改造ISA网络：提高内外网安全性

　　1.ISA服务器代替路由器

　　在图1所示的网络中，划分了3个VLAN，分别从192.168.1.0～192.168.3.0，子网掩码都是255.255.255.0，服务器区使用了192.168.100.0/24，每个VLAN的网关地址都是254(例如192.168.1.0的网关地址是192.168.1.254)。路由器的内网地址是10.10.10.20/24，路由器接三层交换机的端口地址是10.10.10.10/24。三层交换机上有一条静态路由：

　　ip route-static 0.0.0.0 0.0.0.0 10.10.10.20

　　在改造后，ISA Server内网的地址设置为10.10.10.20/24，在此块网卡上不添加网关地址(并将此网卡命名为“LAN”)，外网网卡设置为路由器原来的外网地址、子网掩码、网关地址与DNS地址(并将此网卡命名为“Internet”)。并且在该ISA Server的命令提示符下键入：

　　Route add –p 192.168.0.0 mask 255.255.0.0 10.10.10.10

　　这条命令的意义，添加192.168.1.0～192.168.3.0/24这3个网段的静态路由，包括了原来的3个VLAN的内部地址。在该ISA Server上创建一条规则，允许“从内网到外部”，该规则允许“内网”中的计算机访问Internet，从而ISA Server完成了代替图1中“路由器”的功能。

　　2.调试

　　改造后“核心交换机”做如下的调试：

　　将图1中“服务器区”所在的VLAN的IP地址删除(在本例中，就是192.168.100.0/24)，并且把所在VLAN删除;在ISA Server上再添加一块网卡，将新添加网卡接到新添加的千兆交换机上，原来服务器上的网线接到该千兆交换机上。

　　在ISA Server上主要做以下的调试：

　　(1).将新添加的网卡重命名为“DMZ”，设置IP地址为192.168.100.254(就是在核心交换机中删除的那个VLAN端口的IP地址)，设置子网掩码为255.255.255.0，不要设置网关地址。

　　(2).进入ISA Server 2006管理控制台，在“配置→网络”中，在右侧的任务窗格中，选中“模板”，单击“3向外围网络”。在“内部 网络IP地址”页中，单击“添加适配器”按钮，添加名为“LAN”的网卡。在“外围 网络IP地址”页中，单击“添加适配器”，选择名为“DMZ”的网卡。在“选择一个防火墙策略”页中，选择“阻止所有访问”，然后单击“下一步”按钮。在“正在完成网络模板向导”页中，单击“完成”按钮。

　　(3).修改网络规则：在默认情况下，“外围”与“内部”的关系是“NAT”，“外围”与“外部”的关系是“路由”，如图3所示。在此，需要修改“外围”与“内部”的关系是“路由”，修改“外围”与“外部”的关系是“NAT”。

　　图3

上一页  [1] [2] [3] 下一页

【责编:Zenghui】