ISAServer安装之完全手册.docx

（一）ISAServer计算机网络适配器的TCP/IP设置
在你安装ISA防火墙之前，你需要正确的配置这台服务器计算机的网络属性，这对ISA防火墙的运行至关重要。因为ISA防火墙的防火墙服务和系统的TCP/IP驱动工作在相同的层次，错误的配置将可能导致你的ISA防火墙不能正常运行。
在这篇文章中我将通过一个简单的ISA防火墙计算机的配置进行介绍并对每一步骤加以说明，我假设了一个这样的网络环境：
•你拥有一台ISA防火墙，它具有两个网络适配器，一个连接到你的内部网络，并且另外一个连接到Internet。从安
全上考虑，我们现在将连接到Internet的网络适配器从物理上断开，直到配置完成后才连接到Internet；
•你可以访问内部或外部的DNS服务器解析Internet域名，你的内部网络中的客户通过内部网络中的DNS服务器来解析Internet名字；
•你已经了解网络适配器所需要的TCP/IP配置；
•你对Windows2000网络具有基本的了解；
•防火墙的网络适配器通常改名为“North”和“South”，分别代表Internet和内部网络，在此我也按照这种方式进行命名。
配置网络适配器顺序
首先我们需要确认网络适配器按照正确的顺序进行绑定，由于名字解析依赖于此设置，所以我们需要确认它是绝对正确的。
1. 右击网上邻居，然后选择属性，在弹出的网络和拨号连接窗口中，你可以看到ISA防火墙上的网络适配器，其中
North代表Internet，South代表内部网络；

2. 点击菜单栏的高级，再点击高级设置，弹出的对话框如下图所示。首先我们需要确认South网络适配器在面板的最上面，如果没有，选中它再点击右边的向上箭头，文件和打印机共享和Microsoft网络客户这两个服务都应该绑定到South网络适配器上。

对North网络适配器强化安全
1、接下来我们需要检查服务器计算机上的服务没有对外部的非法访问者开放，选择North网络适配器，然后取消绑定这些相同的服务（文件和打印机共享和Microsoft网络客户），配置如下图所示。我们并不需要让外部网络中的客户访问这些服务，并且我们应该在安装ISA防火墙之前将这台服务器配置为比较安全的状态。

2.点击确定关闭对话框。
配置North网络适配器的TCP/IP设置
现在我们来分别配置每个网络适配器，首先是配置连接到Internet
适配器North，
1.右击North网络适配器，然后选择属性，确认取消绑定了文件和打印机共享和Microsoft网络客户。

2.双击Internet协议(TCP/IP)，然后选择使用下面的IP地址，然后输入正确的IP地址，将DNS服务器留空。相信我，当我们配置完成时，这一切工作是正常的。

3.点击高级按钮，如果你具有其他的IP地址，你可以在此输入。在你继续进行配置之前，确认你的配置是正确的。

4.点击DNS标签，我们在这个地方需要做的唯一一件事情是取消选择在DNS中注册此连接的地址。这将禁止DHCP客户端服务尝试为这个网络适配器在DNS服务器更新自己的记录。

5.点击WINS标签，取消选择启用LMHOSTS查询和选择禁用NetBIOSoverTCP/IP，这样就关闭了外部网络适配器上的最后一个安全漏洞；

6.依次点击确定关闭所有North网络适配器的对话框。
配置South网络适配器的TCP/IP设置
现在我们来配置连接到内部网络的网络适配器South，我们将允许它拥有更多的服务，当然也就拥有更多的安全弱点。
1.右击South网络适配器，然后选择属性。在弹出的South属性对话框中，不需要修改绑定的协议。

2.双击Internet协议(TCP/IP)，然后为你的内部网络输入正确的IP地址。对于内部网络，你应该选择IANA在RFC-1918中定义的私有IP地址，这些私有IP地址不能在Internet上进行路由。如果你在内部网络中使用Internet上可以路由的IP地址，会带来很多问题。在此我使用最常用的地址段，配置好的IP地址如下图所示，注意，在这个网络适配器上没有配置默认网关。

3. 输入为内部网络提供名字解析服务的DNS服务器的IP地址作为DNS服务器。如果你在内部网络中使用了域服务，那么域中的DNS服务器将是首选。
4. 留空默认网关设置，默认网关只能有一个。
5. 如果你在内部网络中具有多个子网，你必须为这些远程子网定义静态路由。最简单的办法是创建一个无类别的路由项，例如，如果你的这些网络都使用定义，那么你可以执行以下命令：
Route-padd192.168.0.0mask255.255.0.0192.168.0.1
这样就可以告诉ISA防火墙如何路由到达这些远程子网的数据包。
6.点击DNS标签，如果你的内部DNS服务器支持动