ISA 2006 实验指南(九)发布安全Web服务器

原创

joe3 2009-04-12 11:41:31 博主文章分类：ISA Server ©著作权

文章标签 职场 ISA 休闲 WebSSL 文章分类 服务器

©著作权归作者所有：来自51CTO博客作者joe3的原创作品，请联系作者获取转载授权，否则将追究法律责任

ISA 2006 实验指南( 九)发布安全Web服务器

一、发布单个WEB站点

1)IIS虚拟主机申请证书

2)ISA WEB侦听器申请证书

3)外部客户机信任此CA服务器

设置IIS、打开要发布的WEB服务器IIS”申请证书”

安全站点需要证书支持、

可在内部部署CA服务、第三方证书服务商

创建好网站、右击、选择、属性、弹出下图所示：

编辑

——要求安全通道SSL、只能用HTTPS协议访问”要求128位加密”

——忽略客户端证书、不要求客户证书

——接受客户端证书、允许有证书和没证书的用户访问“内部CA用户证书”前提要信任此CA服务器

——要求客户端证书、要有证书才能访问

选择、目录安全性、点击、服务器证书、弹出个向导、下一步

公用名称---跟IIS虚拟主机头值一样:如不一样会出现以下情况:

同时在计算机个人证书里可以看到

如果你的内部站点名和你要发布出去的站点一样哪么你可以把这个证书导出给ISA的侦听器用、也可以在ISA上为侦听器重新申请“如有多台WEB服务器做成了服务场哪么就导出给所有WEB服务器”

证书导出有两种方式

1）在完成后点击查看证书、详细信息

复制到文件、要导出私钥、输入口令“导入时需要用到”

2）运行MMC

添加证书、选择计算机帐户

在ISA服务器上导入这个证书、“本要计算机、个人”

以上的方法跟我现在实验不合、我发布出去的是[url]www.mcse.com[/url]

2)为ISA WEB侦听器申请证书

详细的申请过程就不说了

姓名最重要的：一定要输入你发布出去给外部访问的WEB站点

如果你只是一台ISA哪么勾上、将证书保存在本地计算机存储中、就OK了、但我这有两台ISA 需要导出、默认标记密钥为可导出是灰色的、方法：先提交不要安装证书、再后退回来就可以勾上了

注：多台ISA服务器一定要用同一个证书、不能每台都就CA服务器上申请、WEB服务也是一样

创建WEB侦听器

防火墙策略选项里的网络对象

为侦听器取个名

这是外部客户端跟ISA服务器建立的SSL通信的

这里我就不选择IP地址了直接选外部网卡、即侦听ISA外网卡

——选择证书

这个证书一定要跟你实际发布的域一至

不需要身份验证“这是ISA服务器验证客户端的”

在身份验证里选择HTML窗体身份验证才可用

下一步完成。

创建网站发布规则

为此规则取个名

——下一步“允许”——下一步“发布类型、发布单个网站或负载平衡器”下一步

这是ISA服务器与WEB服务的连接的选项“有些人认为这是ISA与客户端的通信连接”

这就是我们所说的桥接

桥接:

创建 Web 发布规则时，可以进一步保护 HTTP 通讯的安全性。即便最初的通讯使用的是 HTTP，在 ISA 服务器收到请求后，也可以使用 SSL 重定向通讯。如果请求被作为 SSL 请求重定向，则会加密数据包。这种重定向被称为桥接。

SSL 桥接以下列方案工作
加密到 Web 服务器的连接
客户端请求 HTTP 对象。ISA 服务器加密请求并将其转发到 Web 服务器。Web 服务器将加密的对象返回给 ISA 服务器。然后，ISA 服务器解密对象并将其发送到客户端。也就是说，HTTP 请求是作为 SSL 请求转发的。
加密到客户端和 Web 服务器的连接
客户端请求 SSL 对象。ISA 服务器解密请求，然后再次对其进行加密，并将其转发到 Web 服务器。Web 服务器将加密的对象返回给 ISA 服务器。ISA 服务器解密对象，然后再次对其进行加密，并将其发送给客户端。也就是说，SSL 请求是作为 SSL 请求转发的。
加密到客户端的连接
客户端请求 SSL 对象。ISA 服务器解密请求并将其转发到 Web 服务器。Web 服务器将 HTTP 对象返回给 ISA 服务器。ISA 服务器加密对象并将其发送给客户端。也就是说，SSL 请求是作为 HTTP 请求转发的。