相对于ISA2000ISA2004在配置的简易性方面有了很大的改进,除了可以简单的配置自定义的访问策略外,ISA2004还提供了丰富的网络模板,使用户可以使用网络模板向导一步一步的完成配置,即使是初用者,也很易上手。
 

一、网络设置模板

ISA Server 2004防火墙为用户提供了具有普遍意义5个预定义的网络模板,并且在管理控制台中用图文方式进行表达,非常直观。 如图所示:
 

1、边缘防火墙模板

此模板为最常用的防火墙模板,其基本方案是将一台有两个网络适配器ISA 服务器作为网络边缘的的防火墙。一个网络适配器连接到内部网络,另一个连接到外部网络 (Internet)
通过应用边缘防火墙网络模板配置 ISA 服务器时,ISA 服务器将按照所选的特定策略配置网络规则和防火墙策略。在实际的配置过程中,可以允许所有传出通讯,也可以限制传出通讯以便仅允许 Web 访问,从而保护网络不会被他人访问,同时允许公司网络上的用户进行特定的访问。

2、三向外围网络模板

此模板也较常用,基本方案是将一台具备三个网络适配器的 ISA 服务器计算机作为企业安全防火墙。一个网络适配器连接到内部网络,一个连接到 Internet(外部网络),第三个连接到外围网络(也称 DMZ、网络隔离或被筛选的子网)。
当通过应用三向外围网络模板来配置 ISA 服务器时,ISA 服务器将根据您选择的特定策略来配置网络规则和防火墙策略。既保护了网络不受到外部的***,同时可以安全的在互联网使用网络服务。

3、前端防火模板

在这个方案中,ISA 服务器作为背靠背外围网络配置中的防御前线。基本的网络拓朴是在外围网络的边缘(即前端)放置一台ISA服务器,另一个防火墙配置在外围网与内部网之间(即后端,以保护内部网络)。采用前端防火墙配置模板,是为了配置网络边缘(即前端)的防火墙。
通过应用前端网络模板配置 ISA 服务器时,ISA 服务器将按照所选的特定策略配置网络规则和防火墙策略。一般情况下,不允外部网络直接访问企业内部网络,而只能根据策略有限的访问企业外围网络。

4、后端防火墙模板

在这个方案中,ISA 服务器作为背靠背外围网络配置中的后防线。基本的网络拓朴是在外围网络的边缘(即前端)放置一台ISA服务器,另一个防火墙配置在外围网与内部网之间(即后端,以保护内部网络)。采用后端防火墙配置模,是为了配置放在外围网络后面的防火墙。
通过应用前端网络模板配置 ISA 服务器时,ISA 服务器将按照所选的特定策略配置网络规则和防火墙策略。通过策略,防止了内网和外网直接通讯。同时,如果前端防火墙被网络***攻陷,他也不能直接访问到内网的数据,除非他能再攻陷后端防火墙。所以通过增加后端防火墙,可以给企业内部网以更高的安全。

5、单一网络适配器防火模板

当在网络边缘有另一台ISA防火墙时,可以在网络中一台只具有一个网络配置器的计算机上安装ISA2004,在这样网络环境中,这个ISA服务器通常作为缓存服务器,以提高企业内部用户上网速度,但其不具有防火墙功能。
当应用单一网络适配器网络模板时,内部网络配置为包含所有 IP 地址。应用称为允许 Web 代理和缓存的防火墙策略。此策略允许 Web 代理客户端访问 Internet 中的 Web 内容并通过缓存提高 Web 性能。无须创建任何规则。

二、应用边缘防火墙模板建立一个受限的访问策略

利用边缘防火墙模板建立访问策略的步骤如下:
1、打开ISA Server 2004 管理控制台,展开“配置”,单击“网络”。在任务面板中(如果任务面板没有打开,可在“查看”菜单中选择“任务窗格”以打开任务面板)单击“模板”标签,在模板标签选项卡中,单击“边缘防火墙模板”。如图所示。
 
2、在“欢迎使用网络模板向导”中,单击【下一步】按钮,进入“导出ISA服务器的配置”对话框,在此,为了保存当前所做的配置,你可以单击【导出】按钮以作备份(推荐完成此部)。如图所示。
 
3、在“内部网络IP 地址”对话框中,确认向导正确识别了内部网络的IP 地址。你可以使用【添加】、【添加适配器】或者【添加专用】按钮来添加更多的IP 地址。如图所示。
4、在“选择一个防火墙策略”对话框中选择“允许有限的Web访问并允许访问ISP网络服务”,以使在第3步中所添加的网络地址计算机可以对外部网络(Internet)进行有限制的访问。如图所示。
5、单击【下一步】按钮 ,完成配置。然后再点击【应用】按钮以保存和更新防火墙策略。
6、在防火墙策略中,可以看到通过模板自动建立了三个访问策略。如图所示。