ISA Server 2006 中的網路概念

充當邊緣防火牆。 在此實例中，會定義內部和外部網路。ISA Server 位於網路拓撲邊緣，並使用兩張網路介面卡進行安裝。其中一張介面卡僅在內部連接，而另一張則是連接到網際網路，這樣做可以保護內部資源。

在三向網路設定中。 此實例通常具備內部網路和個別的周邊網路。ISA Server 是以三張網路介面卡進行設定。此拓撲通常是用來將已發行的伺服器隔離在伺服器本身的網路上。

使用其他防火牆。 在此實例中，ISA Server 是以兩張網路介面卡進行設定。ISA Server 可能是在企業邊緣進行設定，而且在它和內部公司網路之間有防火牆；或是在內部網路邊緣進行設定，而在公司邊緣有另一個防火牆。

充當內部網路區段防火牆。 在此實例中，ISA Server 位於兩個內部網路之間，並且以兩張網路介面卡進行設定。它會路由及篩選網路之間的流量，因此能有效地隔離這兩個網路。

充當 Web Proxy 或快取伺服器。 常見實例是是安裝具有單一網路介面卡的 ISA Server，並且提供 Web Proxy、快取和網頁發行功能。

網路。網路通常都會對應到實體網路。網路一定會具備相關聯的網路介面卡，並且代表可從相關聯網路介面卡到達的一或多個 IP 位址範圍。

企業網路。在 ISA Server 2006 Enterprise Edition 中，企業層級網路是針對企業而非特定陣列所定義的網路。這類網路可用於定義企業層級存取規則，或是併入陣列層級網路定義中。

網路組。網路組包括一或多個網路。

電腦。電腦物件代表單一 IP 位址。

位址範圍。位址範圍是要套用規則的連續 IP 位址的集合。

子網路。子網路代表位於相同子網路中的一組電腦。

電腦組。電腦組是電腦、IP 位址範圍或子網路的集合。

URL 組。一個 URL 組會定義一或多個 URL。

網域名稱組。網域名稱組會定義一或多個網域。

網路物件位於工具箱中。若要尋找工具箱，在 [ISA Server 管理] 上按一下 [防火牆原則] 節點，然後按一下 [工具箱] 索引標籤。工具箱還包含另外兩個僅能用於網頁發行規則、網頁接聽程式和伺服器陣列物件的網路物件。網頁接聽程式物件用來啟用 ISA Server 網路，以便接聽特定 IP 位址和連接埠上的 Web 要求。您也可以啟用網頁接聽程式，要求用戶端驗證 Web 要求。伺服器陣列物件允許您發行 Web 伺服器的陣列，而不是單一 Web 伺服器。如需相關資訊，請參閱 Microsoft TechNet 網站上的 ＜ISA Server 2006 中的網頁發行概念＞(英文)。

建立企業層級的存取規則時，請使用企業層級的網路物件。企業層級存取規則會定義為企業原則的一部份。企業原則可以套用至一或多個 ISA Server 陣列。每個陣列的防火牆原則是由下列兩種規則組成：內含於套用的企業原則的企業層級規則，以及在陣列層級針對特定陣列所建立的原則規則。

建立適用於企業層級存取規則或可由企業中陣列參照的企業層級網路。

建立企業層級存取規則。企業系統管理員可以在企業層級建立存取規則。在企業層級建立存取規則可簡化原則維護，因為企業層級的單一變更可傳播至使用規則所在之企業原則的多個陣列。企業網路同時可為企業內陣列提供互相參照的機制。

將企業網路包含於陣列層級網路中。定義陣列層級網路的位址範圍時，陣列系統管理員可併入一或多個企業網路。陣列層級網路可以包含 IP 位址範圍，此外，還可包含一或多個企業網路，因此內含的 IP 位址不一定要實際連接到陣列。企業網路僅包含符合特定 ISA Server 電腦之路由表的位址範圍。

預先定義的企業網路會將相同 IP 位址組隱含定義為陣列層級的相對應物。特別是，企業層級的本機主機網路會隱含定義一組 IP 位址，可包括所有繫結到本機 ISA Server 電腦上之網路介面卡的 IP 位址及 127.0.0.1。此網路中所含的 IP 位址會因陣列中的不同伺服器而有所不同。

由企業系統管理員套用至預先定義企業網路的任何規則，會套用至同名的陣列層級網路中。例如，套用至名為「本機主機」之企業網路的規則，也會套用至該陣列之「本機主機」網路的 IP 位址中。請考慮另一個實例，其中企業層級規則會套用到企業層級的 VPN 用戶端網路。在陣列層級中，此規則只會套用到該陣列的虛擬私人網路 (VPN) 用戶端。例如，假設此企業原則會套用到企業中的兩個陣列。在此實例中，有一個陣列位於周邊網路的前端，且設定為允許漫遊用戶端存取 (VPN)。第二個陣列位於後端，但未啟用 VPN 用戶端存取。若 VPN 用戶端連線到前端陣列，則企業規則會套用到該 VPN 用戶端。不過，若此用戶端的要求是傳送到後端陣列，則因為該用戶端不是後端陣列的 VPN 用戶端，所以企業規則不會套用到此陣列。

建立不包含企業網路的陣列層級網路。這樣可以有效地建立只有該陣列可見並使用的網路。其餘企業則無法使用此網路。如果陣列層級網路不應受到企業層級所做的變更影響，或是企業層級不需要且未使用陣列層級網路，這一點就很有用。

建立包含一或多個企業網路的陣列層級網路。舉例來說，請參考下列兩種陣列：前端陣列及後端陣列，兩者皆以 10.0.0.0/8 的 IP 位址範圍來連接網路。也假設企業系統管理員已利用 10.0.0.0 到 10.255.255.255 的 IP 位址範圍，定義了名為 ENT-Perimeter 的企業網路。然後，每個陣列系統管理員都可定義名為 Perimeter 的陣列層級網路，並包含其所含之企業網路 ENT-Perimeter 的 IP 位址範圍。接著可依據網路 Perimeter 來建立陣列層級防火牆原則規則。

陣列層級內部、外部和周邊網路。

陣列層級透過 IPSec 的網站間 VPN 網路、點對點通道通訊協定 (PPTP) 或第二層通道通訊協定 (L2TP)。當您在 ISA Server 建立網站間 VPN 網路時，就是在建立代表遠端 VPN 網站的新網路實體。網路定義包含遠端 VPN 閘道、遠端網站 VPN 存取的可用 IP 位址範圍，以及連線通訊協定和驗證方法。在 ISA Server 2006 Enterprise Edition 中，只能在陣列層級建立這些網路。建立 VPN 網站間網路是建立 VPN 連線的第一步。建立這類網路之後，您會定義網路規則以指定網路的通訊方式，並且定義存取規則以允許及篩選網路之間的流量。您只能使用網站間 VPN 精靈建立這類網路。如需相關資訊，請參閱 Microsoft TechNet 網站上的＜ISA Server 2006 中的虛擬私人網路＞(英文)。

企業層級網路。您可以建立自訂企業層級網路。但是僅能指定 IP 位址範圍。在企業層級網路上，您無法設定其他內容。

位址。定義要併入網路的 IP 位址範圍。

Web Proxy。指定網路是否會接聽 Web Proxy 用戶端的 HTTP 要求，以及這類用戶端將會針對要求而使用的驗證類型。請注意，[啟用 SSL] 設定僅適用於 Web Proxy 鏈結實例中。您無法將 Web Proxy 用戶端設定為連接使用安全通訊端層 (SSL) 的 ISA Sever。在本機主機網路上設定 Web Proxy 內容，以便將 Web Proxy 接聽程式設定為供在 ISA Server 網路上執行的應用程式使用。如果將 Web Proxy 用戶端設定為使用自動指令碼，則您在此內容頁上指定的選項會反映在設定網頁瀏覽器設定的設定指令碼。

防火牆用戶端。指定網路是否會在連接埠 1745 上接聽防火牆用戶端的要求，並且進行設定，判斷防火牆用戶端電腦上的網頁瀏覽器如何偵測瀏覽器設定。您可以使用動態主機設定通訊協定 (DHCP) 或網域名稱系統 (DNS) 中的 Web Proxy 自動探索 (WPAD) 項目，以指定啟用該用戶端來偵測瀏覽器設定，或是在特定位置使用自動設定指令碼。安裝防火牆用戶端電腦時，會套用指定的設定。如果您之後在 ISA Server 電腦上變更防火牆用戶端組態設定，ISA Server 會在下列時機自動更新組態設定：每次重新啟動該防火牆用戶端時、每次在 [Microsoft 防火牆用戶端] 對話方塊的 [一般] 索引標籤上按一下 [立即偵測] 或 [測試伺服器] 時，以及距離上次重新整理之後的每六小時。設定會套用至防火牆用戶端電腦上的所有使用者。如需相關資訊，請參閱 Microsoft TechNet 網站上的 ＜ISA Server 2006 中的內部用戶端概念＞。請注意，如果針對網路啟用 IPsec，則可能會損害防火牆用戶端的功能。如果您遇到這個問題，請在網路上停用 IP 路由。

自動探索。指定連接埠號碼，而網路介面卡應在其上接聽來自 Web Proxy 用戶端的 WPAD 要求，以及接聽來自已安裝並啟用防火牆用戶端軟體的用戶端電腦的 Winsock Proxy Autodetect (WSPAD) 要求。依預設，ISA Server 會在連接埠 80 上發行自動探索資訊。對於存在網際網路資訊服務 (IIS) 的 ISA Server 電腦而言，啟用自動探索可能會在連接埠 80 上造成資源衝突。因應措施是指向自動設定指令碼，而不要使用 WPAD。變更預設連接埠可能會造成問題，因為大部分支援 WPAD 的應用程式都會向連接埠 80 提出要求。如需相關資訊，請參閱 Microsoft TechNet 網站上的 ＜ISA Server 2006 中的自動探索概念＞。

網頁瀏覽器。指定針對網路上的 Web Proxy 用戶端進行瀏覽器設定。組態設定包含指定備份路由、針對本機網路中的電腦略過 Proxy，以及使用略過 Web Proxy 的直接存取。充當 Web Proxy 用戶端的電腦會啟用以進行自動偵測，或是使用自動設定指令碼，而且這些電腦都將使用此索引標籤上指定的設定值。若要直接存取，您可以指定應該略過 [網域] 索引標籤上所指定網域清單的 Web Proxy，或指定直接存取網站的清單。當您在 [直接存取這些伺服器或網域] 清單中指定直接存取的目的地時，請注意下列事項：

您應該同時指定目的地 IP 位址及完整網域名稱 (FQDN)，或僅指定 FQDN。如果清單中有 IP 範圍，則自動設定指令碼就會判斷 IP 位址的解析名稱是否包含於清單中。如果有，指令碼在提交要求之前會先判斷目的地是否在內部。

如果您將網路或網域的 IP 位址範圍新增到清單中，就必須併入要讓用戶端電腦直接存取的網路或網域位址。例如，如果您新增特定 IP 位址範圍以指定應直接存取內部網路中的主機，則接著必須新增網路的整個位址範圍。否則，內部網路中不在清單上的目的地將會透過 ISA Server 電腦路由。在某些情況下，這可能是必要行為。例如，這適用於分公司實例，也就是本機網路以外的所有要求都會通過 ISA Server 電腦。

如果在清單中加入其他 IP 位址，則會將 127.0.0.0 至 127.255.255.255 (127/8) 的位址範圍自動新增至清單中。

如果清單上沒有 IP 位址，而且您希望不要路由來自 IP 位址 127.0.0.1 的要求，則請將 127.0.0.1 當做 FQDN 新增到清單中。

網域。當您啟用 [網頁瀏覽器] 索引標籤上的 [直接存取網域表中所指定的電腦] 設定時，充當 Web Proxy 用戶端的電腦會略過 Web Proxy，直接連接至此索引標籤上指定的網域。[網頁瀏覽器] 索引標籤和 [網域] 索引標籤上的設定值僅會套用到使用自動設定的防火牆用戶端和 Web Proxy 用戶端。如果用戶端具備以靜態 Proxy 設定進行手動設定的瀏覽器，則需要在瀏覽器中指定組態設定。

CARP。僅限 ISA Server 2006 Enterprise Edition。指定是否在網路上啟用快取陣列路由通訊協定 (CARP)。當您啟用 CARP 時，會將所有陣列伺服器上的快取磁碟機都視為單一邏輯快取磁碟機，這樣可以有效地將快取散佈在成員伺服器間。如需 CARP 的相關資訊，請參閱 Microsoft TechNet 網站上的 ＜ISA Server 2006 Enterprise Edition 中的 CARP 快取概念＞。

NLB。僅限 ISA Server 2006 Enterprise Edition。指定是否已在網路上啟用網路負載平衡 (NLB) ，並指定要使用的虛擬 IP 位址和遮罩。為網路設定虛擬 IP 位址時，ISA Server 會新增指定的 IP 位址至各伺服器上的網路介面卡，並且視狀況更新該網路介面卡的路由表。虛擬 IP 位址與遮罩組合的子網路必須與網路介面卡的 IP 位址與遮罩組合的子網路相同。虛擬 IP 位址必須屬於該網路。如果您已經啟用 [ISA Server 管理] 中的整合 NLB，則只能設定此內容頁。如需相關資訊，請參閱 Microsoft TechNet 網站上的 ＜ISA Server 2006 中的網路負載平衡概念＞。

路由。網路之間的路由關聯性為雙向。例如，如果在網路 A 到網路 B 之間定義路由關聯性，則網路 B 到網路 A 之間也會存在隱含路由關聯性。當您指定要在網路之間使用這種連線類型時，則會將來自來源或目的地網路的用戶端要求直接轉寄到另一個網路，而且來源及目的地 IP 位址不會變更。如果不需要在網路之間隱藏 IP 位址，則使用路由關聯性。這是在兩個具有公用 IP 位址的網路之間或兩個具有 私人位址的網路之間的常見設定。不論是哪種情況，每個網路中的主機都必須定義其本機網路中的 ISA Server IP 位址，以便當做通往另一個網路的路由。在許多情況下，簡單定義 ISA Server IP 位址當做預設閘道就夠了。請注意下列事項：

網路位址轉譯 (NAT)。網路之間的 NAT 關聯性為單向。流量是依據流量的來源或目的地進行處理。ISA Server 會如下所示執行 NAT：

安裝時，會建立下列預設規則：

本機主機存取。這個規則定義了「本機主機」網路及其他所有網路之間的路由關聯性。因此會在 ISA Server 電腦與連接 ISA Server 電腦的所有網路之間定義連線能力。

VPN 用戶端到內部網路。這個規則會在內部網路與隔離的 VPN 用戶端及 VPN 用戶端網路之間定義路由關聯性。

網際網路存取。此規則會定義所有預先定義網路和外部網路之間的 NAT 關聯性。

NAT 關聯性是單向的。例如，如果您建立從內部網路至周邊網路的 NAT 關聯性，則不會轉譯從周邊網路傳回內部網路的流量。對於未套用 NAT 的網路至已套用 NAT 的網路之間的流量，您無法使用存取規則進行控制。若要使用存取規則，網路必須知道其他網路的 IP 位址。在此範例中，內部網路已套用 NAT，因此可以知道周邊網路中的位址，但是周邊網路中的用戶端卻不知道內部網路中的位址。相反地，您應該使用網頁發行規則或伺服器發行規則允許周邊網路至內部網路的流量。

路由關聯性是雙向的。使用內部網路和周邊網路之間的路由關聯性定義網路規則時，會隱含地將周邊網路至內部網路之間定義為相同的關聯性。您可以使用存取規則、網頁發行規則或伺服器發行規則控制以路由關聯性連結之網路間的流量。

網路規則是依據本身在網路規則清單中的出現順序進行評估。ISA Server 則會依據排序的網路規則評估流量。ISA Server 只會評估第一個套用至特定流量的規則，而不會評估之後的網路規則。

路由和 NAT 關聯性可進行狀態性篩選和應用程式層檢查。

在某些情況下，因為有些通訊協定和應用程式不是透過 NAT 運作，所以通訊協定需求可能表示流量需要 路由關聯性，而不是要套用 NAT。

通常只有不同網路之間的通訊應往返 ISA Server。當您在控制相同網路中兩個主機之間通訊的存取規則中指定來源或目的地時，不應指定網路的網路實體。相反地，您可以使用電腦、子網路和位址範圍等其他網路實體控制這些主機之間的流量。如果適當的話，您也可以針對這類主機間通訊使用直接存取，以確定內部用戶端之間的要求不會透過 ISA Server 電腦迴路。

當您建立允許網頁存取的存取規則時，如果 Web 要求來自受到通過 Web Proxy 篩選器之 ISA Server 保護的用戶端，就一定會進行位址轉譯，即使規則中來源及目的地網路實體之間具備路由關聯性也一樣。唯一選項則是針對要使用的用戶端通訊協定停用 Web Proxy 篩選器。

本機主機網路：127.0.0.0–127.255.255.255。

內部網路：等於所有其他位址，這些位址為：

預設存取規則：拒絕存取所有位置。

正向 Web Proxy 會要求使用 HTTP、HTTPS 或 FTP 進行下載

快取網頁內容供公司網路上的用戶端使用

網頁發行以保護已發行的 Web 或 FTP 伺服器

Microsoft Office Outlook® Web Access 2003、ActiveSync® 和遠端程序呼叫 (RPC) 透過 HTTP 發行

IP 位址位於用來接收封包之介面卡的網路中。

路由表指出要預定送至該位址的流量，可透過隸屬該網路的介面卡來遞送。

封包所含的來源 IP 位址為 (根據路由表) 無法透過任何與網路相關聯的網路介面卡到達的位址。

封包所含的來源 IP 位址不屬於與網路介面卡相關聯之網路 (Enterprise Edition 的陣列網路) 的位址範圍。

請注意，任何不在 ISA Server 受保護網路中的 IP 位址都視為外部網路的一部份。

修正可能的設定錯誤。確認是否應該將來自特定 IP 位址的封包視為詐騙封包。若否，則判斷 ISA Server 為什麼將其視為詐騙封包。

封鎖來自該 IP 位址的流量。如果應該將來自該 IP 位址的流量視為詐騙封包，則封鎖來自該 IP 位址的所有存取。

ISA Server 電腦至少必須設定及啟用一張網路介面卡 (以便與內部網路通訊)。僅有一張網路介面卡的 ISA Server 電腦應使用單一網路介面卡範本進行設定，並且有一些功能上的限制。

請勿使用 ISA Server 網路介面卡上的動態位址，但是與外部網路相關聯的介面卡除外。

網路介面卡可以具備零或多個位址，而且僅與一個 ISA Server 網路相關聯，因此每個位址都只屬於單一網路。網路上的位址範圍不重疊。

如果您建立自訂內部或周邊網路，則必須安裝介面卡，以便與新網路相關聯。例如，如果您的 ISA Server 電腦具有兩張網路介面卡，一張連接到網際網路，而另一張連接到內部網路，則需要使用第三張網路介面卡定義周邊網路。

可以直接從網路介面卡到達的所有 IP 位址必須定義為相同的 ISA Server 網路。若要確定已正確設定 ISA Server 經由路由器到達的遠端子網路：

Microsoft TechNet 網站上的 ＜ISA Server 2006 的工具箱元素參照＞

Microsoft TechNet 網站上的 ＜網路疑難排解＞(英文)

Microsoft TechNet 網站上的 ＜設定網路的最佳作法＞(英文)

Microsoft TechNet 網站上的 ＜在具有單一網路介面卡的電腦上設定 ISA Server＞(英文)。

Microsoft TechNet 網站上的 ＜ISA Server 2006 中的企業管理概念＞