部署方案

Microsoft Internet Security and Acceleration (ISA) Server 2004 为所有规模的组织中关心网络的安全、性能、可管理性或运营成本的 IT 经理、网络管理员和信息安全专家提供了价值。组织可以使用下面各节中描述的大量网络方案部署 ISA 服务器。

Internet 边缘防火墙

ISA 服务器可以部署为专用 Internet 边缘防火墙，来充当内部客户端的 Internet 安全网关。ISA 服务器计算机对于通讯路径上的其他方是透明的。Internet 用户应该无法判断此处是否有防火墙服务器，除非用户试图访问 ISA 服务器计算机拒绝访问的网络服务、协议或站点。通过设置安全访问策略，管理员可以防止未经授权的访问和恶意内容进入网络。

主要功能包括：

• 多层通讯筛选—数据包级别、线路级别和应用程序级别筛选。
• 智能应用程序层警示应用程序筛选器。
• 内置入侵检测。
• 锁定基本操作系统的系统强化。

有关如何使用 ISA 服务器控制 Internet 访问的方案的详细信息，请参阅 Controlling Secure Internet Access using ISA Server (http://www.microsoft.com/)。

部门或主干网络防火墙

ISA 服务器可以配置为部门或主干网络防火墙，为进出受保护的 LAN 提供安全的入站和出站访问控制。使用现有防火墙结构的组织可能希望保留它们的位于 Internet 边缘的现有高性能防火墙，将复杂应用程序层筛选卸载到位于 LAN 边缘的 ISA 服务器防火墙。这使组织可以在从 ISA 服务器应用程序层筛选防火墙提供的独特级别保护中获益的同时，利用现有高速 Internet 连接。

主要功能包括：

• 安全 Outlook Web Access 发布。有关如何使用 ISA 服务器发布 Outlook Web Access 的详细信息，请参阅 Outlook Web Access Server Publishing in ISA Server (http://www.microsoft.com/)。
• 安全 Internet 信息服务 (IIS) 网站发布。有关使用 ISA 服务器的安全 IIS 发布的详细信息，请参阅 Publishing Web Servers Using ISA Server (http://www.microsoft.com/)。
• 安全 Exchange RPC 发布。有关使用 ISA 服务器的安全 Exchange RPC 发布的详细信息，请参阅 Publishing Exchange Servers Using ISA Server (http://www.microsoft.com/)。
• 所有 Internet 协议和服务的基于用户和基于组的访问控制。
• 垃圾邮件筛选 SMTP 消息筛选程序。
• 与上游 Web 代理服务器链接的 Web 代理。

分支办公室防火墙

通过 ISA 服务器，可以使用站点到站点 VPN 连接将分支办公室网络连接到主办公室。可以将 ISA 服务器放置在分支办公室，在此处它可以作为保护分支办公室网络的防火墙，也可以作为将分支办公室网络连接到主办公室网络的 VPN 网关。ISA 服务器具有经过改进的 VPN 互操作性功能，使它可以使用您当前拥有的任何 VPN 解决方案创建站点到站点的链接。

主要功能包括：

• Internet 协议安全 (IPSec) 隧道模式支持使用第三方 VPN 网关的站点到站点链接。
• 使用 Microsoft VPN 网关的站点到站点链接的点对点隧道协议 (PPTP) 和 IPSec 上的第 2 层隧道协议 (L2TP)。
• 对站点到站点链接的监控状态检测限制可以访问主办公室网络的远程网络。
• 位于分支办公室的用于与 Internet 之间的入站和出站访问的 ISA 服务器防火墙控制。
• 对 VPN 连接的 LAN 之间的通讯进行监控状态检测的智能应用程序层筛选。

有关如何使用 ISA 服务器发布 Outlook Web Access 的详细信息，请参阅 Site-to-site VPN in ISA Server (http://www.microsoft.com/)。

安全服务器发布

ISA 服务器允许组织可以在不危及内部网络安全的情况下将服务发布到 Internet。组织可以配置 Web 发布规则和服务器发布规则，来确定哪些请求向下游发送到位于 ISA 服务器防火墙后的服务器，以便为内部服务器提供增强的安全层。所有转发的通讯对 ISA 服务器的监控状态筛选和检测引擎都是公开的。例如，Microsoft Exchange 服务器可以放置在 ISA 服务器后，可以创建服务器发布规则，来允许对 Exchange 简单邮件传输协议 (SMTP)、邮局协议 3 (POP3)、Internet 邮件访问协议 4 (IMAP4) 和网络对网络传输协议 (NNTP) 服务进行 SSL 保护的远程访问。ISA Server SMTP 消息筛选程序（看起来像客户端的电子邮件服务器）对传入到 Exchange 服务器的电子邮件进行侦听。然后，ISA Server SMTP 消息筛选程序可以对 SMTP 通讯进行筛选，并将它转发给 Exchange 服务器。Exchange 服务器从不直接对外部用户公开，而是保留在安全的环境中，维护对其他内部网络服务的访问。

主要功能包括：

• 易于使用的安全服务器发布向导。
• 用于透明客户端连接和服务器发布的 SecureNAT。
• 已发布的服务，包括超文本传输协议/安全套接字层 (HTTP/SSL)、FTP、SMTP、POP3、IMAP4、NNTP、DNS、RDP、H.323、流媒体等等。

安全 Exchange 服务器 SSL VPN

由于 SSL VPN 具有提供应用程序特定的、对内部网络资源的无客户端安全访问的能力，所以越来越受欢迎。ISA 服务器具有经过改进的 Outlook Web Access 向导，使您可以向远程用户授予连接端到端 SSL VPN 的 Outlook Web Access 的安全访问权限。SSL VPN 可以利用 ISA 服务器的 SSL 到 SSL 桥接，以便允许深度 HTTP 内容检测。通过阻止与 Outlook Web Access 网站进行的未经授权的会话，基本身份验证的委派和基于窗体的身份验证进一步保护了 Outlook Web Access SSL VPN。

主要功能包括：

• 易于使用的 Outlook Web Access 发布向导。
• 连接到通过 SSL VPN 的 Exchange Outlook Web Access 的无客户端 SSL VPN。
• 通过 ISA 服务器的独特 SSL 到 SSL 桥接的端到端安全性。
• 基本身份验证的委派阻止对 Outlook Web Access 网站的未经授权的访问。
• 基于窗体的身份验证使防火墙管理员可以设置会话超时和阻止用户访问附件。
• 深度 HTTP 应用程序层检测阻止用户通过 Outlook Web Access 连接上载文件。
• 用于 SSL 连接的证书可以由 Microsoft 证书服务生成或从第三方证书提供者获取。

其他方案

由于 Internet 的继续发展以及新应用程序的引入，ISA 服务器保护网络的能力将继续证明有效。请参阅 ISA Server Guides and Articles (http://www.microsoft.com/)，以获取新文档或经过更新的文档。

---

请在 ISA Server Guides and Articles 获取最新的 ISA 服务器内容。