用ISA Server 2000发布内部网络的IIS FTP服务器


发布服务器向导-两种基本的方式
  

 
  微软的最新防火墙Web代理软件ISA Server 2000发展的今天已经有将近1年的时间,它的功能强大和易于伸缩性给企业带来的非常巨大的方便。由于本文不是一片介绍ISA Server的文章,所以更多的特性请查询http://www.microsoft.com/isaserver。
  
  在ISA SERVER 2000的众多特性之一,有一个非常引人瞩目的功能,那就是提供在ISA SERVER 2000上发布内部网络(没有Internet IP的网络)的各种服务器。但考虑到FTP服务的特殊性,(因为需要2个以上的端口,具体详情请参考《浅析FTP的工作原理》),在发布时会有些不方便,所以促使我提笔写此一文。
  
  发布服务器,ISA SERVER 2000给我们提供的2种方法,一种是Web Publishing Rules,另一种是Server Publishing rules。这两种方式是有本质区别的,前者借助于ISA SERVER 2000的Web Proxy Service,后者借助于Firewall Service。两种方式中,有几点非常重要的区别:
   
点击查看大图

  好,了解了一些基本知识后,我们开始切入正题:如何使用ISAServer 2000发内部网络的FTP服务器。 我们分别以这两种方式介绍如何发布一台FTP服务器。
  Server Publishing rules方式
  
  首先,在内部运行FTP服务的计算机上设置IIS。具体如何设置,我想有耐心看到这里的朋友肯定是轻车熟路,所以我也不想在这里浪费笔墨了。请注意一点,你的FTP站点必须配置为监听21端口。
  
  现在对于内部网络IIS的设置我们已经完成,接下来我们来到ISA Server 2000的计算机前,开始发布这个位于内部网络的FTP服务器。打开ISA管理器,展开Publishing结点,用鼠标右键点击Server Publishing rules,选择New->Rule,这时会出现图1。
   
  
  图一
  
  给这个规则起一个名字,不妨就是FTP Server。选择Next,出现图2。
   
  图二
  
  把运行IIS监听FTP请求的IP地址和ISA计算机外部接口的IP地址填写进去,然后单击Next,出现图3。
   
  图三
  
  选择FTP Server这个协议定义。单击Next,出现图4。
   
  图四
  
  在这里,你可以通过IP地址来控制你的访问者,如果没有这样的要求,那么选择Any Request,单击Next。 出现图5。
   
  图五
  
  ISA给了你一个简单明了的设置清单,核对后无误,单击Finish,我们的工作也就完成了。
  
  在这个发布过程中我们用到了FTP Server这个协议定义(Protocol Definitions),这使我就不得不扯到FTP Access Filter这个应用程序过滤器,因为它在FTP服务器发布的过程中起到了至关重要的作用。FTP Access Filter作用在于为NAT客户端(现在内部网络的那台FTP服务器就是一个NAT客户端)动态打开其所需要的第二层连接,而管理员不必在ip packet filter中来添加静态的封包过虑条目来支持这个第二层连接。这样就会给管理员带来极大的方便,例如对于FTP的PASV连接模式,在客户端和服务器之间的数据传输通道所使用的端口都是动态的,管理员不可能把所有这些端口都添加的ip packet filter中,即使你是一个有耐心有时间的管理员,这样做也会极大损害网络的安全性。所以这种方法可以说根本是不可行的。FTP Access Filter在协议定义(Protocol Definitions)添加了如下条目:
  
  FTP Server
  FTP Download only
  FTP
  这3个协议定义用户是不能修改和删除的,它由FTP Access Filter来管理,并动态的在ip packet filter打开所需要的第二层连接。但是在实际使用的过程中,我也发现了这个FTP Access Filter的一些不足,它仅能支持标准端口21的FTP访问和服务器发布。如果内部网络的用户要访问非21端口的FTP服务器或者要发布非21端口的FTP服务器,那么你就不得不借助防火墙客户端,当然对于发布FTP服务器,还需要Wspcfg.ini的支持。有关这个问题我想已经超出了本文所以论述的问题,如果有机会我会在以后的文章中和大家一起探讨。以这种方式发布的FTP服务器,用户可以使用PASV和PORT中的任何模式来连接。
  
  此外,还有两个相关的问题。也许有的朋友会问,我是否需要建立一个支持TCP 21的进入访问(在IP packet Filter中)来支持这一发布呢? 答案是肯定的:你不必! 你可以使用netstat命令来验证,你的ISA外部的网络接口已经在监听TCP 21端口了。还有一点Server Publishing的方法对于使用动态外部(Internet)IP地址的网络支持的不好,还记得我们在刚才的发布过程中指定ISA外部网络的IP地址的那个对话框么,就是图2所示的,当你重新拨号后,你的IP通常会变,那么你就必须手动的修改这个对话框中的ISA外部接口地址,来支持内部服务器的发布。唉,微软的产品就是这样,总是带着一点遗憾,不过没关系,下边的方法会满足你的要求。 Let’s go!
  
  用Web Publishing Rules方式
  
  方法不变,你必须先设置好内部网络的IIS,但是有一点不同,可以说是有了很大的选择端口的自由,因为你不必配置IIS监听21端口,只要你的设置FTP监听的端口没有被其他资源占用,那么就是可以的。至于为什么,请往下看。
  
  打开ISA管理器,展开Policy Elements, 用鼠标右键点击Destination Sets, 选择New->Set,为你的目标集起个名字,并且把你的Internet上的FQDN添加进去,如图6。
   
  
  图六
  
  例如我这里的FQDN是USST.VICP.NET。建立这个目标集的作用是因为在Web Publishing rules中我们会引用这个设置。
  
  展开Publishing结点,用鼠标右键点击Web Publishing rules,选择New->Rule,为你的发布规则确认一个容易辨认的名字,单击Next。接下来选择Specified Destination Set,并引用我们在上一步中设置好的目标集,如图7。
   
  图七
  
  单击Next,出现图8。
   
  图八
  
  和使用Server Publishing过程中比较,可以发现这里多出来了一个选项"Specific users and groups",通过选择这个选项,我们可以基于用户或者组来控制进入的访问,也就是说如果访问者没有一个合法的帐户,那么他将被拒绝访问。用户通过的合法帐户来源于你的网络的域帐户或者是ISA计算机上的本地帐户,这样看你的网络模式和ISA的安装模式。
  
  一般情况下,我们也许不会有这样的要求,所以选择Any request,单击Next,再出现的对话框可就是最重要的一个环节了。选择Redirect the requests to internal Web Server,并给出内部网络监听FTP请求的计算机的IP地址,如果你选择使用名称的方式,那么你要首先确保你的网络内有一个有效的名称解析机制,DNS,WINS或者基于Computer Browser服务建立主浏览主机都是被允许的方法,当然DNS是最好的,因为它还可以提供用户上网的DNS查询缓存,这样被访问过一次的网站,那么当下一个用户再次访问时,DNS解析将在内部网络完成。在Connect to this port when bridging requests as FTP中写你在第一步中设置的端口号,注意一定要写对,否则就会发布失败。如图9。
   
  图九
  
  单击Next,设置清单会给你核对的机会,确认无误,单击Finish。但是我们的工作还没有完全结束,朗月繁星会提供给你一个更加优秀的设置,请双击刚才发布的规则,并打开Bridging选项卡,如图10。
   
  图十
  
  细心的朋友注意到了,在建立发布规则时,并没有出现这里的设置。确实,你必须以这种方式来进行这个"接桥"的设置。在这个选项卡中,ISA为我们提供了一些有趣的设置,我们可以把用户的HTTP请求重新接桥,转换为FTP请求或SSL请求。当然对于用户SSL请求,我们也同样可以设置接桥到HTTP或FTP。在这里我们设置把用户的HTTP请求转换接桥为FTP请求,那么单击OK。
  
  这时,用户就可以使用http://usst.vicp.net(以我FQDN为例)来访问你的内部网络的FTP站点。还记得我刚才说这个方法比较优秀么,确实,这样带来了一些好处。一个基于用户访问的FTP安全站点,它只能使用基本的验证方式,也就是说密码是以明文发送的,任何在网络上使用嗅闻器(着名的SnifferPRO就是一个例子)的人都可以得到这个密码,所以是非常不安全的。采用这种方法,你就可以使用Windows身份验证并使用SSL连接加密,来强化安全性,因为进入的请求是HTTP,而不是FTP。
  
  OK,现在我们的发布工作终于完成了。
  
  
  --------------------------------------------------------------------------------
  
  如何在发布位于ISA Server以及DMZ区域的FTP服务器
  
  但是,本文所涉及的话题还没有完,继续!
  
  "如果我想在ISA上发布ISA上运行的FTP服务怎么办?"我想这种情况在一些小企业里是常见的!如法炮制!我想说错,可是又不是完全错,因为用Web Publishing的方式是可以,你完全可以按照上边的方法来发布运行在ISA上的FTP服务,但是对于Server Publishing的方法就行不通了。原因其实很简单,因为微软的IIS默认时,会在0.0.0.0:21监听所有的FTP请求,尽管你在IIS中设置了只响应某一个ip地址的请求。 本文作者:



相关阅读:
让广告代码不影响网页站打开速度
PHP 生成的XML以FLASH获取为乱码终极解决
动态指定任意类型的ObjectDataSource对象的查询参数
Sql Server datetime问题
针对浏览器隐藏CSS
Ubuntu Linux系统下Apache SSL配置方法
一个PHP的String类代码
Discuz!7.0标签聚合功能详解
html+css实现数据图表的展示效果
jQuery Selectors(选择器)的使用(九、表单对象属性篇)
Linux下安装Mplayer只有声音而没有图像的解决
学习黑客必须要掌握的DOS命令全集
php巧获服务器端信息
MooTools教程(10):Fx.Tween渐变
快速导航

Copyright © 2016 phpStudy |