ISA Server 配置 DMZ 网络.docx

ISA Server 配置 DMZ 网络.docx

《ISA Server 配置 DMZ 网络.docx》由会员分享，可在线阅读，更多相关《ISA Server 配置 DMZ 网络.docx（24页珍藏版）》请在冰豆网上搜索。

ISAServer配置DMZ网络

Howto：

在ISAServer2004中配置DMZ网络

前言：

这篇文章以一个DMZ网络的实际环境为例，为大家介绍如何利用ISAServer2004的多网络核心功能，轻松的配置多网络间的访问。

虽然例子是一个DMZ网络，其实不仅仅是DMZ网络，无论是内部、外部、DMZ还是Sitetosite的VPN网络，在ISAServer2004中进行配置都是非常容易的一件事情。

在商用网络中，常常会为外部用户提供服务的内部服务器建立一个特殊的网络，这个就是DMZ网络（停火区）。

ISAServer2004的一个重要的新增功能就是多网络支持，有了这个核心功能，在ISAServer2004配置多个网络就变成了一件很容易的事。

在ISAServer2004的网络模板中，也附带了一个三周界网络的网络模板，通过它，你只需要点几下鼠标就可以配置好你的DMZ网络。

但是，这样也似乎太容易了，在这篇文章中，我会以全手动的方式来建立一个DMZ网络。

下图是我们这个试验的网络拓朴图：

各服务器的IP设置如下，此次试验不涉及到DNS解析，所以，所有服务器的DNS设置全部为空：

Florence（ISAServer2004）

∙PerimeterConnection

IP：

172.16.0.1/24

DG：

None

∙InternalConnection

IP：

10.2.1.1/24

DG：

None

∙ExternalConnection

IP：

61.139.0.1/24

DG：

61.139.0.1

Denver（Internal）

IP：

10.2.1.2/24

DG：

10.2.1.1

Sydney（DMZ，WebServer）

IP：

172.16.0.2/24

DG：

172.16.0.1

Istanbul（Internet，WebServer）

IP：

61.139.0.2/24

DG：

61.139.0.1

在这篇文章中，我会通过以下步骤来完成DMZ网络的配置：

∙建立DMZ网络；

∙建立网络规则；

∙建立防火墙策略；

∙测试内部网络和DMZ网络之间的互访；

∙测试内部网络和DMZ网络访问Internet；

在ISAServer2004中，一个完整的访问规则是由网络规则和防火墙策略组成的。

网络规则定义两个网络间采用什么方式进行访问，而防火墙策略决定是否允许它们之间的访问。

所以，我们需要配置这两部分规则。

1、建立DMZ网络

在此，我们跳过安装ISAServer的细节。

在安装时，我设置了内部网络（通过添加Internal适配器来添加），安装后内部网络如下图：

此时，还没有防火墙策略：

打开ISA控制台，右击网络，点击新建，选择网络；

在欢迎使用网络创建向导页，输入网络名，在此我命名为DMZNetwork，点击下一步；

在网络类型页，选择外围网络，点击下一步；

在网络地址页，点击添加适配器，

在选择网卡对话框，勾选PerimeterConnection，点击确定；

在网络地址页，点击下一步；

在正在完成新建网络向导页，点击完成；

此时，你可以在网络中看见新建的DMZNetwork；

2、建立网络规则

网络建立好后，我们需要建立对应的网络规则。

首先建立一条DMZ网络到内部网络的路由关系规则，点击任务面板中的创建新的网络规则；

在欢迎使用新建网络向导页，输入网络规则名称，在此我命名为DMZ->Internal，点击下一步；

在网络通讯源页，点击添加按钮，然后在添加网络实体对话框中，选择DMZ

Network，添加完毕后如下图所示，点击下一步；

在网络通讯目标页，点击添加，选择内部，如下图所示，点击下一步；

在网络关系页，选择路由，点击下一步；

在正在完成新建网络规则向导页，点击完成；

然后创建一条DMZ网络到外部网络的NAT关系的网络规则，再次点击创建新的网络规则打开网络规则创建向导，

步骤和上面的策略一样，不同的规则元素：

∙规则名字：

DMZ->Internet；

∙通讯规则源：

DMZNetwork；

∙通讯规则目标：

外部；

∙路由关系：

网络地址转换（NAT）；

建好后，在网络规则面板中显示如下：

3、建立防火墙策略

接下来，我们该配置防火墙策略。

首先我们建立一条规则，允许内部网络和DMZ网络之间相互的Ping，注意，只是Ping。

右击防火墙策略，选择新建，点击访问规则；

在欢迎使用新建访问规则向导页，输入访问规则名称，在此我命名为AllowPINGbetweenInternalandDMZ，点击下一步；

在规则操作页，选择允许，点击下一步；

在协议页，选择所选的协议，添加Ping，点击下一步；

在访问规则源页，点击添加，添加DMZNetwork和内部，点击下一步；

在访问规则目标页，点击添加，添加DMZNetwork和内部，点击下一步；

在用户集页，接受默认的所有用户，点击下一步；

在正在完成新建访问规则向导页，点击完成；

我们再建立一条访问规则，允许内部和DMZ网络访问外部网络（Internet）的Ping、Http和HttpS服务。

步骤和上面一样，规则元素为：

∙规则名称：

AllowInternal&DMZaccessInternetuseHttp；

∙规则动作：

允许；

∙所选的协议：

Ping、Http、HttpS；

∙访问规则源：

DMZNetwork和内部；

∙访问规则目标：

外部；

∙用户集：

所有用户；

建立好的两条规则如下图所示，点击应用以保存修改和更新防火墙策略；

4、测试内部网络和DMZ网络之间的互访

现在我们在DMZ网络的主机Sydney（172.16.0.2）上，ping内部网络的主机Denver（10.2.1.2），结果如下图所示：

Ping是正常的。

Sydney是一台Web服务器，我们在本机，可以打开它的Web页面；

现在我们在内部网络的主机Denver上，同样的Ping位于DMZ网络的主机Sydney，结果如下图；

Ping是正常的，但是我们用Http访问Sydney上的Web，却被ISA拒绝了（注意黄色部分的ISA

ServerdeniedthespecifiedUniformResourceLocator（URL），Denver是英文操作系统，不能正确的显示中文字符）。

5、测试内部网络和DMZ网络访问Internet

现在我们继续在Denver上Ping外部Internet的主机61.139.0.2，结果如下：

Ping是正常的，我们再试试使用Http访问呢，结果如下，可以访问；

现在我们再回到DMZ网络的主机Sydney上，同样的，Ping外部主机是可以的；

Http自然也没有问题。

:

）