1、在存在多条路由的内部网络中配置ISA Server在存在多条路由的内部网络中配置ISA Server 20042011-01-24 15:29在许多企业的内部网络中，因为计算机数量多或者部门隔离的原因，通常划分了多个子网或者VLAN，通过三层交换机或者路由器来实现子网（VLAN）间的互连。许多朋友提出了这个问题，如果我在其中的一个子网中配置了通往Internet的连接，那么我应该如何配置ISA Server 2004，以便其他子网的客户能够共享这个子网的Internet连接呢？关于这个问题，我已经在“浅谈ISA Server 2004、KWF中的路由”和“How to ： 如何配置ISA Se
2、rver 的网络环境”中进行了介绍，在这篇文章中，我给大家详细的介绍一下具体在ISA Server上如何实现。当内部网络中存在多条路由的时候，由于ISA Server不能将内部的接口IP地址设置为默认网关，所以必须手动添加到达这些子网的路由；另外还需要在ISA Server中定义这些子网为内部网络，否则ISA Server会警告配置错误。配置好这些以后，ISA Server就会认为这些子网属于内部网络了，然后任何对于内部网络的访问规则设置都适用于这些子网。注意，这篇文章中我没有详细的列出具体操作的每一个细节，如如何安装ISA Server、如何配置访问规则等等，这些方法在ISA中文站里面已经有
3、很多文章介绍了，我希望你在看这篇文章的时候，已经对ISA Server的操作比较熟悉，并且对网络、路由知识还是有些了解。这篇文章已经跳出了ISA Server的范畴，更多的是属于网络路由的知识，如果你想更好的掌握，建议你最好看看MCSE课程 70-216 如何实现Windows网络基础服务和CCNA 801的书籍，另外，请不要在论坛问我该如何使用route命令来添加路由，WIndows的帮助是最好的老师。下图是我们的试验网络：LAN1（172.16.1.0/24）和LAN2（172.16.2.0/24）两个子网通过Router相连，位于172.16.1.0/24子网的Client1想通过连接到
4、172.16.2.0/24子网的ISA Server防火墙访问外部网络，Server1是Internet上的一台FTP服务器。各计算机的TCP/IP设置如下，此试验中不涉及DNS操作，DNS服务器IP地址均设置为空；Router只负责这两个子网间的路由，试验中不会涉及：Client1：IP：172.16.1.2/24DG：172.16.1.1（Router）Router：LAN1 Interface：IP：172.16.1.1/24DG：NoneLAN2 Interface：IP:172.16.2.254/24DG：NoneISA Server：LAN2 Interface：IP：172.16
5、.2.1/24DG：NoneInternet Interface：IP：61.139.0.1/24DG：61.139.0.1Server1：IP：61.139.0.8/24DG：None我们会按照以下步骤执行试验：在ISA Server上添加到LAN1的路由；安装ISA Server 2004或配置ISA Server 2004，使它的内部网络中包含LAN1；添加访问规则，允许内部访问外部；在Client1上连接Server1进行测试。1、在ISA Server上添加到LAN1的路由首先我们在ISA Server上执行route print，查看当前ISA Server上的路由：c:route
6、 printIPv4 Route TableInterface List0x1 . MS TCP Loopback interface0x10003 .00 03 ff fe ff ff . Intel 21140-Based PCI Fast Ethernet Adapter(Generic)0x20004 .00 03 ff fd ff ff . Intel 21140-Based PCI Fast Ethernet Adapter(Generic) #2Active Routes:Network Destination NetmaskGateway Interface Metric0.0
7、.0.0 0.0.0.061.139.0.1 61.139.0.1 20 61.139.0.0 255.255.255.0 61.139.0.1 61.139.0.1 2061.139.0.1 255.255.255.255 127.0.0.1 127.0.0.12061.255.255.255 255.255.255.25561.139.0.1 61.139.0.1 20127.0.0.0 255.0.0.0127.0.0.1127.0.0.1 1172.16.2.0255.255.255.0 172.16.2.1 172.16.2.1 20172.16.2.1 255.255.255.25
8、5 127.0.0.1 127.0.0.1 20172.16.255.255 255.255.255.255 172.16.2.1 172.16.2.120224.0.0.0 240.0.0.0 61.139.0.1 61.139.0.1 20224.0.0.0240.0.0.0 172.16.2.1 172.16.2.1 20255.255.255.255 255.255.255.255 61.139.0.1 61.139.0.1 1255.255.255.255 255.255.255.255 172.16.2.1 172.16.2.1 1Default Gateway: 61.139.0
9、.1=Persistent Routes:None可以看出，当前的默认路由是61.139.0.1，没有到达LAN1（172.16.1.0/24）的路由，所以，在ISA Server上Ping Client1的IP是不通的，c:ping 172.16.1.2 -n 2Pinging 172.16.1.2 with 32 bytes of data:Request timed out.Request timed out.Ping statistics for 172.16.1.2:Packets: Sent = 2, Received = 0, Lost = 2 (100% loss),现在，我们
10、来手动添加一条路由，c:route add 172.16.1.0 mask 255.255.255.0 172.16.2.254命令执行成功，我们再Ping一下，c:ping 172.16.1.2 -n 2Pinging 172.16.1.2 with 32 bytes of data:Reply from 172.16.1.2: bytes=32 time=7ms TTL=63Reply from 172.16.1.2: bytes=32 time=1ms TTL=63Ping statistics for 172.16.1.2:Packets: Sent = 2, Received = 2
11、, Lost = 0 (0% loss),Approximate round trip times in milli-seconds:Minimum = 1ms, Maximum = 7ms, Average = 4ms此时，Ping成功了，同样的，我们在Client1上Ping ISA Server试试如图，也成功了，至此，ISA Server到LAN1的路由配置就已经完成了。2、安装ISA Server 2004或配置ISA Server 2004，使它的内部网络中包含LAN1我这台ISA Server是已经安装好了ISA Server 2004的，所以只需要修改内部网络的属性即可。但是从
12、网络规划的角度，你应该是先配置好你的基础网络，再安装ISA Server，这样可以避免很多难以预料的问题。如图，在ISA Server 2004控制台，点击配置，再点击网络，右击内部网络，选择属性。注意：此时可以看到，内部网络中的地址只包含172.16.2.0/24这一个子网。在弹出的内部属性对话框，点击地址，删除过去的172.16.2.0/24，点击添加适配器在弹出的选择网卡对话框，勾选连接内部网络的Internal Connection，注意看网络接口信息中显示的内容，显示了路由信息包括172.16.1.0172.16.2.255，它会自动从路由表中获取网络地址信息。一般情况下，建议你都采
13、取添加适配器的方式来添加你的内部网络，因为它可以自动识别你的网络路由情况，但是如果这样获取的内部网络地址中包括了多余的地址，请删去并检查你的路由表。点击确定后，内部网络属性如下再次点击确定；3、添加访问规则，允许内部访问外部添加访问规则是ISA Server最基本的操作，在此我就不多重复了。如下图，我建立好了一条允许本地主机、内部访问本地主机、内部和外部网络的所有协议的访问规则。点击应用以保存修改和更新防火墙策略；4、在Client1上连接Server1进行测试我现在Client1上Ping Server1试试，c:ping 61.139.0.8 -n 2Pinging 61.139.0.8
14、with 32 bytes of data:Reply from 61.139.0.8: bytes=32 time=13ms TTL=126Reply from 61.139.0.8: bytes=32 time=9ms TTL=126Ping statistics for 61.139.0.8:Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),Approximate round trip times in milli-seconds:Minimum = 9ms, Maximum = 13ms, Average = 11ms成功了，我们再
15、使用ftp连接上去试试：C:ftp 61.139.0.8Connected to 61.139.0.8.220 Serv-U FTP Server v5.1 for WinSock ready.User (61.139.0.8:(none): anonymous331 User name okay, please send complete E-mail address as password.Password:230 User logged in, proceed.ftp dir200 PORT Command successful.150 Opening ASCII mode data connection for /bin/ls.drw
