ISA Server实验环境搭建与企业VPN配置

ISASerｖer是微软在企业网络边界防护上的代表产品。从IＳAＳerveｒ2０0０到现在被广泛应用的ISAＳeｒvｅｒ2０04和ISAServｅr2００6以及即将推出的ISAＳerveｒ20０8,都标志着ISAＳerver在企业边界安全防护上的技术积累和不断成熟。本文将通过详细介绍如何部署一个企业级的基于微软发布的IＳAＳeｒvｅr20０6Hands-OnLaｂｓ的多虚拟机实验环境，并通过该实验环境详细描述企业VPN的配置过程,希望能够给想要应用微软ＩＳAServeｒ的安全架构师和安全实施人员在产品选择、实验环境搭建以及实际应用上以详细的指导。

一、ISASｅrvｅr产品概述

微软已形成了较为完善的ＩSASｅｒver产品家族以及相应的技术支持，而且以非常开放的姿态提供了ISASｅｒｖer2004和ISAＳeｒveｒ20０6的评估版本软件的下载，并在微软官方技术支持网站TeｃhNet上提供了从ISAServer起步、计划和架构、开发、部署、运营、安全和防护以及技术参考七大方面的技术支持。通过详尽的技术文档和与评估版产品配套的操作手册,给希望了解和应用ＩSASｅrver以进行企业网络边界安全防护的技术人员以可操作的指导。

本文将简单介绍IＳAＳeｒver产品家族中的ISASｅrver20０4和ISＡSｅrver2006在企业网络边界防护上的主要功能,企业安全架构师和安全实施人员可以根据企业在网络边界防护上的具体需求和产品的功能进行有针对性的选择:

1、ISAServer2004

IＳＡServer２0０４是一款集高级应用层防火墙、虚拟专用网络(ＶPN）和网络缓存于一体的解决方案，它能够通过提高网络安全和性能来最大化IT投资收益,ISＡSeｒveｒ２004具有以下功能或改进:

1)、高级防护

ａ、应用层过滤?增强的对HTTP协议和FＴP协议以及FPＣ(ReｍotePrｏcesｓCaｌl)连接的过滤与控制；

b、安全性和防火墙

在此功能上ISAServer２０04提供了扩展的协议支持、增强的用户认证、增强的对用户和用户组的支持、增强的FＴP支持、增强的网络发布等功能。

２）、简单使用

a、多网络环境

提供了多网络环境配置、制定网络策略、路由和ＮAＴ网络关系以及网络模板、网络负载平衡（仅针对企业版)等新功能；

ｂ、监控和报告

提供了实时日志监控、构建的日志查询、实时监控和防火墙会话过滤、连接重定向、报告发布、邮件提醒、定制日志时间以及写入日志到ＭSＤE数据库等新功能，增强了定制报告和SＱLＳerｖer日志功能;

ｃ、安全管理

提供了导入导出、定制授权向导、集中存储防火墙策略（只针对企业版)、自动化阵列配置(只针对企业版)等新功能,以及增强的管理、集中式日志、针对ＭicｒｏsｏftOperａtionｓMａnager的管理包。

３）、快速安全连接

a、对基于微软服务器的快速安全的远程访问?提供了基于表单授权的防火墙表单生成、使用ＳSL到终端服务的远程连接两大新功能;

ｂ、虚拟专用网络(ＶPＮ）

提供了全状态的VPＮ过滤和视察、安全的NAT到ISAServer200４VPN连接支持、全状态的基于站到站VＰＮ通道交流过滤和监控、ＶＰN治理、VPN服务器发布、ＩＰSｅc模式下的站到站ＶPN链接支持等新功能,以及增强的ＶPN管理。

c、Web缓存和Ｗeb代理

提供了对网络代理客户端授权的RAＤIUＳ支持、基本授权策略、Wｅb发布规则中的源I Ｐ保存、实现CARP的Ｗｅb缓存阵列（只针对企业版）等新功能，以及增强的缓存规则、Ｗeb发布规则路径匹配功能。

2、ISAServer２0０6

与IＳＡＳerｖer2004类似，ＩSAＳｅrｖeｒ200６也提供了企业版和标准版两个版本，在ＩSＡＳｅrvｅr2０0４提供的功能的基础上,ISＡServer2０06提供了以下新增或增强的功能：

1）、对内部基于微软服务器的安全远程访问

提供了ShareＰｏｉnt服务器发布向导和对Exchanｇｅ２007集成的支持两大新功能，以及增强的OutｌｏｏkWeb访问发布向导；

2）、虚拟专用网络(VPN)?提供了分支办公室VＰN连接向导新功能；

3）、安全管理

增强的简单使用向导、认证管理、基于硬件的IＳAＳervｅr连接、企业范围内的策略拷贝等功能；

４）、高级防火墙防护

提供了峰值弹性、攻击救助等新功能，以及增强的防火墙规则向导;

5)、授权认证?提供了单点登录功能(SＳO）、LDAP授权支持等新功能，以及增强的授权认证、基于表单的授权认证、会话管理等功能;

6）、服务器发布?提供了跨阵列链接传输新功能和增强的链接传输功能；

７)、性能?提供了BITＳ缓存、Web发布负载平衡、HTＴP压缩、Diffserv(QoS)等新功能。

二、ＩSAServｅr２00６Hanｄs-OnＬabs部署

在一个应用软件（尤其是安全相关应用软件）引入到企业整体IT架构之前，安全架构师和安全实施人员必须要充分考虑所有可能潜在的风险以及应对方案,并在实际部署之前进行严格的测试和实验,并对相关的操作人员进行全面的技术培训,以期把潜在的威胁和风险降到最低。

直接把软件部署到生产环境无疑要面对很大的风险,而且本文读者的操作系统环境可能存在着较大的差异，而ＩSASeｒver与其对应的组件只能安装在Seｒｖｅr版的操作系统上,因此本文采用虚拟机作为实验环境的搭建方式。

１、ISASｅrver２006Hａnds-OnＬabｓ简介

微软提供了一整套的包括ISAServer２006企业版和标准版以及Excｈａnge、SharePo ｉnt的虚拟机在内的虚拟机套件，用以简单搭建企业级的ISAＳerver实验环境。

1）、包含软件具体版本?在ISＡSｅrvｅr20０6Ｈands－On实验环境中,包含以下具体版本的软件：

ａ、IＳASeｒvｅr2006StandaｒdＥditｉon(RTＭ)?b、IＳAＳeｒver２006EｎterpｒisｅEｄition(ＲTM）

c、SｈａｒeＰｏiｎtＳeｒvicｅs２.0

d、EｘcｈaｎｇeSｅrver2003SＰ2

e、Outlｏok2003

２)、提供的实验环境?按照测试环境进行划分,该套件包括以下三个测试环境:?a、出界访问和分支办公室测试环境(OutbｏundＡccessａｎdBranｃhOffｉcｅ)；?b、发布和VPＮ连接测试环境(PublｉｓhiｎgandＶＰＮconnｅｃtions);

c、企业版测试环境三个实验环境(ＥnterprisｅＥditｉｏnFｅａtｕｒｅs）。

3）、包含的具体模块

按照模块进行划分，该实验环境包括以下九个模块：?模块A:IＳAServer简介；?模块B：配

置出界Internet访问;?模块C：发布Ｗｅb服务器和其它服务器；

模块Ｄ:发布Exｃhangｅ服务器;

模块E：启用ＶＰN连接；?模块F:采用ISＡＳerver2０0６作为分支办公室网管；?模块G:ISASerｖeｒ的企业级管理；?模块H：配置负载平衡;

模块Ｉ:使用监控、警报和日志。

本文采用的是发布和VPN连接测试环境，将介绍虚拟ＶPN相关的配置，需要运行的三个虚拟机的命名分别为：Dｅnver、Paｒｉｓ和Istａnｂuｌ，如图一所示实验环境网络拓扑图。

图1:ISA Ｓeｒveｒ发布和VPN配置

该图中的主要组件与虚拟机套件中虚拟机的关系为：?Ｄｅｎver:

Ｅｘcｈａnｇe Sｅrver ２003 SP2;

Puｂlｉsｈing Eｘchange 20０７ＯＷA；?Ｗeb Servｅr:?ShａreＰoint Porｔaｌsｉte;?两个模拟Web Faｒm的Web Sｅrｖｅrs。

Tｅrminａl Ｓervｅr：?运行终端服务。

Pariｓ：

IＳA Ｓerveｒ200６Staｎdaｒd Ediｔｉoｎ。

Istanｂul：

Ouｔｌook 20０3;

VPN客户端。?以下是实现该虚拟实验环境的具体过程：

2、下载文件

在启动虚拟机之前,必须下载安装了虚拟机应用软件:Virtｕal PC，笔者采用的版本为:V ｉrｔuaｌPC 20０7,读者可以通过以下链接获得:下载链接。

所有的虚拟机及相关的安装脚本，可以通过以下下载链接获得:下载链接。笔者建议读者下载套件中的全部五个文件:

Ｉnstａll-ISA2０06-Lab.ｖｂe；?ＩSA 2０06 Lａb Manｕal.ｄoc；

ISA2０06-ｌab-VMs．１.ｅxe；

ISA2006-lａb－VMs.2.raｒ;

Readme－ＩSA2006－Ｌａb.ｔxt。

3、安装虚拟机

下载完所有的文件以后,安装过程非常简单，运行脚本:Install－ＩＳA200６-Lab.ｖbe,在所有的弹出窗口中点OＫ,它将完成以下操作：

1)、解压所有的虚拟机到安装目录（默认为C:\ISＡ2０0６ｌaｂ)；

2)、注册虚拟机到Vｉrtual PC(或者Virtual Sｅrvｅｒ);?3)、对于Ｖiｒtual PＣ，配置附加的选项到optioｎs.xｍl；?4）、在桌面上创建链接到安装目录的快捷方式；

5）、在Hｏｓt机上把ISＡServｅr图片设置为墙纸（可选项）。

在桌面上双击链接到安装目录的快捷方式,即可以看到所有的虚拟机文件和运行脚本,本实验中,我们只需要运行ＳｔartＡll ＳE-3x.ｖbs即可，该脚本将逐次启动所有和Ｓｔａn ｄarｄEdiｔiｏｎ相关的虚拟机。

通过以上简单的介绍和操作，即可体验ISＡServｅr 20０６的强大功能了。

同时运行多个虚拟机对系统硬件的要求比较高，笔者建议在进行实验时，选择配置和性能较高的硬件设备,以达到最佳的效果。

三、ISA Sｅrvｅr 虚拟VPＮ配置

VPN对于拥有分支办公室和大量在外办公人员的企业而言是必不可少的，而VPN客户端到服务器端的安全连接则成为重中之重，要实现保护企业资源不受外界侵害,同时保证在外的工作人员能够使用内部资源，灵活配置VPN具有更为现实的意义。本文将以VPN的配置和维护为切入点,在读者完成实验环境的搭建以后,带领读者体验ISA Ｓerver 20０6的VP Ｎ概念和分支办公室VＰＮ连接的强大支持。如图2所示,IＳＡSｅrver ２006 VＰN面板包含的内容：

图2：IＳA Server 2006 ＶPN面板示意图

1、 ISA Servｅr20０6中的VPN概念

ＩSA Ｓｅrvｅr２０06主要支持以下两种ＶＰＮ连接:

１)、远程访问VPN连接（主要为来自VPN客户端的连接）;

2）、站到站的ＶPＮ连接（主要为分支机构网络和总部之间的连接)。

所有的到ISA Servｅｒ阵列的VPN连接将会写入到防火墙日志当中,因此用户可以监控VPN 的连接。

2、远程访问ＶPＮ连接

远程客户端可以通过创建一个到VPＮ服务器的连接来连接到一个专用网络。IＳA S ｅrver提供了到整个VPＮ服务器所在网络的连接访问支持。通过在图2中，对应有VPＮCli ｅnｔｓ和Rｅmote Sites两个选项，在ＶPN Cｌｉentｓ选项下，有以下五个功能性选项:

1)、配置地址分配方法和启用VPN客户端访问；

2）、指定Wiｎdows用户或选择一个ＲADＩUS服务器;?3）、确认ＶPN属性和远程访问配置；

４）、浏览ＶＰN针对客户端网络的防火墙策略;

5)、浏览网络规则。

下面将详细介绍每个功能性选项的详细配置方法:

１）、配置地址分配方法和启用VPＮ客户端访问

必须在完成地址分配方法的配置以后，才可以启用VPN客户端访问支持。点开配置地址分配方法，在弹出的窗口中将会有以下四个选项:

a、访问网络：选择可以访问的网络;?

b、地址分配：指定可访问的IP地址范围；

c、授权认证:指定授权认证方法;?

d、RADＩＵS：选择是否采用RADＩUS作为授权认证和日志的方法。

在实验环境中,读者可以根据启动的三个虚拟机的ＩP地址和网络配置,指定相应的范围，或者用户也可以根据实际的网络环境，首先配置虚拟机的网络设置以模拟真实的网络环境,然后再根据实际的需求进行设定。

完成地址分配方法的配置以后,点开VPＮ客户端访问，在弹出的窗口中将有以下四个选项:

一般:选择是否启用VPＮ客户端访问以及最大连接数;?组:指定可以使用的连接组；?协议:指定连接可以使用的协议;

用户匹配：选择是否启用用户匹配功能。

２)、指定Winｄowｓ用户或选择一个RAＤＩUS服务器

与启用VPN客户端功能项类似，也有四个相同的选项,选择一个ＲADIＵS服务器选项则是地址分配方法的子选项,读者可以保留最初的选择。

3)、确认VＰN属性和远程访问配置

该选项是对步骤1）（配置地址分配方法和启用VPN客户端访问）中配置的内容进行复审和确认，所有可选的内容都一样。

4)、浏览ＶPＮ针对客户端网络的防火墙策略

点开此功能项，显示的默认的或当前应用中的属性，双击,在弹出的窗口中有以下多个选项:

一般：规则名称和描述;?动作:当满足条件的情况出现时采取的动作；

协议:要监听的所有的协议;

访问源:指定要监控的来源网络(默认为所有网络)；?访问目的地：指定要监控的访问目的地网络(默认为所有网络）;?用户：指定监控的用户（默认为全部用户);?日程表:制定监控日程表；?内容类型：指定要监控的内容类型。

5)、浏览网络规则

点开此功能项,在浏览网络规则中,有按顺序排列的五个网络规则,如图３所示:

图３：浏览网络规则

双击到内部网络的VPN客户端(ＶPN Cｌientｓｔo Iｎternal Netwｏｒｋ),则出现图3中最下端的小窗口,有以下四个选项：

一般:规则的名称和描述；?源网络：指定源网络；

目标网络：指定目标网络；?网络关系:选择网络之间的关系（网络地址解析NAT或路由Ｒouｔe)。

以上是在VPN客户端远程连接的情况下，ＩSＡSeｒver所需要进行的配置项，可能由于实验环境部分功能项受限而无法修改,读者可以在允许的范围内体验其功能。

3、站到站的ＶPN连接

ISA Servｅr ２006提供了强大的站到站的VＰN连接，以实现对分支办公室VPＮ连接的支持,在配置站到站的VPN连接过程中,涉及到的选择项目很多，本文将简单介绍创建一个站到站的VPN连接的过程，介绍一些必备的选项。更多更具技巧性的配置请读者在具体的实验中来发掘。以下是创建站到站VPN连接的详细过程：

1)、点开“远程站点”选项，选中“创建VPN站到站连接（Crｅａte ＶPN Ｓiｔｅ-to-S ｉte Coｎneｃtion）”;

2)、在弹出的窗口中键入站到站网络名称,点“下一步”;

３、在新窗口中选择要使用的VPN协议,有IＰSec、Ｌ2TP（Ｌayｅr Two Tunnｅling Protoｃｏl)和PPTP(Pｏｉnt-ｔo-PoｉnｔTｕnnelｉｎg Ｐroｔoｃol)三个选项,选中ITＳec,点“下一步”;

4）、配置连接设置：指定远程VＰN网关IP地址和本地ＶＰN网关IP地址，配置完毕后,点“下一步”；

5)、IPＳec授权认证:指定IP安全协议的授权认证方法,如果没有指定的认证授权(Ceｒｔificate Auｔhoriｔy,ＣA），在可在预分享的Ｋeｙ一栏随便输入一个名字(如：test），点“下一步”；

6)、网络地址：指定远程站点的IP地址范围，可以做添加、修改、删除三个操作，如果没有修改,直接点“下一步”;如果只填写了远程站点网关的IP地址而没有机器IＰ的话，在进入“下一步”之前会有警告提示,笔者建议添加一台制定的机器的IＰ（如实验环境中名为Denver的虚拟机的ＩP)；

7)、站到站网络规则：可以选择是否立即创建或稍后创建站到站的网络规则，选择“创建一个指定路由关系的网络规则”,然后点“添加”,进入网络实体的选择界面，在弹出的窗口中选中想要添加的网络实体，双击或者点“添加”都会在“站到站网络规则”窗口中显示出添加后的网络实体的名称,添加完毕点“下一步”则进入8的操作。选择“稍后创建站到站网络规则”，并点击“下一步”则进入8的操作，

８）、站到站网络访问规则：可以选择是否立即创建或稍后创建站到站的网络访问规则，选择“创建一个访问规则”，然后点“添加”，进入网络协议选择界面,在弹出的窗口中选择要添加的网络协议，双击或者点“添加”都会在“站到站网络访问规则”窗口中显示出添加后的网络协议的名称,添加完毕点“下一步”则进入9的操作；选择“稍后创建站到站的网络访问规则”,然后点击“下一步”则进入9的操作；

9)、完成站到站ＶＰN连接向导：点“完成”退出配置；

10）、在“远程站点”中点“应用”,保存创建的站到站ＶPＮ连接的相关配置。

在完成创建以后,可以通过双击打开该项规则,然后浏览或修改相应的属性。

四、小结

本文通过简介ＩSA Seｒver产品家族，重点是IＳＡSｅrver 2０04和ISＡＳeｒver 2０06这两大产品的主要功能和属性,然后详细介绍了微软IＳＡSeｒver 2006虚拟机实验环境和搭建过程,以及IＳA Ｓeｒver 2０0６版中虚拟专用网络(ＶPN的配置过程)，旨在通过详细的操作步骤使读者对微软IＳA Serｖｅｒ产品家族和其使用方法有一个清晰的认识，从

而能够在指定企业边界防护解决方案的时候把IＳＡＳerｖer纳入到被考虑的范围之中。同时对希望了解ＩSA Serｖeｒ的专业技术人员提供可操作的参考指导。