ISA 2006 如何启用WPAD自动发现模式

ISA 2006 如何启用WPAD自动发现模式

WPAD是[/b]Web Proxy AutoDiscovery Protocol[/b]的缩写[/b],[/b]意思是[/b]WEB[/b]代理自动发现协议[/b],[/b]要想让此协议发挥功效我们必须借助于[/b]DNS DHCP[/b]服务[/b],[/b]客户端借助[/b]DNS[/b]查询[/b]DHCP[/b]分发得到[/b]IP[/b]地址来确认[/b]WPAD[/b]服务器[/b](ISA SERVER)[/b]是谁[/b],[/b]而[/b]WPAD[/b]服务器通过内置的[/b]2[/b]个自动配置脚本为客户端的浏览器[/b](IE)[/b]做设置[/b],[/b]这[/b]2[/b]个脚本分别为[/b]wpad.dat([/b]供[/b]WEB[/b]代理使用[/b])[/b]另外的是[/b]wspad.dat([/b]供防火墙客户端使用[/b]),[/b]
[/b]现在企业中使用[/b]ISA[/b]服务作为前端防火墙的比较多[/b],[/b]相比较而言[/b],[/b]企业中使用[/b]WEB PROXY[/b]比较多[/b],[/b]原因是部署简单[/b],[/b]易操作[/b],[/b]完全能满足企业的需求[/b], [/b]今天我在这里着重介绍[/b]WEB [/b]代理[/b][/b]
[/b]先说一下实验环境[/b],[/b]
Virtual Server 2005 R2 Enterprise[/b]


[/b]
[/b]
1 ISA 2006 ISA[/b]服务器[/b] [/b]
2 AD [/b]域控制器[/b][/b]
Client 1 [/b]域客户端[/b][/b]
Client 2 [/b]工作组[/b][/b]
[/b]实验目的[/b][/b]
[/b]利用组策略部署[/b]WPAD,[/b]测试通过身份验证访问网络资源[/b][/b]
[/b]相信大家对装[/b]ISA ,AD[/b]部署步骤应该比我熟悉[/b],[/b]在这里我就不多介绍了[/b],[/b]
[/b]首先在[/b]Active Directory[/b]用户和计算机上添加[/b],[/b]销售部[/b]OU,[/b]销售部内添加用户[/b] zs([/b]张三[/b])[/b]
huxiaoqiu7822@hotmail.com" src="http://img1.51cto.com/attachment/200806/200806241214271635625.jpg" border="0" />[/b]
有时候为了工作方便我们都会建立一个通用用户[/b],[/b]目的是为了方便外来人员或非域用户访问企业内一些无关紧要而必不可少的资源[/b],[/b]比如打印机[/b],[/b]非涉密文档[/b],[/b]在这里我添加的用户是为[/b]WEB[/b]代理做准备[/b],[/b]不过一定要注意此账号密码一定是永不过期[/b],[/b]因为默认的域密码策略[/b],[/b]密码过期为[/b]42[/b]天[/b][/b]
通用账号为[/b]test\test[/b]


[/b]
下面建立一条ISA 访问策略,策略为 内部访问外部WEB[/b]


[/b]


[/b]


[/b]
选择访问[/b]WEB[/b]容器内的内容[/b][/b]


[/b]
访问规则源为[/b] [/b]本地主机[/b],[/b]内网[/b]-->[/b]外部[/b][/b][/b]


[/b]
[/b] [/b]



在这里要注意的是[/b],[/b]不能选择所有用户[/b],[/b]原因是选择所有用户[/b],[/b]这条策略就毫无意义了[/b],[/b]基于一些奇怪的理由在企业内总有些部门和用户是不能访问外部网络[/b],[/b]为了更好的管控企业网络流量和访问控制[/b],[/b]我们必须在访问上做些限制[/b],[/b]为了体现出效果[/b],[/b]在这里我选择[/b]Domain Users[/b]为访问条件[/b],[/b]做这条策略[/b],[/b]换句话说你必须是域用户才能访问外网[/b],[/b]否则想浏览外部网页门都没有[/b]![/b]


[/b]


[/b]


[/b]


[/b]


[/b]


[/b]


[/b]


[/b]


[/b]
在[/b]DNS[/b]添加[/b]WPAD[/b]记录[/b],[/b]打开[/b]DNS,[/b]右键填加别名记录[/b],[/b]
[/b]别名为[/b] wpad[/b]
FQDN为 wpad.test.com,[/b]
目标主机为ISA服务器 1ISA.test.com[/b]


[/b]


[/b]


[/b]
打开[/b]DHCP,[/b]在服务器名称上右键选择[/b]:[/b]设置预定义的选项[/b]


[/b]


[/b]
名称[/b]: WPAD,[/b]数据类型[/b]:[/b]字符串[/b],[/b]代码[/b]:252,[/b]描述[/b]:WPAD[/b]


[/b]
字符串[/b]:http://1ISA.test.com 8080/wpad.dat[/b]


[/b]
配置选项,选择252 WPAD[/b]


[/b]


[/b]
安装[/b]GPMC[/b]组策略控制台[/b]


[/b]


[/b]
新建一条[/b] ISA Server WEB Proxy Policy[/b]策略进行编辑[/b][/b]


[/b]


[/b]


[/b]
选择用户配置下的[/b] IE[/b]维护连接选项[/b][/b]


[/b]
在代理设置内填写1ISA.test.com端口为8080[/b]


[/b][/b][/b]
将编辑好的策略拖拉到你想要控制的部门[/b]OU[/b]上按确定[/b]


[/b]
选择强制[/b]
[/b]

[/b][/b]
查看策略是否正确[/b]


[/b]
确认完毕后不要忘记策略刷新[/b]


[/b]
接下来我们到[/b]Client1[/b]上测试这台电脑是否符合实验目的[/b][/b]
首先看一下登陆环境[/b],[/b]确认是否是域客户端及登陆账号是否正确[/b][/b]
[/b]



[/b]
IE->[/b]属性[/b]->[/b]连接[/b]->[/b]局域网设置[/b],[/b]查看是否已经得到域策略[/b],[/b]确定准确无误后打开[/b]IE[/b]访问外网[/b]WEB[/b]


[/b]


[/b]


[/b]
接下来查看[/b]Client 2[/b]是否符合实验要求[/b], Client 2[/b]是一台工作组计算机[/b],[/b]相关的[/b]IP[/b]是从[/b] 2AD[/b]服务器上的[/b]DHCP[/b]抓取到的[/b],[/b]因为已经[/b]DHCP[/b]已经做了[/b]WPAD[/b]的设置[/b],[/b]只要[/b]DHCP[/b]不宕机，[/b]Client 2[/b]是应该能得到[/b]WPAD[/b]的运行脚本的[/b][/b]


[/b]


[/b]


[/b]
打开IE输入想要访问的网址,这时候你会看见对话框,这个对话框也就是要求验明身份的对话框,在用户不知道公用帐户和密码的时候应该是访问不了外部网站的,在此要提醒各位的是,为了避免产生其他麻烦一定要注意保管好企业公用账号,否则你根本无法管控你的员工![/b]


[/b]


[/b]


[/b][/b][/b][/b][/b][/b][/b][/b][/b][/b][/b]本文出自 “胡晓秋工作室” 博客，请务必保留此出处http://huxiaoqiu.blog.51cto.com/76244/83730