ISA2004启用***系列之三允许*** 客户端访问内部网络

本实验室在虚拟计算机中使用以下六台计算机。


Florence（红色）和 Firenze（红色）运行 ISA Server 2004 Enterprise Edition。这两台计算机配备三个网卡，分别用于连接内部网络、外围网络和外部网络 (Internet)。Florence 和 Firenze 处于名为ITALY 的阵列中。只有 Florence 运行配置存储服务器 (CSS)。

Denver.contoso.com（绿色）是内部网络上 contoso.com 域的域控制器。Denver 上运行 DNS、RADIUS 和 Exchange 2003，同时也是证书颁发机构 (CA)。

Perth.contoso.com（黄色）是 Web 服务器，它位于外围网络上。Perth 不是该域的成员。

Istanbul.fabrikam.com（紫色）是外部网络 (Internet) 上的 Web服务器和客户端计算机。

Istanbul 上运行 Outlook 2003。Istanbul不是某个域的成员。Berlin（红色）运行 ISA Server 2004 Enterprise Edition。这台计算机代表一个办事处。Berlin 处在名为 GERMANY 的阵列中。
Berlin 也运行配置存储服务器 (CSS)，但与 Florence 上的 CSS属于不同的企业。

这些计算机不能与主机通信。
为便于检查和了解网络通讯，每台虚拟计算机上都安装了 Microsoft Network Monitor 5.2，它属于 Windows Server 2003 的一部分。

在本练习中，您将对 ISA Server 进行配置，以允许 Internet 上的客户端计算机通过建立
*** 连接访问内部网络。

注意：本实验室练习使用以下计算机：Denver - Florence – Istanbul
在 Florence 计算机上执行以下步骤。

1.在 Florence 计算机上，考察定义“*** 客户端”网络与“内部”网络之间连接性的网络规则。
a.在 Florence 计算机上，从 ISA Server 控制台的左窗格中，展开“配置”，然后选择“网络”。
b. 在右窗格中的“网络规则”选项卡上，选择定义“*** 客户端”网络与“外部”网络之间连接性的规则。在“3 向外围网络”模板的默认配置中，名为“*** 客户端至内部网络”的网络规则（规则 2）表明，ISAServer 将在“*** 客户端”网络与“内部”网络之间路
由网络通讯。


2.创建新的访问规则：
  名称：允许 *** 客户端访问内部网络
  应用于：Ping，Microsoft CIFS (TCP)
  源网络：*** 客户端
  目标网络：内部

a. 在 ISA Server 控制台的左窗格中，选择“防火墙策略(ITALY)”。
b. 在右窗格中，选择第一个规则，以指示新规则将添加到规则列表中的位置。
c. 在任务窗格的“任务”选项卡上，单击“创建阵列访问规则”。
d. 在“新建访问规则向导”对话框中的“访问规则名称”文本框中，键入“允许 *** 客户端访问内部网络”，然后单击“下一步”。
e. 在“规则操作”页面上，选择“允许”，然后单击“下一步”。
f. 在“协议”页面上的“此规则应用到”列表框中，选择“所选的协议”，然后单击“添加”。
g. 在“添加协议”对话框中，
   ● 依次单击“通用协议”、“Ping”和“添加”，
   ● 依次单击“所有协议”、“Microsoft CIFS (TCP)”和“添加”，
   然后单击“关闭”以关闭“添加协议”对话框。
  ※ Microsoft CIFS (TCP) 协议也称作“服务器消息块”(Server Message Blocks, SMB) – TCP 端口 445。它用于访问文件共享和打印机共享。
h. 在“协议”页面上，单击“下一步”。

i. 在“访问规则源”页面上，单击“添加”。
j. 在“添加网络实体”对话框中，
   ● 依次单击“网络”、“*** 客户端”和“添加”，
   然后单击“关闭”以关闭“添加网络实体”对话框。
k. 在“访问规则源”页面上，单击“下一步”。
l.在“访问规则目标”页面上，单击“添加”。
m. 在“添加网络实体”对话框中，
  ● 依次单击“网络”、“内部”和“添加”，
  然后单击“关闭”以关闭“添加网络实体”对话框。
n. 在“访问规则目标”页面上，单击“下一步”。
o. 在“用户集”页面上，单击“下一步”。
p. 在“正在完成新建访问规则向导”页面上，单击“完成”。
  ※此时将创建一个新的防火墙策略规则，该规则允许从“*** 客户端”网络通过 Ping 和 CIFS 协议访问“内部”网络。
q. 单击“应用”以应用新规则，然后单击“确定”。等待，直到CSS 状态变为“已同步”。


在 Istanbul 计算机上执行以下步骤。
3.  在 Istanbul 计算机上，如果“*** 至Contoso”连接断开，则重新连接。
a. 在 Istanbul 计算机上，如果“*** 至 Contoso”连接已断开，则在“网络连接”窗口中，右键单击“*** 至Contoso”，然后单击“连接”。在“将 *** 连接至 Contoso”对话框中，填写以下信息：
    ●用户名：Administrator
    ●密码：password
    然后单击“连接”。
  ※此时，将重新建立到 ISA Server 计算机的 *** 连接。

4.  使用 Ping 命令测试与“内部”网络 (10.1.1.5) 的连接，并使用“运行”对话框连接到 \\10.1.1.5。
a. 打开一个命令提示符窗口。
b. 在命令提示符下，键入 ping 10.1.1.5，然后按 Enter 键。
  ※此时，将从 Denver 计算机 (10.2.1.5) 返回四个（或三个）ping 回复。Istanbul 现在可以访问内部网络。
c. 关闭命令提示符窗口。
d. 在“开始”菜单上，单击“运行”。
e. 在“运行”对话框中，键入 \\10.1.1.5，然后单击“确定”。
  ※此时打开一个 Windows 资源管理器窗口显示\\10.1.1.5。这表明 ISA Server 允许 *** 客户端计算
     机访问内部网络计算机上的文件共享。
f. 关闭 \\10.1.1.5 窗口。


5.断开“*** 至Contoso”连接，并关闭“网络连接”窗口。a. 在系统任务栏中，右键单击连接图标，然后单击“断开连接”。
   ※此时，将断开“*** 至 Contoso”连接。
b. 关闭“网络连接”窗口。