寬帶上網(wǎng)的發(fā)展只能用兩個字“驚人”來形容，人們能夠以各種方式選擇高速的上網(wǎng)方式。但總體上講，由于IPV4本身的地址數(shù)量有限，難以滿足所有網(wǎng)絡(luò)用戶的需要，所以對于很多寬帶上網(wǎng)的企業(yè)用戶來說，要通過一條寬帶線路為內(nèi)部眾多用戶提供上網(wǎng)解決方案，共享上網(wǎng)是一個必然要采用的方式。
我們可以通過多種方式實現(xiàn)共享上網(wǎng)，比如利用操作系統(tǒng)本身提供的網(wǎng)關(guān)或路由功能，使用電信部門提供的寬帶路由器，使用專業(yè)廠商生產(chǎn)的昂貴的網(wǎng)關(guān)產(chǎn)品等，但是究竟哪種方式更好呢?實際上，上述幾種方式都有其不足之處，利用操作系統(tǒng)本身的路由功能雖然可以實現(xiàn)共享上網(wǎng)，但是安全性較差，也不容易實現(xiàn)訪問控制;使用寬帶路由器，操作簡單，但是性能不好，上網(wǎng)人數(shù)略微增加一些，訪問速度就會明顯減慢;使用昂貴的硬件設(shè)備倒是不存在性能上的問題，但是依然存在無法實現(xiàn)精細(xì)的控制和管理的缺陷。
ISA Server 2006(Internet Security and Acceleration)是微軟公司推出的一款重量級的網(wǎng)絡(luò)安全產(chǎn)品，被公認(rèn)為X86架構(gòu)下最優(yōu)秀的企業(yè)級路由軟件防火墻。ISA憑借其靈活的多網(wǎng)絡(luò)支持、易于使用且高度集成的VPN配置、可擴(kuò)展的用戶身份驗證模型、深層次的HTTP過濾功能、經(jīng)過改善的管理功能，在企業(yè)中有著廣泛的應(yīng)用。 ISA2006分為標(biāo)準(zhǔn)版和企業(yè)版，兩種版本的結(jié)構(gòu)和功能都存在一定差異。標(biāo)準(zhǔn)版部署起來相對容易，推薦在中小企業(yè)網(wǎng)絡(luò)構(gòu)建時使用，企業(yè)版由于引入了配置存儲服務(wù)器，適合大中型企業(yè)應(yīng)用。
一、ISA Server 2006的安裝：
ISA2006標(biāo)準(zhǔn)版的安裝分為常規(guī)安裝和無人值守安裝。在此我們主要介紹常規(guī)安裝，整個安裝過程非常簡單，下面咱們就開始安裝之旅：
拓?fù)鋱D如下所示：
安裝要求：
注意：安裝ISA2006的服務(wù)器上不能有進(jìn)程占用80和8080端口。80口在發(fā)布WEB服務(wù)器時會用到，8080端口WEB代理會用到。
步驟1：配置IP地址
為ISA Server上的每個網(wǎng)卡配置好IP地址、子網(wǎng)掩碼等參數(shù)，如果服務(wù)器上有多個網(wǎng)卡，通常僅輸入一個默認(rèn)網(wǎng)關(guān)，僅在外部網(wǎng)卡上配置默認(rèn)網(wǎng)關(guān)即可。如圖所示：
步驟2：ISA 2006的安裝
將ISA 2006的安裝光盤放入光驅(qū)，會自動彈出安裝程序，如下所示：
點(diǎn)擊“安裝ISA Server 2006”。出現(xiàn)ISA2006的安裝向?qū)?，選擇“下一步”。同意軟件許可協(xié)議，選擇下一步。 輸入用戶名，單位及序列號等參數(shù)后，來到安裝類型界面，如下圖所示，選擇自定義安裝。
選擇ISA2006的安裝組件，從下圖可知，只有ISA服務(wù)器和ISA服務(wù)器管理兩個組件。早期ISA2004中的ISA客戶端共享和消息篩選兩個組件已經(jīng)不再被支持，消息篩選被Forenfront取代，ISA客戶端共享需要用手工共享的方法實現(xiàn)。
接下來設(shè)置內(nèi)網(wǎng)的地址范圍，點(diǎn)擊“添加”按鈕。設(shè)置內(nèi)網(wǎng)范圍時，點(diǎn)擊“添加適配器”，如下圖所示，選擇與內(nèi)網(wǎng)相連的網(wǎng)卡，點(diǎn)擊確定。這里建議大家最好把ISA上的網(wǎng)卡根據(jù)實際連接情況命名為內(nèi)網(wǎng)，外網(wǎng)，外圍等，以方便后續(xù)使用。
在此需要注意，因為我們內(nèi)網(wǎng)有八個部門，屬于不同的網(wǎng)段，那么就需要把相應(yīng)的IP地址段都加入到內(nèi)網(wǎng)中來。那就如下圖所示：
接下來安裝程序詢問是否允許不加密的防火墻客戶端連接。不加密的防火墻客戶端指的是ISA2000之前的防火墻客戶端，ISA2000之后的防火墻客戶端支持?jǐn)?shù)據(jù)加密，安全性更好，由于在實驗環(huán)境中不需要使用早期防火墻客戶端，因此我們不用勾選“允許不加密的防火墻客戶端連接”。
安裝程序警告我們在安裝過程中有些服務(wù)會重新啟動，選擇“下一步”。
完成了參數(shù)設(shè)置，終于開始安裝了。
如下圖所示，點(diǎn)擊“完成”，結(jié)束了ISA2006的常規(guī)安裝。
至此，我們完成了ISA2006的常規(guī)安裝。安裝過程并不復(fù)雜，只要結(jié)合網(wǎng)絡(luò)的拓?fù)鋱D區(qū)分好相應(yīng)網(wǎng)絡(luò)即可。
步驟3：正確配置路由
因為我們在企業(yè)中使用三層交換來將不同部門劃分到不同的VLAN中，但要實現(xiàn)各部門員工都能連接到外網(wǎng)，就需要實現(xiàn)各部門和ISA之間的路由。因為我們已經(jīng)實現(xiàn)了各VLAN間的路由，所以現(xiàn)在只需要在三層交換機(jī)和ISA之間做設(shè)置即可，如下所示：
三層交換機(jī)只需要啟用路由加一條默認(rèn)路由即可，參考命令如下所示：
Switch(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.1 在此192.168.1.1是ISA Server的內(nèi)網(wǎng)IP地址。
ISA上的設(shè)置：
1、把內(nèi)網(wǎng)各部門的地址范圍添加到內(nèi)網(wǎng)選擇中，這在步驟2中就已經(jīng)做好了，如果在安裝時沒有做的，安裝后也可以手動添加，添加方法：打開ISA服務(wù)器管理
直接在內(nèi)部屬性的地址選項卡中添加范圍也可以：
2、ISA Server上也需要添加到內(nèi)網(wǎng)的路由：
其中192.168.1.2 是三層交換機(jī)的VLAN接口虛地址。在此就充當(dāng)ISA Server 到達(dá)各內(nèi)網(wǎng)的下一跳地址。
二、ISA的代理功能
聽說過ISA的網(wǎng)友都知道ISA的兩個作用，一個是防火墻，另一個就是代理。我們就先來看看它的代理功能，也就是怎么讓內(nèi)網(wǎng)用戶利用它訪問外網(wǎng)。
首先我們來看一下ISA所支持的客戶端類型：Web代理客戶端、防火墻客戶端、SNAT客戶端。
簡單來說：ISA的三種客戶端都能提供訪問互聯(lián)網(wǎng)的功能，Web代理只允許用戶使用瀏覽器訪問互聯(lián)網(wǎng)，而防火墻客戶端和SNAT則沒有功能方面的限制。如果需要對用戶進(jìn)行身份驗證，Web代理和防火墻客戶端就可以大顯身手了，事實上，微軟推薦用戶同時使用Web代理和防火墻客戶端。為什么不單獨(dú)使用防火墻客戶端呢?因為Web代理可以使用ISA緩存，真正起到加速作用。如果你希望為用戶上網(wǎng)提供盡可能的便利，而且你也不愿意去設(shè)置客戶端的瀏覽器或在客戶機(jī)上安裝什么客戶端軟件，那么SNAT必然是你的最愛，只需配好DHCP就一切OK了。最后要提醒大家的是，Web代理和防火墻代理都有DNS轉(zhuǎn)發(fā)功能，而SNAT則不存在這個問題，下表就列出了三種客戶端的區(qū)別。
表：三種客戶端的特點(diǎn)及區(qū)別
下面我們用幾個實例來分別看一下每種客戶端的設(shè)置方法，
實例：用戶通過WEB代理客戶端訪問外網(wǎng)
客戶端設(shè)置方法：
客戶端通過在瀏覽器里填上代理的地址即可，我們以客戶端的IE瀏覽器為例：
其中192.168.1.1 就是ISA Server的內(nèi)網(wǎng)IP地址，8080就是WEB代理所使用的端口號。
我們來測試一下：訪問 http://www.baidu.com
這是怎么回事?因為ISA它同時又是一個防火墻，默認(rèn)情況下，這個請求是交給ISA了，如圖中的代碼已經(jīng)說的很清楚，是代理錯誤，ISA Server拒絕了這個URL。那么我們就需要到ISA上設(shè)置一個訪問規(guī)則，讓它允許內(nèi)網(wǎng)到外網(wǎng)的訪問才可以。
ISA 上創(chuàng)建訪問規(guī)則：
我們從這個圖中可以看到，當(dāng)前只有一個默認(rèn)規(guī)則，這個規(guī)則是六新不認(rèn)，統(tǒng)統(tǒng)是拒絕的。所以，我們需要添加一個訪問規(guī)則，在防火墻策略上右鍵—新建---訪問規(guī)則。
我們再次到客戶機(jī)上訪問www.baidu.com
OK了，說明操作成功了。使用WEB代理就是這么簡單。但WEB代理所支持的協(xié)議非常有限，只支持http、https、FTP等協(xié)議，其他的協(xié)議則不再支持，那如果企業(yè)中需要應(yīng)用到其他協(xié)議，就不能使用WEB代理客戶端，可以選擇使用SNAT客戶端或防火墻客戶端。
實例：SNAT客戶端
客戶端的設(shè)置更是簡單，只要設(shè)置正確的IP地址、子網(wǎng)掩碼、網(wǎng)關(guān)和DNS即可。內(nèi)網(wǎng)機(jī)器分別把三層交換機(jī)相應(yīng)的虛接口地址當(dāng)成自己的網(wǎng)關(guān)，但在此需要指定正確的DNS服務(wù)器地址，因為SNAT客戶端不支持DNS轉(zhuǎn)發(fā)。在此以內(nèi)網(wǎng)的192.168.10.10機(jī)器為例:
如果客戶端過多的話，可以結(jié)合DHCP實現(xiàn)參數(shù)的自動分配。在此可以刪除剛才所設(shè)置的WEB代理，以驗證SNAT代理。
客戶端測試：
實例：防火墻客戶端代理
由于Web代理只能使用瀏覽器訪問互聯(lián)網(wǎng)，功能不夠全面，SNAT又不支持身份驗證。因此微軟在ISA中提供了防火墻客戶端代理。用戶只要安裝防火墻客戶端軟件，就能通過ISA的防火墻客戶端代理訪問所有基于Winsock的網(wǎng)絡(luò)服務(wù)。那該怎么安裝防火墻客戶端軟件呢?這個軟件在ISA2006安裝光盤的\Client目錄下，我們將Client目錄復(fù)制到ISA服務(wù)器的硬盤上，然后將目錄共享，共享名為Mspclnt。
共享方法，可以參考《中小企業(yè)網(wǎng)絡(luò)構(gòu)建十步法之三：文件共享》
然后客戶機(jī)下載安裝即可。安裝成功后，注意觀察桌面：
在桌面的右下角出現(xiàn)如上圖所示的提示：這是因為沒有找到ISA服務(wù)器，那么在此有兩種解決方法，一是手動指定，適應(yīng)小規(guī)模網(wǎng)絡(luò);另一個是使用WPAD功能，客戶機(jī)開機(jī)能自動發(fā)現(xiàn)ISA服務(wù)器。當(dāng)然，在此我們只能是手動指定了。
就這么簡單。OK了，那么就再去測試一下吧， 我們輸入：wireless.it168.com。
看到這兒，三種客戶端使用就簡單給大家介紹完了。其中也有一些更為深入的內(nèi)容如網(wǎng)絡(luò)規(guī)則、WPAD的實現(xiàn)等等，限于篇幅不再介紹。如果有疑問，可以隨時留言探討。
