隔离控制要求

本部分介绍运行 ISA 服务器隔离控制的要求。

ISA 服务器计算机

可兼容隔离的 ISA 服务器计算机具有以下组件：

• 一台运行 Microsoft® Windows Server™ 2003 或 Windows® 2000 Server 家族（如果要实施 RADIUS 隔离策略，而不是 ISA 服务器策略时，则是必备项）的某个成员和 ISA 服务器的计算机。
• 侦听器组件。此组件侦听来自兼容隔离远程访问客户端的消息，以了解它们的脚本是否已成功运行。您可以创建自己的自定义侦听器组件（以便与您自己的自定义通知程序组件相匹配），或者可以从 Windows Server 2003 资源工具包安装远程访问隔离代理服务 (Rqs.exe) 示例。

如果您创建自己的侦听器组件，则必须将它设计为侦听来自通知程序组件的消息，并使用 MprAdminConnectionRemoveQuarantine() (http://www.microsoft.com/) 应用程序编程接口 (API) 删除远程访问连接的隔离限制。请注意，该 API 必须调用（ISA 服务器安装目录下的）Vpnplgin.dll，而不是如 API 文档所述的 Mprapi.dll。之后，ISA 服务器将该调用链到路由和远程访问。

使用安装的这些组件，ISA 服务器计算机可以使用隔离模式连接远程访问客户端，并侦听通知程序的消息，以了解客户端是否满足网络策略要求，以及是否可以将客户端从隔离的 VPN 客户端网络移动到 VPN 客户端网络中。

如果您使用的是 Rqc.exe 和 Rqs.exe，那么 Rqc.exe 发送的通知消息将包含一个文本字符串，以指示正在运行的隔离脚本的版本。从隔离脚本运行时，Rqc.exe 将该字符串配置为它的命令行参数的一部分。Rqs.exe 将该文本字符串与 ISA 服务器计算机的注册表中存储的一组文本字符串进行比较。如果与其中某个字符串匹配，则从连接中删除该隔离条件。ConfigureRQSForISA.vbs 脚本（可从 ISA 服务器网站 (http://www.microsoft.com/) 获得）可帮助安装 RQS（侦听器组件）。

注意

• Rqc.exe 发送的通知并未经过加密和身份验证，可能会被恶意客户端欺骗。
• RQS.exe 代理应取决于路由和远程访问。

路由和远程访问既可以用 Windows 身份验证提供程序进行配置，也可以用 RADIUS 身份验证提供程序进行配置。

兼容隔离的 RADIUS 服务器（可选）

如果 ISA 服务器计算机上的路由和远程访问是使用 RADIUS 身份验证提供程序配置的，那么兼容隔离的 RADIUS 服务器需要一台运行 Windows Server 2003 和 Internet 验证服务 (IAS) 的计算机，这样才能支持配置 MS-Quarantine-IPFilter 和 MS-Quarantine-Session-Timeout RADIUS 供应商特定的属性 (VSA)。MS-Quarantine-IPFilter 属性适用于隔离筛选器。MS-Quarantine-Session-Timeout 属性适用于隔离会话计时器。

隔离资源

隔离资源由符合以下特征的服务器组成：隔离模式下的远程访问客户端可以对其进行访问，以执行名称解析（如 DNS 服务器）、获取最新版本的 CM 配置文件（允许匿名访问的文件服务器），或者访问让该远程访问客户端遵守网络策略所需的说明和组件（允许匿名访问的 Web 服务器）。匿名访问文件和 Web 资源是必需的，因为尽管远程访问用户可能拥有正确的凭据来创建远程访问连接，但他们可能没有使用正确的域凭据来访问受保护的文件和 Web 资源。

---

请在 ISA Server Guides and Articles 获取最新的 ISA 服务器内容。