我想大家都多多少少都接触过ISA,或者使用过它,但是你有没有想过它在工作组环境下和域环境下有什么区别,我们为什么都把ISA加入到工作组,而往往只关心它的安全吗。对于大多数的人不确定质疑我总结以下四点:1、ISA在工作组中比在域中更安全;2、如果域的安全受到威胁,ISA Server 仍然会正常工作;3、如果ISA Server的安全受到威胁,域却不能 被访问;4、因为ISA 运行在Windows 上本身就不安全。OKAY,我相信第四条是大家最担心的一点吧。认为Windows本身就不安全,再加上一个ISA防火墙那就更摇摇欲坠了。好的,我就开始分析这列举的四点,ISA加域有什么好处,不加入域又能给我们带来哪些益处和不利之处。
       首先,我们先来谈谈ISA作为域成员的好处。我相信大家选择ISA作为防火墙,80%的人看中了ISA的Porxy功能。可以对不同类型的用户进行访问控制,这时候,如果ISA在工作组下就无法实现,必须依赖我们的活动目录。ISA的企业版有阵列可以实现高可用性,我们搭建阵列可以在工作下,也可以在域环境下。但是如果工作在工作环境下,阵列的搭建想必是一个复杂过程,即要创建用户,还要申请服务验证证书和客户端证书,并且对IT管理员排错也是头疼的事,而在域环境下我们不需要创建额外的帐号,直接使用域帐号就可以实现CSS和成员之间进行通讯。ISA在域环境下对Firewall Client的支持会更简单。对于管理来说,有人认为ISA的可管理性不是很强,如果它受到***哪怎么办?于是就引入了微软管理的平台SCOM2007或者MOM2005,这样可以实现ISA服务器的全部性能和服务进行监控,并对所有安全事件进行收集,我们通过SCOM2007强大的报告功能可以全局性的看一些事件,管理人员会一目了然的了解ISA服务器的运行状况。换句话说,如果要对ISA服务器进行管理,那么也必须作为域成员才行。
       上面谈的是作为域成员的好处,但是还会存在另一方面的声音,那就是ISA服务器作为域成员会出现哪些问题。好的,首先如果我们企业的活动目录受到危及,想必我们ISA服务器就不能正常工作。反之,如果ISA服务器受到危及,我们企业的活动目录就会受到牵连,***只要能登录到ISA服务器就可以轻松的访问我内网任何资源,想必这样风险对一个企业来说是致命的。呵呵,但是从现在微软相关部门统计来看,ISA服务器从来没有被***过。最后,是从ISA的管理来讲,ISA服务器是域成员,那域内的管理人员就可以随便的对ISA进行访问和配置,对于ISA服务器来说也是不安全的。
       其次,我们再来谈谈ISA作为工作组成员的好处。可能我相信大家都认识工作组是最安全的,其实我也这么认为。如果ISA服务器受到***的***,我们企业内网的活动目录不会受到任何影响,也就是说内部数据资产不受牵连,反之,企业内部活动目录受到安全的威胁,ISA服务器仍可以正常的工作。其实这一点来说,如果我内部活动目录工作不正常,有我ISA服务器正常工作对企业来说意义不大了,因为内网的一些关键应用,如SQL Server,Exchange Server,Sharepoint Server都不能运行了,那这ISA还起什么大作用呢,所以我们一定要避免此类事情的发生。在工作组环境下,对于ISA服务器的管理来说,我会不需要域管理员来参与,因为ISA服务器有自己的用户来管理,这样服务器自身安全性有了提高。
       上面谈的是作为工作组成员的好处,那么它在工作组下会存在什么不足。1、CSS缺乏冗余,因为在工作组下只存在一个CSS配置实例,上面存放着ISA服务器的所有配置数据,也就是说,如果CSS不工作了,ISA服务器也就罢工了。2、需要证书保证策略存储服务器 CSS的安全,因为是工作组,所有阵列成员需要证书进行通讯,配置比较复杂。3、针对阵列的通讯和管理需要本地帐号,这样就会和公司内部的密码策略会产生违背,不符合公司IT管理的合规性。4、对于ISA服务器的验证,就需要配置Radius服务器,并且无法体验ISA2006的诸多验证方式。
      最后,言归正传,ISA Server不作为域成员是最安全的吗?这个答案是没有解答的,这需要根据你的实际应用来判定它应该工作哪种环境下,但我提出我个人的观点就是,ISA服务器加入域是不会给企业带来风险的,而会给我们带来ISA相关的更多更好的体验,特别是在身份验证方面,加入域会给我们管理带来很多的便利。
Technorati 标签: