企业邮件与Windows安全应用：ISA2006搭建服务详解.pdfVIP

（VirtualPrivateNetwork）是虚拟网络的缩写，属于技术，简单地说就是利用公网

链路架设私有网络。假设BENET公司的研发部门员工需要为的技术支持，所以需要

经常出差，那么当他想企业内网的服务器资源时，最方便快捷，也是很安全的方式就

是。那么如何让外地员工利用到内源呢？解决方法就是在内网中架设一台服

务器，服务器有两块网卡，一块连接内网，一块连接公网。外地员工在当地连上Internet后，通

过Internet找到服务器，然后利用服务器作为跳板进入企业内网。为了保证数据的安全

性，服务器和客户机之间的通讯数据都进行了加理。有了数据加密，我们可以认为数据是

在一条的数据链进行传输，就好像我们专门架设了一个网络一样。

实际上使用的是互联网上的公用链路，因此只能称为虚拟网。实质上就是利用加密

技术在公网上封装出一个数据通讯隧道。有了技术，用户无论是在外地出差还是在家中办公，

只要能上互联网就能利用非常方便地内源，这就是为什么在企业中应用得如此

广泛的。常见的实施方式有两种，一种属于用户的单点拨入。用户无论在哪里，只

要通过Internet就可以拨入到公司的服务器，并进入内网获取资源。另外一种称为站点到站点

间的，主要适用于两个内网之间架设。这里将主要介绍如何利用ISAServer2006实现用户单

点拨入，关于站点到站点间的，有的用户可以参考微软的相关资料。

拓扑如图10.1，Benet是内网的域控制器、DNS服务器并保存着一些重要的文件，aptech是ISA2006

服务器，Client模拟的客户机。

图10.1公司的服务器结构图

ISA2006需要调用Win2003中的路由和组件来实现功能，用户不需要事先对ISA服

务器上的路由和进行配置，在使用ISA2006创建服务时会自动实现对路由和访

问的调用。整体的实施步骤如下：

1.定义地址池：

配置服务器的第一步就是为用户分配一个地址范围，本次实验中为用户设置的地址

池是192.168.100.1－192.168.100.200，虽然这个地址范围和内网大不相同，但不用担心，ISA会

自动在两个网络之间进行路由。

请注意

一般管理员认为既然要让用户能内源，那就直接给用户直接分配一个内网

地址。例如本次实验的内网地址范围是10.0.0.1－10.0.0.254，那用户的地址池就放在

10.0.0.100－10.0.0.150。如果用户的服务器是用Win2003的路由和实现的，那这么做是

没有问题的。因为路由和本身就只了的基本功能，对地址管理并不严格。但在ISA上

这种方法是不可行的，因为ISA是基于网络进行管理的。内网是一个网络，用户是另一个网

络，两个网络的地址范围是不能的。虽然使用DHCP技术可以使用户也获得内网地址，

但绝不推荐这么做，因为在后期的管理中会发现，把用户放到一个单独的网络中，对管理员实

现精确控制是非常有利的，管理员可以单独设定用户所在网络与其他网络的网络关系，策

略，如果把用户和内网用户混在一起，就享受不到这种管理的