ISA Server故障排除策略（1）

2019-11-02 16:52:22

字體：大中小

來源：轉載

供稿：網友

ISA Server故障排除策略

　　　10.2　ISA Server故障排除策略

　　　　系統方法是成功排除故障的必要條件。當遇到意外的ISA Server錯誤時，可以從辨別錯誤是基于用戶的還是基于數據包的入手進行故障排除。本節為兩種類型的連接問題提供了故障排除策略。

　　本節學習目標

　　排除基于用戶的訪問問題。

　　排除基于數據包的訪問問題。

　　排除ISA Server里VPN連接的故障。

　　估計學習時間：30分鐘

　　 10.2.1　用戶訪問故障排除

　　　　當用戶賬戶訪問被中斷或者不可用時，可能是由于用戶安全要求過于嚴格、規則配置不正確、身份驗證方法不夠全面等造成的。出現此類情況時，Ping，Tracert等工具就有用武之地了。

　　　　要排除基于用戶的訪問問題，首先檢查訪問策略規則。通過已配置的訪問策略規則，確認無法建立網絡連接的用戶已經被許可擁有連接站點，內容組和協議的權限。

　　如果所配置的規則不能成功應用到用戶會話中去，確認陣列屬性配置為向未認證用戶要求身份證明。同時注意，如果創建一個允許類型的訪問政策并應用到指定的用戶和組上，會要求用戶會話通過ISA Server身份驗證。另一方面，如果要所有的Web會話保持匿名時，對Web會話的訪問受到拒絕，那么確定陣列屬性不要求匿名用戶進行身份驗證。另外，刪除所有應用到指定Win2000用戶和組上的允許類型的站點和內容規則或協議規則。

　　身份驗證

　　　　在陣列屬性中，對身份驗證方法的選擇將影響到用戶的連接能力。每種身份驗證方法是專為某種網絡環境設計的。如果在網絡配置中選擇了不兼容的身份驗證方法，或者是方法配置不正確，用戶將不能訪問ISA Server計算機和網絡。

　　　　例如，陣列的默認身份驗證模式是集成的Windows身份驗證。但此方法不能驗證運行非Windows操作系統的客戶機。如果要在ISA Server中為此類客戶提供驗證的訪問服務，則必須把陣列屬性配置為使用其他的身份驗證方法。同樣，集成的Windows身份驗證與Netscape也不兼容，因為Netscape不能傳遞NTLM格式的用戶證書。它的另一個限制是依靠Kerberos V5身份驗證協議或它自己的質詢/響應身份驗證協議，然而在直通式身份驗證方案中，如圖 10.3所示，ISA Server不支持Kerberos V5身份驗證協議，因為Kerberos V5要求客戶機能識別驗證身份的服務器。

　　在ISA Server中，可選的身份驗證方法有Basic、Digest、Client Certificate等。Basic身份驗證與所有客戶類型都兼容，然而，因為此方法是以明碼而不加密的格式傳遞用戶名和密碼的，它的安全性就不夠了。Digest身份驗證僅能在Windows2000域中使用，密碼傳遞采用明碼但加密的文本進

　　行。Client Certificate身份驗證使用SSL通道來驗證。它需要在ISA Server 計算機上的Web代理服務證書庫中安裝客戶證書，且證書應該映射到適當的用戶賬戶。ISA Server只在SSL橋接配置時提供客戶證書。