各位都知道，在企业里部署完ISA服务器后，我们就要统一部署ISA客户端，这样才能更好的控制内网用户如何通过ISA服务器来访问公网资源。对于ISA有三种客户端：
1. Web Proxy客户端
2. Secure NAT客户端
3. FireWall Client
 
对于三者的区别：
1. SNAT不对用户身份进行验证，而Web代理和Firewall client对用户身份进行验证。
2. Web Proxy和SNAT通用性强，即可以linux和Windows客户端使用。而Firewall仅对Windows有效。
3. 对DNS转发功能的支持：Web proxy和Firewall client支持，而SNAT不支持。
4. 对协议的支持：Firewall Client和SNAT支持最广泛，几乎支持所有的协议。而Web Proxy仅支持HTTP、HTTPS、FTP等少量的几个。
5. 配置：SNAT和Web Proxy无需额外软件，而FireWall client需要安装ISA的客户端软件。
 
    在实际配置客户端时，可以使用三者中任意，最多可以都使用，如果ISA 的三种客户端都使用，则优先顺序：
一般情况下：先走FireWall再走Web proxy最后再走SecureNAT。
但如果访问Web时走Web Proxy，Ping时走SecureNAT，其它服务走Firewall。
 
但对于这三种客户端如何进行配置呢？今天的实验拓朴如下所示：
 
假设我们的内部网络采用域环境，域名是contoso.com。我们通过组策略来完成三种客户端的配置：
 
一、Web Proxy客户端的配置：
其实就是把所有的客户端的IE浏览器配置使用ISA作为代理服务器。如下图所示：
打开任意一个客户端的IE浏览器，选工具菜单---Internet选项：
 
下面我们通过在Denver这台DC上利用组策略来完成所有客户端的统一配置。
打开dsa.msc工具，右击contoso.com这个域---选属性，编辑默认的 default domain policy，找到如下所示：
 
 
然后所有的客户端重启或登录时，设置完毕！
 
二、SNAT客户端的配置：
这个配置其实就是把所有客户端的网关统一指向ISA的内网卡，在本例里就是10.1.1.1。
为了统一配置，我们可以利用DHCP来为内网的客户端统一分配IP和网关。
还是让Denver做DHCP服务器，安装完DHCP组件后，启用DHCP控制台，如下所示操作：
先选择上图中的”授权“，允许此DHCP服务器向个提供DHCP功能。再右击如下：
 
新建作用域，如下：
 
取名S1，并单击下一步：
 
输入IP地址范围和子网掩码，再单击下一步：
 
不添加排除：
 
不改变租约如下：
 
利用向导完成配置选项，如网关的设置等，单击下一步：
 
添加网关，并单击下一步，对后面的两个页面不做处理，直接单击下一步，如下所示：
 
选择“激活此作用域”，单击下一步完成配置。如下所示：
 
已经完成了服务器端的配置，在Istanbul这台客户机上，设置“自动获得”IP地址，如下所示，成功的从DHCP获得了IP地址等，包括网关。
 
至此，SNAT客户端配置完成！！
 
三、FireWall Client客户端的配置：
   这种类型需要为所有客户端安装ISA的客户端软件，如果你是ISA2004，在ISA服务器可以通过添加ISA组件的方式把共享安装到ISA这台机器上，如果是ISA2006，可以把共享从ISA2006的安装光盘上拷到Denver上，并共享。
 
ISA2006光盘目录下有一个client目录，这里是所需要的软件。
 
把上述这个目录拷出并共享。
 
如何让所有的客户端安装这个软件呢？我们通过组策略来分发。如下过程：
打开Denver上的Dsa.msc后，还是编辑default domain policy，在软件设置下进行操作，如图所示：
 
单击新建--程序包所图所示：
 
找到这个共享路径下的安装包，选中后，单击“打开”，如下：
 
选择“已发布”，单击确定。如下所示：
 
已经发布成功，但为了让所有的域用户登录后，自动安装这个软件，我们调整一下，右击这个发布的软件，选属性，如下图：
 
 
一定要在上图中选择“在登录时安装此应用程序”，这样域内的用户登录时，会在登录过程中安装软件，如下所示：
 
 根据情况，可能这台客户要重新启用计算机，再次登录后进入桌面，会发现在任务栏的最右面多了一个图标，如下所示：
 
双击这个图标，打开如下：但显示“没有检测到ISA服务器”，怪了，这是怎么回事？
 

其实并不奇怪，这是FireWall客户端并没有发现ISA服务器，没有发现那就意味着FireWall Client不生效，所以我们还得用后续的配置，让我们的FireWall Client能自动发现ISA服务器，这就是所谓的WPAD。
 
先卖个关子，在下节课我们会隆重推出WPAD的配置。让客户端能真正的完成自动配置！