配置单网卡的ISA缓存服务器：ISA2006系列之二十七

用 ISA2006 配置单网卡缓存服务器

ISA 是互联网安全加速器的缩写，安全指的是 ISA 的防火墙功能，而加速则是 ISA 的缓存功能。我们知道，缓存的设计是为了解决两个系统之间速度不匹配的矛盾。一般而言，内网的访问速度要远远大于外网，因此，如果 ISA 能够把用户访问外网获得的数据放在硬盘缓存中，那么当下一个用户从外网请求相同数据时， ISA 就可以利用硬盘缓存的内容对用户进行响应，这样的速度自然要远远大于从外网获得数据，加速器的称呼也就是因为这个。尤其是当公司员工早晨浏览新闻网站或查看产品报价时，这种加速效果非常明显。

有些公司在部署 ISA 服务器之前已经有了自己的网络访问解决方案，例如通过硬件防火墙访问互联网，如果这种网络访问解决方案运行效果较好，公司就未必希望用 ISA 来替代当前的方案，毕竟稳定是第一位的。但在这种情况下，我们可以在内网部署一个 ISA 服务器，内网用户通过使用 ISA 提供的 Web 代理服务，利用 ISA 的缓存功能对网络访问进行加速，拓扑如下图所示。在这种拓扑中，我们只使用了 ISA 的缓存功能， ISA 并不承担边缘防火墙的任务，因此 ISA 只需要一块网卡即可。下面我们就通过一个实例为大家介绍一下如何部署单网卡的 ISA 缓存服务器。

在部署单网卡缓存服务器之前，我们先要了解以下几点：

确认担任缓存服务器的 ISA SERVER 主机，在现有防火墙的保护网络范围中。

确认在目前的防火墙访问规则配置中，已开放缓存服务器的对外访问协议，这些包含了 HTTP 、 HTTPS 以及 FTP 。

对于单网卡的缓存服务器来说，它将无法使用下列功能：

— 防火墙客户端程序安装

二 VPN 网络的架设

三 IP 数据包筛选

四 多重网络架构的防火墙策略

五 企业内部服务器的发布功能

六 应用程序级的数据包过滤

我们具体的实验环境如下图所示， Beijing 是内网的单网卡 ISA2006 服务器，我们准备把 Beijing 部署成 ISA 缓存服务器，大致需要进行下列操作：

1) 使用模板配置

2) 创建访问规则

3) 启用 Web 代理

4) 启用缓存功能

5) 创建缓存规则

6) 创建计划内容下载作业

一 使用模板配置

ISA2000 在安装时提供了防火墙，缓存，集成等三种模式供用户选择，虽然 ISA2006 在安装时不能直接选择缓存模式，但 ISA2006 提供了缓存服务器的配置模板，我们可以使用缓存服务器模板把 ISA 服务器配置成单网卡的缓存服务器。

在 Beijing 上打开 ISA 管理器，定位到配置－网络，如下图所示，在右侧的模板列表中选择“单一网络适配器”模板。

出现网络模板的设置向导，点击下一步继续。

向导提示我们在使用模板之前最好先备份当前的 ISA 配置。

下面要配置单网卡 ISA 的内网地址范围，注意，由于 ISA 只有一块网卡，因此 ISA 的内网应该包括除 127 之外的所有 IP 地址范围。注意，此时 ISA 没有外网的概念了，对单网卡的 ISA 来说，所有的网络地址应该都属于内网范畴。我们在后续创建网络规则时也要注意到这一点。

模板向导提示我们应该选择一个防火墙策略，这个策略拒绝访问所有网络，我们在配置模板结束后可以修改防火墙策略，允许 Web 代理用户访问外网。

如下图所示，网络模板配置完成。

二 创建访问规则

使用模板配置完 ISA 服务器后，内网的 Web 代理用户并不能通过 ISA 服务器访问互联网，因为 ISA 服务器的访问规则中禁止所有的网络访问请求，因此我们必须创建访问规则允许 Web 代理用户使用 HTTP 协议访问互联网。

在 ISA 管理器中右键点击“防火墙策略”，如下图所示，选择新建“访问规则”。

为访问规则命名为“允许 HTTP 访问”。

当用户的访问请求符合规则时，允许访问请求。

Web 代理用户使用最多的协议就是 HTTP 和 HTTPS ，我们允许在规则中使用 HTTP 和 HTTPS 协议。

我们设定访问的源网络是内网。

注意，访问的目标网络仍然是内网，大家可别习惯性地把目标网络设定为外网，注意，内网的范围包括了除 127 之外的所有网络。

访问规则适用于所有用户。

如下图所示，我们完成了访问规则的创建，现在内网用户就可以通过 ISA 访问互联网上的内容了。

三启用 Web 代理

单网卡的 ISA 服务器只能为用户提供 Web 代理服务，因此我们要确保 ISA 启用了 Web 代理功能，如下图所示，在 ISA 管理器中查看内网属性，确保 ISA 服务器在 8080 端口提供 Web 代理服务。

ISA 提供了 Web 代理服务后，要确保内网用户在浏览器中要使用 ISA 提供的 Web 代理服务，在用户的浏览器属性中切换到“连接”标签，如下图所示，点击“局域网设置”。

勾选使用代理服务器，代理服务器的地址设定为 Beijing ，端口是 8080 。

四 启用缓存功能

虽然我们已经用单一网络适配器模板对 ISA 服务器进行了配置，而且 ISA 服务器也启用了 Web 代理，但由于 ISA 服务器的缓存功能和缓存规则尚未设置，因此 ISA 的缓存功能还未能实现。现在我们就先来启用 ISA 的缓存功能，如下图所示，在 ISA 管理器中定位到配置－缓存，我们可以看到目前缓存驱动器的尺寸是 0 ，显然当前并没有启用缓存，我们点击“缓存驱动器”的属性，准备对缓存进行设定。

如下图所示，我们把缓存设定在 C 盘，大小定位 200M 。缓存尺寸的设定原则是最好不要小于 100M ，每增加一个 Web 代理用户就增加 0.5M 。设定完缓存尺寸后，不要忘了点击“设置”按钮，而且在设置完成后最好重启一下 ISA 服务器。

五 创建缓存规则

ISA 启用了缓存功能后，我们要制定适合本单位的缓存策略，以便让 ISA 的缓存可以最大限度地发挥作用。如下图所示，在 ISA 管理器中定位到配置－缓存，在缓存规则的任务中选择“创建缓存规则”。

出现新建缓存规则的向导，点击下一步继续。

首先要设定缓存规则针对哪些访问目标生效，我们设定规则针对的目标网络是内网，再次提醒，别误写为外网。

接下来我们要设置缓存对象被请求时的检索方式，一般来说，我们大多选择第一项或第二项。第一项是根据 TTL 的到期时间来判断是否存在请求对象的有效版本，第二项则是缓存中只要存在请求对象的任何版本都可以。

接下来我们设置缓存的内容类型，如果有需要，可以考虑缓存动态内容或离线浏览内容，以便第一时间响应用户的请求。

我们对缓存对象的大小也可以进行设置，这样可以避免缓存到太大的数据，例如我们可以规定不缓存 1M 以上的对象。

缓存对象的生存时间可以使用默认设置，也可以根据需求将生存时间延长或缩短，如果请求的 HTTP 数据源制定了生存时间，则以数据源的规定为准。否则将按照 ISA 定义的时间边界定义缓存对象的生存时间。

FTP 缓存的默认生存时间是 1 天。

点击完成结束缓存规则的配置，以后 ISA 就会按照我们设定的规则来缓存数据了。

六 创建计划内容下载作业

对于一些用户经常访问的网站，我们还可以采用主动缓存的方式，在用户提出访问请求之前就把数据缓存到 ISA 服务器上，这样一来用户会获得更好的速度体验。例如如果每天 9 点上班的用户都有浏览新浪新闻的习惯，我们就可以让 ISA 在每天的 8:30 先去新浪把新闻缓存到硬盘上，这样用户浏览起来自然对速度非常满意。下面我们来看如何实现这个设想，在 ISA 管理器中定位到配置－缓存，如下图所示，在“内容下载作业” 的任务中选择“计划内容下载作业”。

ISA 提示我们如果要进行计划内容下载作业，必须满足两个条件，一是在内网要启用 Web 代理，这项要求我们已经满足了；另一个条件是要求在系统策略中启用计划的下载作业配置组，只要我们选择“是”，就可以在系统策略中启用这个设置。

查看系统策略编辑器，如下图所示，计划下载确实已经被启用了。

满足了计划下载所需要的两个条件后，再次从内容下载作业中选择“计划内容下载作业”，这次出现了内容下载作业向导，如下图所示，我们为内容下载作业命名为“新浪新闻”，点击下一步继续。

选择作业运行的频率，我们选择每天运行一次。

作业的开始时间我们设定为每天的 8:30 。

作业下载的具体地址是 [url]http://news.sina.com.cn[/url] ，我们设定每页的最大链接深度仅为 1 ，避免下载的数据量过大。而且设定不从指定的 URL 之外的链接下载。

设定要缓存的内容以及生存周期，我们取默认设置即可。

如下图所示，我们配置完成了每天定时下载新浪新闻的计划任务。

ISA 的缓存功能是非常实用的，对提高网络响应速度很有好处，而且 ISA2006 中又增加了对 Bits 数据类型的支持，即使用户用 Bits 从微软网站下载补丁，也可以享受到缓存服务带来的加速体验。如果您已经有了硬件防火墙作为边缘网关，不妨试试用 ISA 作缓存服务器，体验一下两种防火墙和谐相处为您带来的稳定，安全以及高速的网络感受。