正确理解防火墙策略的执行过程 很多初次接触 ISA 的管理员，常常会发现自己的管理意图没有得到贯彻。自己明明禁止用户使用 QQ 聊天，可你看这个老兄正在和多个 MM 聊得热火朝天；早就禁止在上班时间访问游戏，可这个家伙不正在和别人下棋吗？最郁闷的是就连简单的禁止访问百度搜索引擎都做不到，照样有很多人用百度搜来搜去……不少深感智力受到侮辱的网管生气地发出了“ISA 就是不灵”的吼声。ISA 真是不灵吗？不是的，其实发生这些的主要原因是 ISA 管理员并没有真正理解防火墙策略的执行过程。今日我们就来好好地分析一下 ISA 防火墙策略的执行过程，避开在以后的工作中犯类似的错误。首先声明，我们今日讨论的是 ISA2024 标准版的策略执行过程，企业版比标准版要复杂一些，以后我们再讨论。我们可以把 ISA 当作是信息高速公路上的一个检查站，当有数据包要通过 ISA 时，ISA 就会利用策略对数据包进行检查，检查通过就放行，否则就拒绝。ISA 检查数据包的顺序是：一检查是否符合网络规则二检查是否符合系统策略三检查是否符合防火墙策略 一网络规则一个数据包通过 ISA 时，ISA 首先要检查的就是网络规则。网络规则是 ISA 中非常重要而又很容易被忽视的一个因素。ISA 检查数据包时首先要考虑的就是这个数据包是从哪个网络到哪个网络，这两个网络间的网络规则是什么。也就是说 ISA 是基于网络进行控制，而不是很多朋友认为的基于主机进行控制。网络规则只有两种，路由或 NAT。假如 A 网络到 B 网络的网络规则为路由，那么数据包从 A 网络到 B 网络或者从 B 网络到 A 网络都有可能；假如 A 网络到 B 网络的网络规则为 NAT，那么数据包只有可能从 A 到 B，而不可能从 B 到 A。我们可以把两个网络比方为两个城市，网络规则就象是城市之间的高速公路，假如两个网络之间的网络规则为路由，那就象是两个城市之间有一条双向高速公路；假如网络规则为 NAT，则就相当于两个城市之间有一条单行高速公路。明白了网络规则的作用，有些问题就很好解释了。有些 ISA 管理员问过这样一个问题：“我在 ISA 的防火墙策略中已经允许外网访问内网，为什么外网机器还是访问不进来？”现在来看这个问题就很简单了，因为 ISA 认为内网和外网之间的网络规则是 NAT，如下图所示，NAT 规则决定了只有可能从内网到外网而不可能从外网到内网，因此当外网访问内网时，ISA 只需检查网络规则就。因此假如你确实...
