ISA应用层过滤问题

原创

qzt1023 2010-01-11 10:30:43 博主文章分类：ISA ©著作权

©著作权归作者所有：来自51CTO博客作者qzt1023的原创作品，请联系作者获取转载授权，否则将追究法律责任

HTTP 应用层过滤问题及解决方案

故障：财务电子申报时客户端无法连接，进行数据申报

原因分析：ISA Server 基于 Web 代理筛选器提供了 HTTP 应用层过滤功能。其实 Web 代理筛选器是一个负责“装载”其他 Web 筛选器的应用程序筛选器，当 ISA Server 需要对 Web 协议进行应用层过滤时，Microsoft Firewall 服务会在用户模式下调用 Web 代理筛选器，然后 Web 代理筛选器会调用所有已启用的 Web 筛选器通过不同方面来对 Web 协议进行应用层过滤。内置的 HTTP 协议绑定了 Web 代理筛选器，因此所有的 HTTP 协议均会接受 Web 代理筛选器的应用层过滤,导致财务的数据申报网站无法登陆。

解决方案：

方案一：禁用 HTTP应用层过滤

内置的 HTTP 协议绑定了 Web 代理筛选器，因此所有的 HTTP 协议均会接受 Web 代理筛选器的应用层过滤。你可以取消 HTTP 协议的 Web 代理筛选器绑定，这样除了 Web 代理客户以外，ISA Server 不再对 HTTP 协议进行任何应用层过滤。

这种方案是在 ISA Server 上全局禁用了 HTTP 协议应用层过滤，这样的安全影响太大，我建议不使用这种方案。

方案二：自定义协议

由于内置的 HTTP 协议绑定了 Web 代理筛选器，因此我们可以自定义一个 TCP 80 出站的协议，然后允许用户使用此协议访问那个 Web 站点。在这条规则的前后不能有其他规则允许客户使用内置的HTTP协议去访问这个站点，并且客户不能配置为Web 代理客户（防火墙客户默认情况下也被配置为web代理客户）。

建立两条规则：