瑞星卡卡安全论坛

首页 » 技术交流区 » 系统软件 » 【分享】ISA Server 2004 常见问题:管理
花飞影 - 2007-1-2 16:50:00
问: 在 ISA Server 中,如何允许用户执行特定任务而不是全部任务?
答: ISA Server 提供了基于角色的管理功能,使用 Windows 用户和组来允许用户执行特定任务。您可以分配“管理员(完全控制)”角色来允许用户执行全部任务。使用“扩展监视”角色来允许用户执行监件、日志配置、警报定义、导出和导入机密配置信息等任务。使用“基本监视”角色来允许用户查看监件信息,而不是进行配置。

问: 如何远程管理 ISA Server 计算机?
答: 您可以使用“终端服务”或“远程桌面”连接到 ISA Server 计算机。或者,您可以安装 ISA Server 管理 Microsoft 管理控制台 (MMC),并使用它来进行远程管理。有两个系统策略规则允许远程管理 ISA Server 计算机--一个面向 MMC 管理,另一个面向“终端服务(远程桌面)”管理。将您希望用于远程管理的计算机添加到由这些规则所使用的、预定义的“远程管理计算机”集合中。

问: 导入和导出与备份和还原之间有什么区别?
答: 导入和导出特性与备份和还原特性是相似的。但是通常您把它们用于不同的目的。您可以使用导出和导入功能来保存,然后导入整个或部分 ISA Server 配置。例如,整个防火墙策略、系统策略或选定的角色。加密机密信息。将信息导出到一个 .xml 文件中,再从该文件中导入。导出和导入特性主要用于复制服务器设置,或将配置设置导出到一个文件中以进行故障诊断。

备份和还原特性使您能够保存和还原大多数配置信息。ISA Server 备份服务器的常规配置信息、缓存配置和 VPN 配置。配置参数存储在本地的 .xml 文件中。该特性主要用于灾难还原,我们建议您在做出任何主要变更之后备份配置。例如,当更改了网络定义、缓存配置或系统策略规则之后。

问: ISA Server 使用哪些服务?
答: 当您安装 ISA Server 时,也将安装以下 Microsoft Windows 操作系统服务:

• Microsoft 防火墙服务。 Wspsrv.exe (fwsrv)。支持来自防火墙和 SecureNAT 客户端的请求的 Windows 服务。

• Microsoft ISA Server 控制服务。 Mspadmin (isactrl)。负责重启其他 ISA Server 服务,产生警报,运行操作,删除日志文件等任务的 Windows 服务。

• Microsoft ISA Server Job Scheduler 服务。W3Prefch.exe (isasched)。从 Web 服务器下载缓存内容的 Windows 服务。

• Microsoft 数据引擎 (MSDE)。用于以 MSDE 格式保存日志信息。

• ISA Server 存储服务。Isastg.exe (isastg)。用于管理对 ISA Server 配置存储的读取和写入访问的 Windows 服务。ISA Server 配置存储是基于注册表,使用了一些文件存储。


问: ISA 何时进入锁定模式?
答: 当某一时间触发防火墙服务关闭时,或如果防火墙服务被手动关闭,则会触发锁定模式。

当“防火墙”服务重启时,ISA Server 将退出锁定模式并继续照常运行。锁定模式的影响可以在 ISA Server 联机帮助中找到。当防火墙服务重启时,ISA Server 将退出锁定模式。对 ISA Server 配置的任何更改都将在 ISA Server 退出锁定模式之后应用。

问: 防火墙服务在哪个系统帐户下运行?
答: 防火墙服务(和 ISA Server 服务)是在“网络服务”帐户下运行的。

问: “网络服务”帐户是否需要任何特殊权限?
答: 要使 SecurID 能够在运行 Windows Server 2003 的计算机上的 ISA Server 中工作,“网络服务 (NetworkService)”帐户需要以下权限:

• 在 HKEY_LOCAL_MACHINE\Software\SDTI\ACECLIENT 上的读取/写入访问权限

• 在 %SystemRoot%\system32\sdconf.rec 上的读取权限


问: 我刚刚创建了一个拒绝特定通信的规则。我以前有一个规则允许进行此类通信,当我进行检查时,拒绝规则似乎没有工作,通信仍然畅通无阻。哪里有问题?
答: 这种行为是因为设计导致的。当您创建新规则时,该规则被应用到新连接上,而不是现有的连接上。如果现有连接仍然处于活动状态,您可能会看到上面所描述的行为。您可以等待几分钟以便使连接状态超时,关闭现有的会话,或重启服务以强制删除旧连接状态。

问: 当我在网络环境中安装 ISA Server 时(利用强制的 IPSec),ISA Server 能够在短时间内进行远程管理,但是当现有的 IPSec 会话到期后,ISA Server 计算机就不能用于远程访问了。发生了什么事情?
答: ISA Server 不允许进行 Internet 密钥交换 (IKE) 通信,因此不能续订 IPSec 会话。作为一次运算,以允许在 IPSec 环境中远程管理 ISA Server,您必须创建一个规则,以允许到本地主机网络的 IKE 协议通信。在“ISA Server 管理”中的“工具箱、协议(VPN 和 IPSec 协议)”中有一个预定义的 IKE 协议定义。IKE 客户端协议定义定义了 UDP 端口 500 (SendReceive) 的主要连接。

问: 我已经为 ISA Server 设置了 NLB。如何才能确定每台 ISA Server 计算机可以与其他计算机通信?
答: 在每台 ISA Server 计算机上,您需要包括在其网络之一中的另一台 ISA Server 计算机的 IP 地址。例如,在 ISAServer2 的内部网络中包括 ISAServer1 的内部适配器的 IP 地址。在写入的时候,您还需要多播模式。

问: 我无法使用从“远程管理计算机”集中的计算机到 ISA Server 计算机的 DCOM。为什么不能?
答: 在系统策略规则中,没有选项可配置远程管理来允许不严格的 RPC 通讯。“远程管理”计算机到“本地主机”计算机之间的所有 DCOM 通信都将被断开 (drop)。RPC 筛选器不能被配置为不强制执行 RPC 筛选,允许 DCOM。作为一次运算,从“远程管理计算机”集合中删除计算机,为与系统策略规则相同的通信创建额外的策略规则。然后右击规则,单击“配置 RPC 协议”,清除该规则的“强制严格符合 RPC”。

问: 网络之间的 NAT 和路由关系有什么重要意义?
答: 如果您拥有一个网络规则,它定义两个网络(比如:内部网络和外部网络)之间的网络地址转换 (NAT) 关系,则适用以下条件:

• 内部到外部流量将由访问规则定义。

• 外部到内部流量将由发布规则定义。


如果您拥有路由关系,则可以在两个方向上使用访问规则。

问: 什么是本地主机网络?
答: 本地主机网络是指 ISA Server 计算机。也就是说,来往于 ISA Server 的所有流量都被视为通过本地主机网络传送。它包括 ISA Server 计算机的所有 IP 地址,以及保留的环回 IP 地址 127.0.0.1。

问: 如何才能筛选不想要的站点?
答: ISA Server 2004 中的 HTTP 筛选器允许您基于 URL 长度、字符串、文件扩展名和其他方法来阻止内容。您可以按访问规则或 Web 发布规则来指定 HTTP 筛选器。选择规则,然后在“任务”选项卡上,单击“编辑所选择的规则”。在“流量”选项卡(Web 发布)上,或在“协议”选项卡(访问规则)上,单击“配置 HTTP”。详细信息,请参阅联机帮助文档中的“HTTP 筛选器”主题。

问: 某些攻击为了破坏安全性,在 HTTP 标头中使用大量数据。如何才能限制 HTTP 标头的长度?
答: HTTP 筛选器可设置请求头的最大长度,并应用于所有规则。默认长度为 32,768 字节。要想修改默认值,请在“防火墙策略”节点的详细信息窗格中,右击需要的规则,然后单击“配置 HTTP”。您还可以使用 ISA Server SDK 帮助文档的“配置加载项”主题中提供的脚本来修改该值。

对响应头长度的限制是全局的,由 admin COM 属性“FPCWebProxy.MaxHeadersSize”来控制。

问: 我希望配置入站访问规则,但是不能为该规则选择入站协议。有什么问题?
答: 在 ISA Server 2004 中,入站协议只用于发布规则。对于访问规则,协议是出站的。

问: 在本地化语言环境中,使用集成身份验证的连锁请求失败了。这是什么原因?
答: 问题在于凭据的转换。集成身份验证失败,下游代理被识别为上游代理上的来宾帐户。

问: 当在 ISA Server 中使用网络负载平衡 (NBL) 时,双向关联 (BDA) 是否受支持?
答: 不,不支持 BDA。

问: 我看到在 SMTP 命令列表中的 Startls 命令。这是否意味着 SMTP 筛选器允许 SMTP TLS 加密的连接?
答: 如果您正在使用 STARTTLS 命令,SMTP 筛选器以 Passthrough(通过)模式工作,不对 SMTP 流量进行任何筛选。
1
查看完整版本: 【分享】ISA Server 2004 常见问题:管理