使用ISAServer发布服务器

1、使用ISA Server发布服务器 布服务器使用ISAServer2006发布受其保护的服务器，是ISAServer的第2个主要功能。ISAServer是目前惟一能真正发布安全Web站点的防火墙软件,本节将通过一些具体的实例，介绍用ISAServer发布服务器的方法及注意. 11.6 发布服务器 使用ISA Server 2006发布受其保护的服务器，是ISA Server的第2个主要功能。ISA Server是目前惟一能真正发布安全Web站点的防火墙软件,本节将通过一些具体的实例，介绍用ISA Server发布服务器的方法及注意事项。 11.6.1发布Web站点 示例：发布、到内网的172.

2、30.5.11、发布到内网的2、发布其他所有站点（默认站点）到内网的3。 大多数的硬件防火墙和软件的代理服务器，在对外发布服务器时，都是通过端口映射的方式来发布服务的。举例来说，Web服务使用TCP的80端口，一般的防火墙在发布Web服务器时，都是将“外网”IP地址的、TCP协议的80端口转发到内网的1台Web服务器上，并且1个IP地址只能转发1个，如果需要将内网中的多台Web服务器（不在同一台计算机上，也就是说，内网的IP地址不是1个时）转发到Internet上时，一般的服务器就没有了这个“功能”，目前只有ISA Server系列防火墙可以实现这个功能

3、。使用ISA Server 2006发布内网的Web服务是非常灵活的。这里通过举例来说明ISA Server 2006发布Web服务器的方法。 第1步，打开ISA Server 2006控制台，右击“防火墙策略”选项，从出现的菜单中选择“新建”“网站发布规则”命令，如图11-75所示，打开“欢迎使用新建邮件服务器发布规则”页。 第2步，在“欢迎使用新建Web发布规则向导”页中，在“Web发布规则名称”文本框中，键入标识信息，例如，“发布Web服务器”，然后单击“下一步”按钮。 第3步，在“请选择规则操作”页中，单击“允许”单选按钮，然后单击“下一步”按钮。 第4步，在“发布类型”页中，如果只发

4、布一个网站或一个网站的群集服务器，则选择第一项“发布单个网站或负载平衡器”，如果发布Web服务器上的多个站点，则选择第三项“发布多个网站”，如图11-76所示，本例选择第一项。 图11-75 新建网站发布规则 图11-76 发布网站类型 第5步，在“服务器连接安全”页中，单击“使用不安全的连接发布的Web服务器或服务器场”单选按钮，然后单击“下一步”按钮，如图11-77所示。 第6步，在“内部发布详细信息”页中，在的“内部站点名称”文本框中键入“”，选中“使用计算机名称或IP地址连接到发布的服务器”，在“计算机名称或IP地址”文本框中，键入1，然后单击“下一步”按钮，如图1

5、1-78所示。 图11-77 不使用SSL 图11-78 发布网站 说明：图11-78中“内部站点名称”，指的是想要“转发到”的目标主机上的站点名称，此名称可以用“主机头名”，也可以用“IP地址”，但不能加端口号，如果目标站点没有使用TCP的80端口，可以在创建发布规则后进行修改。 第7步，在“内部发布详细信息”页中，在“路径”文本框中键入“/*”，然后单击“下一步”按钮，如图11-79所示。 说明：如果发布的Web站点，在目标主机（在本示例中是IP地址为1的计算机）上，采用了主机头的方法标示每个网站，并且本站点发布了多个Web网站，则在图11-79中，要选中“转发原始主机

6、头而不是前一页的内部站点名称字段中指定的实际主机头”单选按钮。 第8步，在“公共名称细节”页中，在“公用名称”文本框中，键入第1个发布到Internet上的名称，在本示例中为“”，然后单击“下一步”按钮，如图11-80所示。 图11-79 转发路径 图11-80 公共名称 第9步，在“选择Web侦听器”页中，为发布的站点选择Web侦听器。在ISA Server中，绑定在ISA Server上的每个IP地址（通常是Internet地址即公网地址）都可以创建一个Web侦听器，并且选择该侦听器作为发布地址。在第一次发布Web站点时，要创建Web侦听器。 在“选择Web侦听器”页中，单击“新建”按钮，

7、在“欢迎使用新建Web侦听器向导”页中，在“Web侦听器名称”文本框中，为该侦听器设置一下名称，例如“Web侦听器”，然后单击“下一步”按钮；在“客户端连接安全设置”页中，选择“不需要与客户端建立SSL安全连接”，然后单击“下一步”按钮；在“Web侦听器IP地址”页中，单击“外部”，然后单击“下一步”按钮（如图11-81所示）；在“身份验证设置”页中，在“选择客户端将如何向ISA服务器提供凭据”下拉列表框中选择“没有身份验证”，然后单击“下一步”按钮（如图11-82所示）；在“单一登录设置”页中，单击“下一步”按钮；在“正在完成新建Web侦听器向导”页中，单击“完成”按钮。 图11-81 选择

8、侦听器地址 图11-82 选择身份验证 创建Web侦听器后，在“Web侦听器”下拉列表框中选择，然后单击“下一步”按钮，如图11-83所示。 第10步，在“身份验证委派”页中，选择“无委派，客户端无法直接进行身份验证”，然后单击“下一步”按钮，如图11-84所示。 图11-83 选择Web侦听器 图11-84 身份验证方法 第11步，在“用户集”页中，单击“下一步”按钮。 第12步，在“正在完成新建Web发布规则向导”页中，单击“完成”按钮。 第13步，双击新创建的“发布服务器”规则，打开“发布Web服务器属性”页，在“公共名称”选项卡中单击“添加”按钮，在弹出的“公共名称”对话框中，在“公共

9、域名或IP地址”中，添加该服务器需要转发的第2个网站“”，然后单击“确定”按钮，如图11-85所示。 第14步，在“到”选项卡中，单击“使请求显示为来自初始客户端”，然后单击“确定”按钮，如图11-86所示。 图11-85 添加第2个需要转发的网站 图11-86 使请求来自初始客户端 第15步，单击“应用”按钮让设置生效。 然后参照上面的步骤，发布到内网的2，这些设置与上面的第1步第15步相同，只不过没有第13步的操作。 在发布其他所有站点（默认站点）到内网的3，步骤与上文相似，只是在到第8步的操作中，在“公共名称细节”页中，在“授受请求”列表框中选择“

10、任何域名”（如图11-87所示），并且该条发布规则要在另外两条发布规则之后，如图11-88所示。 图11-87 任何域名 图11-88 发布所有网站规则在另外两条之后 11.6.2 发布邮件服务器 示例：在内网IP地址为5的计算机上安装着邮件服务器，本例将通过ISA Server 2006将5的邮件服务器发布到Internet。 第1步，在ISA Server 2006控制台上，右击“防火墙策略”，从出现的快捷菜单中选择“新建邮件服务器发布规则”，如图11-89所示。 第2步，在“欢迎使用新建邮件服务器发布规则向导”页中，在“邮件服务器发布规则名称”文本

11、框中，为将要发布的邮件服务器设置一个规则名称，例如“发布5的邮件服务器”，然后单击“下一步”按钮，如图11-90所示。 图11-89 邮件服务器发布规则 图11-90 邮件服务器发布规则名称 第3步，在“选择访问类型”页中，选择“客户端访问：RPC、IMAP、POP3、SMTP”，然后单击“下一步”按钮，如图11-91所示。 第4步，在“选择服务”页中，单击选中“POP3”和“SMTP”复选框，然后单击“下一步”按钮，如图11-92所示。 图11-91 访问类型 图11-92 选择服务 第5步，在“选择服务器”页中，在“服务器IP地址”文本框中，键入要发布的内网邮件服务器的

12、地址，在本例中，此地址为5，然后单击“下一步”按钮，如图11-93所示。 第6步，在“网络侦听器IP地址”页中，选择“外部”，然后单击“下一步”按钮，如图11-94所示。 图11-93 选择服务器地址 图11-94 外部 第7步，在“正在完成新建邮件服务器发布规则向导”页中，单击“完成”按钮。 第8步，单击“应用”按钮，让设置生效。 这样发布邮件服务器后，5的邮件服务器可以通过ISA Server与Internet上的其他邮件服务器互想收发邮件，Internet上的用户也可以使用Foxmail、Outlook等客户端程序通过POP3服务收发邮件，如果17

13、5的邮件服务器还支持Web方式收发信，管理员还需要创建一条到该服务器的Web服务器发布规则，这一点可参考“11.6.1 发布Web站点”的内容。 11.6.3 发布Exchange Web客户端访问 在上一节中，如果5的邮件服务器是Exchange 2000、Exchange Server 2003、Exchange Server 2007等Exchange类的邮件服务器，除了按照上一节的内容，发布邮件服务器外，还要发布Exchange的Web客户端访问，下面介绍该步骤。 第1步，打开ISA Server 2006控制台，右击“防火墙策略”选项，从出现的菜单

14、中选择“新建”“Exchange Web客户端访问发布规则”命令。 第2步，在“欢迎使用新建邮件服务器发布规则”页中，在“Exchange发布规则”文本框中键入“Exchange Web”，然后单击“下一步”按钮。 第3步，在“选择服务”页中，在“Exchange版本”下拉列表中选择Exchange版本，在此选择Exchange 2007，然后在“Web客户端邮件服务”选项组中选择“Outlook Web Access”，然后单击“下一步”按钮，如图11-95所示。 第4步，在“发布类型”页中，选择“发布单个网站或负载平衡器”，然后单击“下一步”按钮，如图11-96所示。 图11-95 选择服

15、务 图11-96 发布单个网站或负载平衡器 第5步，在“服务器连接安全”页中选择“使用不安全的连接连接发布的Web服务器或服务器场”然后单击“下一步”按钮。 第6步，在“内部发布详细信息”页中，在“内部站点名称”文本框中键入内部站点的名称，本例中为，同时选中下面的“使用计算机名称或IP地址连接到发布的服务器”复选框，在“计算机名称或IP地址”后面的文本框中键入邮件服务器的计算机名称或IP地址，如图11-97所示，然后单击“下一步”按钮。 第7步，在“公共名称细节”页中，在“接受请求”下拉列表中选择“此域名（在以下键入）”，在“公共名称”文本框中键入邮件服务器的域名，本例中为，然后单击“下一步”

16、按钮，如图11-98所示。 图11-97 内部站点信息 图11-98 公共名称 第7步，在“选择Web侦听器”页中，选择上文创建的“Web侦听器”，然后单击“下一步”按钮。 第8步，在“身份验证委派”页中的下拉列表中选择“无委派，客户端无法直接进行身份验证”选项，然后单击“下一步”按钮。 第9步，在“用户集”页中直接单击“下一步”按钮，然后在“正在完成新建Exchange 发布规则向导”页中单击“完成”按钮。 第10步，单击“应用”按钮，让设置生效。 11.6.4发布SharePoint站点 在ISA Server 2006中又新增了一个专门用来发布SharePoint站点的功能，下面来介绍如

17、何利用这个功能发布SharePoint站点。 第1步，打开ISA Server 2006控制台，右击“防火墙策略”选项，从出现的菜单中选择“新建”“SharePoint站点发布规则”命令。 第2步，在“服务器发布规则向导名称”页中键入“SPS”，然后单击“下一步”按钮。 第3步，在“发布类型”页中，选择第一项“发布单个网站或负载平衡器”，如图11-99所示，然后单击“下一步”按钮。 图11-99 选择发布类型 第4步，在“服务器连接安全”页中，选择“使用不安全的连接连接发布的Web服务器或服务器场”选项，如果所建的SharePoint站点使用了SSL安全连接，则选择第一项，然后单击“下一步”按

18、钮。 第5步，在“内部发布详细信息”页中的“内部站点内容”文本框中键入SharePoint站点在内部的名称，本例中为SPS，然后选中“使用计算机名称或IP地址连接到发布的服务器”，在“计算机名称或IP地址”后面的文本框中键入SharePoint站点的IP地址，如图11-100所示。 第6步，在“公共名称细节”页中的“接受请求”下拉列表中选择“此域名（在以下键入）”选项，然后在“公共名称”后面键入SharePoint站点在公网的域名，本例为，如图11-101所示。 图11-100 内部发布信息 图11-101 公共名称信息 第7步，在“选择Web侦听器”页中，从“Web侦听器”下拉列表中选择上文

19、创建的Web侦听器。 第8步，在“身份验证委派”页中，选择“无委派，客户端无法直接进行身份验证”选项，。 第9步，在“备用访问映射配置”页中，如果要发布的SharePoint站点已经配置了SharePoint AAM，就选择第一项，如果还没有配置，就选择第二项，如图11-102所示。 第10步，在“用户集”页中直接单击“下一步”按钮，在“正在完成创建SharePoint发布规则向导”页中单击“完成”按钮。 图11-102 备用访问映射配置 第11步，单击“应用”按钮，让设置生效。 11.6.5发布其他服务器 如果想在ISA Server 2006中发布其他服务器，如FTP服务器、Windows

20、 Server 2003的终端服务器（RDP）等，可以使用ISA Server 2006中防火墙策略的“非Web服务器协议发布规则”功能来发布这些服务。 在此以发布FTP服务器为例进行讲述，如何发布非Web服务器协议的服务器，具体步骤如下： 第1步，打开ISA Server 2006控制台，右击“防火墙策略”选项，从出现的菜单中选择“新建”“非Web服务器协议发布规则”命令，如图11-103所示，打开“欢迎使用新建邮件服务器发布规则”页。在“服务器发布规则向导名称”页中键入“发布FTP服务器”，然后单击“下一步”按钮。 第2步，打开“选择服务器”页，如图11-104所示，在服务器IP地址下面的

21、文本框中，键入FTP服务器的IP地址，然后单击“下一步”按钮。 图11-103 发布其他服务器 图11-104 键入IP地址 第3步，在“选择协议”页中的下拉列表框中，选择FTP服务器，如果你发布的是其他服务器，也可以在这个列表中选择相应的协议，如图11-105所示。 第4步，选择完成后，单击“端口”按钮，打开“端口”页，如图11-106所示，在“防火墙端口”选项区域中选择“在此端口而不是默认端口上发布”单选按钮后，就可以改变所发布的服务器所使用的端口了，如在后面的文本框中键入“5021”，如果在此做了修改后，在访问这个FTP服务器时就要键入ISA Server 2006服务器的IP地址:50

22、21来访问了。 图11-105 选择要发布的协议 图11-106 改变协议端口 第5步，在“网络侦听器IP地址”页中选择“外部”，然后单击“下一步”按钮，最后在“正在完成新建服务器发布规则向导”页中单击“完成”按钮。 说明：对于列表中没有的服务，可以在图11-105中单击“新建”按钮创建，这和上文添加QQ协议的方法类似，只不过，所有的服务都是“入站”协议，而访问规则，都是“出站”协议。关于创建协议的操作，在“11.6.7 为Internet用户提供代理服务”一节中介绍了其操作方法。 11.6.6 发布安全Web服务器 安全Web站点是使用起始头为https:/进行访问的，而不是通常的http:

23、/方式。安全Web站点默认使用TCP的443端口，普通Web站点使用TCP的80端口。在同一个Web服务器上，可以有多个使用TCP的80端口的普通Web站点，但只能有有一个使用TCP的443端口的安全Web站点，如果想在一个Web服务器上提供多个安全Web站点，只能使用TCP的443之外的其他端口。 如果使用普通的防火墙，一个公网的地址（即防火墙外网地址）只能转发一个TCP的443端口到内网的一台服务器上。在ISA Server 2004、ISA Server 2006中，在只有一个公网地址的情况下，利用“主机头名”方法，可以把不同的安全Web站点使用TCP的443端口转发到不同的内网的计算机

24、上。例如，可以把转发到一台内网的计算机上，而把转发到另一台内网的计算机上。在ISA Server 2004、ISA Server 2006中，还可能通过增加公网地址（即ISA Server外网地址）的方法，转发不同的域名，例如，类似、的域名等。 【说明】这需要在ISA Server上安装“通配符证书”，申请名为*的证书。然后才能转发。以后如果有时间，我会发这方面的文章。 在ISA Server 2004，使用同一个Web侦听器即可以很轻松的转发普通的Web站点（即TCP/IP的80端口）和安全的Web站点（即TCP/IP的443端口），但在ISA Server 2006中，如果在同一个Web站

25、点中，即提供普通Web站点转发，又提供安全的Web站点转发，那只能转发安全的Web站点，而不能提供普通的Web站点转发，这可能是ISA Server 2006的一个bug，也可能是ISA Server 2006为提高安全性而专门这样设置的。 所以，使用ISA Server 2006，在发布安全的Web站点时，和发布FTP服务器一样，只要发布HTTPS服务，到内网的相应计算机上就可以了，如果需要发布多个SSL站点，在外网上，再侦听443之外的端口即可。例如，ISA Server 2006外网地址为86，在1和8的计算机上提供SSL

26、 Web站点，则可以创建两条服务器发布规则，其中一条服务器发布规则，发布HTTPS服务，到其中的一台内网服务器，例如1，另一台，也发布HTTPS服务，但修改防火墙侦听端口为其他值（例如444，参考图11-106），发布到另一台服务器，则访问这台服务器时，Internet上的用户需要以86:444的方式访问。 11.6.7 为Internet用户提供代理服务 通常情况下，要想做代理服务器，需要有两个独立的到Internet的连接。而使用ISA Server 2004，可以在只有一个“Internet出口”的情况下，为Internet上的

27、其他用户做代理服务器。下面介绍使用ISA Server做代理服务器的方法和步骤。 第1步，在ISA Server的管理控制台中，创建服务器发布规则。 第2步，在“选择服务器”页中，在“服务器IP地址”字段下面键入ISA Server“内部网卡”的IP地址，然后单击“下一步”按钮继续。 第3步，在“选择协议”页中，单击“新建”按钮，在弹出的“欢迎使用新建协议定义向导”页中，在“协议定义名称”字段下面键入“Proxy Server”，然后单击“下一步”按钮继续。 第4步，在“首要连接信息”页中，单击“新建”按钮，在弹出的“新建/编辑协议连接”对话框中，在“协议类型”后面选择“TCP”，在方向”后面选择“入站”，在“端口范围”后面都输入“8080”，如图11-107所示，然后单击“确定”、“下一步”按钮继续，如图11-108所示。 图11-107 新建端口为8080的TCP的入站连接 图11-108 建立中TCP协议、端口号为80