第1页共23页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第1页共23页教育城域网的安全防护探析绍兴县教育局-冯荣标教育城域网建设是教育信息化的重要组成部分，其中城域网的网络安全工作一直是各地教育行政部门比较重视的问题，本文作者通过对ISA的安装使用，介绍了利用ISA进行教育城域网网络安全防护方面的经验。ISAServer是微软公司推出的一款重量级的边缘网络安全产品，被公认为X86架构下最优秀的企业级路由软件防火墙。凭借其灵活的多网络支持、易于使用且高度集成的VPN配置、可扩展的用户身份验证模型、深层次的HTTP过滤功能、经过改善的管理功能等在许多领域有着广泛的应用。通过在绍兴县教育城域网的全面部署，总体性能感觉与思科ASA系列防火墙不分伯仲。ISAServer完全支持七层网络协议的管理，可以对客户端应用程序（如：QQ）进行控制,还可以对网站URL关键字进行过滤，整体建设成本却非常低（一台一万五的服务器+正版ISA+正版Win2003R2的整体费用不到二万元，却可以管理全县19个镇街22所初中上网，并且直接充当防火墙，而同级别的一个上网行为管理产品至少需要十多万）。ISA同传统上网行为管理产品的最大区别是可以实现与活动目录结合进行上网认证及客户端计算机的远程管理功能，可以为每一位上网教师分配一个上网帐户，将安全事故、上网行为落第2页共23页第1页共23页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第2页共23页实到个人。其升级版ForefrontThreatManagementGateway2010中文版（简称TMG2010），全面支持64位操作系统。由于目前TMG2010我县还在测试（主要测试对恶意代码、木马防控及64位系统的性能提升方面），本次将围绕以Windows2003R2+ISA2006标准版为基础重点讲述ISA的网站发布与管理功能，结合IIS来加强网站安全防护。一、ISA的安装以上是方案的网络拓扑图，非常简单，要注意的问题是服务器不管有多少块网卡，DNS只能在其中一块网卡中设置，一般情况下为连接外网的网卡上写上ISP的DNS服务器。例1：服务器配置，具体看各地财政情况，有钱可以买个专业服务器，没钱搞个PC机代替也行，关键是内存需要1GB以第3页共23页第2页共23页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第3页共23页上（最大不要超过2GB，因为超过这个，ISA是不支持的，TMG2010由于是64位的，可以支持4GB以上），我县教育城域网上用于网站发布的服务器为一台普通PC（P43.0/1GB/160G），配置了二块网卡分别连接内外网例2：ISA双网卡的IP地址设置：内网卡：IP：10.1.1.254，子网掩码：255.255.255.0，网关：无，DNS：无外网卡：IP:122.224.8.241，子网掩码：255.255.255.224，网关：122.224.8.225，DNS：202.96.107.27（绍兴电信的DNS）安装非常简单，选择自定义安装，除下面给出的安装顺序图例需要选择外，其它的全部选下一步就行了第4页共23页第3页共23页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第4页共23页二、网站的发布安装完成后可以直接进行网站的发布，如果是进行内部客户端上网，还需要设置相应的访问策略第5页共23页第4页共23页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第5页共23页1、右键单击ISA“防火墙策略”，选择“新建”中的“网站发布规则”，出现发布向导2、为规则取一个名称，如“发布初中网站”（可以一次性将同一个WEB服务器上的所有网站发布出去）后点“下一步”选择“允许”，再点“下一步”，出现选择发布类型（见图1），一般选择前二项，其中第二项“发布负载平衡Web服务器的一个服务器场”主要实现多台WEB服务器负载平衡，并且在其中一台死机情况下，自动将访问请求转到其它服务器，保证网站的正常访问。在本方案中我们选择第一项“发布单个网站或负载平衡器”后点“下一步”，由于我们不是HTTPS方式的网站，所以在下一选择中选“使用不安全的连接连接发布的WEB服务器或服务器场”。点“下一步”后出现要求提供内部第6页共23页第5页共23页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第6页共23页网站详细信息的对话框。图13、设置内部发布...
