mozhenhua的博客_ISA2006/TMG原创博文

TMG学习（十一），保护企业内网上网安全

我们知道一个企业如果允许用户上网而且可以任意下载软件，这对于企业来说是非常危险的，用户无法辨别哪些是安全网站哪些网站存在风险，因此一旦用户在恶意网站上下载了软件，导致客户端中毒从而会影响整个企业内部网络，最后倒霉的仍然是我们这些IT管理员。对于这个问题TMG中有一个很好的保护措施，即如果用户下载一个软件，那么先是下载到TMG本地并对其进行扫描，若安全TMG再把该软件传递给用户，此外TMG还具备了阻

管理员

扩展名

文件下载

执行文件

下载软件

原创 2013-12-19 12:47:59 1054 阅读 1点赞

TMG学习（十），发布DMZ区网站

网络拓扑如下图，其中TMG没有加入域，DMZ区的网站也不加入域实验目标：发布DMZ区的Web Server，让内部用户可以访问和互联网的用户也可以访问。由于在上一篇博文中我已经给TMG添加了一块网卡，形成了三向外围网络并且创建了DMZ区到内部，DMZ区到外部网络的网络规则，因此本篇博文中我们就在上次的基础上进行操作即可

target

style

title

blank

border

原创 2013-12-16 10:05:47 1454 阅读 1点赞

TMG学习（九），DMZ非军事区

DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。另一方面，通过这样一个DMZ区域，更加有

隔离区

target

color

blank

军事区

原创 2013-12-13 11:05:27 2098 阅读

TMG学习（八），发布内网安全Web站点-桥接模式

桥接模式简而言之就是：TMG对加密数据进行解密检查，如果符合安全性要求再把数据传递给内网的Web站点。此外我们知道http是以文明方式进行传输的而https则是加密进行传输，网站如何加密呢？网站的加密需要使用证书，这个证书我们可以直接向企业内部的证书颁发机构(CA)进行申请，也可以直接到公网上进行购买，公网上有很多这样的证书颁发机构比如VeriSign等。那企业自己搭建CA颁发证书和向公网购买证书

加密

客户端

安全性

机构

原创 2013-12-12 16:00:07 803 阅读 1点赞

TMG学习（七），发布内网安全Web站点

TMG对于发布安全的Web站点有两种模式：隧道模式，桥接模式。至于这两种模式具体介绍请见岳雷老师博文：http://yuelei.blog.51cto.com/202879/88041 本次实验学习隧道模式，后续的博文再学习下桥接模式网络拓扑如下图，其中Web站点已经加入域，TMG没有加入域实验思路： 1.DC上安装企业CA 2

网络

target

color

title

blank

原创 2013-12-11 12:32:37 854 阅读

TMG学习（六），发布内网多个Web站点

公司内部有多个网站同时对外提供服务，例如Web1和Web2且希望公网的用户都通过80端口来进行访问，那么路由器一般只能把80映射给Web1而Web2则不能使用80端口来访问，而TMG功能强大可以通过一个80端口来访问到企业内部多个站点，即一个80侦听器对应多个网站。网络拓扑如下图：Web1和Web2已经加入域abc.com 实验思路：

路由器

target

style

title

blank

原创推荐 2013-12-10 14:40:41 2748 阅读 4点赞 2评论

TMG学习（五），发布内网Web站点服务器

网络拓扑如下图，其中DC和Web站点的网关都指向TMG的内网卡192.168.20.254，TMG没有加入域其DNS指向了公网DNS服务器，Web站点服务器已经加入域，注意点：要发布的Web服务器需要是TMG防火墙的SecureNAT客户端实验思路： 1.08Server02上安装IIS然后搭建一个基本的网站即可 2.TMG上进行发布该站点 3.测试外

服务器

target

style

blank

border

原创 2013-12-06 13:05:35 2196 阅读

TMG学习（四），允许内部网络解析本地主机的Netbiso名称

Web代理客户端，在IE代理服务器中填写了TMG本地主机的计算机名，而默认情况下TMG中没有开放内部网络可以解析本地主机的计算机名，因此IE代理客户端无法进行上网，如下图所为了解决这个问题，我们只需要在TMG上新建一条策略允许内部网络可以继续TMG本地主机的计算机即可，如下图新建“访问规则” 访问规则名称允许

target

style

title

blank

border

原创 2013-12-05 10:51:49 765 阅读 1点赞

TMG学习（三），防火墙客户端身份验证

防火墙墙客户端默认也是Web代理客户端，为什么？因为安装了防火墙客户端后会自动设置浏览器，让浏览器成为TMG的Web代理客户端。当防火墙客户端访问http/https/ftp的时候会连接TMG的8080端口，而访问其它请求时候会连接TMG的1745端口。注意点：如果客户端安装了防火墙客户端，TMG开放了smtp,pop3协议的同时要求了身份验证，那么默认使用登陆PC的账户名和密码进行身

浏览器

防火墙

outlook

客户端

color

原创 2013-12-02 17:40:38 1906 阅读 1点赞

TMG学习（二），Web代理客户端身份验证

TMG有三种客户端：Web代理，防火墙客户端，ScureNAT，其中Web代理和防火墙客户端支持身份验证。注意点：不管是Web代理客户端还是防火强客户端的身份验证，都是使用用户登录的时候的账户和密码去连接TMG然后进行身份验证，经过TMG的本地数据库（SAM）或者Active Directory 数据库验证成功后，方可以正常访问Internet。网络拓扑图如下，其中TMG已

防火墙

数据库

Internet

拓扑图

用户登录

原创 2013-12-02 11:56:44 1745 阅读

TMG学习（一），Web代理客户端

TMG默认情况：1.默认走完TMG向导后已经开放了http/https.2.默认情况下TMG的系统策略已经开放了了TMG(本地主机）的DNS流量2.默认安装完TMG后看客户端均无法ping通TMG本地主机目标：win7 Web代理客户端可以访问互联网解决步骤：1.DC配置成SecureNAT客户端，DC的DNS默认指向了自己，配置DC的DNS进行转发给

客户端

target

style

blank

border

原创 2013-12-02 09:37:59 4500 阅读 2点赞 5评论

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

菜鸟起航

TMG学习（十一），保护企业内网上网安全

TMG学习（十），发布DMZ区网站

TMG学习（九），DMZ非军事区

TMG学习（八），发布内网安全Web站点-桥接模式

TMG学习（七），发布内网安全Web站点

TMG学习（六），发布内网多个Web站点

TMG学习（五），发布内网Web站点服务器

TMG学习（四），允许内部网络解析本地主机的Netbiso名称

TMG学习（三），防火墙客户端身份验证

TMG学习（二），Web代理客户端身份验证

TMG学习（一），Web代理客户端