Black Hat Windows 2002 - Deploying & Securing Microsoft Internet Security & Acceleration Server

ISA 伺服器是微軟與 Windows 2000 深度整合的防火牆與 Web 快取解決方案，講座從架構選擇開始。企業版支持企業陣列部署，防火牆策略儲存在 Active Directory 而非本機登錄，允許集中管理多個 ISA 伺服器，但配置需考量企業策略與陣列級策略的分層控制——企業防火牆管理員設定速率限制，陣列管理員可進一步限制但不可超過；獨立版無法加入快取陣列，配置簡單，但價格高達每處理器 1499 美元，適合無 Active Directory 環境或已投資 NT 域的組織。容量規劃上，一台配有 4GB 記憶體的雙路 Pentium 3 700MHz 伺服器可輕鬆支持 5-10,000 使用者，但取決於規則數量和外部介面頻寬。

客戶端配置三種類型各有其位置。Web 代理客戶端是最簡便的方式——使用者無需安裝軟體，僅配置瀏覽器代理地址即可，在域環境下透過群組原則 15 秒內完成設置，但僅支持 HTTP/HTTPS/FTP（隧道）/Gopher。SecureNAT 客戶端通過設定預設閘道實現透明代理，無需用戶端軟體，對終端使用者透明，但協議受限於 ISA 管理控制台的定義，且由於 TCP/UDP 協議規則無法應用於 PPTP/ICMP 等非 TCP/UDP 協議，一旦允許就無差別開放給所有 SecureNAT 用戶端；FTP 等需輔助連接的協議需 FTP 應用過濾器調解，MSN Messenger 的語音視訊需通用隨插即用 (UPnP)，在 SecureNAT 無法實現。防火牆客戶端軟體最通用，能與防火牆服務或代理服務通信並傳達協議需求，支持複雜協議如 FTP、H.323 等無需應用層網關預先定義，但需在每台用戶端安裝軟體，大型環境中使用群組原則部署時需管理員權限。混合配置時，防火牆客戶端負責 TCP/UDP，其他協議由 SecureNAT 處理，但這也引發安全隱患——PPTP/ICMP 無存取控制。

服務器發布規則設計以應對 IP 地址稀缺。Web 發布利用 Web 代理服務檢查 HTTP 標頭中的主機名，實現單一公網 IP 發布多個內部 Web 伺服器，例如組織只有一個公網 IP 但有 10 台內部 Web 伺服器，Web 發布規則可識別不同的主機名並轉發請求至對應的內部伺服器；支持端口重定向（外部 1234 → 內部 80），支持 SSL 橋接（外部 HTTPS → 內部 HTTP）和反向快取，且可利用插件。服務器發布規則支持所有協議（SMTP、NNTP、FTP 等），但無端口重定向功能——ISA 監聽的埠必須與內部伺服器埠相同，若要使用備用埠需採用傳統防火牆用戶端發布方法。常見失敗原因是埠爭用，例如發布 SMTP 伺服器時未關閉 ISA 的 SMTP 服務，導致規則無法生效。數據包過濾主要用於支持 ISA 自身執行的服務（如 DNS），基於 IP 地址的訪問控制有限，不建議用於發布應用服務。

故障排除的核心在於理解 ISA 的隱形機制和日誌對比。DNS「死亡快取」是隱形殺手——ISA 使用專有 DNS 快取而非 Windows DNS 用戶端快取，TTL 預設 6 小時但可在註冊表修改，且無任何工具或 API 查看其內容，診斷 DNS 問題時建議將其設為零；Web 代理日誌與防火牆日誌中相同流量同時出現表明問題在 HTTP 重定向器或服務間通訊。啟用日誌中的「規則名」和「規則二」欄位至關重要，它們顯示是否符合允許或拒絕規則及具體規則名稱，大幅提升診斷效率。VPN 客戶端配置常見陷阱：使用預設設定時客戶端無法同時存取 Internet 和內部網路，解決方案是在 Internet 選項的 VPN 連線屬性中單獨配置代理設置。事件日誌中的警告如「陣列內部 IP 位址未包含在 LAT 中」通常指向配置不一致——更改陣列內部位址後未同步修改註冊表或 Active Directory 中該伺服器的相應值。企業陣列中多個伺服器爭用 Web 代理客戶端的陣列連接名稱，解決方案是配置 WPAD 自動發現（DHCP 或 DNS 均可，DHCP 提供更大靈活性）而非直接指向單個 ISA 伺服器。Windows 2000 基礎診斷不能忽視，關閉瀏覽器服務可防止攻擊者從被攻破的 ISA 獲取內部網路資訊；安裝 Netmon 等網路監控工具是必備的，尤其在診斷自動檢測配置或查看原始封包流量時；不建議在 ISA 上部署 Exchange、DNS、FTP 等無關服務，尤其不應將 ISA 配置為 Active Directory 網域控制站，那是將寶貴的現金放在咖啡桌上而非保險箱裡。