Microsoft Internet Security and Acceleration Server 2000 17 1.3.2正向Web缓存服务器 ISA Server可以配置成正向web缓存服务器,使内部客户端可以访问 Internet. Isa server集中 缓存频繁受到请求的 Internet对象。防火墙之后的任一Web浏览器均能访问这些对象。从磁盘缓存 中服务的对象同从 Internet服务的对象相比,所需的处理明显要少得多。这既改善了客户端浏览器 的性能,减少了用户响应时间,还降低了 Internet连接的带宽消耗。 图1.10说明了 ISA Server缓存对象如何使用户受益。虽然该图主要讨论正向web缓存的情况(内 部客户端访问 Internet),然而反向web缓存( nternet用户访问公司的web服务器)的过程也是一样的 图1.10中说明了下列步骤。 Clientl 计算机 Internet 图1.10 I SA Server正向缓存 1.第1个用户 ClientI)请求一个Web对象 2. ISA Server检查该对象是否存储在缓存内。既然该对象不在 ISA Server缓存内, ISA Server 便向 Internet上的服务器请求该对象 3. Internet上的服务器将该对象返回给 ISA Server计算机。 4. ISA Server计算机在其缓存内保留一份副本,并将该对象返回给 Clientl。 5. Clienta请求同样的对象 6. ISA Server计算机从缓存中返回对象,而不是从 Internet上获得它。 1.3.3反向Web缓存服务器 可以在组织的Web服务器前安装 ISA Server. Web服务器寄存商用Web业务或者提供对业务 伙伴的访问。对于传入Web请求, ISA Server模拟对外Web服务器,用缓存中的Web内容满足客 户端的请求,只有无法从缓存服务请求时,才将请求转发给Web服务器。 如图1.11所示,当一个法国的 Internet客户端请求法国本地网的web服务器上的对象时,法国 的 ISA Server计算机会检査该请求。如果被请求的对象位于该 ISA Server计算机内,就将此对象反 馈给客户端。用 ISA Server计算机上的对象对客户端请求进行服务,在地理上更接近发出请求的客 户端,从而节约了性能开支。 如果被请求的对象不在法国的 ISA Server计算机内,就将此请求路由到加拿大的 ISA Server计 算机。如果该对象不在加拿大服务器阵列的缓存内,加拿大的 ISA Server阵列就从Web服务器中检
第 1 章 Microsoft Internet Security and Acceleration Server 2000 简介 17 1.3.2 正向 Web 缓存服务器 ISA Server 可以配置成正向 Web 缓存服务器，使内部客户端可以访问 Internet。ISA Server 集中 缓存频繁受到请求的 Internet 对象。防火墙之后的任一 Web 浏览器均能访问这些对象。从磁盘缓存 中服务的对象同从 Internet 服务的对象相比，所需的处理明显要少得多。这既改善了客户端浏览器 的性能，减少了用户响应时间，还降低了 Internet 连接的带宽消耗。 图 1.10 说明了 ISA Server 缓存对象如何使用户受益。虽然该图主要讨论正向 Web 缓存的情况(内 部客户端访问Internet)，然而反向Web缓存(Internet用户访问公司的Web服务器)的过程也是一样的。 图 1.10 中说明了下列步骤。 Client 2 Client1 ISP Server 计算机 Internet 图 1.10 ISA Server正向缓存 1. 第 1 个用户(Client1)请求一个 Web 对象。 2. ISA Server 检查该对象是否存储在缓存内。既然该对象不在 ISA Server 缓存内，ISA Server 便向 Internet 上的服务器请求该对象。 3. Internet 上的服务器将该对象返回给 ISA Server 计算机。 4. ISA Server 计算机在其缓存内保留一份副本，并将该对象返回给 Client1。 5. Client2请求同样的对象。 6. ISA Server 计算机从缓存中返回对象，而不是从 Internet 上获得它。 1.3.3 反向 Web 缓存服务器 可以在组织的 Web 服务器前安装 ISA Server。Web 服务器寄存商用 Web 业务或者提供对业务 伙伴的访问。对于传入 Web 请求，ISA Server 模拟对外 Web 服务器，用缓存中的 Web 内容满足客 户端的请求，只有无法从缓存服务请求时，才将请求转发给 Web 服务器。 如图 1.11 所示，当一个法国的 Internet 客户端请求法国本地网的 Web 服务器上的对象时，法国 的 ISA Server 计算机会检查该请求。如果被请求的对象位于该 ISA Server 计算机内，就将此对象反 馈给客户端。用 ISA Server 计算机上的对象对客户端请求进行服务，在地理上更接近发出请求的客 户端，从而节约了性能开支。 如果被请求的对象不在法国的 ISA Server 计算机内，就将此请求路由到加拿大的 ISA Server 计 算机。如果该对象不在加拿大服务器阵列的缓存内，加拿大的 ISA Server 阵列就从 Web 服务器中检
8MCSE制胜宝典— Microsoft internet security and acceleration server2000 索该对象 加拿大 eb服务器 总部 图1.11用 SA Server进行反向缓存 1.3.4定时内容下载 ISA Server利用可定制的缓存下载功能提高缓存性能。通过 ISA Server定时内容下载功能,可 以根据请求或者时间表,将HTTP内容直接下载到ISAServer的缓存内,然后可以预测组织内部客 户端可能请求的HTTP内容,由此来更新ISAServer的缓存,于是客户端就从ISAServer缓存直接 访问内容,而不是从 Internet访问 可以下载单个URL、多个URL或者整个Web站点。制定缓存内容下载作业安排时,可以限制 应该下载哪些内容,例如限制下载到单个域中或者其后要跟的链接的数量。还可以限制只下载文本 内容。安排内容下载进度时,通过设置由 ISA Server缓存存入对象,可以设置动态内容缓存,即使 HITP缓存控制报头表明它们未必能进行缓存。根据预先设定的、随意循环的时间安排进行下载。 也可以对传出和传入Web请求配置定时内容下载作业。对于传出Web请求,需要判断 Internet 上的哪些对象是用户最常请求的,然后定时从 Internet检索这些对象并将其载入缓存。对于传入Web 请求,可以安排内容下载作业,从内部Web服务器检索内容并将该内容保存在ISA缓存内 1.3.5活动缓存 ISA Server可以配置为自动更新缓存内的对象。启用活动缓存后, ISA Server会分析缓存内的哪 些对象最常受到访问。当缓存内的常用对象快过期时, ISA Server会自动刷新缓存中的内容 活动缓存能够使缓存中的对象保持最新。在对象实际过期且还受到客户端访问之前,它就向原 web服务器验证这些对象。它的目的在于加速那些通常需要在源服务器之间往返以使数据重新有效 的客户端访问,因为这涉及到某些费用(在代理处理和网络带宽方面),所以目标只是更新客户端将 来可能要访问的对象。 仅仅用流行程度来判断哪些对象需要刷新并不是一个很好的标准,因为客户端会手工刷新页面 来保持数据更新,所以很多流行的页面从不过期。此外,一个对象可能只是短时间内流行。活动缓 存编码设法识别那此严格遵循被访问内容的模式的对象。这些内容可能要活动刷新一一过期后又再 次受到客户端的请求的对象
18 MCSE 制胜宝典— —Microsoft Internet Security and Acceleration Server 2000 索该对象。 加拿大 总部 法国 ISA Server 计算机 ISA Server 计算机 Web 服务器 图 1.11 用ISA Server进行反向缓存 1.3.4 定时内容下载 ISA Server 利用可定制的缓存下载功能提高缓存性能。通过 ISA Server 定时内容下载功能，可 以根据请求或者时间表，将 HTTP 内容直接下载到 ISA Server 的缓存内，然后可以预测组织内部客 户端可能请求的 HTTP 内容，由此来更新 ISA Server 的缓存，于是客户端就从 ISA Server 缓存直接 访问内容，而不是从 Internet 访问。 可以下载单个 URL、多个 URL 或者整个 Web 站点。制定缓存内容下载作业安排时，可以限制 应该下载哪些内容，例如限制下载到单个域中或者其后要跟的链接的数量。还可以限制只下载文本 内容。安排内容下载进度时，通过设置由 ISA Server 缓存存入对象，可以设置动态内容缓存，即使 HTTP 缓存控制报头表明它们未必能进行缓存。根据预先设定的、随意循环的时间安排进行下载。 也可以对传出和传入 Web 请求配置定时内容下载作业。对于传出 Web 请求，需要判断 Internet 上的哪些对象是用户最常请求的，然后定时从 Internet 检索这些对象并将其载入缓存。对于传入 Web 请求，可以安排内容下载作业，从内部 Web 服务器检索内容并将该内容保存在 ISA 缓存内。 1.3.5 活动缓存 ISA Server 可以配置为自动更新缓存内的对象。启用活动缓存后，ISA Server 会分析缓存内的哪 些对象最常受到访问。当缓存内的常用对象快过期时，ISA Server 会自动刷新缓存中的内容。 活动缓存能够使缓存中的对象保持最新。在对象实际过期且还受到客户端访问之前，它就向原 Web 服务器验证这些对象。它的目的在于加速那些通常需要在源服务器之间往返以使数据重新有效 的客户端访问，因为这涉及到某些费用(在代理处理和网络带宽方面)，所以目标只是更新客户端将 来可能要访问的对象。 仅仅用流行程度来判断哪些对象需要刷新并不是一个很好的标准，因为客户端会手工刷新页面 来保持数据更新，所以很多流行的页面从不过期。此外，一个对象可能只是短时间内流行。活动缓 存编码设法识别那此严格遵循被访问内容的模式的对象。这些内容可能要活动刷新——过期后又再 次受到客户端的请求的对象
Microsoft Internet Security and Acceleration Server 2000 1r 19 1.3.6cARP和缓存服务器的扩展性 利用CARP, ISA Server企业版在将多台 ISA Server计算机的阵列作为单个逻辑缓存使用时, 能够提供无缝扩展和改进的效率。CARP通过阵列利用散列式路由选择提供“请求解析路径”。请 求解析路径判断浏览器或下游代理服务器请求的信息位于阵列的什么地方,或者 ISA Server是否必 须从 Internet上第一次获取被请求的信息,然后将其存入缓存并发给用户。 CARP还提供以下益处 ·因为CARP提供确定的请求解析路径,所以在代理服务器之间没有查询消息。但是,常规 的 Internet缓存协议(lCP)网络中却存在查询消息,这样就会导致随着服务器数目的增加网 络会更加拥挤 ·CARP能够清除另外出现在代理服务器阵列中的内容副本。在ICP网络里,一个由5台服 务器组成的阵列会迅速发展成基本上是经常被请求的URL的复制缓存。CARP基于散列的 路由选择能够防止这种现象的发生,它允许5台代理服务器作为单个的逻辑缓存存在。结 果便能对查询做出更快速的响应,而且对服务器资源的利用也会有效得多。 CARP拥有积极的可伸缩性。由于采用基于散列的路由,它独立于P2P对等ping。代理服 务器添加的越多,CARP速度会更快效率会更高。这和ICP阵列形成了鲜明的对比。ICP 阵列必须进行查询以判断缓存信息的位置,生成无关的网络通信,造成效率低下。ICP阵 列具有“负可伸缩性”,阵列中添加的服务器越多,确定位置时服务器之间需要的查询就 ·CARP能够自动调节阵列里服务器的添加或删除。基于散列的路由选择意味着无论是添加 或删除服务器时,只需要对URL缓存位置进行最小限度的再分配 CARP能够保证缓存对象在阵列里全部服务器之间均匀地分布,或者根据为每一台服务器 设置的负载系数进行存储。 由于CARP确定的请求解析路径,不需要为缓存信息保存大量的位置表。浏览器只需对某一对 象运行相同的数学函数就能判断它在什么地方 因为阵列内的 ISA Server计算机可能配有不同的硬件,一些计算机可能比其他的功能更强大, 您可能希望缓存负载的分配能有所区别。CARP具有可配置的功能:您可以指定阵列内任一特定服 务器的负载系数 此外,CARP能够对传入和传出web请求进行配置,例如,能够针对所有传出Web请求启动 CARP或针对所有传入Web请求禁用CARP 1.3.7分层缓存 ISA Server企业版支持链式或分层缓存。“链”这个术语是指单独的 ISA Server计算机或阵列 之间的一种分层连接。客户端的请求通过缓存服务器链向上游传送,直到发现被请求的对象。当对 象位于上游服务器内时,它会被每一个服务器存入缓存,直到该对象返回给客户端。链是分配服务 器负荷和容错的一种有效方法。您可以为分支机构或部门分层布置 ISA Server计算机 图1.12举例说明了分支机构的客户端如何请求 Internet对象。该请求被发给分支机构的ISA Server计算机,然后在发送至 Internet之前发送到区域总部或公司总部。从 Internet检索该对象后 总公司的 ISA Server缓存被请求的对象,并且返回至分支机构的 ISA Server o分支机构的 ISA Server
第 1 章 Microsoft Internet Security and Acceleration Server 2000 简介 19 1.3.6 CARP 和缓存服务器的扩展性 利用 CARP，ISA Server 企业版在将多台 ISA Server 计算机的阵列作为单个逻辑缓存使用时， 能够提供无缝扩展和改进的效率。CARP 通过阵列利用散列式路由选择提供“请求解析路径”。请 求解析路径判断浏览器或下游代理服务器请求的信息位于阵列的什么地方，或者 ISA Server 是否必 须从 Internet 上第一次获取被请求的信息，然后将其存入缓存并发给用户。 CARP 还提供以下益处∶ l 因为 CARP 提供确定的请求解析路径，所以在代理服务器之间没有查询消息。但是，常规 的 Internet 缓存协议(ICP)网络中却存在查询消息，这样就会导致随着服务器数目的增加网 络会更加拥挤。 l CARP 能够清除另外出现在代理服务器阵列中的内容副本。在 ICP 网络里，一个由 5 台服 务器组成的阵列会迅速发展成基本上是经常被请求的 URL 的复制缓存。CARP 基于散列的 路由选择能够防止这种现象的发生，它允许 5 台代理服务器作为单个的逻辑缓存存在。结 果便能对查询做出更快速的响应，而且对服务器资源的利用也会有效得多。 l CARP 拥有积极的可伸缩性。由于采用基于散列的路由，它独立于 P2P 对等 ping。代理服 务器添加的越多，CARP 速度会更快效率会更高。这和 ICP 阵列形成了鲜明的对比。ICP 阵列必须进行查询以判断缓存信息的位置，生成无关的网络通信，造成效率低下。ICP 阵 列具有“负可伸缩性”，阵列中添加的服务器越多，确定位置时服务器之间需要的查询就 越多。 l CARP 能够自动调节阵列里服务器的添加或删除。基于散列的路由选择意味着无论是添加 或删除服务器时，只需要对 URL 缓存位置进行最小限度的再分配。 l CARP 能够保证缓存对象在阵列里全部服务器之间均匀地分布，或者根据为每一台服务器 设置的负载系数进行存储。 由于 CARP 确定的请求解析路径，不需要为缓存信息保存大量的位置表。浏览器只需对某一对 象运行相同的数学函数就能判断它在什么地方。 因为阵列内的 ISA Server 计算机可能配有不同的硬件，一些计算机可能比其他的功能更强大， 您可能希望缓存负载的分配能有所区别。CARP 具有可配置的功能：您可以指定阵列内任一特定服 务器的负载系数。 此外，CARP 能够对传入和传出 Web 请求进行配置，例如，能够针对所有传出 Web 请求启动 CARP 或针对所有传入 Web 请求禁用 CARP。 1.3.7 分层缓存 ISA Server 企业版支持链式或分层缓存。“链”这个术语是指单独的 ISA Server 计算机或阵列 之间的一种分层连接。客户端的请求通过缓存服务器链向上游传送，直到发现被请求的对象。当对 象位于上游服务器内时，它会被每一个服务器存入缓存，直到该对象返回给客户端。链是分配服务 器负荷和容错的一种有效方法。您可以为分支机构或部门分层布置 ISA Server 计算机。 图 1.12 举例说明了分支机构的客户端如何请求 Internet 对象。该请求被发给分支机构的 ISA Server 计算机，然后在发送至 Internet 之前发送到区域总部或公司总部。从 Internet 检索该对象后， 总公司的 ISA Server 缓存被请求的对象，并且返回至分支机构的 ISA Server。分支机构的 ISA Server
0MCSE制胜室典 -Microsoft Internet Security and Acceleration Server2000 缓存该对象然后返回给客户端。这种情况下,分层缓存非常有用,因为对象只在最开始通过总公司 发送到 Internet,而后来的对同一对象的请求则直接从分支机构的 ISA Server阵列得到服务 因为链式缓存能够在离用户更近的地方启用缓存,因此对整个公司而言至关重要。例如,在企 业内,缓存内容可以跨越组织网络边缘的单一的中枢位置,移向分支机构和工作组。缓存能够向地 区ISP入网点移动而不是向中央ISP入网点移动。此外,链式缓存提供容错功能,因为当主路由不 工作时,它提供一个后备路由接替工作 Web代理客户端 分支机构 分支机构 计算机 Intemel 图1.12分层缓存 1.3.8 Web Proxy路由 Web Proxy路由规则进一步汲取了链的概念,它允许根据目的有条件地发送请求。例如,一个 公司在英国拥有分支机构,它可以在该分支机构中安装 ISA Server计算机。该分支机构阵列可能连 接到英国的一家ISP。分支机构的 ISA Server计算机路由规则可以将对英国 Internet主机的请求发向 本地ISP,其他的请求则发向美国总部的 ISA Server阵列。下游的 ISA Server计算机(在本例中为英 国的分支机构)会从总部的 ISA Server缓存中受益。分支机构的 ISA Server还存储从本地ISP检索得 来的本地对象,这也会使组织受益 图1.13举例说明了如何根据所请求的目的地将Web代理请求路由到不同的服务器。在这里 分支机构的 SA Server计算机将客户端对所有本地站点的请求发送到 Internet上。客户端对其他所 有站点的请求被路由到美国总部的上游 ISA Server计算机。 1.39小结 ISA Server可以用来改善本地网和 Internet之间的通信。利用正向Web缓存, ISA Server可以为 内部客户端访问 Internet上的服务器储存数据;利用反向web缓存, ISA Server可以为外部客户端 访问内部发布服务器提供通信。两种情况都能从 ISA Server的特性中受益,从而为用户更快提供 信息
20 MCSE 制胜宝典— —Microsoft Internet Security and Acceleration Server 2000 缓存该对象然后返回给客户端。这种情况下，分层缓存非常有用，因为对象只在最开始通过总公司 发送到 Internet，而后来的对同一对象的请求则直接从分支机构的 ISA Server 阵列得到服务。 因为链式缓存能够在离用户更近的地方启用缓存，因此对整个公司而言至关重要。例如，在企 业内，缓存内容可以跨越组织网络边缘的单一的中枢位置，移向分支机构和工作组。缓存能够向地 区 ISP 入网点移动而不是向中央 ISP 入网点移动。此外，链式缓存提供容错功能，因为当主路由不 工作时，它提供一个后备路由接替工作。 Web 代理客户端 Web 代理客户端 分支机构 ISA Server 计算机 ISA Server 计算机 ISA Server 计算机 ISA Server 计算机 ISA Server 计算机 分支机构 图 1.12 分层缓存 1.3.8 Web Proxy 路由 Web Proxy 路由规则进一步汲取了链的概念，它允许根据目的有条件地发送请求。例如，一个 公司在英国拥有分支机构，它可以在该分支机构中安装 ISA Server 计算机。该分支机构阵列可能连 接到英国的一家 ISP。分支机构的 ISA Server 计算机路由规则可以将对英国 Internet 主机的请求发向 本地 ISP，其他的请求则发向美国总部的 ISA Server 阵列。下游的 ISA Server 计算机(在本例中为英 国的分支机构)会从总部的 ISA Server 缓存中受益。分支机构的 ISA Server 还存储从本地 ISP 检索得 来的本地对象，这也会使组织受益。 图 1.13 举例说明了如何根据所请求的目的地将 Web 代理请求路由到不同的服务器。在这里， 分支机构的 ISA Server 计算机将客户端对所有本地站点的请求发送到 Internet 上。客户端对其他所 有站点的请求被路由到美国总部的上游 ISA Server 计算机。 1.3.9 小结 ISA Server 可以用来改善本地网和 Internet 之间的通信。利用正向 Web 缓存，ISA Server 可以为 内部客户端访问 Internet 上的服务器储存数据；利用反向 Web 缓存，ISA Server 可以为外部客户端 访问内部发布服务器提供通信。两种情况都能从 ISA Server 的特性中受益，从而为用户更快提供 信息
Microsoft Internet Security and Acceleration Server 2000 1r 21 英国的 ISA Serve 计算机 的请求 图1.13Web代理路由 ISA Server缓存还包括以下特性 ·定时缓存当 ISA Server应该从 Internet获取经常受到请求的内容并将其存入其缓存时 可以配置定时缓存。 活动缓存当该特性启用后,经常被访问的对象在网络通信量较低时会自动进行更新。 分布式缓存 ISA Server企业版利用CARP将多台 ISA Server计算机排列成单一的逻辑 缓存 ·分层缓存可以安装分层缓存,将 ISA Server企业版计算机阵列链接在一起,以便客户端 能够从地理上最靠近它们的缓存中访问对象 1.4 I SA Server的管理功能 工业研究表明,防火墙配置过差会比硬件或软件的设计缺陷导致更多的安全弱点。通过使用ISA Server的直观而强大的管理工具,可以使建立一个坚固的防火墙所遇到的困难减到最少,从而可以 避免这样的风险 本节学习目标 描述 ISA Server怎样集中化管理任务,以及这如何改善网络的安全 解释管理者如何应用企业策略和阵列策略来灵活控制 Internet访问 估计学习时间:20分钟 1.4.1直观的用户界面 ISA Management是一个MMC管理单元,为 ISA Server所有的管理任务提供一个熟悉的、容易 操作的界面。这个功能部件使得 ISA Server的管理更简单,更易于管理。 ISA Management内的图形 化任务板提供对普通任务的单击访问,而一步一步进行的向导则简化了最常用的管理步骤。 ISA Server向导为您提供的功能包括: 课程准备
第 1 章 Microsoft Internet Security and Acceleration Server 2000 简介 21 美国的 ISA Server 计算机 英国的 ISA Server 计算机 对国内 Web 站的 请求 对国际 Web 站点 的请求 图 1.13 Web代理路由 ISA Server 缓存还包括以下特性： l 定时缓存 当 ISA Server 应该从 Internet 获取经常受到请求的内容并将其存入其缓存时， 可以配置定时缓存。 l 活动缓存 当该特性启用后，经常被访问的对象在网络通信量较低时会自动进行更新。 l 分布式缓存 ISA Server 企业版利用 CARP 将多台 ISA Server 计算机排列成单一的逻辑 缓存。 l 分层缓存 可以安装分层缓存，将 ISA Server 企业版计算机阵列链接在一起，以便客户端 能够从地理上最靠近它们的缓存中访问对象。 1.4 ISA Server 的管理功能 工业研究表明，防火墙配置过差会比硬件或软件的设计缺陷导致更多的安全弱点。通过使用 ISA Server 的直观而强大的管理工具，可以使建立一个坚固的防火墙所遇到的困难减到最少，从而可以 避免这样的风险。 本节学习目标 l 描述 ISA Server 怎样集中化管理任务，以及这如何改善网络的安全 l 解释管理者如何应用企业策略和阵列策略来灵活控制 Internet 访问 估计学习时间：20分钟 1.4.1 直观的用户界面 ISA Management 是一个 MMC 管理单元，为 ISA Server 所有的管理任务提供一个熟悉的、容易 操作的界面。这个功能部件使得 ISA Server 的管理更简单，更易于管理。ISA Management 内的图形 化任务板提供对普通任务的单击访问，而一步一步进行的向导则简化了最常用的管理步骤。 ISA Server 向导为您提供的功能包括： l 课程准备