菜鸟网管与防火墙的第一次亲密接触 (7) -天瑞科技，深圳电脑维修，深圳电脑维护

　ISA的基本操作与界面

　　彭彭原来对防火墙的管理还是有很大的畏惧心理的，但第一眼看到ISA Management就爱上它了，原因无它，主要是它有一个操作简单的图形化的使用界面（图12）。ISA Management内的图形化任务面板提供了对普通任务的单击访问，而一步一步进行的向导又简化了最常用的管理步骤。其中包含性能监控（Monitoring）、访问策略（Access Policy）、服务器发布（Publishing）、带宽规则（Bandwidth Rules）、策略单元（Policy Elements）、缓存配置（Cache Configuration）、监控配置（Monitoring Configuration）、扩展配置（Extensions）、网络配置（Network Configuration）等配置选项。

　　图12 ISA的配置管理界面

　　要配置防火墙，关键还是要理解清楚这几个主要的配置选项的意义，为此，彭彭花了很长的时间来看菜单中的英文帮助。

　　访问策略（Access Policy）

　　该策略决定了内部用户访问Internet的方式，它包含了站点和内容规则（Site and Content Rules）、协议规则（Protocol Rules）、IP包过滤（IP Packet Filters）配置单元（图13）。

　　图13 访问策略配置界面

　　其中，站点和内容规则允许根据与客户端请求相关的目的及内容类型来指定Internet访问策略。通过创建站点和内容规则，可以根据既定请求的目的或内容类型来决定允许或拒绝该Internet访问。站点和内容规则决定用户或客户端地址集能否访问特定目的集的特定内容，以及何时可以访问。协议规则指定来自哪些客户端的特定的协议可以允许通过ISA Server，以及在什么时候。IP数据包过滤器允许或者阻塞数据包通过指定的端口。在简单的网络环境下，通常不需要为客户机创建IP数据包过滤器来提供安全的Internet访问。只有在特殊的环境下，才必须使用IP数据包筛选器允许或者阻塞特定的通信从外部传输到局域网服务器的内部。

　　对于是否允许用户访问，ISA通过protocol→site and content→ip filter→routing rule的次序进行考察，首先考察是否有protocol rules拒绝访问，如果没有，再考察是否有明确的允许，如果有，则通过，其他情况则拒绝。Site and content/ip filter也是这样进行判断。

　　一般来说，如果想访问外部网站，必须要有两个条件，一个是protocol rule许可，另外一个是site and content许可，在缺省条件下，ISA会自动建立一个site and content许可供你使用，在protocol rule集中，没有先后次序的概念，但是deny比permit的权限要高。