IPSec 隧道协议网络

ISA Server 2004 支持使用 Internet 协议安全 (IPSec) 隧道协议的站点到站点虚拟专用网络 (VPN)。例如，如果您使用 ISA Server 2004 作为 VPN 服务器，并且要连接到的站点使用第三方产品或 ISA Server 2004 作为它的 VPN 服务器，则可以使用 IPSec 隧道协议。下图显示了 IPSec 隧道解决方案的一种可能的网络拓扑。

如上图所示，主办公室使用 ISA Server 2004 作为它的 VPN 服务器。ISA Server 2004 位于运行 Microsoft® Windows Server™ 2003 或 Windows® 2000 Server 的计算机上。

分支办公室可能运行多个第三方 VPN 服务器中的一个。或者，分支办公室可能使用 ISA Server 2004、Windows Server 2003 或 Windows 2000 Server 作为它的 VPN 服务器。

使用 IPSec 设置远程网络涉及以下几个常规步骤：

1. 创建远程站点网络。选择 IPSec 作为隧道协议。有关说明，请参阅添加远程站点网络。
2. 配置 ISA 服务器网络规则和访问策略。详细信息，请参阅站点到站点的 VPN 和防火墙策略。
3. 如果您的 ISA 服务器计算机通过拨号连接连接到 Internet，可以配置自动拨号。有关说明，请参阅配置自动拨号。
4. 配置远程 VPN 服务器。必须按照制造商的说明，将远程 VPN 服务器配置为以 IPSec 隧道模式连接到 ISA 服务器计算机。ISA 服务器提供了配置远程服务器所需的信息摘要。有关查看摘要信息的说明，请参阅查看 IPSec 策略。
5. 配置高级 IPSec 设置。有关说明，请参阅为阶段 I 配置高级 IPSec 设置和为阶段 II 配置高级 IPSec 设置。

IPSecPol 工具

要在运行 Windows 2000 的计算机上使用 IPSec 协议隧道模式创建远程站点网络，必须安装 IPSecPol 工具，该工具可从 Microsoft 网站(http://www.microsoft.com/)获得。该工具必须安装在 ISA 服务器安装文件夹中。

当使用 IPSec 隧道协议创建远程站点网络时，如果重新启动防火墙服务，Microsoft 防火墙服务会修改计算机上的 IPSec 筛选器。该过程可能持续几分钟，这取决于网络的地址范围中包含的子网数。为了将影响降到最低，建议您定义排列在子网边界的 IP 地址范围。

PolicyAgent 服务

如果停止或重新启动 IPSec PolicyAgent 服务，将丢失所有动态的 IPSec 配置信息，其中包括 ISA 服务器 VPN 站点到站点 IPSec 配置设置，并且客户端将断开连接。此外，当停止 PolicyAgent 服务并清除 IPSec 策略时，来自客户端的所有通讯都将以未加密的形式转发到 Internet。

要还原设置，请启动 PolicyAgent 服务并重新启动防火墙服务。或者，重新启动计算机。

域成员的 IPSec 策略

ISA 服务器计算机通常不是域成员。在这种情况下，可以使用本地 IPSec 策略。但是，如果 ISA 服务器是域成员，而该域又为其所有成员应用了 IPSec 策略，则域 IPSec 策略会覆盖本地 IPSec 策略。与域管理员一起工作，以确保域 IPSec 策略不会与为远程站点网络配置的 IPSec 策略发生冲突。要查看远程站点网络的 IPSec 策略，请执行以下操作：

1. 在“ISA 服务器管理”中，单击“虚拟专用网络 (VPN)”。
2. 在详细信息窗格中，单击“远程站点”选项卡。
3. 在详细信息窗格中，选择可用的远程网络。
4. 在“任务”选项卡上，单击“查看 IPSec 策略”。

IPSec 支持多个 IP 地址

对于 IPSec 远程站点网络，将非主 IP 地址用作本地终结点时，将不支持下列情况：

• 不能配置从任何内部网络到远程站点网络的 NAT 关系（对于从内部网络到远程站点网络启动的通讯）。
• 不支持从内部网络到远程站点网络的 Web 代理通讯。通过定义不是为 Web 代理应用程序筛选器而配置的新协议（例如，称为 HTTP1），可以允许 HTTP 通讯。在允许进入特定远程站点网络的 HTTP 通讯的规则中使用该协议。

将多个 IPSEC 远程站点网络连接到运行 Windows Server 2003 的同一 ISA 服务器计算机时，我们建议您为每个远程站点网络的本地终结点定义唯一的 IP 地址。

如果多个 IPSec 远程站点网络需要 NAT/HTTP 功能（从内部网络到远程站点网络），我们建议您针对每个远程站点网络使用专用的网络适配器（将网络适配器上的主 IP 地址用作本地终结点）。要标识主 IP 地址，请执行下列操作：

1. 选择相关的网络适配器，然后右键单击“属性”。
2. 单击“TCP-IP”协议，然后单击“属性”。

---

请在 ISA Server Guides and Articles 获取最新的 ISA 服务器内容。