ISA防火墙的默认系统策略和防火墙设置

内容概要：Tom在这篇文章中对ISA防火墙的系统策略的设置进行了详尽的说明，并且给出了推荐配置。除此之外，还介绍了ISA防火墙的其他的默认配置，对你理解ISA防火墙的初始配置和系统策略有很好的帮助。

ISA防火墙的系统策略是从本地主机进行访问或者访问本地主机的规则集合，它只与ISA防火墙系统有关，你不能为其他网络中的主机配置系统策略。

下表显示了系统策略的清单，以及它们在安装ISA防火墙之后的默认配置状态。序号/注释列包含了我们对于此系统策略规则的建议。

序号/注释 名称动作协议 从/侦听器 To 条件

1
ISA防火墙是域成员吗？如果不是，禁止此规则。
允许为了进行身份认证而访问目录服务允许 LDAP
LDAP (UDP)
LDAP GC
(global catalog)
LDAPS
LDAPS GC
(Global Catalog)
本地主机内部所有用户

2
如果没有人使用MMC远程管理ISA防火墙，禁止此规则。
允许从选择的计算机上使用MMC远程管理ISA防火墙允许 Microsoft Firewall Control
NetBIOS数据报
NetBIOS名字服务
NetBIOS会话
RPC (all interfaces)
远程管理计算机组本地主机所有用户

3
确认远程管理计算机组中的IP地址是否正确进行了配置。如果没有人使用终端服务进行远程管理ISA防火墙，禁止此规则。
允许从选择的计算机上使用终端服务远程管理ISA防火墙允许 RDP (终端服务) 远程管理计算机组本地主机所有用户

4 （默认禁止）
如果你想记录日志到SQL server上，启用此规则。
允许使用NetBIOS来远程记录日志到信任的服务器上允许 NetBIOS 数据报
NetBIOS 名字服务
NetBIOS 会话
本地主机内部所有用户

5
你要使用RADIUS 认证吗？如果不是，禁止此规则。
允许从ISA防火墙到信任的RADIUS服务器的RADIUS认证允许 RADIUS
RADIUS 记账
本地主机内部所有用户

6
ISA防火墙将认证用户吗？如果没有，禁止此规则。
允许从ISA防火墙到信任的服务器的Kerberos认证允许 Kerberos-Sec (TCP)
Kerberos-Sec (UDP)
本地主机内部所有用户

7
允许此规则后ISA防火墙才能进行DNS查询。
允许从ISA防火墙到选择的服务器的DNS协议允许 DNS 本地主机所有网络（和本地主机）所有用户

8
如果ISA防火墙不是DHCP客户，那么禁止此规则。
允许从ISA防火墙到所有网络的DHCP请求允许 DHCP 请求本地主机任何地点所有用户

9
如果ISA防火墙不是DHCP客户，那么禁止此规则。
允许从DHCP服务器到ISA防火墙的DHCP回复允许 DHCP 回复内部本地主机所有用户

10
确认远程管理计算机组中的IP是否正确配置。
允许从选择的计算机到ISA防火墙的Ping协议允许 Ping 远程管理计算机组本地主机所有用户

11
如果ISA防火墙需要使用ICMP协议，那么必须启用。
允许从ISA防火墙到选择的计算机的ICMP（Ping）协议允许 ICMP Information Request
ICMP Timestamp
Ping
本地主机所有网络（和本地主机）所有用户

12 （默认禁止）
如果你启用ISA防火墙的VPN服务器，那么此规则将会自动启用。
VPN客户访问ISA防火墙允许 PPTP 外部本地主机所有用户

13 （默认禁止）
如果你启用ISA防火墙的站点到站点的VPN连接，那么此规则将会自动启用。
允许到ISA防火墙的VPN站点到站点的数据传输。允许（空）外部
IPSec远程网关
本地主机所有用户

14 （默认禁止）
如果你启用ISA防火墙的站点到站点的VPN连接，那么此规则将会自动启用。
允许从ISA防火墙发出的VPN站点到站点的数据传输。允许（空）本地主机外部
IPSec远程网关
所有用户

15
你想从ISA防火墙上访问文件共享吗？如果不，禁止此规则
允许从ISA防火墙到信任的服务器的Microsoft CIFS协议允许 Microsoft CIFS (TCP)
Microsoft CIFS (UDP)
本地主机内部所有用户

16 （默认禁止）
如果你使用SQL日志记录，启用此规则。
允许从ISA防火墙到选择的服务器的远程SQL日志记录允许 Microsoft SQL (TCP)
Microsoft SQL (UDP)
本地主机内部所有用户

17
如果你不想让ISA防火墙访问Windows更新，就禁止此规则。
允许从ISA防火墙使用HTTP/HTTPS访问指定的站点允许 HTTP
HTTPS
本地主机系统策略允许的站点所有用户

18 （默认禁止）
当你建立HTTP/HTTPS链接性验证时，此规则将自动启用。
允许为了验证链接性而从ISA防火墙使用HTTP/HTTPS访问指定的站点允许 HTTP
HTTPS
本地主机所有网络（和本地主机）所有用户

19 （默认禁止）
当安装ISA防火墙的防火墙客户端安装文件时，会自动启用此规则。
允许从信任的计算机访问ISA防火墙上的防火墙客户端安装共享允许 Microsoft CIFS (TCP)
Microsoft CIFS (UDP)
NetBIOS数据报
NetBIOS名字服务
NetBIOS会话
内部本地主机所有用户

20 （默认禁止）
如果你想远程监控ISA防火墙的性能日志，启用此规则。
允许从信任的服务器到ISA防火墙的远程性能监视允许 NetBIOS数据报
NetBIOS名字服务
NetBIOS会话
远程管理计算机组本地主机所有用户

21
你想从ISA防火墙上访问文件共享吗？如果不，禁止此规则
允许从ISA防火墙到信任计算机的NetBIOS协议允许 NetBIOS数据报
NetBIOS名字服务
NetBIOS会话s
本地主机内部所有用户

22
如果你不在ISA防火墙上使用RPC来连接其他服务器，禁止此规则。
允许从ISA防火墙到信任计算机的RPC协议允许 RPC (all interfaces) 本地主机内部所有用户

23
此规则允许ISA防火墙向微软发送错误报告。
允许从ISA防火墙到微软错误报告站点的HTTP/HTTPS 允许 HTTP
HTTPS
本地主机微软错误报告站点所有用户

24 （默认禁止）
如果使用SecurID认证，启用此规则。
允许从ISA防火墙到信任服务器的SecurID认证允许 SecurID 本地主机内部所有用户

25 （默认禁止）
如果你使用MOM，那么启用此规则。
允许从ISA防火墙到信任的服务器使用Microsoft Operations Manager (MOM)代理进行远程监视允许 Microsoft Operations Manager Agent 本地主机内部所有用户

26 （默认禁止）
如果你想让ISA防火墙访问CRL，则启用此规则。
为了下载CRL，允许从ISA防火墙到所有网络的HTTP协议允许 HTTP 本地主机所有网络（和本地主机）所有用户

27
可能你需要根据你的NTP服务器的位置来修改规则。
允许从ISA防火墙到信任的NTP服务器的NTP协议允许 NTP (UDP) 本地主机内部所有用户

28
如果你没有部署使用SMTP来发送警告，可以禁止此规则。
允许从ISA防火墙到信任的服务器的SMTP协议允许 SMTP 本地主机内部所有用户

29 （默认禁止）
当启用内容下载任务时，此规则会自动启用。
为了完成内容下载任务，允许从ISA防火墙到选择的计算机的HTTP协议允许 HTTP 本地主机所有网络（和本地主机）本地系统账户和网络服务账户

30
如果你不使用远程MMC进行管理，禁止此规则
允许微软防火墙控制服务和选择的计算机进行通信。允许所有出站通讯本地主机远程管理计算机组所有用户

\| 设为首页 \| 加入收藏 \| 联系站长 \| 友情链接 \| 版权申明 \|
Copyright © 2006-2008　www.anquan365.com　安全365 建议使用1024*768分辨率及第三方浏览器对本站进行浏览