概述
本文詳細說明如何安裝 Internet Security and Acceleration (ISA) Server 並將其配置為企業級防火牆。ISA Server 架構安裝至 Active Directory 需具備：本機管理員權限、Enterprise Admins 與 Schema Admins 群組雙重成員身份。企業初始化僅需執行一次，將架構資訊複製至 AD。
⚠ 重要警告： 企業初始化過程不可逆！Active Directory 不支援架構對象刪除，初始化後無法回滾，請謹慎執行。
安裝 ISA Server 為防火牆模式
- 點擊「開始」→「執行」，輸入
cmd 開啟命令提示字元
- 執行安裝程式：
Path\ISA\i386\Msisaent.exe
Path 為 ISA 安裝檔案路徑（光碟根目錄或網路共享資料夾）
- 在歡迎對話框點擊「繼續」
- 閱讀並同意 EULA 授權協議
- 選擇安裝選項（典型/自訂/最小）
- 關鍵步驟： 選擇「防火牆模式」，點擊「繼續」
- 系統提示允許安裝程式停止 IIS 服務，點擊「確定」
- 自動建立 IP 位址表：選擇連接網路的網卡，點擊「確定」
- 點擊「確定」啟動配置精靈，完成後續設定
配置防火牆保護規則
- 開啟「ISA 管理」主控台：開始 → 程式 → Microsoft ISA Server → ISA 管理
- 展開主控台樹：
server_name\存取原則
- 右鍵「IP 封包篩選器」→「新增」→「篩選器」
- 命名篩選器（如「封鎖可疑埠」），下一步
- 選擇「允許」或「拒絕」該封包，下一步
- 接受預定義協議選項，下一步
- 選擇篩選器套用方式（特定介面/所有介面），下一步
- 指定遠端電腦（特定 IP/子網/任意），下一步
- 點擊「完成」生效
💡 進階提示： 可在配置框中雙擊 DHCP、DNS 等服務編輯其屬性，精細控管服務流量行為。
最佳實踐建議
- 最小權限原則： 預設拒絕所有入站，僅開放業務必要埠口（HTTP 80、HTTPS 443、SMTP 25 等）
- 發布規則而非封包篩選： 對內部伺服器發布 Web/郵件服務時，優先使用「伺服器發布規則」與「Web 發布規則」，提供應用層檢查與預驗證
- 啟用入侵偵測： 配置 IP 掃描、埠口掃描、DoS 攻擊等警示與自動封鎖
- 定期審核日誌： 設定日誌輪轉與遠端備份，確保審計追蹤完整
- 測試驗證： 部署後執行滲透測試與漏洞掃描，確認規則有效性
常見問題排查
| 現象 | 可能原因 | 解決方向 |
|---|
| 合法流量被阻擋 | 篩選器順序錯誤/條件過嚴 | 調整規則優先序、檢查協議/埠口定義 |
| VPN 用戶無法存取內網 | 站對站/用戶端 VPN 網路規則缺失 | 建立允許 VPN 介面存取內網網段的存取規則 |
| 日誌寫入失敗 | 磁碟空間不足/權限問題 | 清理舊日誌、授予 NETWORK SERVICE 寫入權限 |
