3、创建TMG独立服务器阵列

1)、配置阵列服务器集合

TMG阵列内的任何一台服务器都可以作为管理阵列服务器。这里我们指定TMG01作为阵列管理服务器。

加入到TMG阵列,首先需要在阵列管理服务器TMG01上配置阵列服务器集合,把TMG02服务器的IP地址加入到阵列服务器集合,这样TMG02才具有访问TMG01配置存储服务器的权限。

在TMG01服务器上编辑阵列服务器集合,定位到“Forefront TMG(TMG01)”,点击“防火墙策略”,在右侧栏中,点击“工具箱”—“网络对象”—“计算机集”,依次打开“复制配置存储服务器”和“陈列服务器”将要加入陈列的TMG02服务器的IP地址,添加到复制配置存储服务器和陈列服务器中。

工具箱—网络对象—计算机集中的复制配置存储服务器

clip_p_w_picpath002

工具箱—网络对象---计算机集中的阵列服务器

clip_p_w_picpath004

完成以上配置后,还可以在“工具箱”—“网络对象”—“计算机集”—“远程管理计算机”

中添加用于远程管理Forefront TMG服务器的计算机IP地址。

clip_p_w_picpath006

2)、导入阵列服务器通讯证书

在TMG控制台中定位到“Forefront TMG(TMG01)”—“系统”节点,点击右侧栏的“安装服务器证书”,在安装服务器证书向导中,指定前面我们申请的TMG01.contoso.com证书存放位置,并输入证书导出时设置的密码,点击“确定”,来完成证书导入操作。

clip_p_w_picpath008

同时我们可以验证证书是否正确导入

首先打开mmc,添加证书管理单元

clip_p_w_picpath009

这里要选择“服务账户”,点击下一步

clip_p_w_picpath011

clip_p_w_picpath013

在选择一个在本地计算机上管理的服务账户中,选择“ISASTGCTRL”服务账户

clip_p_w_picpath015

在证书控制台中展开证书节点,查看“个人”—“ 证书”中是否已正确导入TMG01.contoso.com证书。

clip_p_w_picpath017

同时确认下TMG01和TMG02两台服务器服务账户的“ISASTGCTRL”的“受信任的根证书颁发机构”中是否存在CA根证书。

clip_p_w_picpath019

clip_p_w_picpath021

3)、配置TMG阵列

在Forefront TMG管理控制台中,定位到“Forefront TMG(TMG01)”节点,在右侧栏的“任务”窗格中单击“配置陈列属性”

在“分配角色”选项卡中,确认Administrator帐户已添加到“允许访问配置存储并监视陈列的用户和组”中,并且“角色”设置为“Forefront TMG陈列管理员”。

clip_p_w_picpath023

然后将TMG02加入到现有阵列

在TMG02上打开TMG控制台,定位到“Forefront TMG(TMG02),在右侧栏选择“加入阵列”。

clip_p_w_picpath025

点击下一步

clip_p_w_picpath026

选择“加入由指定阵列成员管理的独立阵列”

clip_p_w_picpath027

输入TMG01的FQDN或IP地址,选择“使用此帐户进行连接”,并且键入前面添加的陈列管理员帐户名及密码,这里我们使用Administrator账户及密码

注:也可使用当前用户登录用户的身份凭据连接TMG01上的配置存储服务器,确保TMG02上的登录用户有足够权限。

clip_p_w_picpath028

前面我们已经安装好CA根证书,选择“此服务器上已安装CA证书”

clip_p_w_picpath029

在“正在完成加入陈列向导”页,单击“完成”按钮。加入陈列完成之后,单击“确定”按钮。

clip_p_w_picpath030

clip_p_w_picpath031

返回TMG控制台,再次定位到“Forcefront TMG(TMG01)”,在右侧栏中点击“配置阵列属性”

clip_p_w_picpath033

这时TMG01阵列属性中会增加一个“凭据”选项卡,切换到该选项卡,选择“使用此账户进行身份验证(仅工作组配置)”,然后点击“设置账户”,输入用户名及密码,这里仍然使用administrator的用户名及密码

clip_p_w_picpath035

然后切换到“分配角色”选项卡,在“允许监视此阵列的用户(镜像账户)”中,点击“添加”,添加Administrator账户为镜像账户,并分配“Forcefront TMG阵列管理员”角色

clip_p_w_picpath037

clip_p_w_picpath039

最后应用设置

clip_p_w_picpath041

4)、验证TMG阵列

加入TMG陈列后,进入Forefront TMG控制台,定位到Forefront TMG(TMG01)下的“系统”列,然后点击窗口中的“服务器”选项卡,在这里可以看到陈列中服务器的名称、主机ID、创建时间、CARP负载系统等;服务器的状态图标为绿色,表示服务器访问配置存储服务器正常。如果服务器的状态为红色,表示服务器访问配置存储服务器异常。

clip_p_w_picpath043

然后定位到“监视”列,点击窗口中的“配置”选项卡,查看阵列中TMG服务器的配置状态;服务器的状态显示为绿色已同步,表示TMG服务器之间通讯正常。如果服务器的状态为红色未同步,表示TMG服务器之间通讯异常,需要检查TMG通讯的证书是否配置正确。

clip_p_w_picpath045

5)、为TMG陈列配置负载平衡NLB

TMG陈列配置负载平衡需要将Forefront TMG的“内部”与“外部”网络分别启用网络负载平衡并设置负载平衡的IP地址。

在Forefront TMG管理控制台中,定位到“Forefront TMG(TMG01)”—“网络连接”节点,在右侧栏的“任务”窗格中单击“启用网络负载平衡集成”

clip_p_w_picpath047

clip_p_w_picpath048

针对TMG服务器的内部网络和外部网络分别设置虚拟IP地址:

内部网络的NLB设置

群集操作模式的区别请参考Exchange中关于NLB的说明,此处我们采用多播模式。

Exchange NLB参考:http://shubao.blog.51cto.com/401810/1272564

多播模式一般需要在交换机或者路由器上做VIP和VMAC(多播虚拟二层mac地址)的绑定

clip_p_w_picpath049

外部网络的NLB设置

由于我们的TMG中配置有多个外部网络地址,当启用NLB时,需要将其他IP地址添加到NLB的附加VIP中。

启用NLB以后,TMG服务器上所有的第二IP如果不做配置,都会被删除。我们需要把他们都变成虚拟VIP,这样在两台TMG上都能看到。

clip_p_w_picpath050

clip_p_w_picpath051

clip_p_w_picpath052

点击“完成”关闭网络负载平衡集成向导。

clip_p_w_picpath053

弹出NLB配置提示,点击“确定”

clip_p_w_picpath055

最后点击应用设置

clip_p_w_picpath057

选择保存更改,并重启动服务,点击“确定”完成

clip_p_w_picpath058

clip_p_w_picpath059

再次定位到Forcefront TMG(TMG01)下的“监视”列,点击窗口中的“配置”选项卡,查看阵列中TMG服务器的配置状态,直到状态显示为“已同步”,表示NLB配置完成。

clip_p_w_picpath061

clip_p_w_picpath063

clip_p_w_picpath065

切换到“服务”选项卡,检查TMG服务器上的网络负载平衡服务状态

clip_p_w_picpath067

注:如果服务器状态或者服务状态异常,可以通过“警报”选项卡查看原因。

最后检查网络配置,可以看到系统会自己将虚拟IP地址添加到TCP/IP配置中

clip_p_w_picpath069

clip_p_w_picpath071

另外可以通过禁用TMG服务器的相关网卡来检测TMG阵列的NLB是否能起到负载平衡的作用。

6)、完成以上配置后,还需要修改TMG的Web侦听器的网络设置,将侦听器侦听的外部网络地址更换为群集NLB地址。当然初期建议将原有地址和群集NLB地址同时配置,待确认阵列没问题后再删除原地址。

clip_p_w_picpath073