ISA/TMG Server - gOxiA=苏繁=SuFan Blog - gOxiA,苏繁,sufan,Microsoft MVP

[TMG] 使用 ADSI 访问 TMG 的配置数据库

[ 2011/12/15 22:29 | by gOxiA ]

使用 ADSI 访问 TMG 的配置数据库

Forefront Threat Management Gateway 2010（TMG 2010）的前身便是 Internet Security and Acceleration Server（ISA），他是 MS ITPro 熟知的一款网络安全产品，被广泛应用在企业中，担当安全网关、Web 代理、Web 缓存、VPN 和发布内部服务的角色。在 ISA 升级到 TMG 后，其功能也更加强大，稳定性也有所提升！但是任何一款产品都并非完美，总会出现一些问题，表面看来可能致命，其实基本上都能进行排错解决！

今天 gOxiA 要与大家分享的是如何使用 ADSI 工具访问 TMG 的配置数据库。TMG 配置数据通过 ADAM 进行存储，我们可以用 ADSI 工具进行访问操作。

首先打开“管理工具”中的“ADSI 编辑器”，在左侧窗体选择“ADSI 编辑器”并鼠标右键点击“连接到…”
在“连接点”的“选择或键入可分辨名称或命名上下文”的下拉框键入“CN=FPC2”
在“计算机”的“选择或键入域或服务器”下拉框中键入“localhost:2171”
最后点击“确定”

只要能够连接到 TMG 的配置数据库，那么几乎所有在 TMG 控制器操作时出现的故障都能够解决。后续日志 gOxiA 会与大家分享一个典型的 TMG 排错案例！

ISA/TMG Server | 评论(0) | 引用(0) | 阅读(10849)

[TMG] 多外网 IP 环境下为特定计算机或网络集指定 NAT 出口

[ 2011/10/24 11:49 | by gOxiA ]

多外网 IP 环境下为特定计算机或网络集指定 NAT 出口

gOxiA 所在的公司前段时间进行了并网，将办公室网络与机房主干网进行了联结！至此，访问互联网的速度得到了质的提升。而办公室内的 Windows Small Business Server 2011 Standard（SBS2011）服务器不再需要通过 Smart Host 进行邮件的外发处理，而可以直接使用机房的公网IP。但是随即也引发了一些问题！因为前端部署有 TMG 服务器，而外网多个 IP 都绑定在 TMG 的外部网卡上（用于服务发布），默认情况下内网用户都会经由 TMG 的 Primary IP 进行 NAT 访问，因为业务需求 TMG 开放了内网 SMTP 的访问权限，那么此时就会出现安全问题。

因为邮件服务器与其他用户使用同一个 Primary IP 访问 Internet，那么一些用户的访问行为可能会影响邮件服务器的信用等级！该如何为特定的计算机或网络集指定 NAT 呢？！gOxiA 就此问题曾咨询了 Microsoft Partner Support，获得的解决方案是需要部署 Exchange Edge，但是对于 SBS 来讲此解决方案并不合适，后来向 China MVP 的 MailList（NDA）发送了求助邮件，获得了一个简单可行的解决办法！

在 ISA/TMG 中我们可以利用网络规则来为特定资源指定 NAT 地址，这样 gOxiA 便可以为 SBS2011 单独指定一个 NAT IP，与办公室上网所用默认的 Primary IP 分离，从而保证了服务器的安全。为此，需要打开 TMG 控制器进行配置。