ISA Server 2006 的內部用戶端概念

Microsoft® Internet Security and Acceleration (ISA) Server 2006 使用多種通訊層來保護公司網路。ISA Server 會在封包層執行防火牆原則，以控制網路介面上的資料，並在流量到達任何資源時先評估流量。只有當 Microsoft Firewall 服務執行規則來判定是否要服務要求之後，才會允許資料通過。

ISA Server 會保護三種用戶端類型：防火牆用戶端、SecureNAT 用戶端及 Web Proxy 用戶端，如下圖所示。

部署注意事項

支援何種 ISA Server 用戶端之選擇，取決於 ISA Server 部署實例以及現有的網路基礎結構。下表摘要列出用戶端需求及部署的詳細資料。

ISA Server 對於其內部網路的用戶端所發出的要求之處理方式，取決於用戶端電腦的設定情形，以及所產生的要求類型。例如：

回到頁首

防火牆用戶端

防火牆用戶端係安裝且啟用防火牆用戶端軟體的電腦，位在受 ISA Server 保護的網路中。防火牆用戶端可安裝在每個個別的用戶端電腦上，或是使用 Windows 軟體安裝嵌入式管理單元來集中管理防火牆用戶端軟體的發行。如需安裝及部署的相關資訊，請參閱 Microsoft TechNet 上的＜部署 ISA Server 2006 防火牆用戶端＞。

防火牆用戶端採用一般的 Winsock 提供者。設定防火牆用戶端並不會同時設定個別的 Winsock 應用程式。倒是防火牆用戶端軟體中的動態連結程式庫 (FwcWsp.dll) 會成為所有 Winsock 應用程式通透性使用的 Winsock 分層式服務提供者。防火牆用戶端分層式服務提供者會攔截從用戶端應用程式呼叫的 Winsock 功能，並針對本機目的地將要求路由傳送到原始下層基礎服務提供者，或針對遠端目的地以通透方式傳送到 ISA Server 電腦上的防火牆服務。

舊版防火牆用戶端支援

ISA Server 2006 (4.0 版) 內含的防火牆用戶端版本及 ISA Server 2004 的防火牆用戶端，為防火牆用戶端與 ISA Server 之間的通訊提供更完善的安全性支援。使用 TCP 控制通道隨著各個要求以通透方式傳送的防火牆用戶端認證皆經過加密，不會遭到中途攔截。

此項設定會讓舊版的防火牆用戶端軟體無法連線。也會防止任何執行 Windows NT® Server 4.0、Windows Millennium Edition 或 Windows 98 的防火牆用戶端連線。您可以設定讓 ISA Server 僅接受使用此安全方法進行通訊的用戶端連線，或是選擇支援舊版用戶端連線。

進行防火牆用戶端設定

防火牆用戶端設定可如下進行：

在防火牆用戶端安裝過程中，會在用戶端電腦上建立下列設定檔：

用戶端電腦上的設定檔所在位置視作業系統而定。例如，在 Windows XP 電腦上，設定檔會複製到下列兩個位置：

當防火牆用戶端設定有所修改時，會採用以下的喜好設定順序：

修改 ISA Server 管理中的設定值

在 ISA Server 管理中，您可以修改所有網路中所有防火牆用戶端的設定值，亦可修改預設內部網路的防火牆用戶端內容，或使用者定義的內部或周邊網路。下表摘要列出 ISA Server 管理中的防火牆用戶端設定。

修改防火牆用戶端電腦上的設定

使用 [Microsoft Firewall Client 管理] 對話方塊或修改設定檔，可在防火牆用戶端電腦上進行設定。請注意下列事項：

修改應用程式設定

您可在 ISA Server 管理中修改應用程式設定，以套用到所有的防火牆用戶端或某一特定防火牆用戶端電腦。下表列出您在設定防火牆用戶端應用程式設定時可納入的項目。第一個直欄列出可以包括在設定檔中的機碼。第二個直欄描述可設為機碼的值。請注意，某些設定只能在防火牆用戶端電腦上設定。

在防火牆用戶端電腦上，除了可以修改 Common.ini 及 Management.ini 檔案外，您還能夠針對所有使用者或單一特定使用者建立另一個名為 Application.ini 的檔案，以便指定特定應用程式的設定資訊。例如，若要指定特定應用程式 (FW_Client_App.exe) 的項目，應在 Application.ini 檔案中設定以下範例：

[fw_Client_App]
Disable=0
NameResolution=R
LocalBindTcpPorts=7777
LocalBindUdpPorts=7000-7022, 7100-7170
RemoteBindTcpPorts=30
RemoteBindUdpPorts=3000-3050
ServerBindTcpPorts=100-300
ProxyBindIp=80:100.52.144.103, 82:110.51.0.0
Persistent=1
ForceCredentials=1
NameResolutionForLocalHost=L

防火牆用戶端本機位址

每當防火牆用戶端上執行的 Winsock 應用程式嘗試向電腦傳送要求時，防火牆用戶端分層服務提供者會判定目的地 IP 位址是否為本機位址。如是，防火牆用戶端便會將要求直接傳送到目的地。如果目的地位在遠端，會將要求傳送到 ISA Server 電腦上的防火牆服務，由該服務根據 ISA Server 存取規則來處理要求。依預設，防火牆用戶端會將下列位址視為本機：

處理要求

防火牆用戶端處理 IP 位址要求的方式如下：

名稱解析

安裝有防火牆用戶端的電腦含有各應用程式的設定，用來指定是否由 ISA Server 代替用戶端進行名稱解析。依預設，在防火牆用戶端上執行的 Winsock 應用程式要求，其名稱解析的處理方式如下：

若要變更此預設行為，可使用下列值修改 NameResolution 設定值：

若想確定應用程式的名稱解析確實執行，不妨修改此設定。您可以修改 Common.ini 檔案中的設定，藉此指定將設定套用到所有的應用程式。若要針對特定應用程式指定設定，請在 Application.ini 檔案中設定該應用程式名稱和值。

當網域及電腦指定為直接存取時，防火牆用戶端電腦會嘗試解析名稱，而不透過 ISA Server。用戶端電腦需要在 TCP/IP 參數中指定 DNS 伺服器，才能正確解析名稱。特別是，用戶端電腦必須能夠解析發行到內部 IP 位址的資源名稱。

如果應用程式的 NameResolution 設定指定為 L 或 R，此設定會置換任何直接存取設定。例如，如果您將 NameResolution 設定指定為 FWC_Application.exe = R，則無論 ISA Server 防火牆用戶端設定檔中是否有任何項目將要求目的地指定為本機，該應用程式的 FQDN 解析要求都一律由 ISA Server 處理。

驗證

防火牆用戶端會隨每項要求傳送使用者訊息至 ISA Server 電腦。如此可讓您建立針對特定群組及使用者套用的存取規則。使用者必須以 Active Directory® 目錄服務使用者帳戶登入，或者在工作群組實例中，必須以鏡像在 ISA Server 電腦上的使用者帳戶登入。當使用者名稱傳送到 ISA Server 電腦時，會記錄到 ISA Server 防火牆記錄檔中。如此可方便追蹤防火牆用戶端流量。

回到頁首

SecureNAT 用戶端

下節提供 SecureNAT 用戶端的相關資訊，包括處理要求、設定 SecureNAT 用戶端、名稱解析、驗證，以及伺服器發行。

處理要求

ISA Server 必須仰賴要求中使用的 IP 位址及通訊協定內容，才能辨識 SecureNAT 用戶端。來自 SecureNAT 用戶端的要求會先導向網路位址轉譯 (NAT) 驅動程式，它會以網際網路上有效的全域 IP 位址替換 SecureNAT 用戶端的內部 IP 位址。用戶端要求接著會導向到防火牆服務，以判定是否允許存取。防火牆服務也會快取所要求的物件，或是傳遞來自 ISA Server 快取的物件。由於來自 SecureNAT 用戶端的要求是由防火牆服務來處理，因此 SecureNAT 用戶端可有效利用防火牆服務安全性功能。所有的 ISA Server 規則皆可套用到 SecureNAT 用戶端，且有關通訊協定使用方法、目的地及內容類型等原則，亦可套用到 SecureNAT 用戶端。此外，要求可透過應用程式篩選器及其他擴充功能篩選。

若要能夠處理複雜通訊協定 (需要多個主要或次要連線者)，Microsoft Windows NAT 採用 NAT 編輯器，其係以核心模式的 NAT 編輯器驅動程式編寫而成。ISA Server 應用程式篩選器取代了通常可透過 Windows 型 NAT 編輯器使用的功能，且能夠修改通訊協定資料流，以便處理複雜的通訊協定。請注意下列限制：

設定 SecureNAT 用戶端

SecureNAT 用戶端不需要特殊軟體，但必須仰賴組織化的路由結構，將要求轉寄到 ISA Server。您必須設定用戶端電腦的預設閘道，以便讓目標通往網際網路的所有流量藉由 ISA Server，以直接或間接方式透過路由器傳送。設定預設閘道內容時，請辨識您所設定的網路拓撲類型：

名稱解析

SecureNAT 用戶端能夠向本機網路及網際網路中的電腦要求物件。因此，SecureNAT 用戶端需要可以解析外部及內部電腦名稱的 DNS 伺服器。在此提出下列建議：

特別是，當您在針對 SecureNAT 用戶端設定名稱解析時，請務必避免透過 ISA Server 電腦迴路繞送內部資源要求。例如，假設 SecureNAT 用戶端要求存取由外部網路上的 ISA Server 所發行的內部資源，名稱解析不應將該要求解析成外部網路上的公用 IP 位址。若作如此解析，且 SecureNAT 用戶端將要求傳送到外部 IP 位址，則發行伺服器可能會直接對 SecureNAT 用戶端回應，造成回應丟失。用戶端的來源 IP 位址會取代為 ISA Server 內部網路介面卡的 IP 位址，而發行伺服器將該 IP 位址視為內部位址，因而直接回應 SecureNAT 用戶端。在此案例中，其中一向的封包係透過 ISA Server 以外的路徑傳送，另一方向的封包則透過 ISA Server 傳送，但 ISA Server 會認定回應無效而予以丟棄。

驗證

SecureNAT 用戶端無法傳送認證到 ISA Server。要驗證 SecureNAT 用戶端的連出要求，唯一可用的控制項為 IP 位址。如果 ISA Server 存取規則要求驗證，使用者會看到驗證訊息或失敗訊息。

SecureNAT 用戶端及伺服器發行

使用 ISA Server 發行而發行的內部伺服器通常會設定成 SecureNAT 用戶端。

在伺服器發行實例中，ISA Server 會在特定的 IP 位址及連接埠上，接聽存取內部伺服器的要求。一旦接獲要求，ISA Server 即根據伺服器發行規則，將該要求轉寄到已發行的伺服器。如果 ISA Server 設定為轉寄要求至已發行的伺服器時，需一併傳送封包源自的外部用戶端之原始來源 IP 位址，則必須將已發行的伺服器設定為 SecureNAT 用戶端。內部伺服器需具備透過 ISA Server 通向網際網路的預設路徑，以便回覆封包可經由 ISA Server 轉譯並傳回來源 IP 位址。將已發行的伺服器設定為 SecureNAT 用戶端，即可確保其具備透過伺服器發行來源的 ISA Server 電腦通向網際網路的預設閘道。如果已發行的伺服器無法設定為 SecureNAT 用戶端 (沒有通向網際網路的預設路徑)，請確定伺服器發行規則是否選取 [要求看起來是來自 ISA Server 電腦] 設定。

回到頁首

Web Proxy 用戶端

Web Proxy 用戶端係一種用戶端應用程式或電腦，負責傳送要求至下列任一連接埠：

Web Proxy 用戶端通常是遵循 HTTP 1.1 的網頁瀏覽器應用程式，且其 Proxy 設定設為傳送 Web 要求至 ISA Server。設有 Web Proxy 設定的防火牆用戶端及 SecureNAT 用戶端也會以 Web Proxy 用戶端身份發出 Web 要求。

請啟用 ISA Server 預設內部網路及使用者定義的內部和周邊網路，以接聽來自 Web Proxy 用戶端的要求。請設定網路內容使其套用到網路中所有的 Web Proxy 用戶端。對於未在安裝有防火牆用戶端軟體的電腦上執行的網頁瀏覽器，當啟用網頁瀏覽器進行自動偵測，或當網頁瀏覽器設定有自動設定指令碼的位置時，會套用上述設定。

設定 Web Proxy 用戶端的瀏覽器設定

下表摘要列出可套用到 Web Proxy 用戶端的網頁瀏覽器設定。

當自動設定指令碼中的網頁瀏覽器向 ISA Server 發出要求時，即將所指定的 IP 位址範圍、電腦及可供直接存取的網站 URL 清單傳送到該瀏覽器；網頁瀏覽器發出要求的方式有二，一種是使用 WPAD 呼叫 (\http://wpad.dat) 來尋找 ISA Server，或是以呼叫取得自動設定指令碼位置 (預設位置為 http://ISAServer_Name:8080/array.dll?Get.Routing.Script)。

回到頁首

Web Proxy 篩選器

ISA Server 2006 中的 Web Proxy 篩選器代表網路中要求 HTTP 和 HTTPS 物件且受 ISA Server 保護的用戶端，在應用程式層級中運作。這類 Web 要求可利用應用程式層檢查及快取，其來源不一而足，例如有：

回到頁首