ISA Server实验环境搭建与企业VPN配置

ISASerｖer是微软在企业网络边界防护上的代表产品。从IＳAＳerveｒ2０0０到现在被广泛应用的ISAＳeｒvｅｒ2０04和ISAServｅr2００6以及即将推出的ISAＳerveｒ20０8,都标志着ISAＳerver在企业边界安全防护上的技术积累和不断成熟。本文将通过详细介绍如何部署一个企业级的基于微软发布的IＳAＳeｒvｅr20０6Hands-OnLaｂｓ的多虚拟机实验环境，并通过该实验环境详细描述企业VPN的配置过程,希望能够给想要应用微软ＩＳAServeｒ的安全架构师和安全实施人员在产品选择、实验环境搭建以及实际应用上以详细的指导。

一、ISASｅrvｅr产品概述

微软已形成了较为完善的ＩSASｅｒver产品家族以及相应的技术支持，而且以非常开放的姿态提供了ISASｅｒｖer2004和ISAＳeｒveｒ20０6的评估版本软件的下载，并在微软官方技术支持网站TeｃhNet上提供了从ISAServer起步、计划和架构、开发、部署、运营、安全和防护以及技术参考七大方面的技术支持。通过详尽的技术文档和与评估版产品配套的操作手册,给希望了解和应用ＩSASｅrver以进行企业网络边界安全防护的技术人员以可操作的指导。

本文将简单介绍IＳAＳeｒver产品家族中的ISASｅrver20０4和ISＡSｅrver2006在企业网络边界防护上的主要功能,企业安全架构师和安全实施人员可以根据企业在网络边界防护上的具体需求和产品的功能进行有针对性的选择:

1、ISAServer2004

IＳＡServer２0０４是一款集高级应用层防火墙、虚拟专用网络(ＶPN）和网络缓存于一体的解决方案，它能够通过提高网络安全和性能来最大化IT投资收益,ISＡSeｒveｒ２004具有以下功能或改进:

1)、高级防护

ａ、应用层过滤ﻫ增强的对HTTP协议和FＴP协议以及FPＣ(ReｍotePrｏcesｓCaｌl)连接的过滤与控制；

b、安全性和防火墙

在此功能上ISAServer２０04提供了扩展的协议支持、增强的用户认证、增强的对用户和用户组的支持、增强的FＴP支持、增强的网络发布等功能。

２）、简单使用

a、多网络环境

提供了多网络环境配置、制定网络策略、路由和ＮAＴ网络关系以及网络模板、网络负载平衡（仅针对企业版)等新功能；

ｂ、监控和报告

提供了实时日志监控、构建的日志查询、实时监控和防火墙会话过滤、连接重定向、报告发布、邮件提醒、定制日志时间以及写入日志到ＭSＤE数据库等新功能，增强了定制报告和SＱLＳerｖer日志功能;

ｃ、安全管理

提供了导入导出、定制授权向导、集中存储防火墙策略（只针对企业版)、自动化阵列配置(只针对企业版)等新功能,以及增强的管理、集中式日志、针对ＭicｒｏsｏftOperａtionｓMａnager的管理包。

３）、快速安全连接

a、对基于微软服务器的快速安全的远程访问ﻫ提供了基于表单授权的防火墙表单生成、使用ＳSL到终端服务的远程连接两大新功能;

ｂ、虚拟专用网络(ＶPＮ）

提供了全状态的VPＮ过滤和视察、安全的NAT到ISAServer200４VPN连接支持、全状态的基于站到站VＰＮ通道交流过滤和监控、ＶＰN治理、VPN服务器发布、ＩＰSｅc模式下的站到站ＶPN链接支持等新功能,以及增强的ＶPN管理。

c、Web缓存和Ｗeb代理

提供了对网络代理客户端授权的RAＤIUＳ支持、基本授权策略、Wｅb发布规则中的源I Ｐ保存、实现CARP的Ｗｅb缓存阵列（只针对企业版）等新功能，以及增强的缓存规则、Ｗeb发布规则路径匹配功能。

2、ISAServer２0０6

与IＳＡＳerｖer2004类似，ＩSAＳｅrｖeｒ200６也提供了企业版和标准版两个版本，在ＩSＡＳｅrvｅr2０0４提供的功能的基础上,ISＡServer2０06提供了以下新增或增强的功能：

1）、对内部基于微软服务器的安全远程访问

提供了ShareＰｏｉnt服务器发布向导和对Exchanｇｅ２007集成的支持两大新功能，以及增强的OutｌｏｏkWeb访问发布向导；

2）、虚拟专用网络(VPN)ﻫ提供了分支办公室VＰN连接向导新功能；

3）、安全管理

增强的简单使用向导、认证管理、基于硬件的IＳAＳervｅr连接、企业范围内的策略拷贝等功能；

４）、高级防火墙防护

提供了峰值弹性、攻击救助等新功能，以及增强的防火墙规则向导;

5)、授权认证ﻫ提供了单点登录功能(SＳO）、LDAP授权支持等新功能，以及增强的授权认证、基于表单的授权认证、会话管理等功能;

6）、服务器发布ﻫ提供了跨阵列链接传输新功能和增强的链接传输功能；

７)、性能ﻫ提供了BITＳ缓存、Web发布负载平衡、HTＴP压缩、Diffserv(QoS)等新功能。

二、ＩSAServｅr２00６Hanｄs-OnＬabs部署

在一个应用软件（尤其是安全相关应用软件）引入到企业整体IT架构之前，安全架构师和安全实施人员必须要充分考虑所有可能潜在的风险以及应对方案,并在实际部署之前进行严格的测试和实验,并对相关的操作人员进行全面的技术培训,以期把潜在的威胁和风险降到最低。

直接把软件部署到生产环境无疑要面对很大的风险,而且本文读者的操作系统环境可能存在着较大的差异，而ＩSASeｒver与其对应的组件只能安装在Seｒｖｅr版的操作系统上,因此本文采用虚拟机作为实验环境的搭建方式。

１、ISASｅrver２006Hａnds-OnＬabｓ简介

微软提供了一整套的包括ISAServer２006企业版和标准版以及Excｈａnge、SharePo ｉnt的虚拟机在内的虚拟机套件，用以简单搭建企业级的ISAＳerver实验环境。

1）、包含软件具体版本ﻫ在ISＡSｅrvｅr20０6Ｈands－On实验环境中,包含以下具体版本的软件：

ａ、IＳASeｒvｅr2006StandaｒdＥditｉon(RTＭ)ﻫb、IＳAＳeｒver２006EｎterpｒisｅEｄition(ＲTM）

c、SｈａｒeＰｏiｎtＳeｒvicｅs２.0

d、EｘcｈaｎｇeSｅrver2003SＰ2

e、Outlｏok2003

２)、提供的实验环境ﻫ按照测试环境进行划分,该套件包括以下三个测试环境:ﻫa、出界访问和分支办公室测试环境(OutbｏundＡccessａｎdBranｃhOffｉcｅ)；ﻫb、发布和VPＮ连接测试环境(PublｉｓhiｎgandＶＰＮconnｅｃtions);

c、企业版测试环境三个实验环境(ＥnterprisｅＥditｉｏnFｅａtｕｒｅs）。

3）、包含的具体模块

按照模块进行划分，该实验环境包括以下九个模块：ﻫ模块A:IＳAServer简介；ﻫ模块B：配