您的位置：首页 > 其它

发布安全Web站点详细攻略:ISA2006系列之十四

2010-04-15 12:49 351 查看

用

ISA

发布安全

Web

站点

到目前为止，我们已经对
ISA
发布
Web
站点进行了很多介绍，但还没有涉及到安全
Web
站点。其实在很多领域，安全
Web
站点都由于高安全性而受到广泛应用，例如在电子商务，电子邮件，
OA
等应用中基本都会使用安全站点来加强对数据的保护。既然安全站点如此重要，今天我们就来讨论一下如何用
ISA2006
来发布安全
Web
站点。

用
ISA2006
发布安全站点并不是一件困难的事，相反，
ISA2006
为管理员发布安全站点提供了灵活且强大的技术支持。以往防火墙在发布安全
Web
站点时，处理方法并不令人满意。由于安全
Web
站点对
HTTP
数
据进行了加密，这使得防火墙无法对数据内容进行分析，当然也没办法判断这些数据是否不利于安全。防火墙遇到这种情况，往往就采用“隧道”模式，如下图所
示，“隧道”模式让外网的访问请求直接通过防火墙抵达内网的安全站点，防火墙对访问请求直接放行，透明通过。这种方法自然无法让管理员满意，买个防火墙发
布网站不就是希望利用防火墙过滤有害数据嘛，现在防火墙让加密数据透明通过，那防火墙还有什么用呢，不如直接把安全网站放到外网好了。

ISA2006
对发布安全站点做了很好的改进，
ISA2006
在发布安全站点时可以采用“桥接”模式，如下图所示，这种模式可以让
ISA
对外网的发来的加密数据先进行解密，然后过滤检查，发来的数据被证实没问题了才会被重新加密送往内网的
Web
服务器。显然，桥接模式比隧道模式更能发挥防火墙的功效，对网站的安全更为有利。

ISA
并不是随随便便就能启用桥接模式，发布安全
Web
站点和发布
Web
站点有所不同，区别就在于安全
Web
服务器必须提供证书用于数据加密。在桥接模式下，
ISA
要对外网发来的加密的数据进行解密，这就要求
ISA
必须拥有证书及配套私钥。例如
ISA
发布的安全站点是
perth.contoso.com
，那
ISA
必须拥有名为
perth.contoso.com
的证书以及配套的私钥，如果没有证书，
ISA
无法对外网的访问者证明自己就是他们要访问的
perth.contoso.com
，如果没有私钥，
ISA
则无法对加密数据进行解密。因此，

ISA
启用桥接模式发布安全网站的关键就在于如何让
ISA
拥有证书以及私钥，我们解决这个问题的方法是让安全
Web
服务器导出证书及私钥，然后
ISA
再进行导入操作。

实验拓扑如下图所示，
Perth
是内网要发布的安全站点，
Denver
是内网的域控制器兼
CA
服务器，
Beijing
是
ISA2006
服务器，我们看看如何用
ISA
发布安全
Web
站点。

一

创建

CA

服务器

既然
Perth
上的
Web
站点是安全
Web
站点，那
Perth
的站点肯定要有证书，谁来发这个证书呢？
CA
！我们既可以选择去国际
CA
公司申请证书，也可以自己创建
CA
服务器来颁发证书。平时经常有朋友问这个问题：到底应该选择去国际
CA
申请证书还是自己创建一个
CA
来颁发呢？这个问题我觉得应该根据被发布安全站点的用途来决定，如果你发布的安全站点针对的群体是互联网上的用户，那我认为还是应该去国际
CA
申请证书，这样申请到的证书自动会被所有的用户所信任，使用起来很方便。否则你自己创建
CA
颁发证书，但互联网上其他用户都不信任，每个用户都要手工信任你创建的
CA
，这样就很麻烦了。当然，去国际
CA
申请是要付出代价的，一年估计要
1W
多
RMB
，这银子花得很心疼的。如果发布的安全站点主要是给公司员工使用的，那就可以自己创建
CA
来颁发证书了，因为公司员工人数有限，即使手工信
CA
任也不用花太多时间。这时自己创建的
CA
就能体现出使用方便，节省成本的优点了。

回到本例中，我们准备在
Denver
上创建一个
CA
服务器，用以在域内为计算机颁发证书。在
Denver
上依次点击
开始－设置－控制面板－添加或删除程序－添加
/
删除
Windows
组件，如下图所示，勾选“证书服务”，这时会弹出对话框提示你安装证书服务后不能改变计算机名称以及身份，选择“是“按钮。

CA
类型设置为企业根，这样可以更好地利用域的管理优势。

CA
命名为
TESTCA
。

证书数据库的存储路径取默认值即可。

安装程序提示需要重启
IIS
服务，在插入
Win2003
的安装光盘后，如下图所示，安装结束。

创建完
CA
服务器后，这个服务器必须得到其他计算机的认可，域内的计算机如本例中的
Perth
和
Beijing
都不用担心，组策略会告诉他们
TESTCA
是个可以信任的
CA
服务器。如果你觉得组策略生效时间太长，还可以运行
Gpupdate/force
来加快组策略生效时间。域外的计算机如本例中的
Istanbul
就需要手工信任这个
CA
服务器了，具体操作方法如下。我们先把

Denver
的网站用
ISA
发布出来，然后在
Istanbul
上访问
http://denver.contoso.com/certsrv
，如下图所示，网站要求进行身份验证，我们输入域管理员的用户名和口令。

通过身份验证后我们可以通过网站访问
CA
服务器了，如下图所示，选择“下载一个
CA
证书，证书链或
CRL
”。

如下图所示，选择“下载
CA
证书”，网站弹出文件下载的对话框，选择“保存”。

把下载的
CA
根证书保存到
C:/certnew.cert
。

有了
CA
根证书之后，我们要把它手工导入被信任的根证书颁发机构中。在
Istanbul
上运行
mmc
，如下图所示，在
mmc
控制台中选择“添加删除管理单元”。

如下图所示，点击“添加”，选择添加“证书”管理单元。

证书管理单元负责对计算机账号管理证书。

在新添加的证书管理单元中定位到“受信任的根证书颁发机构－证书”，如下图所示，在所有任务中选择“导入”。

启动证书导入向导。

将
CA
根证书文件导入，如下图所示。

选择证书的存储区域。

证书导入后，如下图所示，
TESTCA
已经成了被
Istanbul
信任的根证书颁发机构。

至此，我们完成了
CA
服务器的创建以及对
CA
服务器的信任，
切记，所有访问安全

Web

站点的计算机都要信任证书颁发机构。

二

为安全

Web

站点申请证书

创建了
CA
服务器之后，我们就可以为
Perth
的
Web
站点申请证书了。在
Perth
的
IIS
管理器中查看默认站点的属性，如下图所示，切换到站点属性的“目录安全性”标签，点击“服务器证书”。

弹出服务器证书申请向导。

选择“新建证书”。

由于之前创建的
CA
类型是企业根，因此我们可以直接在线申请证书。

证书的名称和加密位数取默认值即可。

单位和部门参数也不重要。

证书的公用名称至关重要，公用名称一定要和外网用户访问此安全网站时所使用的域名完全匹配。

如果不匹配，安全
Web
站点将发布失败。

填写证书的地理信息。

安全
Web
站点使用默认的
443
端口。

从
Active Directory
中选择所使用的证书颁发机构。

证书申请完成，
CA
已经给
Perth
的
Web
站点颁发了证书，现在
Perth
已经是一个安全
Web
站点了。

三

导出证书

接下来我们要在
Perth
上把申请到的证书导出给文件，然后再让
ISA
服务器导入。在
Perth
的
IIS
管理器中切换到默认
Web
站点的“目录安全性”标签，如下图所示，点击“查看证书”。

切换到证书的“详细信息”属性，如下图所示，点击“复制到文件”。

出现证书导出向导。

一定要连同私钥一起导出。

导出为
pfx
格式文件。

输入私钥保护密码。

把证书及私钥导出为
c:/perth.pfx
。

四

导入证书

我们把
perth
导出的证书文件复制到
ISA
服务器上，然后
ISA
就可以进行证书的导入操作了。参考在
Istanbul
上用
mmc
创建证书管理单元的步骤，在
ISA
上也创建一个证书管理单元管理计算机账号的证书，如下图所示，右键单击“个人”容器，在所有任务中选择“导入”。