Следует иметь в виду, что порядок обращения к серверам также можно изменить.
  8. Если с каждым сообщением RADIUS отсылается блок проверки подлинности на основе общего секрета, выберите Всегда используется удостоверение сообщения.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • При настройке в ISA Server проверки подлинности RADIUS конфигурация RADIUS-серверов распространяется на все правила и сетевые объекты, предусматривающие проверку подлинности по этой технологии.
  • Общие секреты помогают убедиться в том, что все сообщения RADIUS, за исключением запросов на доступ, отправляются устройством с поддержкой RADIUS, для которого установлен тот же общий секрет, что и для получателя таких сообщений.
  • Обязательно смените на RADIUS-сервере установленный по умолчанию предварительный ключ.
  • Настройте надежные общие секреты и часто меняйте их, чтобы предотвратить атаки перебором по словарю. Надежные общие секреты должны быть длиной не менее 22 символов и состоять из случайно подобранных букв, цифр и знаков препинания.
  • При установленном параметре Всегда используется удостоверение сообщения убедитесь в том, что RADIUS-серверы способны принимать блоки проверки подлинности сообщений и настроены на их прием.
  • При обмене с VPN-клиентами сообщения, передаваемые по протоколу расширенной проверки подлинности (EAP), всегда сопровождаются блоками проверки подлинности. При работе с клиентами веб-прокси применяется только протокол проверки подлинности паролей (PAP).
  • Следует выбрать параметр Всегда используется удостоверение сообщения, если на RADIUS-сервере работает служба проверки подлинности в Интернете, а для RADIUS-клиента, настроенного для этого сервера, установлен параметр Запрос должен содержать атрибут "Идентификатор сообщения".


Настройка наборов LDAP-серверов

Для настройки наборов LDAP-серверов

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений выберите Определите серверы LDAP и RADIUS.
  3. На вкладке LDAP-серверы щелкните Добавить для открытия диалогового окна Добавление набора LDAP-серверов.
  4. Введите имя набора LDAP-серверов.
  5. Щелкните Добавить для добавления каждого имени LDAP-сервера, описания и тайм-аута. Таймаут - это период времени (в секундах), в течение которого ISA Server должен пытаться получить ответы от текущего LDAP-сервера, прежде чем обратиться к следующему подобному серверу в упорядоченном списке. Обратите внимание, что можно изменить порядок опроса серверов, используя кнопки со стрелкой ВВЕРХ и со стрелкой ВНИЗ.
  6. В поле Домен введите полное доменное имя для Active Directory. Обратите внимание, что это домен, в котором определены учетные записи пользователей, а не домен, которому принадлежит ISA Server.
  7. В случае применения глобального каталога выберите Глобальный каталог.
  8. Для шифрования трафика LDAP (применения протокола LDAPS) выберите Подключиться к LDAP-серверам через безопасное подключение.
  9. Можно ввести учетные данные, которые следует использовать для подключения к Active Directory для проверки состояния учетной записи пользователя и для смены паролей учетных записей. Это позволяет иметь функциональность для управления паролями при проверке подлинности HTML-форм. Дополнительные сведения см. в разделе Настройки форм.
  10. Нажмите кнопку OK, чтобы закрыть диалоговое окно Добавление набора LDAP-серверов.
  11. В области Выражение для входа щелкните Создать для добавления выражения для входа. Выражение для входа позволяет назначать набор LDAP-серверов определенным группам пользователей. Например, можно назначить один набор LDAP-серверов пользователям FABRIKAM\*, а другой набор LDAP-серверов пользователям CONTOSO\*. Выражения для входа отправляются сервером ISA Server в порядке перечисления. Можно изменить порядок при помощи кнопок со стрелкой ВВЕРХ и со стрелкой ВНИЗ.

Примечания

  • Дополнительные сведения о проверке подлинности в ISA Server см. в разделе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server .
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Каждый набор LDAP-серверов является списком LDAP-серверов (контроллеров домена или глобальных каталогов), которые представляют одну область. Серверы в наборе серверов опрашиваются для проверки учетных данных пользователей.
  • При настройке проверки подлинности LDAP в ISA Server конфигурация LDAP-сервера распространяется на все правила и сетевые объекты, в которых задействуется проверка подлинности LDAP.


Определение настройки IP

В этом разделе приведены ссылки на этапы настройки параметров IP в Microsoft ISA Server 2006.

  • Включение фильтрации фрагментов IP
  • Включение фильтрации параметров IP
  • Включение маршрутизации IP


Включение фильтрации фрагментов IP

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений нажмите Определить настройку IP.
  3. На вкладке Фрагменты IP нажмите Блокировать фрагменты IP.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

Внимание!

  • Проверка подлинности Kerberos зависит от UDP-пакетов, которые обычно фрагментированы. Если компьютер ISA Server или массив принадлежит домену и включена блокировка фрагментов IP, произойдет сбой при проверке подлинности Kerberos. Например, если компьютер использует Kerberos для проверки подлинности при входе, вход не будет выполнен. Рекомендуется не включать блокировку пакетов, содержащих фрагменты IP, в случае использования проверки подлинности Kerberos.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Включение фильтрации параметров IP

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений нажмите Определить настройку IP.
  3. На вкладке Параметры IP нажмите Включить фильтрацию параметров IP.
  4. Можно выбрать один из следующих параметров:
    • Отклонить все пакеты с любыми параметрами IP
    • Отклонить пакеты с выбранными параметрами IP
    • Отклонить все пакеты за исключением выбранных параметров IP
  5. Если выбраны параметры Отклонить пакеты с выбранными параметрами IP или Отклонить все пакеты за исключением выбранных параметров IP, необходимо указать соответствующие параметры IP.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Включение маршрутизации IP

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений нажмите Определить настройку IP.
  3. На вкладке Маршрутизация IP выберите Включить маршрутизацию IP.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

Внимание!

  • Хотя маршрутизация IP повышает производительность, отключение маршрутизации IP повышает безопасность. Если маршрутизация IP отключена, сервер ISA Server отправляет по назначению только данные (а не весь пакет).

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка фильтров обнаружения атак

В разделе приведены описания способов настройки фильтров обнаружения атак, содержащихся в Microsoft ISA Server 2006.

  • Включение функции обнаружения атак в виде распространенных атак
  • Включение функции обнаружения атак и DNS-атак
  • регистрировать отброшенные пакеты

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение обнаружения атак для распространенных атак

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Включить обнаружение вторжений и обнаружение DNS-атак.
  3. На вкладке Распространенные атаки нажмите Включить обнаружение вторжения.
  4. Выберите один или несколько из следующих параметров:
    • Атака переполнения на системы Windows (WinNuke). Выберите этот параметр, если требуется, чтобы сервер ISA Server создавал событие в случае попытки атаки переполнения типа "отказ в обслуживании" на один из компьютеров, защищаемых сервером ISA Server.
    • Land-атака. Выберите этот параметр, если требуется, чтобы сервер ISA Server создавал событие в случае отправления пакета TCP SYN с поддельным IP-адресом и номером порта, совпадающими с IP-адресом и номером порта назначения.
    • Атака "Ping смерти". Выберите этот параметр, если требуется, чтобы сервер ISA Server создавал событие в случае получения сервером ISA Server фрагмента IP, содержащего больше данных, чем максимально допустимый размер IP-пакета.
    • IP-атака полусканирования. Выберите этот параметр, если требуется, чтобы сервер ISA Server создавал событие в случае повторных попыток подключения к какому-либо компьютеру назначения без обмена соответствующими пакетами подтверждения.
    • "UDP-бомба". Выберите этот параметр, если требуется, чтобы сервер ISA Server создавал событие при попытке отправления неверного UDP-пакета. Хотя и событие в результате подобной попытки будет создано, для инициирования соответствующего действия требуется отдельно включить и настроить оповещение.
    • Сканирование портов. Выберите этот параметр, если требуется, чтобы сервер ISA Server создавал событие при попытке обнаружения служб на каком-либо компьютере путем последовательного опроса портов. Если выбран данный параметр, также необходимо указать следующие параметры:
      • Определять после атак на стандартные порты. Введите максимальное число стандартных портов, которые будут просканированы, прежде чем будет создано событие, обозначающее атаку сканирования портов. Стандартным портом является любой порт в диапазоне от 1 до 2048.
      • Определять после атак на порты. Введите максимальное число портов, которые будут просканированы, прежде чем будет создано событие, обозначающее атаку сканирования портов.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Включение функции обнаружения атак для DNS-атак

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Включить обнаружение вторжений и обнаружение DNS-атак.
  3. На вкладке DNS-атаки нажмите Включить обнаружение и фильтрацию DNS-атак.
  4. Выберите один или несколько из следующих параметров:
    • Переполнение имен узлов DNS. Если необходимо, чтобы сервер ISA Server проверял попытки атак по переполнению имен узлов DNS. Фильтр обнаружения DNS-атак перехватывает и анализирует DNS-трафик, предназначенный для внутренней сети. Атака по переполнению имен узлов DNS имеет место, когда ответ DNS на имя узла превышает заданную фиксированную длину.
    • Переполнение длины DNS. Если необходимо, чтобы сервер ISA Server проверял попытки атак по переполнению длины DNS. Атака по переполнению длины DNS имеет место, когда ответ DNS на IP-адреса превышает заданную длину 4 байта.
    • Передача зон DNS. Если необходимо, чтобы сервер ISA Server проверял попытки атак по передаче зон DNS. Атака по передаче зон DNS имеет место, когда система клиента использует приложение DNS-клиента для передачи зон из внутреннего DNS-сервера.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Регистрация отброшенных пакетов

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Включить обнаружение вторжений и обнаружение DNS-атак.
  3. На вкладке Распространенные атаки щелкните Записывать отброшенные пакеты.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

Внимание!

  • По умолчанию при установке сервера ISA Server регистрируются все отброшенные пакеты.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка предотвращения Flood-атаки

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Настройка параметров предотвращения Flood-атаки.
  3. На вкладке Предотвращение Flood-атаки настройте следующие параметры:
    • Выберите Предотвращение Flood-атак и распространения вирусов-червей для включения предотвращения Flood-атак. Этот пункт выбран по умолчанию.
    • Для каждого типа потенциальных атак щелкните Изменить для настройки параметров защиты.
    • Выберите Регистрировать в журнале трафик, заблокированный согласно параметрам предотвращения Flood-атаки, если необходимо регистрировать заблокированный трафик. Этот пункт выбран по умолчанию.
  4. На вкладке Исключения IP-адресов нажмите кнопку Добавить, чтобы добавить элементы сети, к которым необходимо применить настраиваемое ограничение.

Оптимизация ведения журнала в случае атаки

Каждый раз при превышении предела предотвращения Flood-атаки ISA Server создает оповещение, сообщающее IP-адрес клиента-нарушителя. После определения списка IP-адресов клиентов-нарушителей выполните следующие действия для предотвращения записи ненужных записей в журнал. Это поможет улучшить производительность ISA Server во время атаки.

Для улучшения производительности ISA Server во время атаки.

  1. Отключите ведение журнала либо для отдельного правила, которое срабатывает при атаке, либо целиком до прекращения Flood-атаки.
  2. Перенастройте предел оповещение Предел количества подключений (и все другие типы оповещений, которые могут часто инициироваться во время определенных атак) на Ручной сброс.

Примечания

  • Дополнительные сведения о защите сетей в ISA Server см. в разделе Принципы защиты сетей в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Злоумышленник может совершить Flood-атаку путем использования поддельных IP-адресов, внесенных в список исключений. Для противодействия этой угрозе рекомендуется развернуть политику IPsec между сервером ISA Server и каждым доверенным IP-адресом, включенным в список исключений IP-адресов. Политика IPsec будет требовать проверки подлинности трафика с этих IP-адресов, тем самым обеспечивая эффективное блокирование поддельного трафика.
  • При отключении регистрации в журнале для отклоненных записей журнала можно определить только возможные оповещения.
  • В Enterprise Edition настраиваемые ограничения для предотвращения Flood-атак применяются для всех членов массива. При подсчете соединений соединения относятся на счет стороны, инициировавшей соединение.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Ресурсы по устранению неполадок

Для получения общих рекомендаций по устранению неполадок ISA Server 2006 см. Устранение неполадок ISA Server 2006.

Для получения рекомендаций по устранению конкретных неполадок см. следующие документы:

  • Устранение неполадок — Проверка подлинности клиента в правилах доступа ISA Server 2004
  • Устранение неполадок — Идентификатор узла в ISA Server 2004 Enterprise Edition
  • Устранение неполадок — Балансировка сетевой нагрузки в ISA Server 2004 Enterprise Edition
  • Устранение неполадок: Установка
  • Устранение неполадок — Трафик веб-прокси в ISA Server 2004
  • Наблюдение и устранение неполадок — Производительность
  • Устранение неполадок: Журнальная регистрация
  • Устранение неполадок — Ошибки действий оповещений
  • Устранение неполадок — Серверы хранилища настроек в ISA Server 2004 Enterprise Edition
  • Устранение неполадок — Конфигурации сети в ISA Server 2004
  • Устранение неполадок — Неподдерживаемые конфигурации в ISA Server 2004
  • Устранение неполадок — SSL-сертификаты в ISA Server 2004 Publishing
  • Устранение неполадок — Клиенты межсетевого экрана в ISA Server 2004

  • Устранение неполадок — Проблема с проверкой подлинности в пакете обновления Windows версия 5

  • Устранение неполадок с VPN

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Авторские права

Сведения, содержащиеся в настоящем документе, включая URL-адреса и другие ссылки на веб-узлы, могут быть изменены без предварительного уведомления. Если не указано иное, используемые в примерах наименования компаний, организаций, изделий, имена доменов, адреса электронной почты, логотипы, имена людей, названия мест и описания событий являются вымышленными, и любые ассоциации с существующими компаниями, организациями, изделиями, именами доменов, адресами электронной почты, логотипами, людьми, местами или событиями являются случайными и непреднамеренными. Соблюдение всех требований действующего законодательства по авторским правам является обязанностью пользователя. Воспроизведение, сохранение или введение в любую систему поиска какой-либо части данного документа, а также его передача в любой форме, с любой целью и с помощью любых средств (электронных, механических, фотокопирования, записи или иных других) без письменного разрешения корпорации Майкрософт является нарушением авторских прав.

Корпорация Майкрософт может обладать патентами, заявками на патенты, торговыми знаками, авторскими правами или другими средствами защиты прав на интеллектуальную собственность, относящимися к предметам и темам, описанным в данном документе. Получение данного документа не предоставляет лицензию на вышеуказанные патенты, торговые знаки, авторские права или другие права на интеллектуальную собственность, за исключением случаев, когда это явно оговорено в письменном лицензионном соглашении, выданном корпорацией Майкрософт,

С помощью ссылок, приведенных в этой области, можно закрыть продукт и/или покинуть веб-узел корпорации Майкрософт. Связанные со ссылками веб-узлы не контролируются корпорацией Майкрософт, и корпорация Майкрософт не несет ответственности за содержимое любого связанного с данными ссылками веб-узла или за возможные изменения и обновления этих веб-узлов. Корпорация Майкрософт не несет ответственности за веб-рассылку или любую другую форму передачи содержимого с веб-узлов, связанных с данными ссылками. Корпорация Майкрософт предлагает эти ссылки только для удобства пользователей, и упоминание какой-либо ссылки не означает поддержку данного веб-узла со стороны корпорации Майкрософт.

© Корпорация Майкрософт, 2006. Все права защищены.

Active Directory, Microsoft, Microsoft Press, MSDN, Visual Basic, Visual C++, Windows и Windows NT являются зарегистрированными товарными знаками или торговыми знаками, принадлежащими корпорации Майкрософт в США и/или в других регионах и/или странах.

Упомянутые названия компаний и продуктов могут быть торговыми знаками их владельцев.


Лучшие решения по обеспечению безопасности при управлении предприятием

Сервер Microsoft ISA Server 2006 предоставляет многоуровневую архитектуру, в которой данные о конфигурации хранятся на сервере хранилища настроек. Члены массива связываются с сервером хранилища настроек для получения актуальных данных о конфигурации. Кроме того, члены массива взаимодействуют между собой. Чтобы обеспечить безопасность данной модели развертывания, используйте лучшие решения, приведенные в данном разделе. Кроме того, для обеспечения безопасности компьютеров с запущенными службами ISA Server, выполняйте рекомендации, приведенные в разделе Лучшие решения по обеспечению безопасности. Также рекомендуется ознакомиться с документом Инструкции по усилению безопасности ISA Server, доступным на веб-узле Microsoft TechNet (http://www.microsoft.com/), так как он регулярно обновляется новой информацией.

Обеспечение безопасности сервера хранилища настроек

Чтобы обеспечить безопасность сервера хранилища настроек, следуйте приведенным ниже рекомендациям.

  • Сервер хранилища настроек рекомендуется установить на выделенном компьютере, который не используется для других задач.
  • Примите необходимые меры по обеспечению безопасности сервера хранилища настроек. Убедитесь в физической защищенности данного компьютера.
  • После создания ролей администратора избегайте выполнения любых действий на сервере хранилища настроек. Изменения сервера хранилища настроек должны выполняться при использовании учетных данных администратора предприятия на компьютере массива ISA Server или компьютере удаленного управления.
  • Пользователи, принадлежащие группе администраторов сервера хранилища настроек, фактически обладают разрешениями администратора предприятия. Это связано с тем, что они могут напрямую изменять любые данные на сервере хранилища настроек.
  • Не рекомендуется размещать сервер хранилища настроек на границе сети. Вместо этого его следует разместить за компьютером с запущенными службами ISA Server, который поможет защитить от потенциальных атак.
  • Выполняйте аудит изменений разрешений на сервере хранилища настроек. Инструкции см. в документе Включение аудита параметров разрешений сервера хранилища настроек.

Обеспечения безопасности взаимодействия внутри массива

Чтобы обеспечить безопасность взаимодействия внутри массива, следуйте представленным ниже рекомендациям.

  • Во время установки для каждого члена массива создается закрытый и открытый ключ. Данные ключи используются для передачи конфиденциальных данных между членами массива. Если вы думаете, что ключи были раскрыты, создайте новую пару ключей, удалив и переустановив ISA Server.
  • Рекомендуется использовать выделенную сетевую плату в сети, используемой только для взаимодействия внутри массива. Данная сеть должна включать адреса внутри массива всех члена массива . Дополнительные сведения см. в разделе Настройка безопасного взаимодействия внутри массива.

Балансировка сетевой нагрузки

Для балансировки сетевой нагрузки, следуйте представленным ниже рекомендациям.

  • Если включена балансировка сетевой нагрузки, используйте лучшие решения по обеспечению безопасности, описанные в документе Балансировка сетевой нагрузки: лучшие решения по обеспечению безопасности в Windows 2000 и Windows Server 2003 (http://www.microsoft.com/).
  • При включении балансировки сетевой нагрузки маршрутизатор разместите перед массивом с балансировкой сетевой нагрузки. Настройте маршрутизатор на блокирование трафика Raw IP. В противном случае все члены массива будут обрабатывать данный трафик одновременно.
  • После включения служба балансировки сетевой нагрузки синхронизует членов массива, взаимодействуя только по протоколу Ethernet. Этот низкоуровневый трафик не защищен сервером ISA Server. Для защиты данного трафика настоятельно рекомендуется между Интернетом и массивом с балансировкой сетевой нагрузки разместить маршрутизатор третьего уровня. Такой маршрутизатор третьего уровня не пропустит трафик низкоуровневого протокола Ethernet, тем самым защищая массив от потенциально вредоносного трафика Ethernet из Интернета, нацеленного на нарушение работы балансировки сетевой нагрузки.

Протокол CARP (Cache Array Routing Protocol)

При включении протокола CARP выполняйте представленные ниже рекомендации.

  • Для взаимодействия по протоколу CARP используйте выделенную сеть. Настройте для такой сети протокол IPsec.
  • Сети с поддержкой протокола CARP должны быть доступны только членам массива.


Настройка

Для настройки Microsoft ISA Server 2006 сначала необходимо определить топологию сети ISA Server и создать сетевые правила для указания, как должен перемещаться трафик между сетями. Затем можно включить кэширование и настроить свойства кэша, включить фильтры приложений и веб-фильтры, а также определить общие административные параметры и параметры безопасности.

С помощью ссылок в узле "Конфигурация" дерева консоли настройте следующее:

  • Серверы. Просмотр состояния членов массива. Настройка особых параметров сервера.
  • Сети. Настройка сетей ISA Server и определение способа передачи трафика между ними. Для получения дополнительных сведений см. Сеть.
  • Кэширование. Включите кэширование, определите, как кэшируются веб-объекты, и создайте задания загрузки содержимого. Для получения дополнительных сведений см. Кэширование.
  • Надстройки. Установите дополнительную безопасность ISA Server, включив фильтры приложений и веб-фильтры. Для получения дополнительных сведений см. Надстройки.
  • Общие. Определите глобальные административные параметры и параметры конфигурации данного компьютера ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настроить преобразование ссылок

Настройка преобразования ссылок

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Настройка преобразования глобальных ссылок
    • На вкладке Общие можно включить или отключить преобразование ссылок. Также следует включить преобразование ссылок для отдельных правил публикации.
    • На вкладке Глобальное сопоставление можно добавить сопоставления преобразования ссылок к автоматически созданным на основе правил публикации. Когда возникает конфликт сопоставления на основе правила и глобального сопоставления, используется глобальное сопоставление.
    • На вкладке Перенаправление ссылок можно указать список неопубликованных внутренних веб-узлов и указать URL-адрес, на который пользователи будут перенаправлены при попытке получения доступа к этим узлам через Интернет. Добавляйте узлы как наборы URL-адресов. Если не предоставить URL-адрес для неопубликованных узлов, пользователям будет выдана ошибка.
    • На вкладке Типы содержимого можно выбрать типы содержимого, для которых будет применяться преобразование ссылок. По умолчанию преобразование ссылок применяется только к HTML-документам.

Примечания

  • Дополнительные сведения о преобразовании ссылок см. в разделе Принципы преобразования ссылок в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Массивы, Имя_массива, Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, затем Имя_сервера, Конфигурация и щелкните Общие.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка проверки подлинности на основе форм для веб-клиента Outlook

В этом разделе приведены ссылки на этапы настройки проверки подлинности веб-клиента Outlook на основе форм с помощью Microsoft ISA Server 2006.

  • Блокирование вложений от веб-клиентов Outlook
  • Настройка тайм-аута бездействующих сеансов для веб-клиентов Outlook

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Обзор системной политики

Microsoft ISA Server 2006 защищает сетевые ресурсы, безопасно подключая их для специально определенных нужд. ISA Server обеспечивает баланс между безопасностью и необходимостью подключения. Это часто требует определения особых правил политики межсетевого экрана. Это также требует введения в действие сетевой инфраструктуры, обеспечивающей основную функциональность. Проверка подлинности, диагностика сети и ведение журнала сети, а также удаленное управление являются примерами служб, которые могут потребоваться для эффективного администрирования и отслеживания сетевой активности и безопасности. Для получения дополнительных сведений см. Правила системной политики.

ISA Server предлагает системную политику, набор правил политики межсетевого экрана, который управляет включением компьютером ISA Server инфраструктуры, необходимой для управления сетевой безопасностью и возможностями подключения. ISA Server устанавливается с системной политикой по умолчанию, разработанной для поддержания баланса между безопасностью и возможностями подключения.

Некоторые правила системной политики включаются при установке. Это предполагаемые наиболее общие и необходимые правила для эффективного управления средой ISA Server. В дальнейшем можно определить службы и задачи, необходимые для управления сетью, и включить соответствующие правила системной политики. Для получения дополнительных сведений см. Системная политика по умолчанию.

Ограничение системной политики

После установки ISA Server можно настроить системную политику. Можно определить те службы и задачи, которые не являются критичными для управления сетью, и отключить соответствующие правила системной политики.

В общем случае, с точки зрения безопасности, настоятельно рекомендуется отключить все правила системной политики, которые не требуются для управления сетью. После установки внимательно просмотрите настроенные правила системной политики. После выполнения основных административных задач пересмотрите настройки системной политики еще раз.

Для получения инструкций см. Включение конфигурационной группы системной политики.

Кроме отключения ненужных правил системной политики ограничьте применение правил только до требуемых сетевых объектов. Например, группа настройки системной политики Active Directory®, включенная по умолчанию, применяется ко все компьютерам внутренней сети. Можно ограничить ее применение только до отдельной группы Active Directory внутренней сети.

Для получения инструкций см. Изменение мест назначения для правил системной политики.

Примечание

  • Многие правила системной политики применяются к сети локального узла. Однако, сеть локального узла в контексте правил системной политики относится к связи со службой межсетевого экрана Microsoft, а не с компьютером ISA Server. Существует несколько исключений, например группа настройки удаленного управления.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Устранение неполадок с клиентами межсетевого экрана

Вид неполадки

Программное обеспечение клиента межсетевого экрана установлено неправильно.

Причина: Существует много причин, по которым клиент межсетевого экрана может быть установлен неправильно. Программа установки программного обеспечения клиента межсетевого экрана создает файл журнала на клиентском компьютере каждый раз при установке клиентского программного обеспечения. Файл журнала содержит сведения об установке, включая сведения о том, какие клиентские приложения были установлены, и какие службы были запущены.

Решение: Можно использовать файл журнала для устранения неисправностей с установкой. Имя файл журнала - Firewallc.log, он расположен в папке установки программного обеспечения клиента межсетевого экрана. ISA Server перезаписывает данный файл журнала каждый раз при установке программного обеспечения клиента межсетевого экрана.

Клиент межсетевого экрана не может получить доступ ко внешней сети.

Причина: Если для сети включен транспортный режим протокола IPsec, функционирование клиентов межсетевого экрана в этой сети может быть нарушено.

Решение: Отключите маршрутизацию IP. Для получения инструкций см. Включение маршрутизации IP.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Преобразование ссылок

На некоторых опубликованных веб-узлах могут содержаться ссылки на внутренние имена компьютеров. Так как для внешних клиентов доступен только сервер Microsoft ISA Server 2006 (а не вся сеть), такие ссылки действовать не будут. В ISA Server предусмотрен веб-фильтр преобразования ссылок, который позволяет создать словарь определений внутренних имен компьютеров и сопоставить их с публичными именами.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Этапы настройки подключений удаленного доступа

Подключение удаленного доступа определяет свойства соединения по телефонной линии — в частности, поставщика услуг Интернета, телефонный номер и настройки модема.

Подключения удаленного доступа создаются с помощью мастера создания подключения Microsoft Windows Server.

Выбрав подключение удаленного доступа, следует указать данные учетной записи удаленного подключения, требуемые поставщиком услуг Интернета. Это те же данные учетной записи, которые используются при создании подключения удаленного доступа. Данные учетной записи удаленного подключения используются сервером Microsoft ISA Server 2006 при подключении к поставщику услуг Интернета.

Настройка подключения по запросу

  1. Создайте в операционной системе новое сетевое подключение. Инструкции по созданию подключений удаленного доступа к сети см. в справке Windows.
  2. Выберите сети, к которым ISA Server нужно будет подключаться автоматически.
  3. Убедитесь в том, что для плат внутренней сети компьютера ISA Server не настроен основной шлюз.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Выбор сети для автоматического подключения

Автоматическое подключение настраивается для каждой сети в отдельности. Когда Microsoft ISA Server 2006 получает запрос на доступ к выбранной сети, применяется подключение удаленного доступа, настроенное для этой сети.

Автоматическое подключение применяется только для одной сети.

Для автоматического подключения к Интернету в его параметрах следует указать внешнюю сеть. Иногда автоматическое подключение применяется для других внешних сетей. К примеру, можно настроить автоматическое подключение к сети филиала или к подразделению организации.

Соответствующие инструкции см. в разделе Настройка автоматического подключения. Инструкции по созданию сетей см. в разделе Создание сети уровня массива.


Дополнительные параметры формы

Дополнительные параметры формы предоставляют следующие возможности настройки.

  • В разделе Параметры файлов cookie можно указать имя файла cookie, который предоставляется сервером ISA Server клиенту после успешного прохождения проверки подлинности на основе форм. Из данного раскрывающегося списка можно выбрать, сохраняются ли файлы cookie (продолжают существовать на клиенте после завершения сеанса) на всех компьютерах, только на личных компьютерах или никогда.
  • В разделе Параметры безопасности клиента можно настроить следующие параметры.
    • Отслеживать максимальное время бездействия, чтобы установить тайм-аут на основе периода бездействия клиента.
    • Отслеживать максимальную продолжительность сеанса, чтобы установить тайм-аут на основе длительности сеанса. Затем установите тайм-ауты для общедоступных и личных компьютеров, которые будут использоваться для определения максимального времени бездействия или максимальной длительности сеанса.
    • Отменить регистрацию, когда клиент покидает веб-узел, если необходимо, чтобы пользователь автоматически выгружался после ухода с узла, на котором он был зарегистрирован.

Дополнительные сведения о проверке подлинности в ISA Server см. в документе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

Внимание!

  • По достижении порога тайм-аута клиент должен пройти повторную регистрацию, указав свои учетные данные.
  • При настройке тайм-аута для проверки подлинности на основе форм рекомендуется делать тайм-аут короче, чем это диктуется опубликованным сервером. Если тайм-аут опубликованного сервера истекает раньше, чем у сервера ISA Server, то пользователь может ошибочно подумать, что сеанс завершился. Это могло бы позволит злоумышленникам воспользоваться сеансом, который остается открытым до явного закрытия пользователем или истечения тайм-аута сервера ISA Server в соответствии с настройками форм.
  • Используйте постоянные файлы cookie, чтобы разрешить открытие документов из служб Microsoft Windows SharePoint Services без необходимости в повторной проверке подлинности.
  • Обратите внимание на следующие проблемы обеспечения безопасности, связанные с использованием постоянных файлов cookie.
    • Злоумышленники, получившие постоянный файл cookie, могут воспользоваться методом грубой силы, чтобы извлечь учетные данные пользователя из данного файла cookie.
    • На общедоступном компьютере, если пользователь не завершил работу в системе, файл cookie сеанса может быть использован следующим пользователем для доступа к опубликованным узлам. Такую угрозу можно предотвратить, запретив использование постоянных файлов cookie на общедоступных компьютерах.
    • К таким файлам cookie может получить доступ шпионское ПО.

      • веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Взаимодействие в массиве (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

Серверы, входящие в состав массива Microsoft ISA Server 2006, взаимодействуют по безопасным изолированным каналам. Это относится как к взаимодействию внутри массива, так и к взаимодействию каждого члена массива с сервером хранилища настроек.

Список компьютеров, на которых запущены службы ISA Server, содержится на узле "Серверы" диспетчера ISA Server соответствующего массива. Эти компьютеры называются членами массива. Для взаимодействия между членами массива и сервера хранилища настроек применяется протокол хранилища межсетевого экрана Microsoft. Этот же протокол используется на компьютерах, работающих под управлением диспетчера ISA Server, для чтения и записи на сервер хранилища настроек. Протокол хранилища межсетевого экрана Microsoft на базе протокола LDAP представляет собой протокол исходящего трафика TCP и работает через порт 2171.

Все взаимодействие, связанное с наблюдением, осуществляется с помощью протокола RPC. Для запрашивания данных реального времени и локальных данных с компьютеров, на которых запущены службы ISA Server, компьютеры диспетчера ISA Server используют протокол RPC.

Все каналы передачи данных, связывающие межсетевые экраны, консоли управления и серверы хранилища настроек, являются изолированными.

Адрес внутри массива

Взаимодействие между членами массива осуществляется с помощью адреса внутри массива, который первоначально приравнивается к принятому по умолчанию IP-адресу сетевой платы члена массива во внутренней сети. Администратор массива может изменить адрес внутри массива.

Взаимодействие в массиве в условиях рабочей группы

В условиях рабочей группы компьютеры, на которых запущены службы ISA Server, обращаются к хранилищу настроек (на сервере хранилища настроек) по протоколу хранилища межсетевого экрана MS поверх SSL (через порт 2172). Сервер хранилища настроек, на котором запущен экземпляр режима ADAM (Active Directory Application Mode), поддерживает протокол LDAPS. Чтобы сделать это взаимодействие возможным, необходимо установить сертификат (выданный центром сертификации), которому доверяют компьютеры, на которых запущены службы ISA Server. Затем на серверах хранилища настроек следует установить сертификаты сервера.

Компьютеры диспетчера ISA Server проходят проверку подлинности на сервере хранилища настроек и на компьютерах, на которых запущены службы ISA Server, с помощью учетных записей доменов или локальных дублированных учетных записей. Локальные дублированные учетные записи должны быть созданы на каждом члене массива.

В условиях рабочей группы компьютеры, на которых запущены службы ISA Server, проходят проверку подлинности на сервере хранилища настроек при помощи учетных записей ADAM. При передаче по каналу LDAPS последовательность проверки подлинности изолируется. Учетные записи ADAM для каждого члена массива создаются на сервере хранилища настроек в процессе определения параметров одновременно c созданием в центральном хранилище объекта сервера.

Правила системной политики

В ISA Server предусмотрены следующие предустановленные правила системной политики, которые делают возможным взаимодействие между членами массива, серверами хранилища настроек и консолями управления.

Группа сценариев | Группа настройки | Наименование правила | Описание правила
Сервер хранилища настроек | Удаленный доступ к серверу хранилища настроек | Разрешить удаленный доступ к серверу хранилища настроек | Разрешает доступ с локального узла на набор компьютеров, составляющих сервер хранилища настроек предприятия, по протоколу хранилища межсетевого экрана MS.
Сервер хранилища настроек | Локальный доступ к серверу хранилища настроек | Разрешить доступ с доверенных серверов на локальный сервер хранилища настроек | Разрешает доступ на локальный узел с серверов массива, компьютеров удаленного управления предприятия, управляемых компьютеров ISA Server, компьютеров удаленного управления и наборов серверов-копий хранилища настроек, при помощи CIFS (TCP и UDP) и протокола хранилища межсетевого экрана MS.
Сервер хранилища настроек | Доступ к серверу-копии хранилища настроек | Разрешить репликацию данных на серверах хранилища настроек | Разрешает взаимодействие в обоих направлениях с группой серверов-копий хранилища настроек по протоколам MS Firewall Control и RPC.
Взаимодействие внутри массива | Взаимодействие членов массива | Разрешить взаимодействие между членами массива | Разрешает взаимодействие внутри массива между участниками набора компьютеров серверов массива по протоколам MS Firewall Control и RPC.
Удаленное управление | Консоль управления Microsoft (MMC) | Разрешить удаленное управление с помощью MMC с выбранных компьютеров | Разрешает взаимодействие с локальным узлом для наборов компьютеров серверов массива, компьютеров удаленного управления предприятия и компьютеров удаленного управления по протоколам MS Firewall Control, NetBIOS Datagram, NetBIOS Name Service, NetBIOS Session, и RPC (все интерфейсы).
Удаленное управление | Сервер терминалов | Разрешить удаленное управление с выбранных компьютеров при помощи сервера терминалов | Разрешает взаимодействие с локальным узлом для наборов компьютеров удаленного управления предприятия и удаленного управления по протоколу RDP (служба терминалов).
Удаленное управление | Протокол ICMP | Разрешить отправку запросов проверки связи (ICMP) с выбранных компьютеров на сервер ISA Server | Разрешает взаимодействие с локальным узлом для наборов компьютеров удаленного управления предприятия и удаленного управления по протоколу ICMP.

Наборы компьютеров и доменных имен

В зависимости от конфигурации массива, возможно, придется внести изменения в следующие наборы компьютеров:

  • Компьютеры удаленного управления предприятия. В этот набор компьютеров входят любые компьютеры, с которых осуществляется управление конфигурацией предприятия и всеми массивами предприятия.
  • Компьютеры удаленного управления. В каждом массиве в состав этого набора компьютеров входят компьютеры, которые могут быть использованы для удаленного управления массивом.
  • Серверы массива. В каждом массиве в состав этого набора компьютеров входят IP-адреса членов массива. Компьютеры добавляются в ходе установки. Если впоследствии адрес одного из членов массива изменится, не забудьте соответствующим образом обновить этот набор компьютеров.
  • Серверы-копии хранилища настроек. В этот набор компьютеров входят все существующие в рамках предприятия серверы хранилища настроек.
  • Управляемые компьютеры ISA Server. В каждом массиве в состав этого набора компьютеров входят IP-адреса тех членов массива, которым разрешен доступ к серверу хранилища настроек.

Помимо этого, набор доменных имен сервера хранилища настроек предприятия настраивается автоматически так, чтобы в него включалось имя сервера хранилища настроек массива. В случае настройки альтернативного сервера хранилища настроек он также включается в этот набор доменных имен.

Протоколы

Следующие специализированные протоколы обеспечивают передачу данных внутри массива:

  • Протокол хранилища межсетевого экрана Microsoft. Протокол исходящего трафика TCP через порты 2171 и 2172 на основе LDAP и LDAPS.
  • Репликация хранилища межсетевого экрана Microsoft. Протокол исходящего трафика TCP через порт 2173, применяемый для репликации конфигураций среди серверов хранилища настроек.
  • MS Firewall Control. Протокол исходящего трафика TCP, применяемый для передачи данных между диспетчером ISA Server и компьютерами, на которых запущены службы ISA Server.


Фактическая политика массива (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

При создании массива на него распространяется политика предприятия. Если администратор предприятия не создал дополнительных политик, к массиву применяется стандартная политика предприятия.

Помимо правил политики предприятия, применяемых к массиву, администратор предприятия может также определить, как политика предприятия будет использоваться администраторами массива. Можно выбрать ограничительную политику. В таком случае правила политики межсетевого экрана нельзя будет изменять на уровне массива. Либеральная политика, напротив, допускает изменение правил администраторами массива.

В частности, можно указать, можно ли создавать на уровне массива следующие типы правил:

  • Правила доступа, запрещающие доступ ("запретительные" правила доступа)
  • Правила доступа, разрешающие доступ ("разрешительные" правила доступа)
  • Правила публикации

Соответствующие инструкции см. в разделе Применение политики предприятия.

К примеру, политика предприятия может разрешать доступ к HTTP-адресам, но запрещать взаимодействие с помощью других протоколов. Массив, использующий эту политику предприятия, может добавить правило, ограничивающее применение протокола HTTP. В то же время, политика массива не может в такой ситуации разрешить обмен данными по другим протоколам.

Как действует фактическая политика массива

Фактическая политика массива — это поведение межсетевого экрана, формируемое на основе упорядоченного набора из правил политик уровня массива и предприятия. Правила обрабатываются в следующем порядке:

  • Системная политика уровня массива
  • Правила предприятия предмассивного уровня
  • Правила политики межсетевого экрана уровня массива
  • Правила предприятия постмассивного уровня

К примеру, если администратор предприятия хочет разрешить доступ по протоколу FTP в масштабах всего предприятия без исключений, следует создать правило доступа предприятия предмассивного уровня, допускающее такой способ доступа. В то же время, если одновременно с разрешением доступа по FTP необходимо предоставить администраторам массива возможность запрещать этот вид доступа, следует создать правило предприятия постмассивного уровня, разрешающее доступ по FTP. Если впоследствии администратор массива создает правило массива, запрещающее доступ по FTP, в фактической политике этот вид доступа также будет запрещен. Если же администратор массива не создает запретительного правила, в фактической политике доступ по FTP останется разрешенным.

Правила системной политики уровня массива могут быть настроены только на этом уровне. Обратите внимание, что сервер Microsoft ISA Server 2006 обрабатывает сначала правила системной политики, а значит администратор массива может путем настройки системной политики перекрыть даже правила предприятия предмассивного уровня.


Делегирование учетных данных

После проверки учетных данных Microsoft ISA Server 2006 делегирует проверку подлинности опубликованным серверам при помощи одного из нижеперечисленных методов:

  • Без делегирования — не разрешать сквозное делегирование
  • Без делегирования — разрешить сквозное делегирование
  • Обычная
  • NTLM
  • NTLM или Kerberos
  • SecurID
  • Ограниченное делегирование Kerberos

Без делегирования — не разрешать сквозное делегирование

Учетные данные не делегируются. Это новая функция в ISA Server 2006, и является значением по умолчанию для делегирования. Это сделано в целях предотвращения непреднамеренного делегирования открытым текстом учетных данных в организацию, где они могут быть найдены злоумышленником. Для включения делегирования необходимо изменить значение по умолчанию.

В случае если сервер требует делегирования, выводится соответствующее оповещение ISA Server.

Без делегирования — разрешить сквозное делегирование

Учетные данные пользователя передаются конечному серверу без какого-либо действия со стороны сервера ISA Server. Клиент и сервер назначения согласуют механизм проверки подлинности между собой. Этот метод обычно применяется в тех случаях, когда на сервере назначения реализована нестандартная форма проверки подлинности.

Обычная

В рамках обычной проверки подлинности учетные данные открытым текстом пересылаются серверу, которому они требуются. В случае неудачной проверки подлинности ISA Server оповещает об этом клиента. Если серверу требуются учетные данные иного типа, ISA Server выводит соответствующее оповещение.

NTLM

При делегировании по методу NTLM ISA Server делегирует учетные данные с помощью протокола проверки подлинности путем запроса/ответа NTLM. В случае неудачной проверки подлинности ISA Server оповещает об этом клиента. Если серверу требуются учетные данные иного типа, ISA Server выводит соответствующее оповещение.

NTLM или Kerberos

Согласно методу делегирования "Согласование", ISA Server сначала пытается получить на контроллере домена билет Kerberos для клиента. Если получить его не удается, ISA Server делегирует учетные данные при помощи NTLM по схеме согласования. Если ISA Server получает билет Kerberos, для делегирования учетных данных применяется схема согласования посредством Kerberos. В случае неудачной проверки подлинности ISA Server оповещает об этом клиента. Если серверу требуются учетные данные иного типа, ISA Server выводит соответствующее оповещение.

Примечание

  • Имя службы-участника по умолчанию, используемое для получения билета: http/имявнутреннегоузла. В случае фермы серверов именем службы-участника является имя этой фермы. Изменить имя службы-участника можно в диспетчере ISA Server на вкладке Делегирование проверки подлинности в соответствующем правиле.

SecurID

Если клиент предоставил учетные данные SecurID, можно реализовать механизм делегирования SecurID. В таком случае ISA Server передает на опубликованный сервер специальный файл cookie SecurID. Обратите внимание, что сервер ISA Server и опубликованный сервер должны использовать одинаковые секрет домена и имя файла cookie.

Ограниченное делегирование Kerberos

В ISA Server 2006 применяется ограниченное делегирование Kerberos — механизм, описанный в статье о переходе и ограниченном делегировании в протоколе Kerberos на веб-узле Microsoft TechNet (http://www.microsoft.com/). В отсутствие ограниченного делегирования Kerberos ISA Server может делегировать учетные данные клиентов только в случае их получения путем обычной проверки подлинности или проверки подлинности на основе форм. В случае поддержки ограниченного делегирования Kerberos ISA Server принимает учетные данные других типов — например, сертификаты клиентов. Чтобы использовать ограниченное делегирование Kerberos (ограниченное конкретным именем службы-участника), ISA Server должен быть установлен и запущен на контроллере домена.

В случае неудачной проверки подлинности ISA Server оповещает об этом клиента. Если серверу требуются учетные данные иного типа, ISA Server выводит соответствующее оповещение.

Примечания

  • Использование ограниченного делегирования Kerberos требует настройки Active Directory для распознавания ISA Server как доверенного для делегирования.
  • Имя службы-участника по умолчанию, используемое для получения билета: http/имявнутреннегоузла. Для фермы серверов именем службы-участника является имя этой фермы. Изменить имя службы-участника можно в диспетчере ISA Server на вкладке Делегирование проверки подлинности соответствующего правила.

Допустимые комбинации типов учетных данных клиентов и методов делегирования

Различным типам учетных данных клиентов соответствуют определенные методы делегирования. Допустимые комбинации этих категорий приведены в следующей таблице.

Получение учетных данных клиентов | Исполнитель проверки подлинности | Делегирование | Комментарии
Проверка подлинности на основе форм Обычная | Active Directory RADIUS (LDAP) | Без делегирования — разрешить сквозное делегирование Без делегирования — не разрешать сквозное делегирование Обычная NTLM Согласование Ограниченное делегирование Kerberos | Единый вход предусмотрен при проверке подлинности на основе форм, но не при обычной проверке подлинности. Может потребоваться дополнительный сертификат клиента (проверка подлинности по двум признакам).
Дайджест Встроенная | Active Directory | Без делегирования — разрешить сквозное делегирование Без делегирования — не разрешать сквозное делегирование Ограниченное делегирование Kerberos |
HTML-форма с одноразовым паролем | SecurID Одноразовый пароль RADIUS | Без делегирования — разрешить сквозное делегирование Без делегирования — не разрешать сквозное делегирование Ограниченное делегирование Kerberos | Поддерживается единый вход.
HTML-форма со сбором дополнительных учетных данных | SecurID Одноразовый пароль RADIUS | Без делегирования — разрешить сквозное делегирование Без делегирования — не разрешать сквозное делегирование Обычная NTLM Согласование Ограниченное делегирование Kerberos | Поддерживается единый вход.
Сертификат клиента | Active Directory | Без делегирования — разрешить сквозное делегирование Без делегирования — не разрешать сквозное делегирование Ограниченное делегирование Kerberos |

Дополнительные сведения о проверке подлинности в ISA Server см. в разделе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Параметры проверки подлинности

Тип проверки подлинности, используемый для правил веб-публикации (включая правила, публикующие веб-узлы Microsoft SharePoint и доступ веб-клиента Microsoft Exchange), определяется настройками веб-прослушивателя, используемого данным правилом. Свойства веб-прослушивателя включают способ получения учетных данных клиента и способ их проверки. Делегирование учетных данных настраивается в каждом правиле, а не для веб-прослушивателя.

Подробные сведения по проверке подлинности приведены в разделе Принципы проверки подлинности в ISA Server 2006.

Выбор определенных параметров проверки подлинности может сделать недоступными другие параметры. Например:

  • Единый вход доступен, только если выбрана Проверка подлинности HTML-форм.
  • Одноразовый пароль RADIUS доступен, только если выбрана Проверка подлинности HTML-форм.
  • Проверка учетных данных в Active Directory через LDAP доступна, только если выбрана Проверка подлинности HTTP с Основной проверкой подлинности.

Выбор проверки подлинности для веб-прослушивателя также влияет на доступность параметров делегирования проверки подлинности в правилах публикации.

Правило публикации с веб-прослушивателем, который использует особую форму проверки учетных данных, должно использовать набор учетных записей, соответствующий данной форме проверки. Например, правило публикации с веб-прослушивателем, который использует проверку учетных данных LDAP, должно также использовать набор учетных записей, который состоит из пользователей LDAP. Оно не может включать пользователей Active Directory.

Внимание!

При включении единого входа необходимо указать определенный домен единого входа. Ввод общего домена, такого как .co.uk, позволит веб-обозревателю отправлять файл cookie единого входа ISA Server на любой веб-узел этого домена, создавая угрозу безопасности.

Допустимые комбинации типов учетных данных клиентов и методов делегирования

В следующей таблице приведены правильные комбинации методов проверки подлинности и делегирования.

Получение учетных данных клиентов | Исполнитель проверки подлинности | Делегирование | Комментарии
Проверка подлинности на основе форм Обычная | Active Directory RADIUS (LDAP) | Без делегирования — разрешить сквозную проверку подлинности Без делегирования — не разрешать сквозную проверку подлинности Обычная NTLM Согласование Ограниченное делегирование Kerberos | Единый вход предусмотрен при проверке подлинности на основе форм, но не при обычной проверке подлинности. Может потребоваться дополнительный сертификат клиента (проверка подлинности по двум признакам).
Дайджест Встроенная | Active Directory | Без делегирования — разрешить сквозную проверку подлинности Без делегирования — не разрешать сквозную проверку подлинности Ограниченное делегирование Kerberos |
HTML-форма с одноразовым паролем | SecurID Одноразовый пароль RADIUS | Без делегирования — разрешить сквозную проверку подлинности Без делегирования — не разрешать сквозную проверку подлинности Ограниченное делегирование Kerberos | Поддерживается единый вход.
HTML-форма со сбором дополнительных учетных данных | SecurID Одноразовый пароль RADIUS | Без делегирования — разрешить сквозную проверку подлинности Без делегирования — не разрешать сквозную проверку подлинности Обычная NTLM Согласование Ограниченное делегирование Kerberos | Поддерживается единый вход.
Сертификат клиента | Active Directory | Без делегирования — разрешить сквозную проверку подлинности Без делегирования — не разрешать сквозную проверку подлинности Ограниченное делегирование Kerberos |

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Обзор автоматического обнаружения

Microsoft ISA Server 2006 поддерживает автоматическое обнаружение — функцию, позволяющую клиентам межсетевого экрана и веб-прокси автоматически находить компьютер ISA Server для обработки запросов клиентов.

ISA Server использует протокол автоматического обнаружения веб-прокси (WPAD), который обеспечивает автоматическое обнаружение серверов веб-прокси. WPAD позволяет клиентам ISA Server находить запись WPAD, содержащую URL-адрес сервера, на котором создаются файлы Wpad.dat и Wspad. Файл Wpad.dat — это сценарий Java, в котором содержится составленный веб-обозревателем Internet Explorer шаблон URL-адреса по умолчанию. Файл Wpad.dat используется клиентами веб-прокси для данных автоматического обнаружения. В реализации автоматического обнаружения прокси WinSock (WSPAD) ISA Server применяется файл Wpad.dat, а файл Wspad.dat создается для предоставления клиентам межсетевого экрана данных для автоматического обнаружения. Дополнительные сведения о протоколе WPAD можно получить на веб-узле протокола автоматического обнаружения веб-прокси (http://www.microsoft.com/).

Настройка автоматического обнаружения

Процедура настройки автоматического обнаружения на клиентских машинах состоит из нескольких этапов:

  1. Настройка клиентов веб-прокси и клиентов межсетевого экрана для автоматического обнаружения. Соответствующие инструкции см. в разделах Настройка автоматического обнаружения для клиентов межсетевого экрана и Настройка автоматического обнаружения для клиентов веб-прокси.
  2. Создание записей WPAD с URL-адресом WPAD-сервера, на котором располагаются файлы Wpad.dat и Wspad.dat. Запись WPAD можно создать в службе доменных имен (DNS) и/или в службе динамической конфигурации узла (DHCP). Соответствующие инструкции см. в разделе Создание записи WPAD в DNS.
  3. Настройка WPAD-сервера. URL-адрес в записи WPAD принадлежит WPAD-серверу — компьютеру, на котором размещаются файлы WPAD и WSPAD. Ниже приведены возможные конфигурации WPAD-сервера:
    • В простейшей конфигурации WPAD-сервер находится на компьютере ISA Server, обслуживающем запросы клиентов.
    • WPAD-сервер также может располагаться на другом компьютере.
  4. Если предполагается, что компьютер ISA Server будет одновременно исполнять роль WPAD-сервера, в ISA Server следует настроить прослушивание запросов на автоматическое обнаружение; для этого нужно опубликовать данные автоматического обнаружения в указанном порте.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Подключение удаленного доступа

В зависимости от настроек маршрутизации и последовательного соединения (цепочек) Microsoft ISA Server 2006 использует запись удаленного доступа для подключения к Интернету по телефонной линии. Чтобы определить случаи, в которых ISA Server может прибегать к подключению удаленного доступа, можно указать сети, доступ к которым может осуществляться таким способом.

Подключение удаленного доступа в ISA Server можно настроить для следующих ситуаций:

  • Последовательное соединение межсетевых экранов. Используйте этот параметр при настройке последовательного соединения межсетевых экранов для доступа к сети, находящейся за пределами существующей сети, если для подключения к этой сети требуется подключение удаленного доступа.
  • Правила веб-цепочки. Используйте этот параметр в том случае, если клиент запрашивает объект, для этого запроса клиента требуется подключение удаленного доступа, а политика доступа разрешает обработку такого запроса. ISA Server подключается к Интернету с помощью активной записи удаленного доступа.

Подключение удаленного доступа к Интернету выполняется также в том случае, если ISA Server не может точно определить, разрешена ли политикой доступа обработка запроса клиента (например если правило веб-цепочки, применимое к запросу, указывает на необходимость подключения удаленного доступа). Такие ситуации случаются, когда в правилах политики доступа пункт назначения определяется по имени, а клиент указывает IP-адрес компьютера.

ISA Server проводит проверку на предмет существования правила веб-цепочки, применимого к этому запросу клиента и требующего подключения удаленного доступа. Если такое правило веб-цепочки существует, ISA Server подключается к Интернету путем удаленного доступа, после чего разрешает имя компьютера, запрошенного клиентом, или выполняет обратный поиск. Затем ISA Server вновь сверяется с правилами политики доступа и определяет, разрешен ли данный запрос.

Ограничение подключений удаленного доступа ISA Server

Чтобы ограничить круг ситуаций, в которых ISA Server может подключаться к Интернету путем удаленного доступа, выполните одно или несколько нижеуказанных действий:

  • Настройте таблицу локального домена таким образом, чтобы в ней были отражены имена всех внутренних компьютеров. В этом случае серверу ISA Server не придется подключаться к внешнему DNS-серверу путем удаленного доступа, чтобы в результате определить, что запрашиваемый компьютер является на самом деле внутренним. Обратите внимание, что содержимое таблицы локального домена проверяется только при получении запросов от клиентов межсетевого экрана.
  • Разрешите подключение удаленного доступа только для доступа к определенным сетям.

Закрытие подключений удаленного доступа

Подключение к Интернету, которое ISA Server устанавливает путем удаленного доступа, поддерживается вплоть до наступления одного из следующих событий:

  • ISA Server устанавливает подключение, а служба межсетевого экрана Microsoft останавливается.
  • ISA Server устанавливает подключение, а в это время меняется поставщик услуг Интернета, используемый сервером ISA Server.
  • Запись удаленного доступа достигает предопределенного значения времени бездействия и закрывает соединение.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Использование моста SSL и туннелирование

Мостом SSL (Secure Sockets Layer) называется способность сервера Microsoft ISA Server 2006 проводить шифрование и дешифрование запросов клиентов в ходе их передачи на веб-сервер назначения. Туннелирование SSL — это установление туннеля непосредственно от клиента на веб-сервер без вмешательства со стороны ISA Server.

  • Мост SSL применяется в том случае, если ISA Server завершает или инициирует SSL-подключение.
  • Туннелирование SSL используется в случае отправки веб-обозревателем клиента запроса (из локальной внутренней сети) на доступ к тому или иному объекту по протоколу HTTPS через порт 8080 посредством компьютера ISA Server.

Примечание

  • По возможности рекомендуется для передачи SSL-запросов настраивать мосты.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Преобразование ссылок между массивами

Преобразование ссылок между массивами позволяет преобразовывать ссылки в веб-содержимом, когда ссылка указывает на содержимое, опубликованное другим массивом ISA Server. При преобразовании ссылок между массивами формируется сопоставление имен внутренних веб-узлов с их внешними именами узлов в рамках массива, к которому это преобразование применяется.

Например, если массив Филиал_1 публикует веб-узел weather.fabrikam.com, а эта страница содержит ссылку на ресурс //sports, опубликованный массивом Филиал_2 как sports.fabrikam.com, сервер ISA Server выполнит преобразование ссылки //sports на sports.fabrikam.com, если включено преобразование ссылок между этими массивами.

В предприятии преобразование ссылок между массивами по умолчанию отключено. Администратор предприятия может выбрать массивы, к которым будет применяться преобразование ссылок между массивами. Можно выбирать только массивы, в которых включено преобразование ссылок. Если для массива преобразование ссылок отключено, а преобразование ссылок между массивами включено, то для такого массива будет создано оповещение.

К внутренним веб-узлам, которые не публикуются и обозначены как неопубликованные на вкладке Перенаправление ссылок окна свойств преобразования ссылок, преобразование ссылок между массивами не применяется. Настройка преобразования ссылок между массивами описана в разделе Настройка преобразования ссылок между массивами.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка протокола CARP (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

После включения протокола CARP диски кэша на всех серверах массива рассматриваются как единый логический диск кэша. В результате кэшируемые объекты более эффективно распределяются среди серверов-членов массива.

Процедура включения протокола CARP такова:

  1. Разрешите протокол CARP в сети уровня массива. В результате протокол CARP будет применяться в отношении объектов, кэшированных для дальнейшей обработки запросов в этой сети. Соответствующие инструкции см. в разделе Включение протокола CARP.
  2. (Дополнительно). Установите для членов массива уровень загрузки. По умолчанию уровень загрузки на каждом сервере равен 100. Если на определенном сервере требуется кэшировать большее количество объектов, установите более высокий уровень загрузки. Если же объем кэшируемых на данном сервере объектов предполагается уменьшить, установите более низкий уровень загрузки.
    Инструкции см. в разделе Настройка уровня загрузки.
  3. Для полноценной работы протокола CARP требуется, чтобы сеть с данным адресом внутри массива выполняла прослушивание запросов клиентов веб-прокси. Инструкции по настройке в такой сети прослушивания запросов клиентов веб-прокси см. в разделе Прослушивание запросов клиентов веб-прокси.


Протокол CARP и задания запланированной загрузки содержимого (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

На задания запланированной загрузки содержимого влияют параметры протокола CARP в сети локального узла. Если применение протокола CARP в такой сети разрешено, запланированные задания загрузки содержимого обрабатываются только на одном компьютере-члене массива. В таком случае загрузки содержимого распределяются среды членов массива по алгоритму CARP.

Если же применение протокола CARP в сети локального узла запрещено, запланированные задания загрузки содержимого обрабатываются на всех компьютерах-членах массива. Загружаемое содержимое дублируется на каждом члене массива.

Если протокол CARP разрешен для сети локального узла, рекомендуется также разрешать протокол CARP для внутренней сети по умолчанию. В противном случае Microsoft ISA Server 2006 не сможет извлекать из кэша объекты, помещенные в него в ходе выполнения запланированных заданий загрузки содержимого, если они будут запрашиваться клиентами внутренней сети.

Инструкции см. в разделе Включение протокола CARP.


Сертификаты

Если при публикации сервера с помощью правил веб-публикации требуется взаимодействие с внешними клиентами по протоколу SSL, на компьютере Microsoft ISA Server 2006 необходимо установить сертификат сервера. Кроме того, возможно, придется установить сертификат на внутреннем веб-сервере. Прослушиватель, привязанный к правилу веб-публикации, следует настроить на работу с этим сертификатом сервера.

Чтобы установить SSL-сертификаты для веб-публикации, выполните следующие действия:

  1. Установите на компьютерах, которые будут выступать в роли SSL-клиентов компьютера ISA Server, доверенный корневой сертификат. Если используется сертификат, полученный от коммерческого центра сертификации (ЦС), присутствующего в базе данных Internet Explorer по таким центрам, пропустите этот этап.
  2. Создайте для компьютера ISA Server запрос на получение сертификата. Указывая стандартное имя сертификата, введите полное имя узла или URL-адрес, который внешние клиенты будут вводить в панели адреса веб-обозревателей для доступа к веб-узлу (пример: news.adatum.com). Это имя должно совпадать с внешним именем правила веб-публикации.
  3. Запустите обработку файла запроса на получение сертификата.
  4. Установите сертификат на опубликованном веб-сервере.
  5. Выполните экспорт сертификата в файл и скопируйте его на компьютер ISA Server.
  6. Установите сертификат на компьютере ISA Server.

Замена сертификата

Как правило, для каждого сертификата определяется срок действия, редко превышающий один год. ISA Server не работает с просроченными сертификатами. Сертификаты нужно обязательно обновлять до истечения срока действия, иначе ISA Server не сможет работать.

Отдельные сертификаты, применяемые веб-прослушивателями, иногда имеет смысл менять по другим соображениям. По истечении срока действия старого сертификата выполните нижеперечисленные действия, направленные на замену сертификата:

  1. Отмените связь истекшего сертификата с веб-прослушивателем. После этого прослушиватель будет отключен. Инструкции по настройке веб-прослушивателя см. в разделе Настройка веб-прослушивателя на ожидание запросов HTTP или SSL.
  2. Удалите просроченный сертификат с компьютера ISA Server при помощи диспетчера сертификатов.
  3. Установите новый сертификат с помощью диспетчера сертификатов.
  4. Чтобы обновить содержимое экрана в диспетчере ISA Server, нажмите клавишу F5.
  5. Проведите повторную настройку веб-прослушивателя, указав новый сертификат.

Повторите эту процедуру в отношении всех сертификатов, которые предполагается заменить.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Ограничения сертификатов

На вкладке Ограничения сертификатов клиентов можно добавить дополнительные требования к сертификатам клиентов, которые будут приняты сервером Microsoft Internet and Security Acceleration (ISA) Server 2006. Сертификаты клиентов должны быть получены от центра сертификации, приведенного в списке доверия сертификатов клиентов, а также должны соответствовать требованиям, указанным на вкладке Ограничения сертификатов клиентов.

Ограничения сертификатов клиентов могут быть основаны на значениях следующих полей:

  • Поставщик
  • Субъект
  • Улучшенный ключ
  • Расширения

Для каждого из этих полей необходимо предоставить идентификатор объекта, чтобы указать приемлемое значение.

Например, может возникнуть необходимость в ограничении сертификатов клиентов теми, поле "Улучшенный ключ" которых содержит следующий идентификатор объекта входа со смарт-картой: 1.3.6.1.4.1.311.20.2.2.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Список доверия сертификатов клиентов

Список доверия сертификатов клиентов позволяет указать, какие центры сертификации принимаются сервером Microsoft Internet and Security Acceleration (ISA) Server 2006 для сертификатов клиентов. Например, можно выбрать, принимать только сертификаты клиентов, которые были выпущены собственным корпоративным центром сертификации.

Когда клиент пытается подключиться через сервер ISA Server, сервер предоставляет ему список приемлемых центров сертификации как часть подтверждения связи по протоколу SSL (Secure Sockets Layer). Это позволяет клиентскому приложению, такому как веб-обозреватель, показывать только сертификаты клиентов, выпущенные одним из доверенных центров сертификации.

Настройки вкладки Список доверия сертификатов клиентов доступны, только если на вкладке Подключения веб-прослушивателя разрешены SSL-подключения и выполняется одно из следующих условий.

  • Проверка подлинности SSL-сертификата клиента — эта настройка выбрана на вкладке Проверка подлинности данного веб-прослушивателя.
  • Проверка подлинности HTML-форм — эта настройка выбрана на вкладке Проверка подлинности данного веб-прослушивателя. В данном случае список доверия сертификатов клиентов применяется только при использовании проверки подлинности сертификата клиента на основе HTML-форм. Проверка подлинности сертификата клиента настраивается на вкладке Трафик данного правила публикации.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Проверка сертификатов

При создании веб-прослушивателя, прослушивающего HTTPS-запросы, следует предоставить для него цифровой сертификат, установленный в Microsoft ISA Server 2006. ISA Server проверяет, какие сертификаты имеются на компьютерах, где запущены службы ISA Server, и выводит список сертификатов, один из которых можно выбрать для прослушивателя. В этом разделе описан механизм формирования списка сертификатов.

Для составления списка сертификатов ISA Server проводит поиск в хранилище сертификатов локального компьютера. Достоверность каждого сертификата проверяется по следующим критериям:

  • Стандартное имя. Стандартное имя сертификата должно совпадать с внешним именем публикуемого веб-узла. Стандартное имя сертификата выражает удостоверение, которое он подтверждает. Это удостоверение, в свою очередь, должно соответствовать удостоверению, которое клиент предполагает получить. К примеру, если ISA публикует внутренний веб-узел msweb под внешним (доступным извне) именем msweb.microsoft.com с помощью клиентского протокола SSL, то при вводе пользователем в веб-обозревателе адреса https://msweb.microsoft.com веб-обозреватель рассчитывает получить от ISA Server сертификат со стандартным именем, соответствующим введенному адресу: msweb.microsoft.com или *.microsoft.com. (Звездочка, *, является элементом имени группового сертификата, подходящего для всех субдоменов microsoft.com.)
  • Сертификат сервера. Существуют разные типы сертификатов, но именно сертификат сервера необходим для установления SSL-подключения.
  • Срок действия. Срок действия сертификата не должен истечь к моменту его включения в список. Сертификаты привязывают удостоверение к определенному открытому ключу, который, в свою очередь, привязан к закрытому ключу. Безопасность гарантируется только в том случае, если закрытый ключ неизвестен злоумышленнику. На случай, если секретный ключ будет раскрыт, для сертификата устанавливается срок действия, позволяющий ограничить по времени уязвимость сервера Как правило, при получении от сервера сертификата с истекшим сроком действия веб-обозреватель выводит предупреждения, которое пользователь может принять во внимание или проигнорировать.
  • Дата начала действия. Дата начала действия сертификата к моменту включения в список должна наступить.
  • Секретный ключ. Для сертификата ISA Server должен быть создан секретный ключ, соответствующий открытому ключу. Сертификаты привязывают удостоверения к открытым ключам. Открытые ключи вычисляются на основании секретных ключей специальным алгоритмом, который очень трудно исполнить в противоположном направлении. (К примеру, статистически невозможно вычислить секретный ключ, на основании которого формируется определенный открытый ключ, зная только этот открытый ключ и алгоритм, применявшийся для его составления.) Секретные ключи применяются для шифрования данных при SSL-подключении, открытые — для их дешифрования. Строго говоря, секретный ключ не является компонентом сертификата сервера. Однако ISA Server не может передать клиенту зашифрованные данные, если соединение с клиентом установлено без применения секретного ключа.
  • Установка на компьютерах-членах массива. Для выпуска ISA Server Enterprise Edition. Сервер ISA Server проводит проверку на предмет наличия на всех членах массива действующих сертификатов. При публикации веб-узла с помощью массива компьютеров ISA Server для всех членов массива должны быть установлены действующие сертификаты.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Сжатие HTTP

В Microsoft ISA Server 2006 предусмотрена функция сжатия HTTP. Если сжатие HTTP настроено, ISA Server выполняет сжатие данных для сохранения ограниченной пропускной способности. Эта возможность полезна, например в тех случаях, когда прокси-сервер в главном офисе передает интернет-запросы непосредственно в Интернет, а аналогичные запросы из филиалов проходят через главный офис.


Типы содержимого для сжатия

Можно указать, какие типы содержимого будут сжиматься. Можно указать типы содержимого, которые будут исключаться (тогда все остальные типы будут включены), или типы, которые будут включаться (тогда все остальные типы будут исключены). Затем выберите конкретные типы содержимого, которые должны быть исключены или включены. На панели задач политики межсетевого экрана на вкладке Инструментарий можно создавать новые типы содержимого. Процедура создания описана в разделе Создание типа содержимого.

Ниже перечислены типы содержимого, которые не могут быть сжаты, так как они уже сжаты или представлены в виде потока.

  • видео
  • аудио
  • application/x-tar
  • x-world/x-vrml
  • application/zip
  • application/x-gzip
  • application/x-zip-compressed
  • application/x-compress
  • application/x-compressed
  • application/x-spoon

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Характерные для сервера и конфиденциальные данные

Одновременно с конфигурацией можно экспортировать характерные для сервера и конфиденциальные данные.

Импорт характерных для сервера данных

При импорте данных в массив, из которого они были ранее экспортированы, а также при импорте в новый массив, в составе которого есть сервер с именем, идентичным имени предыдущего сервера, выберите параметр Импортировать характерные для сервера данные.

При выборе этого параметра происходит восстановление конфигурации членов массива, в том числе конфигурации кэша, SSL-сертификата и пула статических адресов виртуальной частной сети (VPN).

В случае выбора этого параметра при импорте в массив с неоднородными членами будут импортированы ошибочные и недействительные настройки.

Импорт и экспорт параметров разрешений пользователей

Этот параметр следует выбрать при восстановлении настроек разрешений экспортируемого массива или предприятия. При выборе этого параметра окружение импортируемого массива предприятия, в том числе пользователи домена и определения ролей, должны быть идентичны тем, что существовали при первоначальном экспорте. Этот параметр полезен при восстановлении в том предприятии, из которого был произведен экспорт. Кроме того, он позволяет дублировать конфигурацию массива в рамках локального домена.

Экспорт конфиденциальных данных

Выберите этот параметр при экспорте конфигурации в виде резервного файла. В набор конфиденциальной информации, подлежащей импорту, включаются:

  • Учетные данные, применяемые для отправки оповещений, регистрации в журнале, составления отчетов, выполнения заданий по оставлению отчетов, формирования основного и резервного маршрутов, подключения удаленного доступа, веб-публикаций и передачи данных внутри массива.
  • Общий секрет, определяемый для конфигурации RADIUS.
  • Предварительный ключ, определяемый для конфигурации IPsec.

При выборе этого параметра необходимо указать пароль длиной не менее восьми символов.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Опубликованные серверы хранилища настроек

Сервер Microsoft® ISA Server 2006 Enterprise Edition поддерживает подключения к альтернативному безопасно опубликованному серверу хранилища настроек в случае недоступности VPN-туннеля, обычно используемого для подключения к серверу хранилища настроек.

Если соединение между членом массива ISA Server и сервером хранилища настроек установлено посредством VPN-подключения типа "сеть-сеть", то на случай недоступности VPN-подключения можно определить другой метод подключения к серверу хранилища настроек. В соответствии с данным методом член массива подключается к безопасно опубликованному серверу хранилища настроек через Интернет. Это позволяет члену массива продолжать получать обновления параметров конфигурации от сервера хранилища настроек. После восстановления VPN-подключения типа "сеть-сеть" член массива переподключается к основному серверу хранилища настроек через VPN-подключение типа "сеть-сеть".

Член массива использует безопасно опубликованный сервер хранилища настроек при выполнении всех перечисленных ниже условий.

  • Основной сервер хранилища настроек недоступен более 30 минут.
  • Альтернативный сервер хранилища настроек недоступен. (Такая ситуация возможна, только если на странице Хранилище настроек был настроен альтернативный сервер хранилища настроек.)
  • Параметр Через VPN-подключение типа "сеть-сеть" выбран на странице Опубликованное хранилище настроек.
  • Полное доменное имя безопасно опубликованного сервера хранилища настроек указано в поле Альтернативный безопасно опубликованный сервер хранилища настроек.

Внимание!

  • Такие параметры конфигурации необходимо настроить до разрыва VPN-подключения, чтобы воспользоваться преимуществами альтернативного безопасно опубликованного сервера хранилища настроек.
  • Дополнительные сведения о безопасной публикации сервера хранилища настроек см. в документе Публикация серверов хранилища настроек в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Дополнительные сведения об изменении периода времени, необходимого члену массива перед переключением между основным и альтернативным сервером хранилища настроек, см. в документе Настройка времен задержки серверов хранилища настроек в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Переназначение портов по умолчанию

По умолчанию при создании правила политики межсетевого экрана Microsoft ISA Server 2006 прослушивает запросы, поступающие только через определенный порт; в то же время, запросы от клиентов принимаются через все порты. Применительно к правилам доступа и правилам публикации серверов можно ограничить круг принимаемых запросов отдельными исходными портами.

Кроме того, в правилах публикации серверов можно указать порт, через который ISA Server будет принимать от клиентов входящие запросы на доступ к опубликованному серверу. В случае публикации через порт, отличный от принятого по умолчанию, ISA Server будет получать запросы клиентов на доступ к опубликованной службе через нестандартный порт, а затем перенаправлять их в указанный порт на опубликованном сервере. В частности, правило публикации сервера может устанавливать передачу запросов клиентов на обслуживание с помощью протокола FTP через порт 22 на компьютере ISA Server с последующим перенаправлением в стандартный порт 21 на опубликованном сервере.

Кроме того, применительно к правилам публикации сервера можно установить прием опубликованным сервером запросов клиентов на доступ к опубликованной службе через порт, отличный от стандартного. К примеру, один FTP-сервер можно опубликовать с применением стандартного порта, через который к нему будет обращаться один набор пользователей, а к другому FTP-серверу предоставить доступ через нестандартный порт (для другого набора пользователей).

Соответствующие инструкции см. в разделе Переопределение портов по умолчанию в правилах публикации серверов.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Учетные записи удаленного подключения для соединения с удаленной сетью

При создании сети типа "сеть-сеть" для удаленного доступа необходимо создать учетную запись пользователя, при помощи которой можно будет устанавливать подключение удаленного доступа. Для того чтобы подключение было успешно установлено:

  • Имена учетной записи пользователя и сети типа "сеть-сеть" должны полностью совпадать. К примеру, если в сети СетьА создана сеть типа "сеть-сеть", представляющая СетьБ, то необходимо одновременно создать пользователя с именем "СетьБ". СетьБ будет подключаться к СетьА с применением учетных данных пользователя с именем СетьБ.
  • В свойствах подключения удаленного доступа пользователя должен быть разрешен удаленный доступ.

Эти сведения актуальны для подключений типа "сеть-сеть", устанавливаемых по протоколу L2TP или по туннельному протоколу точка-точка (PPTP). Они не относятся к подключениям по протоколу IPsec.

Соответствующие инструкции см. в разделе Создание учетной записи удаленного подключения для шлюза удаленной сети.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Приоритизация пакетов

Поскольку данные, передаваемые между главным офисом и филиалами, отличаются по важности, пакетам присваиваются приоритеты, на основании которых для их передачи выделяются те или иные доли ограниченной пропускной способности. Microsoft ISA Server 2006 обеспечивает контроль пропускной способности путем приоритизации пакетов по протоколу приоритизированных служб. Протокол приоритизированных служб обеспечивает платформу для развертывания количественного различения служб в Интернете. Для маркировки приоритета приоритизированные службы устанавливают в IP-заголовке каждого пакета соответствующую метку.

Приоритизация пакетов является глобальным параметром политики протокола HTTP. Она применяется в отношении всего трафика веб-обозревателя, проходящего через ISA Server. Функция приоритизации пакетов обеспечивается веб-фильтром приоритизированных служб, который на основании URL-адреса или домена устанавливает приоритет пакета, выставляя в соответствующие положения биты приоритизированных служб. В ISA Server можно создавать приоритеты, биты приоритизированных служб которых соответствуют битам приоритетов на маршрутизаторах предприятия.

За счет высокого приоритета этот фильтр занимает высокое положение в упорядоченном списке веб-фильтров. Это объясняется тем, что веб-фильтру приоритизированных служб нужно знать размер отправляемых запросов и ответов, а значит, он должен исследовать данные в момент их отправки или получения ISA Server. Не меняйте принятые по умолчанию для этого фильтра параметры приоритета и упорядочивания.

Примечания

  • ISA Server не добавляет биты приоритизированных служб в пакеты, которые передаются по протоколам, отличным от HTTP или HTTPS. ISA Server может не передавать существующие в пакетах других протоколов биты приоритизированных служб.
  • Приоритизация пакетов на основе приоритизированных служб работает в сетях, маршрутизаторы которой поддерживают функциональность качества обслуживания (QoS).

После включения приоритизированных служб следует определить URL-адреса и домены, в отношении которых будет выполняться приоритизация. Приоритизацию пакетов можно настроить для отдельных URL-адресов или доменов. Соответствующие инструкции см. в разделах Назначение приоритета URL-адресу и Назначение приоритета домену.

Одновременно с запросами на URL-адреса и домены ISA Server передает маршрутизатору, поддерживающему QoS, значение приоритизированных служб, соответствующее приоритету, установленному для данного URL-адреса или домена. Инструкции по настройке приоритетов см. в разделе Настройка соответствия приоритетов значениям приоритизированных служб.


Роли домена и рабочей группы (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

В зависимости от конкретной топологии сети следует настроить различные разрешения для ролей доступа к серверу хранилища настроек.

Инструкции см. Назначение административных ролей для администраторов массива и Назначение административных ролей для администраторов предприятия.

Компьютер с запущенными службами ISA Server принадлежит рабочей группе

Если компьютер с запущенными службами Microsoft ISA Server 2006 входит в рабочую группу, а сервер хранилища настроек относится к домену, для доступа к серверу хранилища настроек должны использоваться учетные записи пользователей, настроенные на этот домен.

Создайте дублированные учетные записи на каждом члене массива для связи внутри массива и администрирования. Другими словами, создайте учетные записи с такими же параметрами, как и учетные записи пользователей, указанные на данном члене массива.

Например, предположим, что сервер хранилища настроек принадлежит домену microsoft.com. Два компьютера с запущенными службами ISA Server принадлежат рабочей группе. Администратор предприятия с именем пользователя Adina будет администрировать данное предприятие. Adina должен принадлежать группе администраторов предприятия. В данном примере требуется сделать следующее:

  • Создать дублированную учетную запись для Adina на обоих компьютерах с запущенными службами ISA Server. (Учетные записи должны иметь одинаковые учетные данные.)
  • Добавить доменное имя пользователя Adina в группу пользователей, которым разрешен доступ к серверу хранилища настроек.
  • Добавить имя пользователя (указанное в дублированной учетной записи) в список дублированных учетных записей, используемых для наблюдение за данным массивом.

Кода пользователь Adina подключается к предприятию, он выполняет следующее:

  1. Указывает учетные данные пользователя, который выполнил вход, при указании способа подключения к серверу хранилища настроек.
  2. Указывает другие учетные данные при указании способа подключения к каждому члену массива.
  3. Указывает Adina в качестве имени пользователя для учетных данных члена массива.

Компьютер с запущенными службами ISA Server принадлежит домену

Если компьютер с запущенными службами ISA Server принадлежит домену, а сервер хранилища настроек принадлежит рабочей группе, создайте административную учетную запись на сервере хранилища настроек.

Обратите внимание, что в данном случае для предприятия может быть использован только один сервер хранилища настроек. Создайте доменные учетные записи для взаимодействия внутри массива и администрирования.

Компьютер с запущенными службами ISA Server и сервер хранилища настроек принадлежат рабочей группе

Если компьютер с запущенными службами ISA Server и сервер хранилища настроек принадлежат одной рабочей группе, создайте единственную административную учетную запись.

Обратите внимание, что в данном случае для предприятия может быть использован только один сервер хранилища настроек. Не требуется создавать доменные учетные записи для взаимодействия внутри массива и администрирования.

Создайте дублированные учетные записи на каждом члене массива для взаимодействия внутри массива и администрирования. Можно создать дублированные учетные записи для каждого администратора. Или создайте дублированную учетную запись для каждой роли.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка проверки подлинности EAP

Если при создании сети удаленной сети VPN, использующей подключение по туннельному протоколу точка-точка (PPTP), в качестве метода проверки подлинности выбран протокол расширенной проверки подлинности (EAP), то необходимо выполнить настройку EAP. Настройка EAP проводится в консоли Маршрутизация и удаленный доступ.

Процедура настройки EAP выглядит следующим образом:

  1. Откройте оснастку "Маршрутизация и удаленный доступ" консоли управления (MMC) и выберите узел Сетевые интерфейсы.
  2. При подтверждении изменений в конфигурации Microsoft ISA Server 2006 был создан интерфейс вызова по требованию с именем, идентичным имени сети. Выберите этот интерфейс вызова по требованию и нажмите кнопку Свойства.
  3. На вкладке Безопасность должна быть предусмотрена возможность установки расширенных параметров. Чтобы открыть окно "Дополнительные параметры безопасности", нажмите кнопку Параметры.
  4. Выберите нужный EAP, а затем, чтобы установить параметры EAP согласно требованиям поставщика, выберите Свойства.

Примечание

  • Чтобы открыть оснастку консоли управления "Маршрутизация и удаленный доступ", выберите Пуск, Администрирование, Маршрутизация и удаленный доступ.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Подключение серверов в ферме серверов

Microsoft ISA Server 2006 создает средство проверки подключения для каждого веб-сервера при настройке фермы серверов. В качестве средства проверки подключения можно использовать запрос HTTP или HTTPS "GET", запрос проверки связи или TCP-соединение.

Если ферма состоит из двух серверов (A и B) и для проверки связи выбрано использование запроса HTTP "GET", то настройкой по умолчанию для http://*/ на странице Наблюдение за подключением мастера создания нового определения фермы серверов будет два средства проверки подключения: http://A/ и http://B/.

Для наблюдения за подключением веб-сервера раскройте диспетчер ISA Server, выберите узел Наблюдение и выберите вкладку Средство проверки подключения.

Внимание!

  • Если в качестве средства проверки подключения используется HTTP/HTTPS-запрос "GET", для трафика можно использовать нестандартный порт, например: http://*:88/. Если вы сделаете это, необходимо создать разрешающее правило доступа с ISA Server на веб-ферму по протоколу HTTP или HTTPS через указанный порт.
  • НTTP/HTTPS-запрос "GET" поддерживается только для серверов, имена которых не содержат символы расширенного набора.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Последовательное соединение межсетевых экранов.

В отношении клиентов межсетевого экрана функция последовательного соединения межсетевых экранов позволяет определить механизм маршрутизации запросов. От клиентов межсетевого экрана запросы могут направляться:

  • Напрямую в Интернет путем подключения удаленного доступа или без применения такового.
  • На удаленный прокси-сервер с помощью или без помощи подключения удаленного доступа.

Примечание

  • При маршрутизации запросов клиентов объекты не кэшируются.

Удаленный прокси-сервер

Запросы клиентов можно направлять на удаленный компьютер Microsoft ISA Server 2006 или на компьютер Microsoft Proxy Server 2.0. В таком случае можно задать основной путь.

Проверка подлинности

Для отправки запросов клиентов межсетевого экрана на удаленный прокси-сервер можно настроить проверку подлинности по паролю. Таким образом определяются параметры проверки подлинности, которые будут использоваться при взаимодействии ISA Server с удаленным сервером.

Соответствующие инструкции см. в разделе Настройка последовательного соединения межсетевых экранов.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Предотвращение Flood-атаки

Microsoft ISA Server 2006 позволяет предотвратить действие вирусов и последующее переполнение каналов — явления, встречающиеся в сетях организаций довольно часто. Функции предотвращения Flood-атаки в ISA Server разнообразны; их настройка и отслеживание обеспечивают защиту от злонамеренных атак на сеть. Среди новых возможностей в этой категории следует отметить:

  • Усовершенствованную конфигурацию ограничения числа подключений.
  • Способность к ограничению числа глобальных подключений в зависимости от того, какие подключения в последнее время использовались меньше других.
  • Улучшенная регистрация событий, связанных с предотвращением Flood-атак.

Стандартные параметры предотвращения Flood-атак обеспечивают бесперебойную работу ISA Server даже в условиях проведения атаки этого типа. Это достигается путем классификации трафика ISA Server: для разных типов трафика предусматриваются разные уровни обслуживания. Трафик, признанный злонамеренным (предназначенным для проведения Flood-атаки) отбрасывается, в то время как все остальные запросы по-прежнему обслуживаются.

ISA Server может обнаруживать и блокировать клиентов, создающих трафик в слишком больших объемах, тем самым обеспечивая защиту от возможного ухудшения производительности из-за постоянных отказов на обработку запросов, которые могут быть свидетельством попыток Flood-атаки.

Функции предотвращения Flood-атак в ISA Server помогают выявлять случаи Flood-атак и прекращать их. В частности, ISA Server может идентифицировать клиентов, которые создают избыточный трафик и с высокой степенью вероятности могут быть заражены червем, вирусом или шпионским ПО.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Параметры форм

На данной вкладке можно настроить параметры настройки форм и управление паролями.

Настройка форм

Для форм можно указать другой каталог, отличный от каталога по умолчанию, предоставляемого сервером Microsoft Internet Security and Acceleration (ISA) Server 2006. Такой каталог должен появиться на всех членах массива ISA Server (Enterprise Edition). Кроме того, можно выбрать язык отображения настроенных форм.

Например, рассмотрим случай, когда необходимо использовать настроенные формы и поддерживать только их англоязычные версии. Выполните следующую процедуру.

  1. Скопируйте стандартный каталог форм ISA Server (Exchange или ISA) в папку \ISA Server Installation Directory\CookieAuthTemplates. Копию стандартного каталога форм ISA Server разместите в той же папке, например \ISA Server Installation Directory\CookieAuthTemplates\MyForms.
  2. Настройте формы в данном скопированном каталоге. Не рекомендуется изменять какие-либо элементы HTML-форм, например <FORM> или <INPUT>.
  3. Укажите имя данного каталога на вкладке Формы данного веб-прослушивателя. Укажите только название каталога, например MyForms, а не полный путь к нему.
  4. Чтобы гарантировать отображение форм только на английском языке, для параметра Отображать HTML-формы проверки подлинности на данном языке выберите значение English [en].

Управление паролями

Управление паролями позволяет настроить отображение сервером ISA Server информации об учетной записи пользователя и предоставление сервером ISA Server пользователю возможности изменения пароля после входа в систему посредством HTML-формы.

Примечание

  • Чтобы получить возможность управления паролями при использовании проверки подлинности LDAP (Lightweight Directory Access Protocol), необходимо предоставить учетные данные учетной записи Active Directory для каждого набора LDAP-серверов. В случае проверки подлинности Microsoft Windows сервер ISA Server использует для этой цели собственную учетную запись компьютера Active Directory.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Доступ к внутреннему серверу хранилища настроек (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

При применении шаблона сети внешнего межсетевого экрана Microsoft ISA Server 2006 устанавливает в соответствии с выбранной политикой сетевые правила и правила политики межсетевого экрана.

Сервер хранилища настроек, используемый компьютером, на котором запущены службы ISA Server (внешний компьютер), может находиться под защитой другого компьютера ISA Server (внутреннего компьютера) — так, как показано на схеме сетевого шаблона на вкладке "Сети".

Для того чтобы в таких условиях внешний компьютер ISA Server мог получить доступ к серверу хранилища настроек, на внутреннем компьютере ISA Server следует создать правило публикации сервера со следующими параметрами:

  1. Установите IP-адрес опубликованного сервера равным IP-адресу сервера хранилища настроек.
  2. Установите протокол сервера хранилища межсетевого экрана Microsoft.
  3. Установите в качестве источника IP-адрес внешнего компьютера ISA Server. Для этого следует создать запись компьютера с этим IP-адресом и указать параметры компьютера на вкладке От.
  4. Выберите Внешний сетевой прослушиватель.

Указывая альтернативный сервер хранилища настроек (для восстановления после отказа), не забудьте опубликовать этот сервер.

Имя сервера хранилища настроек

Устанавливая компьютер, на котором запущены службы ISA Server, необходимо указать сервер хранилища настроек, к которому он будет обращаться. Определить параметры сервера хранилища настроек также можно после установки при помощи мастера подключения к серверу хранилища настроек.

Если внешний компьютер ISA Server принадлежит к какому-либо домену, то указываемое имя сервера хранилища настроек должно разрешаться в адрес этого сервера или внутреннего компьютера — в зависимости от отношений между сетевыми узлами.

Если внешний компьютер ISA Server приписан к рабочей группе, то для обеспечения возможности обмена данными с сервером хранилища настроек необходимо установить сертификат. Имя, указываемое для сервера хранилища настроек, должно соответствовать сертификату, установленному на этом сервере. Это имя должно разрешаться в адрес сервера хранилища настроек (если между сетями настроен маршрут) или внутреннего компьютера ISA Server (если между сетями настроены отношения преобразования адресов (NAT)).

Если внешний компьютер ISA Server принадлежит к домену, имя, указанное для сервера хранилища настроек, должно разрешаться в адрес этого сервера (если между сетями настроен маршрут) или внутреннего компьютера ISA Server (если между сетями настроены отношения преобразования адресов NAT).

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Параметры автоматического определения

Для облегчения развертывания настройте параметры автоматического определения, чтобы указать способ получения параметров веб-прокси веб-обозревателями, запущенными на компьютерах клиентов межсетевого экрана данной сети. Автоматическое определение поддерживается с использованием описанных ниже методов.

  • Автоматическое обнаружение. Установите флажок Автоматическое определение параметров, чтобы разрешить веб-обозревателям на компьютерах клиентов межсетевого экрана автоматически обнаруживать местонахождение сервера, на котором расположены динамические генерируемые сценарии настройки для клиентов межсетевого экрана (Wspad.dat).
  • Автоматическое определение. Установите флажок Использовать сценарий автоматической настройки, чтобы указать, что веб-обозреватели на компьютерах клиентов межсетевого экрана должны получать настройки из файла конфигурации в заданном местонахождении.

Автоматическое обнаружение с помощью WPAD

Когда функция автоматического обнаружения включена для клиентов межсетевого экрана, веб-обозреватели используют протокол WPAD (Web Proxy Automatic Discovery), чтобы получить запись WPAD от сервера DHCP или DNS. Возвращаемая клиенту информация содержит адрес WPAD-сервера, на котором расположен файл Wspad.dat. Клиенты межсетевого экрана подключаются к указанному серверу и извлекают параметры веб-прокси, указанные в данном файле.

Автоматическое определение с помощью сценария настройки

Клиенты, настроенные на использование сценария настройки, подключаются к указанному в сценарии месту, чтобы получить параметры веб-прокси. Сервер Microsoft ISA Server 2006 предоставляет стандартный сценарий настройки, расположенный по адресу http://fqdn:8080/array.dll?Get.Routing.Script, где fqdn — полное доменное имя данного компьютера ISA Server. Местонахождение сценария настройки можно указать в каждом веб-обозревателе или задать для всех клиентов с помощью групповой политики. Можно указать, чтобы клиенты межсетевого экрана использовали только сценарий настройки, или настроить его вместе с функцией автоматического обнаружения с помощью WPAD. Если настроены оба параметра, то местонахождения сценария используется в случае ошибки при определении WPAD.

Параметры конфигурации веб-прокси применяются, когда на клиентских компьютерах установлен клиент межсетевого экрана. Если позднее изменить настройки в диспетчере ISA Server, то сервер ISA Server автоматически обновляет настройки при каждом перезапуске компьютера клиента межсетевого экрана, при каждом нажатии кнопки Обнаружить или Проверить на вкладке Параметры диалогового окна Клиент межсетевого экрана Microsoft для ISA Server на клиентском компьютере, и через шесть часов после предыдущего обновления. Параметры применяются ко всем пользователям на компьютере клиента межсетевого экрана.

Дополнительные сведения об автоматическом определении см. в документе Принципы автоматического определения в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Пересылка запросов

Получив запрос на доступ к опубликованному серверу, Microsoft ISA Server 2006 проводит проверку на предмет допустимости такого запроса, а затем маршрутизирует его на опубликованный сервер. По умолчанию ISA Server не передает опубликованному веб-серверу IP-адрес клиента, отправившего исходный запрос. ISA Server подменяет исходный IP-адрес, указанный в пакете, собственным IP-адресом. Таким образом, все запросы, направленные опубликованному серверу, выглядят поступившими с одного IP-адреса, который принадлежит компьютеру ISA Server.

Применительно к правилам публикации сервера, ISA Server передает опубликованному серверу IP-адрес клиента, отправившего исходный запрос.

Некоторые приложения требуют идентификации запрашивающего клиента. При публикации этих приложений можно настроить сервер ISA Server на отправку запросов, в которых указан IP-адрес обратившегося с запросом (исходного) клиента.

Механизм передачи IP-адреса средствами ISA Server подлежит настройке. Соответствующие инструкции см. в разделе Настройка прокси-запросов для правила политики межсетевого экрана.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Заголовки узлов

По умолчанию при получении Microsoft ISA Server 2006 входящего веб-запроса проводится проверка на наличие разрешения на его обработку, а затем запрос передается по соответствующему адресу на веб-сервере, согласно правилу веб-публикации. ISA Server не передает на опубликованный сервер заголовок узла (например Host: example.microsoft.com), содержащийся в запросе клиента. ISA Server подменяет исходный заголовок узла в запросе именем сервера, определенного в правиле веб-публикации. В результате все запросы, которые направляются на тот или иной веб-сервер, попадают на один и тот же (стандартный) веб-узел на этом сервере.

ISA Server можно настроить так, чтобы исходное содержимое заголовка узла передавалось серверу; в таком случае запросы клиента будут маршрутизироваться на определенный веб-узел на данном веб-сервере. Например, если на одном и том же веб-сервере публикуется более одного веб-узла, то для маршрутизации заголовка узла на требуемый веб-узел необходим исходный заголовок узла.

Инструкции см. в разделе Настройка имени публикуемого веб-сервера.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Действия при импорте

Импорт данных конфигураций в массив или предприятие может выполняться в двух вариантах: собственно импорта или перезаписи (восстановления).

В первом случае все данные из импортируемой конфигурации в виде XML-файла будут добавлены к существующим данным конфигурации. Таким образом, если для массива или предприятия уже определены те или иные правила, они не будут удалены.

При перезаписи существующая конфигурация, напротив, удаляется. В массиве/предприятии останутся только те данные, которые содержатся в импортируемом XML-файле.


Фильтры обнаружения атак

В составе продукта Microsoft ISA Server 2006 предусмотрены фильтры обнаружения атак:

  • Фильтр обнаружения атак DNS работает согласно правилам публикации DNS-сервера. Он перехватывает и анализирует весь входящий во внутреннюю сеть DNS-трафик.
  • Фильтр приложений POP3 проводит проверки на предмет атак переполнения буфера по почтовому протоколу версии 3 (POP3).

Фильтр DNS

Фильтр приложений DNS, устанавливаемый на сервере ISA Server, перехватывает и анализирует входящий во внутреннюю сеть трафик DNS. Фильтр DNS является основным элементом механизма обнаружения атак ISA Server. Этот механизм позволяет выявить попытку атаки на сеть и выполнить ряд предопределенных действий или отправить оповещения. Для обнаружения злонамеренных действий ISA Server сопоставляет сетевой трафик и записи в журналах с наиболее распространенными методами атак. При выявлении подозрительных действий отправляются оповещения. Для защиты от атак практикуется закрытие соединений и служб, рассылка оповещений по электронной почте, ведение журналов и другие меры.

Дополнительные инструкции см. в разделах Настройка обнаружения атак в виде распространенных атак и Настройка обнаружения вторжений путем атак DNS.

Если функция обнаружения атак включена, можно указать, обнаружение каких атак из числа нижеперечисленных должно вызывать рассылку оповещений:

  • Атака путем сканирования всех портов
  • Атака путем сканирования нумерованных портов
  • IP-атака полусканирования
  • Land-атака
  • Атака "PING смерти"
  • Атака "UDP-бомба"
  • Атака переполнения на системы Windows

Кроме того, можно настроить оповещения при обнаружении следующих атак DNS:

  • Переполнение имен узлов DNS. Переполнение имени узла DNS происходит в том случае, если длина ответа службы DNS на запрос имени узла превышает установленное значение (255 байт). Если приложение не проверяет длину имен узлов, при копировании слишком длинного имени может произойти переполнение внутреннего буфера, благодаря чему инициатор атаки получит возможность запускать на компьютере-объекте атаки любые команды.
  • Переполнение длины DNS. В ответах службы DNS на IP-адреса содержится поле длины, устанавливающее ограничение в 4 байта. В случае размещения в ответе DNS более длинного значения может произойти переполнение внутреннего буфера программы, выполняющей поиск DNS, в результате чего инициатор атаки получит возможность запуска на компьютере-объекте атаки любых команд.
    Кроме того, ISA Server проверяет, не превышает ли длина значения RDLength длину остальной части ответа DNS.
  • Передача зон DNS. Передачей зон DNS называется попытка клиентской системы при помощи клиентского приложения DNS переместить зоны с внутреннего DNS-сервера через любой исходный порт.

Атака путем сканирования всех портов

Оповещение об этой атаке свидетельствует о попытке получить доступ к большему количеству портов, чем определено настройками. Можно указать максимальное число портов, к которым разрешается доступ.

Атака путем сканирования нумерованных портов

Оповещение об этой атаке свидетельствует о попытке сосчитать службы, исполняемые на компьютере, путем опрашивания каждого порта на предмет ответа.

Если такое оповещение появится, необходимо установить источник сканирования портов. Сопоставьте результат со службами, исполняемыми на компьютере-объекте атаки. Определите источник и цель сканирования. Просмотрите журналы доступа на предмет свидетельств несанкционированного доступа. Если такие свидетельства удастся собрать, следует признать безопасность системы нарушенной и принять соответствующие меры.

IP-атака полусканирования

Оповещение об этой атаке свидетельствует о том, что были зафиксированы неоднократные попытки отправить TCP-пакеты с недействительными флагами.

При обычном TCP-соединении источник инициирует соединение, отправляя SYN-пакет на определенный порт системы назначения. Если служба в системе назначения ожидает поступления данных через этот порт, она в ответ отправляет пакет SYN/ACK. Далее клиент-инициатор соединения отвечает пакетом ACK, после чего соединение считается установленным. Если узел назначения не ожидает установления соединения через указанный порт, она отвечает пакетом RST. В большинстве случаев регистрация событий, связанных с такими соединениями, в системных журналах начинается только после получения от инициатора последнего пакета ACK. Путем отсылки других типов пакетов, не соответствующих стандартной последовательности, можно получить ответы с полезной информацией, причем такие попытки не будут регистрироваться. Этот метод атаки называется полусканированием TCP или невидимым сканированием, поскольку не создается запись в журнале сканируемого узла.

При появлении оповещения этого типа зафиксируйте адрес, с которого производится сканирование. При необходимости настройте в правилах ISA Server блокирование трафика из источника сканирования.

Land-атака

Оповещение об этой атаке свидетельствует о том, что в отправленном пакете TCP SYN указаны ложные IP-адрес и номер порта, аналогичные IP-адресу и порту назначения. В случае успешного проведения этой атаки некоторые реализации TCP входят в цикл, в результате чего компьютер перестает отвечать.

Атака "PING смерти"

Оповещение об этой атаке свидетельствует о получении фрагмента IP, объем данных в котором превышает максимально допустимый размер IP-пакета. В случае успешного проведения этой атаки происходит переполнение буфера ядра, в результате чего компьютер перестает отвечать.

Атака "UDP-бомба"

Оповещение об этой атаке свидетельствует о зафиксированной попытке отправить недопустимый UDP-пакет. Полученный UDP-пакет, некоторые поля которого содержат недопустимые значения, способен привести к сбою некоторых более ранних версий операционных систем. Если компьютер-объект атаки в такой ситуации действительно дает сбой, определить его причину бывает очень сложно.

Атака переполнения на системы Windows

Такое оповещение свидетельствует о зафиксированной попытке атаки переполнения типа "отказ в обслуживании" на один из компьютеров, работающему под защитой ISA Server. В случае успешного выполнения атаки компьютер дает сбой или (в уязвимых системах) теряет связь с сетью.

Фильтр POP

Фильтр почтового протокола (POP) перехватывает и анализирует весь входящий трафик, передаваемый посредством этого протокола во внутреннюю сеть. Помимо прочего, этот фильтр приложения проводит проверки на предмет попыток переполнения буфера POP.

Атакой переполнения буфера POP называется ситуация, при которой удаленный злоумышленник пытается получить привилегированный доступ к POP-серверу путем переполнения его внутреннего буфера.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка IP

Набор параметров обработки IP-пакетов в Microsoft ISA Server 2006 состоит из следующих элементов:

  • Фрагменты IP
  • Маршрутизация IP
  • Параметры IP

Фрагменты IP

Любую IP-датаграмму можно разделить на несколько более мелких датаграмм, называемых фрагментами IP. ISA Server может фильтровать эти фрагменты.

При фильтрации фрагментов пакетов все фрагментированные пакеты отбрасываются. Атака Teardrop и ее варианты предусматривают отправку фрагментированных пакетов с их последующей сборкой в неверном порядке, который может привести к сбою системы. Механизм проведения атаки фрагментации несколько отличается от хода атаки "Ping смерти", но по результатам они похожи. Программа teardrop создает фрагменты IP — составляющие исходного IP-пакета, на которые он разделяется при передаче через Интернет. Проблема в том, что поля смещения в этих фрагментах, обозначающие части (в байтах) исходного пакета, перекрываются.

К примеру, в обычной ситуации величины смещения двух фрагментов выглядят так:

Фрагмент 1:  (смещение) 100-300
Фрагмент 2:  (смещение) 301-600

Это означает, что в первом фрагменте содержатся байты от 100 до 300 исходного пакета, а во втором фрагменте — байты от 301 до 600.

Перекрывающиеся поля смещения выглядят примерно следующим образом:

Фрагмент 1: (смещение) 100-300
Фрагмент 2: (смещение) 200-400

Все попытки компьютера назначения собрать эти фрагменты заканчиваются неудачей. В связи с этим компьютер может дать сбой, перестать отвечать или перезагрузиться.

Фильтрация фрагментов может воспрепятствовать потоковой передаче аудио- и видеоданных. Кроме того, поскольку фрагментация пакетов может совпасть по времени с обменом сертификатами, попытка подключения по протоколу L2TP поверх IPsec может закончиться неудачей. При возникновении трудностей с передачей потоковых мультимедийных данных и VPN-подключениями на основе IPsec следует отключить фильтрацию фрагментов.

Соответствующие инструкции см. в разделе Включение фильтрации IP-фрагментов.

Маршрутизация IP

Когда маршрутизация IP отключена, ISA Server отправляет в пункт назначения только данные, а не исходный сетевой пакет. В таких условиях ISA Server копирует каждый пакет, а затем повторно отправляет его с помощью драйвера в пользовательском режиме.

Если маршрутизация IP включена, ISA Server исполняет роль маршрутизатора. В отношении трафика, проходящего через ISA Server, фильтрация в ограниченном объеме выполняется драйвером в пользовательском режиме.

Для получения инструкций см. Включение маршрутизации IP.

Параметры IP

ISA Server можно настроить таким образом, чтобы все пакеты с параметрами IP в заголовке отбрасывались. Наибольшее число проблем возникает с параметрами маршрутизации от источника. TCP/IP поддерживает маршрутизацию от источника, позволяющую отправителю сетевых данных проводить пакеты через определенный сетевой порт. Существует два типа маршрутизации от источника:

  • Строгая маршрутизация от источника. Отправитель данных может указать точный маршрут (этот тип применяется редко).
  • Свободная маршрутизация от источника. Отправитель может указать ряд маршрутизаторов (транзитов), через которые должен пройти пакет.

Параметр исходного маршрута в IP-заголовке позволяет отправителю изменить маршрут, обычно выбираемый маршрутизаторами, расположенными между отправителем и получателем. Маршрутизация от источника позволяет определить схему сети и справиться с трудностями, возникающими при маршрутизации и передаче данных. Кроме того, путем маршрутизации от источника можно направить трафик по наиболее эффективному маршруту. К сожалению, маршрутизация от источника привлекает злоумышленников.

В частности, инициатор атаки может с помощью этого метода достичь адресов во внутренней сети, которые в обычных условиях недостижимы из внешних сетей; для этого достаточно провести трафик через другой компьютер, к которому имеется доступ как из внутренней, так и из внешней сети.

Соответствующие инструкции см. в разделе Включение фильтрации параметров IP.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Проверка подлинности LDAP

Этот метод проверки подобен проверке Active Directory. В соответствии с данным методом сервер Microsoft Internet Security and Acceleration (ISA) Server 2006 подключается к LDAP-серверу по протоколу LDAP. Обратите внимание, что каждый контроллер домена является LDAP-сервером. На LDAP-сервере имеется хранилище учетных данных пользователей Active Directory. Так как каждый контроллер домена способен проверять подлинность только пользователей из своего домена, то, чтобы проверить учетные данные пользователей, сервер ISA Server по умолчанию запрашивает глобальный каталог для леса. Клиент должен указать учетные данные, распознаваемые службой каталогов Active Directory, т.е. в одном из следующих форматов:

  • Имя учетной записи SAM (домен\пользователь)
  • Имя участника-пользователя (username@domain.com)
  • Различающееся имя

Дополнительные сведения о проверке подлинности в ISA Server см. в документе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Типы содержимого и преобразование ссылок

Фильтры преобразования ссылок проверяют заголовок типа содержимого ответа на запрос для определения необходимости выполнения преобразования тела сообщения. По умолчанию преобразование ссылок выполняется только для группы содержимого HTML-документов, но можно указать и другие группы. Если заголовок типа содержимого отсутствует, фильтр будет просматривать заголовок места содержимого для выполнения преобразования. Если ни один заголовок не обнаружен, фильтр будет просматривать расширение имени файла запрошенного URL-адреса.

Примечание

  • Когда сервер веб-клиента Outlook Microsoft или компьютер ISA Server прослушивает запросы на нестандартных портах, а режим использования моста установлен для использования безопасного подключения к почтовому серверу, необходимо включить преобразование ссылок для типа содержимого, который включает следующее:
    • application/x-javascript
    • text/css
    • text/x-component
    • text/xml
    • .eml
    • .css

Необходимо создать новый или изменить существующий тип содержимого, чтобы включить данные файлы и MIME-типы.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Преобразование ссылок

Веб-страницы, возвращенные от веб-сервера, опубликованного в соответствии с правилом веб-публикации Microsoft ISA Server 2006, могут содержать ссылки, содержащие внутренние имена компьютеров. Так как внешние клиенты не могут разрешить эти имена, то такие ссылки будут выглядеть как нарушенные ссылки. Сервер ISA Server использует сопоставление, чтобы преобразовать внутренние имена компьютеров в ссылках на веб-страницы в общедоступные разрешимые имена. Каждое сопоставление преобразует внутреннее имя (или IP-адрес) веб-узла во внешнее имя (или IP-адрес) веб-узла. Например, сопоставление может преобразовать внутреннее имя http://team во внешнее имя http://team.contoso.com. Набор сопоставлений преобразования ссылок называется каталогом преобразования ссылок.

При включении преобразования ссылок для правила веб-публикации автоматически создается стандартный каталог преобразования ссылок для данного правила. Сведения о каталогах преобразования ссылок см. в разделе Каталоги преобразования ссылок.

Сведения о настройке преобразования ссылок см. в разделе Настройка преобразования ссылок.

Неявные и явные сопоставления

Когда преобразование ссылок включено для правила веб-публикации, ссылки в содержимом, отправляемые от опубликованного веб-узла клиенту, преобразовываются в соответствии с сопоставлениями, которые хранятся в каталоге преобразования ссылок (таблице преобразования) для данного правила:

  • Неявные сопоставления с привязкой к конкретному правилу. Данные сопоставления добавляются автоматически и связывают внутреннее имя (или IP-адрес) сервера, опубликованного по правилу веб-публикации, с внешним именем (или IP-адресом) веб-узла, или, в случае нескольких внешних имен, с одним из внешних имен.
  • Явные сопоставления с привязкой к конкретному правилу. Данные сопоставления создаются пользователем для правила и связывают строку, содержащую частное имя узла со строкой, содержащей внешнее разрешаемое имя узла. Явные сопоставления с привязкой к конкретному правилу перекрывают неявные сопоставления правила в случае возникновения конфликта.
  • Неявные глобальные сопоставления. Данные сопоставления автоматически добавляются в глобальный каталог преобразования массива для каждого правила веб-публикации, которое определено и включено, а также для которых включено преобразование ссылок в массиве. Неявные глобальные сопоставления получаются из явных и неявных сопоставлений с привязкой к конкретному правилу, определенных для каждого правила веб-публикации.
  • Явные глобальные сопоставления. Данные сопоставления создаются пользователем в глобальном каталоге преобразования массива и применяются ко всем правилам веб-публикации массива. Эти сопоставления будут преобладать в случае конфликта неявных глобальных сопоставлений. Они также используются при преобразовании ссылок между массивами (только для Enterprise Edition).
  • Преобразование ссылок между массивами.В Enterprise Edition при включенном преобразовании ссылок между массивами сопоставления в глобальных каталогах всех массивов предприятия добавляются к каталогу преобразования ссылок каждого правила веб-публикации.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Каталоги преобразования ссылок

Если для правила веб-публикации разрешено преобразование ссылок, то для этого правила автоматически создается стандартный каталог преобразования ссылок, содержащий индивидуальные для правила неявные сопоставления. Администратор может ввести в этот каталог явные сопоставления для конкретного правила.

Сопоставления из каждого правила веб-публикации добавляются в глобальный репозитарий сопоставлений, доступный всем правилам публикации в данном массиве. Этот репозитарий называется глобальным каталогом преобразования. Администратор может вручную вводить в глобальный каталог преобразования явные сопоставления.

Если правило публикации применяется для отправки клиенту страницы веб-узла, оно обращается в глобальный каталог преобразования за допустимыми сопоставлениями из других правил. Эти сопоставления (вместе с сопоставлениями, заданными в текущем правиле) применяются для преобразования ссылок на странице ответа. Если правило веб-публикации задействует сопоставления, заданные в других правилах того же массива, происходит межузловое преобразование ссылок. Правило веб-публикации из одного массива может получить сведения о сопоставлениях из глобального каталога преобразования другого массива данного предприятия. В результате производится преобразование ссылок между массивами — операция, аналогичная межузловому преобразованию, но применяемая при взаимодействии между узлами, опубликованными с помощью правил, определенных в разных массивах одного предприятия.

Фактический каталог преобразования ссылок (таблица преобразования) создается отдельно для каждого правила веб-публикации, для которого разрешено преобразование ссылок. Помимо заданных в массиве глобальных сопоставлений, в этот каталог включаются неявные и явные сопоставления, специфические для данного правила. Если в массиве, в котором определено данное правило, разрешено преобразование ссылок между массивами, в фактический каталог, помимо прочего, включаются глобальные сопоставления, заданные в других массивах с разрешенным преобразованием ссылок между массивами. В случае возникновения конфликтов приоритет отдается явным глобальным и индивидуальным для правила сопоставлениям.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Обзор веб-прослушивателя

При создании правила веб-публикации указывается веб-прослушиватель, который предполагается задействовать при реализации этого правила. Свойства веб-прослушивателя определяют:

  • IP-адреса и порты в определенных сетях, через которые будет ожидаться поступление веб-запросов.
  • Метод проверки подлинности, который будет использоваться, если проверка подлинности требуется.
  • Количество разрешенных соединений.

Веб-прослушиватель применяется для:

  • Определения IP-адреса и порта, через которые клиент устанавливает соединение.
  • Настройки Microsoft ISA Server 2006 с целью предварительной проверки подлинности соединения.

Веб-прослушиватели могут быть задействованы в нескольких правилах веб-публикации.

Выбор сети (IP-адреса) веб-прослушивателя

Выбор сети (или сетей) веб-прослушивателя зависит от того, через какую сеть клиенты будут подключаться к опубликованному веб-серверу. К примеру, если публикуемый веб-узел допускает запросы клиентов из Интернета (внешней сети), для веб-прослушивателя также следует выбрать внешнюю сеть. При выборе внешней сети на компьютере ISA Server указываются IP-адреса, ассоциированные с платой внешней сети. Если ограничение на IP-адреса не задано, в конфигурацию прослушивателя включаются все IP-адреса, связанные с выбранной сетевой платой.

Применение веб-прослушивателей регламентируется правилом веб-публикации. Помимо настройки веб-прослушивателей это правило определяет исходные сетевые объекты. Сетевые объекты, указанные в правиле веб-публикации, должны быть определены и для веб-прослушивателя.

Публикация нескольких веб-узлов SSL на выбранных IP-адресах

Можно указать, чтобы веб-прослушиватель прослушивал на одном или нескольких определенных IP-адресах. Когда вы сделаете это для веб-прослушивателя HTTPS, можно выбрать назначение одного сертификата для всех IP-адресов, или использование различных сертификатов для каждого IP-адреса. Назначение различных сертификатов для каждого IP-адреса позволяет публиковать несколько узлов через HTTPS при помощи одного веб-прослушивателя без использования группового сертификата. Например, можно опубликовать mail.contoso.com при помощи сертификата с таким именем на одном IP-адресе, а team.contoso.com при помощи сертификата с аналогичным именем на другом IP-адресе.

Либо можно опубликовать несколько узлов SSL при помощи одного веб-прослушивателя и группового сертификата. Такой вариант для ISA Server 2004 описан в документе о публикации нескольких веб-узлов при помощи группового сертификата в ISA Server 2004 на веб-узле Microsoft TechNet.

Используя один прослушиватель для нескольких узлов, можно воспользоваться преимуществом функции единого входа ISA Server, которая требует наличия общего веб-прослушивателя для всех узлов единого входа.

Проверка подлинности

Можно создавать правила веб-публикации, разрешающие или запрещающие доступ к тому или иному набору компьютеров или группе пользователей. Если действие такого правила распространяется на пользователей, ISA Server изучает свойства входящих веб-запросов и определяет, каким образом можно провести проверку подлинности пользователя. К примеру, правило веб-публикации может разрешать доступ только для некоторых пользователей. В таком случае ISA Server организует проверку подлинности пользователя, запрашивающего объект, и определяет, разрешен ли ему доступ согласно правилу веб-публикации. Пользователь должен пройти проверку подлинности с помощью одного из методов, определенных для входящих веб-запросов.

ISA Server обеспечивает безопасность и шифрование в среде регистрации как для веб-обозревателей, которые поддерживают проверку подлинности путем запроса/ответа, реализованную в Microsoft Windows NT, так и для веб-обозревателей, в которых применяется обычная проверка подлинности. Методы проверки подлинности можно настроить либо для всех IP-адресов на сервере сразу, либо по отдельности для каждого адреса IP.

Функция единого входа позволяет пользователям безопасно переходить от одного приложения к другому без повторной проверки подлинности. Единый вход настраивается на странице Параметры единого входа мастера создания веб-прослушивателя и поддерживает проверку подлинности на основе HTML-форм.

Дополнительные сведения о проверке подлинности в ISA Server см. в разделе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

Ограничение числа одновременных соединений

За счет ограничения количества соединений, которые могут быть одновременно установлены с компьютером ISA Server, можно предотвратить атаки, перегружающие ресурсы системы. Эта возможность особенно полезна при публикации серверов.

Соответствующие инструкции см. в разделе Настройка максимально допустимого числа одновременных соединений.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Параметры подключения прослушивателя

При создании веб-прослушивателя определяется, требуется ли SSL-подключение для клиентов. Если требуется, Microsoft ISA Server 2006 опубликует серверы только через HTTPS. Если такое подключение не требуется, ISA Server публикует серверы по протоколу HTTP.

После создания веб-прослушивателя его параметры подключения можно изменить — для этого достаточно обратиться к окну свойства прослушивателя. Прослушиватель можно настроить на ожидание запросов по HTTP, HTTPS или по обоим протоколам. В расширенных свойствах прослушивателя можно указать максимальное число одновременных клиентских подключений.

За счет ограничения количества соединений, которые могут быть одновременно установлены с компьютером ISA Server, можно предотвратить атаки, перегружающие ресурсы системы.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Этапы настройки подключений удаленного доступа

Параметры глобального преобразования ссылок

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Этапы настройки сети

Чтобы созданная сеть могла отправлять и принимать трафик, необходимо выполнить ряд дополнительных действий по ее настройке. Конкретный набор этих действий зависит от типа созданной сети.

Внутренние сети, внешние сети и демилитаризованные зоны

Чтобы клиенты этих сетей могли отправлять и принимать трафик, необходимо выполнить следующие действия:

Примечание

  • Для выпуска ISA Server 2006 Enterprise Edition. Выполните перечисленные ниже действия для сетей уровня массива.
  1. Создайте сетевое правило, разрешающее передачу трафика в сеть и из сети. Соответствующие инструкции см. в разделе Создание сетевого правила.
  2. Создайте правила политики межсетевого экрана, разрешающие передачу трафика в сеть и из сети. Соответствующие инструкции см. в разделах Создание сетевого правила, Создание правила веб-публикации, Создание правила публикации сервера или Публикация почтового сервера.

Корпоративные сети

Только для выпуска ISA Server 2006 Enterprise Edition

Корпоративные сети могут использоваться в правилах уровня предприятия и правилах уровня массива.

Кроме того, корпоративные сети могут входить в состав сетей уровня массива. Таким способом сети уровня массива можно подсоединить даже к тому массиву, к которому они физически не подключены.

VPN типа "сеть-сеть" с применением IPsec

В отношении клиентов, устанавливающих соединения из виртуальной частной сети (VPN) при помощи протокола IPsec, необходимо выполнить следующие действия:

  1. Создайте сетевое правило, разрешающее передачу трафика в сеть и из сети.
  2. Создайте правила доступа, разрешающие передачу трафика в сеть и из сети.
  3. Сверьте параметры протокола IPsec со свойствами созданной сети.

VPN типа "сеть-сеть" с применением PPTP или L2TP

В отношении клиентов, устанавливающих соединения из VPN с помощью туннельного протокола точка-точка (PPTP) или протокола L2TP, необходимо выполнить следующие действия:

  1. Создайте пользователя с именем, идентичным имени новой сети, и установите его разрешения на удаленный доступ в положение Разрешить. Соответствующие инструкции см. в разделе Создание пользователей и групп для удаленных VPN-клиентов.
  2. Создайте сетевые правила, разрешающие передачу трафика в сеть и из сети.
  3. Создайте правила доступа, разрешающие передачу трафика в сеть и из сети.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Сетевые прослушиватели

При создании правила публикации сервера фактически происходит настройка сервера Microsoft ISA Server 2006 на прослушивание запросов клиентов от имени этого сервера. На компьютере ISA Server необходимо настроить сетевой прослушиватель, ожидающий поступления запросов от клиентов. При настройке сетевого прослушивателя указывается сеть, соответствующая сетевой плате на компьютере ISA Server, которая будет прослушивать входящие запросы на опубликованную службу. Действие прослушивателя может распространяться как на все связанные с сетью IP-адреса, так и на некоторых из них.

Осуществляя прослушивание на определенной сетевой плате, ISA Server действует через порт, связанный с публикуемым на сервере протоколом.

Инструкции см. в разделе Настройка сетевых прослушивателей согласно правилу публикации сервера.

Выбор сетей (IP-адресов) прослушивателя

Выбор сети (или сетей) прослушивателя зависит от того, из каких сетей клиенты будут подключаться к опубликованному серверу. К примеру, если публикуемая служба принимает запросы клиентов из Интернета (внешней сети), сетью прослушивателя следует выбрать именно внешнюю сеть. При выборе внешней сети на компьютере ISA Server указываются IP-адреса, ассоциированные с платой внешней сети. Если ограничение на IP-адреса не задано, в конфигурацию прослушивателя включаются все IP-адреса, связанные с выбранной сетевой платой.

Кроме того, чтобы правило возымело действие, источники трафика (сетевые объекты), указанные на вкладке От свойств правила публикации, должны быть включены в сеть, назначенную сетью прослушивателя.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Адреса удаленных сетей с поддержкой балансировки сетевой нагрузки (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

Если удаленная сеть, с которой производится соединение, представляет собой массив с поддержкой балансировки сетевой нагрузки, то адрес конечной точки удаленного туннеля должен совпадать с виртуальным IP-адресом этого массива. Соответствующие инструкции см. в разделе Настройка конечной точки удаленного туннеля (Enterprise Edition).

Адреса

При создании удаленной сети следует указать все адреса этой удаленной сети.

Кроме того, чтобы наладить в сетях IPsec передачу трафика HTTP-прокси или преобразования сетевых адресов (NAT) между сетями, необходимо указать все выделенные IP-адреса сетевых плат, ассоциированных с этой удаленной сетью. Дело в том, что исходные IP-адреса при передаче трафика HTTP-прокси и NAT с удаленных узлов подлежат преобразованию (которая выполняется на стороне удаленной сети). Поэтому локальная сеть рассматривает такой трафик как поступающий с основного IP-адреса удаленной сети, то есть с ее выделенного IP-адреса. Инструкции см. в разделе Настройка адресов для удаленной сети.

Удаленная балансировка сетевой нагрузки

Если удаленная сеть представляет собой массив с балансировкой сетевой нагрузки, то первоначальное подключение из этого массива компьютеров Microsoft ISA Server 2006 устанавливается с применением виртуального IP-адреса локального компьютера. С одного из выделенных IP-адресов удаленного массива устанавливается туннельное соединение. По этой причине все выделенные IP-адреса должны быть определены как дополнительные конечные точки удаленного туннеля. Инструкции см. в разделе Настройка дополнительных точек туннельного соединения с удаленной сетью (Enterprise Edition).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Шаблон сети с одной сетевой платой

Сервер Microsoft® ISA Server 2006 можно установить на компьютере с одной сетевой платой или (в случае выпуска ISA Server Enterprise Edition) на массиве компьютеров, каждый из которых имеет по одной сетевой плате. Обычно конфигурация с одной сетевой платой используется, когда сервер ISA Server расположен во внутренней корпоративной сети или в демилитаризованной зоне, а другой межсетевой экран расположен на границе сети, соединяя и защищая корпоративные ресурсы от угроз из Интернета. В случае установки на компьютер с одной сетевой платой ISA Server поддерживает следующие сценарии:

  • пересылка запросов веб-прокси по протоколу HTTP или HTTPS;
  • кэширование веб-содержимого для использования клиентами в корпоративной сети;
  • веб-публикация для защиты опубликованных веб-серверов;
  • Microsoft Office Outlook® Web Access 2003, Microsoft Exchange ActiveSync® и удаленный вызов процедуры (RPC) через HTTP-публикацию.

При установке сервера ISA Server на компьютере с одной сетевой платой серверу ISA Server известны только две сети: сеть локального узла, представляющая самого компьютера ISA Server, и внутренняя сеть, которая включает в себя все IP-адреса одноадресной рассылки, не являющиеся частью сети локального узла. В такой конфигурации, когда внутренний клиент просматривает Интернет, ISA Server воспринимает исходный адрес и адрес назначения в веб-запросе, как принадлежащие внутренней сети.

Не поддерживаются сценарии

При установке сервера ISA Server на компьютере с одной сетевой платой не поддерживаются следующие функции и сценарии сервера SA Server.

  • Многосетевая политика межсетевого экрана. В режиме с одной сетевой платой сервер ISA Server опознает самого себя (сеть локального узла). Все остальные устройства опознаются как внутренняя сеть. Понятие внешней сети отсутствует. Служба межсетевого экрана Microsoft и фильтры приложений действуют только в контексте сети локального узла. (Сервер ISA Server защищает себя независимо от используемого шаблона сети.) Так как служба межсетевого экрана и фильтры приложений действуют в контексте сети локального узла, то можно использовать правила доступа, чтобы разрешить протоколам, которые не являются веб-протоколами, доступ к компьютеру ISA Server.
  • Инспектирование на уровне приложений. Фильтрация на уровне приложений не действует за исключением фильтра веб-прокси (для HTTP, HTTPS и FTP через HTTP).
  • Публикация серверов. Публикация серверов не поддерживается. Нет деления на внутреннюю и внешнюю сети, поэтому сервер ISA Server не может обеспечивать преобразование сетевых адресов (NAT), требуемую в сценарии публикации серверов.
  • Клиент межсетевого экрана. Клиент межсетевого экрана обрабатывает запросы от Winsock-приложений, использующих службу межсетевого экрана. Данная служба недоступна в среде с одной сетевой платой.
  • Клиенты SecureNAT. Клиенты SecureNAT используют сервер ISA Server в качестве маршрутизатора подключений к Интернету, а запросы клиентов SecureNAT обрабатываются службой межсетевого экрана. Так как служба межсетевого экрана недоступна в конфигурации с одной сетевой платой, то такие запросы не поддерживаются.
  • Виртуальная частная сеть. Виртуальные частные сети типа "сеть-сеть" и VPN-сети удаленного доступа не поддерживаются в сценарии одной сетевой платы.

Внимание!

  • Сетевую плату нельзя настроить на использование двух IP-адресов в качестве способа реализации многосетевых функций на компьютере с одной сетевой платой.
  • Протокол FTP не поддерживается в сценарии одной сетевой платы. Протокол FTP через HTTP поддерживается.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Определение порта

По умолчанию Microsoft ISA Server 2006 ожидает поступления HTTP-запросов через порт 80. Если предполагается, что клиенты будут отправлять запросы через другой порт, номер этого порта нужно установить в настройках. Кроме того, можно включить для веб-прослушивателя прослушивание SSL-запросов через порт по умолчанию 443. Если выбран параметр SSL, на компьютере ISA Server следует предварительно установить соответствующий сертификат. Следует выбрать для веб-прослушивателя сертификат сервера, с помощью которого компьютер ISA Server сможет подтверждать свою подлинность клиенту.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Протоколы

В составе Microsoft ISA Server 2006 существует набор предустановленных протоколов, которые могут быть полезны при создании правил доступа и правил публикации серверов.

Можно расширить этот набор протоколов, создав новые протоколы с помощью диспетчера ISA Server. Пользовательские протоколы можно редактировать и удалять. В отношении протоколов, предустановленных в ISA Server, удаление и редактирование не допускается. Протоколы, устанавливаемые с фильтрами приложений, можно изменять, но нельзя удалять. В то же время, протокол можно настроить так, чтобы к нему не применялся фильтр приложения. Дополнительные инструкции см. в разделе Фильтры приложений и протоколы.

При создании протокола нужно указать следующие параметры:

  • Тип протокола. Возможные параметры: TCP, UDP, ICMP или IP-уровень.
  • Направление. Параметры для UDP: Отправить, Принять, Отправить Получить, Получить Отправить. Параметры для TCP: Входящий, Исходящий. Для ICMP и IP-уровня: Отправить, Отправить Получить.
  • Диапазон портов. Для TCP и UDP: диапазон портов от 1 до 65535, применяемый при первоначальном подключении.
  • Номер протокола. Для протоколов IP-уровня: число от 0 до 254.
  • Свойства ICMP. Для ICMP: код и тип ICMP.
  • (Дополнительно) Дополнительные подключения. Диапазон портов, типы протоколов и направления, применяемые при дополнительных подключениях и при передаче пакетов после первоначального подключения. Можно настроить одно или несколько дополнительных подключений.

Примечание

  • Настроить дополнительные подключения для основных протоколов IP-уровня нельзя.

Инструкции см. в разделе Создание протокола.

Протоколы уровня предприятия

Только для выпуска ISA Server 2006 Enterprise Edition

Создавать и изменять протоколы уровня предприятия имеют право только администраторы предприятий. Протоколы уровня предприятия применяются в правилах доступа уровней массива и предприятия. Протоколы уровня массива могут быть задействованы только в правилах доступа для соответствующего массива.

В ISA Server предусмотрен широкий набор протоколов уровня предприятия.

Порты

К одному порту может быть привязано несколько протоколов.

При создании правила, запрещающего доступ к тому или иному протоколу, обязательно включите в список исключений все протоколы, привязанные к соответствующему порту. В качестве альтернативы можно создать правило, запрещающее доступ по какому-либо из протоколов, связанных с данным портом, и поместить его перед правилом доступа.

Рассмотрим пример реализации этого сценария. Если создается протокол, который предполагается включить в правило запрета на доступ к вирусу, не создавайте правило доступа, разрешающее доступ ко всему, за исключением этого нового протокола. Вместо этого создайте правило, явно запрещающее доступ к новому протоколу. Поместите это правило перед любыми другими правилами доступа, разрешающими доступ по другим протоколам через тот же порт, к которому привязан новый протокол.

Направление

ISA Server использует направление протокола, чтобы указать, что трафик считается исходящим или входящим.

В правилах доступа направление протокола обычно определяется как исходящее. Таким способом разрешается передача трафика из сетевых объектов, указанных как источники правила (От), к сетевым объектам, указанным как пункты назначения правила (Куда). Обычно это означает, что клиентам сети под управлением ISA Server разрешается отправлять данные другим сетевым объектам и во внешние сети — в частности, в Интернет.

В правилах публикации серверов определение протокола должно быть определено как входящее. В таком случае разрешается передача трафика из сетевых объектов, указанных как сетевые источники, на опубликованную службу на сервере.

В правилах публикации серверов предустановленные протоколы обозначаются суффиксом "Server". К примеру, протокол DNS Server обеспечивает передачу запросов для DNS-служб на опубликованный DNS-сервер. При настройке протоколов для публикации серверов суффикс не нужен. В то же время, направление протокола должно быть определено как входящее.

Фильтры приложений и протоколы

В определениях протоколов с прикрепленными фильтрами приложений, как правило, нет предустановленных дополнительных подключений. Описание процесса приводится ниже:

  1. Клиент устанавливает основное подключение к серверу в Интернете.
  2. Компьютер ISA Server уведомляет фильтр об установленном соединении.
  3. Фильтр исследует данные, проходящие через основное подключение, и определяет, какое дополнительное подключение нужно клиенту.
  4. Фильтр указывает компьютеру ISA Server на это дополнительное подключение, и компьютер разрешает его.
  5. Компьютер ISA Server открывает порт, указанный фильтром приложений.

Некоторые фильтры приложений создают и устанавливают новые протоколы. Такие протоколы считаются сложными, так как в них предусматриваются дополнительные подключения. Путем трансляции портов, применяемых этими сложными протоколами, фильтр приложений разрешает применение протоколов и передачу данных по ним. Основные подключения в этих протоколах действуют вне зависимости от того, включен фильтр приложений или нет.

Другие фильтры приложений фильтруют трафик существующих протоколов — пользовательских или предустановленных в ISA Server. Отключение таких фильтров приложений не приводит к отключению протоколов, за фильтрацию трафика которых они ответственны. Например, даже если фильтр SMTP будет отключен, передача данных по этому протоколу продолжится (без фильтрации).

Трафик того или иного протокола можно контролировать путем назначения сразу нескольких фильтров приложений. К примеру, фильтр приложений веб-прокси контролирует трафик HTTP. В случае отключения фильтра приложений веб-прокси веб-фильтры не будут применяться в отношении трафика, который соответствует данному правилу.

Инструкции см. в разделе Назначение фильтра приложений для протокола.

Протоколы RPC

При установке ISA Server определяется протокол исходящего трафика RPC. В определении этого протокола используются все интерфейсы UUID.

Можно создать правила доступа, разрешающие использование этого определения исходящего протокола RPC. Это позволит клиентам внутри сети обращаться к внешним ресурсам по протоколу RPC. Например, можно разрешить клиентам внутренней сети доступ к внешнему Exchange-серверу. Подобным же образом можно создать определения исходящего протокола RPC и использовать их в правилах доступа, тем самым предоставляя клиентам внутри сети доступ к внешним ресурсам.

Исходящие протоколы RPC можно настроить для каждого правила в отдельности, что позволяет обеспечить строгую совместимость RPC. По умолчанию для протоколов RPC строгая совместимость требуется. При строгой совместимости передача данных по протоколам типа RPC (например DCOM) через ISA Server запрещается.

При установке ISA Server для обработки входящих запросов по умолчанию даются два определения протокола RPC:

  • Все серверы RPC. Если в правиле публикации сервера это определение протокола разрешено, ISA Server отображает любые входящие запросы RPC на опубликованный RPC-сервер. Если идентификатор UUID зарегистрирован на RPC-сервере, доступ к процедуре предоставляется. Если идентификатор UUID не зарегистрирован на RPC-сервере, запрос отбрасывается.
  • Exchange-сервер RPC. Перечень интерфейсов UUID, применяемых с Exchange, должен быть приведен в определении протокола RPC. Это определение протокола можно использовать в правилах публикации серверов, чтобы разрешить или запретить доступ к тем или иным функциям Exchange.

Протокол RPC (для любых интерфейсов) определен для исходящих запросов.

Можно создать дополнительные определения протокола RPC. С помощью мастера можно выбрать интерфейсы UUID из списка интерфейсов, доступных на RPC-сервере. Кроме того, можно определить интерфейсы вручную. Если в определении протокола RPC для входящей передачи не указано ни одного интерфейса, правила публикации серверов, разрешающие это определение протокола, не будут пропускать никакой трафик.

После создания определений протокола RPC для входящего трафика их можно задействовать в правиле публикации сервера.

Категории протоколов

В инструментарии протоколы классифицируются по функциональным группам. Эти категории упрощают выбор подходящих протоколов для конкретных случаев. Некоторые протоколы приводятся сразу в нескольких категориях. В категории "Все протоколы" перечислены все существующие протоколы. Пользовательские протоколы указываются в категории "Пользовательские".

Категория протоколов | Описание
Инфраструктура | К этой категории причислены протоколы, применяемые для решения общих инфраструктурных задач в сети — в частности, для назначения адресов (DHCP), сопровождения службы каталогов Active Directory (LDAP) и разрешения имен (DNS).
Почта | В этой категории сгруппированы протоколы, применяемые почтовыми серверами: SMTP, IMAP4, POP3 и другие.
Обмен мгновенными сообщениями | К этой категории относятся протоколы, необходимые для программ обмена мгновенными сообщениями (таких как MSN Messenger, ICQ, H.323 и др.).
Удаленный терминал | В этой категории указываются протоколы, обеспечивающие возможность удаленного управления: RDP, Telnet и другие.
Поток мультимедиа | Эта категория содержит протоколы потоковой передачи мультимедийных данных — в частности, MMS и RTSP.
VPN и IPsec | Эта категория объединяет протоколы, применяемые для организации VPN-соединений: IKE Client, IKE Server, L2TP и другие.
Веб | В этой категории содержатся протоколы, применяемые для доступа к веб-узлам: HTTP, HTTPS, FTP и др. При создании правил веб-публикации протоколы можно выбирать только из этой группы.
Проверка подлинности | В этой категории указываются протоколы проверки подлинности — в частности, RADIUS, RSA SecurID и Kerberos.
Протоколы сервера | Эта категория объединяет протоколы сервера, применяемые в правилах публикации серверов: RPC Server, Microsoft SQL Server, FTP Server и другие.

Полный список протоколов, с которыми работают продукты и субкомпоненты Microsoft Windows, приведен в разделе Service overview and network port requirements for the Windows Server system (Обзор служб и требований к сетевым портам в системе Windows Server) на веб-узле Microsoft Help and Support (Справка и поддержка Microsoft) (http://www.microsoft.com/).


Публикация нескольких веб-серверов

Microsoft ISA Server 2006 разрешает публикацию нескольких веб-узлов при помощи мастера создания правила веб-публикации. На странице мастера Тип публикации выберите Публикация нескольких веб-узлов. На следующей странице мастера можно добавить несколько имен веб-узлов. Каждое имя будет опубликовано с DNS-суффиксом опубликованного веб-узла, который указывается на следующей странице мастера. Например, если требуется опубликовать узлы news.fabrikam.com, sports.fabrikam.com и weather.fabrikam.com, следует сначала указать имена news, sports и weather, а затем указать суффикс, fabrikam.com. Мастер создаст три правила веб-публикации (по одному на каждый узел), каждое из которых использует один и тот же прослушиватель.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Публикация веб-ферм

Текст данного раздела в настоящий момент не готов.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Публикация одного сервера или подсистема балансировки нагрузки

Один из параметров, доступных в сценариях публикации, соответствует публикации одного веб-сервера или фермы серверов, которые расположены за оборудованием балансировки нагрузки. Этот параметр является правильным выбором при публикации одного веб-сервера.

Сервер Microsoft ISA Server 2006 рассматривает ферму серверов, расположенную за оборудованием балансировки нагрузки, как один сервер. Хотя данная возможность доступна для ферм с балансировкой нагрузки, рекомендуется использовать возможности публикации фермы ISA Server, а не оборудование балансировки нагрузки. Публикация сервера ISA Server для фермы серверов предоставляет улучшенное соответствие клиентов, которое можно настроить на работу с файлами cookie, обеспечивая независимость от IP-адреса клиента. Это несомненное преимущество в ситуации, когда устройство, расположенное между оборудованием балансировки нагрузки и сервером ISA Server (например устройство преобразования сетевых адресов), скрывает IP-адрес клиента.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Обзор управления карантином

Функция управления карантином обеспечивает поэтапный доступ к сети для удаленных клиентов, которые также называются клиентами виртуальной частной сети (VPN); для этого перед доступом к сети они пропускаются через карантин. После приведения конфигурации клиентского компьютера в соответствие с действующими в организации карантинными требованиями к соединению применяется стандартная политика VPN согласно выбранному типу карантина. Карантинные ограничения, в частности, могут предусматривать обязательную установку на компьютере и работу антивирусного ПО при подключении к сети. Функция управления карантином не защищает от атак, однако перед предоставлением доступа к сети она предусматривает возможность подтверждения и, если это необходимо, исправления конфигураций компьютеров пользователей, прошедших проверку подлинности. Таймер позволяет установить период времени, по истечении которого в случае нарушения клиентом требований к конфигурации соединение разрывается.

В Microsoft ISA Server 2006 предусмотрено несколько способов включения карантинного режима:

  • Переход в карантинный режим при помощи политик RADIUS-сервера. Этот метод доступен только в случае установки ISA Server на компьютере под управлением операционной системы Microsoft Windows Server™ 2003. При выборе параметра Помещать в карантин в соответствии с политиками RADIUS-сервера в случае попытки VPN-клиента выполнить подключение ISA Server проверяет, должен ли этот клиент быть переведен в карантин. После выхода из карантина клиент безусловно присоединяется к сети VPN-клиентов.
  • Переход в карантинный режим средствами ISA Server. Этот метод предусматривает применение карантинной сети VPN-клиентов, для которой может быть настроена политика межсетевого экрана. Для работы этого метода не нужна функция Маршрутизация и удаленный доступ, а потому он доступен на компьютерах с ISA Server под управлением Windows® 2000 Server.

При желании можно отключить карантинный режим.

Инструкции см. в разделе Включение управления карантином.

Управление карантином позволяет контролировать соблюдение VPN-клиентами установленных в организации требований по безопасности. Следует иметь в виду, что при отключенном карантинном режиме все удаленные VPN-клиенты с надлежащими разрешениями проверки подлинности присоединяются к сети VPN-клиентов, а значит, получают те же права доступа, что и другие участники этой сети, согласно существующей политике межсетевого экрана.

Сочетание функции управления карантином с маршрутизацией и удаленным доступом ISA Server позволяет ограничивать доступ VPN-клиентов в корпоративную сеть. ISA Server позволяет в обязательном порядке присоединять недавно подключенных VPN-клиентов к карантинной сети VPN-клиентов и распространять на них ограничительную политику межсетевого экрана; так продолжается до тех пор, пока диспетчер подключений не подтвердит соответствие клиента требованиям принятой в организации политики подключений.

Функция управления карантином работает с профилем диспетчера подключений, созданным для VPN-клиентов. Профили диспетчера подключений создаются с помощью пакета администрирования диспетчера подключений в составе Windows Server 2003 и Windows 2000 Server. Профиль диспетчера подключений состоит из следующих элементов:

  • Операция запуска после подключения клиента сценария, вводящего в действие требования политики; эта операция настраивается одновременно с созданием профиля диспетчера подключений с помощью пакета администрирования диспетчера подключений.
  • Сценарий применения требований сетевой политики, который для подтверждения соответствия сетевым политикам проводит проверку удаленного клиента. Такой сценарий может существовать в виде специального EXE-файла или простого командного файла (называемого также пакетным файлом). После успешного завершения сценария, подтвердившего соответствие подключаемого компьютера всем требованиям сетевой политики, запускается уведомитель (EXE-файл) с соответствующими параметрами. Если сценарий не подтвердил соответствия требованиям политики, клиент перенаправляется на карантинный ресурс (например на внутреннюю веб-страницу) с описанием процесса установки компонентов, необходимых для соблюдения положений политики.
  • Уведомитель — это компонент, отправляющий компьютеру ISA Server с поддержкой карантина сообщение об успешном исполнении сценария. Уведомитель может быть разработан специально, однако в составе Windows Server 2003 Resource Kit есть готовый исполняемый модуль Rqc.exe. Если эти компоненты установлены, то в ходе настройки подключения удаленный клиентский компьютер проверяет соответствие требованиям сетевой политики при помощи профиля диспетчера подключений и сообщает о результатах компьютеру ISA Server.

Примечание

  • Чтобы получить возможность организации VPN-подключений на основе политик ISA Server, необходимо отключить функцию карантина в политиках удаленного доступа. Последние могут храниться на RADIUS-сервере или в системе поставщика проверки подлинности Windows. Выполните следующие действия:
    1. Откройте "Управление компьютером" и раскройте узел Маршрутизация и удаленный доступ.
    2. Выберите Политики удаленного доступа.
    3. Откройте окно свойств выбранной политики двойным щелчком мыши на ее записи в области сведений, после чего нажмите кнопку Изменить профиль.
    4. Перейдите на вкладку Дополнительно и удалите из списка атрибутов записи MS-Quarantine-IPFilter и MS-Quarantine-Session-Timeout.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server Guidance.


Регистрация веб-узлов в службе DNS

Служба доменных имен (DNS) — это протокол разрешения имен в составе TCP/IP, который упрощает процесс подключения к узлам в сложных сетях, таких, как Интернет. На DNS-сервере хранятся данные, позволяющие клиентским компьютерам проводить преобразование удобных для восприятия буквенно-цифровых имен DNS в IP-адреса, на основе которых компьютеры взаимодействуют между собой.

Большинство пользователей предпочитают обращаться к компьютеру, будь то почтовый сервер или веб-сервер, по простому имени — например, example.microsoft.com. Такое имя легче осмыслить и запомнить. Служба DNS устанавливает соответствие между удобными для пользователей именами компьютеров и служб, с одной стороны, и их числовыми IP-адресами, с другой.

Если доменное имя зарегистрировано для веб-узла, пользователи смогут обращаться к этому веб-узлу, вводя в адресной строке веб-обозревателя доменное имя.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Правила доступа и типы содержимого

Microsoft ISA Server 2006 предпринимает следующие действия для определения типа содержимого:

  1. Сервер ISA Server получает ответ веб-сервера и проверяет наличие в нем заголовка с типом содержимого.
  2. Если заголовок с типом содержимого присутствует в ответе, то сервер ISA Server сравнивает значение заголовка с параметрами политики типа содержимого.
  3. Если ответ не содержит заголовка с типом содержимого, то сервер ISA Server сравнивает расширение запрошенного URL-адреса с настройками политики типа содержимого.
  4. Если URL-адрес не содержит расширений, то сервер ISA Server делает вывод об отсутствии соответствия между данным типом содержимого и правилом.

Примечание

Тип содержимого не всегда присутствует в URL-адресе или заголовке ответа. По этой причине настройка правила доступа с помощью типов содержимого может привести к непредусмотренному поведению политики межсетевого экрана.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Настройка альтернативного сопоставления доступа для сервера SharePoint Portal Server

  1. На компьютере SharePoint Portal Server щелкните Пуск, выберите пункт Все программы, SharePoint Portal Server и Центральное администрирование.
  2. В разделе Конфигурация веб-узла портала и виртуального сервера установите флажок Настроить альтернативные URL-адреса узла портала для доступа к интранету, экстранету и настраиваемого доступа.
  3. В разделе Имя сопоставления щелкните веб-узел и выберите Изменить.
  4. В поле URL-адрес экстранета предоставьте внешнее имя для веб-узла SharePoint, например https://portal.contoso.com.

Примечание

Дополнительные сведения об сопоставлении альтернативного доступа см. в разделе Альтернативное сопоставление доступа (http://www.microsoft.com/)

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Единый вход

Сервер ISA Server предоставляет функцию единого входа, позволяющую пользователям безопасно переходить от одного приложения к другому без повторной проверки подлинности. Например, прошедший проверку пользователь может безопасно и просто перемещаться от веб-клиента Outlook к веб-узлу SharePoint, щелкая ссылку в сообщении электронной почты, без необходимости в повторной проверке подлинности.

Функция единого входа доступна для правил, совместно использующих один веб-прослушиватель. Например, если необходимо, чтобы функция единого входа была доступна между веб-узлом SharePoint и веб-клиентом Outlook, два правила, отвечающие за публикацию узла SharePoint и веб-клиента Outlook, должны использовать общий прослушиватель. Прослушиватель должен быть настроен на использование проверки подлинности HTML-форм, и на нем должна быть включена функция единого входа.

При включении функции единого входа указывается домен, в рамках которого эта функция будет применяться. Например, можно указать домен fabrikam.com, а затем настроить функцию одного входа для узлов mail.fabrikam.com и team.fabrikam.com. Нельзя настроить применение функции одного выхода между узлами с различными DNS-суффиксами, такими как mail.fabrikam.com и mail.contoso.com.

Дополнительные сведения о проверке подлинности в ISA Server см. в документе Принципы проверки подлинности в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Обзор системной политики

Microsoft ISA Server 2006 защищает сетевые ресурсы, безопасно подключая их для специально определенных нужд. ISA Server обеспечивает баланс между безопасностью и необходимостью подключения. Это часто требует определения особых правил политики межсетевого экрана. Это также требует введения в действие сетевой инфраструктуры, которая делает возможной основную функциональность. Проверка подлинности, диагностика и журнальная регистрация сети и удаленное управление являются примерами служб, которые может потребоваться включить для эффективного администрирования и отслеживания сетевой активности и безопасности.

В ISA Server существует категория системной политики, которая представляет собой набор правил политики межсетевого экрана, регламентирующий применение ISA Server элементов инфраструктуры для управления безопасностью и связностью сети. ISA Server устанавливается с системной политикой по умолчанию, разработанной для поддержания баланса между безопасностью и возможностями подключения.

Некоторые правила системной политики включаются при установке. Это предполагаемые наиболее общие и необходимые правила для эффективного управления средой ISA Server. В дальнейшем можно определить службы и задачи, необходимые для управления сетью, и включить соответствующие правила системной политики.

Ограничение системной политики

После установки ISA Server можно настроить системную политику. Определите службы и задачи, которые не являются критичными для управления сетью, и отключите соответствующие правила системной политики.

В общем случае, в целях безопасности настоятельно рекомендуется отключить все правила системной политики, которые не требуются для управления сетью. После установки внимательно просмотрите настроенные правила системной политики. После выполнения наиболее значимых административных задач набор правил системной политики также следует пересматривать.

Для получения инструкций см. Включение конфигурационной группы системной политики.

Кроме отключения ненужных правил системной политики ограничьте применение правил только до требуемых сетевых объектов. К примеру, группа настройки системной политики для службы каталогов Active Directory®, по умолчанию включенная, действует в отношении всех компьютеров во внутренней сети. Можно ограничить ее применение только до отдельной группы Active Directory внутренней сети.

Для получения инструкций см. Изменение мест назначения для правил системной политики.

Примечание

  • Многие правила системной политики применяются к сети локального узла. В контексте правил системной политики сеть локального узла связана не с компьютером ISA Server, а со службой межсетевого экрана Microsoft. Существует несколько исключений, например группа настройки удаленного управления.

Порядок обработки правил системной политики

Для выпуска ISA Server 2006 Enterprise Edition. Сервер ISA Server в первую очередь обрабатывает правила системной политики, раньше правил уровня массива и правил предприятия предмассивного уровня. Это означает, что администратор массива может переопределить правила политики предприятия предмассивного уровня путем соответствующей настройки системной политики.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Сопоставление пользователей VPN-клиентов

Функция сопоставления пользователей привязывает их к клиентам виртуальной частной сети (VPN) при подключении к Microsoft ISA Server 2006. В результате правила доступа политики межсетевого экрана, устанавливающие наборы пользователей и групп Windows, применяются также и к тем пользователям, которые прошли проверку подлинности, но работают в средах, отличных от Windows. Ели сопоставление пользователей из пространств имен на базе систем, отличных от Windows, не будет выполнено, к ним нельзя будет применять правила доступа стандартной политики межсетевого экрана.

Если RADIUS-сервер и ISA Server находятся в доменах, между которыми не установлены доверительные отношения (а также в том случае, если одна из этих сторон входит в рабочую группу), то сопоставление пользователей поддерживается только в отношении протокола проверки подлинности паролей (PAP) и протокола проверки подлинности паролей Shiva (SPAP). Если применяется другой метод проверки подлинности, использовать функцию сопоставления пользователей не следует.

Если сопоставление пользователей, работающих в отличных от Windows средах, не настроено, необходимо создать для них набор пользователей — только в этом случае к ним будут применяться правила политики межсетевого экрана. Вне зависимости от метода проверки подлинности (RADIUS или EAP) набор пользователей должен быть определен в пространстве имен RADIUS.

На всех компьютерах-членах массива ISA Server нужно создать дублированные учетные записи. Они понадобятся при обратном сопоставлении учетных записей RADIUS с учетными записями ISA Server.

Соответствующие инструкции см. в разделе Настройка сопоставления пользователей.

Ограничения, связанные с рабочими группами

Если ISA Server установлен в рабочей группе, сопоставление пользователей с учетными записями доменов невозможно.

Если ISA Server не принадлежит к тому или иному домену (но принадлежит к рабочей группе), функция сопоставления пользователей применима только в сочетании с методами проверки подлинности PAP и SPAP. Следует иметь в виду, что эти методы менее безопасны.

Компонент сопоставления пользователей требуется только при создании политики межсетевого экрана на основе групп. Чтобы создать пользовательскую политику, определите наборы пользователей с применением пространств имен RADIUS.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Сертификаты IPsec и виртуальные частные сети

Сертификаты протокола IPsec для виртуальных частных сетей (VPN) применяются в трех ситуациях, описанных в этом разделе.

Подключения VPN типа "сеть-сеть" при помощи туннельного режима IPsec

Если для организации подключения VPN типа "сеть-сеть" используется туннельный режим IPsec, то для шифрования данных при передаче по туннелю можно задействовать сертификат IPsec или предварительный ключ. По соображениям безопасности в такой ситуации мы рекомендуем использовать сертификат с секретным ключом, выданный местным центром сертификации. Можно выбрать сертификат из хранилища на локальном компьютере ISA Server или в массиве.

Подключение VPN типа "сеть-сеть" по протоколу L2TP/IPsec

Если подключение VPN типа "сеть-сеть" устанавливается при помощи протокола L2TP/IPsec, можно организовать шифрование посредством сертификата или предварительного ключа. По соображениям безопасности в такой ситуации мы рекомендуем использовать сертификат с секретным ключом, выданный местным центром сертификации.

Клиенты VPN

Если подключения клиентов VPN устанавливаются по протоколу L2TP/IPsec, можно организовать шифрование с помощью сертификата или предварительного ключа. По соображениям безопасности в такой ситуации мы рекомендуем использовать сертификат с секретным ключом, выданный местным центром сертификации. Предварительный ключ можно настроить в области "Общая настройка VPN" на вкладке Проверка подлинности.

Примечания

  • Следует иметь в виду, что в случае применения коммерческого сертификата данные, передаваемые по туннелю, может расшифровать любое лицо, получившее сертификат от того же центра сертификации.
  • При выборе проверки подлинности с помощью сертификата выводится предупреждение о необходимости включения правила системной политики, разрешающего обновление списка отзыва сертификатов (если это правило не включено ранее). Необходимо включить это правило, чтобы обеспечить обновление списка отзыва сертификатов.
  • Дополнительные сведения о сертификатах для передачи данных по протоколу L2TP можно почерпнуть из статьи о сертификатах для установления VPN-соединений по протоколам L2TP/IPSec на веб-узле Microsoft TechNet.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Сеть доступа VPN

В контексте подключений VPN-клиентов те сети, из которых клиенты могут подключаться к компьютеру Microsoft ISA Server 2006 с поддержкой VPN, называются сетями доступа.

Применительно к подключениям типа "сеть-сеть" (удаленным подключениям) сетью доступа называется сеть, в которой находится VPN-сервер.

По умолчанию как для подключений типа "сеть-сеть", так и для подключений клиентов сетью доступа VPN является только внешняя сеть. Таким образом, при включении доступа по VPN подключения VPN должны быть настроены на компьютерах внешней сети.

Соответствующие инструкции см. в разделе Настройка сетей доступа VPN.

Доступ для удаленных VPN-клиентов

При первом разрешении доступа VPN-клиентов через ISA Server вводится в действие правило системной политики "Разрешить трафик от VPN-клиента к серверу ISA Server". Оно разрешает доступ из внешней сети к сети локального узла, так как по умолчанию в качестве сети доступа настраивается именно внешняя сеть. Впоследствии можно настроить дополнительные сети доступа VPN. Действие вышеупомянутого правила системной политики автоматически распространяется на все новые сети доступа.

Доступ типа "сеть-сеть"

В контексте доступа типа "сеть-сеть" при создании новой удаленной сети ISA Server автоматически добавляет ее в набор сетей "Защищенные сети". Кроме того, ISA Server вводит в действие следующие правила системной политики:

  • Разрешить трафик VPN типа "сеть-сеть", направленный к серверу ISA Server. Это правило разрешает компьютеру ISA Server обращаться к клиентам внешней сети посредством выбранного протокола VPN.
  • Разрешить трафик VPN типа "сеть-сеть" от сервера ISA Server. Это правило разрешает клиентам внешней сети обращаться к компьютеру ISA Server с помощью выбранного протокола VPN.

Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Сводка параметров локальных подключений типа "сеть-сеть"

При создании VPN-подключения типа "сеть-сеть" сервер Microsoft® Internet Security and Acceleration (ISA) Server 2006 предоставляет сводку по параметрам подключений типа "сеть-сеть". На основе локальных настроек и необходимости отражения настроек локальной сети на удаленную сеть сервер ISA Server предоставляет рекомендованные настройки и для удаленной сети. Такая сводка доступна для подключений типа "сеть-сеть" по протоколам IPSec, PPTP и L2TP через IPsec.

Параметры IPSec

Следующая информация по настройке предоставляется для подключений типа "сеть-сеть" по протоколу IPsec в сводке параметров локальных подключений типа "сеть-сеть", а также имеет отношение к настройкам на другом конце туннеля.

  • Локальная конечная точка туннеля. Локальный IP-адрес, через который выполняется VPN-подключение. Такой IP-адрес является рекомендованной удаленной конечной точкой туннеля для удаленной сети.
  • Удаленная конечная точка туннеля. Удаленный IP-адрес, через который выполняется VPN-подключение. Такой IP-адрес является рекомендованной локальной конечной точкой туннеля для удаленной сети.
  • Параметры IKE Phase I и Phase II. Параметры, используемые для согласования настроек туннеля IPsec. Такие настройки являются рекомендованными настройками IPsec для удаленного узла. Особенно важно, чтобы в локальной и удаленной сетях использовался одинаковый метод проверки подлинности. При использовании предварительного ключа такой ключ должен быть одинаков на обоих концах туннеля. Более подробные сведения см. в разделе Решение: виртуальные частные сети в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • IP-подсети удаленной сети myIPSec. myIPSec — имя, настраиваемое для удаленной сети. Это предоставляемый для удаленной сети диапазон адресов, преобразованный в формат подсетей, который является стандартом для IPsec-подключений.
  • IP-подсети локальной сети. Диапазоны адресов всех остальных сетей ISA Server, преобразованные в формат подсетей.

Примечание

  • Если не было создано сетевое правило, устанавливающее отношение между удаленными сетями и хотя бы одной другой сетью ISA Server (обычно внутренней сетью), то входящий и исходящий трафик такой удаленной сети будет отбрасываться, а на странице сводки появиться предупреждение. Аналогично, если не создано правило доступа, разрешающее входящий и исходящий трафик удаленной сети, то такой трафик будет блокироваться сервером ISA Server.

Параметры протоколов PPTP и L2TP

Следующая информация по настройке предоставляется для подключений типа "сеть-сеть" по протоколам PPTP и L2TP в сводке параметров локальных подключений типа "сеть-сеть", а также имеет отношение к настройкам на другом конце туннеля.

  • Адрес удаленного шлюза. Для локальной сети это адрес в удаленной сети, по которому подключается сервер ISA Server. В удаленной сети адрес удаленного шлюза должен представлять собой IP-адрес или DNS-имя, которое можно разрешить в IP-адрес на данном компьютере (Standard Edition) или массиве (Enterprise Edition) ISA Server.
  • Протоколы проверки подлинности сети VPN (исходящие). Эти протоколы используются для проверки подлинности в удаленной сети. Один из этих протоколов должен быть частью общих протоколов проверки подлинности параметров удаленных сетей VPN. В рекомендованных настройках удаленной сети эти параметры появляются как Общие протоколы проверки подлинности параметров сетей VPN.
  • Общие протоколы проверки подлинности параметров сетей VPN (входящие). Локальная сеть должна быть настроена на прием одного из методов исходящей проверки подлинности удаленной сети. В рекомендованных настройках удаленной сети эти параметры появляются как Протоколы проверки подлинности сети VPN.
  • Метод исходящей проверки подлинности (только L2TP/IPsec). Это может быть предварительный секрет или сертификат. Хотя бы один из этих методов должен быть методом входящей проверки подлинности в удаленной сети.
  • Метод входящей проверки подлинности (только L2TP/IPsec). Это может быть предварительный секрет, сертификат или оба. Один из этих методов должен использоваться удаленной сетью в качестве собственного метода исходящей проверки подлинности.
  • Локальный пользователь.Чтобы из удаленной сети можно было установить подключение к локальной сети, в последней должен присутствовать пользователь с настроенными свойствами подключения удаленного доступа. Имена учетной записи пользователя и сети типа "сеть-сеть" должны полностью совпадать. Сервер ISA Server указывает имя пользователя, которого необходимо создать в локальной сети, на основе имени подключения типа "сеть-сеть". При настройке параметров удаленной сети для подключения к локальной сети необходимо использовать то же самое имя пользователя . Это можно сделать под заголовком Обязательные параметры для другого конца этого туннеля в списке Пользователь удаленной сети.
  • Удаленный пользователь. Это имя пользователя, которое локальная сеть использует для проверки подлинности в удаленной сети в случае, когда локальной сети разрешается инициировать подключения к удаленной сети. Такое имя пользователя должно соответствовать имени удаленной сети. Имена учетной записи пользователя и удаленной сети должны полностью совпадать. Сервер ISA Server указывает имя пользователя, которого необходимо создать в удаленной сети, на основе имени, предоставленного для пользователя удаленной сети. При настройке параметров удаленной сети необходимо, чтобы существовали сеть и пользователь локальной сети с одинаковым именем. Это можно сделать под заголовком Обязательные параметры для другого конца этого туннеля в списке Локальный пользователь.
  • IP-адрес сети типа "сеть-сеть". В списке локальных настроек предоставляются адреса удаленной сети. В списке для другого конца туннеля сервер ISA Server указывает на необходимость предоставления сетевых адресов, с которыми удаленная сеть имеет сетевые отношения. Это может быть либо отношение маршрутизации, либо отношение преобразования адресов (NAT), когда удаленная сеть является источником, а локальная сеть — назначением. Сервер ISA Server перечисляет IP-адреса, удовлетворяющие этим требованиям, в списке Обязательные параметры подключений типа "сеть-сеть" для другого конца этого туннеля раздела Маршрутизируемые локальные IP-адреса.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Дополнительные параметры проверки подлинности веб-прослушивателя

В свойствах веб-прослушивателя можно настроить следующие дополнительные параметры проверки подлинности:

  • Требовать проверки подлинности всех пользователей. Данный параметр заставляет клиентов проверить подлинность при помощи одного из выбранных методов проверки подлинности.
  • Проверять учетные данные клиента один раз за TCP-сеанс. Данный параметр включает кэширование клиентских учетных данных.
  • Запретить кэширование защищенных страниц у клиента. При использовании проверки подлинности на основе форм веб-обозреватель не может определить, что трафик передается через прошедшее проверку подключение, и поэтому будет кэшировать трафик. Для предотвращения кэширования прошедшего проверку трафика при данном параметре значение заголовка управления кэшем устанавливается no-cache для каждого ответа, отправляемого клиенту. Поскольку данный заголовок предназначен для прокси и клиента, ISA Server учитывает значение заголовка, и ответ не кэшируется.
  • Установить тайм-аут SSL-сертификата клиента. Данный параметр применяется при требовании проверки подлинности сертификата клиента. Данная функция безопасности требует, чтобы сертификат повторно предоставлялся по истечении указанного тайм-аута. В случае когда пользователь предоставляет сертификат на смарт-карте, вынимает смарт-карту и потом забывает завершить сеанс, ISA Server будет запрашивать сертификат по истечении тайм-аута. Если сертификат не будет предоставлен, ISA Server завершит сеанс. Если сертификат установлен на клиентском компьютере, запрос сертификата по истечении тайм-аута не будет замечен пользователем.
  • Укажите домен для проверки подлинности, отличный от домена Windows по умолчанию. ISA Server присоединяет имя домена по умолчанию к имени пользователя клиента, если клиент не предоставил имя домена. Если нужно, чтобы ISA Server присоединял имя домена, отличного от заданного по умолчанию, введите имя домена в данное поле.
  • Настройка параметров RSA SecurID. Можно настроить блокирование имени, имя файла cookie SecurID и секрет домена.

Примечание

Домен для единого входа настраивается на вкладке Единый вход свойств веб-прослушивателя.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Безопасность подключения к серверу

При публикации веб-серверов или ферм серверов можно выбрать способ подключения сервера Microsoft ISA Server 2006 к веб-серверу или ферме серверов: по протоколу HTTP или HTTPS. При подключении по протоколу HTTP данные, отправляемые веб-серверу сервером ISA Server, включая учетные данные клиентов, необходимые для делегирования проверки подлинности, в зависимости от метода делегирования могут быть отправлены по протоколу HTTP открытым текстом. Отправленные таким образом данные могут быть перехвачены и прочитаны другим пользователем из той же сети, что и веб-сервер или ферма серверов. Если выбрать использование протокола SSL при подключении, то данные, передаваемые по каналу связи от сервера ISA Server к веб-серверу или ферме серверов, будут зашифрованы и отправлены по протоколу HTTPS.

Для использования протокола SSL на веб-сервере или ферме серверов требуется установить цифровой сертификат. Имя в сертификате должно совпадать с именем внутреннего веб-узла из правила веб-публикации. Дополнительные сведения о сертификатах см. в разделе о цифровых сертификатах для сервера ISA Server на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com/).

Рекомендуется выбрать параметр с протоколом SSL, так как это обеспечивает более безопасную конфигурацию, особенно при использовании делегирования проверки подлинности открытым текстом, например при обычном делегировании.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Балансировка нагрузки и определение соответствия для клиентов

Во многих случаях для эффективной балансировки нагрузки требуется определение соответствия между клиентом и веб-сервером, который получает запросы от клиента и отвечает на них. В противном случае на запросы клиента, отправленные на ферму серверов, могут отвечать разные веб-серверы, в результате чего теряется контекст. Например, веб-клиент Outlook — это приложение, которому необходимо определение соответствия клиентов, так как сервер веб-клиентов Outlook сохраняет контекст для подключившегося клиента.

Определение соответствия клиентов необходимо и в сценарии Интернет-покупок, в котором клиент создает корзину на веб-сервере. Если соответствие клиентов не поддерживается, в определенный момент запросы этого клиента могут попасть на другой веб-сервер, на котором нет никакой информации о наличии у этого клиента корзины.

Типы определения соответствия клиентов

В ISA Server предусмотрено два типа определения соответствия клиентов:
  • Соответствие на основе сеанса
  • Соответствие на основе IP-адреса

Соответствие на основе сеанса

При соответствии на основе сеанса для идентификации клиента и поддержания соответствия между ним и определенным веб-сервером применяется файл cookie. В таких условиях от веб-обозревателя требуется поддержка HTTP-файлов cookie. Файлы cookie поддерживаются всеми веб-обозревателями с поддержкой HTTP 1.1 и некоторыми веб-обозревателями на основе HTTP 1.0. Соответствие на основе сеанса поддерживается до момента закрытия веб-обозревателя на клиентском компьютере.

Если при использовании соответствия на основе сеанса веб-сервер (например веб-сервер 1) выходит из строя, ассоциированные с ним клиенты будут направлены сервером ISA Server на другой сервер (например веб-сервер 2). При этом контекст веб-сеанса теряется. Если доступность веб-сервера 1 восстанавливается, определение соответствия клиентов с веб-сервером 2 поддерживается до завершения сеанса. Сеанс завершается при закрытии клиентом веб-обозревателя. В случае соответствия на основе сеанса перезапуск сервера не приводит к повторной потере соответствия.

Рекомендуется по возможности использовать соответствие на основе сеанса, поскольку он обеспечивает более надежное определение соответствия клиентов при перезапуске веб-сервера. Иногда такую стабильную привязку называют удержанием клиента. Она также предпочтительна при постепенном завершении работы веб-сервера.

Рекомендуется использовать соответствие на основе сеанса для балансировки нагрузки при работе с веб-клиентом Outlook и при доступе к службам Windows SharePoint. В обоих случаях используется Internet Explorer, поддерживающий HTTP-файлы cookie.

Соответствие на основе IP-адреса

В случае соответствия на основе IP-адреса при получении запроса ISA Server на основании IP-адреса клиента определяет, какой веб-сервер фермы должен обработать этот запрос. Все запросы с данного IP-адреса будут пересылаться на один и тот же веб-сервер, что обеспечивает поддержание соответствия.

Если в случае использования соответствия на основе IP-адреса веб-сервер выходит из строя, то ассоциированные с ним клиенты будут направлены сервером ISA Server на другой сервер. Контекст веб-сеанса при этом будет утрачен. При перезапуске первого веб-сервера запросы этих клиентов будут перенаправлены на него, и контекст будет потерян повторно.

Преимущество соответствия на основе IP-адреса по сравнению с соответствием на основе сеанса заключается в том, что оно возможно и для клиентов с неполной поддержкой HTTP 1.1 (клиентов, не поддерживающих HTTP-файлы cookie), что встречается в некоторых мобильных устройствах.

Соответствие на основе IP-адреса должно также использоваться при балансировке нагрузки доступа клиентов Outlook с помощью RPC через HTTP. Outlook не работает с HTTP-файлами cookie и поэтому не может использовать соответствие на основе сеанса.

Примечания

  • Если клиентские компьютеры находятся после устройства преобразования сетевых адресов (NAT), соответствие на основе IP-адреса не работает. Это связано с тем, что устройство заменяет IP-адрес клиента другим IP-адресом, и только последний становится известным серверу ISA Server.
  • Если выполняется публикация фермы серверов с помощью сервера ISA Server 2006, находящегося после другого межсетевого экрана, следует использовать соответствие на основе сеанса или использовать соответствие на основе IP-адреса, но при этом убедиться, что внешний межсетевой экран настроен так, что он передаст на сервер ISA Server исходный IP-адрес клиента.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Публикация ферм серверов

Веб-приложения и веб-узлы нередко размещаются на веб-ферме, которая состоит из двух или более серверов. Поскольку при такой схеме запросы от внешних клиентов распределяются между несколькими веб-серверами, в результате повышаются показатели доступности и производительности.

Если веб-ферма находится под защитой Microsoft ISA Server 2006, можно задействовать функцию балансировки нагрузки при веб-публикациях ISA Server, которая распределяет запросы клиентов между веб-серверами, одновременно соблюдая привязку одних к другим.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Правила веб-цепочки

С помощью правил веб-цепочки можно выполнять условную маршрутизацию запросов в зависимости от пункта назначения. Например, в организации с главными офисами в США и филиалом в Великобритании можно установить компьютер Microsoft ISA Server 2006 в филиале. Сервер филиала можно подключить к поставщику услуг Интернета в Великобритании. С помощью правила веб-цепочки на компьютере ISA Server филиала запросы к интернет-узлам из Великобритании можно направлять к локальному поставщику услуг Интернета, а все остальные запросы — к компьютеру ISA Server главных офисов.

Нижестоящий компьютер ISA Server филиала из Великобритании пользуется преимуществами кэша сервера ISA Server главных офисов. Эти возможности расширяются за счет дополнительного кэширования локальных объектов, полученных от локального поставщика услуг Интернета, на компьютере ISA Server филиала.

На следующем рисунке показано, как запросы веб-прокси могут направляться к различным серверам в зависимости от запрашиваемого пункта назначения.

Маршрутизация

На данном рисунке компьютер ISA Server филиала направляет запросы клиентов для узлов из Великобритании к местному серверу ISA Server. Все остальные запросы с меткой "Запрос для международного веб-узла" направляются непосредственно в Интернет.

Инструкции см. в разделе Создание правила веб-цепочки.

Маршрутизация веб-запросов

В процессе конфигурирования правил веб-цепочки можно указать порядок маршрутизации запросов клиентов веб-прокси:

  • Получение объекта непосредственно из указанного пункта назначения.
  • Направление запроса на определенный вышестоящий компьютер ISA Server. В данном случае также можно указать резервный маршрут, используемый при недоступности основного маршрута.
  • Перенаправление запроса к размещенному веб-узлу. В этом случае запрос направляется к указанному веб-узлу.

Рекомендуется шифровать трафик к вышестоящему компьютеру ISA Server с помощью моста SSL.

Инструкции см. в разделе Настройка извлечения запросов в соответствии с правилами веб-цепочки.

При недоступности основного маршрута сервер ISA Server использует резервный маршрут. Компьютер ISA Server периодически опрашивает вышестоящий сервер, указанный в качестве основного маршрута, чтобы установить его доступность. Если основной маршрут доступен, то запросы отправляются к данному серверу, а не к серверу из резервного маршрута. Инструкции см. в разделах Настройка основного маршрута для веб-запросов и Настройка резервного маршрута для веб-запросов.

Проверка подлинности

В некоторых случаях вышестоящему серверу может потребоваться проверка подлинности нижестоящего прокси. В этих случаях должны передаваться учетные данные. Такие учетные данные используются вышестоящим сервером для проверки подлинности нижестоящего сервера.

Если проверка подлинности является обязательной, можно настроить возможность проверки подлинности клиента веб-сервером, к которому перенаправляется запрос. Инструкция см. в разделе Разрешение делегирования учетных данных.

Внимание!

  • При передаче учетных данных на вышестоящий сервер открытым текстом следует иметь в виду, что вышестоящий сервер и сеть могут получить доступ к таким учетным данным. По стандартным HTTP-соединениям вся информация передается открытым текстом.

В сценарии цепочки веб-прокси для имен и паролей пользователей используются только 7-разрядные символы. В противном случае на нижестоящем прокси-сервере невозможно выполнить встроенную проверку подлинности Windows.

Автоматический запрос параметра настройки на вышестоящем сервере

В случае цепочки вышестоящий массив (включающий в себя несколько членов массива) может потребовать дайджест-проверку подлинности. Если пакеты всегда пересылаются одному и тому же члену массива, трафик успешно проходит проверку подлинности.

Рассмотрим случай, когда в правиле веб-цепочки настроен автоматический запрос настройки на вышестоящем сервере, а вышестоящий сервер требует дайджест-проверку подлинности. Обычно когда запрос клиента по цепочке передается на вышестоящий массив, сервер ISA Server автоматически определяет, какой член массива должен обслужить данный запрос, и запрос всегда будет обрабатываться одним и тем же членом массива. Однако если клиент отправляет HTTPS-запрос, сервер ISA Server случайным образом определяет, какой член вышестоящего массива будет этот запрос обслуживать; в этом случае это может оказаться не тот же самый член массива. В этом случае дайджест-проверка подлинности может оказаться неудачной, если запрос туннелируется с помощью SSL через другой член вышестоящего массива.

Использование моста

Для исходящих веб-запросов сервер ISA Server расширяет стандартную функцию маршрутизации с помощью моста SSL, который можно использовать для настройки маршрутизации трафика на вышестоящий сервер.

При создании правила веб-цепочки можно настроить характер перенаправления запросов HTTP и SSL: как HTTP-запросы или как SSL-запросы. Если запросы перенаправляются как SSL-запросы, то компьютер ISA Server повторно шифрует пакеты перед их дальнейшей пересылкой. При этом для взаимодействия с вышестоящим сервером устанавливается новый защищенный канал.

Вышестоящий веб-сервер может потребовать сертификат клиента. В этом случае сервер ISA Server необходимо настроить на выполнение проверки подлинности с конкретным сертификатом клиента.

Инструкция см. в разделах Настройка перенаправления HTTP-запросов и Настройка перенаправления SSL-запросов.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Лучшие решения по обеспечению безопасности

Так как компьютер, на котором запущен сервер Microsoft ISA Server 2006, нередко является основным интерфейсом с внешней сетью, рекомендуется обеспечить его безопасность. В дополнение к информации данного файла справки рекомендуется периодически просматривать руководство по усилению безопасности ISA Server на веб-узле Microsoft TechNet (http://www.microsoft.com/), так как оно регулярно дополняется.

Обеспечение безопасности компьютера

Чтобы защитить компьютер ISA Server, выполните следующие действия.

  • Установите критические обновления для следующих компонентов:
    • операционная система,
    • сервер ISA Server (последние обновления доступны на веб-узле ISA Server (http://www.microsoft.com/)),
    • дополнительные компоненты, установленные сервером ISA Server, включая Microsoft SQL Server™ 2000 Desktop Engine (MSDE 2000) и OWC.
  • Настоятельно рекомендуется на компьютерах с действующим сервером ISA Server запустить анализатор безопасности MBSA. При запуске анализатора безопасности MBSA он предупреждает об том, что MSDE 2000 (дополнительный компонент, устанавливаемый сервером ISA Server) использует учетную запись локальной службы. Это сообщение можно спокойно проигнорировать, так как сервер ISA Server разрешает локальный доступ только MSDE 2000. Никаким другим сетевым службам доступ не разрешается.
  • Убедитесь в том, что компьютер ISA Server расположен в физически защищенном помещении. Физический доступ к серверу представляет высокий риск для безопасности. Если злоумышленник получит физический доступ к серверу, то это может привести к несанкционированному доступу, модификации оборудования или установке аппаратного или программного обеспечения с целью обхода защиты. Для поддержки защищенного окружения необходимо ограничить физический доступ к компьютеру ISA Server.
  • При появлении подозрений в отношении компрометации компьютера ISA Server переустановите сервер ISA Server.
  • Если пользователь неумышленно выполняет злонамеренный код, который упакован с дополнительными файлами, включающими измененные версии системных DLL-файлов, то такой код может загрузить собственные версии данных DLL-файлов. Это увеличивает потенциальный уровень повреждений, которые могут быть нанесены таким кодом. Настройте раздел реестра "MSS: Включить режим безопасного поиска DLL-файлов (рекомендовано)", установив значение "Включен". Дополнительные сведения о данном разделе реестра, см. в разделе Дополнительные параметры реестра на веб-узле Microsoft TechNet (http://www.microsoft.com/).
  • При отзыве разрешений администратора ISA Server также проверьте выполнение следующих действий.
    1. На компьютере ISA Server ISA Server удалить учетную запись соответствующего пользователя.
    2. На сервере хранилища настроек (для выпуска ISA Server Enterprise Edition) проанализируйте объекты ADAM.
    3. Измените права владения объектами, которые принадлежат отозванной учетной записи.
  • Не запускайте на компьютере ISA Server ненужные приложения и службы.

Обеспечение безопасности сетевого окружения

Чтобы обеспечить безопасность сетевого окружения, выполните следующие действия:

  • Установите защиту от атак второго уровня (Layer 2) путем развертывания решений по обеспечению безопасности, таких как Layer 2 IDS и статический MAC-адрес или связи портов на коммутаторах.
  • По возможности настройке использование в сети протокола IPsec.
  • Для защиты от атак "злоумышленник в середине" на кэш ARP рекомендуется перед компьютером ISA Server разместить маршрутизатор. В этом случае ARP-пакеты не смогут проходить через маршрутизатор. Если сервер ISA Server использует физическую сеть вместе с сетью без отношений доверия, то рекомендуется настроить сервер ISA Server на использование статического протокола ARP. Для оптимальной безопасности рекомендуется добавить статическую ARP-запись для шлюза по умолчанию и на других узлах в той же физической сети.

Обеспечение безопасности конфигурации

Чтобы обеспечить безопасность конфигурации, выполните следующие действия.

  • Придерживайтесь принципа минимальных прав, согласно которому пользователь имеет минимальные права, необходимые для выполнения конкретной задачи. Это гарантирует, что в случае компрометации учетной записи пользователя последствия будут минимизированы вследствие ограниченных привилегий пользователя. При выполнении повседневных неадминистративных задач администраторы должны использовать учетную запись с ограниченными разрешениями. Учетную запись с более широкими разрешениями следует использовать только при выполнении конкретных административных задач. Учитывайте данные рекомендации при назначении административных ролей на сервере ISA Server . Дополнительные сведения о ролевом администрирование см. в документе Принципы ролевого администрирования в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).
  • Тщательно определите тех, кто должен иметь разрешения на вход на компьютер ISA Server. Затем соответствующим образом настройте права входа. Дополнительные сведения см. в справке Windows.
  • Придерживайтесь принципа сокращения направлений атак, отключая службы и функции, которые не являются критическими для текущей задачи. Отключите неиспользуемые функции сервера ISA Server. Настройте системную политику, ориентируясь на сетевые потребности и отключая ненужные функции. Дополнительные сведения о системной политике см. в разделе Обзор системной политики.
  • При предоставлении учетных данных используйте надежные пароли. Пароль считается надежным, если он обеспечивает эффективную защиту от несанкционированного доступа. Надежный пароль не включает в себя частично или целиком имя учетной записи пользователя и содержит не менее трех из следующих четырех категорий символов: прописные буквы, строчные буквы, основные 10 цифр и имеющиеся на клавиатуре специальные символы (например !, @ или #).
  • При настройке последовательного соединения межсетевых экранов рекомендуется использовать протокол IPsec для защиты каналов связи между компьютером ISA Server и вышестоящим сервером.
  • После применения изменений конфигурации протестируйте их. Например, с помощью сканирования портов убедитесь в том, что реально отрыты только необходимые порты.
  • Ограничьте членство в наборе компьютеров удаленного управления только компьютерами, которым требуется доступ к удаленному администрированию. Например, не добавляйте к данному набору компьютеров целые сети, такие как внутренняя сеть. Это способствует защите межсетевого экрана от вирусов-червей, заразивших такие сети.
  • Создайте сеть, в которую будут включены зараженные компьютеры. Не создавайте для такой сети никаких сетевых правил, чтобы запретить доступ из нее. После заражения компьютера переместите его в данную сеть. Для выпуска ISA Server Enterprise Edition это необходимо сделать на уровне массива. Обратите внимание, что перемещение любого компьютера в данную сеть приводит к образованию пропуска в диапазоне адресов внутренней сети, тем самым вызывая ее фрагментацию. Фрагментированные сети оказывают отрицательное влияние на производительность балансировки сетевой нагрузки ISA Server. Поэтому данный метод следует использовать с осторожностью и как можно быстрее возвращать компьютеры в исходные сети.

Рекомендации по настройке RADIUS-сервера

RADIUS-сервер рекомендуется настроить следующим образом.

  • Если RADIUS-сервер используется для проверки подлинности, создайте средство проверки подключения, которое будет наблюдать за состоянием сервера. Настройте оповещение, чтобы в случае неисправности RADIUS-сервера предпринималось соответствующее действие.
  • Ненадежные пользователи не должны иметь доступ к сети, расположенной между RADIUS-сервером и ISA Server. Если ненадежные пользователи должны иметь доступ, используйте в такой сети протокол IPsec.

Рекомендации по ведению журналов и оповещению

При настройке ведения журналов и оповещения следуйте инструкциям данного раздела. Ведение журналов и оповещение рекомендуется настроить следующим образом.

  • Регулярно внимательно просматривайте журналы в поисках подозрительного доступа к сетевым ресурсам и их использования.
  • Настройте оповещения так, чтобы администраторам посылались уведомления. Реализуйте процедуру быстрого ответа.
  • Используйте функцию обслуживания журналов, чтобы избежать заполнения диска, на котором сохраняются данные журналов. .
  • Настройте определение оповещения Ограничение размера журнала на остановку служб ISA Server. В этом случае разрешается только доступ с надлежащим уровнем контроля.
  • Если по какой-либо причине не удается сохранить данные журналов, заблокируйте компьютер ISA Server. Для этого настройте определение оповещения для события регистрации сбоя в журнале, вызывающее остановку службы межсетевого экрана Microsoft. Инструкции см. в разделе Добавить определение оповещения.
  • При настройке оповещения на запуск EXE-файла или сценария убедитесь в доверенности такого файла или сценария и в наличии соответствующих разрешений. Кроме этого, рекомендуется настроить однократное срабатывание для оповещений, инициированных состоянием сети (например для оповещений, инициированных отправкой пакета по сети). В противном случае злоумышленник может вызывать отказ в обслуживании в результате многократного срабатывания оповещения. Инструкции по настройке частоты срабатывания оповещения см. в разделе Изменение порога оповещения.
  • В целях максимальной безопасности храните журналы на отдельном разделе диска с файловой системой NTFS. К журналам должны иметь доступ только администраторы компьютера ISA Server.

    • Дополнительные сведения о наблюдении, ведении журналов и создании отчетов см. в разделе Принципы наблюдения, ведения журналов и создания отчетов в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

Дополнительные рекомендации

Выполняйте рекомендации по обеспечению безопасности в операционной системе, действующей на компьютере ISA Server. Изучайте и применяйте практические рекомендации по обеспечению безопасности, описанные в перечисленной ниже документации.

  • Для ОС Microsoft Windows Server™ 2003 см. Руководство по обеспечению безопасности Windows Server 2003 в центре загрузок Microsoft (http://www.microsoft.com/).
  • Дополнительные сведения об обеспечении безопасности в ISA Server см. в документах, доступных на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).

Примечание

  • Если ведение журналов MSDE 2000 не требуется, удалите компонент "Подробный журнал".


Пересылка учетных данных на опубликованный сервер

  1. В дереве консоли диспетчера ISA Server выберите Политика межсетевого экрана.
  2. В области сведений щелкните соответствующее правило веб-публикации.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Делегирование проверки подлинности выберите подходящий метод делегирования.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива и щелкните Политика межсетевого экрана.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера и щелкните Политика межсетевого экрана.

Внимание!

  • Если не ограничивать доступ только пользователями, прошедшими проверку подлинности (например в случае применения разрешающего правила к группе Все пользователи), а опубликованный сервер не требует проверки подлинности, то не прошедшие проверку запросы будут пересылаться на опубликованный сервер, даже если выбран метод делегирования.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Адрес внутри массива

Один или несколько компьютеров Microsoft ISA Server 2006 можно сгруппировать в массив серверов. Если массив включает в себя несколько серверов, то такие члены массива для взаимодействия друг с другом используют одну или несколько из описанных ниже функций.

  • Протокол CARP. Протокол CARP эффективно объединяет диски кэша всех серверов-членов в один логический кэш. Для достижения этого серверы-члены пересылают запросы друг другу.
  • Виртуальная частная сеть. Рядовые серверы информируют другие серверы о существовании VPN-туннеля, так что массив может маршрутизировать соответствующий трафик в соответствующий туннель, т. е. на сервер, который "владеет" туннелем.
  • Сервер хранилища настроек. Если сервер хранилища настроек установлен на одном из рядовых серверов, то к нему получат доступ остальные рядовые серверы.

Адрес внутри массива — это адрес, используемый при взаимодействии рядовых серверов между собой.

Адрес внутри массива автоматически настраивается во время установки. Впоследствии адрес внутри массива можно изменить для каждого рядового сервера. Инструкции см. в разделе Настройка адреса внутри массива.

Системная политика по умолчанию с именем Разрешить взаимодействие внутри массива разрешает взаимодействие внутри массива. Она разрешает взаимодействие с помощью протоколов MS Firewall Control и RPC (все интерфейсы) при двустороннем обмене между всеми членами набора компьютеров "Серверы массива". По умолчанию набор компьютеров "Серверы массива" включает в себя настроенный при установке адрес внутри массива для каждого рядового сервера.

Адрес внутри массива / полное доменное имя

Хотя каждый рядовой сервер можно однозначно идентифицировать по его полному доменному имени, адрес внутри массива крайне важен для взаимодействия внутри массива по указанным ниже причинам.

  • Каждый рядовой сервер может иметь несколько сетевых плат. При этом конфиденциальный трафик внутри массива должен направляться только на определенные доверенные сетевые платы. Задавая адрес внутри массива, определенная сетевая плата настраивается для обеспечения взаимодействия внутри массива.
  • Если массив настроен на использование балансировки сетевой нагрузки, то плата, участвующая в балансировке, не должна использоваться для передачи трафика внутри массива. Специальное ограничение адреса внутри массива позволяет избежать конфликта между адресом, задействованным в балансировке сетевой нагрузки, и адресом внутри массива.
  • Трафик внутри массива не должен подчиняться ограничениям квот. Указывая адрес внутри массива, можно идентифицировать трафик внутри массива, не подвергая его данным ограничениям.

Подсказки и советы

Следуйте приведенным ниже рекомендациям при настройке адреса внутри массива для сервера.

  • Если в массиве балансировка сетевой нагрузки не настроена, укажите в качестве адреса внутри массива основной IP-адрес первой сетевой платы во внутренней сети.
  • Если в массиве настроена балансировка сетевой нагрузки, используйте для трафика внутри массива отдельную сетевую плату, подключенную к внутренней сети. Для балансировки сетевой нагрузки следует использовать другую сетевую плату, также подключенную к внутренней сети.
  • Для обеспечения максимальной безопасности используйте отдельную сетевую плату в сети, используемую только для взаимодействия внутри массива (включающую в себя только IP-адреса внутри массива, используемые другими рядовыми серверами).


Режимы интеграции балансировки сетевой нагрузки (Enterprise Edition)

Только для выпуска ISA Server 2006 Enterprise Edition

Конфигурация балансировки сетевой нагрузки включается для каждого массива по отдельности. Каждый массив можно настроить в одном из перечисленных ниже режимов:

  • Интегрированная балансировка сетевой нагрузки. В этом режиме для настройки балансировки сетевой нагрузки используется диспетчер ISA Server. Можно настроить балансировку нагрузки конкретной сети. В этом режиме доступны интегрированная простая в управлении конфигурация, поддержка целостности массива, поддержка нескольких сетей, поддержка VPN и информация об устранении неполадок. Поддерживаются параметры балансировки сетевой нагрузки для одноадресного режима и нераспределенного обслуживания.
  • Неинтегрированная балансировка сетевой нагрузки.В этом режиме для настройки балансировки сетевой нагрузки можно использовать специальные средства Windows.

По умолчанию после установки Microsoft ISA Server 2006 интеграция балансировки сетевой нагрузки не включена. Инструкции по включению интеграции балансировки сетевой нагрузки см. в разделе Включение интеграции балансировки сетевой нагрузки.

После включения балансировки сетевой нагрузки для массива балансировку сетевой нагрузки можно настроить для сетей уровня массива. Можно включить балансировку нагрузки любой физической сети Ethernet. Не следует включать балансировку нагрузки сетей, физически не связанных с данным массивом. Особенно рекомендуется включить балансировку сетевой нагрузки во всех сетях, физически подключенных к данному массиву (за исключением сети внутри массива). Инструкции см. в разделе Включение балансировки сетевой нагрузки.

При включении балансировки сетевой нагрузки указывается виртуальный IP-адрес сети. Инструкции см. в разделе Конфигурирование виртуального IP-адреса сети.

Сервер ISA Server выполняет проверку всего трафика с отслеживанием состояния соединений. По этой причине сервер ISA Server работает с балансировкой сетевой нагрузки Windows, чтобы обеспечить обработку входящего и исходящего трафика каждого сеанса одним и тем же членом массива. Это важно, так как позволяет серверу ISA Server выполнять проверку трафика с отслеживанием состояния соединений.

Отключение интеграции балансировки сетевой нагрузки

После отключения режима интегрированной балансировки сетевой нагрузки существующие настройки балансировки сетевой нагрузки Windows сохраняются для каждого члена массива. Для дальнейшего изменения этих параметров балансировки сетевой нагрузки можно воспользоваться специализированными средствами Windows на каждом компьютере члена массива.

Чтобы полностью отключить балансировку сетевой нагрузки:

  1. отключите балансировку нагрузки для каждой сети. Инструкции см. в разделе Включение балансировки сетевой нагрузки.
  2. Примените изменения. Проверьте вкладку Службы и убедитесь, что для каждого сервера указано состояние балансировки сетевой нагрузки Не задано. Также убедитесь в активности всех членов массива.
  3. Отключите интеграцию балансировки сетевой нагрузки. Инструкции см. в разделе Отключение интеграции балансировки сетевой нагрузки.

Добавление виртуальных IP-адресов на сетевые платы

После включения интеграции балансировки сетевой нагрузки сервер ISA Server позволяет добавлять дополнительные виртуальные IP-адреса на сетевые платы в рамках массива. Такие дополнительные IP-адреса можно использовать в случае публикации балансировки сетевой нагрузки.

Например, необходимость в использовании нескольких виртуальных IP-адресов возникает при публикации в Интернете двух веб-серверов с двумя различными внешними именами, например https://www.contoso.com и https://www.fabrikam.com. В данном случае требуется два веб-прослушивателя, каждый с собственным цифровым сертификатом, соответствующим внешнему имени узла. Так как оба прослушивателя будут прослушивать порт 443, они должны прослушивать разные виртуальные IP-адреса. Это возможно осуществить благодаря добавлению виртуальных IP-адресов.

При добавлении IP-адресов на сетевые платы через свойства балансировки сетевой нагрузки ISA Server каждой плате массива ISA Server назначается идентичный IP-адрес в дополнение к выделенному IP-адресу платы сервера. Например, при добавлении IP-адреса 206.73.118.1 к внешней сети, этот адрес будет добавлен на каждую плату внешней сети членов массива. Это устраняет риск несоответствия IP-адресов, которое может возникнуть при ручном назначении адресов плате каждого члена массива.

Примечания

  • При включении интегрированной балансировки сетевой нагрузки адреса, указанные в ISA Server, замещают адреса, которые могли быть добавлены с помощью интерфейса Windows.
  • Чтобы добавить виртуальные IP-адреса, на вкладке "Балансировка сетевой нагрузки" окна свойств сети щелкните Добавить виртуальный IP-адрес. Каждый из адресов будет добавлен для сетевой платы соответствующей сети с той же маской подсети, что и основной виртуальный IP-адрес.
  • Дополнительные сведения о балансировке сетевой нагрузки в ISA Server см. в разделе Принципы балансировки сетевой нагрузки в ISA Server 2006 на веб-узле технического центра Microsoft ISA Server (http://www.microsoft.com).

Внимание!

Нельзя изменять основной виртуальный IP-адрес, если существуют дополнительные виртуальные IP-адреса. Изменение должно производиться следующим образом:

  1. Измените основной виртуальный IP-адрес.
  2. Отключите балансировку нагрузки в сети.
  3. Примените изменения.
  4. Подождите, пока все члены массива применят изменения.
  5. Включите балансировку нагрузки в сети.
  6. Примените изменения.

Либо можно воспользоваться следующей процедурой:

  1. Удалите дополнительные виртуальные IP-адреса.
  2. Измените основной виртуальный IP-адрес.
  3. Примените изменения.
  4. Подождите, пока все члены массива применят изменения.
  5. Перенастройте дополнительные виртуальные IP-адреса.
  6. Примените изменения.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Практические рекомендации по обеспечению безопасности: ведение журнала и оповещение

Следуйте приведенным ниже рекомендациям по ведению журналов и оповещению в Microsoft ISA Server 2006.

  • Регулярно внимательно просматривайте журналы в поисках подозрительного доступа к сетевым ресурсам и их использования.
  • Настройте оповещения так, чтобы администраторам посылались уведомления. Реализуйте процедуру быстрого ответа.
  • Разумно используйте функцию обслуживания журналов, чтобы избежать заполнения диска, на котором сохраняются данные журналов.
  • Настройте определение оповещения Ограничение размера журнала на остановку служб ISA Server 2006. В этом случае разрешается только доступ с надлежащим уровнем контроля.
  • При настройке оповещения на запуск EXE-файла или сценария убедитесь в доверенности такого файла или сценария и в наличии соответствующих разрешений. Кроме этого, рекомендуется настроить однократное срабатывание для оповещений, инициированных состоянием сети (например для оповещений, инициированных отправкой пакета по сети). В противном случае злоумышленник может вызывать отказ в обслуживании в результате многократного срабатывания оповещения. Инструкции по настройке частоты срабатывания оповещения см. в разделе Изменение порога оповещения.
  • В целях максимальной безопасности храните журналы на отдельном разделе диска с NTFS. К журналам должны иметь доступ только администраторы компьютера ISA Server.
  • При сохранении журнальных данных в базе данных SQL используйте проверку подлинности Windows (а не проверку подлинности SQL).
  • Если данные журналов регистрируются в удаленной базе данных, настройте шифрование и подпись данных журналов, копируемых в удаленную базу данных.
  • В целях максимальной безопасности настройте взаимодействие между данным компьютером ISA Server и SQL Server по протоколу IPsec.
  • Если по какой-либо причине не удается сохранить данные журналов, заблокируйте компьютер ISA Server. Для этого настройте определение оповещения для события сбоя журналов, вызывающее остановку службы межсетевого экрана Microsoft. Инструкции см. в разделе Добавить определение оповещения.
  • Сетевые проблемы (такие как Flood-атаки или перегрузка) могут вызвать сбой подключения между компьютером ISA Server и сервером журналов. Подобные проблемы подключения вызывают переключение сервера ISA Server в заблокированный режим. Чтобы избежать возникновения таких проблем, выполните следующие действия:
    • Между компьютером ISA Server и сервером журналов используйте частную сеть.
    • Защитите серверы журналов от трафика из ненадежных источников.
    • Настройте взаимодействие между компьютером ISA Server и сервером журналов по протоколу IPsec.
  • Включите аудит Windows. Это позволяет отслеживать тех, кто входит в систему на компьютере ISA Server.

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server.


Включение BITS-кэширования для правила кэширования

  1. В дереве консоли диспетчера ISA Server щелкните Кэширование.
  2. В области сведений щелкните вкладку Правила кэширования, а затем выберите подходящее правило кэширования.
  3. На вкладке Задачи щелкните Изменить выбранное правило.
  4. На вкладке Дополнительно установите флажок Включить кэширование содержимого, получаемого через фоновую интеллектуальную службу передачи (BITS).

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Кэширование.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Кэширование.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).


Включение проверки содержимого для сжатого содержимого

  1. В дереве консоли диспетчера ISA Server щелкните Общие.
  2. В области сведений щелкните Определение параметров сжатия HTTP.
  3. На вкладке Проверка содержимого установите флажок Распаковывать входящие пакеты, чтобы позволить веб-фильтрам сервера ISA Server изучать их содержимое.

Примечания

  • Чтобы открыть диспетчер ISA Server, щелкните Пуск, выберите Все программы, выберите Microsoft ISA Server и щелкните Диспетчер ISA Server.
  • Для выпуска ISA Server 2006 Enterprise Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Массивы, раскройте Имя_массива, раскройте Конфигурация и щелкните Общие.
  • Для выпуска ISA Server 2006 Standard Edition. Раскройте Microsoft Internet Security and Acceleration Server 2006, раскройте Имя_сервера, раскройте Конфигурация и щелкните Общие.

Внимание!

  • Входящие сжатые пакеты распаковываются во время проверки их содержимого веб-фильтрами сервера ISA Server. После распаковки содержимое сохраняется в кэше как простой текст. При получении запроса на кэшированное содержимое сервер ISA Server разжимает его перед отправкой, что снижает время ответа.

См. также

веб-ссылка Получить последнее содержимое ISA Server на веб-узле с рекомендациями для ISA Server (http://www.microsoft.com/).