ISA Server にようこそ

ヘッダー グラフィック
Microsoft® Internet Security and Acceleration (ISA) Server 2004 では、マルチネットワーク サポート、高度に統合された使いやすい仮想プライベート ネットワーク構成、拡張済みでさらに拡張可能なユーザーおよび認証モデル、および向上した管理機能が導入されています。
ブランドの行頭文字 このヘルプについて
このドキュメントは、日々の ISA Server 管理作業に役立つように作成されています。以下のトピックで構成されています。
  • ISA Server について
  • インストールと移行
  • セキュリティと管理
  • クライアント
  • マルチネットワーク
  • ファイアウォール ポリシー
  • 仮想プライベート ネットワーク
  • キャッシュ
  • 監視
  • アドイン
  • その他の参照情報
ブランドの行頭文字 ISA Server のガイドと記事
ISA Server の詳しい技術情報は、主に Web ベースの「ISA Server のガイドと記事」に記載されています。ライブラリには定期的に新規ドキュメントが追加されるため、常に ISA Server の最新の技術情報を入手できます。

ISA Server のリリース後、ISA Server ヘルプが更新されることがあります。

ヘルプをダウンロードおよびインストールし、追加の最新コンテンツを入手するには、「ISA Server のガイドと記事」を参照してください。
ブランドの行頭文字 ISA Server コミュニティ
初心者の方でも経験豊かなユーザーの方でも、"コミュニティ" を利用して、アイディアを共有し、質問への回答を入手し、専門家のアドバイスを閲覧することができます。Microsoft コミュニティに関するページでは、ユーザー同士で ISA Server に関する問題と解決策を検討することができます。


ISA Server について

Microsoft® Internet Security and Acceleration (ISA) Server 2004 は、Microsoft Windows Server™ 2003 および Windows® 2000 Server オペレーティング システムのセキュリティ、管理、およびディレクトリ上に構築された拡張可能なエンタープライズ ファイアウォールおよび Web キャッシュ サーバーであり、インターネットワーキングのポリシーベースのアクセス制御、高速化、および管理機能を提供します。

組織は、インターネットによって、顧客、取引先、および社員と接続できます。これは役に立つ反面、セキュリティ、パフォーマンス、および管理のしやすさに関してリスクと問題ももたらします。ISA Server は、今日のインターネット対応ビジネスのニーズに応えるために設計されています。ISA Server は、ウイルス、ハッカー、および許可されていないアクセスからネットワーク リソースを保護するための、マルチレイヤのエンタープライズ ファイアウォールを提供します。ISA Server 2004 の Web キャッシュを使用すると、混雑するインターネットを経由せずに、オブジェクトをローカルで提供できるので、組織はネットワーク帯域幅を節約でき、ユーザーはより高速な Web アクセスを体験できます。

専用コンポーネントとして展開されるか、統合ファイアウォールおよびキャッシュ サーバーとして展開されるかに関係なく、ISA Server には、セキュリティおよびアクセス管理を簡略化する統合管理コンソールが用意されています。ISA Server は、Windows Server 2003 および Windows 2000 Server の両方のプラットフォーム用に構築されており、強力な統合管理ツールにより、セキュリティで保護され、かつ高速なインターネット接続を実現します。

ここでは、ISA Server について説明します。

  • ISA Server の概要
  • 新機能
  • 展開シナリオ

ISA Server の最新情報については、「ISA Server のガイドと記事」を参照してください。
このページに関するフィードバックをお寄せください このページに関するフィードバックをお寄せください。


ISA Server の概要

Microsoft® Internet Security and Acceleration (ISA) Server 2004 は、セキュリティで保護され、高速、かつ管理可能なインターネット接続を実現します。ISA Server は、高機能でアプリケーション レイヤ対応のマルチレイヤ エンタープライズ ファイアウォールと、高性能 Web キャッシュを統合しています。Microsoft Windows Server™ 2003 と Windows® 2000 Server のセキュリティおよびディレクトリ上に構築され、インターネットワーキングのポリシーベースのセキュリティ、高速化、および管理機能を提供します。

セキュリティで保護されたインターネット接続

ネットワークとユーザーをインターネットに接続する場合、セキュリティと生産性に関する問題が発生します。ISA Server 2004 を組織で使用すると、ユーザーごとのアクセスの制御と使用状況の監視を包括的に行うことができます。許可されていないアクセスからネットワークを保護し、ステートフル フィルタ処理およびインスペクションを実行し、ファイアウォールや保護されたネットワークに対するアタックを管理者に警告します。

ISA Server は、パケット レベル、回線レベル、およびアプリケーション レベルでのトラフィックのスクリーニングによるセキュリティ保護、ステートフルなフィルタおよび検査、多様なネットワーク アプリケーションのサポート、密接に統合された仮想プライベート ネットワーク (VPN)、システムの堅牢化、統合された侵入検出、インテリジェントなレイヤ 7 アプリケーション フィルタ、すべてのクライアントに対するファイアウォールの透過性、高度な認証、安全なサーバーの公開などの機能を備えたファイアウォールです。ISA Server 2004 では、次のことを実行できます。

  • 許可されていないアクセスからネットワークを保護します。
  • 外部アタックから Web サーバーおよび電子メール サーバーを守ります。
  • 着信方向および発信方向のネットワーク トラフィックを検査して、確実にセキュリティで保護します。
  • 疑わしい動作の警告を受信します。

高速 Web アクセス

インターネットは組織に生産性の上で利点をもたらしますが、適切なコストで高速アクセスできるのは、コンテンツがアクセス可能な場合だけです。ISA Server 2004 では、ローカルにキャッシュした Web コンテンツを提供することにより、パフォーマンスのボトルネックを最小限に抑え、ネットワーク帯域幅を節約します。ISA Server では、次のことを実行できます。

  • 混雑したインターネット経由ではなく、Web キャッシュからオブジェクトが提供されるため、ユーザーはより高速な Web アクセスを体験できます。
  • リンクのネットワーク トラフィックを減らすことにより、インターネットの帯域幅コストを節約します。
  • 世界中の顧客に Web サーバーのコンテンツと電子商取引アプリケーションを効率的かつ経済的に配布します。
  • 頻繁にアクセスされる Web コンテンツは ISA Server の Web キャッシュから提供し、それ以外のコンテンツの要求に備えて内部ネットワーク帯域幅を確保します。

統一された管理

ファイアウォールと高性能 Web キャッシュ機能を統合することにより、ISA Server 2004 では、ネットワークの複雑さとコストを軽減する共通の管理インフラストラクチャを提供します。ISA Server は、Windows Server 2003 および Windows 2000 と密接に統合されています。これにより、一貫性のある強力な方法で、ユーザー アクセスとファイアウォール ルールの構成を管理できます。

拡張可能なプラットフォーム

セキュリティ ポリシーと規範は、組織によってそれぞれ異なります。トラフィックの量やコンテンツの形式によっても、生じる問題はさまざまです。セキュリティとパフォーマンスに関するすべての要件を満たす製品はないため、ISA Server 2004 は高度な拡張性をもたせて構築されています。ISA Server では、包括的なソフトウェア開発者キット (SDK)、各種サード パーティのアドオン ソリューション、および拡張可能な管理オプションを利用できます。サード パーティのアドオン ソリューションの詳細については、ISA Server パートナーの Web サイト (http://www.microsoft.com/) を参照してください。

ISA Server の管理コンポーネント オブジェクト モデル (COM) を使用すると、ISA Server 機能を拡張できます。また、管理オブジェクトでは、ISA Server の管理で実行されるすべてのタスクの自動化が許可されます。つまり、管理オブジェクトを使用すると、ISA Server 管理者はすべてのタスクを自動化できます。詳細については、Microsoft SDK の Web サイト (英語情報) (http://www.microsoft.com/) を参照してください。


新機能

Microsoft Internet Security and Acceleration Server (ISA) 2004 では、マルチネットワーク サポート、高度に統合された使いやすい仮想プライベート ネットワーク構成、拡張済みでさらに拡張可能なユーザーおよび認証モデル、および構成のエクスポートやインポートなどの向上した管理機能が導入されています。

以下のトピックで、これらの新機能について簡単に説明します。

  • 新機能 : マルチネットワーク
  • 新機能 : セキュリティとファイアウォール ポリシー
  • 新機能 : 仮想プライベート ネットワーク
  • 新機能 : 監視
  • 新機能 : アドイン


新機能 : マルチネットワーク

次の表は、ISA Server 2004 で導入されたマルチネットワーク機能の一覧です。これらの機能の詳細については、「マルチネットワーク」を参照してください。

機能 | 説明
複数のネットワークの構成 | 他のネットワークと明確な関係を持つ 1 つまたは複数のネットワークを構成できます。アクセス ポリシーは、ネットワークに対して定義されます。特定の内部ネットワークに対して定義する必要はありません。ISA Server では、任意のネットワーク間のトラフィック、または任意のネットワーク オブジェクト間のトラフィックに適用するように、ファイアウォールおよびセキュリティ機能が拡張されています。
ネットワークごとの一意なポリシー | ISA Server の新しいマルチネットワーク機能では、組織の内部、外部に関係なくクライアント間の通信を制限することで、内外のセキュリティ上の脅威からネットワークを保護できるようになりました。マルチネットワーク機能は、洗練された境界領域ネットワーク (非武装地帯、DMZ、スクリーン サブネット) シナリオをサポートし、異なるネットワークのクライアントが境界領域ネットワークにアクセスする方法を構成できるようにします。ネットワーク間のアクセス ポリシーは、各ネットワークに相当する一意のセキュリティ ゾーンに基づくことができます。
ルート ネットワーク関係および NAT ネットワーク関係 | ISA Server を使用して、必要なアクセスと通信に応じて、ネットワーク間のルーティング関係を定義できます。場合によっては、ネットワーク間で、より安全性が高く、透過性の低い通信が必要になることがあります。このような場合、ネットワーク アドレス変換 (NAT) 関係を定義できます。また別の状況では、単純に ISA Server 経由でトラフィックをルーティングすればよい場合があります。このような場合は、ルーティングされた関係を定義できます。ルーティングされたネットワーク間でのパケットの移動は、ISA Server のステートフル フィルタおよびインスペクション機構に完全に公開されます。


新機能 : セキュリティとファイアウォール ポリシー

次の表は、ISA Server 2004 で導入されたセキュリティとファイアウォール ポリシー機能の一覧です。これらの機能の詳細については、「ファイアウォール ポリシー」を参照してください。

機能 | 説明
複数の 1 次接続を必要とする複雑なプロトコルのサポート | ISA Server では、多くのストリーミング メディア、音声アプリケーション、およびビデオ アプリケーションで必要とされるプロトコルなど、複雑なプロトコルをサポートします。これらのアプリケーションでは、ファイアウォールで複雑なプロトコルを管理する必要があります。
カスタマイズされたプロトコル定義 | ファイアウォール ポリシー ルールを作成するすべてのプロトコルで、送信元および宛先ポート番号を制御できます。ファイアウォール経由での着信および発信を許可するパケットに対して、高度な制御が可能です。
認証 | ビルトイン Windows 認証、RADIUS 認証、RSA SecurID 認証、またはその他の名前空間を使用してユーザーを認証できます。任意の名前空間のユーザーまたはユーザー グループにルールを適用できます。サード パーティ ベンダは、ソフトウェア開発キット (SDK) を使用して、これらのビルトイン認証方法を拡張し、追加の認証機構を提供することができます。
ネットワーク オブジェクト | コンピュータ、ネットワーク、ネットワーク セット、アドレス範囲、サブネット、コンピュータ セット、およびドメイン名セットなどのネットワーク オブジェクトを定義できます。これらのネットワーク オブジェクトを使用して、ファイアウォール ポリシー ルールの送信元と宛先の設定を定義します。
順序付けられた一覧として示されるファイアウォール ポリシー ルール | ファイアウォール ポリシー ルールでは、順序付けられた一覧が示されます。この一覧で、最初に接続パラメータが最上位のルールに対して比較されます。ISA Server は、接続パラメータに一致するルールが見つかるまでこのルール一覧を下方に検索し、一致したルールのポリシーを強制します。このファイアウォール ポリシーに対するこの対処法により、特定の接続を許可または拒否する理由の特定が容易になります。
新しいメール サーバー公開ルール ウィザード | ISA Server の [新しいメール サーバー公開ルール ウィザード] を使用して、Exchange サーバーの Outlook Web Access 用に SSL (Secure Socket Layer) 仮想プライベート ネットワーク (VPN) を作成できます。
FTP のサポート | クライアントや ISA Server コンピュータで特別な構成を必要とせずに、代替ポート番号でリッスンするインターネットの FTP (ファイル転送プロトコル) サーバーにアクセスできます。
サーバー公開ルールのポートのリダイレクト | 1 つのポート番号で接続を受信し、その要求を公開されたサーバー上の別のポート番号にリダイレクトできます。
セキュリティで保護された Web 公開 | 企業ネットワークまたは境界領域ネットワーク上で、ファイアウォールの背後にサーバーを配置し、サービスを安全に公開できます。[新しい SSL Web 公開ルール ウィザード] を使用して、公開された Web サーバーへのセキュリティで保護された SSL リモート アクセスをリモート ユーザーに許可するルールを作成できます。
HTTP 1.1 のサポート | ISA Server は上位サーバーに接続されると、HTTP 1.1 クライアントになります。この方向 (Web プロキシ) と逆方向 (Web 公開) のどちらのシナリオでも、ISA Server は、チャンクされた (転送エンコード) コンテンツを受信して検査できます。また、Web 公開ルールを構成して、圧縮されたコンテンツを受信できますが、この場合、応答本文は検査できません。ISA Server では、圧縮は行われません。


新機能 : 仮想プライベート ネットワーク

ISA Server 2004 は、支社やリモート ユーザーから企業ネットワークに接続できる、セキュリティで保護された仮想プライベート ネットワーク (VPN) アクセスをサポートしています。VPN ユーザーがアクセスできるリソースとプロトコルを制御するには、ISA Server のファイアウォール ポリシーを VPN 接続に適用します。VPN 機能の詳細については、「仮想プライベート ネットワーク」を参照してください。

次の表は、ISA Server でサポートされる VPN 機能の一覧です。

機能 | 説明
VPN 管理 | ISA Server には、Microsoft® Windows Server™ 2003 と Windows® 2000 Server の機能に基づき、高度に統合された仮想プライベート ネットワーク機構が含まれています。
VPN のステートフル フィルタおよびインスペクション | VPN クライアントは独立したネットワークとして構成されるため、VPN クライアントには異なるポリシーを作成できます。ファイアウォール ポリシー エンジンは、VPN クライアントからの要求を個別に調べ、アクセス ポリシーに基づいて、これらの要求に対してステートフルなフィルタ処理およびインスペクションを行い、接続を動的に開きます。
ISA Server VPN サーバーに接続される VPN クライアントに対する SecureNAT クライアントのサポート | ISA Server は、ファイアウォール クライアント ソフトウェアがクライアント システムにインストールされていない場合でも、インターネットへのアクセスを SecureNAT クライアントに許可することにより、VPN クライアントのサポートを拡張します。また、ユーザーまたはグループベースのファイアウォール ポリシーを VPN SecureNAT クライアントに強制することにより、企業ネットワークのセキュリティを向上させることもできます。
サイト間 VPN トンネルによるステートフル フィルタおよびインスペクション | ISA Server では、サイト間 VPN 接続を経由するすべての通信に対して、ステートフル フィルタおよびインスペクションが採用されています。特定のホストまたはネットワークが対応する側でアクセスできるように、リソースを制御できます。ユーザーまたはグループベースのアクセス ポリシーを使用すると、リソースの使用に対するきめ細かい制御をリンク経由で実行できます。
VPN 検疫の制御 | VPN クライアントがあらかじめ定義されているセキュリティ要件を満たすまで、別のネットワーク上で検疫できます。セキュリティ テストをパスした VPN クライアントは、VPN クライアントのファイアウォール ポリシーに基づき、ネットワーク アクセスが許可されます。セキュリティ テストに失敗した VPN クライアントには、そのクライアントがネットワーク セキュリティ要件を満たすことができるサーバーへの制限付きアクセスが与えられることがあります。
サイト間 VPN リンクに対する IPSec トンネル モードのサポート | ISA Server では、IPSec トンネル モードを VPN プロトコルとして使用することをユーザーに許可することによって、サイト間リンクをサポートします。IPSec トンネル モードのサポートにより、多様なサード パーティの VPN ソリューションとの ISA Server の相互運用性が大幅に向上しています。
VPN の監視とログ | 他の ISA Server クライアントの動作を監視するように、VPN クライアントとリモート VPN ネットワークの動作を監視できます。


新機能 : 監視

次の表は、ISA Server 2004 で導入された監視機能の一覧です。これらの機能の詳細については、「監視」を参照してください。

機能 | 説明
ダッシュボード | ISA Server のダッシュボード ビューには、セッション、警告、サービス、レポート、接続、および一般的なシステム状態についての監視情報が一覧表示されます。ダッシュボードを使用すると、ネットワークの稼動状態をすばやく表示できます。
ログ ビューアでのリアルタイム監視 | ファイアウォールと Web プロキシのログをリアルタイムで表示できます。ファイアウォールのログ ファイルに記録されたログ エントリは、監視コンソールに表示されます。
ビルトイン ログ クエリ (フィルタ) | ビルトイン ログ クエリ機能を使用して、ログ ファイルを照会できます。Microsoft Data Engine (MSDE) のログを照会して、ログに記録された任意のフィールドに保存されている情報を調べることができます。クエリのスコープを特定の時間帯に制限できます。結果は ISA Server コンソールに表示されるので、クリップボードにコピーして別のアプリケーションに貼り付けて、詳細に分析できます。
セッションのリアルタイム監視とフィルタ | アクティブな接続をすべて表示できます。セッション ビューでは、個々のセッションやセッション グループを並べ替えたり、切断したりできます。さらに、ビルトイン セッション フィルタ機能を使用して、セッションのインターフェイスでエントリをフィルタ処理し、目的のセッションにフォーカスすることもできます。
接続検証方法 | 接続検証方法を使用して、ISA Server コンピュータから特定のコンピュータまたは URL (Uniform Resource Locator) への接続を定期的に監視することにより、接続を検証できます。接続の識別に、Ping、ポートへの伝送制御プロトコル (TCP) 接続、または HTTP GET のいずれの方法を使用するかを構成できます。IP アドレス、コンピュータ名、または URL を指定して、監視対象の接続を選択できます。
レポートの公開 | 自動的にローカル フォルダまたはネットワーク ファイル共有にレポートのコピーを保存するように、ISA Server のレポート ジョブを構成できます。レポートが保存されるフォルダやファイル共有を Web サイトの仮想ディレクトリにマップすると、他のユーザーがレポートを表示できるようになります。また、レポートが作成されたら、自動的に公開するように構成されていないレポートを手動で公開することもできます。
MSDE データベースへのログ | ログは MSDE 形式で保存できます。ローカル データベースへのログによって、クエリの速度と柔軟性が向上します。


新機能 : アドイン

ISA Server 2004 は、HTTP/SSL (ハイパーテキスト転送プロトコル/Secure Sockets Layer)、FTP (ファイル転送プロトコル)、リモート デスクトップ プロトコル (RDP)、Telnet、RealAudio、RealVideo、インターネット リレー チャット (IRC)、H.323、Windows Media ストリーミング、電子メール プロトコル、およびニュース プロトコルなど、多くのインターネット プロトコルを、ビルトイン アドインを使用してサポートします。これらのアドインの詳細については、「アドイン」を参照してください。

次の表は、ISA Server のアドイン機能の一覧です。

機能 | 説明
ルールごとの HTTP フィルタ | ISA Server の HTTP ポリシーは、厳密な HTTP のステートフル インスペクション (アプリケーション レイヤのフィルタ) の実行をファイアウォールに許可します。検査範囲はルールごとに構成されます。HTTP 着信および発信アクセスに対して、カスタムの制限を構成できます。
すべての実行ファイルのコンテンツへのアクセスをブロックする | リソースで使用されているファイル拡張子に関係なく、Windows 実行ファイルのコンテンツへのすべての接続の試行をブロックするよう ISA Server の HTTP ポリシーを構成できます。
すべての ISA Server クライアント接続に HTTP フィルタを適用する | ISA Server では、MIME 指定 (HTTP の場合) またはファイル拡張子 (FTP の場合) を使用して、Web プロキシ クライアントベースの HTTP および FTP 接続のコンテンツをブロックできます。すべての ISA Server クライアント接続の HTTP アクセスを制御できます。
HTTP 署名に基づいて HTTP アクセスを制御する | 要求 URL、要求ヘッダー、要求本文、応答ヘッダー、および応答本文に対して比較する HTTP 署名を作成できます。内部および外部ユーザーが ISA Server を介してアクセスできるコンテンツを、詳細に制御できます。
完全 Outlook MAPI クライアントからのセキュリティで保護された Exchange RPC 接続を強制する | ISA Server の Exchange Server 公開ルールでは、リモート ユーザーが、完全に機能する Outlook® MAPI クライアントを使用して、インターネット経由で Exchange に接続することを許可します。ただし、セキュリティで保護された RPC を使用して接続が暗号化されるように、Outlook クライアントを構成する必要があります。ISA Server RPC ポリシーを使用すると、暗号化されていない Outlook MAPI クライアント接続をすべてブロックできます。
FTP ポリシー | ISA Server の FTP ポリシーを構成して、FTP を使用したアップロードとダウンロードをユーザーに許可できます。あるいは、ユーザーの FTP アクセスをダウンロードのみに制限することもできます。
リンクの変換 | 公開された Web サイトには、コンピュータの内部名への参照が含まれていることがあります。外部クライアントが利用できるのは ISA Server コンピュータと外部名前空間だけで、内部ネットワーク名前空間は利用できないため、これらの参照は壊れたリンクとして表示されます。内部コンピュータ名を公開されている既知の名前にマップする定義の辞書を作成できるように、ISA Server にはリンクの変換機能が用意されています。
IP オプションに対するきめ細かい制御 | IP オプションを個別に構成し、必要な IP オプションのみを許可して、それ以外をすべてブロックできます。


展開シナリオ

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ネットワークのセキュリティ、パフォーマンス、管理の容易さ、運用コストに関心をお持ちの、大小さまざまな組織の IT マネージャ、ネットワーク管理者、および情報セキュリティの専門家に優れた価値を提供します。組織では、以下で説明するように、ISA Server をさまざまなネットワーク シナリオで展開できます。

インターネット エッジ ファイアウォール

ISA Server を、専用のインターネット エッジ ファイアウォールとして展開し、内部クライアントがインターネットにアクセスする際の安全なゲートウェイとして機能させることができます。ISA Server コンピュータは、通信パスの第三者には透過的になります。ISA Server コンピュータでアクセスを拒否するネットワーク サービス、プロトコル、またはサイトにインターネット ユーザーがアクセスを試みない限り、ファイアウォール サーバーの存在をユーザーに知られてはなりません。管理者は、セキュリティ アクセス ポリシーを設定することにより、許可されていないアクセスと悪意のあるコンテンツのネットワーク内への侵入を阻止できます。

主な機能には次のものがあります。

  • パケット レベル、回線レベル、およびアプリケーション レベルでフィルタ処理を行う、マルチレイヤのトラフィック スクリーニング。
  • インテリジェントなアプリケーション レイヤ対応のアプリケーション フィルタ。
  • ビルトイン侵入検出。
  • ベース オペレーティング システムのロックダウンのためのシステムの堅牢化。

ISA Server を使用したインターネット アクセス制御方法のシナリオの詳細については、『ISA Server を使用した安全なインターネット アクセスの制御』(http://www.microsoft.com/) を参照してください。

部門別またはバックボーンのネットワーク ファイアウォール

ISA Server を部門別またはバックボーンのネットワーク ファイアウォールとして展開して、保護されている LAN との間の着信および発信アクセス制御をセキュリティで保護できます。ファイアウォール インフラストラクチャを既に保有している組織では、現在の高性能ファイアウォールをインターネット エッジ ファイアウォールとしてそのまま使用し、LAN エッジで ISA Server ファイアウォールによる高機能のアプリケーション レイヤ フィルタを実現することができます。これにより、現在の高速インターネット接続を利用しながら、ISA Server のアプリケーション レイヤ フィルタ ファイアウォールによる固有レベルでの保護というメリットも享受することができます。

主な機能には次のものがあります。

  • 安全な Outlook Web Access の公開。ISA Server を使用した Outlook Web Access の公開方法の詳細については、『ISA Server での Outlook Web Access Server の公開』(http://www.microsoft.com/) を参照してください。
  • 安全なインターネット インフォメーション サービス (IIS) Web サイトの公開。ISA Server を使用した安全な IIS の公開の詳細については、『ISA Server を使用した Web サーバーの公開』(http://www.microsoft.com/) を参照してください。
  • 安全な Exchange RPC の公開。ISA Server を使用した安全な Exchange RPC の公開の詳細については、『ISA Server を使用した Exchange サーバーの公開』(http://www.microsoft.com/) を参照してください。
  • すべてのインターネット プロトコルおよびサービスに対するユーザーベースおよびグループベースのアクセス制御。
  • スパム メールをフィルタ処理する SMTP メッセージ スクリーナ。
  • 上位の Web プロキシ サーバーとの Web プロキシ チェーン。

支社のファイアウォール

ISA Server を使用すると、サイト間 VPN 接続で支社ネットワークを本社ネットワークに接続できます。ISA Server は、支社ネットワークを保護するファイアウォールとしても、支社ネットワークを本社ネットワークに接続する VPN ゲートウェイとしても支社に配置できます。ISA Server の VPN 相互運用性機能が向上したことにより、現在配置されているどの VPN ソリューションを用いても、サイト間リンクを作成することが可能です。

主な機能には次のものがあります。

  • サード パーティの VPN ゲートウェイを使用した、サイト間リンクでのインターネット プロトコル セキュリティ (IPSec) トンネル モードのサポート。
  • Microsoft VPN ゲートウェイを使用した、サイト間リンクでの PPTP (Point-to-Point トンネリング プロトコル) およびレイヤ 2 トンネリング プロトコル (L2TP) over IPSec。
  • サイト間リンクでのステートフル インスペクションによる、本社ネットワークにアクセス可能なリモート ネットワークの制限。
  • 支社でのインターネットとの着信および発信アクセスに対する ISA Server ファイアウォールの制御。
  • VPN 接続された LAN 間でのトラフィックをステートフルに検査するインテリジェントなアプリケーション レイヤ フィルタ。

ISA Server を使用した Outlook Web Access の公開方法の詳細については、『ISA Server のサイト間 VPN』(http://www.microsoft.com/) を参照してください。

安全なサーバーの公開

ISA Server を使用すると、組織の内部ネットワークのセキュリティを損なうことなく、インターネットにサービスを公開できます。ISA Server ファイアウォールの背後に配置されたサーバーにダウンストリームで送信される要求を決定する Web 公開ルールとサーバー公開ルールを構成して、内部サーバーのセキュリティ レイヤを強化することができます。転送される通信はすべて、ISA Server のステートフル フィルタおよびインスペクション エンジンに公開されます。たとえば、Microsoft Exchange サーバーを ISA Server の背後に配置し、Exchange の SMTP (簡易メール転送プロトコル)、POP3 (Post Office Protocol 3)、IMAP4 (Internet Mail Access Protocol 4)、および NNTP (ネットワーク ニュース転送プロトコル) サービスに対して、SSL でセキュリティ保護されたリモート アクセスを許可するサーバー公開ルールを作成できます。Exchange サーバーへの着信方向の電子メール メッセージは、クライアントには電子メール サーバーとして見える ISA Server の SMTP メッセージ スクリーナにより傍受されます。次に、ISA Server の SMTP メッセージ スクリーナは SMTP トラフィックをフィルタ処理して、それを Exchange サーバー上に転送できます。Exchange サーバーが外部ユーザーに直接公開されることはなく、セキュリティで保護された環境に配置されたまま、他の内部ネットワーク サービスへのアクセスが維持されます。

主な機能には次のものがあります。

  • 使いやすく、安全なサーバー公開ウィザード。
  • 透過的なクライアント接続とサーバー公開用の SecureNAT。
  • HTTP/SSL (ハイパーテキスト転送プロトコル/Secure Sockets Layer)、FTP、SMTP、POP3、IMAP4、NNTP、DNS、RDP、H.323、ストリーミング メディアなどの公開されたサービス。

セキュリティで保護された Exchange サーバーの SSL VPN

SSL VPN は、内部ネットワーク リソースに対して、アプリケーション固有かつクライアントレスである、セキュリティで保護されたアクセスを実行できるため、ますます一般的になってきています。ISA Server の [新しいメール サーバー公開ルール ウィザード] が改良され、リモート ユーザーがエンド ツー エンド SSL VPN を使用して Outlook Web Access にセキュリティで保護されたアクセスを行えるようになりました。SSL VPN では、厳密な HTTP コンテンツ検査を可能にする ISA Server の SSL-to-SSL ブリッジを利用します。基本認証とフォームベース認証を委任することにより、Outlook Web Access Web サイトでの認証されていないセッションを禁止して Outlook Web Access SSL VPN の保護を強化します。

主な機能には次のものがあります。

  • 使いやすい [新しいメール サーバー公開ルール ウィザード]。
  • SSL VPN 経由での Exchange の Outlook Web Access へのクライアントレス SSL VPN。
  • ISA Server の固有の SSL-to-SSL ブリッジによるエンド ツー エンドのセキュリティ。
  • 基本認証の委任による、Outlook Web Access Web サイトへの認証されていないアクセスの禁止。
  • フォームベース認証を使用した、ファイアウォール管理者によるセッション タイムアウトの設定、および添付ファイルへのユーザー アクセスの禁止。
  • 厳密な HTTP アプリケーション レイヤ検査による、Outlook Web Access 接続でのユーザーのファイル アップロードの禁止。
  • Microsoft 証明書サービスで生成可能な、あるいはサード パーティの証明書プロバイダから取得可能な SSL 接続の証明書。

その他のシナリオ

インターネットが発展し続け、新たなアプリケーションが導入されるに伴って、ISA Server のネットワーク保護機能の有効性も立証されていくことでしょう。新しいドキュメントや更新されたドキュメントについては、「ISA Server のガイドと記事」(http://www.microsoft.com/) の Web サイトを参照してください。


インストールとアップグレード

ここでは、インストールのプロセスと、Microsoft Internet Security and Acceleration (ISA) Server 2004 のインストール手順について説明します。

ISA Server 2000 がインストールされている場合は、コンピュータから削除せずにアップグレードすることができます。ほとんどの構成情報は移行されます。ここでは、アップグレードおよびアップグレード プロセスについて説明します。

  • インストールとアップグレード : 概念
  • インストールとアップグレード : 操作方法
  • 展開シナリオ : ISA Server を開始する
  • インストールのトラブルシューティング


インストールとアップグレード : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のインストール プロセスに関する基本的な情報と、ISA Server 2000 からのアップグレードに関する情報について説明します。

  • ISA Server のインストール
  • ISA Server 2000 からのアップグレード


ISA Server のインストール

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の新規インストールについて基本的な情報を提供します。

  • インストールの必要条件
  • インストール プロセス
  • 無人セットアップ
  • 既定の設定


インストールの必要条件

ISA Server を使用するには、次のものが必要です。

  • 550 MHz 以上の Pentium 互換 CPU を搭載したパーソナル コンピュータ。
  • Microsoft® Windows Server™ 2003 または Windows® 2000 Server オペレーティング システム。
  • 256 MB のメモリ。
  • コンピュータのオペレーティング システムと互換性があるネットワーク アダプタ 1 つ (内部ネットワークとの通信用)。
  • ISA Server コンピュータに接続している各ネットワーク用のネットワーク アダプタ。
  • NTFS ファイル システムでフォーマットされ、使用可能なハード ディスク容量が少なくとも 150 MB あるローカル ハード ディスク パーティション 1 つ。これには、キャッシュの使用に必要なハード ディスク領域は含まれていません。

インストールの手順については、「ISA Server のセットアップを実行する」を参照してください。

Windows 2000 を実行するコンピュータでの ISA Server のインストール

Windows 2000 オペレーティング システム上に ISA Server をインストールする場合は、次の追加必要条件があります。

  • Windows 2000 Service Pack 4 (SP4) 以降がインストールされている必要があります。
  • Internet Explorer 6 以降がインストールされている必要があります。
  • Windows 2000 SP4 スリップストリームを使用している場合は、マイクロソフト サポート技術情報の記事 821887 (Windows 2000 承認マネージャ ランタイムの監査を構成する際、承認ロールのイベントがセキュリティ ログに記録されないことに関する記事) で指定された修正プログラムもインストールする必要があります。

Windows 2000 オペレーティング システム上に ISA Server をインストールする場合は、次のような機能の違いがあります。

  • L2TP IPSec の事前共有キーを構成することはできません。
  • RADIUS ポリシーを使用する場合は、VPN クライアントの検疫モードはサポートされません。
  • ISA Server のすべてのサービスは、ローカル システム アカウントを使用して実行します。


インストール プロセス

ISA Server をセットアップする前に、「インストールの必要条件」を確認してください。

インストール オプションとして、内部ネットワークのアドレスを指定します。内部ネットワークの詳細については、「内部ネットワークの構成」を参照してください。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。

ISA Server をインストールするときは、次の情報を入力する必要があります。

  1. CD キー。ISA Server CD-ROM のケースの裏に記載されている 10 桁の番号です。
  2. インストール オプション。次のいずれかを選択できます。
    • [完全] インストール。すべてのコンポーネントがインストールされます。
    • [標準] インストール。SMTP メッセージ スクリーナとファイアウォール クライアント共有を除くすべてのコンポーネントがインストールされます。
    • [カスタム] インストール。インストールするコンポーネントを選択できます。
  3. 内部ネットワークの構成。内部ネットワークに含めるアドレス範囲を構成する必要があります。

すべてのネットワーク アダプタが無効になっている場合、または切断されている場合、[ネットワーク アダプタの選択] ダイアログ ボックスに IP アドレスが表示されません。有効なネットワーク アダプタがない場合は、内部ネットワークの範囲にローカル IP アドレスを指定する必要はありません。ただし、次の IP アドレス範囲を追加することをお勧めします。

0.0.0.1 - 255.255.255.254

ISA Server は、インストール時に、TCP/IP ドライバの動的ポートの範囲を 65,535 に設定し直します。この変更は、コンピュータを再起動した後に有効になります。ただし、ISA Server をインストールした後、コンピュータは自動的には再起動されないので注意してください。

サービスの停止と無効化

インストール時は、次のサービスが無効になります。

  • インターネット接続ファイアウォール (ICF) または インターネット接続の共有 (ICS)
  • IP ネットワーク アドレス変換

さらに、インストール時は、次のサービスが停止されます。

  • SNMP サービス
  • FTP 発行サービス
  • NNTP (ネットワーク ニュース転送プロトコル)
  • IIS 管理サービス
  • World Wide Web 発行サービス

ファイアウォール クライアント共有のインストール

ファイアウォール クライアント用共有をインストールするように指定した場合は、ファイアウォール クライアント ソフトウェアのインストールに必要なファイルが、コンピュータ上のフォルダにコピーされます。このフォルダは Everyone グループによって読み取り専用として共有されます。

共有をインストールすると、内部ネットワーク上のクライアントに共有へのアクセスを許可する "信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する" というシステム ポリシー ルールが有効になります。このルールにより、クライアントは共有からソフトウェアをインストールできるようになります。詳細については、「システム ポリシーの概要」を参照してください。


容量設計

Microsoft Internet Security and Acceleration (ISA) Server 2004 の最小限のシステム要件については、「インストールの必要条件」で説明されています。ただし、より優れたパフォーマンスを得るためには、予想される負荷に対応できる ISA Server 2004 のハードウェアおよびインターネット接続を設計します。ISA Server コンピュータに必要なハードウェアを判断する際は、次の質問について検討してください。

  • プロセッサはいくつ必要で、どんな種類のプロセッサが必要ですか。
  • RAM 容量とディスク容量はどのくらい必要で、ネットワーク アダプタはいくつ必要ですか。
  • 推奨されるインターネット接続の帯域幅はどのようなものですか。

これらの質問に対する回答は、セキュリティ構成のニーズと展開シナリオによって異なります。特に、ハードウェアに関する推奨事項は、ファイアウォール ポリシーの構成、ログの必要条件、ピーク時の合計ネットワーク スループット、サーバーを公開するかあるいはインターネット アクセスを許可するだけかというすべての要因に影響されます。中でも、インターネット接続におけるピーク時の合計スループットは、多くの場合においてインターネット処理能力のニーズを表しているため、コンピュータのニーズを特定する上で最も重要な要因とされています。

次の表は、インターネット リンクの帯域幅に応じた一般的なガイドラインを示しています。ここに記載する推奨値は、Web トラフィックと、多数のルールで構成されたポリシーを使用することを前提としています。また、これらの推奨値には、特別な構成 (キャッシュやサード パーティのフィルタなど) は考慮されていません。キャッシュを有効にする場合は、インターネット リンクの帯域幅がこれより 20 ～ 30 パーセント低くても十分と思われます。さらに、プロキシ対応のクライアントを構成すると、同じハードウェア構成で 2 倍のスループットを期待できます。

インターネット リンクの帯域幅 | 5 T1 (7.5 Mbps) 以下 | 25 Mbps 以下 | T3 (45 Mbps) 以下 | 注
プロセッサ | 1 | 1 | 2 |
プロセッサの種類 | Pentium III 550 MHz 以上 | Pentium 4 2.0 ～ 3.0 GHz | Xeon 2.0 ～ 3.0 GHz | IA-32 命令セットをエミュレートする他の互換プロセッサも使用できます。 ステートフル インスペクション フィルタ処理のみが要求され、高度なアプリケーション レベルのフィルタ処理が不要な展開では、推奨の Pentium 4 および Xeon プロセッサを使用することにより、LAN の各種ワイヤ スピードに対応できます。
メモリ | 256 MB | 512 MB | 1 GB | Web キャッシュを有効にする場合は、これらの推奨値では十分すぎる場合があります。
ディスク領域 | 150 MB | 2.5 GB | 5 GB | これらの値には、キャッシュの使用に必要なハード ディスク領域は含まれていません。
ネットワーク アダプタ | 10/100 Mbps | 10/100 Mbps | 100/1000 Mbps | これらの値は、インターネット以外のネットワークに接続されるアダプタを対象としています。

詳細については、ISA Server の Web サイト (http://www.microsoft.com/) にある容量設計に関するドキュメント (英語情報) を参照してください。


無人セットアップ

無人セットアップ コマンドを使用して、ISA Server 2004 をインストールすることができます。手順については、「ISA Server の無人セットアップを実行する」を参照してください。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。

ISA Server 2000 がインストールされているコンピュータでは、無人インストールを実行することはできません。Msisaund.ini には、無人モードのサーバーのセットアップに使用される構成情報が含まれています。このファイルは、標準の ISA Server セットアップでは使用されません。このファイルに値が指定されていない場合は、既定の値が使用されます。以下の表では、サーバーの Msisaund.ini ファイルの項目と値について説明します。

項目 | 説明
PIDKEY | 製品キーを指定します。ISA Server CD-ROM のケースの裏に記載されている 25 桁の番号です。
INTERNALNETRANGES | 内部ネットワークのアドレス範囲を指定します。Msisaund.ini には、少なくとも 1 つのインターネット プロトコル (IP) アドレスを指定する必要があります。そうしないと、セットアップは失敗します。構文は次のとおりです。 <数字> <開始アドレス1>-<終了アドレス1>,<開始アドレス2>-<終了アドレス2>,...<開始アドレスN>-<終了アドレスN>。<数字> は範囲の数です。<開始アドレスI> と <終了アドレスI> は、各範囲の開始アドレスと終了アドレスです。
InstallDir={<インストール ディレクトリ>} | ISA Server のインストール ディレクトリを指定します。指定しない場合は、既定で、十分な容量のある最初のディスク ドライブが使用されます。構文は次のとおりです。 <ドライブ>:\<フォルダ> 既定のフォルダは、%Program Files%\Microsoft ISA Server です。
COMPANYNAME=<会社名> | 製品をインストールする会社の名前を指定します。
DONOTDELLOGS = {0|1} | 1 に設定した場合、ログ ファイルはコンピュータから削除されません。既定値は 0 です。
DONOTDELCACHE = {0|1} | 1 に設定した場合、キャッシュ ファイルはコンピュータから削除されません。既定値は 0 です。
ADDLOCAL= {MSFirewall_Management}, {MSFirewall_Services}, {Message_Screener}, {Publish_Share_Directory}, {MSDE} | コンピュータにインストールするコンポーネントをコンマで区切って指定します。すべてのコンポーネントをインストールするには、ADDLOCAL=ALL と設定します。
REMOVE={MSFirewall_Management}, {MSFirewall_Services}, {Message_Screener}, {Publish_Share_Directory}, {MSDE} | コンピュータから削除するコンポーネントをコンマで区切って指定します。すべてのコンポーネントを削除するには、REMOVE=ALL と設定します。
IMPORT_CONFIG_FILE =Importfile.xml | インポートする構成ファイルを指定します。構成ファイルのインポートの詳細については、「エクスポートとインポート」を参照してください。


既定の設定

インストール後、ISA Server 2004 は次の表に示す既定の設定を使用します。

機能 | 既定の設定 | 詳細の参照先
ユーザーのアクセス許可 | ローカル コンピュータの Administrators グループのメンバは、ファイアウォール ポリシーを構成できます。
内部ネットワーク | 内部ネットワークには、インストール プロセスで指定されたエントリが含まれます。 | 内部ネットワーク
ネットワーク設定 次のネットワーク ルールが作成されます。
  • [ローカル ホスト アクセス]。ローカル ホスト ネットワークとすべてのネットワーク間のルーティングされたネットワーク関係を定義します。ISA Server コンピュータで実行されるサービスで必要な、他のネットワークへのネットワーク関係を定義します。
  • [インターネット アクセス]。内部ネットワーク、検疫された VPN クライアント ネットワーク、および VPN クライアント ネットワークから、外部ネットワークへのネットワーク アドレス変換 (NAT) ネットワーク関係を定義します。該当するアクセス ポリシーを構成した場合にのみ、アクセスが許可されます。
  • [VPN クライアントから内部ネットワーク]。VPN クライアント ネットワークと内部ネットワーク間のルーティングされたネットワーク関係を定義します。仮想プライベート ネットワーク (VPN) クライアント アクセスを有効にした場合にのみ、アクセスが許可されます。
ネットワーク ルール
ファイアウォール ポリシー | 既定のルール ([既定のルール]) では、すべてのネットワーク間のトラフィックが拒否されます。 | ファイアウォール ポリシー ルール
システム ポリシー | ISA Server は既定によりセキュリティで保護され、特定の重要なサービスの実行も許可します。インストール時には、必要なサービスを許可するために、一部のシステム ポリシー ルールが有効になります。システム ポリシー構成を確認して、特定の展開に必要なサービスだけを有効にするようにカスタマイズすることをお勧めします。 | システム ポリシー
Web チェーン | 既定のルール ([既定のルール]) では、すべての Web プロキシ クライアント要求をインターネットから直接取得するように指定されています。 | Web チェーン ルール
キャッシュ | キャッシュ サイズは 0 に設定されます。このため、キャッシュはすべて無効です。 | キャッシュの概要
警告 | ほとんどの警告はアクティブです。具体的なネットワーク要件に合わせて、警告を確認および構成することをお勧めします。 | 警告
クライアント構成 | ファイアウォール クライアントおよび Web プロキシ クライアントがインストールまたは構成されると、自動検出が有効になります。ファイアウォール クライアントの Web ブラウザ アプリケーションは、ファイアウォール クライアントのインストール時に構成されます。 | 自動検出の概要


ISA Server 2000 からのアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ISA Server 2000 ユーザーを対象とした完全なアップグレード パスをサポートしています。ISA Server 2000 のほとんどのルール、ネットワーク設定、監視の構成、およびキャッシュ構成が ISA Server 2004 にアップグレードされます。

ISA Server 2004 には数多くの新機能が追加されました。また、さまざまな点が変更されています。これらの変更は、サーバーの構成とアップグレード シナリオに影響を与えます。ここでは、アップグレード プロセスの一環として考慮すべき重要事項について説明します。

  • アップグレード プロセス
  • ISA Server 2000 管理および監視構成のアップグレード
  • ISA Server 2000 アクセス ポリシー構成のアップグレード
  • ISA Server 2000 公開ポリシー構成のアップグレード
  • ISA Server 2000 ポリシーの要素のアップグレード
  • ISA Server 2000 ネットワークおよびクライアント構成のアップグレード
  • ISA Server 2000 ダイヤルアップ、チェーン、およびルーティング構成のアップグレード
  • ISA Server 2000 アドイン構成のアップグレード
  • ISA Server 2000 キャッシュ構成のアップグレード
  • ISA Server 2000 ルーティングおよびリモート アクセスのアップグレード
  • ISA Server 2000 Feature Pack 1 および修正プログラム構成のアップグレード
  • 新しく変更された手順


アップグレード プロセス

ISA Server 2000 ユーザーは、ISA Server 2004 の移行ツールを使用して ISA Server 2004 に完全にアップグレードできます。ISA Server 2000 のほとんどの構成情報が ISA Server 2004 にアップグレードされます。ISA Server 2004 には数多くの新機能が追加されており、ISA Server 2000 とはさまざまな点が異なります。これらの変更は、サーバーの構成とアップグレード シナリオに影響を与えます。

注 :

  • コンピュータに ISA Server 2000 Service Pack 1 (SP1) がインストールされている必要があります。
  • アップグレードが可能なのは、ISA Server 2000 Standard Edition からのみです。

ISA Server 2000 からのアップグレードには、次の 3 つの方法があります。

  • インプレース アップグレード。このシナリオでは、ISA Server 2000 を実行しているコンピュータ上に ISA Server 2004 をインストールします。以下のトピックで説明するように、構成が ISA Server 2004 にそのまま移行されます。ツールを実行する必要はありません。
  • ISA Server 2000 構成の移行。このシナリオでは、別のコンピュータ上に ISA Server 2004 をインストールするか、または ISA Server 2000 を完全に削除してから ISA Server 2004 をインストールします。いずれの場合も、以下のトピックで説明するように、移行ツールを使用して構成情報を ISA Server 2004 に移行する必要があります。
  • ルーティングとリモート アクセス構成の移行。このシナリオは、ルーティングとリモート アクセスを使用した仮想プライベート ネットワークが既に構成されている場合に使用します。移行ツールを使用して、これらの構成の一部を ISA Server 2004 にコピーできます。「ISA Server 2000 ルーティングおよびリモート アクセス構成のアップグレード」を参照してください。

インプレース アップグレード

ISA Server 2000 がインストールされているコンピュータ上で移行ツールを実行して、インプレース アップグレードを行うこともできます。インプレース アップグレードを実行すると、ISA Server 2000 が削除され、移行した構成とともに ISA Server 2004 がインストールされます。

構成の移行

ISA Server 2000 から ISA Server 2004 に移行するには、次の手順を実行します。

  1. ISA Server 2000 コンピュータ上で ISA Server の移行ウィザードを実行します。構成情報を含む .xml ファイルが作成されます。
  2. Microsoft ISA Server 2004 をインストールします。
  3. ISA Server 2004 コンピュータに .xml ファイルをインポートします。.xml ファイルをインポートする前に、ISA Server 2004 コンピュータの現在の設定を完全にバックアップすることをお勧めします。

元の ISA Server 2000 コンピュータに装備されている外部ネットワーク アダプタの実際の IP アドレスは、構成情報と共に .xml ファイルに保存されます。ISA Server 2004 を他のコンピュータにインストールする場合は、.xml ファイルをインポートした後で IP アドレスを修正する必要があります。

アドインのアップグレード

サード パーティ ベンダによって提供された ISA Server 2000 用のアプリケーション フィルタと Web フィルタは、ISA Server 2004 には対応していません。ISA Server 2004 に対応した新しいバージョンを作成しているサード パーティ ベンダもあります。新しいバージョンにアップグレードするには、次の手順を実行します。

  1. ISA Server 2000 コンピュータからアプリケーション フィルタと Web フィルタをアンインストールします。
  2. ここで説明するように、ISA Server 2004 へのアップグレードを実行します。
  3. アプリケーション フィルタまたは Web フィルタの新しいバージョンをインストールします。

アドインのアップグレード方法の詳細については、「ISA Server 2000 アドイン構成のアップグレード」を参照してください。

アップグレードされない情報

ISA Server 2000 の次のオブジェクトおよび構成設定は ISA Server 2004 に移行されません。

  • 帯域幅ルールは、ISA Server 2004 ではサポートされていません。
  • システム アクセス制御リスト (SACL) などのアクセス許可設定はアップグレードされません。詳細については、「ISA Server 2000 管理および監視構成のアップグレード」を参照してください。
  • ログおよびレポート構成とその情報は移行されません。詳細については、「ISA Server 2000 管理および監視構成のアップグレード」を参照してください。

注

  • アップグレードすると、ISA Server 2000 にインストールされた H.323 ゲートキーパーは削除されます。

移行ツールを使用して ISA Server 2004 をインストールする場合、ファイアウォール クライアント共有 (ISA Server 2004 ソフトウェア ファイアウォール クライアント) がインストールされます。ファイアウォール クライアント共有をインストールすることをお勧めします。手順については、「ファイアウォール クライアント インストールの共有フォルダを作成する」を参照してください。


ISA Server 2000 管理および監視構成のアップグレード

以下のトピックで説明するように、管理および監視の一部の構成設定が ISA Server 2004 に移行されます。

システム アクセス制御リスト

ISA Server 2000 では、ISA Server の管理を使用して、オブジェクトのシステム アクセス制御リスト (SACL) を再構成できます。さらに、Admin COM オブジェクト モデルを使用して、すべての要素の SACL を変更できました。

SACL は ISA Server 2004 に移行されません。代わりに、既定の SACL が適用されます。

監視

次の情報を除き、ISA Server 2000 のすべての警告定義が ISA Server 2004 にそのまま移行されます。

  • ISA Server 2004 には Web プロキシ サービスがないので、Microsoft ファイアウォール サービスでは、代わりに Web プロキシを参照する警告定義が作成されます。
  • ISA Server 2004 の警告定義のうち、DNS 侵入、POP 侵入、RPC フィルタ接続の変更、SOCKS 構成エラーは変更されません。

ログ構成設定は ISA Server 2000 から移行されません。ISA Server 2004 のログ設定は、インストール後の既定値に設定されます。移行後、ISA Server 2004 のログは、Microsoft Data Engine (MSDE) ログまたはテキスト形式で保存されます。

レポート ジョブ、レポート、およびレポート構成は移行されません。


ISA Server 2000 アクセス ポリシー構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 のほとんどのアクセス ポリシー ルールが ISA Server 2004 にアップグレードされます。

帯域幅ルール

帯域幅ルールとそれに関連するポリシーの要素は、ISA Server 2004 ではサポートされていません。これらはアップグレードされません。

IP パケット フィルタ

ISA Server 2004 では、ISA Server 2000 のパケット フィルタを明示的に構成できません。ISA Server 2000 のパケット フィルタは、次の目的で使用されていました。

  • 境界領域ネットワーク上でサーバーを公開する。
  • ISA Server コンピュータでアプリケーションやその他のサービスを実行する。
  • ISA Server コンピュータからの発信方向のトラフィックを許可する。
  • ユーザー データグラム プロトコル (UDP) または伝送制御プロトコル (TCP) に基づいていないプロトコルへのアクセスを許可する。

ISA Server 2000 でパケット フィルタが無効になっている場合、ローカル ホストおよび境界領域ネットワークへのすべてのトラフィックは許可され、パケット フィルタは無視されます。ISA Server 2000 構成を移行すると、ISA Server 2000 のパケット フィルタは、そのまま ISA Server 2004 に移行されます。

次の表は、ISA Server 2000 のカスタム パケット フィルタが ISA Server 2004 のアクセス ルールにどのようにアップグレードされるかを示しています。

プロパティ | ISA Server 2000 パケット フィルタ | ISA Server 2004 アクセス ルール
名前、説明、サーバー、有効 |  | ISA Server 2000 の値と同じ
ISA Server 2000 の IP プロトコルは ISA Server 2004 のプロトコル定義にアップグレードされる | TCP、UDP、ICMP、またはカスタム IP プロトコル | 同じプロトコル
 | 任意 | 新しいプロトコルはなく、移行ツールによってプロトコルが [すべての送信トラフィック] に設定される
 | プロトコル番号 | 同じプロトコル番号
 | ローカル ポート | アクセス ルールで定義された送信元ポート、およびプロトコル接続で定義された宛先ポート (プロトコル方向によっては送信元ポート)
 | ローカル ポート番号 | 送信元ポートの範囲 (アクセス ルールの [プロトコル] タブで設定)
方向 | 発信 | 発信
 | 着信 | 発信 (これに応じて、[宛先] フィールドと [送信元] フィールドが変更される)
 | 送信後、受信許可 | 送信後、受信許可
 | 受信後、送信許可 | 送信後、受信許可 (これに応じて、[宛先] フィールドと [送信元] フィールドが変更される)
ISA Server 2000 のローカル コンピュータ (適用先) は ISA Server 2004 のアクセス ルールの [宛先] プロパティにアップグレードされる | 既定の IP アドレス | ローカル ホスト ネットワーク
 | ISA Server 2000 コンピュータの IP アドレスに設定されたローカル コンピュータ | ISA Server 2004 コンピュータの IP アドレスを持つコンピュータ要素
 | 特定の IP アドレスに設定されたローカル コンピュータ | 特定の IP アドレスを持つコンピュータ要素
 | 境界領域ネットワークに設定されたローカル コンピュータ | 境界領域ネットワークの IP アドレスを持つアドレス範囲オブジェクト
ISA Server 2000 のリモート コンピュータ (適用先) は ISA Server 2004 のアクセス ルールの [送信元] プロパティにアップグレードされる | すべてのリモート コンピュータ | すべての外部ネットワーク
 | このリモート コンピュータ | リモート コンピュータの IP アドレスに設定されたコンピュータ オブジェクト
 | この範囲のコンピュータ | 指定されたアドレス範囲を持つサブネット

注

  • ISA Server 2000 パケット フィルタの方向が [両方] である場合、ISA Server 2004 では 2 つのルールが作成され、2 番目のルールでは [宛先] プロパティと [送信元] プロパティの値が入れ替わります。

例

ISA Server 2000 パケット フィルタの代わりとして作成されたアクセス ルールのうち、アクセスを拒否するルールが最初に適用されます。次の表に示すように、アクセスを許可するルールはその後に適用されます。

ISA Server 2000 ISA Server 2004
以下のプロパティを持つパケット フィルタ
  • プロトコル : UDP
  • 方向 : 送信後、受信許可
  • ローカル ポート : 53
  • リモート ポート : 78
  • ローカル コンピュータの適用先 : 外部インターフェイスの既定の IP アドレス
  • リモート コンピュータ : すべてのリモート コンピュータ
 以下のプロパティを持つアクセス ルール
  • 送信元ネットワークはローカル ホストに設定される
  • ポート : 53
  • 宛先ネットワークはすべての外部ネットワークに設定される
以下のプロパティを持つプロトコル定義
  • プロトコル : UDP
  • ポート : 78
  • 方向 : 送信後、受信許可

IP パケット フィルタ : 定義済み

ISA Server 2000 には、定義済みの IP パケット フィルタがいくつか含まれています。次の表に示すように、移行ツールによって、これらの IP パケット フィルタに基づいてシステム ポリシー ルールが作成されます。

ISA Server 2000 IP パケット フィルタ | ISA Server 2004 システム ポリシー ルール
DHCP クライアント | ファイアウォールからの DHCP 要求を許可する
DNS フィルタ | ローカル ホストから任意の場所への DNS
ICMP 送信 | ファイアウォールから任意の場所への ICMP
ICMP Ping response (in)、ICMP Timeout in、ICMP source quench、ICMP unreachable in | ファイアウォールからネットワークへのすべての ICMP を許可する
IP Reply (out) | 信頼できるサーバーからファイアウォールへのすべての ICMP(PING) を許可する

ISA Server 移行ツールを実行する際、内部ネットワークから ISA Server コンピュータへのトラフィックを許可するかどうかを選択できます。このオプションを選択すると、内部ネットワークからローカル ホスト ネットワーク、およびローカル ホスト ネットワークから内部ネットワークへのトラフィックを許可するルールが作成されます。

プロトコル ルール

ISA Server 2000 のアクセス ポリシーは、プロトコル ルールおよびサイトとコンテンツ ルールで構成されていました。ISA Server 2004 では、移行元のプロトコル ルールおよびサイトとコンテンツ ルールの組み合わせに基づくアクセス ルールのみを使用します。

ISA Server 2000 のプロトコル ルールは、ISA Server 2004 のアクセス ルールにアップグレードされます。ほとんどのプロパティは、ISA Server 2004 にそのままアップグレードされます。[適用先] プロパティは、次の表に示すようにアップグレードされます。

ISA Server 2000 プロトコル ルール | ISA Server 2004 アクセス ルール
すべての要求 | 送信元ネットワークが [内部] および [ローカル ホスト] に設定される。
クライアント アドレス セット | [送信元] には、移行元クライアント アドレス セットの特定の IP アドレスが割り当てられたコンピュータ セットが設定される。 送信元ネットワークは [内部] に設定される。
ユーザーおよびグループ | [送信元] には、移行元で指定されている特定のユーザーのユーザー セットが設定される。 送信元ネットワークは [内部] に設定される。

サード パーティのアプリケーション フィルタはアップグレードされません。同様に、そのアプリケーション フィルタと共にインストールされたプロトコル定義もアップグレードされません。これらのプロトコル定義に適用されるルールはアップグレードされません。

ISA Server 2000 では、レジストリ キー IgnoreContentTypeIfNotApplicable を設定できます。これは、HTTP に適用されないプロトコル ルールでコンテンツ グループを無視するかどうかを指定します。このレジストリ キーが有効な場合、移行ツールを実行すると、HTTP プロトコルとその他のプロトコルの両方に適用されるプロトコル ルールに対して 2 つのアクセス ルールが作成されます。たとえば、POP3 プロトコルと HTTP プロトコルに適用されるプロトコル ルールが ISA Server 2000 に含まれている場合、ISA Server 2004 では、POP3 用と HTTP 用の 2 つのアクセス ルールが作成されます。

サイトとコンテンツ ルール

ISA Server 2000 のアクセス ポリシーは、プロトコル ルールおよびサイトとコンテンツ ルールで構成されていました。ISA Server 2004 では、移行元のプロトコル ルールおよびサイトとコンテンツ ルールの組み合わせに基づくアクセス ルールのみを使用します。

ISA Server 2000 のサイトとコンテンツ ルールは、ISA Server 2004 のアクセス ルールにアップグレードされます。ほとんどのプロパティは、ISA Server 2004 にそのままアップグレードされます。[適用先] プロパティは、次の表に示すようにアップグレードされます。

ISA Server 2000 サイトとコンテンツ ルール | ISA Server 2004 アクセス ルール
すべての要求 | 送信元ネットワークが [内部] および [ローカル ホスト] に設定される。
クライアント アドレス セット | [送信元] には、移行元クライアント アドレス セットの特定の IP アドレスが割り当てられたコンピュータ セットが設定される。 送信元 ネットワークは、[内部] および [ローカル ホスト] に設定される。
ユーザーおよびグループ | [送信元] には、移行元で指定されている特定のユーザーのユーザー セットが設定される。 送信元ネットワークは [内部] に設定される。

ISA Server 2000 では、レジストリ キー IgnoreContentTypeIfNotApplicable を設定できます。これは、HTTP に適用されないプロトコル ルールでコンテンツ グループを無視するかどうかを指定します。このレジストリ キーが有効な場合、移行ツールを実行すると、HTTP プロトコルとその他のプロトコルの両方に適用されるプロトコル ルールに対して 2 つのアクセス ルールが作成されます。たとえば、POP3 プロトコルと HTTP プロトコルに適用されるプロトコル ルールが ISA Server 2000 に含まれている場合、ISA Server 2004 では、POP3 用と HTTP 用の 2 つのアクセス ルールが作成されます。

プロトコル ルールおよびサイトとコンテンツ ルールの結合

一部のプロトコル ルールおよびサイトとコンテンツ ルールは、ISA Server 2004 へのアップグレード時に 1 つのアクセス ルールに結合されます。

名前付け規則

次の表は、新しいアクセス ルールの名前付け規則を示しています。

ISA Server 2000 のルール | ISA Server 2004 のルール名 | 例
プロトコル拒否ルール | ISA<番号>-<ISA ルール名> | ISA12-DenyNimda
サイトとコンテンツ拒否ルール | ISA<番号>-<ISA ルール名> | ISA13-BlockBadStuff
パケット フィルタ | ISA<番号>-<ISA ルール名> | ISA14-ICMP
双方向パケット フィルタ | ISA<番号>-<ISA ルール名>(Inbound) ISA<番号>-<ISA ルール名>(Outbound) | ISA18-NNMP(Inbound) ISA19-NNMP(Outbound)
プロトコル ルールおよびサイトとコンテンツ ルールの結合 | ISA<番号>-<ISA ルール名>+<ISA ルール名> | ISA15_InternetAccess+BlockBadStuff


ISA Server 2000 公開ポリシー構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 の公開ルールが ISA Server 2004 にアップグレードされます。

サーバー公開ルール

ISA Server 2000 の各サーバー公開ルールについて、対応するサーバー公開ルールが ISA Server 2004 に作成されます。次の表で説明するように、アップグレード時には一部のプロパティが変更されます。

プロパティ | ISA Server 2000 の値 | ISA Server 2004 の値
動作 | 内部ネットワーク上のサーバーの IP アドレス | [宛先] には、特定の IP アドレスを持つコンピュータ オブジェクトが設定されます。
 | 外部 IP アドレス | 外部リスナの [IP アドレス] に特定の IP アドレスが設定されます。
 | プロトコル | ISA Server 2000 と同じ。
適用先 | すべての要求 | [送信元] ネットワークが [外部] に設定され、[ユーザー] が [すべてのユーザー] に設定されます。
 | クライアント アドレス セット | [送信元] には、クライアント アドレス セットの特定の IP アドレスが割り当てられたコンピュータ セットが設定されます。
 | ユーザーおよびグループ | [送信元] ネットワークが [外部] に設定され、[ユーザー] が [すべてのユーザー] に設定されます。

ISA Server 2000 ではレジストリ キー UseISAAddressInPublishing を使用して、プロキシ機能を有効にするかどうかを指定できます。ISA Server 2000 コンピュータでこのレジストリ キーが設定されている場合、ISA Server 2004 では [有効にする] チェック ボックスがオンになります。

元の ISA Server 2000 コンピュータに装備されている外部ネットワーク アダプタの実際の IP アドレスは、構成情報と共に .xml ファイルに保存されます。ISA Server 2004 を他のコンピュータにインストールする場合は、.xml ファイルをインポートした後で IP アドレスを修正する必要があります。

Web 公開ルール

ISA Server 2000 の各 Web 公開ルールについて、対応する Web 公開ルールが ISA Server 2004 に作成されます。次の表で説明するように、アップグレード時には一部のプロパティが変更されます。

プロパティ | ISA Server 2000 の値 | ISA Server 2004 の値
動作 | 要求の破棄 | 拒否。アクセス拒否ルールの後で、このルールが最初に適用されます。
 | 要求のリダイレクト | 許可。[宛先] には、ISA Server 2000 で指定されているコンピュータが設定されます。
 | 元の要求の送信 | ISA Server 2000 と同じ。[宛先] には、ISA Server 2000 で指定されているコンピュータが設定されます。
 | ポートの選択 | ISA Server 2000 の [ブリッジ] タブで指定されている値と同じ。
宛先 | すべての宛先 | サポートされていません。このルールはエクスポートされません。ログ メッセージが生成されます。
 | すべての内部宛先 | サポートされていません。このルールはエクスポートされません。ログ メッセージが生成されます。
 | すべての外部宛先 | すべての要求。
 | 選択された宛先セット (1 つの IP アドレスまたはドメイン) | 指定した ISA Server 2000 Web 公開ルールが複数の公開宛先に適用されていた場合、ISA Server 2004 では複数の Web 公開ルールが作成されます。
 | 選択された宛先セット (IP アドレス範囲) | 範囲内の最初の IP アドレスに設定されます。
 | 選択されたもの以外のすべての宛先 | サポートされていません。このルールはエクスポートされません。ログ メッセージが生成されます。
ブリッジ | HTTP から HTTP および SSL から HTTP | 同じ。
 | HTTP から HTTP および SSL から SSL | 同じ。
 | HTTP から SSL および SSL から SSL | 同じ。
 | HTTP から FTP および SSL から FTP | 同じ。
 | HTTP から HTTP および SSL から FTP | HTTP から HTTP および SSL から SSL。
 | HTTP から SSL および SSL から HTTP | HTTP から HTTP および SSL から SSL。
 | HTTP から SSL および SSL から FTP | HTTP から HTTP および SSL から SSL。
 | HTTP から FTP および SSL から HTTP | HTTP から HTTP および SSL から SSL。
 | HTTP から FTP および SSL から SSL | HTTP から HTTP および SSL から SSL。

ISA Server 2000 では、各 Web 公開ルールに対して Web リスナが暗黙的に割り当てられます。ISA Server 2004 では、各 Web 公開ルールに対して Web リスナが明示的に割り当てられます。

ISA Server 2000 の Web 公開ルールが複数のリスナに適用されている場合、ISA Server 2004 では、それらの各 Web リスナについて Web 公開ルールが作成されます。たとえば、ISA Server 2000 の Web 公開ルールが 3 つの Web リスナに適用されている場合、ISA Server 2004 では 3 つの Web 公開ルールが作成されます。これらは、移行元の ISA Server 2000 Web 公開ルールで指定されていた各 Web リスナに対応しています。

ISA Server 2000 の Web 公開ルールが、複数の異なる IP アドレス (ドメイン名) と複数の異なるパスを含む宛先セットに適用されている場合、ISA Server 2004 では、IP アドレスとパスの各ペアについて Web 公開ルールが作成されます。

元の ISA Server 2000 コンピュータに装備されている外部ネットワーク アダプタの実際の IP アドレスは、構成情報と共に .xml ファイルに保存されます。ISA Server 2004 を他のコンピュータにインストールする場合は、.xml ファイルをインポートした後で IP アドレスを修正する必要があります。

ISA Server 2000 では、空のパスを含む宛先セットに Web 公開ルールを適用できます。

Web 公開ルールを移行すると、"すべての宛先" に適用される Web 公開ルールに対しては、リンクの変換が無効になります。つまり、リンクの変換を伴う Web 公開ルールは、作成はされますが、無効です。

名前付け規則

次の表は、新しい公開ルールの名前付け規則を示しています。

ISA Server 2000 のルール | ISA Server 2004 のルール名 | 例
サーバー公開ルール | ISA<番号>-<ISA ルール名> | ISA12-PublishSMTP
Web 公開ルール | ISA<番号>-<ISA ルール名> for <リスナ名> for <ドメイン>/<パス> | ISA13-Publishing for External IP: 122.11.223.123 for microsoft.com/foo


ISA Server 2000 ポリシーの要素のアップグレード

以下のトピックで説明するように、ISA Server 2000 のほとんどのポリシーの要素が ISA Server 2004 にアップグレードされます。

クライアント アドレス セット

ISA Server 2000 では、クライアント アドレス セットに IP アドレスと IP アドレス範囲が含まれていました。クライアント アドレス セットは、サイトとコンテンツ ルールおよびプロトコル ルールで使用され、公開ルールでは使用されませんでした。

ISA Server 2004 では、クライアント アドレス セットの代わりにコンピュータ セットを使用します。ISA Server 2000 のルールが適用されているクライアント アドレス セットをアップグレードすると、ISA Server 2004 では、それらの各ルールについて新しいコンピュータ セットが作成されます。アップグレードしたルールは新しいコンピュータ セットに適用されます。このコンピュータ セットには、SA Server 2000 の元のクライアント アドレス セットと同じ IP アドレスが含まれます。

コンテンツ グループ

ISA Server 2000 のコンテンツ グループは、ISA Server 2004 にそのままアップグレードされます。同じ名前のコンテンツ グループが ISA Server 2004 に存在する場合、そのコンテンツ グループは ISA Server 2000 からインポートされません。

宛先セット

ISA Server 2000 の宛先セットには、コンピュータ名、IP アドレス、IP アドレス範囲、ドメイン名、コンピュータ上のパスを含めることができました。宛先セットは、サイトとコンテンツ ルールおよび公開ルールで使用されます。

ISA Server 2004 では宛先セットを使用しません。代わりに、アクセス ルールや公開ルールで柔軟に使用できるその他のネットワーク要素が採り入れられています。

次の表は、ISA Server 2000 の宛先セットと、ISA Server 2004 のさまざまなネットワーク オブジェクトとの対応関係を示しています。

ISA Server 2000 ポリシーの要素 | ISA Server 2004 ネットワーク オブジェクト
ワイルドカードが指定された宛先セット | ドメイン名セット
パスが指定された宛先セット | URL セット
1 つの IP アドレスが指定された宛先セット | URL セット
1 つの IP アドレスとパスが指定された宛先セット | URL セット
IP アドレス範囲が指定された宛先セット | コンピュータ セット
IP アドレス範囲とパスが指定された宛先セット URL セット

注

  • ISA Server 宛先セットに 6 つ以上の IP アドレスが含まれている場合は、URL セットが作成されません。この場合、ログ ファイルに警告が記録されます。さらに、この宛先セットにルールが適用されている場合、そのルールはアップグレードされず、ログ ファイルにメッセージが記録されます。

次の表は、ISA Server 2000 宛先セットのアップグレード例を示しています。

ISA Server 2000 の宛先セット | ISA Server 2004 のネットワーク オブジェクト
mayah.microsoft.com が指定された宛先セット | mayah.microsoft.com が指定されたドメイン名
eitanh.microsoft.com およびパス foo が指定された宛先セット | eitanh.microsoft.com が指定されたドメイン名セット、および http://eitanh.microsoft.com/foo/ が指定された URL セット
IP アドレス範囲 192.168.123.134 (1 つの IP) およびパス foo が指定された宛先セット | 範囲が 192.168.123.134 ～ 192.168.123.134 であるコンピュータ セット http://192.168.123.134/foo/ が指定された URL セット
yairh.microsoft.com とパス /foo、IP アドレス 1.2.3.4 とパス boo、および IP アドレス範囲 1.2.3.4 ～ 1.2.3.5 とパス /home が指定された宛先セット | IP アドレス範囲 1.2.3.4 ～ 1.2.3.4 および IP アドレス範囲 1.2.3.4 ～ 1.2.3.5 が指定されたコンピュータ セット yairh.microsoft.com が指定されたドメイン名セット http://yairh.microsoft.com/foo、http://1.2.3.4/boo、http://1.2.3.4/home、および http://1.2.3.5/home が指定された URL セット

宛先セットとルール

次の表は、アップグレード前の ISA Server 2000 ルールで使用されていた宛先セットと、それに対応する ISA Server 2004 のルール設定を示しています。

ISA Server 2000 | ISA Server 2004
すべての宛先 | [宛先] プロパティが [任意の場所] に設定されます。
すべての内部宛先 | [宛先] プロパティが [内部ネットワーク] に設定されます。 宛先ネットワークが [内部] に設定されます。
すべての外部宛先 | [宛先] プロパティが [外部ネットワーク] に設定されます。 宛先ネットワークが [外部] に設定されます。
選択された宛先 | [宛先] プロパティが、元の宛先セットに対応するコンピュータ セット、ドメイン名、および URL セットに設定されます。

プロトコル定義

ISA Server 2000 には 2 種類のプロトコル定義が含まれていました。

  • 明示的に定義されたプロトコル定義。インストール時に ISA Server によって作成されるプロトコル要素、またはその後でユーザーが作成するプロトコル要素です。
  • 暗黙的に定義されたプロトコル定義。特定のアプリケーション フィルタまたは IP パケット フィルタで使用されます。

移行ツールによって、明示的に定義されたすべてのプロトコル要素について、それに対応するプロトコル定義が ISA Server 2004 に作成されます。ISA Server 2004 に同じ名前のプロトコル定義が既に存在する場合、ISA Server 2000 のそのプロトコル定義はインポートされません。

暗黙的に定義されたプロトコル定義のうち、サード パーティのアプリケーション フィルタによって作成された定義はアップグレードされません。移行ログ ファイルに、そのことを知らせる警告メッセージが出力されます。暗黙的に定義されたプロトコル定義のうち、IP パケット フィルタで使用されていた定義はアップグレードされます。

移行ツールが認識できないプロトコル定義はアップグレードされません。不明なプロトコル定義に適用されているルールはすべて削除されます。

スケジュール

ISA Server 2000 のスケジュールは、ISA Server 2004 にそのままアップグレードされます。スケジュールが明確に指定されていない ISA Server 2000 ルールは、ISA Server 2004 で作成され、同じ名前を持つスケジュールを参照します。

ISA Server 2000 で、サイトとコンテンツ ルールおよびプロトコル ルールによって 2 つのスケジュールが使用されている場合、ISA Server 2004 では新しいスケジュールが作成されます。

Web リスナ

ISA Server 2000 では、特定の IP アドレスに着信方向のリスナと発信方向のリスナが存在していました。ISA Server 2004 では、ネットワーク全体、または特定の IP アドレスに Web リスナを割り当てることができます。

ISA Server 2000 の着信方向のリスナは、外部ネットワーク上の Web リスナとして ISA Server 2004 にアップグレードされます。

ISA Server 2000 の既定の発信方向のリスナは、内部ネットワーク上の Web リスナとして ISA Server 2004 にアップグレードされます。既定のリスナが使用されていない場合、リスナはアップグレードされません。これはログ ファイルに記録されます。

元の ISA Server 2000 コンピュータに装備されている外部ネットワーク アダプタの実際の IP アドレスは、構成情報と共に .xml ファイルに保存されます。ISA Server 2004 を他のコンピュータにインストールする場合は、.xml ファイルをインポートした後で IP アドレスを修正する必要があります。

名前付け規則

次の表は、新しいルールの要素の名前付け規則を示しています。

ISA Server 2000 ポリシーの要素 | ISA Server 2004 ルールの要素
宛先セット (コンピュータ セットを作成) | <宛先セット名> が指定されたコンピュータ セット
宛先セット (URL セットを作成) | <宛先セット名> が指定された URL セット
既定の Web リスナ | 既定の外部 Web リスナ
結合されたスケジュール | <スケジュール名1>_<スケジュール名2>


ISA Server 2000 ネットワークおよびクライアント構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 のネットワークおよびクライアントの構成設定が ISA Server 2004 にアップグレードされます。

ネットワーク

ISA Server 2000 は、内部ネットワークと外部ネットワークの 2 つのネットワークのみをサポートしています。境界領域ネットワーク (DMZ、非武装地帯、スクリーン サブネット) は、外部ネットワークから境界領域ネットワークにトラフィックをルーティングするパケット フィルタを作成することで示していました。

ISA Server 2004 は、複数のネットワークをサポートしています。ISA Server 2004 では、既定で次のネットワークが作成されます。

  • 内部 (ISA Server 2000 のローカル アドレス テーブル (LAT) を基に設定される)ISA Server 2004 の内部ネットワークには、ISA Server 2000 で構成された VPN 静的アドレス プール内の IP アドレスは含まれません。また、ブロードキャスト アドレスも含まれません。
  • 外部
  • ローカル ホスト
  • VPN クライアント

移行ツールによって、ISA Server 2004 に次のネットワーク ルールが作成されます。

  • ローカル ホストと内部ネットワーク間のルート関係を定義するネットワーク ルール
  • 境界領域ネットワークと外部ネットワーク間のルート関係を定義するネットワーク ルール
  • 内部ネットワークから境界領域ネットワークへの NAT 関係を定義するネットワーク ルール

ローカル ドメイン テーブル

ローカル ドメイン テーブル (LDT) は、そのまま ISA Server 2004 に移行されます。ISA Server 2000 の LDT に IP アドレスが含まれている場合、それらは ISA Server 2004 に移行されません。

クライアント設定

ISA Server 2004 では、クライアント設定をネットワークごとに定義します。ISA Server 2000 のクライアント設定は、ISA Server 2004 内部ネットワークのクライアント設定にそのままアップグレードされます。

ISA Server 2000 と同様、ISA Server 2004 のファイアウォール クライアント アプリケーション設定は、すべてのクライアント要求に適用されます。ファイアウォール クライアント アプリケーション設定は、ISA Server 2004 にそのままアップグレードされます。


ISA Server 2000 ダイヤルアップ、チェーン、およびルーティング構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 のダイヤルアップ、チェーン、およびルーティングに関するほとんどの構成設定が ISA Server 2004 にアップグレードされます。

ダイヤルアップ接続

ISA Server 2000 では複数のダイヤルアップ接続を作成できますが、一度にアクティブにできるダイヤルアップ接続は 1 つだけです。ISA Server 2004 では、ダイヤルアップを 1 つだけ作成できます。

ISA Server 2000 の場合、ダイヤルアップ接続は、ファイアウォール クライアントごとおよび Web プロキシ クライアントごとに定義されました。ISA Server 2004 では、ネットワークごとにダイヤルアップ接続が定義されます。

アップグレード プロセスでは、アクティブなダイヤルアップ接続のみがアップグレードされます。これは、外部ネットワークに割り当てられます。

その他すべてのダイヤルアップ接続はアップグレードされません。これは、アップグレード ログ ファイルに記録されます。

ファイアウォール チェーン

ISA Server 2000 のチェーン構成は ISA Server 2004 に直接アップグレードされます。唯一の例外は、ISA Server 2000 で指定されたダイヤルアップ接続です。ISA Server 2004 では、外部ネットワークにダイヤルアップ接続が作成されます。

ルーティング ルール

ISA Server 2000 の各ルーティング ルールは、キャッシュ ルールおよびルーティング ルールとして ISA Server 2004 にアップグレードされます。

ISA Server 2004 のルーティング ルールは、元の ISA Server 2000 ルーティング ルールと同じプロパティを使用して作成されます。ISA Server 2000 のルーティング ルールで指定されている宛先は、ISA Server 2004 ルーティング ルール プロパティの [宛先] プロパティ ページで指定されたネットワークにマップされます。

ISA Server 2000 のルーティング ルールでダイヤルアップ エントリが使用されている場合、ISA Server 2004 の外部ネットワーク上に、同じプロパティを持つダイヤルアップ エントリが作成されます。

移行元の ISA Server 2000 のルーティング ルールに基づいて、新しいキャッシュ ルールが作成されます。ISA Server 2000 のルーティング ルールで指定されている宛先は、ISA Server 2004 ルーティング ルール プロパティの [宛先] プロパティ ページで指定されたネットワークにマップされます。

ブリッジと動作のプロパティは、ISA Server 2004 のキャッシュ ルールでサポートされていません。したがって、これらのプロパティは、元の ISA Server 2000 のルーティング ルールからアップグレードされません。


ISA Server 2000 アドイン構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 のほとんどのアクセス ポリシー ルール、公開ルール、および IP パケット フィルタが ISA Server 2004 にアップグレードされます。

ISA Server 2000 では、アプリケーション フィルタが特定のトラフィックに無条件に適用されていました。ISA Server 2004 では、一部のフィルタはルールごとに適用できます。次の表は、ISA Server 2000 のアプリケーション フィルタ機能が ISA Server 2004 にどのようにアップグレードされるかを示しています。

注 :

  • アップグレードを行う前に、サード パーティ ベンダにより出荷されたアプリケーション フィルタまたは Web フィルタはすべて削除してください。それらのアプリケーション フィルタまたは Web フィルタが ISA Server 2004 でも使用可能な場合、アップグレード後にそれらを再インストールすることができます。
アプリケーション フィルタまたはルール | ISA Server 2000 | ISA Server 2004
FTP アクセス | FTP に適用されるプロトコル ルール | FTP フィルタの [読み取り専用] オプションが無効に設定されたアクセス ルール
 | FTP ダウンロードに適用されるプロトコル ルール | FTP フィルタの [読み取り専用] オプションが有効に設定されたアクセス ルール
 | FTP サーバーに適用されるプロトコル ルール | FTP フィルタの [読み取り専用] オプションが無効に設定されたサーバー公開ルール
H.323 フィルタ | 着信呼を許可 | 外部ネットワーク上でリッスンするフィルタ
 | 発信呼を許可 | 内部ネットワーク上でリッスンするフィルタ
 | その他すべての構成 | ISA Server 2000 と同じ
HTTP リダイレクト | すべての構成 | サポートなし
RPC フィルタ | すべての構成 | ルールごとのフィルタに置き換え
SMTP フィルタ | SMTP コマンド | ISA Server 2000 と同じ
 | 添付ファイル、ユーザーとドメイン、およびキーワード | SMTP サーバー公開ルールにアップグレード (ルールごと)
SOCKS V4 フィルタ | 有効 | 内部ネットワークからの SOCKS 要求をリッスン
ストリーミング メディア | MMS フィルタ、PNM フィルタ、および RTSP フィルタ : 任意の構成 | ISA Server 2000 と同じ構成 MMS ストリーム分割はサポート対象外

次のアプリケーション フィルタの構成設定は、ISA Server 2004 に直接アップグレードされます。

  • DNS 侵入検出フィルタ
  • POP 侵入検出フィルタ

ISA Server 2004 にアップグレードするコンピュータにメッセージ スクリーナがインストールされていない場合は、内部ネットワーク間およびローカル ホスト ネットワーク間のすべてのトラフィックを許可するよう、ISA Server 2004 を明示的に構成しない限り、メッセージ スクリーナ コンピュータからのトラフィックはブロックされます。同様に、メッセージ スクリーナ コンピュータからローカル ホスト コンピュータへの MS Firewall 制御トラフィックを許可するルールを追加できます。

ISA Server 2004 と ISA Server 2000 では、一部のアプリケーション フィルタのプロパティ構成が異なります。ISA Server 2004 の使用方法については、「新しく変更された手順」を参照してください。

サード パーティのアプリケーション フィルタはアップグレードされません。同様に、そのアプリケーション フィルタと共にインストールされたプロトコル定義もアップグレードされません。これらのプロトコル定義に適用されるルールはアップグレードされません。


ISA Server 2000 キャッシュ構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 のほとんどのキャッシュ構成設定が ISA Server 2004 にアップグレードされます。

キャッシュ

ISA Server 2000 のほとんどのキャッシュ プロパティは、何も変更されず、ISA Server 2000 から ISA Server 2004にそのままアップグレードされます。以下の例外に注意してください。

  • キャッシュ オブジェクトを更新するかどうかを指定する全般的なキャッシュ プロパティは、ISA Server 2004 の既定値に設定されます。
  • 特定のサイズを超えるオブジェクトをキャッシュするかどうかを指定する全般的なキャッシュ プロパティは、アップグレードされません。
  • ダイナミック コンテンツをキャッシュするかどうかを指定する全般的なキャッシュ プロパティは、ISA Server 2004 の既定のキャッシュ ルールで設定されます。

キャッシュ ドライブ構成は、ISA Server 2004 でもそのまま保持されます。他のコンピュータに移行する場合は、ISA Server 2004 コンピュータのハードウェアおよびドライブ構成を移行元の ISA Server 2000 コンピュータと同様にする必要があります。

ISA Server 2000 をキャッシュ モードでインストールした場合は、移行ツールによって次の処理が行われます。

  • ISA Server 2000 コンピュータで指定された単一ネットワーク アダプタに関連付けられているすべてのアドレスが含まれるように、ISA Server 2004 上の内部ネットワークが構成されます。
  • 内部ネットワーク間の HTTP、HTTPS、および FTP アクセスを許可するアクセス ルールが作成されます。

予定されたコンテンツ ダウンロード ジョブ

ISA Server 2000 の予定されたコンテンツ ダウンロード ジョブは、ISA Server 2004 に直接アップグレードされます。


ISA Server 2000 ルーティングおよびリモート アクセスのアップグレード

ISA Server 2004 をインストールする際、ルーティングとリモート アクセス構成をアップグレードすることができます。構成は、ISA Server 2000 がコンピュータにインストールされているかどうかに関係なく、ISA Server 2004 にアップグレードすることができます。

ルーティングとリモート アクセス構成のアップグレードについては、以下の制限事項に注意してください。

  • ISA Server 2004 に接続可能なリモート仮想プライベート ネットワーク (VPN) クライアントの最大数は、ルーティングとリモート アクセスの PPTP ポート数と L2TP ポート数のうち数が多い方に設定されます。詳細については、「リモート クライアントの同時接続の最大数を構成する」を参照してください。
  • 静的に割り当てられた IP アドレスの数が VPN クライアントの数より少ない場合、VPN クライアントの数は、静的アドレス プールのサイズに合わせて削減されます。ユーザーには、ルーティングとリモート アクセスのアップグレード処理中に警告が表示されます。
  • ルーティングとリモート アクセス用に構成された事前共有キーはエクスポートされません。警告メッセージが表示されます。
  • プライマリ DNS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。代わりに DHCP 設定が使用され、警告メッセージが表示されます。バックアップ DNS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。警告メッセージが表示されます。
  • プライマリ WINS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。代わりに DHCP 設定が使用され、警告メッセージが表示されます。バックアップ WINS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続が PPTP、L2TP の順に使用するよう構成されている場合、PPTP のみを使用する ISA Server 2004 のリモート サイト ネットワークにアップグレードされます。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続が L2TP、PPTP の順に使用するよう構成されている場合、L2TP のみを使用する ISA Server 2004 のリモート サイト ネットワークにアップグレードされます。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続用に構成された事前共有キーはエクスポートされません。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続用に構成された資格情報はエクスポートされません。ISA Server 2004 では、発信方向の VPN 接続は、再構成しなければ使用できません。警告メッセージが表示されます。


ISA Server 2000 Feature Pack 1 および修正プログラム構成のアップグレード

ISA Server 2000 Feature Pack 1 にはいくつかの新機能が含まれており、これらの機能は ISA Server 2004 に追加されています。ISA Server 2000 Feature Pack 1 のほとんどの構成情報は、ISA Server 2004 にそのまま移行されます。以下の例外に注意してください。

  • リンクの変換。ISA Server 2004 にそのまま移行されます。次の点に注意してください。
    • ISA Server 2000 のリンクの変換フィルタがコンテンツ グループに適用されている場合、そのコンテンツ グループに対応する新しいコンテンツ グループが作成されます。
    • ISA Server 2000 Feature Pack 1 のリンクの変換では、外部プロキシにおける変換された応答のキャッシュを禁止することができました。この機能は、ISA Server 2004 ではサポートされていません。
  • SecurID 認証のサポート。次の点に注意してください。
    • SecurID を有効にする Web 公開ルールは ISA Server 2004 に移行されますが、新しいルールは無効になります。
    • ISA Server 2000 Feature Pack 1 では、Web 公開ルールごとに SecurID 認証が構成されました。ISA Server 2004 では、Web リスナごとに構成されます。ISA Server 2000 に構成の異なる 2 つの Web 公開ルールがある場合、それらのルールを移行することは可能ですが、SecurID 認証構成は無効になります。
    • SecurID 認証構成を移行するには、次の操作を行います。
      1. アクセス制御エントリ (ACE) サーバーによって生成された Sdconf.rec ファイルを %SystemRoot%\System32 にコピーします。
      2. ローカル ホストから ACE サーバーへの通信を許可するアクセス ルールを作成します。
  • URLScan。ISA Server 2004 では、このフィルタの名前は HTTP フィルタに変更されています。ISA Server 2000 Feature Pack 1 でサポートされていた機能のうち、次の機能は ISA Server 2004 では使用できません。
    • EnableLogging
    • PerProcessLogging
    • AllowLateScanning
    • PerDayLogging
    • RejectResponseUrL
    • UseFastPathReject
    • DenyUrlSequences

ISA Server 2000 修正プログラム

ISA Server 2000 修正プログラムの一部としてインストールされているすべてのレジストリ キーは、ISA Server 2004 にそのまま移行されます。


新しく変更された手順

以下の表では、ISA Server 2004 で実行可能な一般的なタスクの一覧を示し、これらのタスクが ISA Server 2000 でどのように実行されていたかを比較します。

目的 | ISA Server 2000 | ISA Server 2004
同一場所にあるサーバーを公開する | ISA Server コンピュータ上の特定のサーバーへのアクセスを許可する静的パケット フィルタを作成します。 | サーバー公開ルールを作成します。詳細については、「サーバー公開ルール」を参照してください。
ISA Server コンピュータ上のアプリケーションからインターネットへのアクセスを有効にする | ISA Server コンピュータで、特定のポートへのアクセスを許可する静的パケット フィルタを作成します。 | インストール時に作成される既定のネットワーク ルールが、ローカル ホスト ネットワークと外部ネットワーク間の関係を正確に定義していることを確認します。次に、特定のプロトコルへのアクセスを許可するアクセス ルールを作成します。詳細については、「アクセス ルール」を参照してください。
ローカル アドレス テーブル (LAT) を構成する | 任意のサービスのプロパティで [ローカル アドレス テーブル (LAT)] をクリックします。 | 内部ネットワークは、ローカル アドレス テーブルに代わるもので、セットアップ時に構成されます。内部ネットワークは後から再構成できます。詳細については、「内部ネットワーク」を参照してください。
IP ベースのプロトコルのサポートを構成する | IP ベースのプロトコルは、限定的な方法でサポートされていました。 | プロトコルの種類を TCP、UDP、ICMP、または IP レベルの中から指定して、プロトコルを作成します。IP レベルを選択した場合は、下位レベルのプロトコルを指定できます。詳細については、「プロトコル」を参照してください。
仮想プライベート ネットワークを構成する | VPN のウィザードを使用して、クライアントとルーター間の VPN またはルーター間の VPN を構成します。 | VPN プロパティを構成して有効にし、VPN 接続を監視します。詳細については、「仮想プライベート ネットワーク」を参照してください。
発信方向の Web 要求プロパティを構成する | アレイ プロパティで、[発信方向の Web 要求] タブをクリックし、リスナ プロパティを構成します。 | 各ネットワークには独自のリスナがあります。これは、該当するネットワーク向けの要求をリッスンするネットワーク アダプタです。発信方向の要求に対するリスナの構成については、「Web プロキシ クライアント (発信方向の要求) の認証方法を構成する」を参照してください。
着信方向の Web 要求プロパティを構成する | アレイ プロパティで [着信方向の Web 要求] タブをクリックし、リスナ プロパティを構成します。 | Web リスナは、各 Web 公開ルールの一部として使用されます。Web 公開ルールを構成する際に、そのルールで使用する Web リスナを指定します。Web リスナについては、「Web リスナの概要」を参照してください。


インストールと移行 : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 および ISA Server 2004 Microsoft ファイアウォール クライアント ソフトウェアをインストールする方法について説明します。

  • ISA Server をインストールする
  • ISA Server 2000 構成を移行する


ISA Server をインストールする

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールする手順について説明します。

  • ISA Server のセットアップを実行する
  • ISA Server の無人セットアップを実行する
  • ISA Server のインストール オプションを変更する
  • ISA Server の管理をインストールする
  • ファイアウォール クライアント インストールの共有フォルダを作成する
  • サーバー ソフトウェアをアンインストールする


ISA Server のセットアップを実行する

ISA Server のセットアップを実行するには

  1. ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダから、ISAautorun.exe を開きます。
  2. システム構成の特定が完了したことが表示されたら、[ようこそ] ページで [次へ] をクリックします。
  3. エンドユーザー使用許諾契約書の規定に同意する場合は、[同意します]、[次へ] の順にクリックします。
  4. ユーザー情報を入力し、[次へ] をクリックします。
  5. [標準]、[完全]、または [カスタム] をクリックします。

    注 :

    • 次の 4 つのコンポーネントをインストールすることができます。
    • ISA Server サービス。ISA Server を構成するサービス。
    • ISA Server の管理。ISA Server の管理ユーザー インターフェイス。
    • ファイアウォール クライアント インストール共有。クライアント コンピュータは、この場所からファイアウォール クライアント ソフトウェアをインストールできます。これは、通常、ISA Server コンピュータ以外のコンピュータ上にインストールされるため、[標準] のインストール オプションには入っていません。ファイアウォール クライアント共有は、Windows Server 2003、Windows 2000 Server、または Windows XP を実行しているコンピュータにインストールすることができます。
    • メッセージ スクリーナ。キーワードや添付ファイルで電子メール メッセージを選別するために構成するコンポーネントです。このコンポーネントは、通常は ISA Server コンピュータとして使用されていない SMTP サーバーにインストールする必要があります。

    [標準] では、ISA Server サービスと ISA Server の管理がインストールされます。[完全] では、4 つのコンポーネントのすべてがインストールされます。[カスタム] では、インストールするコンポーネントを選択することができます。

  6. [次へ] をクリックします。
  7. 内部ネットワークを構成します。次の手順に従ってください。
    1. [追加] をクリックします。
    2. [ネットワーク アダプタの選択] をクリックします。
    3. [Windows ルーティング テーブルに基づいたアドレス範囲を追加する] を選択します。
    4. 内部ネットワークに接続されているアダプタを 1 つ以上選択します。これらのアドレスは、ISA Server に既定で定義される内部ネットワークに含められます。
    5. これらの範囲を内部ネットワークに追加する場合を除き、[次のプライベート範囲を追加する] をオフにします。
    6. [OK] をクリックします。セットアップ メッセージを読んで、[OK] をクリックします。再度 [OK] をクリックして内部ネットワークの構成を終了し、[次へ] をクリックします。
  8. [インストール] をクリックします。
  9. インストール終了後、直ちに ISA Server の管理を起動する場合は、[ウィザードの終了時に ISA Server の管理を起動する] チェック ボックスをオンにし、[完了] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • Web サイトから ISA Server インストール ファイルをダウンロードした場合、または ISA Server CD のコンテンツをコピーした場合は、コマンド プロンプトで ISAautorun.exe ファイルを実行して、ISA Server のインストールを開始します。次に、[ISA Server 2004 のインストール] をクリックします。
  • ISA Server 2000 と ISA Server 2004 の管理コンソールを同じコンピュータにインストールすることはできません。
  • ターミナル サービスをアプリケーション サーバー モードで使用して、リモートで ISA Server をインストールすると、多くの監視機能で必要とされる MSDE コンポーネントが正しくインストールされません。ターミナル サービスを管理モードで使用して、MSDE を正しくインストールしてください。
  • ISA Server のインストール時にインターネット認証サービス (IAS) を実行している場合は、インストール終了後、IAS を再起動する必要があります。そうでない場合は、ISA Server は VPN 接続を受け付けません。

関連項目


ISA Server の無人セットアップを実行する

ISA Server の無人セットアップを実行するには

  1. Msisaund.ini というファイルを変更します。
  2. コマンド プロンプトで、次のように入力します。

    PathToISASetup\Setup.exe [/[X|R]] /V" /q[b|n] FULLPATHANSWERFILE=\"PathToINIFile\MSISAUND.INI\""

パラメータ

PathToISASetup
ISA Server 2004 のインストール ファイルへのパスです。このパスは、ISA Server CD-ROM のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
/Q [b|n]
無人セットアップを実行します。b を指定すると、進捗状況バーにセットアップ プロセスが示されます。n を指定した場合、ダイアログ ボックスは表示されません。
/R
無人の再インストールを実行します。
/X
無人のアンインストールを実行します。
PathToINIFile
無人インストール情報が格納されているフォルダへのパスです。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • ISA Server 2000 がインストールされているコンピュータでは、無人インストールを実行することはできません。Msisaund.ini の INTERNALNETRANGES プロパティには、ISA Server コンピュータのいずれかの IP アドレスが含まれるインターネット プロトコル (IP) アドレス範囲を、少なくとも 1 つ指定する必要があります。そうしないと、セットアップは失敗します。
  • サンプルの応答ファイル (Msisaund.ini) は、CD の FPC フォルダに収録されています。
  • たとえば、CD\FPC\setup.exe /v" /qn FULLPATHANSWERFILE=\"C:\MSISAUND.INI\"" と指定した場合は、C:\ にある Msisaund.ini ファイルを使用して、ISA Server の無人インストールが実行されます。
  • ターミナル サービスをアプリケーション サーバー モードで使用して、リモートで ISA Server をインストールすると、多くの監視機能で必要とされる MSDE コンポーネントが正しくインストールされません。ターミナル サービスを管理モードで使用して、MSDE を正しくインストールしてください。

関連項目


ISA Server のインストール オプションを変更する

ISA Server のインストール オプションを変更するには

  1. Windows Server 2003 コンピュータで [スタート] ボタン、[コントロール パネル] の順にクリックして、[プログラムの追加と削除] をダブルクリックします。
  2. [Microsoft Internet Security and Acceleration Server セットアップ] で、[変更と削除] をクリックします。
  3. [ようこそ] ページで、[次へ] をクリックします。
  4. [プログラムのメンテナンス] ページで、[変更] をクリックします。
  5. [下の一覧にあるアイコンをクリックして、機能をインストールする方法を変更してください] で、次のうちから必要なものを選択します (複数可)。
    • [ファイアウォール サービス]。このオプションを選択すると、ISA Server のすべてのサービスがインストールされます。
    • [ISA Server の管理]。このオプションを選択すると、ISA Server の一元管理に使用する管理コンソールがインストールされます。
    • [ファイアウォール クライアント インストール共有]。このオプションを選択すると、ファイアウォール クライアント ソフトウェアのインストールに必要なすべてのファイルを保持するフォルダが、ISA Server コンピュータに作成されます。このフォルダは Everyone グループで共有されるため、すべてのユーザーがアクセスしてソフトウェアをインストールできます。
    • [メッセージ スクリーナ]。このオプションを選択すると、メッセージ スクリーナがインストールされます。このコンポーネントは、通常は ISA Server コンピュータとして使用されていない SMTP サーバーにインストールする必要があります。
  6. [次へ] をクリックします。[インストール] をクリックして、インストールを開始します。

注

  • Windows 2000 では、[アプリケーションの追加と削除] で、[Microsoft Internet Security and Acceleration Server] をクリックし、[変更] または [削除] をクリックします。
  • ISA Server を削除する前に、ISA Server の管理および ISA Server パフォーマンス モニタを必ず閉じてください。
  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • ISA Server の管理のみをインストールした場合は、別の ISA Server コンピュータをリモート管理できます。ISA Server は、ローカル コンピュータ上では実行されません。
  • ファイアウォール クライアント共有をインストールすると、"信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する" というシステム ポリシー ルールが有効になります。これは、内部ネットワーク上のクライアントに共有へのアクセスを許可するものです。クライアントが共有フォルダからソフトウェアをインストールできるようにするには、このルールを有効にする必要があります。

関連項目


ISA Server の管理をインストールする

ISA Server の管理をインストールするには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISA\Setup
    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。画面上に表示される指示に従います。
  3. [使用許諾契約] 画面で、[合意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [セットアップの種類] 画面で、[カスタム]、[次へ] の順にクリックします。
  6. [カスタム セットアップ] 画面で、ISA Server の管理のインストールのみを選択します。次の操作を行います。
    • [ファイアウォール サービス]、[インストールしない] の順にクリックします。
    • [ISA Server の管理]、[ローカル ドライブにインストール] の順にクリックします。
    • [ファイアウォール クライアント インストール共有]、[インストールしない] の順にクリックします。
    • [メッセージ スクリーナ]、[インストールしない] の順にクリックします。
    次に、[次へ] をクリックします。
  7. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。

関連項目


ファイアウォール クライアント インストールの共有フォルダを作成する

ファイアウォール クライアント インストールの共有フォルダを作成するには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISA\Setup
    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。画面上に表示される指示に従います。
  3. [使用許諾契約] 画面で、[合意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [セットアップの種類] 画面で、[カスタム]、[次へ] の順にクリックします。
  6. [カスタム セットアップ] 画面で、ファイアウォール クライアント共有のインストールのみを選択します。次の操作を行います。
    • [ファイアウォール サービス]、[インストールしない] の順にクリックします。
    • [ISA Server の管理]、[インストールしない] の順にクリックします。
    • [ファイアウォール クライアント インストール共有]、[ローカル ドライブにインストール] の順にクリックします。
    • [メッセージ スクリーナ]、[インストールしない] の順にクリックします。
    次に、[次へ] をクリックします。
  7. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • ファイアウォール クライアント ソフトウェアは、Microsoft® Windows Server™ 2003、Windows 2000 Server、Windows XP、Windows Millennium Edition、または Windows NT® 4.0 を実行するクライアント コンピュータにインストールできます。Microsoft Internet Explorer 5 以降がインストールされている Windows 98 Second Edition を実行するコンピュータにも、ファイアウォール クライアント ソフトウェアをインストールできます。
  • ファイアウォール クライアント共有をインストールすると、"信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する" というシステム ポリシー ルールが有効になります。これは、内部ネットワーク上のクライアントに共有へのアクセスを許可するものです。クライアントが共有フォルダからソフトウェアをインストールできるようにするには、このルールを有効にする必要があります。

関連項目


サーバー ソフトウェアをアンインストールする

サーバー ソフトウェアをアンインストールするには

  1. [スタート] ボタン、[コントロール パネル] の順にクリックし、[プログラムの追加と削除] をダブルクリックし、[プログラムの変更と削除] をクリックします。
  2. [Microsoft Internet Security and Acceleration Server セットアップ] で、[削除] をクリックします。
  3. "この製品をアンインストールしますか?" というメッセージが表示されたら、[はい] をクリックします。

注

  • Web サイトから ISA Server インストール ファイルをダウンロードした場合、または ISA Server CD のコンテンツをコピーした場合は、コマンド プロンプトで ISAautorun.exe ファイルを実行して、ISA Server のインストールを開始します。次に、[ISA Server 2004 のインストール] をクリックします。
  • ISA Server を削除する前に、ISA Server の管理および ISA Server パフォーマンス モニタを必ず閉じてください。
  • ISA Server を構成すると、一部の RRAS 設定が変更されることがあります。ISA Server をアンインストールすると、RRAS 構成は次のように再構成されます。
    1. RRAS サービスは無効になります。
    2. ISA Server によって構成されたリモート アクセス ポリシーは削除されます。
    3. RRAS は既定の設定にリセットされ、無効になります。RRAS を構成するには、RRAS スナップインからアクセスできる [ルーティングとリモート アクセスの構成と有効化] ウィザードを使用します。
  • ISA Server をアンインストールしても、一部のファイルは、コンピュータから完全には削除されません。次の表は、残るファイルとその場所の一覧です。
フォルダ | ファイル名
%windir% | IsUninst.exe
%windir%\MUI | muisetup.exe
%windir%\System32 | DBmsLPCn.dll、PJLMON.DLL、SET14.tmp、cliconfg.rll、dbmsgnet.dll、dbmsqlgc.dll、dbmsvinn.dll、dbnetlib.dll、ds16gt.dll、mscpxl32.dll、msdart.dll、msorc32r.dll、odbc32.dll、odbc32gt.dll、odbcad32.exe、odbctrac.dll、simpdata.tlb、sqlsrv32.rll、sqlunirl.dll


ISA Server 2000 構成をアップグレードする

ISA Server 2000 構成をアップグレードするには

  1. コマンド プロンプトで、次のように入力します。

    <パス>\ISA2KExport.exe

    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. ISA Server 移行ツールの [ようこそ] ページで、[次へ] をクリックします。
  3. [ファイルの場所] ページで、ISA Server 2000 の構成情報を保存するために作成する .xml ファイルの名前と場所を入力します。次に、[次へ] をクリックします。
  4. ISA Server 2000 構成にシークレット データが含まれている場合は、[パスワードの設定] ページで、ISA Server 2004 コンピュータで .xml ファイルを解読する際に使用するパスワードを入力します。機密の構成情報を保護するために、.xml ファイルは暗号化されます。次に、[次へ] をクリックします。
  5. [既定のファイアウォール ポリシーの選択] ページで、内部ネットワークから ISA Server コンピュータへのトラフィックを許可するかどうかを選択します。次のいずれかを選択します。
    • [内部ネットワークのクライアントの ISA Server 2004 コンピュータへのアクセスを許可しない]。内部ネットワークのクライアントが、ISA Server コンピュータで実行しているサービスを要求しない場合に、このオプションを選択します。
    • [内部ネットワークのクライアントの ISA Server 2004 コンピュータへのアクセスを許可する]。内部ネットワークのクライアントが、ISA Server コンピュータで実行しているサービスを要求する場合に、このオプションを選択します。
    次に、[次へ] をクリックします。
  6. [移行ファイルの作成] ページで、[作成] をクリックします。ステータス バーに移行処理の完了が表示されたら、[次へ] をクリックします。
  7. [完了] をクリックして、ウィザードを閉じます。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • ISA Server 2004 のインポート機能を使用すると、生成された .xml ファイルをインポートできます。手順については、「構成をインポートする」を参照してください。

関連項目


展開シナリオ : ISA Server を開始する

Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールしたら、ビジネスのセキュリティ ポリシーに従って、構成の設定を適用する必要があります。ISA Server は、さまざまなシナリオで展開できます。ここでは、単純なシナリオとして、企業ネットワーク上のクライアントに無制限のインターネット アクセスを許可するケースを紹介します。

次の操作を行います。

  1. ISA Server をインストールします。インストールの際は、企業ネットワーク内のすべての IP アドレスが含まれるように内部ネットワークを構成します。詳細については、「インストール プロセス」を参照してください。
  2. ファイアウォール クライアント ソフトウェアを展開します。このシナリオでは、Web サイトへのアクセスを許可することに焦点を当てていますが、ファイアウォール クライアント ソフトウェアを展開することにより、数多くのセキュリティ上の利点が生じます。詳細については、「クライアント要件の評価」を参照してください。
  3. 独自の ISA Server ネットワーク構成を適用します。ISA Server には、いくつかのネットワーク テンプレートがあらかじめ定義されています。実際のネットワークに最も即したネットワーク テンプレートを選択します。このシナリオでは、企業ネットワーク上のすべてのユーザーにインターネットへのアクセスを許可するため、エッジ ファイアウォール ネットワーク テンプレートを選択してから、[制限なしインターネット アクセス] ファイアウォール ポリシーを選択します。ネットワーク テンプレートの構成手順については、「ネットワーク テンプレート」を参照してください。
  4. ISA Server での Web コンテンツのキャッシュ方法を定義します。企業ネットワークに接続するクライアントは、よく似た Web サイトにアクセスする傾向があるため、キャッシュ ポリシーを実装して、ネットワーク パフォーマンスを高めます。詳細については、「キャッシュの概要」を参照してください。
  5. クライアントがリモート アクセスを必要とする場合は、VPN アクセスを構成します。詳細については、「リモート VPN クライアント アクセス」を参照してください。

一般的な展開シナリオの詳細については、ISA Server Web サイト (http://www.microsoft.com/) にあるドキュメントを参照してください。


インストールのトラブルシューティング

インストール後、Microsoft ファイアウォール サービスを開始できません。

原因 : このエラーは、ISA Server が ISA Server コンピュータの名前を解決できない場合に発生します。次のエラー メッセージが表示されます。

アプリケーション フィルタ Web プロキシ フィルタ ({4CB7513E-220E-4C20-815A-B67BAA295FF4}) を読み込めません。
FilterInit がコード 0x80072afc で失敗しました。
このアプリケーション フィルタをもう一度アクティブにするには、Firewall サービスを停止して再起動してください。

解決方法 : ISA Server コンピュータの名前を解決できるように DNS サーバーを構成します。

インストール時に、"内部ネットワークは、ISA Server コンピュータの IP アドレスを少なくとも 1 つ含まなければなりません" というエラー メッセージが表示されます。

原因 : ISA Server のインストールでは、名前解決を使用して、内部ネットワークの構成に必要なローカル IP アドレスが特定されます。しかし、HOSTS ファイル内の行にも、この情報が含まれています。

解決方法 : %windir%\system32\drivers\etc\hosts フォルダにある HOSTS ファイルを確認します。IP ISA_Server_Name 行を削除します。

インストールが正常に終了しませんでした。

原因 : さまざまな理由により、インストールが正常に終了しない場合があります。セットアップ ログを参照し、考えられる原因を確認してください。

解決方法 : ISA Server のインストールを開始するたびに、3 つのセットアップ ログが作成されます。これらのファイルは、%windir%\%temp% フォルダ内に isa*.log という名前で作成されます。


セキュリティと管理

Microsoft Internet Security and Acceleration (ISA) Server 2004 はネットワークのエッジに展開できるため、ISA Server を実行するコンピュータを完全にセキュリティで保護することが重要になります。

ISA Server は、機微な役割上、アクセス許可の割り当てや管理は慎重に行う必要があります。定期的に構成のバックアップを実行してください。複数の ISA Server コンピュータを展開する場合は、より多くの構成プロセスを自動的に実行できるよう、構成をエクスポートすることを検討してください。

ここでは、セキュリティと管理に関する考慮事項を示すと共に、ISA Server をセキュリティで保護し、管理する手順について説明します。

  • セキュリティと管理 : 概念
  • セキュリティと管理 : 操作方法


セキュリティと管理 : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の管理およびセキュリティ保護について基本的な情報を提供します。

  • セキュリティのヒント集
  • ロックダウン モード
  • ISA Server コンソール
  • エクスポートとインポート
  • バックアップと復元
  • 管理ロール
  • リモート管理
  • エラー報告とフィードバック


セキュリティのヒント集

多くの場合、ISA Server 2004 を実行しているコンピュータは外部ネットワークへの主インターフェイスとなるので、セキュリティで保護することをお勧めします。ここに記載された情報の他に、ISA Server の Web サイトで『セキュリティのヒント集』(http://www.microsoft.com/) を参照することもできます。このドキュメントは、定期的に新しい情報に更新されます。

次の運用方法に従ってください。

  • 次の項目について、重要な更新をインストールします。
    • オペレーティング システム
    • ISA Server (ISA Server の Web サイト (http://www.microsoft.com/) で最新の更新を入手できます)
    • ISA Server によってインストールされた追加コンポーネント (MSDE および OWC)
  • ISA Server コンピュータは必ず、物理的に安全な場所に格納します。サーバーへの物理アクセスは、セキュリティ上の大きなリスクです。侵入者によるサーバーへの物理アクセスによって、許可されていないアクセスや変更、およびセキュリティをかいくぐることを目的としたハードウェアやソフトウェアのインストールが行われるおそれがあります。セキュリティで保護された環境を確保するには、ISA Server コンピュータへの物理アクセスを制限する必要があります。
  • "最小限の特権" の原則を適用し、特定の作業の実行に必要な最小限の特権のみをユーザーに与えます。このようにすることで、ユーザー アカウントが漏えいしても、そのユーザーが保有している特権が限られているので、影響は最小限に抑えられます。管理者は、通常の非管理作業を実行する場合にはアクセス許可が制限されたアカウントを使用し、広範なアクセス許可を持つアカウントを使用するのは特定の管理作業を実行する場合のみにする必要があります。ISA Server の管理ロールを割り当てる際には、この点を考慮します。詳細については、「管理ロール」を参照してください。
  • ISA Server コンピュータにログオンするアクセス許可が必要なユーザーを慎重に決定します。その後、ログオンの権利を適切に構成します。詳細については、Windows ヘルプを参照してください。
  • "攻撃対象の削減" の原則を適用し、現在の作業に必要でないサービスや機能を無効にします。使用しない ISA Server の機能は無効にしてください。ネットワークの要件に適したシステム ポリシーを構成して、不要な機能を無効にします。システム ポリシーの詳細については、「システム ポリシーの概要」を参照してください。
  • ISA Server コンピュータでは不要なアプリケーションやサービスを実行しないようにします。
  • ISA Server コンピュータには DHCP をインストールしないことをお勧めします。
  • 資格情報の提示を要求された場合は、強力なパスワードを使用します。許可されていないアクセスを効果的に防御できるものが、強力なパスワードと見なされます。強力なパスワードには、ユーザーのアカウント名の全部または一部を使用しません。大文字、小文字、0 ～ 9 の数字、およびキーボードで使用されている記号 (!、@、# など) の 4 種類の文字の中から、少なくとも 3 種類を使用します。
  • レイヤ 2 の IDS や静的 MAC などのセキュリティ ソリューションまたはポートの関連付けをスイッチ上に展開して、レイヤ 2 アタックから保護します。
  • 構成変更を適用したら、それらをテストします。たとえば、ポート スキャンを使用して、適用可能なポートのみが実際に開いているかどうかを確認します。
  • 可能な場合、ネットワーク内にインターネット プロトコル セキュリティ (IPSec) を構成します。
  • ISA Server コンピュータ上に静的なアドレス解決プロトコル (ARP) エントリを構成します。

RADIUS サーバー構成に関する推奨事項

  • RADIUS サーバーを認証に使用している場合は、サーバーの状態を監視する接続検証方法を作成します。RADIUS サーバーが機能していないときに適切な操作が行われるように警告を構成します。接続検証方法の詳細については、「接続」を参照してください。
  • 信頼されていないユーザーには、RADIUS サーバーと ISA Server 間のネットワークへのアクセス権を与えないようにします。信頼されていないユーザーにアクセス権が必要な場合は、そのネットワークで IPSec を使用してください。

ログと警告に関する推奨事項

  • 定期的にログを注意深く確認して、ネットワーク リソースに対する疑わしいアクセスや使用がないかどうかを調べます。
  • 管理者に通知を送信するように警告を構成します。迅速な応答手順を実装してください。
  • ログのメンテナンス機能を有効に使用して、ログ情報が保存されているディスクがいっぱいにならないようにします。ログのメンテナンス機能の詳細については、「ログの保存形式」を参照してください。
  • ISA Server サービスを停止するように [ログの保存の制限] 警告定義を構成します。このようにすることで、アクセスを適切に監査できる場合にのみアクセスを許可します。警告の詳細については、「警告」を参照してください。
  • 最大限のセキュリティを実現するために、別個の NTFS ディスク パーティションにログを保存します。ISA Server コンピュータの管理者のみがログにアクセスできるようにしてください。
  • SQL データベースにログ情報を保存する場合は、SQL 認証ではなく Windows 認証を使用します。
  • リモート データベースにログ情報を記録する場合は、リモート データベースにコピーされるログ情報の暗号化とデータ署名を構成します。
  • 最大限のセキュリティを実現するために、ISA Server コンピュータと SQL Server 間の通信の IPSec を構成します。
  • 何らかの理由でログ情報を保存できない場合は、ISA Server コンピュータをロックダウンします。そのためには、ファイアウォール サービスを停止するログ エラー イベントの警告定義を構成します。手順については、「警告定義を追加する」を参照してください。

その他の推奨事項

さらに、ISA Server コンピュータで実行しているオペレーティング システムのセキュリティに関する推奨事項にも従う必要があります。次のドキュメントに記載されているセキュリティの運用方法を参照し、適用してください。

  • Windows Server 2003 については、Windows Server 2003 セキュリティ ガイド (http://www.microsoft.com/) を参照してください。
  • Windows 2000 Server については、Windows 2000 Server セキュリティ運用ガイド (http://www.microsoft.com/) を参照してください。


ロックダウン モード

ファイアウォールの重要な機能の 1 つにアタックへの対応機能があります。アタックが発生した場合、防御の第一線として、インターネットから切断して悪意のある部外者がアクセスしたネットワークを分離する方法があります。ただし、この方法はお勧めできません。アタックには対処できるかもしれませんが、通常のネットワーク接続機能をできるだけ早く再開し、アタックがどこから行われたのかを特定する必要があります。

ISA Server 2004 で導入されたロックダウン機能は、接続した状態を維持しながら分離するというニーズに応えます。Microsoft ファイアウォール サービスをシャットダウンするような状況が発生すると、ISA Server はロックダウン モードに入ります。これは、次の場合に起こります。

  • ファイアウォール サービスのシャットダウンをトリガするイベントが発生した場合。警告定義を構成している場合は、どのイベントによってファイアウォール サービスをシャットダウンするかを決めます。基本的には、ISA Server がロックダウン モードに入るタイミングを構成します。
  • ファイアウォール サービスが手動でシャットダウンされた場合。悪意のあるアタックに気が付いた場合、ファイアウォール サービスをシャットダウンし、ISA Server コンピュータおよびネットワークをアタックに対応するように構成することができます。

影響のある機能

ロックダウン モードになると、以下の機能が適用されます。

  • ファイアウォール パケット フィルタ エンジン (fweng) がファイアウォール ポリシーに適用されます。
  • 次のシステム ポリシー ルールは、引き続き適用可能です。
    • ISA Server から選択したサーバーまで、ICMP 要求を許可する
    • MMC を使用した、選択されたコンピュータからのリモート管理を許可する
    • ターミナル サーバーを使用した、選択されたコンピュータからのリモート管理を許可する
  • ローカル ホスト ネットワークからすべてのネットワークへの発信方向のトラフィックは許可されます。発信方向の接続が確立された場合、接続は着信方向のトラフィックへの応答に使用されます。たとえば、DNS クエリは、同じ接続上で DNS 応答を受信することができます。
  • トラフィックを明示的に許可する前述のシステム ポリシー ルールが有効でない限り、着信方向のトラフィックは許可されません。ただし、常時許可される DHCP トラフィックは例外です。つまり、すべてのネットワークからローカル ホスト ネットワークへのポート 68 上の UDP 送信プロトコルは許可されます。ポート 67 上の対応する UDP 受信プロトコルは許可されます。
  • VPN リモート アクセス クライアントは ISA Server にはアクセスできません。同様に、サイト間 VPN 構成のリモート サイト ネットワークへのアクセスも拒否されます。
  • ロックダウン モード中に行われたネットワーク構成への変更は、ファイアウォール サービスが再起動され、ISA Server のロックダウン モードが終了してから適用されます。たとえば、ネットワーク セグメントを物理的に移動し、物理的な変更に合うように ISA Server を再構成した場合、新しいトポロジは、ISA Server のロックダウン モードが終了して初めて有効になります。
  • ISA Server は警告をトリガしません。

ロックダウン モードの終了

ファイアウォール サービスが再起動されると、ISA Server のロックダウン モードが終了し、前と同じように機能するようになります。ISA Server 構成への変更は、ISA Server のロックダウン モードが終了してから適用されます。


ISA Server コンソール

ISA Server の管理には、スコープ ウィンドウ、詳細ウィンドウ、および作業ウィンドウの 3 つのウィンドウがあります。

注

  • ISA Server の管理を最適に表示するためには、画面解像度を 800x600 以上に設定することをお勧めします。

スコープ ウィンドウ、詳細ウィンドウ、作業ウィンドウ

次の図は、ISA Server の管理コンソールを示しています。

ISA Server コンソール

スコープ ウィンドウには、コンソール ツリーが表示されます (図中の 1)。コンソール ツリーには、コンソールで利用可能なノードが表示されます。中央のウィンドウには詳細ウィンドウが表示されます (図中の 2)。詳細ウィンドウには、選択したコンソール ツリー項目に関する情報およびその項目に関連する機能が表示されます。コンソール ツリーで別の項目をクリックすると、詳細ウィンドウの情報が変更されます。詳細ウィンドウには、Web ページ、グラフィック、グラフ、表、列などを含むさまざまな種類の情報が表示されます。

右ウィンドウには作業ウィンドウが表示されます (図中の 3)。作業ウィンドウには、[タスク] タブと [ヘルプ] タブが含まれています。[ファイアウォール ポリシー] ノードでは、作業ウィンドウに [ツールボックス] タブが追加されます。[ネットワーク] ノードでは、作業ウィンドウに [テンプレート] タブが追加されます。

作業ウィンドウは閉じることができます。分割バー (図中の 4) で、[作業ウィンドウを開くまたは閉じる] ボタン (右矢印が付いた縦長の四角形) をクリックします。作業ウィンドウを再び開くには、[作業ウィンドウを開くまたは閉じる] ボタン (左矢印が付いた縦長の四角形) をもう一度クリックします。作業ウィンドウを閉じると詳細ウィンドウにより多くの情報が表示されますが、作業ウィンドウからしか実行できないタスクもあるので注意してください。さらに、作業ウィンドウを閉じると、作業ウィンドウのリンクを使用するほとんどのタスクの実行方法について説明する [ヘルプ] タブを利用できなくなります。

コンソール ツリーの各ノードには、ユーザーがタスクを実行する際に役立つ独自のメニューとツール バーが、メイン ウィンドウのものとは別に用意されています。

変更の適用バー

オブジェクトを作成または構成すると、詳細ウィンドウの上に変更の適用バーが表示されます。変更内容を確認してから、それらの変更を適用または破棄することができます。変更を適用するには、変更の適用バーの [適用] ボタンをクリックします。変更を破棄するには、変更の適用バーの [破棄] ボタンをクリックします。

ツールボックス

[ツールボックス] タブは、[ファイアウォール ポリシー] ノードでのみ表示されます。ここには、ファイアウォール ポリシー ルールで使用可能なルール要素、つまりプロトコル定義、ユーザー、コンテンツの種類、スケジュール、およびネットワーク オブジェクトが一覧表示されます。

ドラッグ アンド ドロップ編集

ファイアウォール ポリシーの詳細ウィンドウでは、特定のルールのプロパティ シートを開いてルールを編集することができます。あるいは、[ツールボックス] からファイアウォール ポリシーの詳細ウィンドウに表示されているルールに該当するルール要素をドラッグし、そこでルールを変更することもできます。


エクスポートとインポート

ISA Server 2004 には、エクスポートおよびインポート機能があり、ほとんどのアレイ構成情報を保存および復元できます。構成パラメータは、ローカルの .xml ファイルにエクスポートおよび保存できます。構成は、任意のディレクトリに任意のファイル名で保存できます。

最大限のセキュリティを実現するために、バックアップ ファイルは NTFS ディスク パーティションに保存することをお勧めします。ISA Server コンピュータの管理者だけが、ディレクトリの読み取りアクセス許可を持つようにしてください。

構成のエクスポート

それぞれのニーズに応じて、ISA Server の構成全体をエクスポートすることも、一部のみをエクスポートすることもできます。エクスポートできるオブジェクトは次のとおりです。

  • ISA Server の構成全体
  • すべての接続検証方法、または選択した 1 つの接続検証方法
  • すべてのネットワーク、または選択した 1 つのネットワーク
  • すべてのネットワーク セット、または選択した 1 つのネットワーク セット
  • すべてのネットワーク ルール、または選択した 1 つのネットワーク ルール
  • すべての Web チェーン ルール、または選択した 1 つの Web チェーン ルール
  • キャッシュの構成
  • すべてのコンテンツ ダウンロード ジョブ、または選択したコンテンツ ダウンロード ジョブ (複数可)
  • ファイアウォール ポリシー全体、または選択した 1 つのルール

ファイアウォール ポリシーのエクスポートでは、システム ポリシー ルールはエクスポートされません。システム ポリシーをエクスポートするには、[システム ポリシーのエクスポート] タスクを選択します。

構成全体をエクスポートすると、全般的な構成情報がすべてエクスポートされます。これには、アクセス ルール、公開ルール、ルールの要素、警告構成、キャッシュ構成、および ISA Server のプロパティが含まれます。また、ユーザーのアクセス許可設定や、ユーザー パスワードなどの機密情報をエクスポートするように指定することもできます。エクスポート ファイルに含まれる機密情報は、暗号化されます。機密情報には、ユーザーの資格情報のパスワード (SQL サーバーへのログに使用するものなど)、RADIUS 共有シークレット、事前共有 IPSec キーなどが含まれます。

ユーザーのアクセス許可設定をエクスポートすることもできます。通常、同じ企業ネットワーク内で構成情報を複製する場合に、これらの設定をエクスポートします。

構成をバックアップすると、ユーザーのアクセス許可設定と機密情報の両方がバックアップされます。

特定のオブジェクトをエクスポートするように指定した場合は、次のものがエクスポートされます。

  • 指定したオブジェクトとすべてのプロパティ値
  • 指定したオブジェクトと、その階層内のすべての下位オブジェクト
  • すべての参照オブジェクト (指定したオブジェクトと異なるオブジェクト階層のものも含む)

手順については、「構成をエクスポートする」および「構成の一部をエクスポートする」を参照してください。

構成をエクスポートする理由

エクスポート機能は、次のようなさまざまな状況で役立ちます。

  • サーバーの複製。1 台の ISA Server コンピュータの構成を別のコンピュータにエクスポートできるため、サーバーの設定を容易に複製することができます。たとえば、ある支社で 1 台の ISA Server コンピュータを構成し、その構成を .xml ファイルにエクスポートします。その後、そのファイルを別の支社の別のコンピュータにインポートすることができます。
  • 構成の一部の保存。エクスポートは、1 つのルールのみ、ポリシー全体、または構成全体を対象とすることができます。そのため、監視の構成を除くすべてのファイアウォール ポリシー ルールを別の ISA Server コンピュータにコピーする場合などに便利です。
  • トラブルシューティングのための構成の送信。構成情報をファイルにエクスポートしてサポート担当者に送信し、分析およびトラブルシューティングに使用することができます。

構成のインポート

インポート プロセスでは、エクスポートした .xml ファイルに保存された構成が、指定の場所にコピーされます。このファイルには、キャッシュ ドライブや SSL 証明書などのサーバー固有の構成情報が含まれます。ユーザー パスワードなどの機密情報がファイルにエクスポートされている場合は、セキュリティで保護された情報を開いて解読するために、パスワードが要求されます。このパスワードは、ファイルをエクスポートしたときに設定したものです。

構成全体をエクスポートすると、証明書の設定もエクスポートされます。ただし、証明書が異なる ISA Server コンピュータに構成をインポートすると、Microsoft ファイアウォール サービスを開始することができず、イベント メッセージがログに記録されます。

機密情報を含むファイルをインポートする際、この情報を開いて解読するためのパスワードが要求される場合があります。このパスワードは、エクスポート プロセスでファイルを作成したときに指定されたパスワードです。

インポート機能は、コンピュータ間で構成を複製する場合に使用できます。たとえば、本社にある 1 台の ISA Server コンピュータにポリシーを作成します。その後、その構成をエクスポートし、さまざまな支社にある ISA Server コンピュータに構成情報をインポートすることができます。

この機能は、構成を変更した後、構成ファイルを再び同じコンピュータに複製する場合にも便利です。情報を再びインポートすると、以前のファイルによって作成されたこれまでの構成が消去され、新しい構成情報のみが保持されます。

たとえば、企業内の ISA Server コンピュータに 2 つのアクセス ルールを構成したとします。そのポリシーを支社にエクスポートします。しかし、その後で本社の構成を変更し、1 つのルールのみを有効にします。この構成を支社にインポートすると、元の 2 つのルールは消去され、新しい構成のみが適用されます。

注意

  • あるコンピュータからエクスポートしたファイルを再び同じコンピュータにインポートすると、以前に定義されていたルールの要素、ポリシー ルール、公開ルール、警告構成、キャッシュ構成、および ISA Server のプロパティは、インポートするファイルにもオブジェクトが存在する場合、上書きされます。これは、インポートを起動したレベルとその下位レベルに適用されます。

構成ファイルは、適切なノードでインポートする必要があります。たとえば、ルールをエクスポートした場合は、ファイアウォール ポリシー ノードで構成ファイルをインポートするか、別のルールを選択してインポートする必要があります。

構成の手順については、「構成をインポートする」を参照してください。


バックアップと復元

ISA Server 2004 にはバックアップおよび復元機能があり、ほとんどの構成情報を保存および復元できます。構成パラメータは、ローカルの .xml ファイルにバックアップおよび保存できます。構成は、任意のディレクトリに任意のファイル名で保存できます。

最大限のセキュリティを実現するために、バックアップ ファイルは NTFS ディスク パーティションに保存することをお勧めします。さらに、ISA Server コンピュータの管理者だけが、ディレクトリの読み取りアクセス許可を持つようにしてください。

構成のバックアップ

ISA Server は、サーバーの全般的な構成情報をバックアップします。これには、ファイアウォール ポリシー ルール、ルールの要素、警告構成、キャッシュ構成、VPN 構成などが含まれます。

以下のような大きな変更を加えた後は、構成をバックアップすることをお勧めします。

  • キャッシュのサイズまたは場所の変更
  • ファイアウォール ポリシーの変更
  • ルール ベースの変更
  • システム ルールの変更
  • ネットワーク定義またはネットワーク ルールの変更など、ネットワークの変更
  • 管理者権限の委任または委任の解除

手順については、「構成をバックアップする」を参照してください。

構成の復元

復元プロセスにより、ほとんどの構成情報が再構築されます。

手順については、「構成を復元する」を参照してください。

構成をバックアップする理由

ISA Server では、主として障害回復のためにバックアップおよび復元機能を使用します。障害発生時にコンピュータを確実に復元するためには、ISA Server コンピュータを定期的にバックアップする必要があります。バックアップ機能では、まったく同じ構成を復元できるように、適切な情報が保存されます。

ISA Server のインポートおよびエクスポート機能は、バックアップおよび復元機能に似ています。ただし、インポートとエクスポートの第一の目的は、ある ISA Server コンピュータから別の ISA Server コンピュータに構成をコピー (複製) することです。

エクスポートとインポートの詳細については、「エクスポートとインポート」を参照してください。


管理ロール

ロールベースの管理を使用すると、ISA Server の管理者を、一連の固有のタスクが割り当てられた定義済みのロールに編成することができます。ロールをユーザーに割り当てるときは、基本的に、そのユーザーに特定のタスクを実行するためのアクセス許可を与えます。ISA Server 管理者 (完全) などのロールが割り当てられているユーザーが実行できる ISA Server のタスクを、ISA Server の基本監視機能などの別のロールが割り当てられているユーザーが実行することはできません。ロールベースの管理には、Windows のユーザーおよびグループを使用します。これらのセキュリティのアクセス許可、グループ メンバシップ、およびユーザー権利は、どのユーザーにどのロールが割り当てられているのかを識別するために使用されます。次の表は、ISA Server ロールとその説明です。

ロール | 説明
ISA Server の基本監視機能 | このロールが割り当てられたユーザーとグループは、ISA Server コンピュータとネットワークの動作状況を監視できますが、特定の監視機能を構成することはできません。
ISA Server の拡張監視機能 | このロールが割り当てられたユーザーとグループは、ログの構成、警告定義の構成、および ISA Server の基本監視機能のロールで使用できるすべての監視機能を含む、すべての監視タスクを実行できます。
ISA Server 管理者 (完全) | このロールが割り当てられたユーザーとグループは、ルールの構成、ネットワーク テンプレートの適用、および監視を含むあらゆる ISA Server のタスクを実行できます。

注 :

  • "拡張監視" アクセス許可を持つ管理者は、機密の構成情報をエクスポートおよびインポートできます。つまり、"拡張監視" アクセス許可を持つ管理者は、機密情報を解読できるということです。

ロールと動作

各 ISA Server のロールには、特定の ISA Server タスクが関連付けられています。次の表は、ISA Serve の管理タスクの一部と、それらを実行できるロールを示しています。

動作 | ISA Server の基本監視機能 | ISA Server の拡張監視機能 | ISA Server 管理者 (完全)
ダッシュボード、警告、接続、セッション、サービスの表示 | X | X | X
警告の受信確認 | X | X | X
ログ情報の表示 |  | X | X
警告の定義の作成 |  | X | X
レポートの作成 |  | X | X
セッションとサービスの停止および開始 |  | X | X
ファイアウォール ポリシーの表示 |  | X | X
ファイアウォール ポリシーの構成 |  |  | X
キャッシュの構成 |  |  | X
VPN の構成 |  |  | X

ロールを割り当てる手順については、「管理ロールを割り当てる」を参照してください。


リモート管理

ISA Server 2004 では、ISA Server コンピュータを他のコンピュータから管理できます。リモート デスクトップ接続を実行しているコンピュータ、または Microsoft 管理コンソール (MMC) がインストールされているリモート コンピュータから、ISA Server のすべての管理作業を実行できます。

通常、ISA Server コンピュータは、事務所のある場所の近くではなく、他の社内サーバーの中心に配置されます。ISA Server コンピュータと同じネットワーク上にある別のコンピュータから ISA Server を管理する場合もあれば、ホーム コンピュータから ISA Server を管理する場合もあります。ネットワークをセキュリティで保護するために ISA Server を使用しているクライアントにコンサルティング サービスを提供したり、ISA Server コンピュータを管理または監視する必要も生じます。リモート管理を使用すると、これらのすべてのケースで ISA Server を管理することが可能になります。

ISA Server をインストールすると、既定のシステム ポリシーにより、リモート管理コンピュータのすべてのメンバーからリモート管理を行えるようになります。リモート管理を構成するには、システム ポリシー エディタで、適切な MMC またはターミナル サーバー構成グループを編集します。特定のネットワーク オブジェクトに適用されるように、システム ポリシー構成グループを構成できます。たとえば、内部ネットワークのすべてのコンピュータではなく、特定のリモート管理コンピュータの IP アドレスにのみシステム ポリシー ルールを適用できます。

既定のシステム ポリシーではリモート管理が許可されていますが、ISA Server のリモート管理を許可されているすべてのコンピュータの IP アドレスを含めるように、"リモート管理コンピュータ" のコンピュータ セットを構成する必要があります。

リモート デスクトップ接続を使用したリモート管理

ターミナル サービスを実行していれば、どのコンピュータからでも ISA Server コンピュータに接続できます。ターミナル サーバーを使用して ISA Server コンピュータに接続する方法にはいくつかの利点があります。ターミナル サーバーを使用すると、ISA Server コンピュータに接続されたモニタを見ているかのように、ISA Server コンピュータのデスクトップを表示できます。この場合、画面表示の更新処理は ISA Server コンピュータによって行われ、モニタ上の画像を構成する情報のみがリモート コンピュータに転送されるので、リフレッシュ レートがより高速になります。

ターミナル サービス クライアントを使用して ISA Server をリモート管理するには、[リモート管理] の [ターミナル サーバー] システム ポリシー構成グループを有効にする必要があります。さらに、次の点を確認してください。

  • Windows Server 2003 の場合、ISA Server コンピュータで Remote Desktop Users グループのメンバーに設定されている必要があります。手順については、Windows ヘルプを参照してください。
  • Windows 2000 ターミナル サービスで、リモート接続を許可するようにユーザー プロパティが構成されている必要があります。

注 :

  • ISA Server コンピュータのリモート管理にターミナル サービスを使用する場合、既定の RDP ポート (3389) を使用する必要があります。

MMC を使用したリモート管理

ISA Server をインストールする際、カスタム インストールを実行して、ISA Server の管理のみをインストールできます。インストール手順については、「ISA Server の管理をインストールする」を参照してください。

ISA Server の管理を実行すると、ISA Server がインストールされたコンピュータに接続できるようになります。手順については、「ISA Server コンピュータに接続する」を参照してください。

ISA Server の管理を使用したリモート管理にはいくつかの利点があります。ISA Server の管理を使用すると、多数の ISA Server コンピュータに接続し、それらのコンピュータの情報を一度に表示できます。さまざまな場所に分散している複数の ISA Server コンピュータを一元管理したり、ISA Server を実行している複数の企業にコンサルティングを行う場合などに、この機能が役立ちます。

ISA Server の管理を使用して ISA Server コンピュータをリモート管理するには、システム ポリシー エディタで、[リモート管理] の [Microsoft 管理コンソール] 構成グループを有効にする必要があります。

さらに、ISA Server コンピュータから接続する場合は、Firewall 制御プロトコルを使用してローカル ホスト ネットワークから管理対象の ISA Server コンピュータにアクセスできるようにするアクセス ルールを追加する必要があります。手順については、「アクセス ルールを作成する」を参照してください。

既定では、ISA Server のインストール時に作成されるビルトイン リモート管理コンピュータのコンピュータ セットにルールが適用されます。リモートで ISA Server を管理するすべてのコンピュータを、この空のコンピュータ セットに追加してください。これを実行するまでは、どのコンピュータからもリモート管理を利用できません。

注 :

  • リモート管理を許可するシステム ポリシー ルールを有効にすると、ローカル ホスト ネットワークへの RPC トラフィックが許可されます。ただし、既定では、DCOM トラフィックはブロックされます。DCOM トラフィックを許可する場合は、リモート管理システム ポリシー ルールを無効にします。代わりに、RPC トラフィックに適用するルールを作成します。該当するルールに対して RPC トラフィックを構成し、[厳密な RPC 互換性を適用] を無効にします。

リモート監視

ISA Server をインストールすると、すべてのリモート監視およびリモート ログ (SMTP 以外) が既定により無効になります。適切なシステム ポリシー構成グループを有効にすることができます。

  • リモート ログ (NetBios)
  • リモート ログ (SQL)
  • リモート パフォーマンス モニタ
  • Microsoft Operations Manager
  • SMTP (既定で有効)

有効にした後、MOM サーバーから MOM エージェントを自動的にインストールするには、次の操作を行います。

  1. リモート管理コンピュータのコンピュータ セットに MOM サーバーを追加します。
  2. リモート パフォーマンス モニタのシステム ポリシー構成グループを有効にします。


エラー報告とフィードバック

ISA Server 2004 には、Microsoft エラー報告が導入されています。この機能を使用すると、ISA Server の実行中に発生したエラーに関する情報を Microsoft に送信できます。

ISA Server コンピュータに Local Administrator としてログオンしていると、[Microsoft エラー レポート] というダイアログ ボックスが表示されることがあります。このダイアログ ボックスには、ISA Server などの Windows アプリケーションの使用時に発生したエラーが表示されます。ISA Server のエラー報告を Microsoft に送信すると、製品チームに技術的な情報が伝達されるため、特定の問題の追跡や対処に役立ちます。エラー報告のデータは、品質管理の目的にのみ使用されます。マーケティングの目的で、個々のユーザーやインストールを追跡するために使用されることはありません。ISA Server のエラー報告は、次の方法で送信できます。

  • HTTPS を使用して、インターネットを通じて直接 Microsoft に送信する。これには、[Microsoft エラー レポート] ダイアログ ボックスの [報告を今すぐ送信する] をクリックします。ISA Server では、既定で、ローカル ホスト ネットワークから Microsoft のエラー報告サイトに HTTP または HTTPS トラフィックを送信できるシステム ポリシー ルールが有効になっています。システム ポリシーの詳細については、「システム ポリシーの概要」を参照してください。
  • 企業内エラー報告ツールを使用する。グループ ポリシーが構成されている組織では、管理者が企業内エラー報告ツールを使用してエラーを収集し、必要なものを Microsoft に報告することができます。これを有効にすると、企業内エラー報告ツールがインストールされているサーバーに、エラーが自動的にリダイレクトされます。

ドキュメントのフィードバック

このほか、ISA Server のオンライン ヘルプでは、ドキュメントにコンテンツの評価システムが組み込まれています。ユーザーは各ページを評価して、ISA Server のドキュメント チームにコメントを送信することができます。ISA Server ドキュメント チームでは、ドキュメントに関するご意見ご感想をお待ちしています。

内部ネットワークの SMTP サーバーを使用して ISA Server コンピュータから電子メール メッセージを送信する場合は、ローカル ホスト ネットワークが SMTP プロトコルを使用して内部ネットワークにアクセスできるようにするためのシステム ポリシー ルールを有効にする必要があります。[システム ポリシー エディタ] の [リモート監視] 構成グループで [SMTP] を選択し、[有効にする] をクリックします。"ISA Server から信頼されたサーバーへの SMTP を許可する" ルールが有効になります。


セキュリティと管理 : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の管理およびセキュリティ保護の手順について説明します。

  • 作業ウィンドウを表示する
  • 構成をエクスポートする
  • 構成の一部をエクスポートする
  • 構成をインポートする
  • ISA Server コンピュータに接続する
  • ISA Server コンピュータから切断する
  • 構成をバックアップする
  • 構成を復元する
  • ISA Server の名前を変更する
  • ISA Server コンピュータの詳細を表示する
  • 管理ロールを割り当てる


作業ウィンドウを表示する

作業ウィンドウを表示するには

  1. ISA Server の管理の [表示] メニューで、[作業ウィンドウ] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


構成をエクスポートする

構成をエクスポートするには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server コンピュータ名をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
  2. [タスク] タブで、[ISA Server 構成のファイルへのエクスポート] をクリックします。
  3. [保存する場所] に、エクスポート ファイルを保存するフォルダを指定します。
  4. [ファイル名] に、エクスポートするファイルの名前を入力します。
  5. ユーザー パスワードや証明書などの機密情報をエクスポートするには、[機密情報を暗号化してエクスポートする] をクリックします。この情報は、エクスポート時に暗号化されます。
  6. ユーザーのアクセス許可をエクスポートするには、[ユーザー アクセス許可設定をエクスポートする] をクリックします。
  7. [エクスポート] をクリックします。
  8. 機密情報をエクスポートするように指定した場合は、インポート時に情報の解読に使用するパスワードを指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ファイアウォール ポリシーのエクスポートでは、システム ポリシー ルールはエクスポートされません。システム ポリシーをエクスポートするには、[システム ポリシーのエクスポート] タスクを選択します。
  • 暗号化された情報が適切に保護されるよう、強力なパスワードを指定します。許可されていないアクセスを効果的に防御できるものが、強力なパスワードと見なされます。強力なパスワードには、ユーザーのアカウント名の全部または一部を使用しません。大文字、小文字、0 ～ 9 の数字、およびキーボードで使用されている記号 (!、@、# など) の 4 種類の文字の中から、少なくとも 3 種類を使用します。

関連項目


構成の一部をエクスポートする

構成の一部をエクスポートするには

  1. [ISA Server の管理] のコンソール ツリーで、該当するオブジェクトをクリックします。たとえば、ルールをエクスポートする場合は、次の操作を行います。
    1. [ファイアウォール ポリシー] をクリックします。

      場所 :

      • Microsoft ISA Server 2004
      • <サーバー名>
      • <ファイアウォール ポリシー>
    2. 詳細ウィンドウで、目的のルールを右クリックし、[選択項目をエクスポート] をクリックします。
  2. [ファイル名] に、エクスポートするファイルの名前を入力します。
  3. ユーザー パスワードや証明書などの機密情報をエクスポートするには、[機密情報を暗号化してエクスポートする] をクリックします。この情報は、エクスポート時に暗号化されます。
  4. ユーザーのアクセス許可をエクスポートするには、[ユーザー アクセス許可設定をエクスポートする] をクリックします。
  5. [エクスポート] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • パスワードを指定する必要があるのは、機密情報をエクスポートするときのみです。
  • 暗号化された情報が適切に保護されるよう、強力なパスワードを指定します。許可されていないアクセスを効果的に防御できるものが、強力なパスワードと見なされます。強力なパスワードには、ユーザーのアカウント名の全部または一部を使用しません。大文字、小文字、0 ～ 9 の数字、およびキーボードで使用されている記号 (!、@、# など) の 4 種類の文字の中から、少なくとも 3 種類を使用します。

関連項目


構成をインポートする

構成をインポートするには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server コンピュータ名をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
  2. [タスク] タブで、[エクスポートした ISA Server 構成ファイルのインポート] をクリックします。
  3. [検索] で、インポートするファイルが格納されているフォルダを検索します。
  4. [ファイル名] に、インポートする .xml ファイルのファイル名を指定します。
  5. ユーザーのアクセス許可をインポートするには、[ユーザー アクセス許可設定をインポートする] をクリックします。このオプションは、ユーザーのアクセス許可がエクスポートされている場合のみ使用できます。
  6. キャッシュ ドライブ設定などのサーバー固有の詳細情報をインポートするには、[キャッシュ ドライブの設定と SSL 証明書をインポートする] をクリックします。このオプションは、この情報がエクスポートされている場合のみ使用できます。
  7. ファイルと共に機密情報がエクスポートされている場合は、機密情報の解読に必要なパスワードを指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 構成ファイルは、そのファイルが作成されたノードと同じノードでインポートする必要があります。たとえば、.xml ファイルが特定のルールに関して作成されている場合、このファイルのインポートはファイアウォール ポリシー ノードで行う必要があります。

関連項目


ISA Server コンピュータに接続する

ISA Server コンピュータに接続するには

  1. [ISA Server の管理] のコンソール ツリーで、[Microsoft Internet Security and Acceleration Server 2004] をクリックします。
  2. [タスク] タブで、[ローカルまたはリモート ISA Server への接続] をクリックします。
  3. [接続] で、[別のコンピュータ (リモート管理)] をクリックし、管理するコンピュータの名前を入力します。
  4. 次のオプションのいずれかを選択します。
    • [ログオンしているユーザーの資格情報を使って接続する]。現在ログオンしているユーザーの資格情報を使用して、リモート ISA Server コンピュータを管理します。
    • [他のユーザー資格情報を使用して接続する]。ISA Server コンピュータをリモート管理する別のユーザーの名前を指定します。次に、リモート管理するユーザーのユーザー名、パスワード、およびドメインを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンピュータ名は、<コンピュータ名> または IP アドレスを使用して指定できます。
  • ISA Server の管理を使用して ISA Server コンピュータをリモート管理するには、システム ポリシー エディタで、[リモート管理] の [Microsoft 管理コンソール] 構成グループを有効にする必要があります。
  • さらに、ISA Server コンピュータから接続する場合は、Firewall 制御プロトコルを使用してローカル ホスト ネットワークから管理対象の ISA Server コンピュータにアクセスできるようにするアクセス ルールを追加する必要があります。
  • ドメイン ユーザーの資格情報を入力するときは、europe\DonH などのドメイン フィールドを指定してください。
  • Windows 2000 を実行しているコンピュータでローカル ユーザーの資格情報を入力する場合は、ドメイン名を指定しないでください。
  • ドメイン内のコンピュータから、ワークグループに属する ISA Server コンピュータへの接続を管理する場合は、ISA Server コンピュータの名前としてドメイン名を指定します。

関連項目


ISA Server コンピュータから切断する

ISA Server コンピュータから切断するには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server コンピュータ名をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
  2. [タスク] タブで、[選択したサーバーを管理コンソールから切断] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


構成をバックアップする

構成をバックアップするには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server コンピュータ名をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
  2. [タスク] タブで、[この ISA Server 構成のバックアップ] をクリックします。
  3. [保存する場所] に、エクスポート ファイルを保存するフォルダを指定します。
  4. [ファイル名] にエクスポート ファイルの名前を入力し、[バックアップ] をクリックします。
  5. [パスワード] および [パスワードの確認入力] に、機密情報を開いて解読するために必要なパスワードを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


構成を復元する

構成を復元するには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server 構成の管理に使用されている名前を右クリックし、[復元] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
  2. [タスク] タブで、[この ISA Server 構成の復元] をクリックします。
  3. [検索] に、バックアップ ファイルが保存されているフォルダを指定します。
  4. [ファイル名] に、バックアップ ファイルの名前を入力し、[復元] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ISA Server の名前を変更する

ISA Server の名前を変更するには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server 構成の管理に使用されている名前を右クリックし、[プロパティ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
  2. [全般] タブの [名前] に、ISA Server 構成の管理に使用する名前を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この構成変更を保存するには、[適用] ボタンをクリックする必要があります。
  • ISA Server の名前を変更する場合、変更されるのは、コンピュータの名前ではなく、ISA Server 構成の管理に使用する名前だけです。


ISA Server コンピュータの詳細を表示する

ISA Server コンピュータの詳細を表示するには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server コンピュータ名をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ISA Server コンピュータの詳細の表示] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。


管理ロールを割り当てる

管理ロールを割り当てるには

  1. [ISA Server の管理] のコンソール ツリーで、ISA Server コンピュータ名をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
  2. [タスク] タブで、[管理ロールの定義] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


クライアント

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ファイアウォール クライアント、SecureNAT クライアント、および Web プロキシ クライアントという複数の種類のクライアントをサポートしています。ここでは、ISA Server がサポートしているクライアントについて、およびそれらのクライアントを構成する手順について説明します。

  • クライアント : 概念
  • クライアント : 操作方法
  • ファイアウォール クライアントのトラブルシューティング


クライアント : 概念

ここでは、Internet Security and Acceleration (ISA) Server 2004 のクライアントについて説明します。

  • クライアントの概要
  • クライアント要件の評価
  • ファイアウォール クライアント
  • SecureNAT クライアント
  • Web プロキシ クライアント
  • 自動検出


クライアントの概要

ISA Server は、さまざまな通信レイヤを使用して企業ネットワークを保護します。パケット レイヤでは、ISA Server はファイアウォール ポリシーを実装しています。このようにして、ISA Server は、リソースに到達する前のトラフィックを評価しながら、ネットワーク インターフェイス上のデータを制御します。データは、Microsoft ファイアウォール サービスによってルールが適用され、要求を処理するかどうかが決定された後のみ、通過が許可されます。

ISA Server のアーキテクチャ

図に示すように、ISA Server は、ファイアウォール クライアント、SecureNAT クライアント、Web プロキシ クライアントの 3 種類のクライアントを保護します。

ファイアウォール クライアント。ファイアウォール クライアント ソフトウェアがインストールされ、有効になっているコンピュータです。ファイアウォール クライアントからの要求は、ISA Server コンピュータ上のファイアウォール サービスに送信され、アクセスを許可するかどうかが決定されます。その後、要求は、アプリケーション フィルタや他のアドインによってフィルタ処理されます。ファイアウォール サービスは、要求されたオブジェクトをキャッシュしたり、ISA Server キャッシュからオブジェクトを提供することもできます。

SecureNAT クライアント。ファイアウォール クライアント ソフトウェアがインストールされていないコンピュータです。SecureNAT クライアントからの要求は、まず、ネットワーク アドレス変換 (NAT) ドライバに送信され、そこで SecureNAT クライアントの内部 IP アドレスがインターネット上で有効なグローバル IP アドレスに置換されます。次に、クライアント要求はファイアウォール サービスに転送され、アクセスを許可するかどうかが決定されます。最後に、要求は、アプリケーション フィルタや他の拡張機能によってフィルタ処理されます。ファイウォール サービスは、要求されたオブジェクトをキャッシュしたり、ISA Server キャッシュからオブジェクトを配信することもできます。

Web プロキシ クライアント。CERN 互換の Web アプリケーションです。Web プロキシ クライアントからの要求は、ISA Server コンピュータ上のファイアウォール サービスに送信され、アクセスを許可するかどうかが決定されます。ファイアウォール サービスは、要求されたオブジェクトをキャッシュしたり、ISA Server キャッシュからオブジェクトを提供することもできます。

クライアントの種類にかかわらず、ISA Server が HTTP 要求を受信した場合、そのクライアントは Web プロキシ クライアントとして処理されます。ファイアウォール クライアントや SecureNAT クライアントが HTTP 要求を送信した場合も、そのクライアントは Web プロキシ クライアントと見なされます。これは、クライアントの認証方法に特殊な意味を持ちます。

ファイアウォール クライアント コンピュータおよび SecureNAT クライアント コンピュータは、どちらも Web プロキシ クライアントになることができます。コンピュータ上の Web アプリケーションが ISA Server を使用するように明示的に構成されている場合は、HTTP、FTP、および Secure HTTP (HTTPS) を含むすべての Web 要求がファイアウォール サービスに直接送信されます。他のすべての要求は、最初にファイアウォール サービスによって処理されます。

次の表は、ISA Server クライアントの比較の一覧です。

機能 | SecureNAT クライアント | ファイアウォール クライアント | Web プロキシ クライアント
インストールの必要性 | はい。一部のネットワーク構成の変更が必要です。 | はい。 | いいえ。Web ブラウザ構成が必要です。
オペレーティング システムのサポート | TCP/IP をサポートするオペレーティング システム。 | Windows プラットフォームのみ。 | すべてのプラットフォーム。ただし、Web アプリケーションを使用します。
プロトコルのサポート | 複数接続プロトコルには、アプリケーション フィルタが必要です。 | すべての Winsock アプリケーション。 | HTTP、Secure HTTP (HTTPS)、FTP。
ユーザー レベルの認証のサポート | はい。VPN クライアントのみ。 | はい。 | はい。

ISA Server の最新情報については、http://www.microsoft.com/isaserver/techinfo/howto/default.asp を参照してください。


クライアント要件の評価

クライアント ソフトウェアを展開または構成する前に、組織のニーズを評価します。内部クライアントが必要とするアプリケーションおよびサービスを確認します。サーバーの公開方法を評価します。その上で、それぞれのニーズを ISA Server がサポートする次のクライアントの種類に割り当てます。

  • SecureNAT クライアント
  • ファイアウォール クライアント
  • Web プロキシ クライアント

詳細については、「クライアントの概要」を参照してください。

ユーザーのニーズから組織に展開するクライアントの種類を判断するには、以下の項目を検討します。

クライアント ソフトウェアの展開またはクライアント コンピュータの構成を行わずに済ませますか。

推奨 : SecureNAT クライアント

SecureNAT クライアントは、ソフトウェアや特定の構成を必要としません。ファイアウォール クライアントの場合は、ファイアウォール クライアント ソフトウェアを展開する必要があり、Web プロキシ クライアントの場合は、クライアント コンピュータで Web アプリケーションを構成する必要があります。

ISA Server を Web オブジェクトのフォワード キャッシュのみに使用しますか。

推奨 : SecureNAT または Web プロキシ クライアント

このシナリオで SecureNAT クライアントを使用する場合は、特別なソフトウェアを展開したり、クライアント コンピュータを構成する必要はありません。クライアント要求は、ISA Server に透過的に転送されてキャッシュされます。

認証済みクライアントのみにアクセスを許可しますか。

推奨 : ファイアウォール クライアント

ファイアウォール クライアントには、ユーザーベースのファイアウォール ポリシー ルールを構成できます。Web プロキシ クライアントにもユーザーベースのルールを構成できますが、そのルールが有効になるのは、Web アプリケーションが認証情報を送受信できる場合に限られます。

内部ネットワーク上にあるサーバーを公開しますか。

推奨 : SecureNAT クライアント

内部サーバーを SecureNAT クライアントとして公開できます。これにより、公開するサーバーに特別な構成ファイルを作成する必要がなくなります。


ファイアウォール クライアント

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のファイアウォール クライアントについて説明します。

  • ファイアウォール クライアントの概要
  • ファイアウォール クライアントの構成
  • ファイアウォール クライアントのローカル アドレス
  • ファイアウォール クライアントの詳細設定
  • ファイアウォール クライアント構成ファイルの詳細設定
  • 詳細のファイアウォール クライアント構成ファイルのサンプル
  • ファイアウォール クライアントの配布


ファイアウォール クライアントの概要

ファイアウォール クライアントとは、ファイアウォール クライアント ソフトウェアがインストールされ、有効になっているコンピュータです。ファイアウォール クライアント コンピュータは、ISA Server 2004 の Microsoft ファイアウォール サービスを使用する Winsock アプリケーションを実行します。ファイアウォール クライアントの設定では、個々の Winsock アプリケーションは構成されません。代わりに、他のアプリケーションが使用する共通の Winsock サービス プロバイダが使用されます。そして、ファイアウォール クライアントは、アプリケーションの呼び出しを傍受して、要求を ISA Server コンピュータにルーティングするかどうかを決定します。

ファイアウォール クライアントのサポートを特定のネットワークに対して有効にするかどうかを指定できます。ファイアウォール クライアントのサポートを有効にすると、ISA Server は、ポート 1745 で着信方向の要求を受け付けます。ファイアウォール クライアントは、Winsock アプリケーションを使用してコンピュータのオブジェクトを要求する場合、指定したコンピュータがローカルと見なされるかどうかを確認します。アドレスが特定のネットワークのアドレスの範囲内にあれば、ローカルと見なされます。詳細については、「ファイアウォール クライアントのローカル アドレスを構成する」を参照してください。

コンピュータがローカルと見なされなかった場合、要求はファイアウォール サービスに送信されます。ファイアウォール サービスは、要求を処理し、許可されたものとして適切な宛先に転送します。ファイアウォール クライアント ソフトウェアは、認証に必要な Windows ユーザーの情報を ISA Server コンピュータに送信できます。

ファイアウォール クライアントのインストール

ファイアウォール クライアント共有がインストールされている場合は、クライアント コンピュータから共有に接続して、ファイアウォール クライアント ソフトウェアをインストールできます。ファイアウォール クライアント共有のインストール手順については、「ファイアウォール クライアント インストールの共有フォルダを作成する」を参照してください。ファイアウォール クライアント ソフトウェアをインストールするには、共有に接続してセットアップ プログラムを実行します。または、無人セットアップを実行することもできます。手順については、「ファイアウォール クライアントの無人セットアップを実行する」を参照してください。

クライアント ソフトウェアをインストールしたら、クライアントの接続先のサーバー名を変更できます。これは、クライアントが現在接続している ISA Server コンピュータで別の名前を指定するか、またはファイアウォール クライアント ソフトウェアで名前を変更することによって行います。構成の変更は、ファイアウォール構成を最新の情報に更新した後で有効になります。


ファイアウォール クライアントの構成

ファイアウォール クライアント ソフトウェアは、ISA Server の管理を使用して構成します。ISA Server の管理を使用すると、クライアント コンピュータで定期的に更新されるファイアウォール クライアントの設定を構成できます。構成できる設定は次のとおりです。

  • アプリケーションの設定。ファイアウォール クライアントが特定のアプリケーションでどのように ISA Server に接続するかを指定します。詳細については、「ファイアウォール クライアント構成ファイルの詳細設定」を参照してください。
  • 内部ネットワークとローカル ドメイン。ファイアウォール クライアントが、ISA Server コンピュータを必要とせずに、ローカルとして認識する IP アドレスとドメインのセットです。手順については、「ファイアウォール クライアントのローカル アドレスを構成する」および「ファイアウォール クライアントのローカル ドメインを構成する」を参照してください。
  • 自動検出。自動検出を有効にすると、ファイアウォール クライアントは適切な ISA Server コンピュータを自動的に検出するようになります。詳細については、「ファイアウォール クライアント用の自動検出」を参照してください。
  • ファイアウォール クライアントの Web ブラウザ設定。ファイアウォール クライアント アプリケーションでは、ファイアウォール クライアント コンピュータ上の Web ブラウザ設定を自動的に更新できます。これらの設定は、ファイアウォール クライアントの設定が更新されるときに ISA Server から取得されます。ファイアウォール クライアント コンピュータで Web ブラウザをどのように設定するかを構成できます。これらの設定は、ダイヤルアップ接続や VPN 接続には適用されないことに注意してください。詳細については、「ファイアウォール クライアントの Web ブラウザ設定を構成する」を参照してください。

古いバージョンのファイアウォール クライアント ソフトウェアの使用を許可する

ISA Server は、ISA Server 2000 のファイアウォール クライアントや、Microsoft Proxy Server 2.0 の Winsock プロキシ クライアントなど、古いバージョンのファイアウォール クライアント ソフトウェアをサポートしています。ただし、古いバージョンのファイアウォール クライアント ソフトウェアが古いバージョンの Windows オペレーティング システムにインストールされている場合は、ISA Server コンピュータに接続することを避けたほうがよい場合があります。なぜなら、これらのクライアントは、ISA Server への接続時に暗号化を使用できないためです。手順については、「以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可する」を参照してください。

暗号化されたファイアウォール クライアントの接続

ISA Server は、ファイアウォール クライアントと ISA Server 間の通信に関して、TCP 制御チャネルによる暗号化を使用した、より強力なセキュリティで保護された方法をサポートしています。ISA Server は、このセキュリティで保護された方法で通信を行うクライアントからの接続のみを受け付けるように構成することができます。ただし、その場合、古いバージョンのファイアウォール クライアント ソフトウェアを使用して接続することはできません。


ファイアウォール クライアントのローカル アドレス

既定では、ファイアウォール クライアントは、コンピュータ上のローカル ルーティング テーブルに指定されているアドレスのほかに、自身が構成されているネットワーク上のすべてのアドレスがローカルとして指定されているものと見なします。たとえば、ファイアウォール クライアントが内部ネットワークのネットワーク アダプタに接続する場合は、その内部ネットワークに構成されているすべての IP アドレスがローカルと見なされます。クライアント上の Winsock アプリケーションが IP アドレスとの接続を確立しようとすると、その都度、その IP アドレスが内部ネットワーク上のものかどうかを判断するために Locallat.txt ファイルが使用されます。アドレスがローカルと見なされた場合、接続は直接確立されます。アドレスがローカルと見なされなかった場合、接続は ISA Server の Microsoft ファイアウォール サービスを介して確立されます。

この情報のローカル バージョンも作成することができます。テキスト エディタを使用して Locallat.txt という名前のカスタム クライアント ローカル アドレス テーブル (LAT) ファイルを作成し、ファイアウォール クライアント コンピュータの \Documents and Settings\All Users\Local Settings\Application Data\Microsoft\Firewall Client 2004 フォルダに保存します。クライアントがローカル ネットワークの一部として認識する他の IP アドレス範囲も追加できます。クライアントは独自のルーティング テーブル、サーバー固有の設定、および Locallat.txt ファイルを使用して、ローカル ネットワークに属する IP アドレスを特定します。

Locallat.txt ファイルを作成するときは、IP アドレスのペアをファイルに入力します。各アドレスのペアでは、IP アドレス範囲または単一の IP アドレスを定義します。次の例は、2 つのエントリを持つ Locallat.txt ファイルを示しています。最初のエントリは IP アドレス範囲、2 つ目のエントリは単一の IP アドレスです。2 つ目のエントリがサブネット マスクではなく、IP アドレスであることに注意してください。

10.51.0.0      10.51.255.255
10.52.144.103  10.52.144.103


ファイアウォール クライアントの詳細設定

インストールが完了すると、ファイアウォール クライアント ソフトウェアは、ファイアウォール クライアント アプリケーションのインストール元である ISA Server 2004 コンピュータで構成された設定を採用します。これらのサーバー設定は、自動 Web プロキシ構成、ISA Server 名、ISA Server の自動検出などを機能的に確定します。ファイアウォール クライアント ソフトウェアがインストールされると、クライアント設定は、クライアント コンピュータが再起動されるたびに、また最初の更新が行われてから 6 時間ごとに、ISA Server で更新されます。

これらの設定のほかにも、クライアントは、ローカル (クライアントが ISA Server を介さずに接続するコンピュータ) と見なす必要がある IP アドレス情報と共に、ISA Server で定期的に更新されます。

ほとんどの Winsock アプリケーションでは、既定のファイアウォール クライアント構成を変更する必要はありません。ただし、場合によっては、クライアント構成情報の追加が必要になることもあります。ファイアウォール クライアントは、ファイアウォール クライアント コンピュータ上で、ユーザーごとまたはコンピュータごとにローカルに構成できます。この構成は、ファイアウォール クライアント コンピュータにインストールされる .ini ファイルを変更することによって行います。

インストール後、すべてのコンポーネントの既定の設定を変更することができます。新しい構成の設定は、クライアント構成が最新の情報に更新された後でのみ有効になります。

.ini ファイル

構成情報は、ファイアウォール クライアント コンピュータにインストールされる一連のファイルに保存されます。具体的には、ファイアウォール クライアントをコンピュータにインストールするときに、次のファイルがファイアウォール クライアント コンピュータに作成されます。

  • Common.ini。すべてのアプリケーションで共通の構成を指定します。
  • Management.ini。ファイアウォール クライアント管理の構成設定を指定します。

これらのファイルは、コンピュータにログオンするすべてのユーザー用にオペレーティング システム レベルで作成されることも、コンピュータ上の特定のユーザーごとに作成されることもあります。ユーザーごとの設定は、全般的な構成設定よりも優先されます。これらのファイルが作成される場所は、オペレーティング システムによって異なります。たとえば、Windows XP コンピュータでは、ファイルは次の 2 つの場所にコピーされます。

  • \Documents and Settings\All Users\\Local Settings\Application Data\Microsoft\Firewall Client 2004 フォルダ
  • \Documents and Settings\<ユーザー名>\Local Settings\Application Data\Microsoft\Firewall Client 2004 フォルダ

これらのファイルのほかに、ユーザーは、特定のアプリケーションの構成情報を指定する Application.ini という別のファイルを作成することもできます。

Common.ini および Application.ini の設定の詳細については、「ファイアウォール クライアント構成ファイルの詳細設定」を参照してください。

これらのファイル内の設定は、次の手順で適用されます。

  1. ユーザーのフォルダにある .ini ファイルが優先されます。ファイアウォール クライアントは、ここに保存される構成の設定を使用して、アプリケーションがどのように機能するかを判断します。
  2. ファイアウォール クライアントは、次に All Users フォルダを参照します。追加の構成の設定があれば、適用されます。ユーザー固有の設定と矛盾している構成の設定は、無視されます。
  3. ファイアウォール クライアント アプリケーションは、ファイアウォール クライアント管理で指定された設定に従って、接続すべき ISA Server コンピュータを検出します。
  4. 最後に、ファイアウォール クライアントはサーバーレベルの設定を調べます。ISA Server に指定されている構成の設定があれば、適用されます。ユーザー固有の設定またはコンピュータ固有の設定と矛盾している構成の設定は、無視されます。


ファイアウォール クライアント構成ファイルの詳細設定

ファイアウォール クライアント コンピュータのユーザーは、ファイアウォール クライアントの構成設定を決定するファイルを作成および変更することができます。ファイアウォール クライアントのインストール時に作成される Common.ini ファイルは、すべてのアプリケーションに共通な構成を指定します。Application.ini ファイルは、特定のアプリケーションの構成設定を指定します。これらのファイルの詳細については、「ファイアウォール クライアントの詳細設定」を参照してください。

これらのファイルは、コンピュータにログオンするすべてのユーザー用にオペレーティング システム レベルで作成することも、コンピュータ上の特定のユーザーごとに作成することもできます。ユーザーごとの設定は、全般的な構成設定よりも優先されます。これらのファイルが作成される場所は、オペレーティング システムによって異なります。たとえば、Microsoft® Windows® XP コンピュータでは、ファイルは次の 2 つのフォルダにコピーされます。

  • \Documents and Settings\All Users\Local Settings\Application Data\Microsoft\Firewall Client 2004
  • \Documents and Settings\<ユーザー名>\Local Settings\Application Data\Microsoft\Firewall Client 2004

ISA Server の管理を使用して、ファイアウォール クライアントの構成設定を変更することができます。手順については、「ファイアウォール クライアントのアプリケーション設定を構成する」を参照してください。

以下の表は、ファイアウォール クライアント ソフトウェアのアプリケーション設定を構成する際に、含めることのできる項目の一覧です。最初の列は、構成ファイルに含めることのできるキーを示しています。2 番目の列は、キーを設定できる値を示しています。一部の設定は、ファイアウォール クライアント コンピュータ上でのみ構成可能です。ISA Server の管理を使用してこれらを構成することはできません。

項目 | 説明
ServerName | ファイアウォール クライアントが接続する ISA Server コンピュータの名前を指定します。
Disable | 使用可能な値 : 0 または 1。値を 1 に設定すると、ファイアウォール クライアント アプリケーションは、特定のクライアント アプリケーションに対して無効になります。
DisableEx | 使用可能な値 : 0 または 1。値を 1 に設定すると、ファイアウォール クライアント アプリケーションは、特定のクライアント アプリケーションに対して無効になります。ISA Server 2004 ファイアウォール クライアントにのみ適用されます。設定すると、Disable 設定が上書きされます。
Autodetection | (ファイアウォール クライアント コンピュータでのみ設定可能。) 使用可能な値 : 0 または 1。値を 1 に設定すると、ファイアウォール クライアント アプリケーションは、接続先となる ISA Server コンピュータを自動的に検索します。
NameResolution | 使用可能な値 : L または R。既定では、ドット形式の 10 進表記法で示されたものやインターネット ドメイン名は ISA Server コンピュータにリダイレクトされて名前解決が行われ、他のすべての名前はローカル コンピュータ上で解決されます。値を R に設定すると、すべての名前が ISA Server コンピュータにリダイレクトされて、解決されます。値を L に設定すると、すべての名前がローカル コンピュータ上で解決されます。
LocalBindTcpPorts | ローカルでバインドされる伝送制御プロトコル (TCP) ポート、一覧、または範囲を指定します。
LocalBindUdpPorts | ローカルでバインドされるユーザー データグラム プロトコル (UDP) ポート、一覧、または範囲を指定します。
RemoteBindTcpPorts | リモートでバインドされる TCP ポート、一覧、または範囲を指定します。
RemoteBindUdpPorts | リモートでバインドされる UDP ポート、一覧、または範囲を指定します。
ServerBindTcpPorts | 複数の接続を受け付ける TCP ポート、一覧、または全ポートの範囲を指定します。
Persistent | 使用可能な値 : 0 または 1。値を 1 に設定すると、サービスが停止して再起動された場合やサーバーが応答しない場合に、ISA Server コンピュータ上でサーバーの特定の状態を維持することができます。クライアントは、アクティブ セッションの間、定期的にサーバーにキープアライブ メッセージを送信します。サーバーが応答しない場合、クライアントはバインドの状態の復元を試行し、サーバーの再起動時にソケットをリッスンします。
ForceCredentials | (ファイアウォール クライアント コンピュータでのみ設定可能。) Windows サービスまたはサーバー アプリケーションを、ファイアウォール クライアント アプリケーションとして実行している場合に使用します。値を 1 に設定すると、サービスが実行されているコンピュータにローカルに格納されている、代替ユーザー認証資格情報の使用が強制されます。ユーザー資格情報は、ファイアウォール クライアント ソフトウェアで提供される Credtool.exe アプリケーションを使用して、クライアント コンピュータに格納されます。ユーザー資格情報は、ISA Server が認証可能なユーザー アカウントを参照する必要があります。ユーザー アカウントは、ISA Server に対してローカルなものでも、ISA Server が信頼するドメイン内にあるものでもかまいません。ユーザー アカウントは、通常、有効期限が切れないように設定されます。そうしないと、アカウントの有効期限が切れるたびに、ユーザー資格情報を更新しなければなりません。
NameResolutionForLocalHost | 使用可能な値は L (既定)、P、または E です。gethostbyname API が呼び出されたときに、ローカル (クライアント) コンピュータの名前を解決する方法を指定します。 LocalHost コンピュータ名は、LocalHost 文字列、空の文字列、または NULL 文字列ポインタを使用して、Winsock API 関数 gethostbyname() を呼び出すことによって解決されます。Winsock アプリケーションは、gethostbyname(LocalHost) を呼び出してローカル IP アドレスを検索し、それをインターネット サーバーに送信します。 このオプションを L に設定すると、gethostbyname() は、ローカル ホスト コンピュータの IP アドレスを返します。このオプションを P に設定すると、gethostbyname() は、ISA Server コンピュータの IP アドレスを返します。このオプションを E に設定すると、gethostbyname() は、ISA Server コンピュータの外部 IP アドレスだけを返します。これらの IP アドレスは、ローカル アドレス テーブルにはありません。
ControlChannel | 使用可能な値 : Wsp.udp または Wsp.tcp (既定)。使用する制御チャネルの種類を指定します。
EnableRouteMode | 可能な値には、0 と 1 (既定) があります。EnableRouteMode を 1 に設定し、ファイアウォール クライアント コンピュータと要求された宛先の間にルート関係を構成すると、ファイアウォール クライアントの IP アドレスが送信元アドレスとして使用されます。値を 0 に設定すると、ISA Server コンピュータの IP アドレスが使用されます。 このフラグは、古いバージョンのファイアウォール クライアントには適用されません。


詳細のファイアウォール クライアント構成ファイルのサンプル

ここでは、ローカル ファイアウォール クライアント コンピュータで使用されるファイアウォール クライアント構成のサンプル ファイルを示します。これらの設定の詳細については、「ファイアウォール クライアント構成ファイルの詳細設定」を参照してください。

Common.ini の設定

Common.ini ファイルは、すべてのアプリケーションに共通する構成を指定します。次の例は、一般的な Common.ini ファイルを示しています。

[Common]
ServerName=ISA_1
Disable=0
Autodetection=0

Application.ini の設定

Application.ini ファイルは、特定のアプリケーションの構成設定を指定します。次の例は、FW_Client_App.exe セクションのクライアント構成ファイルに定義された、サンプルの [FW_Client_App] セクションを示しています。

[FW_Client_App]
Disable=0
NameResolution=R
LocalBindTcpPorts=7777
LocalBindUdpPorts=7000-7022, 7100-7170
RemoteBindTcpPorts=30
RemoteBindUdpPorts=3000-3050
ServerBindTcpPorts=100-300
ProxyBindIp=80:110.52.144.103, 82:110.51.0.0
Persistent=1
ForceCredentials=1
NameResolutionForLocalHost=L


ファイアウォール クライアントの配布

ファイアウォール クライアント ソフトウェアの配布は、[Windows ソフトウェアのインストール] スナップインを使用して一元管理できます。ISA Server のクライアント ソフトウェアをコンピュータのグループに配布して構成することで、アプリケーションを必要とするすべてのユーザーのデスクトップにアプリケーションを自動的に配置できます。こうすると、個々のデスクトップでクライアント ソフトウェアをセットアップする必要はありません。

アプリケーションをコンピュータに割り当てると、そのアプリケーションは、次にコンピュータを再起動するときにインストールされます。


SecureNAT クライアント

ファイアウォール クライアント ソフトウェアがインストールされていないクライアント コンピュータは、SecureNAT クライアントです。SecureNAT クライアントは、ISA Server の多くの機能を利用することができます。これには、上位レベル プロトコルのサポートとユーザーレベルの認証を除く、ほとんどのアクセス制御機能が含まれます。

SecureNAT クライアントに特別なソフトウェアは必要ありませんが、インターネットへのすべてのトラフィックがルーターを経由して直接または間接的に ISA Server を使用して送信されるように、デフォルト ゲートウェイを構成する必要があります。クライアントは、動的ホスト構成プロトコル (DHCP) サービスを使用して構成することも、手動で構成することもできます。

SecureNAT クライアントからの要求は、Microsoft ファイアウォール サービスで処理されるため、SecureNAT クライアントは、ファイアウォール サービスのセキュリティ機能を利用することができます。アプリケーション フィルタは、プロトコル ストリームを変更して、複雑なプロトコルの処理を可能にします。Microsoft® Windows® のネットワーク アドレス変換 (NAT) では、この機構は、カーネルモード NAT エディタ ドライバとして作成されている NAT エディタを使用することで実現されます。

ISA Server アプリケーション フィルタは、Windows ベースの NAT エディタを使用して、一般的に使用可能な機能を置き換えます。SecureNAT クライアントで特定のアプリケーションまたはプロトコルを使用するためには、アプリケーション フィルタが使用可能であることが必要です。詳細については、「アプリケーション フィルタ」を参照してください。

SecureNAT とネットワーク アドレス変換

ISA Server は、SecureNAT クライアントに ISA Server ポリシーを強制することで、ネットワーク アドレス変換 (NAT) 機能を拡張します。NAT に固有の認証機構がなくても、すべての ISA Server ルールを SecureNAT クライアントに適用することができます。プロトコルの使用、宛先、およびコンテンツの種類に関するポリシーも SecureNAT クライアントに適用されます。

SecureNAT クライアントとサーバーの公開

SecureNAT クライアントは、ファイアウォール クライアントと同様、インターネットに情報を公開するサーバー (メール サーバーなど) にすることができます。サーバーを SecureNAT クライアントとして公開するには、サーバー公開ルールを構成します。

SecureNAT クライアントの構成

SecureNAT クライアントでは、クライアント コンピュータに特定のソフトウェアを展開する必要はありませんが、ネットワークを適切に構成する必要があります。ここでは、SecureNAT クライアントに対するネットワークの考慮事項について説明します。

SecureNAT クライアントに対するデフォルト ゲートウェイの設定

SecureNAT クライアントでは、クライアント コンピュータ上に特定のソフトウェアを展開する必要がありません。ただし、ISA Server コンピュータのネットワーク トポロジを構成する際に、SecureNAT クライアントを保護し、SecureNAT クライアント要求が確実に処理されるようにする必要があります。

SecureNAT クライアントのデフォルト ゲートウェイを適切に構成する必要があります。デフォルト ゲートウェイのプロパティを設定する場合は、構成するネットワーク トポロジの種類を確認します。

  • 単純なネットワーク。単純なネットワーク トポロジでは、SecureNAT クライアントと ISA Server コンピュータの間にルーターは配置されません。
  • 複雑なネットワーク。複雑なネットワーク トポロジでは、SecureNAT クライアントと ISA Server コンピュータの間に構成された複数のサブネットが、1 台以上のルーターでブリッジされます。

単純なネットワーク上の SecureNAT クライアントの構成

単純なネットワーク上の SecureNAT クライアントを構成するには、SecureNAT クライアントの IP デフォルト ゲートウェイを、ISA Server コンピュータの内部ネットワーク アドレス カードの IP アドレスに設定します。この設定は、クライアント上の TCP/IP 設定を使用して、手動で行うことができます (これらは、[コントロール パネル] の [ネットワーク] アイコンをクリックして設定します)。または、DHCP サービスを使用して、これらの設定をクライアントに対して自動的に構成することもできます。

複雑なネットワーク上の SecureNAT クライアントの構成

複雑なネットワーク上の SecureNAT クライアントを構成するには、デフォルト ゲートウェイを、SecureNAT クライアントと ISA Server コンピュータを結ぶチェーンの最後のルーターに設定します。この場合、SecureNAT クライアントのデフォルト ゲートウェイの設定を変更する必要はありません。

最適な処理を行うには、ルーターが、ISA Server コンピュータに最短経路でルーティングするデフォルト ゲートウェイを使用する必要があります。また、企業ネットワークの外部のアドレスに宛てられたパケットを破棄しないようにルーターを構成します。ISA Server は、このようなパケットをどのようにルーティングするかを決定します。

SecureNAT クライアントの名前解決

SecureNAT クライアントは、ローカル ネットワーク内のコンピュータおよびインターネットの両方からオブジェクトを要求します。したがって SecureNAT クライアントは、外部と内部の両方のコンピュータの名前を解決する DNS サーバーを必要とします。

インターネット アクセスのみ

インターネット アクセスのみの場合、SecureNAT クライアントは、インターネット上の DNS サーバーを使用するように TCP/IP 設定を構成します。SecureNAT クライアントが DNS プロトコルを使用できるようにするアクセス ルールを作成し、SecureNAT クライアントに対して DNS フィルタを構成する必要があります。

内部ネットワーク アクセスとインターネット アクセス

SecureNAT クライアントが、インターネットと内部ネットワーク サーバーの両方からデータを要求する場合、そのクライアントは、内部ネットワーク上の DNS サーバーを使用します。内部アドレスとインターネット アドレスの両方を解決する DNS サーバーを構成する必要があります。


Web プロキシ クライアント

Web プロキシ クライアントは、HTTP 1.1 以下に準拠する Web ブラウザ アプリケーションが搭載されたクライアント コンピュータで、プロキシを使用でき、ISA Server を使用するように構成されています。いずれの Web プロキシ クライアントも、独自のユーザー インターフェイスを使用して構成されます。Web ブラウザは Web プロキシ クライアントです。

ファイアウォール クライアント ソフトウェアでは、ファイアウォール クライアント コンピュータ上の Web ブラウザの設定を構成できます。これらの設定は、自動的に構成することも、まとめて無効にすることもできます。ISA Server の管理を使用すると、次の Web ブラウザのプロパティを構成できます。

  • クライアントが接続する ISA Server コンピュータとポート
  • 自動検出の設定
  • ファイアウォール クライアントの Web ブラウザが直接アクセスするコンピュータ
  • ISA Server コンピュータが使用できない場合のバックアップ ルート

ファイアウォール クライアント ソフトウェアがインストールされ、すべてのユーザーがログオンすると、クライアント コンピュータの Web ブラウザにこれらの設定が構成されます。この自動構成は、無効にすることもできます。

ファイアウォール クライアントがインストールされていない場合は、Web ブラウザを手動で構成できます。

Web プロキシ クライアントの構成

Web プロキシ クライアントを構成するには、ソフトウェアのインストールは必要ありません。ただし、ISA Server コンピュータがプロキシ サーバーとして使用されるように、クライアント コンピュータの Web アプリケーションを構成する必要があります。

既定の構成用 URL は、次のとおりです。

http://<ISA Server>/array.dll?Get.Routing.Script

<ISA Server> は、ISA Server コンピュータの名前または IP アドレスです。この URL には構成スクリプトが配置されています。ISA Server は、直接アクセスとバックアップ ルート オプションに基づいて、この構成スクリプトを自動的に生成します。

Web ブラウザが開くたびに、ISA Server が自身のコンピュータに存在するクライアント構成スクリプトを自動的にダウンロードするよう、オプションを設定することができます。このスクリプトからは、URL で指定されているオブジェクトをブラウザが取得するために使用する一連の ISA Server コンピュータが、順番に出力されます。

スクリプトは、ISA Server コンピュータの特定の URL からアクセスできます (そこに実際に格納されているわけではありません)。Web ブラウザの設定はすべて、個々の Web ブラウザを再構成しなくても、簡単に更新できます。Microsoft® Internet Explorer バージョン 3.02 以降、および Netscape 2.0 以降では、この機能がサポートされています。

ファイアウォール クライアントの Web ブラウザの自動構成

ファイアウォール クライアントの Web ブラウザがセットアップ中に構成されるよう、ISA Server を構成することができます。これにより、クライアントの Web ブラウザは、指定された自動構成スクリプトを使用するようになります。スクリプトは、[Web ブラウザ] で設定されたオプションに基づいて動作します。手順については、「ファイアウォール クライアントの Web ブラウザ設定を構成する」を参照してください。

ISA Server コンピュータのブラウザ構成

ISA Server コンピュータで Web ブラウザを使用する場合は、内部ネットワークに接続されたサーバー ネットワーク アダプタの IP アドレスを使用するようにブラウザを構成する必要があります。サーバー コンピュータ名や DNS 名は使用しないでください。

コンピュータ名または DNS 名を使用するようにサーバーのブラウザを構成すると、インターネットに接続された外部ネットワーク インターフェイスの IP アドレスに名前が解決されます。したがって、サーバー上のブラウザは、ISA Server を介して接続するよう構成する必要があります。


自動検出

ここでは、ISA Server 2004 の自動検出機能について説明します。

  • 自動検出の概要
  • ファイアウォール クライアント用の自動検出
  • Web プロキシ クライアント用の自動検出


自動検出の概要

ファイアウォール クライアントと Web プロキシ クライアントの接続先の ISA Server コンピュータを構成することは、最初は単純な作業のように思えます。ただし、その後行う変更は、時間のかかる面倒な作業になることがあります。特に、常に調整の必要なローミング クライアントに対してはこれが当てはまります。ISA Server の自動検出機能を使用すると、適切な ISA Server コンピュータを自動的に検出できるようにクライアントを構成できます。こうすると、ローミング クライアントは、必要に応じて ISA Server コンピュータに接続できます。自動検出を有効にすると、Web プロキシおよびファイアウォール クライアントはいずれも適切な ISA Server コンピュータを自動的に検出するようになります。

WPAD および WSPAD を DNS サーバーまたは DHCP サーバー上に構成する

自動検出が有効な場合、ファイアウォール クライアントまたは Web プロキシ クライアントは、WPAD サーバーにオブジェクトを要求します。この場合、WPAD サーバーは、要求を処理するように構成されている ISA Server コンピュータです。ISA Server コンピュータが応答しないか、ローカル ネットワーク アダプタが有効または無効になると、自動検出プロセスがトリガされます。

ISA Server は Web プロキシ自動検出 (WPAD) エントリを使用して、Winsock プロキシ自動検出 (WSPAD) 要求および WPAD 要求の両方を処理する WPAD サーバーを決定します。DNS サーバーで WSPAD エントリを明示的に構成する必要はありません。

手順については、「ISA Server の自動検出用 DNS を構成する」および「ISA Server の自動検出用 DHCP を構成する」を参照してください。

自動検出の仕組み

自動検出は、DHCP サーバーまたは DNS サーバーに格納されている情報に基づいています。まず、クライアントは DNS サーバーまたは DHCP サーバーから WPAD サーバーの名前を取得します。次に、クライアントはサーバー (WPAD 要求と WSPAD 要求の両方を処理するサーバー) に照会し、対象となる実際の ISA Server コンピュータを決定します。

自動検出を使用してクライアント用 ISA Server を変更する

クライアントが使用する ISA Server コンピュータを変更するには、DHCP サーバーまたは DNS サーバーのエントリを変更します。ただし、情報は DNS サーバーまたは DHCP サーバーにキャッシュされるため、クライアントは実際には以前の ISA Server コンピュータの名前を受け取る場合があります。

自動的にサーバーを検出するときにクライアントが正しい情報を受け取るようにするには、次の手順を実行します。

  1. DHCP サーバーまたは DNS サーバーで、WPAD サーバーとして動作する インターネット インフォメーション サービス (IIS) コンピュータをポイントするように自動検出を設定します。IIS コンピュータには Wspad.dat および Wspad.dat ファイルが含まれているため、DHCP または DNS の自動検出情報を更新する必要はありません。
  2. 専用のリダイレクタとして機能する IIS コンピュータ上の Wspad.dat ファイルに含まれている自動検出情報を変更します。IIS コンピュータは、リダイレクタとして機能する専用のコンピュータです。

次の例は、IIS コンピュータ上の Wspad.dat ファイルを示しています。

[Common]
Port=1745
[Servers Ip Addresses]
Name=ISAServer.microsoft.com

Wspad.dat リダイレクタ ファイル内の変更は、DNS キャッシュに関係なく、即座に適用されます。


ファイアウォール クライアント用の自動検出

ファイアウォール クライアントを構成するときは、クライアントの接続先となる特定の ISA Server コンピュータを指定します。自動検出機能を構成して、ファイアウォール クライアントがどの ISA Server コンピュータを使用するのかを自動的に検出できるようにすることも可能です。

自動検出機能を構成すると、次の手順が実行されます。

  1. クライアントが Winsock 要求を行い、DNS サーバーまたは DHCP サーバーに接続します。
  2. DNS サーバーまたは DHCP サーバーには Web プロキシ自動検出 (WPAD) エントリがあります。このエントリは、ISA Server コンピュータを示す WPAD サーバーを指します。
  3. Wspad.dat ファイルは、WPAD サーバー上に存在している必要があります。このファイルにより、ISA Server コンピュータに要求がリダイレクトされます。
  4. クライアント要求が、DNS サーバーまたは DHCP サーバーの Winsock プロキシ自動検出 (WSPAD) エントリで指定された ISA Server コンピュータによって実行されます。


Web プロキシ クライアント用の自動検出

ISA Server は Web プロキシ クライアントをサポートしています。ローミング Web プロキシ クライアントがインターネットにログオンしたとき、常に適切な ISA Server コンピュータに接続されるように、自動検出機能を構成できます。

自動検出は、Microsoft Internet Explorer 5 以降のバージョンでサポートされています。

自動検出を構成すると、ISA Server では次の手順が実行されます。

  1. クライアントが Web 要求を行い、DNS サーバーまたは DHCP サーバーに接続します。
  2. DNS サーバーまたは DHCP サーバーには Web プロキシ自動検出 (WPAD) エントリがあります。このエントリは、プロキシ サーバー (ここでは ISA Server コンピュータ) を示す WPAD サーバーを指します。
  3. クライアント要求が、DNS サーバーまたは DHCP サーバーの WPAD エントリで指定された ISA Server コンピュータによって実行されます。


クライアント : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のクライアントをインストールおよび構成する手順について説明します。

  • ファイアウォール クライアントをインストールする
  • ファイアウォール クライアントを構成する
  • Web プロキシ クライアントを構成する
  • 自動検出を構成する


ファイアウォール クライアントをインストールする

ここでは、クライアント コンピュータにファイアウォール クライアント ソフトウェアをインストールする手順について説明します。

  • ファイアウォール クライアント ソフトウェアをインストールする
  • ファイアウォール クライアントの無人セットアップを実行する


ファイアウォール クライアント ソフトウェアをインストールする

ファイアウォール クライアント ソフトウェアをインストールするには

  1. ファイアウォール クライアントのコマンド プロンプトで、次のように入力します。

    <パス>\Setup

    <パス> は、共有 ISA Server クライアントのインストール ファイルへのパスです。
  2. 画面上に表示される指示に従います。

注

  • ISA Server クライアントのインストール ファイルは、通常、<ISA Server 名>/MSPClnt という共有名で ISA Server コンピュータのフォルダに配置されます。
  • この手順を実行するには、クライアント コンピュータの Administrators グループのメンバである必要があります。
  • ファイアウォール クライアント ソフトウェアは、ISA Server のいずれのバージョンを実行するコンピュータにもインストールすることはできません。
  • インストールすると、ファイアウォール クライアント アプリケーションが有効になります。
  • ファイアウォール クライアント ソフトウェアは、Microsoft® Windows Server™ 2003、Windows 2000 Server、Windows XP、Windows Millennium Edition、または Windows NT® 4.0 を実行するクライアント コンピュータにインストールできます。Microsoft Internet Explorer 5 以降がインストールされている Windows 98 Second Edition を実行するコンピュータにも、ファイアウォール クライアント ソフトウェアをインストールできます。
  • クライアント コンピュータからファイアウォール クライアント共有へのアクセスを許可するには、"ファイアウォール クライアントのインストール" システム ポリシー構成グループが有効になっている必要があります。ファイアウォール クライアント共有をインストールすると、この構成グループが既定で有効になります。

関連項目


ファイアウォール クライアントの無人セットアップを実行する

ファイアウォール クライアントの無人セットアップを実行するには

  • ファイアウォール クライアント コンピュータのコマンド プロンプトで次のように入力します。

    Path\Setup /v"[SERVER_NAME_OR_IP=ISA_Server_Name] [ENABLE_AUTO_DETECT={1|0}] [REFRESH_WEB_PROXY={1|0}] /qn"

    パラメータの意味は次のとおりです。

    • Path は、ISA Server 2004 クライアントの共有インストール ファイルへのパスです。これらのファイルは、通常、ISA\MSPclnt という共有名で ISA Server コンピュータのフォルダに配置されます。
    • ISA_Server_Name は、ファイアウォール クライアントの接続先となる ISA Server コンピュータの名前です。
    • ENABLE_AUTO_DETECT=1 は、接続先となる ISA Server コンピュータをファイアウォール クライアントが自動的に検出することを指定します。
    • REFRESH_WEB_PROXY=1 は、ファイアウォール クライアントの構成が、ISA Server コンピュータで指定されている Web プロキシ構成で更新されることを示します。

注

  • 無人アンインストールを実行するには、コマンド プロンプトで次のように入力します。

    MsiExec.exe /X {199B7F78-69B7-47C5-8D4B-A3ED1391FB6B} /qn

  • この手順を実行するには、クライアント コンピュータの Administrators グループのメンバである必要があります。
  • ISA Server クライアントのインストール ファイルは、通常、<ISA Server 名>/MSPClnt という共有名で ISA Server コンピュータのフォルダに配置されます。
  • ファイアウォール クライアント ソフトウェアを ISA Server コンピュータにインストールすることはできません。
  • インストールすると、ファイアウォール クライアント アプリケーションが有効になります。
  • ファイアウォール クライアント ソフトウェアは、Microsoft® Windows Server™ 2003、Windows 2000 Server、Windows XP、Windows Millennium Edition、または Windows NT® 4.0 を実行するクライアント コンピュータにインストールできます。Microsoft Internet Explorer 5 以降がインストールされている Windows 98 Second Edition を実行するコンピュータにも、ファイアウォール クライアント ソフトウェアをインストールできます。
  • クライアント コンピュータからファイアウォール クライアント共有へのアクセスを許可するには、"ファイアウォール クライアントのインストール" システム ポリシー構成グループが有効になっている必要があります。ファイアウォール クライアント共有をインストールすると、この構成グループが既定で有効になります。


ファイアウォール クライアントを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のファイアウォール クライアントを構成する手順について説明します。

  • ファイアウォール クライアント要求をリッスンする
  • ファイアウォール クライアントのローカル アドレスを構成する
  • ファイアウォール クライアントのローカル ドメインを構成する
  • ファイアウォール クライアントで Web ブラウザの構成 URL を指定する
  • ファイアウォール クライアントの Web ブラウザ設定を構成する
  • ファイアウォール クライアントのアプリケーション設定を構成する
  • 以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可する
  • 古いバージョンのオペレーティング システムからのファイアウォール クライアント接続を許可する


ファイアウォール クライアント要求をリッスンする

ファイアウォール クライアント要求をリッスンするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [ファイアウォール クライアント] タブで、[このネットワークのファイアウォール クライアント サポートを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ファイアウォール クライアントのプロパティは、外部、検疫された VPN クライアント、VPN クライアントのビルトイン ネットワークでは構成できません。

関連項目


ファイアウォール クライアントのローカル アドレスを構成する

ファイアウォール クライアントのローカル アドレスを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [ファイアウォール クライアント] タブで、[このネットワークのファイアウォール クライアント サポートを有効にする] チェック ボックスがオンになっていることを確認します。
  5. [アドレス] タブで、次のいずれかの操作を行います。
    • IP アドレスの特定の範囲を追加するには、[追加] をクリックします。次に、ネットワーク アドレス範囲の最初のアドレスを [開始アドレス] に入力し、ネットワーク アドレス範囲の最後のアドレスを [終了アドレス] に入力します。
    • 特定のアダプタに割り当てられている IP アドレスを追加するには、[アダプタの追加] をクリックし、[ネットワーク アダプタの詳細] でアダプタを選択します (複数可)。
    • プライベート アドレス範囲を追加するには、[プライベートの追加] をクリックし、一覧から範囲を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この ISA Server コンピュータによって指定された共有場所からファイアウォール クライアントをインストールした場合、そのクライアントは、指定されたネットワークにローカル IP アドレスとして含まれているすべてのアドレスを認識します。
  • ファイアウォール クライアントのプロパティは、外部、ローカル ホスト、検疫された VPN クライアント、VPN クライアントのビルトイン ネットワークでは構成できません。

関連項目


ファイアウォール クライアントのローカル ドメインを構成する

ファイアウォール クライアントのローカル ドメインを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [ドメイン] タブで、[追加] をクリックします。[ネットワークに含めるドメイン名] に、ドメイン名を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更内容を保存し、ISA Server の構成を更新するには、詳細ウィンドウで [適用] ボタンをクリックします。
  • 1 つのコンピュータを追加するには、そのコンピュータの完全修飾ドメイン名 (FQDN) を入力します。サーバー名は一意であることが必要です。FQDN を使用すると、重複したサーバー名による競合を回避できます。
  • ドメイン名全体を追加するには、「*.<ドメイン名>」と入力します。
  • すべてのドメインを追加するには、「*」と入力します。
  • ネットワークからドメインを削除するには、[ドメイン] タブで該当するドメインを選択し、[削除] をクリックします。

関連項目


Web ブラウザの構成 URL 設定を指定する

Web ブラウザの構成 URL 設定を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web ブラウザ] タブで、必要に応じて次のオプションを選択します。
    • [このネットワーク内の Web サーバーにはプロキシを使用しない]。ローカル Web サーバーにアクセスするとき、ファイアウォール クライアント コンピュータ上の Web ブラウザが ISA Server コンピュータを使用しない場合は、このオプションを選択します。
    • [[ドメイン] タブに指定されているコンピュータに直接アクセスする]。ファイアウォール クライアント コンピュータ上の Web ブラウザが、ローカル ドメイン テーブル (LDT) で定義されているコンピュータへ直接アクセスする場合に、このオプションを選択します。
    • [ISA Server が利用できない場合、バックアップ ルートを使ってインターネットに接続する]。ISA Server コンピュータを利用できないときに、ファイアウォール クライアント上の Web ブラウザがバックアップ ルートを使用して要求を処理する場合に、このオプションを選択します。このオプションを選択した場合は、[直接アクセス] または [代替 ISA Server] を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更内容を保存し、ISA Server の構成を更新するには、詳細ウィンドウで [適用] ボタンをクリックします。
  • ここで指定するオプションは、Web ブラウザが使用する構成スクリプトに反映されます。

関連項目


ファイアウォール クライアントの Web ブラウザ設定を構成する

ファイアウォール クライアントの Web ブラウザ設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. ファイアウォール クライアント上の Web ブラウザが、指定した自動構成スクリプトに記述されている構成情報を使用する場合は、[ファイアウォール クライアント] タブで [このネットワークのファイアウォール クライアント サポートを有効にする] をクリックします。
  5. クライアント コンピュータが ISA Server コンピュータを自動的に検出する場合は、[設定を自動的に検出する] をクリックします。
  6. ファイアウォール クライアント コンピュータ上の Web ブラウザが、指定した自動構成スクリプトに記述されている構成情報を使用する場合は、[自動構成スクリプトを使用する] をクリックします。このオプションを選択した場合、次のいずれかを指定します。
    • [既定の URL を使う]。既定のクライアント構成スクリプトを使用するよう指定します。セットアップ中に、自動構成スクリプトの場所を指す既定の URL が ISA Server によって作成されます。この既定の構成スクリプトは、自動的に Web ブラウザで使用可能になります。したがって、Web ブラウザを個別に再構成せずに、すべてのクライアントの Web ブラウザ設定を更新することができます。
    • [カスタム URL を使う]。カスタム クライアント構成スクリプトを使用するよう指定します。既定の構成スクリプトの代わりに、独自の構成スクリプトを手動で作成できます。Web ブラウザが構成スクリプトを検出する際、カスタム スクリプトがブラウザに返されます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更内容を保存し、ISA Server の構成を更新するには、詳細ウィンドウで [適用] ボタンをクリックします。
  • 構成スクリプトは、[Web ブラウザ] タブで指定したオプションに基づいて作成されます。この構成スクリプトは、自動的にファイアウォール クライアント上の Web ブラウザで使用できるようになります。したがって、Web ブラウザを個別に再構成せずに、すべての Web ブラウザ設定を更新することができます。
  • [設定を自動的に検出する] を有効にすると、Web プロキシ自動検出 (WPAD) を組み込むよう DNS サーバーまたは DHCP サーバーを構成することができます。Web プロキシ クライアントは、WPAD 機能を利用して、Web 要求で使用する ISA Server コンピュータを自動的に検出します。これにより、ローミング クライアントがインターネットにログオンするときは、必ず適切な ISA Server コンピュータに接続するようになり、時間のかかる調整作業を減らすことができます。この機能は、Internet Explorer 5 以降のブラウザにのみ適用されます。

関連項目


ファイアウォール クライアントのアプリケーション設定を構成する

ファイアウォール クライアントのアプリケーション設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ファイアウォール クライアント設定の定義] をクリックします。
  3. [アプリケーションの設定] タブで、[新規作成] をクリックします。
  4. [アプリケーション] で、アプリケーションを選択します。または、新しいアプリケーションの名前を入力します。
  5. [キー] にキー名を入力します。
  6. [値] に、キーに設定する値を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既存のアプリケーション設定を削除するには、[アプリケーションの設定] タブで削除する設定を選択し、[削除] をクリックします。
  • 既存のアプリケーション設定を変更するには、[アプリケーションの設定] タブで変更する設定を選択し、[編集] をクリックします。

関連項目


以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可する

以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ファイアウォール クライアント設定の定義] をクリックします。
  3. [接続] タブで、[暗号化されていないファイアウォール クライアント接続を許可する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、古いバージョンのファイアウォール クライアント ソフトウェアを実行しているコンピュータは接続を許可されます。
  • このオプションを選択すると、認証されたユーザーからの非暗号化トラフィックはブロックされます。ファイアウォール ポリシー ルールで明示的に認証を要求している場合のみ、ユーザーの認証が行われます。

関連項目


古いバージョンのオペレーティング システムからのファイアウォール クライアント接続を許可する

古いバージョンのオペレーティング システムからのファイアウォール クライアント接続を許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ファイアウォール クライアント設定の定義] をクリックします。
  3. [接続] タブで、[暗号化されていないファイアウォール クライアント接続を許可する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 最大限のセキュリティを実現するために、このオプションを無効にすることをお勧めします。

関連項目


Web プロキシ クライアントを構成する

ここでは、Web プロキシ クライアントを構成する手順について説明します。

  • Web プロキシ クライアント要求をリッスンする
  • Web プロキシ クライアントの認証方法を構成する
  • Web プロキシ クライアント接続の最大数を構成する


Web プロキシ クライアント要求をリッスンする

Web プロキシ クライアント要求をリッスンするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[Web プロキシ クライアントを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web プロキシ クライアントのプロパティは、外部、検疫された VPN クライアント、VPN クライアントのビルトイン ネットワークでは構成できません。

関連項目


Web プロキシ クライアントの認証方法を構成する

Web プロキシ クライアントの認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[認証] をクリックします。
  5. [認証方法] で、選択したネットワークに接続するクライアントの認証に使用できる認証方法を選択します。
  6. このネットワークからのクライアントに対して、選択した認証方法のいずれかを使用して認証するよう強制するには、[すべてのユーザーに認証を要求する] を選択します。
  7. RADIUS、ダイジェスト、または基本認証を選択した場合は、[ドメインの選択] をクリックして、クライアントの認証時に使用するドメインの名前を入力します。
  8. RADIUS 認証を選択した場合は、[認証サービス] 分類で、システム ポリシーの [RADIUS] 構成グループを有効にする必要があります。
  9. RADIUS 認証を選択した場合は、[RADIUS サーバー] をクリックし、RADIUS 認証で使用するサーバーを構成します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 基本認証方法でネットワークにログオンするユーザーは、特定のドメインに属している必要があります。通常、基本認証に使用される Windows ドメインは、Web サーバーがアクティブであるローカル ドメインです。必要に応じて、別のドメインを指定できます。
  • ドメインを明示的に指定しない場合は、ISA Server 独自のドメインが使用されます。
  • RADIUS 認証を選択した場合は、その他の認証方法を選択できません。
  • 認証方法を選択しておらず、ユーザーに対して認証を要求するルールがファイアウォール ポリシーに含まれている場合は、認証に失敗し、要求が拒否されます。

関連項目


Web プロキシ クライアント接続の最大数を構成する

Web プロキシ クライアント接続の最大数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[詳細設定] をクリックします。
  5. 次のいずれかを選択します。
    • [無制限]。ISA Server に同時接続できる Web プロキシ クライアント数を制限しない場合に、このオプションを使用します。
    • [最大]。ISA Server に同時接続できる Web プロキシ接続の最大数を制限する場合に、このオプションを使用します。ボックスに、最大接続数を入力します。
  6. [接続タイムアウト] に、ISA Server が非アクティブ ユーザーを切断するまでの秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


自動検出を構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の自動検出機能を構成する手順について説明します。

  • 自動検出情報を公開する
  • ISA Server の自動検出用 DNS を構成する
  • ISA Server の自動検出用 DHCP を構成する


自動検出情報を公開する

自動検出情報を公開するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワーク (通常は [内部]) をクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [自動検出] タブで、[自動検出情報を公開する] チェック ボックスをオンにします。
  5. [自動検出要求に使うポート] に、ISA Server コンピュータが Web プロキシ自動検出 (WPAD) および Winsock プロキシ自動検出 (WSPAD) 要求をリッスンするポート番号を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更内容を保存し、ISA Server の構成を更新するには、詳細ウィンドウで [適用] ボタンをクリックします。

関連項目


ISA Server の自動検出用 DNS を構成する

ISA Server の自動検出用 DNS を構成するには

  1. [スタート] ボタンをクリックし、[すべてのプログラム]、[管理ツール] の順にポイントし、[DNS] をクリックします。
  2. コンソール ツリーで、該当する前方参照ゾーンを右クリックし、[新しいエイリアス] をクリックします。

    場所 :

    • DNS
    • <DNS サーバー>
    • 前方参照ゾーン
    • <該当するゾーン>
  3. [エイリアス名] に、「WPAD」と入力します。
  4. [ターゲット ホスト用の完全修飾名] に、ISA Server コンピュータまたはアレイの完全修飾ドメイン名を入力します。

注

  • [管理ツール] に [DNS] という項目がない場合、DNS はインストールされていません。
  • ISA Server コンピュータまたはアレイにホスト (A) レコードが既に定義されている場合は、[参照] をクリックして、ISA Server またはアレイ名の DNS 名前空間を検索することができます。
  • DNS を使用して WPAD を公開する場合は、ポート 80 を使用するように自動検出を構成する必要があります。または、発信方向の Web 要求をポート 80 でリッスンするように構成する必要があります。

関連項目


ISA Server の自動検出用 DHCP を構成する

ISA Server の自動検出用 DHCP を構成するには

  1. [スタート] ボタンをクリックし、[すべてのプログラム]、[管理ツール] の順にポイントし、[DHCP] をクリックします。
  2. コンソール ツリーで、適切な DHCP サーバーを右クリックし、[既定のオプションの設定]、[追加] の順にクリックします。
  3. [名前] に、「WPAD」と入力します。
  4. [コード] に、「252」と入力します。
  5. [データ型] で、[文字列] を選択し、[OK] をクリックします。
  6. [文字列] に、次のように入力します。

    http://<コンピュータ名>:<自動検出ポート番号>/Wpad.dat

    <コンピュータ名> は、ISA Server コンピュータまたはアレイの完全修飾ドメイン名で、<自動検出ポート番号> は、自動検出情報が公開されるポート番号です。このポートは、発信方向の Web 要求ポート番号、または自動検出の公開に使用される追加のポートのいずれかです。

  7. [サーバー オプション] を右クリックし、[オプションの構成] をクリックします。
  8. [オプション 252] チェック ボックスがオンになっていることを確認します。

関連項目


ファイアウォール クライアントのトラブルシューティング

どのような問題がありますか?

ファイアウォール クライアント ソフトウェアが正しくインストールされません。

原因 : ファイアウォール クライアントが適切にインストールされない原因はいくつか考えられます。ファイアウォール クライアント ソフトウェアのセットアップ プログラムは、クライアント ソフトウェアをインストールするたびにクライアント コンピュータ上にログ ファイルを作成します。ログ ファイルには、インストールされたクライアント アプリケーションや開始されたサービスに関する情報など、セットアップに関する情報が含まれています。

解決方法 : ログ ファイルを使用して、セットアップに関する問題のトラブルシューティングを行うことができます。ログ ファイル名は Firewallc.log です。これは、ファイアウォール クライアント ソフトウェアのインストール ディレクトリにあります。ISA Server は、ファイアウォール クライアント ソフトウェアがインストールされるたびにこのログ ファイルを上書きします。


マルチネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、マルチネットワーク モデルが採用されています。このモデルを使用すると、ISA Server で保護される任意の数のネットワーク間の関係を定義できます。ここでは、マルチネットワーク機能について説明し、ISA Server にネットワークを構成する手順を示します。

  • マルチネットワーク : 概念
  • マルチネットワーク : 操作方法
  • ダイヤルアップ エントリのトラブルシューティング


マルチネットワーク : 概念

ここでは、Internet Security and Acceleration (ISA) Server 2004 のマルチネットワーク機能について説明します。

  • マルチネットワークの概要
  • マルチネットワークのアーキテクチャ
  • ネットワーク
  • ネットワーク テンプレート
  • ネットワーク ルール
  • チェーンとルーティング


マルチネットワークの概要

ISA Server は、マルチネットワークの概念を導入しています。ISA Server のマルチネットワーク機能を使用して、組織の内部、外部に関係なくクライアント間の通信を制限することで、内外のセキュリティ上の脅威からネットワークを保護できます。内部ネットワーク内のコンピュータをネットワーク セットにグループ化し、各ネットワーク セット固有のアクセス ポリシーを構成することができます。また、さまざまなネットワーク間に関係を定義することで、各ネットワーク上のコンピュータが ISA Server 経由でどのように通信を行うかを指定できます。

一般的な公開シナリオでは、境界領域ネットワークなどのサーバー独自のネットワーク上にある公開されたサーバーを分離する場合があります。ISA Server のマルチネットワーク機能はこのようなシナリオに対応しているため、企業ネットワーク上のクライアントが境界領域ネットワークにアクセスする方法、および外部クライアントがこのネットワークにアクセスする方法を構成することができます。さまざまなネットワーク間の関係を構成することで、各ネットワーク間にさまざまなアクセス ポリシーを定義できます。

次の図は、マルチネットワークのシナリオを表しています。

マルチネットワーク

この図では、ISA Server コンピュータがインターネット (外部ネットワーク) と内部ネットワーク、企業ネットワーク、および境界領域ネットワークを接続しています。ISA Server コンピュータ上の各ネットワーク アダプタが、それぞれのネットワークに接続されています。ISA Server を使用して、任意のペアのネットワーク間にさまざまなアクセス ポリシーを構成することができます。つまり、各ネットワーク上のコンピュータが互いに通信できるかどうか、およびその通信方法を指定できます。各ネットワークは互いに分離されており、通信を可能にするルールを構成した場合のみアクセスできるようになります。

ISA Server のマルチネットワーク機能を使用して、組織の内部および外部にあるコンピュータ間の接続性と関係を識別、構成、および定義することができます。マルチネットワーク環境を構成するには、ネットワークを識別し、オプションでそれらをネットワーク セットにグループ化し、ネットワーク間の関係を定義します。

ネットワークを定義した後に、ネットワークが接続されるかどうか、およびどのように接続されるかを指定するネットワーク ルールを作成します。ネットワーク アドレス変換 (NAT) 関係とルーティング関係については、アクセス ルールを構成することでトラフィックが可能となります。宛先ネットワークから送信元ネットワークへのトラフィックが可能となるように公開ルールを構成することができます。


マルチネットワークのアーキテクチャ

標準的なマルチネットワーク環境では、ファイアウォールまたはルーターによって 1 つ以上のネットワークが接続されます。ファイアウォールまたはルーター上で構成されているアクセス制御に応じて、ネットワーク間の通信が可能となります。たとえば、標準的なマルチネットワークのシナリオを表している次の図について考えてみます。

マルチネットワーク : ネットワーク ビュー

この図では、企業ネットワークがインターネットに接続されており、クライアントがインターネットにアクセスできるようになっています。境界領域ネットワークは企業ネットワークとインターネットに接続されており、そのリソースにアクセスできるようになっています。

ISA Server では、IP アドレスがネットワークと呼ばれるセットにグループ化されます。ISA Server は、ネットワークを使用して、ISA Server を通さずにトラフィックを交換できるホストのアドレスを表します。ネットワークは、基本的に ISA Sever から見たネットワーク トポロジを表しています。詳細については、「ネットワークおよびネットワーク セットの構成」を参照してください。

ISA Server には、複数の特別なビルトイン ネットワーク要素が含まれています。次にいくつかの例を示します。

  • ビルトイン外部ネットワークには、他のどのネットワークにも属さないアドレスが自動的に取り込まれます。他のネットワークとは異なり、このネットワークは別のネットワークの背後に存在することが可能です。外部ネットワークの詳細については、「既定の外部ネットワーク」を参照してください。ネットワークの背後にあるネットワークの詳細については、「ネットワークの背後にあるネットワーク」を参照してください。
  • ビルトイン VPN クライアント ネットワークには、VPN クライアントに割り当てられたすべてのアドレスが自動的に取り込まれます。VPN クライアント ネットワークの詳細については、「VPN クライアントとファイアウォール ポリシー」を参照してください。
  • ビルトイン ローカル ホスト ネットワークには、ISA Server コンピュータ上のアドレスが取り込まれます。

注 :

  • ホストには、0 個またはそれ以上のアダプタを搭載できます。
  • アダプタには 0 個またはそれ以上のアドレスを設定できます。各アドレスには、ネットワーク アダプタを 1 つだけ関連付けることができます。
  • 1 つのアドレスは、1 つのネットワークにのみ属しています。
  • 単一ネットワーク アダプタ上のアドレスは、すべて同じネットワークに属していなければなりません。

ネットワーク間のアクセス

ISA Server を使用してネットワーク ルールを定義し、それによってネットワーク間のアクセスを可能にすることができます。その場合、ネットワークが接続されるかどうかだけではなく、その接続方法も定義します。こうして、ネットワーク間にネットワーク アクセス ポリシーを設定します。詳細については、「ネットワーク ルール」を参照してください。

次の図は、ネットワーク アクセス ポリシーの概念を示しています。前の図に示されていたネットワーク間でネットワーク アクセスが可能となるように、ネットワーク ルールが構成されています。

マルチネットワーク : ネットワーク ビュー

ネットワーク ルールでは、ネットワーク間の関係が次のように定義されています。

  1. 支社と本社の間に、ルーティングされたネットワーク関係が定義されています。ルーティングされた関係は相互の関係です。
  2. 企業ネットワークから境界領域ネットワークの方向に、ネットワーク アドレス変換 (NAT) ネットワーク関係が定義されています。NAT 関係は一方向かつ一意です。したがって、境界領域ネットワークから企業ネットワークの方向には関係が存在しません。
  3. 企業ネットワークからインターネットの方向に、NAT ネットワーク関係が定義されています。この場合も、インターネットから企業ネットワークの方向には関係が存在しません。
  4. 境界領域ネットワークからインターネットの方向に、NAT ネットワーク関係が定義されています。

ルーティングされたネットワーク関係では、各ネットワークがその実際の IP アドレスを公開します。そのため、ルーティングされたネットワーク関係は、ネットワーク間で双方向のトラフィックが実際に必要である場合のみ構成するようにしてください。


ネットワーク

ここでは、ネットワークについて説明します。

  • ネットワークおよびネットワーク セットの構成
  • ネットワーク構成の手順
  • ローカル ホスト ネットワーク
  • 内部ネットワーク
  • 既定の外部ネットワーク
  • ネットワークの背後にあるネットワーク


ネットワークおよびネットワーク セットの構成

ISA Server 側から見ると、ネットワークはインターネット プロトコル (IP) アドレスの範囲を 1 つ以上含むことができるルール要素です。ネットワークには、通常、物理ネットワークに対応している 1 台以上のコンピュータが含まれています。1 つ以上のネットワークに対して、あるいは指定したネットワークのアドレスを除いたすべてのアドレスに対して、ルールを適用できます。

コンピュータ上の各ネットワーク アダプタを、1 つのネットワークにマップできます。ネットワークには、1 つ以上のネットワーク アダプタと関連付けられているアドレスを含めることができます。また、ネットワークでは、ファイアウォール クライアントと Web プロキシ クライアントがそのネットワーク上でサポートされるかどうかも決定されます。

ISA Server には、次のネットワークが事前に構成されています。

  • ローカル ホスト。このネットワークは ISA Server コンピュータに相当します。ローカル ホスト ネットワークは変更および削除できません。詳細については、「ローカル ホスト ネットワーク」を参照してください。
  • 既定の外部。このネットワークには、その他のネットワークに関連付けられていないすべてのコンピュータ (IP アドレス) が含まれます。既定の外部ネットワークは変更および削除できません。詳細については、「既定の外部ネットワーク」を参照してください。
  • 内部。インストール時に、このネットワークには、インストール プロセスで指定されたすべてのコンピュータ (IP アドレス) が含まれます。内部ネットワークは削除できません。詳細については、「内部ネットワーク」を参照してください。
  • VPN クライアント。このネットワークには、現在接続されているクライアントのアドレスが含まれます。使用可能なアドレス範囲は、仮想プライベート ネットワーク (VPN) のプロパティを構成するときに構成されます。VPN クライアント ネットワークは削除できません。詳細については、「VPN クライアントとファイアウォール ポリシー」を参照してください。
  • 検疫された VPN クライアント。このネットワークには、検疫をクリアしていない VPN クライアントのアドレスが含まれます。検疫された VPN クライアント ネットワークは削除できません。詳細については、「検疫された VPN クライアントに対するファイアウォール ポリシー」を参照してください。

アクセス ルールでは、ルールを適用する宛先ネットワークと送信元ネットワークを指定します。送信元ネットワークは、指定した宛先ネットワークへのアクセスが許可または拒否されるネットワークを示します。

サーバー公開ルールでは、特定のコンピュータへのアクセスが許可される送信元ネットワークを指定します。

ネットワークを作成する

プレインストールされているネットワークの他にも、ネットワークを作成できます。作成するネットワークとして選択できるのは、内部、外部、または境界領域ネットワークです。手順については、「ネットワークを作成する」を参照してください。

これらのネットワークのいずれかを選択すると、そのネットワークに含まれる IP アドレスを指定できます。各 IP アドレスは、1 つのネットワークにのみ含まれます。手順については、「ネットワーク アドレスを構成する」を参照してください。

ネットワークを作成したら、次のプロパティを構成できます。

  • ドメイン (ファイアウォール クライアントのみ)。ネットワークに含めるドメインを指定します。ネットワーク内のドメインの場合、クライアント要求は ISA Server 経由では転送されません。手順については、「ネットワークに含まれるドメインを構成する」を参照してください。
  • Web ブラウザ。Web ブラウザの構成方法を指定します。これらのプロパティにより、構成スクリプトで ISA Server を指定する Web ブラウザの構成方法が決定されます。手順については、「ファイアウォール クライアントで Web ブラウザの構成 URL を指定する」を参照してください。
  • 自動検出。このネットワーク内のクライアントが、自動的に ISA Server コンピュータを検出するかどうか、またその方法を指定します。手順については、「自動検出情報を公開する」を参照してください。
  • ファイアウォール クライアントのサポート。このネットワークが、ファイアウォール クライアントからの要求をポート 1745 でリッスンするかどうかを指定します。手順については、「ファイアウォール クライアント要求をリッスンする」を参照してください。
  • Web プロキシ クライアントのサポート。このネットワークが、Web プロキシ クライアントからの TCP 要求をリッスンするかどうかを指定します。手順については、「Web プロキシ クライアント要求をリッスンする」を参照してください。

新しいサイト間 VPN を作成することもできます。サイト間ネットワーク (リモート サイト ネットワーク) の詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。

ネットワーク セット

ネットワークを作成したら、1 つ以上のネットワークをネットワーク セットにグループ化できます。ネットワーク セットを使用すると、1 つ以上のネットワークを含めたり、1 つ以上のネットワークを明示的に除外したりできます。ルールは、ネットワークにもネットワーク セットにも適用できます。

ISA Server をインストールすると、2 つのネットワーク セットが作成されます。これらのネットワーク セットは変更および削除できません。

  • すべてのネットワーク。このネットワーク セットには、ISA Server で定義されているすべてのネットワークが含まれます。新しいネットワークを作成すると、自動的にこのネットワーク セットに含まれます。
    "すべてのネットワーク" は "任意の場所" と同じです。すべての IP アドレスは、"任意の場所" と "すべてのネットワーク" の両方に含まれます。
  • すべての保護されたネットワーク。このネットワーク セットには、ビルトイン外部ネットワークを除く、すべてのネットワークが含まれます。新しいネットワークを作成すると、自動的にこのネットワーク セットに含まれます。

手順については、「ネットワーク セットを作成する」を参照してください。


ネットワーク構成の手順

新たに作成したネットワークがトラフィックを送受信するには、追加の構成手順を完了する必要があります。これらの手順は作成したネットワークの種類によって異なります。

内部、外部、および境界領域ネットワーク

これらのネットワーク上のクライアントがトラフィックを送受信するには、次の手順を完了する必要があります。

  1. このネットワークで送受信するトラフィックを許可するネットワーク ルールを作成します。手順については、「ネットワーク ルールを作成する」を参照してください。
  2. このネットワークで送受信するトラフィックを許可するファイアウォール ポリシー ルールを作成します。手順については、「アクセス ルールを作成する」、「Web 公開ルールを作成する」、「サーバー公開ルールを作成する」、または「メール サーバーを公開する」を参照してください。

IPSec を使用したサイト間 VPN

クライアントがインターネット プロトコル セキュリティ (IPSec) を使用して仮想プライベート ネットワーク (VPN) から接続するには、次の手順を完了する必要があります。

  1. このネットワークで送受信するトラフィックを許可するネットワーク ルールを作成します。
  2. このネットワークで送受信するトラフィックを許可するアクセス ルールを作成します。
  3. 新たに作成したネットワークのプロパティを使用して、IPSec プロトコルの設定を検証します。

PPTP または L2TP を使用したサイト間 VPN

クライアントが PPTP (Point-to-Point トンネリング プロトコル) またはレイヤ 2 トンネリング プロトコル (L2TP) を使用して VPN から接続するには、次の手順を完了する必要があります。

  1. 新しいネットワークと同じ名前でユーザーを作成し、リモート アクセスのアクセス許可を [アクセスを許可] に設定します。手順については、「リモート VPN クライアントのユーザーとグループを作成する」を参照してください。
  2. このネットワークで送受信するトラフィックを許可するネットワーク ルールを作成します。
  3. このネットワークで送受信するトラフィックを許可するアクセス ルールを作成します。


ローカル ホスト ネットワーク

ISA Server は、ローカル ホスト ネットワークに相当します。つまり、ISA Server で送受信されるすべてのトラフィックは、ローカル ホスト ネットワーク経由であると考えられます。

すべてのネットワークと同様に、ローカル ホスト ネットワークと他のネットワークとの間の関係を定義する必要があります。既定の [ローカル ホスト アクセス] ネットワーク ルールにより、ローカル ホスト ネットワークとその他のすべてのネットワークの間のルート関係が定義されます。

ローカル ホスト ネットワークから通常他のネットワーク上にある基本サービスへのアクセスは、ファイアウォール ポリシーとネットワーク ルールの組み合わせが定義されている場合にのみ許可されます。これらのサービスの大部分は ISA Server の基本機能にとって重要であるため、ISA Server のインストール時に作成される既定のシステム ポリシー ルールのセットにより、これらのサービスへのアクセスが可能になります。システム ポリシーの詳細については、「システム ポリシーの概要」を参照してください。


内部ネットワーク

内部ネットワークは、ISA Server によって使用される、既定の保護されたプライマリ ネットワークです。複数の追加の内部ネットワークを指定できます。インストール時には、既定の内部ネットワークが 1 つ以上構成されます。既定では、システム ポリシー ルールにより、内部ネットワークのリソースがローカル ホスト ネットワーク以外の他のネットワークから保護されます。既定の内部ネットワークから他のネットワークへのトラフィックを許可するアクセス ルールと、内部ネットワークにあるサーバーへのアクセスを許可する公開ルールを作成できます。

内部ネットワークは一般に、信頼されているネットワークで構成されていると見なされます。このため、既定のシステム ポリシーでは、ISA Server コンピュータに、内部ネットワークのサービスへのアクセスを許可します。システム ポリシーの詳細については、「システム ポリシー ルール」を参照してください。

構成手順については、「ネットワーク アドレスを構成する」を参照してください。

内部ネットワークの構成

ISA Server は、Microsoft® Windows Server™ 2003 または Windows® 2000 Server のルーティング テーブルに基づいて、内部ネットワークを作成できます。また、IANA によって RFC 1918 で定義されているプライベート IP アドレス範囲を選択することもできます。これらの 3 つのブロックのアドレスは、プライベート イントラネット専用として予約されており、パブリック インターネットで使用することはできません。

内部ネットワークは ISA Server コンピュータで集中管理されます。ファイアウォール クライアントは、あらかじめ設定されている間隔で、内部ネットワークの更新を自動的にダウンロードおよび受信します。ファイアウォール クライアントはオブジェクトを要求するときに、内部ネットワーク内のアドレスをチェックします。IP アドレスの要求が内部ネットワークに存在する場合、ファイアウォール クライアントはそのオブジェクトを直接要求します。IP アドレスの要求が内部ネットワークに含まれていない場合、クライアントは ISA Server コンピュータがクライアントに代わってそのオブジェクトを要求するよう求めます。

SecureNAT クライアントには、内部ネットワークのアドレスのローカル コピーがありません。このため、SecureNAT クライアントがオブジェクトを要求すると、その要求は ISA Server を経由して送信されます。外部の IP アドレスに対する要求の場合は、ISA Server がクライアントに代わってその要求を行います。

ルーティング テーブル

ISA Server が内部ネットワークを作成するときは、Windows Server 2003 または Windows 2000 Server のルーティング テーブルを使用して、内部ネットワーク内のどのアドレス範囲が内部アドレスであるかを判断します。ルーティング テーブルを正しく設定しなかった場合、ISA Server の内部ネットワークが正しく作成されないことがあります。それが原因で、内部 IP アドレスに対するクライアント要求がインターネットにルーティングされたり、Microsoft ファイアウォール サービスを経由してリダイレクトされたりします。Windows Server 2003 または Windows 2000 Server のルーティング ユーティリティを使用すると、ルーティング テーブルを正しく構成することができます。


既定の外部ネットワーク

ISA Server をインストールすると、5 つのネットワークが構成されます。既定の外部ネットワークはその 1 つです。

既定の外部ネットワークには、他のネットワークに明示的に含まれていないすべての IP アドレスが含まれます。インストールに伴い、既定の外部ネットワークには、内部ネットワークに含まれないすべてのアドレス、ローカル ホスト ネットワークの IP アドレス (127.0.0.1)、および ISA Server コンピュータ上の他のすべてのネットワーク アダプタの IP アドレスが構成されます。

既定の外部ネットワークは一般に、信頼されていないネットワークと見なされます。そのため、既定の外部ネットワークに対するネットワーク関係は、通常、ネットワーク アドレス変換 (NAT) として構成されます。これにより、送信元ネットワークのクライアントから宛先となる既定の外部ネットワークへのアクセスは許可し、既定の外部ネットワークから送信元ネットワークへのアクセスは禁止することが可能になります。ネットワーク ルールの詳細については、「ネットワーク ルール」を参照してください。


ネットワークの背後にあるネットワーク

"ネットワークの背後にあるネットワーク" 構成には、所属しないネットワークへのルートを持つネットワーク アダプタが含まれています。ほとんどの場合、ISA Server では、次の例外を除いてこのような構成はサポートされません。

  • ビルトイン外部ネットワークが、デフォルト ゲートウェイであるネットワーク アダプタの背後に配置されている可能性がある場合。
  • IPSec トンネルが 2 つのサイト間に存在している可能性がある場合。
  • 検疫された VPN クライアントがいずれのネットワークとも直接関連付けられていない場合。検疫された VPN クライアント ネットワークの詳細については、「検疫された VPN クライアントに対するファイアウォール ポリシー」を参照してください。

たとえば、アドレス 10.0.0.1 を持つネットワーク アダプタがデフォルト ゲートウェイであるとします。このネットワーク アダプタが、アドレス 10.X.X.X と 30.X.X.X 両方へのルートを持っており、アドレス 20.X.X.X に対しては、このネットワーク アダプタにも他のアダプタにもルートは存在しないとします。さらに、次の 2 つのネットワークがあるとします。

  • ネットワーク A : 10.0.0.0–10.255.255.255
  • ネットワーク B : 30.0.0.0–30.255.255.255

範囲 20.0.0.0–20.255.255.255 のネットワーク アドレスに対するルートは存在しないため、これらは既定の外部ネットワークの一部と見なされます。ネットワーク A のアダプタは既定の外部ネットワークへのルートを持っていても関連付けられていないため、この既定の外部ネットワークは、ネットワーク A の背後にあると見なされます。そのアドレスは、外部ネットワーク内にはありません。

ネットワーク B もネットワーク A の背後にあると見なされます。ただし、これは既定の外部ネットワークではありません。ISA Server ではこれを不適切な構成であると認識し、ネットワークは一時的に切断されていると見なされます。

ISA Server を構成する場合は、10.X.X.X と 30.X.X.X への 2 つのルートを 1 つのネットワーク内で組み合わせます。これら 2 つのアドレス範囲は同じネットワーク アダプタに関連付けられているため、ISA Server ではこれらを一意のネットワークとして見なすことはできません。


ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。ネットワーク テンプレートを使用すると、ネットワーク間のトラフィックのファイアウォール ポリシーを構成できます。ISA Server には、次のネットワーク テンプレートがあります。

  • エッジ ファイアウォール。このテンプレートは、ISA Server がネットワークのエッジに配置されているネットワーク トポロジを想定しています。一方のネットワーク アダプタが内部ネットワークに接続され、もう一方のネットワーク アダプタが外部ネットワーク (インターネット) に接続されています。このテンプレートを選択すると、発信方向のトラフィックをすべて許可したり、Web アクセスのみを許可するように発信方向のトラフィックを制限することができます。詳細については、「エッジ ファイアウォール ネットワーク テンプレート」を参照してください。
  • 三脚境界。このテンプレートは、ISA Server が内部ネットワーク、外部ネットワーク、および境界領域ネットワーク (DMZ、非武装地帯またはスクリーン サブネット) に接続されているネットワーク トポロジを想定しています。詳細については、「三脚境界ネットワーク テンプレート」を参照してください。
  • フロントエンド。このテンプレートは、ISA Server がネットワークのエッジに配置され、別のファイアウォールがバックエンドで構成され、内部ネットワークを保護しているネットワーク トポロジを想定しています。詳細については、「フロントエンド ネットワーク テンプレート」を参照してください。
  • バックエンド。このテンプレートは、ISA Server が境界領域ネットワークと内部ネットワーク間に展開され、別のファイアウォールがバックエンドで構成され、内部ネットワークを保護しているネットワーク トポロジを想定しています。詳細については、「バックエンド ネットワーク テンプレート」を参照してください。
  • 単一ネットワーク アダプタ。このテンプレートは、境界領域ネットワークまたは企業ネットワーク内の単一ネットワーク アダプタ構成を想定しています。この構成では、ISA Server は Web プロキシとキャッシュ サーバーとして使用されます。詳細については、「単一ネットワーク アダプタのネットワーク テンプレート」を参照してください。


エッジ ファイアウォール ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、基本的なシナリオで、ISA Server をファイアウォールとしてネットワークのエッジにセットアップするとします。これにより、ネットワークが外部アクセスから保護されると同時に、企業ネットワーク上のユーザーによる特定のアクセスが許可されます。

エッジ ファイアウォール ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシーを構成します。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、エッジ ファイアウォール ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | ありません。
インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がサービスを提供している場合に役立ちます。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。
制限付き Web アクセスを許可する | HTTP、HTTPS、および FTP のみを使用する限定された Web アクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークから外部ネットワークへの HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
ISP ネットワーク サービスへのアクセスと限定された Web アクセスを許可する | HTTP、HTTPS、および FTP を使用する限定された Web アクセスと、ISP ネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
すべてのプロトコルのアクセスを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) へのすべてのプロトコルを許可します。 VPN クライアント ネットワークを内部ネットワークに許可します。


三脚境界ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、あるシナリオで、3 つのネットワーク アダプタを備えた ISA Server コンピュータをセットアップするとします。ネットワーク アダプタの 1 つ目はインターネット (外部ネットワーク) に接続され、2 つ目は内部ネットワークに接続され、3 つ目は境界領域ネットワークに接続されています。三脚境界ネットワークテンプレートは、このシナリオに適用されます。

三脚境界ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシーを構成します。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、三脚境界ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | ありません。
インターネット アクセスをブロックし、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可する | 境界領域ネットワーク上のネットワーク サービス (DNS) へのアクセスを除き、ISA Server 経由のすべてのネットワーク アクセスをブロックします。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS トラフィックを許可します。
インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がネットワーク サービスを提供している場合に役立ちます。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | 内部ネットワーク、VPN クライアント ネットワーク、および境界領域ネットワークから外部ネットワーク (インターネット) への DNS トラフィックを許可します。
制限付き Web アクセスを許可する | HTTP、HTTPS、および FTP のみを使用する限定された Web アクセスを許可します。このポリシーは、それ以外のすべてのネットワーク アクセスをブロックします。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限された Web アクセスと、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可する | HTTP、HTTPS、および FTP のみを使用する限定された Web アクセスを許可し、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 このオプションは、境界領域ネットワークでネットワーク インフラストラクチャ サービスを利用できる場合に役立ちます。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS トラフィックを許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
ISP ネットワーク サービスへのアクセスと限定された Web アクセスを許可する | 限定されたインターネット アクセスを許可し、ISP が提供する DNS などのネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワーク、VPN クライアント ネットワーク、および境界領域ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
すべてのプロトコルを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。 後から、特定の種類のネットワーク アクセスをブロックするようにアクセス ルールを変更できます。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) へのすべてのプロトコルを許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。


フロントエンド ネットワーク テンプレート

フロント ファイアウォール ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、あるシナリオで、ISA Server コンピュータをネットワークのエッジに展開し、別のファイアウォールをバックエンドに構成して、内部ネットワークを保護しているとします。このシナリオでは、ISA Server は、バックツーバック境界領域ネットワーク構成の中で、防衛の第一線として機能します。フロントエンド ネットワーク テンプレートは、このシナリオに適用されます。

フロントエンド ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールおよびファイアウォール ポリシーを構成します。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、フロントエンド ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | ありません。
インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がネットワーク サービスを提供している場合に役立ちます。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | VPN クライアント ネットワークおよび境界領域ネットワークから外部ネットワーク (インターネット) への DNS を許可します。
インターネット アクセスをブロックする (ネットワーク サービスは境界領域ネットワーク上に存在) | 境界領域ネットワーク上の DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS を許可します。
制限された Web アクセスを許可する (ネットワーク サービスは境界領域ネットワーク上に存在) | 限定された Web アクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | VPN クライアント ネットワークおよび境界領域ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから境界領域ネットワークへのすべてのプロトコルを許可します。
ISP ネットワーク サービスへのアクセスと限定された Web アクセスを許可する | 限定された Web アクセスを許可し、ISP が提供する DNS などのネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 境界領域ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワーク、VPN クライアント ネットワーク、および境界領域ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから境界領域ネットワークへのすべてのプロトコルを許可します。
制限なしアクセスを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。 後から、特定の種類のネットワーク アクセスをブロックするようにアクセス ルールを変更できます。 | 境界領域ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) へのすべてのプロトコルを許可します。 VPN クライアント ネットワークから境界領域ネットワークへのすべてのプロトコルを許可します。


バックエンド ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、あるシナリオで、ISA Server コンピュータを境界領域ネットワークと内部ネットワークの間に展開し、別のファイアウォールをバックエンドに構成して、内部ネットワークを保護しているとします。このシナリオでは、ISA Server は、バックツーバック境界領域ネットワーク構成の中で、後方の防衛線として機能します。バックエンド ネットワーク テンプレートは、このシナリオに適用されます。

バックエンド ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシーを構成します。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、バックエンド ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
アクセスなし : すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | ありません。
アクセスなし : インターネット アクセスをブロックする (ネットワーク サービスは境界領域ネットワーク上に存在) | 境界領域ネットワーク上のネットワーク サービス (DNS) へのアクセスを除き、ISA Server 経由のすべてのネットワーク アクセスをブロックします。 このオプションは、独自のファイアウォール ポリシーを定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS を許可します。
アクセスなし : インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がネットワーク サービスを提供している場合に役立ちます。 このオプションは、独自のファイアウォール ポリシーを定義する場合に使用します。 | 境界領域のアドレス範囲を除いて、内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。
制限されたアクセス : 制限付き Web アクセスを許可する | 限定された Web アクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限されたアクセス : 制限付き Web アクセスを許可する (ネットワーク サービスは境界領域ネットワーク上に存在) | 限定された Web アクセスを許可し、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限されたアクセス : 制限付き Web アクセスを許可し、ISP ネットワーク サービスへのアクセスを許可する | 限定された Web アクセスを許可し、ISP が提供する DNS などのネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 境界領域のアドレス範囲を除き、内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限なしインターネット アクセス : すべてのプロトコルを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。後から、特定の種類のネットワーク アクセスをブロックするようにアクセス ルールを変更できます。 | 内部ネットワークおよび VPN クライアント ネットワークから、外部ネットワーク (インターネット) および境界領域のアドレス範囲へのすべてのプロトコルを許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。


単一ネットワーク アダプタのネットワーク テンプレート

単一ネットワーク アダプタを搭載したコンピュータに ISA Server をインストールできます。一般に、別のファイアウォールをネットワークのエッジに配置して、企業のリソースをインターネットに接続している場合、このようなシナリオになります。この単一アダプタのシナリオでは、通常 ISA Server はキャッシュ サーバーとして機能します。これは、インターネットのコンテンツを、企業ネットワークのクライアントで使用するためにキャッシュするサーバーです。

単一ネットワーク アダプタのネットワーク テンプレート

単一ネットワーク アダプタのネットワーク テンプレートを適用する場合には、すべての IP アドレスが含まれるように内部ネットワークを構成します。"Web プロキシ機能とキャッシュ機能の既定の構成を許可する" というファイアウォール ポリシーが適用されます。このポリシーを使用すると、Web プロキシ クライアントはインターネット上の Web コンテンツにアクセスできるようになり、キャッシュにより Web パフォーマンスが高速化します。ルールは作成されません。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

内部ネットワーク

ISA Server の基本的な機能の 1 つに、複数のネットワークに接続できる機能があります。ただし、単一アダプタ コンピュータに ISA Server をインストールしている場合は、ISA Server は 1 つのネットワーク、つまり内部ネットワークしか認識しません。内部ネットワークは、0.0.0.0、255.255.255.255、および 127.0.0.0 ～ 127.255.255.255 のアドレス範囲を除く、すべての IP アドレスを含んでいます。

単一アダプタ コンピュータに ISA Server をインストールする

セットアップ プロセスでは、内部ネットワークのアドレスを指定します。ネットワーク アダプタを 1 つ搭載したコンピュータに ISA Server をインストールする場合は、0.0.0.0、255.255.255.255、および 127.0.0.0 ～ 127.255.255.255 のアドレス範囲を除く、すべてのアドレスを含めます。

単一ネットワーク アダプタのネットワーク テンプレートを使用すると、単一アダプタの ISA Server コンピュータを構成できます。このテンプレートを使用するには、ISA Server の管理で [構成] ノードを展開し、[ネットワーク] をクリックします。[タスク] タブの [テンプレート] タブで、[単一ネットワーク アダプタ] をクリックして [ネットワーク テンプレート ウィザード] を起動します。ウィザードの指示に従って構成を行います。

[ネットワーク テンプレート ウィザード] の既定の設定を使用することをお勧めします。

キャッシュ

単一アダプタ コンピュータ上の ISA Server を、転送プロキシおよびキャッシュ サーバーとして展開して、クライアントからインターネットへのアクセスを最適化できます。このシナリオでは、すべての Web ブラウザ クライアントからアクセスが可能で、頻繁に要求されるインターネット オブジェクトのキャッシュを集中管理し、キャッシュ ルールを使用してこのキャッシュを管理できます。

このシナリオでは、既定のファイアウォール ポリシーを変更して、内部クライアントにインターネットへのアクセスを許可します。すべての IP アドレスは同一の内部ネットワーク上にあるものと見なされますが、ISA Server では、既定のルールはすべてを拒否する設定のため、Web トラフィックを拒否してしまうことがあります。そこで、ネットワーク間の通過をトラフィックに許可するルールを作成する必要があります。

このキャッシュ シナリオを有効にするには、すべてのクライアントに HTTP (ハイパーテキスト転送プロトコル) の使用と、可能であれば HTTPS と FTP (ファイル転送プロトコル) の使用も許可するアクセス ルールを作成します。内部ネットワークはすべてのアドレスを含むように一意に定義されるため、このルールの送信元ネットワークと宛先ネットワークは内部ネットワークとなるはずです。

Web プロキシ、Web、および Outlook Web Access の公開

単一アダプタ コンピュータ上の ISA Server をリバース Web プロキシとして展開して、Web 公開シナリオと Outlook Web Access 公開シナリオを有効にできます。

単一アダプタ モードの機能

ISA Server を単一アダプタ コンピュータにインストールする場合、次の ISA Server 機能は使用できません。

  • ファイアウォール クライアント
  • 仮想プライベート ネットワーク
  • IP パケット フィルタ
  • マルチネットワーク ファイアウォール ポリシー
  • サーバー公開
  • アプリケーション レベルのフィルタ

サポートされているプロトコルは、HTTP、HTTPS、および FTP over HTTP です。

この結果、ネットワークでの ISA Server のセキュリティ ロールが制限されます。


ネットワーク ルール

ISA Server を使用してネットワーク ルールを構成することで、ネットワーク トポロジを定義し、記述することができます。ネットワーク ルールによって、2 つのネットワーク エンティティ間に関係があるかどうか、および定義される関係の種類が決まります。ネットワークの関係は、次のように構成することができます。

  • [ルート]。この種類の接続を指定すると、送信元ネットワークからのクライアント要求が、宛先ネットワークに直接中継されます。要求には、送信元クライアントのアドレスが含まれています。
  • [ネットワーク アドレス変換 (NAT)]。この種類の接続を指定すると、ISA Server によって、送信元ネットワークでのクライアントの IP アドレスが ISA Server 独自の IP アドレスで置き換えられます。

ネットワーク間に関係が構成されていないときは、ISA Server によって 2 つのネットワーク間のすべてのトラフィックが破棄されます。

ネットワーク ルールの作成

ネットワーク ルールを作成する場合、同一のネットワークの間でネットワーク ルールを定義することはできません。同じネットワーク上にあるコンピュータ間のトラフィックは、ルーティングされるトラフィックとして定義されます。このトラフィックに対して NAT はサポートされません。

手順については、「ネットワーク ルールを作成する」を参照してください。

ネットワークの関係

ルート関係は、アドレス変換が実行されないことを意味します。ルーティングされたネットワークは双方向です。つまり、ネットワーク A からネットワーク B の方向にルーティングされた関係が定義されている場合は、ネットワーク B からネットワーク A の方向にもルーティングされた関係が存在します。一方、NAT 関係は一意かつ一方向です。ネットワーク A からネットワーク B の方向に NAT 関係が定義されている場合は、ネットワーク B からネットワーク A の方向にネットワークの関係を定義できません。

NAT 関係には方向性があります。これは、送信元ネットワークのアドレスが ISA Server を通過する際に必ず変換されることを意味します。たとえば、送信元ネットワーク A から宛先ネットワーク B の方向に NAT ネットワーク関係が存在するとします。送信元ネットワーク A での IP アドレスは、宛先ネットワーク B 上のコンピュータに要求が渡される前に、ISA Server コンピュータでのアドレスに置換されます。一方、ネットワーク B からネットワーク A 上のコンピュータにパケットが返されるときは、ネットワーク B 上のコンピュータのアドレスは変換されません。つまり、ネットワーク A 上のコンピュータには、ネットワーク B 上のコンピュータのアドレスがわかりません。事実上、NAT 関係によって、ネットワーク A の内部アドレス構造は非公開となり、ネットワーク B からはアクセスできません。

手順については、「ネットワーク ルールを編集する」を参照してください。

既定のルール

インストール時に、以下の既定のルールが作成されます。

  • [ローカル ホスト アクセス]。このルールは、ローカル ホスト ネットワークとその他すべてのネットワークの間のルート関係を定義します。これによって、ISA Server コンピュータとそのコンピュータに接続されているすべてのネットワークの間に接続が定義されます。
  • [VPN クライアントから内部ネットワーク]。このルールは、内部ネットワークと検疫された VPN クライアントおよび VPN クライアント ネットワークの間のルート関係を定義します。
  • [インターネット アクセス]。このルールは、内部ネットワークと外部ネットワークの間の NAT 関係を定義します。

処理の順序

ネットワーク ルールには順序があります。2 つのアドレス A と B の間のアドレス関係を特定するために、ISA Server は優先順位に従ってネットワーク ルールを処理し、これらのアドレスと一致するルールを探します。最初に一致したルールによって、アドレス関係が定義されます。

つまり、2 つのネットワーク間のルート関係でネットワーク ルールを定義しておいて、その後でより順位が高いネットワーク ルールを作成して、特定のアドレスに対してこの関係を上書きすることができます。


チェーンとルーティング

ここでは、チェーンとルーティングについて説明します。

  • Web チェーン ルール
  • ファイアウォール チェーン
  • ダイヤルアップ接続
  • 自動ダイヤルのネットワーク
  • ダイヤルアップ接続構成の手順
  • PPTP または L2TP ダイヤルアップ接続


Web チェーン ルール

Web チェーン ルールを使用すると、宛先に応じた条件を使用して要求をルーティングできます。たとえば、本社が米国にあり、支社が英国にある組織が、支社に ISA Server コンピュータをセットアップするとします。支社のサーバーは英国内のインターネット サービス プロバイダ (ISP) に接続されています。支社の ISA Server コンピュータ上の Web チェーン ルールによって、英国内のインターネット ホストに対する要求をローカルの ISP に送信し、その他の要求は本社の ISA Server コンピュータに送信することができます。

英国の支社にある下位の ISA Server コンピュータは、本社の ISA Server キャッシュを利用できます。この利点は、ローカルの ISP から取得したローカルのオブジェクトを支社の ISA Server コンピュータ上でさらにキャッシュすることで拡大されます。

次の図は、要求された宛先に応じて Web プロキシの要求を異なるサーバーにルーティングする方法を示しています。

ルーティング

この図では、支社の ISA Server コンピュータは国内のサイトすべてに対するクライアント要求をインターネットにルーティングします。その他すべてのサイトに対するクライアント要求は、本社の上位の ISA Server コンピュータにルーティングされます。

手順については、「Web チェーン ルールを作成する」を参照してください。

Web 要求をルーティングする

Web チェーン ルールの構成の一部として、Web プロキシ クライアント要求がルーティングされる方法を次のように指定できます。

  • 指定された宛先から直接オブジェクトを取得する。
  • 特定の上位 ISA Server コンピュータに要求をルーティングする。この場合、1 次ルートが使用不可能な場合のバックアップ ルートを指定することもできます。
  • ホストされたサイトにリダイレクトする。この場合、要求は指定された Web サイトにルーティングされます。

手順については、「Web チェーン ルールが要求を取得する方法を構成する」を参照してください。

ISA Server は、1 次ルートが使用不可能な場合に、バックアップ ルートを使用します。ISA Server コンピュータは、1 次ルートとして指定されている上位サーバーを定期的にポールし、そのサーバーが使用可能であるかどうかを判断します。1 次ルートが使用可能になると、要求はバックアップ ルートのサーバーではなく、1 次ルートのサーバーに送信されるようになります。手順については、「Web 要求の 1 次ルートを構成する」および「Web 要求のバックアップ ルートを構成する」を参照してください。

認証

場合によっては、上位サーバーが下位プロキシに対して認証を渡すように要求することがあります。このような場合は、資格情報を渡す必要があります。これらの資格情報は、上位サーバーが下位サーバーを認証するために使用されます。

認証が必要な場合、要求のリダイレクト先の Web サーバーがクライアントを認証できるかどうかを構成できます。手順については、「資格情報の委任を許可する」を参照してください。

重要

  • テキスト形式の資格情報を上位サーバーに渡すときは、上位サーバーとネットワークがこれらの資格情報にアクセスできる可能性があることに注意してください。標準の HTTP 接続では、情報はすべてテキスト形式で渡されます。

ブリッジ

発信方向の Web 要求の場合、ISA Server によって、標準のルーティング機能が SSL (Secure Sockets Layer) ブリッジ機能で拡張されます。これによって、トラフィックを上位サーバーにルーティングする方法を構成できます。

Web チェーン ルールを作成するときは、HTTP (ハイパーテキスト転送プロトコル) 要求および SSL 要求を、HTTP 要求としてリダイレクトするか、SSL 要求としてリダイレクトするかを構成できます。要求が SSL 要求としてリダイレクトされる場合、ISA Server コンピュータでは要求を渡す前に、パケットを再暗号化します。上位サーバーとの通信には、セキュリティで保護された新しいチャネルが確立されます。

上位 Web サーバーがクライアント証明書を必要とする場合があります。その場合、特定のクライアント側証明書を使用して認証するように ISA Server を構成してください。

手順については、「HTTP 要求をリダイレクトする方法を構成する」および「SSL 要求をリダイレクトする方法を構成する」を参照してください。


ファイアウォール チェーン

ファイアウォール クライアントにファイアウォール チェーンを使用すると、要求がルーティングされる方法を構成できます。要求は、ファイアウォール クライアントから次のいずれかにルーティングされるように選択できます。

  • ダイヤルアップ接続を使用するかどうかに関係なく、直接インターネットにルーティングする。
  • ダイヤルアップ接続を使用するかどうかに関係なく、上位のプロキシ サーバーにルーティングする。

注

  • クライアント要求がルーティングされるとき、オブジェクトはキャッシュされません。

上位のプロキシ サーバー

クライアント要求は、上位の ISA Server コンピュータまたは Microsoft Proxy Server 2.0 コンピュータにルーティングできます。この場合、1 次ルートを指定できます。

認証

ファイアウォール クライアント要求が上位のプロキシ サーバーに送信される場合は、パスワード認証を有効にすることができます。これによって、ISA Server と上位サーバー間で使用される認証パラメータが指定されます。

手順については、「ファイアウォール チェーンを構成する」を参照してください。


ダイヤルアップ接続

ISA Server は、ルーティングとチェーンの構成内容に基づき、ダイヤルアップ エントリを使用してインターネットにダイヤルアウトします。ISA Server がダイヤルアップ接続を使用するタイミングを設定するには、ダイヤルアップ接続を使用してアクセス可能なネットワークを指定します。

ISA Server は、次のオプションでダイヤルアウトするように構成できます。

  • [ファイアウォール チェーン]。既存のネットワーク以外のネットワークにアクセスするようファイアウォール チェーンを構成し、さらにチェーン ネットワークへのアクセスにダイヤルアウトが必要な場合は、このオプションを使用します。
  • [Web チェーン ルール]。クライアントがオブジェクトを要求し、クライアント要求のルートでダイヤルアップ接続の確立が必要とされ、さらにアクセス ポリシーによってクライアント要求が許可される場合は、このオプションを使用します。ISA Server ではアクティブなダイヤルアップ エントリを使用してインターネットにダイヤルアウトします。

さらに、ISA Server では、クライアントがオブジェクトを要求し、その要求がアクセス ポリシーによって許可されるかどうかを ISA Server が明確に判断できない場合 (たとえば、要求に適用される Web チェーン ルールによって、ダイヤルアップ接続を確立すべきであることが示される場合) にも、インターネットにダイヤルアウトします。これは、アクセス ポリシー ルールが宛先を名前で指定していて、クライアントがコンピュータをインターネット プロトコル (IP) アドレスで指定しているときに発生します。

ISA Server では、クライアント要求に適用される Web チェーン ルールがダイヤルアップ接続の確立を必要とするかどうかがチェックされます。このような Web チェーン ルールが存在する場合、ISA Server ではインターネットにダイヤルアウトし、クライアントが要求しているコンピュータの名前を解決するか、逆引き参照を行います。次に、ISA Server はアクセス ポリシー ルールを再びチェックし、要求が許可されるかどうかを判断します。ルールの処理方法については、「ファイアウォール ポリシーの動作」を参照してください。

ISA Server のダイヤルアウトのタイミングを制限する

ISA Server からインターネットへのダイヤルアウトのタイミングを制限するには、次の操作を行います (複数可)。

  • すべての内部コンピュータの名前が含まれるように、ローカル ドメイン テーブル (LDT) を構成します。こうすると、ISA Server は要求されたコンピュータが実際は内部コンピュータであることを判断するためだけに、外部 DNS サーバーにダイヤルアウトする必要がなくなります。LDT は、ファイアウォール クライアントからの要求に関してのみチェックされます。
  • 特定のネットワークへのアクセス時にのみダイヤルアウトを許可します。

ダイヤルアップ接続を閉じる

ISA Server がインターネットにダイヤルアウトした後は、次のいずれかの状態が発生するまで接続が維持されます。

  • ISA Server が接続にダイヤルし、Microsoft ファイアウォール サービスがその後停止した場合。
  • ISA Server が接続にダイヤルし、その接続中に、ISA Server が使用するインターネット サービス プロバイダ (ISP) がユーザーによって変更された場合。
  • ダイヤルアップ エントリが定義済みのアイドル時間に達したため、接続が終了した場合。


自動ダイヤルのネットワーク

自動ダイヤルは、ネットワークごとに構成します。ISA Server 2004 は、選択されているネットワークに対する要求を受け取ると、そのネットワーク用に構成されているダイヤルアップ接続を使用します。

自動ダイヤルは、1 つのネットワークに対してのみ使用できます。

インターネットへの接続に自動ダイヤルが使用される場合は、自動ダイヤル接続用の外部ネットワークを選択する必要があります。自動ダイヤルは、インターネット以外のネットワークに使用することもできます。たとえば、支社または組織内の特定の場所に接続するために自動ダイヤルを構成できます。

手順については、「自動ダイヤルを構成する」を参照してください。ネットワークの作成手順については、「ネットワークを作成する」を参照してください。


ダイヤルアップ接続構成の手順

ダイヤルアップ接続では、インターネット サービス プロバイダ (ISP)、ISP の電話番号、モデムなどのダイヤルアップ プロパティを指定します。

ダイヤルアップ接続は、Microsoft Windows Server の [新しい接続ウィザード] で作成します。

ダイヤルアップ接続を選択したら、ISP で必要とするダイヤルアップ アカウントの詳細を指定する必要があります。これらはダイヤルアップ接続の作成時に使用されるアカウント詳細と同じです。ダイヤルアップ アカウントの詳細は、ISP への接続時に ISA Server で使用されます。

ダイヤル オン デマンドを有効にするには、次の手順を実行します。

  1. オペレーティング システムでネットワーク接続を作成します。ネットワーク ダイヤルアップ接続の作成手順については、Windows ヘルプを参照してください。
  2. ISA Server が自動ダイヤルアウトするネットワークを選択します。
  3. ISA Server コンピュータの内部ネットワーク アダプタで、デフォルト ゲートウェイが構成されていないことを確認します。


PPTP または L2TP ダイヤルアップ接続

一部のケーブル モデム接続については、インターネット サービス プロバイダ (ISP) が PPTP (Point-to-Point トンネリング プロトコル) または レイヤ 2 トンネリング プロトコル (L2TP) のみをサポートしている場合があります。この場合は、次の手順を実行して ISA Server からのダイヤルアップ接続を有効にする必要があります。

  1. [新しい接続ウィザード] を使用して、ダイヤルアップ接続を作成します。[ネットワーク接続の種類] で、[職場のネットワークへ接続する] を指定します。[ネットワーク接続] で、[仮想プライベート ネットワーク接続] を選択します。
  2. PPTP または L2TP を許可するアクセス ルール (ローカル ホストから ISP の IP アドレスまたは外部ネットワークへのクライアント プロトコル) を作成します。手順については、「アクセス ルールを作成する」を参照してください。
  3. ネットワーク接続を使用するように、ISA Server のダイヤルアップの基本設定を構成します。手順については、「自動ダイヤルを構成する」を参照してください。


マルチネットワーク : 操作方法

ここでは、ネットワーク ポリシーを設定する手順について説明します。

  • ネットワーク テンプレートを適用する
  • ネットワークを構成する
  • ネットワーク セットを構成する
  • ネットワーク ルールを構成する
  • Web チェーン ルールを構成する
  • ファイアウォール チェーンを構成する
  • 自動ダイヤルを構成する


ネットワーク テンプレートを適用する

ネットワーク テンプレートを適用するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [テンプレート] タブで、適切なネットワーク テンプレートをクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server をインストールすると、次の 2 つのネットワーク セットが作成されます。
    • すべてのネットワーク。ISA Server コンピュータに定義されているすべてのネットワークが含まれます。新しいネットワークを作成すると、そのネットワークはすべてのネットワーク セットに自動的に追加されます。
    • すべての保護されたネットワーク。インストール時に定義された、外部ネットワークを除くすべてのネットワークが含まれます。新しいネットワークを作成すると、そのネットワークはすべてのネットワーク セットに自動的に追加されます。

関連項目


ネットワークを構成する

ここでは、ネットワークを構成する手順について説明します。

  • ネットワークを作成する
  • ネットワーク アドレスを構成する
  • 許可する Web プロキシ クライアントの同時接続の最大数を構成する
  • ネットワークに含まれるドメインを構成する
  • ネットワークを削除する


ネットワークを作成する

ネットワークを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックします。
  3. [タスク] タブで、[新しいネットワークの作成] をクリックします。
  4. [新しいネットワーク ルール ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ネットワーク アドレスを構成する

ネットワーク アドレスを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [アドレス] タブで、次のいずれかの操作を行います。
    • IP アドレスの特定の範囲を追加するには、[追加] をクリックします。次に、ネットワーク アドレス範囲の最初のアドレスを [開始アドレス] に入力し、ネットワーク アドレス範囲の最後のアドレスを [終了アドレス] に入力します。
    • 特定のアダプタに割り当てられている IP アドレスを追加するには、[アダプタの追加] をクリックし、[ネットワーク アダプタの詳細] でアダプタを選択します (複数可)。
    • プライベート アドレス範囲を追加するには、[プライベートの追加] をクリックし、一覧から範囲を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 内部ネットワークを除き、ISA Server のインストール時に作成される既定のネットワークについては、いずれもアドレスを変更できません。

関連項目


許可する Web プロキシ クライアントの同時接続の最大数を構成する

許可する Web プロキシ クライアントの同時接続の最大数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[詳細設定] をクリックします。
  5. [詳細設定] で、次のいずれかを選択します。
    • [無制限]。サーバーに同時接続するクライアントの数を無制限に許可します。
    • [最大]。サーバーに同時接続できるクライアントの最大数を制限します。接続の最大数を入力します。
  6. [詳細設定] の [接続タイムアウト] に、サーバーが非アクティブ ユーザーを切断するまでの秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ネットワークに含まれるドメインを構成する

ネットワークに含まれるドメインを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [ドメイン] タブで、[追加] をクリックします。[ネットワークに含めるドメイン名] に、ドメイン名を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 1 つのコンピュータを追加するには、そのコンピュータの完全修飾ドメイン名 (FQDN) を入力します。サーバー名は一意であることが必要です。FQDN を使用すると、重複したサーバー名による競合を回避できます。
  • ドメイン名全体を追加するには、「*.<ドメイン名>」と入力します。
  • すべてのドメインを追加するには、「*」と入力します。
  • ネットワークからドメインを削除するには、[ドメイン] タブで該当するドメインを選択し、[削除] をクリックします。

関連項目


ネットワークを削除する

ネットワークを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server のインストール時に作成された既定のネットワークは削除できません。

関連項目


ネットワーク セットを構成する

ここでは、ネットワーク セットを構成する手順について説明します。

  • ネットワーク セットを作成する
  • ネットワーク セットを編集する
  • ネットワーク セットを削除する


ネットワーク セットを作成する

ネットワーク セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク セット] タブをクリックします。
  3. [タスク] タブで、[新しいネットワーク セットの作成] をクリックします。
  4. [新しいネットワーク セット ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ネットワーク セットを編集する

ネットワーク セットを編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク セット] タブをクリックし、該当するネットワーク セットを選択します。
  3. [タスク] タブで、[選択したネットワーク セットの編集] をクリックします。
  4. [ネットワーク] タブで、ネットワーク セットに含める 1 つまたは複数のネットワークを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ネットワーク セットを削除する

ネットワーク セットを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク セット] タブをクリックし、該当するネットワーク セットを選択します。
  3. [タスク] タブで、[選択したネットワークの削除] をクリックします。
  4. [新しいネットワーク ルール ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server のインストール時に作成された既定のネットワーク セットは削除できません。

関連項目


ネットワーク ルールを構成する

ここでは、ネットワーク ルールを構成する手順について説明します。

  • ネットワーク ルールを作成する
  • ネットワーク ルールを編集する
  • ネットワーク ルールを無効にする
  • ネットワーク ルールを削除する


ネットワーク ルールを作成する

ネットワーク ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブをクリックします。
  3. [タスク] タブで、[新しいネットワーク ルールの作成] をクリックします。
  4. [新しいネットワーク ルール ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを作成したら、詳細ウィンドウで [適用] ボタンをクリックして、変更内容を保存し、構成を更新する必要があります。

関連項目


ネットワーク ルールを編集する

ネットワーク ルールを編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [送信元ネットワーク] タブで、[このルールを次の送信元からのトラフィックに適用する] の横にある [追加] をクリックし、次の操作を行います。
    1. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    2. 複数のネットワーク オブジェクトを追加する場合は、手順 a を繰り返します。その後、[閉じる] をクリックします。
    3. 特定のネットワーク オブジェクトを除外して、ルールを適用しないようにするには、[例外] の横にある [追加] をクリックします。
    4. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    5. 複数のネットワーク オブジェクトを追加する場合は、手順 d を繰り返します。その後、[閉じる] をクリックします。
  5. [宛先ネットワーク] タブで、[このルールを次の送信元からのトラフィックに適用する] の横にある [追加] をクリックし、次の操作を行います。
    1. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    2. 複数のネットワーク オブジェクトを追加する場合は、手順 a を繰り返します。その後、[閉じる] をクリックします。
    3. 特定のネットワーク オブジェクトを除外して、ルールを適用しないようにするには、[例外] の横にある [追加] をクリックします。
    4. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    5. 複数のネットワーク オブジェクトを追加する場合は、手順 d を繰り返します。その後、[閉じる] をクリックします。
  6. [ネットワークの関係] タブで、次のいずれかを選択します。
    • [ネットワーク アドレス変換 (NAT)]。送信元ネットワークから宛先ネットワークまで、NAT 関係が使用されるようにします。
    • [ルート]。送信元ネットワークと宛先ネットワークの間で、ルート関係が使用されるようにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを編集したら、詳細ウィンドウの [適用] ボタンをクリックして変更を保存し、構成を更新する必要があります。
  • NAT 関係では、送信元ネットワークにあるコンピュータの IP アドレスが、宛先ネットワークに接続された ISA Server コンピュータ上のアダプタの IP アドレスで置き換えられます。NAT 関係は一意かつ一方向です。NAT 関係がネットワーク A (送信元ネットワーク) とネットワーク B (宛先ネットワーク) の間で定義されている場合、ネットワーク B を送信元とし、ネットワーク A を宛先としてネットワークの関係を定義することはできません。
  • ルート関係では、ISA Server が送信元ネットワーク上のコンピュータと宛先ネットワーク上のコンピュータの間でトラフィックをルーティングします。両方のネットワーク上のコンピュータは、IP アドレスが公開されます。ルート関係は双方向です。ルーティングされた関係がネットワーク A (送信元) からネットワーク B (宛先) へのトラフィックに定義されている場合、ネットワーク B からネットワーク A へのトラフィックにもルーティングされた関係が存在します。

関連項目


ネットワーク ルールを無効にする

ネットワーク ルールを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブを選択します。
  3. [タスク] タブで、[選択したルールの無効化]、[はい] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを削除したら、詳細ウィンドウの [適用] ボタンをクリックして変更を保存し、構成を更新する必要があります。

関連項目


ネットワーク ルールを削除する

ネットワーク ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブを選択します。
  3. [タスク] タブで、[選択したネットワーク ルールの削除]、[はい] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを削除したら、詳細ウィンドウの [適用] ボタンをクリックして変更を保存し、構成を更新する必要があります。
  • ローカル ホスト ネットワークと他のすべてのネットワーク間のルーティング関係を定義するローカル ホスト アクセス ルールは、削除できません。

関連項目


Web チェーン ルールを構成する

ここでは、Web チェーン ルールを構成する手順について説明します。

  • Web チェーン ルールを作成する
  • Web チェーン ルールが要求を取得する方法を構成する
  • Web 要求の 1 次ルートを構成する
  • Web 要求のバックアップ ルートを構成する
  • 資格情報の委任を許可する
  • HTTP 要求をリダイレクトする方法を構成する
  • SSL 要求をリダイレクトする方法を構成する
  • Web チェーン ルールを削除する


Web チェーン ルールを作成する

Web チェーン ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックします。
  3. [タスク] タブで、[新しい Web チェーン ルールの作成] をクリックします。
  4. [新しい Web チェーン ルール ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


Web チェーン ルールが要求を取得する方法を構成する

Web チェーン ルールが要求を取得する方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、次のオプションのいずれかを選択します。
    • 要求されたオブジェクトをインターネットから直接取得するには、[指定された宛先から直接要求を取得する] をクリックします。
    • 上位サーバーが要求を処理する場合は、[指定された上位サーバーにリダイレクトする] をクリックします。次の操作を行います。
      • 要求のリダイレクト先である Web サーバーにクライアントの認証を許可するには、[基本認証の資格情報の委任を許可する] を選択します。
      • 1 次ルートとバックアップ ルートを構成します。
  5. 要求を別のコンピュータにリダイレクトする場合は、[ホストされたサイトにダイレクトする] をクリックし、サイト、ポート、および SSL (Secure Sockets Layer) ポートを構成します。
  6. (省略可能) 要求を指定の宛先または上位サーバーに直接ルーティングする場合は、[1 次ルートに自動ダイヤルアップを使う] チェック ボックスをオンにします。
  7. (省略可能) 要求を上位サーバーに直接ルーティングし、バックアップ ルートを指定する場合は、[バックアップ ルートに自動ダイヤルアップを使う] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


Web 要求の 1 次ルートを構成する

Web 要求の 1 次ルートを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[指定された上位サーバーにリダイレクトする]、[設定] の順にクリックします。
  5. [サーバー] に、ISA Server コンピュータの名前またはインターネット プロトコル (IP) アドレスを入力します。
  6. [ポート] に、上位サーバーが HTTP (ハイパーテキスト転送プロトコル) 要求をリッスンするポート番号を入力します。通常、これはポート 8080 です。
  7. [SSL ポート] に、上位サーバーが SSL (Secure Sockets Layer) 要求をリッスンするポート番号を入力します。通常、これはポート 8443 です。
  8. (省略可能) ISA Server が上位サーバーの構成を決定する場合は、上位サーバーからオブジェクトを取得するために、[上位サーバーを自動的にポールし、構成情報を取得する] をクリックし、サーバーの URL (Uniform Resource Locator) を入力します。
  9. (省略可能) 上位サーバーが資格情報を提供する場合のみそのサーバーにアクセスできる場合は、[このアカウントを使う]、[アカウントの設定] の順にクリックして、ユーザー名、パスワード、および認証の種類を入力します。
  10. (省略可能) ISA Server が1 次接続用にダイヤル アウトする場合は、[動作] タブの [自動ダイヤルアップ] で、[1 次ルートに自動ダイヤルアップを使う] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [上位サーバーを自動的にポールし、構成情報を取得する] を選択すると、ISA Server によって上位サーバーの構成が決定されます。ローカルの ISA Server は、この情報を使用して上位サーバーからオブジェクトを取得します。
  • ISA Server ではパススルー認証がサポートされているので、オブジェクトを要求しているクライアントの認証情報は上位サーバーに渡されます。ただし、上位サーバーでクライアントを識別できない場合は、代わりに [このアカウントを使う] をクリックし、上位サーバーに渡す資格情報を入力できます。

関連項目


Web 要求のバックアップ ルートを構成する

Web 要求のバックアップ ルートを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[指定された上位サーバーにリダイレクトする]、[設定] の順にクリックします。
  5. [バックアップ ルート] で、[上位のプロキシ サーバー] を選択します。
  6. (省略可能) ISA Server でバックアップ接続の際にダイヤルアウトする場合は、[バックアップ ルートに自動ダイヤルアップを使う] を選択します。
  7. [設定] をクリックします。
  8. [サーバー] に、ISA Server コンピュータの名前を入力します。
  9. [ポート] に、上位サーバーのポート番号を入力します。通常、これはポート 8080 です。
  10. [SSL ポート] に、上位サーバーの SSL ポート番号を入力します。通常、これはポート 8443 です。
  11. (省略可能) 上位サーバーから構成情報を取得する場合は、[上位サーバーを自動的にポールし、構成情報を取得する] をクリックし、サーバーの URL を入力します。
  12. (省略可能) 上位サーバーが資格情報を提供する場合のみそのサーバーにアクセスできる場合は、[このアカウントを使う] をクリックします。次に、[ユーザー名] にユーザー名を、[パスワード] にパスワードを、[認証] に認証方法を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


資格情報の委任を許可する

資格情報の委任を許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[指定された上位サーバーにリダイレクトする] をクリックします。
  5. 要求のリダイレクト先である Web サーバーがクライアントを認証できる場合は、[基本認証の資格情報の委任を許可する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


HTTP 要求をリダイレクトする

HTTP 要求をリダイレクトする方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ブリッジ] タブの [HTTP 要求のリダイレクト] で、次のオプションのいずれかを選択します。
    • HTTP (ハイパーテキスト転送プロトコル) を使用して HTTP 要求を上位サーバーにルーティングする場合は、[HTTP 要求として処理] をクリックします。
    • Secure HTTP (HTTPS) を使用して HTTP 要求を上位サーバーにルーティングする場合は、[SSL 要求として処理 (サイトへの保護されたチャネルを確立)] をクリックします。
  5. (省略可能) [SSL 要求として処理] を選択した場合は、[SSL Web サーバーへの認証には証明書を使う] を選択し、[選択] をクリックして、使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [HTTP 要求として処理] を選択した場合は、ISA Server により、セキュリティで保護された制御チャネルが終了します。
  • [SSL 要求として処理] を選択した場合は、ISA Server により、上位サーバーに対してセキュリティで保護された新たな制御チャネルが開きます。
  • 証明書を使用する必要があるのは、Web サーバーがクライアント証明書の認証を必要とする場合だけです。

関連項目


SSL 要求をリダイレクトする方法を構成する

SSL 要求をリダイレクトする方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ブリッジ] タブの [SSL 要求のリダイレクト] で、次のオプションのいずれかを選択します。
    • HTTP (ハイパーテキスト転送プロトコル) を使用して SSL (Secure Sockets Layer) 要求を上位サーバーにルーティングする場合は、[HTTP 要求として処理] をクリックします。
    • Secure HTTP (HTTPS) を使用して SSL 要求を上位サーバーにルーティングする場合は、[SSL 要求として処理] をクリックします。
  5. (省略可能) [SSL 要求として処理] を選択した場合は、[SSL Web サーバーへの認証には証明書を使う] を選択し、[選択] をクリックして、使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [HTTP 要求として処理] を選択した場合は、ISA Server により、セキュリティで保護された制御チャネルが終了します。
  • [SSL 要求として処理] を選択した場合は、ISA Server により、上位サーバーに対してセキュリティで保護された新たな制御チャネルが開きます。
  • 証明書を使用する必要があるのは、Web サーバーがクライアント証明書の認証を必要とする場合だけです。

関連項目


Web チェーン ルールを削除する

Web チェーン ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ファイアウォール チェーンを構成する

ファイアウォール チェーンを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ファイアウォール チェーンの構成] をクリックします。
  3. [ファイアウォール チェーン] タブで、次の操作を行います。
    • ISA Server の 1 次接続方法を使用してインターネットにアクセスする場合は、[1 次接続を使う] をクリックします。
    • 上位 ISA Server コンピュータに要求を転送する場合は、[このコンピュータにチェーン接続する] をクリックして、テキスト ボックスにコンピュータ名を入力します。
  4. (省略可能) [1 次接続を使う] をクリックした場合は、[ダイヤルアップ エントリを使う] をクリックします。
  5. [このコンピュータにチェーン接続する] をクリックした場合は、次の操作を行います。
    • 要求したアプリケーションで認証が必要な場合は、[このアカウントを使う] チェックボックスをオンにして、[アカウントの設定] をクリックします。
    • [ユーザー] に、ドメイン名とユーザ名を次の形式で入力します。
      <ドメイン名>\<ユーザー名>
    • [パスワード] および [パスワードの確認入力] テキスト ボックスに、パスワードを入力します。
    • (省略可能) [ダイヤルアップ エントリを使う] チェックボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


自動ダイヤルを構成する

自動ダイヤルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ダイヤルアップの基本設定の指定] をクリックします。
  3. 自動ダイヤルを許可するには、[このネットワークへの自動ダイヤルを許可する] を選択します。
  4. ドロップダウン リストから、該当するネットワークを選択します。
  5. ダイヤルアップ接続がデフォルト ゲートウェイの場合は、[このダイヤルアップ接続を既定のゲートウェイとして構成する] を選択します。
  6. [使用するダイヤルアップ接続] に、ダイヤルアップ接続の名前を入力します。または、[選択] を選択して、接続を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ダイヤルアップ接続を作成するには、Windows Server 2003 または Windows 2000 Server の [新しい接続ウィザード] を使用します。
  • VPN 接続のダイヤルアップ エントリを選択すると、接続障害が発生します。これは、VPN 接続の確立に使用される PPTP プロトコルおよび L2TP over IPSec プロトコルが、ISA Server の既定の設定によってブロックされるためです。この問題を回避するには、PPTP トラフィックおよび L2TP over IPSec トラフィックを許可するアクセス ルールを作成します。手順については、「アクセス ルールを作成する」を参照してください。

関連項目


ダイヤルアップ エントリのトラブルシューティング

どのような問題がありますか?

手動によるダイヤルアウトは機能しますが、インターネットへのダイヤルアウトが失敗しました。

原因 : ネットワーク ダイヤルアップ接続の資格情報は正しく指定されていると思われますが、ダイヤルアップ エントリの資格情報が正しく指定されていません。

解決方法 : ダイヤルアップ エントリの資格情報を再構成します。

原因 : ISA Server コンピュータにダイヤルアップ接続を使用するためのアクセス許可が設定されていません。

解決方法 : ダイヤルアップ接続を再構成して、全員が接続を使用できるようにします。詳細については、Windows ヘルプを参照してください。

接続が既にダイヤルされているために、インターネットへのダイヤルアウトが失敗しました。

原因 : コンピュータ上の別のサービスがこのダイヤルアップ接続を使って接続しています。

解決方法 : 接続操作が完了するまで待ちます。ISA Server は、要求が行われた時点で再び接続を試みます。問題が続くようであれば、ISA Server サービスを再起動します。構成の手順については、「サービスを開始または停止する」を参照してください。

ダイヤルアップ接続が破棄されました。

原因 : 誰かが誤ってダイヤルアップ接続を切断したと思われます。

解決方法 : ISA Server サービスを再起動します。サービスによって自動的に接続が再確立されます。構成の手順については、「サービスを開始または停止する」を参照してください。

ダイヤル動作が行われていないのに、ダイヤルアップ接続が切断されません。

原因 : クライアント要求が行われるたびに、その対象がローカル ネットワーク上のコンピュータであっても、ISA Server は内部 DNS サーバーと外部 DNS サーバーの両方に名前解決要求を送信します。

解決方法 : 内部 DNS サーバーのみを使用するように ISA Server を構成します。内部 DNS サーバーは ISA Server のクライアントとして構成する必要があります。さらに、未解決の要求を外部 DNS サーバーに転送するように内部 DNS サーバーを構成します。


ファイアウォール ポリシー

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、次のパケット レベル、サーキット レベル、およびアプリケーション レベルのトラフィック フィルタを使用して、最大限のセキュリティを確保できます。

  • ステートフル パケット フィルタ。セキュリティで保護されたネットワーク回線とアプリケーション レイヤのプロキシ サービスに渡すことのできるパケットを判別します。ステートフル フィルタ処理は、必要に応じてポートを自動的に開き、通信が終了するとポートを閉じます。
  • サーキット フィルタ。多数のインターネット プロトコルおよびインターネット サービスに対するマルチプラットフォーム アクセスをサポートする、アプリケーション透過なサーキット ゲートウェイを提供します。他のサーキット レイヤのプロキシと異なり、ISA Server のサーキット レイヤのセキュリティは、ダイナミック パケット フィルタと組み合わせることで、より強力なセキュリティと使いやすさを実現します。
  • アプリケーション フィルタとステートフル インスペクション。クライアント コンピュータからのアプリケーション プロトコル (HTTP、FTP、Gopher など) に含まれるコマンドを制御します。ISA Server はクライアント コンピュータの代わりとして機能し、外部ネットワークからネットワーク トポロジと IP アドレスを隠します。

着信および発信方向のアクセスは、ユーザー、グループ、アプリケーション、発信元、宛先、およびスケジュールごとに制御できます。ファイアウォール ポリシーは、どのサイトとコンテンツをアクセス可能にするか、特定のプロトコルを着信方向と発信方向のどちらの通信でアクセス可能にするか、また、指定した IP アドレス間の通信を、指定したプロトコルとポートを使用して許可するかどうかを制御します。ここでは、ファイアウォール ポリシーについて説明します。

  • ファイアウォール ポリシー : 概念
  • ファイアウォール ポリシー : 操作方法


ファイアウォール ポリシー : 概念

ここでは、ファイアウォール ポリシーの基本的な情報、および Internet Security and Acceleration (ISA) Server 2004 でのファイアウォール ポリシーの動作について説明します。

  • ファイアウォール ポリシーの動作
  • ファイアウォール ポリシー ルール
  • 公開ルール構成
  • システム ポリシー
  • ツールボックス
  • カスタム HTML エラー メッセージ
  • 認証
  • ネットワーク保護


ファイアウォール ポリシーの動作

ISA Server 2004 を使用して、ファイアウォール ポリシーを作成できます。ファイアウォール ポリシーには、一連の公開ルールとアクセス ルールが含まれます。これらのルールとネットワーク ルールによって、クライアントがネットワーク間でどのようにリソースにアクセスするかが決まります。詳細については、「ファイアウォール ポリシー ルール」を参照してください。

発信方向の要求

ISA Server の主な機能の 1 つは、送信元ネットワークと宛先ネットワークを、悪意のあるアクセスから保護しながら接続することです。この接続を容易にするために、ISA Server を使用して、送信元ネットワーク上のクライアントが宛先ネットワーク上の特定のコンピュータにアクセスすることを許可するアクセス ポリシーを作成します。アクセス ポリシーによって、クライアントが他のネットワークにどのようにアクセスするかが決まります。

ISA Server は、発信方向の要求を処理する際に、ネットワーク ルールとファイアウォール ポリシー ルールを確認して、アクセスが可能かどうかを判断します。

一部のルールを、特定のクライアントに適用するように構成することができます。この場合、IP アドレスまたはユーザー名でクライアントを指定できます。ISA Server は、オブジェクトを要求するクライアントの種類および ISA Server の構成に応じて、要求の処理方法を変更します。

まず、ISA Server はネットワーク ルールをチェックして、2 つのネットワークが接続されていることを確認します。ネットワーク ルールで送信元ネットワークと宛先ネットワーク間の接続が定義されていれば、ISA Server はアクセス ポリシー ルールを処理します。詳細については、「ネットワーク ルール」を参照してください。

次に、ISA Server はアクセス ルールを順番に確認します。要求に許可ルールが適用されていれば、ISA Server は要求を許可します。具体的には、要求が次のルールの条件に一致する場合、ISA Server はルールを適用します。

  • プロトコル
  • 送信元のアドレスとポート
  • スケジュール
  • 宛先のアドレス、名前、URL
  • ユーザー
  • コンテンツ グループ

ルールを適用しても、要求が他のすべてのルールに一致しない場合、ISA Server はルールの評価を停止します。その後、ISA Server は、ルールに適用されるその他のプロトコル フィルタに基づいて、要求を拒否する場合もあります。

最後に、ISA Server はネットワーク ルールを再び確認して、ネットワークがどのように接続されているかを判断します。ISA Server は、Web プロキシ クライアントがオブジェクトを要求した場合は Web チェーン ルールを、SecureNAT クライアントまたはファイアウォール クライアントがオブジェクトを要求した場合はファイアウォール チェーン構成を確認して、要求がどのように処理されるかを判断します。

たとえば、2 つのネットワーク カードを搭載したコンピュータに ISA Server をインストールしたとします。一方はインターネットに接続され、もう一方はローカル ネットワークに接続されています。社内のガイドラインは緩やかで、すべてのユーザーがすべてのサイトへのアクセスを許可されています。この場合、ポリシーは以下のアクセス ポリシー ルールで構成されます。

  • 送信元ネットワーク (ローカル ネットワーク) と宛先ネットワーク (インターネット) 間の接続を確立するネットワーク ルール。
  • すべての内部クライアントが、任意のプロトコルを使用してすべてのサイトにいつでもアクセスできるようにするアクセス ルール。

着信方向の要求

ISA Server によって、サーバーを、別のネットワーク上のクライアントからセキュリティで保護されたアクセスを行えるサーバーにすることができます。ISA Server を使用して、サーバーを安全に公開するための公開ポリシーを作成します。公開ポリシーは、Web 公開ルール、サーバー公開ルール、セキュリティで保護された Web 公開ルール、およびメール サーバー公開ルールで構成され、Web チェーン ルールと共に、公開されたサーバーへのアクセス方法を決定します。

次に示す ISA Server ルールのいずれかを使用して、サーバーを公開することができます。

  • Web 公開ルール。Web サーバーのコンテンツを公開するためのものです。
  • サーバー公開ルール。その他すべてのコンテンツを公開するためのものです。
  • セキュリティで保護された Web 公開サーバー。SSL (Secure Sockets Layer) コンテンツを公開するためのものです。

ISA Server は、クライアントからの HTTP 要求または HTTPS 要求を処理する際に、公開ルールと Web チェーン ルールを確認して、要求が許可されるかどうか、およびどのサーバーが要求を処理するかを判断します。

HTTP 要求以外については、ISA Server はネットワーク ルールを確認した後に公開ルールを確認して、要求が許可されるかどうかを判断します。

着信方向の Web 要求については、次の順序でルールが処理されます。

  1. Web 公開ルール。
  2. Web チェーン ルール。詳細については、「Web チェーン ルール」を参照してください。

たとえば、2 つのネットワーク アダプタを搭載したコンピュータに ISA Server をインストールしたというシナリオを想定します。一方はインターネットに接続され、もう一方はローカル ネットワークに接続されています。次のように処理が行われます。

  1. Web 公開ルールで要求が拒否されている場合は、要求が拒否されます。
  2. Web チェーン ルールで、要求を特定の上位サーバーまたはホストされた代理サイトにルーティングするように指定されている場合は、指定されたサーバーが要求を処理します。
  3. Web チェーン ルールで、要求を特定のサーバーにルーティングするように指定されている場合は、内部 Web サーバーがオブジェクトを返します。

Web 公開ルールと Web チェーン ルール

Web 公開ルールは順番に処理されますが、既定の Web 公開ルールは最後に処理されます。Web チェーン ルールも順番に処理されます。

外部クライアントが内部 Web サーバーのオブジェクトを要求すると、ルールが次の順序で処理されます。

  1. Web 公開ルール
  2. Web チェーン ルール

たとえば、以下のルールが設定されているとします。

  • widgets.microsoft.com に対するすべてのクライアントからの要求を、msweb として指定された、ホストされたサイト (Web サーバー) にリダイレクトする Web 公開ルール。
  • msweb を含む送信先に対する要求を、直接処理することでルーティングする Web チェーン ルール。

外部のインターネット ユーザーが widgets.microsoft.com のオブジェクトを要求すると、ISA Server がその要求を傍受します。ISA Server は、最初に Web 公開ルールを処理して、要求が msweb コンピュータにリダイレクトされることを判断します。次に、Web チェーン ルールを処理して、要求が指定されたサーバー (msweb) によって直接処理されることを判断します。

次の例は、適切な Web チェーンを作成せずに Web 公開ルールを作成した場合を示しています。

  • example.microsoft.com を含む宛先セットに対するすべてのクライアントからの要求を、myinternalms として指定された、ホストされたサイトにリダイレクトする Web 公開ルール。
  • すべての宛先に対する要求を上位サーバーにルーティングする Web チェーン ルール。

この場合、Web 公開ルールが最初に処理されます。example.microsoft.com に対するすべての要求が、myinternalms にリダイレクトされます。ただし、Web チェーン ルールでは、要求を上位サーバーにルーティングし、送信先サーバーには直接送信しないように指定されています。要求は、常に上位サーバーにルーティングされます。


ファイアウォール ポリシー ルール

ここでは、ファイアウォール ポリシー ルールについて説明します。

  • アクセス ルール
  • Web 公開ルール
  • セキュリティで保護された Web 公開ルール
  • サーバー公開ルール
  • メール サーバー公開ルール
  • Outlook Web Access サーバーの公開


アクセス ルール

アクセス ルールは、送信元ネットワーク上のクライアントが宛先ネットワーク上のリソースにアクセスする方法を決定します。

すべての IP トラフィック、特定のプロトコル定義のセット、または選択したプロトコルを除くすべての IP トラフィックに適用するようにアクセス ルールを構成できます。

手順については、「アクセス ルールを作成する」を参照してください。

注

  • 新しいルールは、新しい接続にのみ適用されます。

トラフィック

ISA Server には、最も一般的に使用されているインターネット プロトコルを含む、既知のプロトコルの定義があらかじめ構成されています。新しいプロトコルを追加したり、既存のプロトコルを変更することもできます。

クライアントが特定のプロトコルを使用してオブジェクトを要求すると、ISA Server はアクセス ルールをチェックします。要求が処理されるのは、クライアントによる特定のプロトコルを使用した通信と、要求されたオブジェクトへのアクセスが、アクセス ルールで明確に許可されている場合のみです。

手順については、「アクセス ルールのプロトコルを構成する」を参照してください。

アクセス ルールとアプリケーション フィルタ

アプリケーション フィルタの中には、新しいプロトコル定義を作成し、インストールするものがあります。アプリケーション フィルタが無効になっている場合、そのプロトコル定義もすべて無効です。そのため、そのプロトコル定義を使用するトラフィックはブロックされます。たとえば、ストリーミング メディア フィルタを無効にすると、Windows Media® および RealNetworks のプロトコル定義を使用するすべてのトラフィックがブロックされます。

ユーザによって定義された、または ISA Server によって構成された既存のプロトコル定義を処理するアプリケーション フィルタもあります。このようなアプリケーション フィルタが無効になっていても、これらによってフィルタ処理されるプロトコル定義は無効になりません。たとえば、SMTP (簡易メール転送プロトコル) フィルタを無効にしても、SMTP プロトコル定義はフィルタ処理なしで通過が許可されます。

アクセス ルールですべての IP トラフィックが許可されている場合、ISA Server は、ルールに一致するすべてのトラフィックを該当するアプリケーション フィルタに渡します。トラフィックがアプリケーション フィルタの条件に一致しない場合、ISA Server はトラフィックを拒否し、接続が終了します。

プロトコルがアプリケーション フィルタによって定義されている場合、または HTTP (ハイパーテキスト転送プロトコル) など、1 次接続しかないプロトコルにアクセス ルールが適用される場合、アクセス ルールはファイアウォール クライアントと SecureNAT クライアントに適用されます。

プロトコルに 2 次接続がある場合でも、そのプロトコルがアプリケーション フィルタによって定義されていなければ、アクセス ルールが適用されるのは 1 次接続に対してだけです。つまり、2 次接続があるプロトコルを使用するアプリケーションは、ファイアウォール クライアント上でのみ動作します。

SecureNAT クライアントでは、すべての IP トラフィックに適用するようにアクセス ルールを構成した場合、そのルールは定義されているプロトコルにのみ適用されます。

ルールごとのフィルタ

アプリケーション フィルタは、ルールごとに適用されます。そのため、セキュリティの要件に最も適したファイアウォール ポリシーを適用できます。たとえば、すべての内部ユーザーがすべてのプロトコルを使用してインターネットにアクセスすることを許可しているとします。この場合、最も効果的なフィルタを有効にすることができます。しかし、同時に、内部ネットワークから特定の信頼されているネットワークへのリモート プロシージャ コール (RPC) アクセスの制限は緩和する必要があるとします。この場合は、ネットワーク間の DCOM トラフィックを許可して、RPC フィルタの厳密な条件が適用されないようにします。

アクセス ルールでは、次のアプリケーション フィルタをルールごとに使用できます。

  • HTTP フィルタ
  • RPC フィルタ

手順については、「ルールごとのフィルタを構成する」を参照してください。

既定のルール

ISA Server のインストール時に作成される既定のルールでは、すべてのネットワーク間のすべてのアクセスが拒否されます。この既定のルールは変更および削除できません。

注

  • ISA Server ではシステム ポリシー ルールが最初に処理されるので、外部ネットワークへのローカル ホスト アクセスを許可するシステム ポリシー ルールの方が、そのようなアクセスを拒否するように構成されたアクセス ポリシー ルールよりも優先されます。


Web 公開ルール

ISA Server では、Web 公開ルールを使用することで、ネットワーク セキュリティを損なうことなく Web コンテンツの公開に関連する問題を解消できます。Web 公開ルールは、ISA Server が Web サーバー上の HTTP (ハイパーテキスト転送プロトコル) オブジェクトに対する着信方向の要求を傍受する方法、および ISA Server が Web サーバーに代わって応答する方法を決定します。要求は、ISA Server コンピュータの背後に配置された Web サーバーに転送されます。可能な場合、その要求は ISA Server のキャッシュ から処理されます。

Web 公開ルールは基本的に、着信方向の要求を適切な Web サーバーにマップします。また、Web 公開ルールを使用すると高度なフィルタ機能を構成できるので、悪意のあるアクセスから保護しながら Web ベースの情報を公開することが可能です。

手順については、「Web 公開ルールを作成する」を参照してください。

注

  • 新しいルールは、新しい接続にのみ適用されます。

Web 公開ルールを構成するときは、以下を指定します。

  • Web サーバーの名前または IP アドレス。ルールをサーバー上のすべての Web サイトに適用するか、特定の Web サイトに適用するかを選択できます。
  • パス マッピング。要求を転送する前に、ISA Server は要求で指定された外部パスを変更し、対応する内部パスにマップできます。詳細については、「パス マッピング」を参照してください。
  • 公開された Web サーバーにアクセス可能なユーザーまたはコンピュータ。手順については、「ファイアウォール ポリシー ルールのユーザーを構成する」を参照してください。
  • 送信元。公開された Web サーバーにアクセス可能なネットワーク オブジェクトです。詳細については、「ネットワーク オブジェクト」を参照してください。指定するネットワーク オブジェクトは、その Web 公開ルールで指定する Web リスナ内になければなりません。手順については、「ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成する」を参照してください。
  • Web リスナ。クライアントからの要求をリッスンする ISA Server コンピュータ上の IP アドレスです。詳細については、「Web リスナの概要」を参照してください。
  • ブリッジ。ブリッジでは、公開されたサーバーに HTTP 要求が転送される方法を構成します。詳細については、「ブリッジ」を参照してください。
  • リンクの変換。リンクの変換では、ISA Server が Web ページをスキャンしてリンクを調べ、外部名と外部パスでそのリンクを更新する方法を構成します。リンクの変換の詳細については、「リンクの変換」を参照してください。リンクの変換での作業手順については、「Web ページ内の絶対リンクを置換する」および「Web 公開ルールのリンク変換辞書エントリを追加する」を参照してください。

HTTP フィルタを構成することで、Web サーバーへの要求をさらにフィルタ処理できます。HTTP フィルタの詳細については、「HTTP フィルタ」を参照してください。

重要

  • ISA Server によって公開されている Web サーバーでは、ディレクトリの参照を無効にすることをお勧めします。また、このような Web サーバーは、ダイジェスト認証や基本認証を要求することはできません。要求した場合、Web サーバーの内部名または IP アドレスがインターネット上に公開されるおそれがあります。

動作

Web 公開ルールは、要求されたオブジェクトを返すサーバーが存在する場合、そのサーバーを特定します。要求は、破棄することも、代替サイトにリダイレクトすることもできます。代替サイトは通常、企業ネットワーク上の Web サーバーです。

ホストされたサイトに要求をリダイレクトするようにルールを構成している場合、ISA Server は、要求で指定されたホスト コンピュータ上のパスからオブジェクトを取得します。たとえば、ISA Server によって example.microsoft.com/development に対する要求が Dev というホスト コンピュータにリダイレクトされるように指定しているとします。クライアントが example.microsoft.com/development にオブジェクトを要求した場合、ISA Server は Dev 上の development フォルダからオブジェクトを取得します。

Web 公開ルールは、ホスト ヘッダーを参照して、要求された宛先を特定します。

手順については、「ファイアウォール ポリシー ルールの動作を構成する」を参照してください。

パス マッピング

公開された Web サーバーに要求を転送する前に、ISA Server は、要求で指定された外部パスをチェックします。パス マッピングを構成すると、ISA Server は、要求で指定されたパスを対応するパス名に置き換えます。それぞれに異なる一意のパスを指定する必要があります。

パス マッピングを指定するときは、次のガイドラインに従ってください。

  • 要求のマッピング先となる内部パスを指定するときは、「/mypath/*」という形式を使用します。
  • パスにはワイルドカード文字を使用できません。たとえば、「mypath*/」や「/mypath*」は指定できません。
  • パス マッピングを構成する際、ファイル名を指定することは避けてください。そうでないと、まったく同じパスに対する要求しか処理されなくなるので注意してください。

手順については、「パス マッピングを構成する」を参照してください。

ブリッジ

Web 公開ルールを作成すると、HTTP 通信のセキュリティを強化できます。最初の通信で HTTP が使用されていても、ISA Server が要求を受け取った後は、SSL を使用して通信をリダイレクトできます。要求が SSL 要求としてリダイレクトされる場合、パケットは暗号化されます。このリダイレクトをブリッジと呼びます。

HTTP 要求または SSL 要求が FTP (ファイル転送プロトコル) 要求として Web サーバーに渡されるように設定できます。外部クライアントが HTTP または SSL を使用してオブジェクトを要求したとき、ISA Server は FTP を使用して、その要求を内部 Web サーバーにリダイレクトできます。ブリッジをこのように構成する場合、FTP 要求をブリッジする際に使用されるポートを指定できます。

上位 Web サーバーがクライアント証明書を必要とする場合があります。その場合、特定のクライアント側証明書を使用して認証するように ISA Server を構成してください。

セキュリティで保護されたチャネルを要求するように Web 公開ルールを構成した場合、指定された宛先に対するすべてのクライアント要求が、SSL 接続について指定されたポート上になければなりません。

手順については、「Web 公開ルールの HTTP 要求をリダイレクトする方法を構成する」を参照してください。

同じドメイン名での Web サイトの公開

クライアントは、ISA Server によって公開された完全修飾ドメイン名 (FQDN) で、公開された Web サイトを識別します。したがって、Web サイトの FQDN は、Web 公開ルールで構成した FQDN です。同じ FQDN を使用して複数の Web サーバーを公開すると、クライアントは公開された両方のサイトが実際は同じであると想定します。つまり、Web クライアントは、一方の Web サーバーに宛てた情報を他方の Web サーバーに送信することがあります。

ルールの順序

Web 公開ルールは、すべてのファイアウォール ポリシー ルールと共に処理されます。これらのルールは、それぞれの着信方向の Web 要求について順番に処理されます。ルールが要求に一致すると、要求はルールに従ってルーティングされ、キャッシュされます。要求に一致するルールがない場合、ISA Server は既定のルールを処理し、要求を破棄します。


セキュリティで保護された Web 公開ルール

ISA Server を使用すると、セキュリティで保護された Web 公開ルールを作成し、HTTPS コンテンツをホストする Web サイトを公開できます。セキュリティで保護された Web 公開ルールでは、ISA Server が内部 Web サーバーの HTTPS オブジェクトに対する着信方向の要求を傍受する方法、および ISA Server が Web サーバーの代わりに応答する方法を指定します。要求は、ISA Server コンピュータの背後に配置されている内部 Web サーバーに転送されます。

手順については、「セキュリティで保護された Web 公開ルールを作成する」を参照してください。

注

  • 新しいルールは、新しい接続にのみ適用されます。

ブリッジ

ブリッジを使用すると、Web サーバーにトラフィックを渡す方法を構成できます。たとえば、クライアントが SSL (Secure Sockets Layer) を使用して ISA Server コンピュータと通信を行い、Web 公開ルールで要求を内部 Web サーバーにマップするとします。最初の通信では SSL が使用されます。しかし、既定では、これ以降のすべての通信で、HTTP などのセキュリティで保護されていないプロトコルが使用されます。

セキュリティで保護された Web 公開ルールを作成すれば、SSL 要求を HTTP 要求として、または SSL 要求としてリダイレクトする方法を構成できます。要求を SSL 要求としてリダイレクトする場合には、ISA Server はそのパケットを再暗号化してから、Web サーバーに渡します。これにより、SSL Web サーバーとの通信に、セキュリティで保護された新しいチャネルが確立されます。このリダイレクトを SSL ブリッジとも呼びます。

詳細については、「SSL ブリッジ」を参照してください。

トンネリング

トンネリング モードを使用するよう、セキュリティで保護された Web 公開ルールを構成すると、ISA Server は未変更の暗号化トラフィックを公開された Web サーバーに中継します。つまり、ISA Server ではトラフィックに対してこれ以上のフィルタ処理を行いません。

ブリッジ モードではなく、トンネリング モードを使用するセキュリティで保護された Web 公開ルールは、Web 公開ルールよりもサーバー公開ルールに似ています。リンクの変換やパス マッピングをはじめとする、多くの Web 公開機能はこれらのルールには適用できません。ルールを適用できるのはネットワーク オブジェクトのみであり、特定のユーザーには適用できません。

詳細については、「SSL トンネリング」を参照してください。

リスナ

セキュリティで保護された Web 公開ルールを構成するとき、公開された Web サーバーの HTTPS コンテンツへのアクセス方法を定義します。セキュリティで保護された Web 公開ルールでは、適切なリスナを指定して、このリスナを HTTPS ポートでリッスンするように構成する必要があります。

詳細については、「Web リスナ」を参照してください。


サーバー公開ルール

ISA Server は、サーバーを公開して、FTP (ファイル転送プロトコル) サーバーや SQL Server などの内部サーバーへの着信方向の要求を処理します。要求は、ISA Server コンピュータの背後に配置された内部サーバーにダウンストリームで転送されます。

サーバーを公開すると、内部ネットワーク上のコンピュータを実質的にインターネットに公開できます。着信方向の要求および発信方向の応答すべてが ISA Server を経由するので、セキュリティは保証されます。サーバーが ISA Server コンピュータによって公開される場合、公開される IP アドレスは、実際は ISA Server コンピュータの IP アドレスになります。オブジェクトを要求したユーザーは、オブジェクトの要求時に指定した名前または IP アドレスの ISA Server と通信しているように思いますが、実際は公開サーバーに情報を要求しています。これは、公開されたサーバーが配置されているネットワークと、公開されたサーバーにアクセスしているクライアントが配置されているネットワークとの間にネットワーク アドレス変換 (NAT) 関係が設定されている場合の動作です。ルーティングされたネットワーク関係が構成されている場合、クライアントは、公開されたサーバーの実際の IP アドレスを使用してアクセスします。ネットワーク関係の詳細については、「ネットワーク ルール」を参照してください。

サーバー公開ルールは、サーバーをどのように公開するかを決定し、基本的に ISA Server コンピュータを経由するすべての着信方向および発信方向の要求をフィルタ処理します。サーバー公開ルールは、着信方向の要求を ISA Server コンピュータの背後にある適切なサーバーにマップします。これらのルールによって、インターネット ユーザーから特定の公開サーバーへのアクセスが指定どおりに動的に許可されます。

公開されたサーバーは、SecureNAT クライアントです。したがって、ISA Server コンピュータ上にサーバー公開ルールを作成すると、公開されたサーバーでは特別な構成を行う必要はありません。ISA Server は、公開されたサーバーでデフォルト ゲートウェイとして構成する必要があります。

注

  • IP レベルおよびインターネット制御メッセージ プロトコル (ICMP) のプライマリ プロトコルの公開はサポートされていません。この例外として、TCP 接続と GRE (Generic Routing Encapsulation) パケットの組み合わせである PPTP (Point-to-Point トンネリング プロトコル) はサポートされています。
  • 新しいルールは、新しい接続にのみ適用されます。

手順については、「サーバー公開ルールを作成する」を参照してください。

サーバー公開ルールは、1 つのプロトコルに適用されます。手順については、「サーバー公開ルールのプロトコルを構成する」を参照してください。

ルールごとのフィルタ

アプリケーション フィルタは、ルールごとに適用されます。そのため、セキュリティの要件に最も適したファイアウォール ポリシーを適用できます。サーバー公開ルールでは、Exchange RPC フィルタをルールごとに使用できます。

既定のポートの上書き

ISA Server を使用してサーバーを公開する場合、既定では、ファイアウォールは個々のプロトコルの標準ポートで着信方向の要求をリッスンし、公開サーバー上の同じ標準ポートに着信方向の接続を渡します。たとえば、FTP サーバーを公開すると、ISA Server は、FTP プロトコルと関連するポート 21 で着信方向の要求をリッスンし、公開サーバーのポート 21 に着信接続を渡します。標準ポートを上書きするには、公開ルールで別のポートを指定します。

注

  • ネットワーク間にルーティングされたネットワーク関係が設定されているリモート プロシージャ コール (RPC) インターフェイスを公開する場合、ポートの上書きは無視されます。公開ルールでは、元の IP アドレスとポートが使用されます。

手順については、「サーバー公開ルールの既定のポートを上書きする」を参照してください。

サーバー公開の動作

ISA Server は、サーバーの公開時に次の手順を実行します。

  1. インターネット上のクライアント コンピュータは、公開サーバーとして認識されている IP アドレスにオブジェクトを要求します。IP アドレスは、実際は ISA Server コンピュータと関連付けられています。これは、ISA Server コンピュータに属する外部ネットワーク アダプタの IP アドレスです。
  2. ISA Server コンピュータは要求を処理し、IP アドレスを内部サーバーの内部 IP アドレスにマップします。
  3. 内部サーバーはオブジェクトを ISA Server コンピュータに返し、ISA Server コンピュータはそれを要求元クライアントに渡します。

サーバー公開ルールの使用方法

多くの場合、サーバー公開ルールの代わりにアクセス ルールを使用して、クライアントがサーバーを使用するようにできます。その場合、次の点を考慮してください。

  • 公開されたサーバーのネットワークとクライアントのネットワークとの間に NAT ネットワーク関係が設定されている場合は、サーバー公開ルールを使用する必要があります。
  • サーバー公開ルールで公開できるのは、指定した 1 つのサーバーのみです。複数のサーバーを公開する場合は、複数のルールが必要です。
  • サーバー公開ルールでは、ポートの上書きを構成できます。詳細については、「既定のポートを上書きする」を参照してください。

DNS サーバーの公開

ISA Server では、DNS サーバーの IP アドレスは変換されません。DNS サーバーを公開する場合は、ローカル ホスト ネットワークと、DNS サーバーが配置されているネットワークとの間にルーティングされたネットワーク関係を構成します。また、ISA Server で DNS サーバーの IP アドレスが認識されている必要があります。

ルールの無効化

サーバー公開ルールを無効にすると、サーバーへの接続が拒否されます。ただし、ISA Server が使用中の接続を閉じることはありません。手順については、「ファイアウォール ポリシー ルールを無効にする」を参照してください。

アクティブな接続を終了するには、関連するセッションを切断します。手順については、「セッションを切断する」を参照してください。


メール サーバー公開ルール

メール サーバー公開ルールを作成すると、ISA Server 2004 によって、クライアントにそれぞれのメール サーバーへのアクセスを許可するために必要な公開ルールが作成されます。指定したメール サーバーの種類に応じて、指定したプロトコルを使用したメール サーバーへのアクセスを許可する Web 公開ルールまたはサーバー公開ルールが構成されます。

手順については、「メール サーバーを公開する」を参照してください。

公開されたメール サーバーが提供するアクセスの種類を、次の中から 1 つ選択できます。

  • [Web クライアント アクセス]。Microsoft Outlook® Web Access、Outlook Mobile Access、または Exchange Application Services の各サーバーにクライアントがアクセスできるようにします。このオプションを選択すると、ISA Server によって適切な Web 公開ルールが構成されます。詳細については、「Outlook Web Access サーバーの公開」を参照してください。
  • [クライアント アクセス]。クライアントが、リモート プロシージャ コール (RPC)、IMAP4 (Internet Message Access Protocol 4rev1)、POP3 (Post Office Protocol 3)、または SMTP (簡易メール転送プロトコル) を使用してそれぞれのメールにアクセスできるようにします。このオプションを選択すると、選択したプロトコルごとにサーバー公開ルールが作成されます。サーバー公開ルールの詳細については、「サーバー公開ルール」を参照してください。
  • [サーバー間の通信]。SMTP メール サーバーおよび NNTP ニュース サーバーのアクセスを可能にします。

メール サーバーを公開する際は、メール サーバーの FQDN 名を、ISA Server コンピュータの外部 DNS 名に構成することをお勧めします。こうすると、メール サーバーの内部名は公開されないため、アタックを受けにくくなります。

SMTP フィルタ

SMTP フィルタがインストールされて有効になっている場合は、SMTP フィルタを適用できます。詳細については、「SMTP フィルタ」を参照してください。

RPC フィルタ

RPC タイプのメール サーバーを公開すると、RPC フィルタを適用できるようになります。詳細については、「RPC フィルタ」を参照してください。


Outlook Web Access サーバーの公開

Microsoft Internet Security and Acceleration (ISA) Server 2004 と Microsoft Outlook Web Access は、連携して動作し、電子メール メッセージのセキュリティを強化します。メール サーバー公開ルールを使用して、Outlook Web Access サーバーを安全に公開できます。

ISA Server を使用して Outlook Web Access サーバーを公開する場合、ユーザーは Outlook Web Access サーバーの名前と IP アドレスにアクセスできないため、Outlook Web Access サーバーは直接的な外部アクセスから保護されます。ユーザーが ISA Server コンピュータにアクセスすると、メール サーバー公開ルールの条件に従って、要求が Outlook Web Access サーバーに転送されます。

手順については、「メール サーバーを公開する」を参照してください。

[新しいメール サーバー公開ルール ウィザード] を使用すると、Outlook Web Access サーバーを安全に公開するために必要な手順を実行できます。Outlook Web Access サーバーでは、クライアントから要求された完全修飾ドメイン名 (FQDN) が必要なため、ウィザードでは、ISA Server が元のホスト ヘッダーを公開された Outlook Web Access サーバーに転送するよう構成されます。

ウィザードが完了すると、作成された Web 公開ルールには次のパスが指定されます。

  • /exchange/*
  • /exchweb/*
  • /public/*

ISA Server を使用した Outlook Web Access シナリオの公開方法の詳細については、ISA Server の Web サイト (http://www.microsoft.com/isaserver) で入手可能な『ISA Server 2004 での Outlook Web Access サーバーの公開』を参照してください。

Outlook Web Access サーバーを公開する

メール サーバー公開ルールを作成するときは、次の点に注意してください。

  • ISA Server と OWA サーバーの両方で、標準ポートのみを指定する必要があります。HTTP の標準ポートは 80 です。HTTPS の標準ポートは 443 です。
  • OWA サーバーを公開する場合、HTTP 要求が HTTPS 要求として転送されるようブリッジを構成することはできません。
  • HTTPS 要求が HTTP 要求として OWA サーバーに転送されるように指定して、ブリッジを構成する場合、リンクの変換は有効にしないでください。

Outlook Mobile Access と Exchange Application Services を公開する

[新しいメール サーバー公開ルール ウィザード] では、Outlook Web Access と Exchange Application Services の公開を構成するよう選択できます。Exchange Application Services は、Outlook Web Access 同様、Web ベースのメール サーバーです。Outlook Mobile Access および Exchange Application Services を公開すると、作成された公開ルールでは次のパスが指定されます。

  • /OMA/*
  • /Microsoft-Server-ActiveSync/*

Outlook Web Access の公開の Web リスナ

Outlook Web Access の公開で構成する Web リスナは、フォームベース認証を使用するよう構成できます。クライアントへのセキュリティで保護された接続を構成する場合は、リスナが HTTPS ポートで要求をリッスンするようにしてください。

この場合、ISA Server コンピュータから認証フォームが提供され、Exchange 2000 Server および Exchange Server バージョン 5.5 を公開する際、フォームベース認証が有効になります。

Web リスナの詳細については、「Web リスナ」を参照してください。

重要

  • セキュリティ上の理由により、Outlook Web Access の公開用に構成した Web リスナは他の公開シナリオに使用しないことをお勧めします。

フォームベース認証

ウィザードの中で、着信方向の Outlook Web Access 要求用のリスナを指定します。

Outlook Web Access の公開を構成する場合は、フォームベース認証を使用することをお勧めします。フォームベース認証を使用すると、クライアント コンピュータ上で、クライアントの資格情報をキャッシュする際につきもののリスクを回避できます。キオスク シナリオでは、資格情報のキャッシュにリスクが伴います。資格情報はキャッシュされているため、ユーザーがログオフした後であっても、ブラウザ ウィンドウを開いたままにすると、悪意のあるユーザーによって元の Outlook Web Access セッションにアクセスされることがあります。

フォームベース認証を有効にするには、この認証を使用するように構成されたリスナを指定する必要があります。詳細については、「フォームベース認証」を参照してください。

ISA Server は、Exchange Server 2003、Exchange 2000 Server、および Exchange Server バージョン 5.5 を公開する際、フォームベース認証をサポートします。

注

  • Outlook Mobile Access クライアントではフォームベース認証を使用できません。

ブリッジ モード

Outlook Web Access の [公開ルール ウィザード] では、使用するブリッジ モードを指定できます。

  • [クライアント接続をセキュリティで保護する]。このオプションを選択すると、ISA Server は、クライアント コンピュータとセキュリティで保護された接続を確立し、メール サーバーと標準の接続を確立します。
  • [クライアントとメール サーバーの接続をセキュリティで保護する]。このオプションを選択すると、ISA Server は、メール サーバーおよびクライアント コンピュータとセキュリティで保護された接続を確立します。
  • [標準接続のみ]。このオプションを選択すると、ISA Server はメール サーバーおよびクライアント コンピュータと標準の接続を確立します。

Outlook Web Access の公開で推奨される構成は、外部クライアントから ISA Server コンピュータまでと、ISA Server コンピュータから Outlook Web Access サーバーまでの両方の通信に、SSL 暗号化通信 (HTTPS) を使用する構成です。これは、認証プロセスで使用する資格情報は保護しなければならず、内部ネットワーク内であっても公開してはならないためです。このため、ISA Server コンピュータと Outlook Web Access サーバーの両方に、デジタル証明書をインストールする必要があります。

パブリック (共有) とプライベートのコンピュータ

Outlook Web Access を使用すると、ユーザーは任意のコンピュータから自分の Exchange ベースのメールボックスにアクセスできます。コンピュータは、プライベート コンピュータでも、パブリック (共有) コンピュータでもかまいません。どこででも電子メール メッセージにアクセスできるという便利さは、パブリック コンピュータにデータが残されるというリスクもはらんでいます。

こういった脅威に対抗するため、ISA Server のフォームベース認証では、ユーザーがパブリック コンピュータ上にキャッシュされたパスワードを残さないようにできます。

さらに、ユーザーが再認証を要求されてからの最大アイドル タイムアウトを構成することもできます。手順については、「Outlook Web Access クライアントのアイドル セッション タイムアウトを構成する」を参照してください。

ユーザー パスワードを変更する

Outlook Web Access には、ユーザーにパスワードの変更を許可するオプションの機能もあります。Outlook Web Access セッション中にユーザーがパスワードを変更すると、ユーザーが最初にログオンした後で書き込まれた Cookie は有効でなくなります。ISA Server にフォームベース認証が構成されている場合は、Outlook Web Access セッション中にパスワードを変更したユーザーが次回要求を送信するときに、ログオン ページが表示されます。

ユーザーにパスワードの変更を許可するときは、必ず Outlook Web Access メール サーバー公開ルールに /IISADMPWD/* フォルダを追加してください。追加していない場合、Outlook Web Access で [パスワードの変更] をクリックするたびにエラー メッセージが表示されます。

添付ファイルをブロックする

ISA Server では、ユーザーが添付ファイルを開いたり、保存することをブロックできます。パブリック コンピュータ、プライベート コンピュータ、あるいはその両方で、Outlook Web Access クライアントに対してブロックを構成できます。

ISA Server で行う添付ファイルのブロックは、Exchange Server での添付ファイルのブロックとは異なります。ユーザーはメッセージに添付ファイルが付いていることはわかりますが、その添付ファイルを開くことも保存することもできません。

手順については、「Outlook Web Access クライアントからの添付ファイルをブロックする」を参照してください。

ページをプリフェッチする

Exchange の Outlook Web Access サーバーにはプリフェッチ機能が含まれています。これは、クライアント コンピュータが資格情報を渡すと、クライアント コンピュータにファイルをダウンロードできる機能です。ISA Server のフォームベース認証を使用している場合に、この機能を有効にするには、通常は ISA Server のインストール フォルダの CookieAuthFilter サブフォルダにある、logoff_msierich.htm ファイルと logoff_msierich_smimecap.htm ファイルの次の行からコメント記号を削除します。

"<IFRAME src="/exchweb/controls/preload.htm" style="display:none"></IFRAME>"

このプリフェッチ機能では、Outlook Web Access サーバーの /exchweb/* フォルダへの認証されていないアクセスが必要になります。そのため、Web ベースのメール クライアントを ISA Server で認証する必要がある場合は、Outlook Web Access サーバー上の /exchweb/* フォルダへの匿名アクセスを許可する Web 公開ルールを作成する必要があります。また、Web リスナで認証を要求するよう構成されている場合は、プリフェッチ機能を有効にしないでください。


公開ルール構成

ここでは、Internet Security and Acceleration (ISA) Server 2004 で構成可能なすべての公開ルールに共通の構成について基本的な情報を提供します。

  • ネットワーク リスナ
  • 既定のポートの上書き
  • 要求の転送
  • DNS Web サイトの登録
  • ホスト ヘッダー
  • SSL ブリッジとトンネリング


ネットワーク リスナ

サーバー公開用にサーバー公開ルールを作成するとき、実際にはそのサーバーの代わりにクライアントからの要求をリッスンする ISA Server を構成することになります。つまり、クライアントからの要求を待機する ISA Server コンピュータ上でネットワーク リスナを構成する必要があります。ネットワーク リスナを構成するときは、ISA Server コンピュータ上のネットワーク アダプタに対応するネットワークを指定します。ISA Server コンピュータは、公開されたサービスの着信方向の要求をリッスンします。リスナは、ネットワークに関連付けられているすべての IP アドレス、または特定の IP アドレス上でリッスンできます。

ISA Server は、サーバーが公開しているプロトコルに関連付けられているポート番号を使用して、指定されているネットワーク アダプタ上でリッスンします。

手順については、「サーバー公開ルールのネットワーク リスナを構成する」を参照してください。

リスナのネットワーク (IP アドレス) の選択

選択するリスナのネットワークは、公開されたサーバーに接続するクライアントを含むネットワークによって異なります。たとえば、公開しているサービスがインターネット (外部ネットワーク) からのクライアント要求を受け入れる場合は、リスナに外部ネットワークを選択します。外部ネットワークを選択することで、外部ネットワーク アダプタに関連付けられている ISA Server コンピュータ上の IP アドレスを選択することになります。IP アドレスを制限しない場合は、選択したネットワーク アダプタに関連付けられているすべての IP アドレスがリスナの構成に含められます。

また、ルールが機能するには、公開ルールのプロパティの [送信元] タブに指定されているトラフィックの送信元 (ネットワーク エンティティ) が、選択されているネットワークにネットワーク リスナとして含まれている必要があります。


既定のポートの上書き

既定では、ファイアウォール ポリシー ルールを作成すると、ISA Server は、指定されているポート上で要求をリッスンしますが、任意のポート上でクライアントからの要求を受け付けます。アクセス ルールとサーバー公開ルールでは、指定した送信元ポートのみからの要求を受け付けるようにルールを制限できます。

さらに、サーバー公開ルールでは、公開されたサーバーへの着信方向のクライアント要求を受け付けるために ISA Server が使用するポートを指定できます。既定のポート以外のポートで公開することを選択すると、ISA Server は、公開されたサービスに対するクライアント要求を標準ではないポートで受信し、公開されたサーバー上の指定のポートに転送します。たとえば、サーバー公開ルールでは、FTP (ファイル転送プロトコル) サービスのクライアント要求は、公開されたサーバーのポート 21 にリダイレクトされる前に、ISA Server コンピュータのポート 22 を経由して接続するように指定できます。

また、サーバー公開ルールでは、公開されたサーバーが、既定のポート以外のポート上で、公開されたサービスに対するクライアント要求を受け付けるように指定できます。たとえば、2 つの FTP サーバーを公開する場合、1 つのユーザー セットに対して既定のポート上で 1 つの FTP サーバーを公開し、別のユーザー セットに対して標準以外の別のポート上でもう 1 つの FTP サーバーを公開できます。

手順については、「サーバー公開ルールの既定のポートを上書きする」を参照してください。


要求の転送

ISA Server は、公開されたサーバーに対する要求を受信すると、その要求が許可されるかどうかを判断し、公開されたサーバーに要求をルーティングします。Web サーバーの場合、ISA Server は既定では要求元クライアントの IP アドレスを、公開されたサーバーに渡すことはありません。その代わりに、ISA Server はパケットに指定されている元の IP アドレスを独自の IP アドレスに置換します。その結果、公開されたサーバーにルーティングされるすべての要求は、同じ IP アドレス、つまり ISA Server コンピュータのアドレスから要求されたかのように見えます。

サーバー公開ルールでは、ISA Server は要求元クライアントの IP アドレスを、公開されたサーバーに渡します。

アプリケーションの一部は、要求している本当のクライアントによる実際の識別を必要とします。これらのアプリケーションを公開するときは、要求しているクライアント (送信元クライアント) の IP アドレスで要求が転送されるように、ISA Server を構成できます。

ISA Server がクライアントの IP アドレスを渡す方法を構成できます。手順については、「ファイアウォール ポリシー ルールのプロキシ要求を構成する」を参照してください。


DNS Web サイトの登録

DNS (ドメイン ネーム システム) は、インターネットなどの複雑なネットワーク内のホストに接続するプロセスを簡略化するための TCP/IP 名前解決プロトコルです。DNS サーバーは、ユーザーにとって記憶しやすい英数字の DNS 名を、クライアント コンピュータが IP アドレスに変換するための情報を格納します。コンピュータは、IP アドレスを使用して互いに通信します。

たとえばほとんどのユーザーは、ネットワーク上のメール サーバーや Web サーバーなどのコンピュータにアクセスする場合に、example.microsoft.com などのフレンドリ名を使用することを好みます。フレンドリ名は、簡単に理解し、記憶することができます。DNS は、コンピュータやサービスのユーザーフレンドリ名を数値の IP アドレスにマップする手段を備えています。

サイトのドメイン名を登録すると、ユーザーはブラウザにサイトのドメイン名を入力してこの Web サイトにアクセスできるようになります。


ホスト ヘッダー

既定では、ISA Server は着信方向の Web 要求を受信すると、要求が許可されるかどうかを判断し、Web 公開ルールに定義されている Web サーバー上の適切な場所にその要求をルーティングします。ISA Server は、クライアント要求に含まれているホスト ヘッダー (たとえば Host: example.microsoft.com) を公開されたサーバーに渡しません。その代わりに、ISA Server は要求内の元のホスト ヘッダーを、Web 公開ルールに指定されているサーバー名に置換します。その結果、特定の Web サーバーにルーティングされるすべての要求は、その Web サーバー上の同じ (既定) Web サイトに送信されます。

元のホスト ヘッダー情報を渡すように ISA Server を構成すると、Web サーバー上の特定のサイトにクライアント要求をルーティングできます。たとえば、同じ Web サーバー上の複数の Web サイトを公開する場合、要求を目的の Web サイトにルーティングするには、元のホスト ヘッダーが必要になります。

手順については、「公開する Web サーバーの名前を構成する」を参照してください。


SSL ブリッジとトンネリング

SSL (Secure Socket Layer) ブリッジとは、クライアント要求を暗号化または解読し、要求を宛先の Web サーバーに渡す ISA Server の機能です。SSL トンネリングとは、ISA Server による一切の介入なしに、クライアントから Web サーバーに直接トンネルを確立することです。

  • SSL ブリッジは、ISA Server が SSL 接続を終了または開始するときに使用されます。詳細については、「SSL ブリッジ」を参照してください。
  • SSL トンネリングは、クライアント ブラウザがポート 8080 上の HTTPS を使用し、ISA Server コンピュータを経由して、ローカルの内部ネットワークからオブジェクトを要求するときに使用されます。詳細については、「SSL トンネリング」を参照してください。

注

  • 可能な限り、SSL 要求用のブリッジを構成することをお勧めします。


SSL ブリッジ

セキュリティで保護された Web 公開ルールを作成するときに、公開モードとしてトンネリングまたはブリッジを指定します。詳細については、「セキュリティで保護された Web 公開ルール」を参照してください。

どちらのモードでも、ISA Server 2004 は HTTP (ハイパーテキスト転送プロトコル) パケット がファイアウォールを通過する際にそのパケットのコンテンツを読み取ることができます。リモート ユーザーが SSL (Secure Sockets Layer) で保護された HTTP 接続を使用して ISA Server に接続すると、問題が発生します。SSL は HTTP アプリケーション レイヤ情報を暗号化し、ファイアウォールがそれらのパケットに対してステートフル インスペクションを実行できないようにします。

ISA Server の SSL-to-SSL ブリッジ機能は、SSL 接続のステートフル インスペクションを可能にして、攻撃者が SSL チャネル内にセキュリティ上の弱点を突く手段を隠すことができないようにします。ISA Server は、パケットを解読し、攻撃コードの有無を調査した後に、再びそれらを暗号化します。再び暗号化されたパケットは、企業ネットワーク上のセキュリティで保護された SSL Web サーバーに転送されます。

たとえば、公開またはリバース プロキシのシナリオでは、ISA Server がクライアントの SSL 要求を処理するために、クライアントとの SSL 接続を終了し、新たに Web サーバーとの接続を開きます。

SSL ブリッジは、ISA Server が SSL 接続を終了または開始するときに使用されます。具体的には、以下のシナリオで SSL ブリッジが機能します。

  • クライアントが HTTP オブジェクトを要求します。ISA Server が要求を暗号化して Web サーバーに転送します。Web サーバーが暗号化されたオブジェクトを ISA Server に返します。ISA Server は、オブジェクトを解読し、クライアントに送信します。つまり、HTTP 要求が SSL 要求として転送されます。
  • クライアントが SSL オブジェクトを要求します。ISA Server が要求を解読し、再び暗号化して Web サーバーに転送します。Web サーバーが暗号化されたオブジェクトを ISA Server に返します。ISA Server がオブジェクトを解読し、再び暗号化してクライアントに送信します。つまり、SSL 要求が SSL 要求として転送されます。
  • クライアントが SSL オブジェクトを要求します。ISA Server が要求を解読し、Web サーバーに転送します。Web サーバーが HTTP オブジェクトを ISA Server に返します。ISA Server は、オブジェクトを暗号化し、クライアントに送信します。つまり、SSL 要求が HTTP 要求として転送されます。

着信方向の Web 要求の場合は、外部クライアントが HTTPS を使用して内部ネットワーク上にある Web サーバーのオブジェクトを要求します。クライアントはポート (既定ではポート 443) 上の ISA Server に接続します。この場合、ISA Server はサーバー側の SSL 証明書を使用してクライアントに応答します。

このシナリオでは、ポート 443 で SSL 要求をリッスンするように ISA Server を構成し、サーバー証明書を指定する必要があります。

クライアントの要求を受け取った ISA Server は、その要求を解読して SSL 接続を終了します。Web 公開ルールによって、ISA Server がオブジェクトに対する要求を公開 Web サーバーに FTP、HTTP、または SSL のどの方法で送信するかが決まります。

セキュリティで保護された Web 公開ルールが、HTTPS を使用して要求を転送するように構成されている場合は、ISA Server が公開サーバーとの間に新しい SSL 接続を開始し、要求をポート 443 に送信します。これで ISA Server コンピュータが SSL クライアントとなったため、公開 Web サーバーはサーバー側証明書を使用して応答する必要があります。Web サーバーがクライアント証明書を必要とする場合は、ISA Server が適切な証明書を使用して応答する必要があります。

ブリッジ モード

ブリッジを選択する場合は、セキュリティで保護された Web 公開ルールで使用するブリッジ モードを構成します。

  • [クライアント接続をセキュリティで保護する]。このモードを選択すると、ISA Server はクライアントとの間にセキュリティで保護された HTTPS 接続を確立しますが、要求は標準の HTTP として公開された Web サーバーに転送されます。
  • [Web サーバー接続をセキュリティで保護する]。このモードを選択すると、ISA Server はクライアントとの間に標準の HTTP 接続を確立しますが、要求はセキュリティで保護された HTTPS として公開された Web サーバーに転送されます。
  • [クライアントと Web サーバーの接続をセキュリティで保護する]。このモードを選択すると、ISA Server はクライアントとの間にセキュリティで保護された HTTPS 接続を確立し、要求もセキュリティで保護された HTTPS として公開された Web サーバーに転送されます。

次の図は、SSL ブリッジのシナリオを示しています。

SSL ブリッジ

この図は、リバース公開のシナリオを示しています。このシナリオでは、クライアントが ISA Server のオブジェクトを要求し、ISA Server は要求を公開された Web サーバーに転送します。図の中では、Web プロキシ クライアントであるブラウザが ISA Server に接続されています。ISA Server はサーバー側証明書を返すことで、クライアントに対して自らを認証します。クライアントと ISA Server の SSL ネゴシエーションが完了すると、クライアントから ISA Server に暗号化された HTTP 要求が送信されます。ISA Server は要求を解読し、要求されたオブジェクトがキャッシュ内にあるかを確認します。

オブジェクトがキャッシュ内にある場合は、ISA Server からクライアントにオブジェクトが返されます。

オブジェクトがキャッシュ内にない場合は、ISA Server が要求を暗号化し、Web サーバーに送信します。Web サーバーはサーバー側証明書を ISA Server に返します。ISA Server と Web サーバーの SSL ネゴシエーションが完了すると、ISA Server から Web サーバーに暗号化された HTTP 要求が送信されます。Web サーバーは、要求を解読して ISA Server に返します。

ISA Server はオブジェクトを受け取って暗号化し、要求元のクライアントに渡します。


SSL トンネリング

セキュリティで保護された Web 公開ルールを作成する場合、SSL (Secure Sockets Layer) 公開モード (SSL ブリッジまたは SSL トンネリング) を指定します。詳細については、「セキュリティで保護された Web 公開ルール」を参照してください。

トンネリング モードでは、クライアントは ISA Server コンピュータ経由で、要求された Secure HTTP (HTTPS) オブジェクトがある Web サーバーに直接つながるトンネルを確立できます。クライアント ブラウザが ISA Server 経由で Secure HTTP オブジェクトを要求するときは、常に SSL トンネリングが使用されます。

トンネリング モードでは、クライアントとサーバー間の通信が暗号化されている場合、ISA Server は通信のコンテンツを検査しません。これらのコンテンツにポリシーやフィルタは適用されません。

次の図は、SSL トンネリングのプロセスを示しています。

SSL トンネリング
  1. クライアントは Web ブラウザのアドレス バーに次の URL を入力して、インターネット上の Web サーバーの SSL オブジェクトを要求します。
    https://<URL 名>
  2. 次の要求が、ISA Server コンピュータ上のポート 8080 に送信されます。

    CONNECT <URL 名>:443 HTTP/1.1

  3. ISA Server は宛先 Web サーバーのポート 443 に接続します。
  4. TCP 接続が確立されると、ISA Server は次の文字列を返します。

    HTTP/1.0 200 connection established

これ以降、クライアントは外部 Web サーバーと直接通信できるようになります。


システム ポリシー

ここでは、Internet Security and Acceleration (ISA) Server 2004 で定義するシステム ポリシーについて基本的な情報を提供します。

  • システム ポリシーの概要
  • システム ポリシー ルール
  • システム ポリシーの既定値


システム ポリシーの概要

ISA Server 2004 は、ネットワーク リソースを保護しながら、明示的に定義されている要件を満たすためにこれらのリソースをセキュリティで保護された方法で接続します。ISA Server は、セキュリティと接続の必要性との間でバランスを保ちます。これには特定のファイアウォール ポリシー ルールの定義が必要になることがあります。また、基本機能の実行を可能にするネットワーク インフラストラクチャも必要になります。認証、ネットワークの診断とログ、およびリモート管理は、ネットワークの動作とセキュリティを効果的に管理および監視するために利用できるサービスの例です。詳細については、「システム ポリシー ルール」を参照してください。

ISA Server ではシステム ポリシーが採用されています。これは、一連のファイアウォール ポリシー ルールで、ネットワークのセキュリティと接続を管理するために必要なインフラストラクチャを ISA Server コンピュータが有効にする方法を制御するものです。ISA Server は、既定のシステム ポリシーと共にインストールされます。このポリシーは、セキュリティと接続との間でバランスを保つように設計されています。

一部のシステム ポリシー ルールはインストール時に有効になります。これらは、ISA Server 環境を効果的に管理するための、最も基本的で必要なルールと見なされています。ユーザーは、自分のネットワークを管理するために必要なサービスやタスクを後から識別し、適切なシステム ポリシー ルールを有効にすることができます。詳細については、「システム ポリシーの既定値」を参照してください。

システム ポリシーを制限する

ISA Server をインストールしたら、システム ポリシーを構成できます。ユーザーは、自分のネットワークの管理方法にとって重要でないサービスやタスクを識別し、関連するシステム ポリシー ルールを無効にすることができます。

一般的に、セキュリティの観点からは、ネットワークの管理に必要でないシステム ポリシー ルールはすべて無効にすることを強くお勧めします。インストール後は、構成されているシステム ポリシー ルールを注意深く確認してください。主な管理タスクを実行した後で、再びシステム ポリシーの構成を確認してください。

手順については、「システム ポリシー構成グループを有効にする」を参照してください。

不要なシステム ポリシー ルールを無効にするほかに、ルールは必要なネットワーク エンティティのみに適用されるように制限してください。たとえば、既定により有効になる Active Directory® システム ポリシー構成グループは、内部ネットワーク上のコンピュータすべてに適用されます。これを、内部ネットワーク上の特定の Active Directory グループのみに適用されるように制限できます。

手順については、「システム ポリシー ルールの宛先を編集する」を参照してください。

注

  • 多くのシステム ポリシー ルールはローカル ホスト ネットワークに適用されます。ただし、システム ポリシー ルールに関連するローカル ホスト ネットワークは、ISA Server コンピュータとの通信ではなく、Microsoft ファイアウォール サービスとの通信に相当します。中には、リモート管理構成グループなどの例外もあります。


システム ポリシー ルール

システム ポリシー構成グループを有効にすると、1 つ以上のシステム ポリシー ルールが有効になります。インストール時に、以下の表に示すルールが特定のネットワークに適用されます。ルールが適用されるネットワークを後で変更することができます。

システム ポリシー構成グループを無効にしても、必ずしも特定のプロトコルの使用を禁止していることにはなりません。同じプロトコルが別のルールで指定されていて、そのルールが別の構成グループで有効になっていることがあるからです。

ファイアウォール ポリシーの詳細ウィンドウで、システム ポリシー ルールを表示または非表示にすることができます。手順については、「システム ポリシー ルールを表示する」を参照してください。

次の表は、システム ポリシーのシナリオ グループ、構成グループ、各分類に関連するルール名、および各ルールの簡単な説明です。

シナリオ グループ | 構成グループ | ルール名 | ルールの説明
ネットワーク サービス | DHCP | ISA Server からすべてのネットワークへの DHCP 要求を許可する DHCP サーバーから ISA Server への DHCP 応答を許可する | ISA Server コンピュータに、DHCP (返信) および DHCP (要求) プロトコルを使用した内部ネットワークへのアクセスを許可します。
ネットワーク サービス (DNS を使用した名前解決) | DNS | ISA Server から選択したサーバーまで、DNS を許可する | ISA Server コンピュータに、DNS プロトコルを使用したすべてのネットワークへのアクセスを許可します。
ネットワーク サービス (時刻構成) | NTP | ISA Server から信頼された NTP サーバーへの NTP を許可する | ISA Server コンピュータに、ネットワーク タイム プロトコル (UDP) を使用した内部ネットワークへのアクセスを許可します。
認証 (Windows ユーザー認証) | Active Directory | 認証目的のディレクトリ サービスへのアクセスを許可する ISA Server から信頼されたサーバーへの RPC を許可する ISA Server から信頼されたサーバーへの Microsoft CIFS を許可する ISA Server から信頼されたサーバーへの Kerberos 認証を許可する | ISA Server コンピュータに、Active Directory® ディレクトリ サービスによる、各種 LDAP プロトコル、RPC (すべてのインターフェイス) プロトコル、各種 Microsoft CIFS プロトコル、および各種 Kerberos プロトコルを使用した内部ネットワークへのアクセスを許可します。
認証サービス | RSA SecurID | ISA Server から信頼されたサーバーへの SecurID 認証を許可する | ISA Server コンピュータに、RSA SecurID® プロトコルを使用した内部ネットワークへのアクセスを許可します。
認証サービス | RADIUS | ISA Server から信頼された RADIUS サーバーへの RADIUS 認証を許可する | ISA Server コンピュータに、各種 RADIUS プロトコルを使用した内部ネットワークへのアクセスを許可します。
認証サービス | 証明書失効リスト | CRL ダウンロード ジョブに、ISA Server からすべてのネットワークへの HTTP を許可する | 認証サービス : 更新された証明書失効リスト (CRL) のダウンロード ジョブに、ISA Server から選択されたネットワークへの HTTP を許可します。
リモート管理 | Microsoft 管理コンソール | MMC を使用した、選択されたコンピュータからのリモート管理を許可する 選択したコンピュータに対する MS Firewall 制御通信を許可する | 内部ネットワーク コンピュータに、MS Firewall 制御プロトコルと RPC (すべてのインターフェイス) プロトコルを使用した ISA Server コンピュータへのアクセスを許可します。
リモート管理 | ターミナル サーバー | ターミナル サーバーを使用した、選択されたコンピュータからのリモート管理を許可する | 内部ネットワーク コンピュータに、リモート デスクトップ プロトコル (ターミナル サービス) を使用した ISA Server コンピュータへのアクセスを許可します。
リモート管理 | ICMP (Ping) | 選択されたコンピュータから ISA Server への ICMP (PING) 要求を許可する | 内部ネットワーク コンピュータに、Ping プロトコルを使用した ISA Server コンピュータへのアクセスを許可し、ISA Server コンピュータに、Ping プロトコルを使用した内部ネットワーク コンピュータへのアクセスを許可します。
ファイアウォール クライアント (ファイアウォール クライアント共有へのアクセス) | ファイアウォール クライアントのセットアップ | 信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する | 内部ネットワーク コンピュータに、各種 Microsoft CIFS プロトコルおよび NetBIOS プロトコルを使用した ISA Server コンピュータへのアクセスを許可します。このルールを有効にすると、任意のネットワークまたはここで指定したコンピュータから SMB を使用して ISA Server コンピュータにアクセスできるようになります。つまり、ファイアウォール クライアント インストール共有フォルダへのアクセスのみが制限されなくなります。
診断サービス | ICMP | ISA Server から選択したサーバーまで、ICMP 要求を許可する | ISA Server コンピュータに、各種インターネット制御メッセージ プロトコル (ICMP) および Ping プロトコルを使用したすべてのネットワークへのアクセスを許可します。
診断サービス | Windows ネットワーク | ISA Server から信頼されたサーバーへの NetBIOS を許可する | ISA Server コンピュータに、各種 NetBIOS プロトコルを使用したすべてのネットワークへのアクセスを許可します。
診断サービス (Microsoft エラー報告) | Microsoft への通信 | ISA Server から Microsoft エラー レポート サイトへの HTTP/HTTPS を許可する | ISA Server コンピュータに、HTTP プロトコルまたは HTTPS プロトコルを使用した Microsoft エラー報告サイトのメンバへのアクセスを許可します。
ログ | リモート ログ (NetBios) | NetBios を使用した、信頼されたサーバーへのリモート ログを許可する | ISA Server コンピュータに、各種 NetBIOS プロトコルを使用した内部ネットワークへのアクセスを許可します。
ログ | リモート ログ (SQL) | ISA Server から選択されたサーバーへのリモート SQL ログを許可する | ISA Server コンピュータに、Microsoft (SQL) プロトコルを使用した内部ネットワークへのアクセスを許可します。
リモート監視 | リモート パフォーマンス モニタ | 信頼されたサーバーからの ISA Server へのリモート パフォーマンス監視を許可する | 内部ネットワーク コンピュータに、各種 NetBIOS プロトコルを使用した ISA Server コンピュータへのアクセスを許可します。
リモート監視 | Microsoft Operations Manager | Microsoft Operations Manager (MOM) Agent を使用する、ISA Server から信頼されたサーバーへのリモート監視を許可する | ISA Server コンピュータに、Microsoft Operations Manager Agent を使用した内部ネットワークへのアクセスを許可します。
リモート監視 (メール警告) | SMTP | ISA Server から信頼されたサーバーへの SMTP を許可する | ISA Server コンピュータに、SMTP プロトコルを使用した内部ネットワークへのアクセスを許可します。
各種 (キャッシュ) | 予定されたダウンロード ジョブ | コンテンツ ダウンロード ジョブに、ISA Server から選択されたコンピュータへの HTTP を許可する | ISA Server コンピュータに、HTTP プロトコルを使用したすべてのネットワークへのアクセスを許可します。
各種 (Microsoft サイトへのアクセス) | 許可されたサイト | ISA Server から指定されたサイトへの HTTP/HTTPS 要求を許可する | ISA Server コンピュータに、HTTP プロトコルおよび HTTPS プロトコルを使用した、システム ポリシーの許可サイトの URL セット メンバへのアクセスを許可します。

上記の表に示すルールの他に、システム ポリシーには、仮想プライベート ネットワーク (VPN) 構成に適用される次のルールがあります。

  • ISA Server への VPN サイト間トラフィックを許可する
  • ISA Server からの VPN サイト間トラフィックを許可する
  • ISA Server への VPN クライアント トラフィックを許可する

仮想プライベート ネットワークを有効にすると、これらのルールが有効になります。手順については、「リモート VPN クライアント アクセスを有効にする」を参照してください。

HTTP 接続検証方法を作成すると、ISA Server では指定されたコンピュータに HTTP GET 要求を送信して、接続を確認します。これらの要求を許可するには、必要に応じて "接続検証方法に、ISA Server から選択されたサーバーへの HTTP/HTTPS 要求を許可する" という名前のシステム ポリシー ルールを構成します。


システム ポリシーの既定値

ここでは、インストール時のシステム ポリシーの既定の設定について説明します。システム ポリシーの基本的な情報については、「システム ポリシーの概要」を参照してください。

ネットワーク サービス

ISA Server をインストールすると、基本ネットワーク サービスが有効になります。インストール後、ISA Server は内部ネットワークの名前解決サーバーと時刻の同期サービスにアクセスできるようになります。

ネットワーク サービスが別のネットワークで使用可能な場合、該当する構成グループのソースを特定のネットワークに適用するよう変更する必要があります。たとえば、DHCP サーバーが内部ネットワークではなく、境界領域ネットワークに存在するとします。DHCP 構成グループのソースをその境界領域ネットワークに適用するよう変更してください。

内部ネットワークの特定のコンピュータにのみアクセスできるように、システム ポリシーを変更できます。また、他のネットワークでサービスが検出された場合には、そのネットワークを追加することもできます。手順については、「システム ポリシー ルールの宛先を編集する」を参照してください。

認証サービス

ISA Server の基本的な機能の 1 つに、特定のユーザーにファイアウォール ポリシーを適用する機能があります。ただし、ユーザーを認証するために、ISA Server は認証サーバーと通信できる必要があります。このため、既定では、ISA Server は Windows 認証用の Active Directory® サーバーと、内部ネットワークにある RADIUS サーバーと通信できるようになっています。

RSA SecurID® 認証サーバーとの通信は、既定では有効になっていません。ファイアウォール ポリシーで RSA SecurID 認証を必要とする場合は、この構成グループを有効にしてください。RSA SecurID 認証の詳細については、「RSA SecurID の認証サポート」を参照してください。

これらのシステム ポリシー構成グループが、該当するネットワークの特定のコンピュータに対してのみ適用されるように、その宛先を制限することを検討する必要があります。

リモート管理

既定では、ISA Server のリモート管理を許可するシステム ポリシー ルールは有効になっています。リモートの Microsoft 管理コンソール (MMC) スナップインを実行するか、またはターミナル サービスを使用すると、ISA Server を管理できます。

既定では、これらのルールは、ビルトイン リモート管理コンピュータのコンピュータ セットに適用されます。ISA Server をインストールすると、この空のコンピュータ セットが作成されます。リモートで ISA Server を管理するすべてのコンピュータを、この空のコンピュータ セットに追加してください。これを実行するまでは、どのコンピュータからもリモート管理を利用できません。リモート管理の詳細については、「リモート管理」を参照してください。

ファイアウォール クライアント

ISA Server のインストール時にファイアウォール クライアント共有コンポーネントをインストールした場合は、ファイアウォール クライアント インストール共有の構成グループが既定で有効になります。内部ネットワークのすべてのコンピュータが、共有フォルダにアクセスできます。

ファイアウォール クライアント共有コンポーネントをインストールしなかった場合は、この構成グループは有効になりません。

診断サービス

既定では、診断サービスへのアクセスを許可するシステム ポリシー ルールは、次のアクセス許可で有効になっています。

  • すべてのネットワークに対して ICMP を許可する。他のコンピュータへの接続を決定するための重要なサービスです。
  • Windows ネットワーク。内部ネットワークのコンピュータへの NetBIOS 通信を既定で許可します。
  • Microsoft エラー報告。Microsoft エラー報告サイトの URL セットへの HTTP アクセスを許可し、エラー情報をレポートできるようにします。既定では、この URL セットに特定の Microsoft サイトが含まれています。

ログと監視

既定では、リモート ログとリモート監視は無効になっています。次の構成グループは既定では無効です。

  • リモート ログ (NetBios)
  • リモート ログ (SQL)
  • リモート パフォーマンス モニタ
  • Microsoft Operations Manager

SMTP

既定では、SMTP 構成グループは有効になっており、ISA Server から内部ネットワークのコンピュータに SMTP 通信することができます。たとえば、電子メール メッセージで警告情報を送信するときに、この通信が必要になります。

予定されたダウンロード ジョブ

既定では、予定されたダウンロード ジョブ機能は無効になっています。コンテンツ ダウンロード ジョブを作成すると、このシステム ポリシー ルールを有効にするよう要求されます。ISA Server がコンテンツ ダウンロード ジョブで指定されているサイトにアクセスできるようになります。

許可されたサイト

既定では、許可されたサイトの構成グループは有効になっており、ISA Server はシステム ポリシーの許可サイトの URL セットに含まれる特定のサイトのコンテンツにアクセスできます。この URL セットには、さまざまな Microsoft Web サイトが既定で含まれています。この URL セットを変更して、ISA Server からのアクセスを許可する他の Web サイトを追加することができます。


ツールボックス

ここでは、Internet Security and Acceleration (ISA) Server 2004 でのルール構成時に作成および使用できるツールボックスの要素について基本的な情報を提供します。

  • プロトコル
  • ユーザー セット
  • コンテンツの種類
  • スケジュール
  • ネットワーク オブジェクト
  • ドメイン名セットと URL セット
  • Web リスナ


プロトコル

ISA Server には、さまざまな構成済みのプロトコルが用意されています。これらはアクセス ルールやサーバー公開ルールの作成時に使用できます。

ISA Server の管理を使用して独自のプロトコルを作成し、プロトコルのセットをさらに拡大することもできます。ユーザー定義のプロトコルは、編集または削除が可能です。ISA Server に含まれているプロトコルは、変更または削除できません。アプリケーション フィルタと共にインストールされるプロトコルは変更できませんが、削除は可能です。ただし、アプリケーション フィルタがプロトコルに適用されないように、プロトコルを構成することができます。詳細については、「アプリケーション フィルタとプロトコル」を参照してください。

プロトコルを作成するときは、以下を指定します。

  • [プロトコルの種類]。[TCP]、[UDP]、[ICMP]、または [IP レベル] があります。
  • [方向]。[UDP] の場合、[送信]、[受信]、[送信後、受信許可]、または [受信後、送信許可] があります。[TCP] の場合、[着信] と [発信] があります。[ICMP] と [IP レベル] の場合、[送信] と [受信] があります。
  • [ポートの範囲] (TCP および UDP プロトコル用)。1 次接続に使用される 1 ～ 65535 の範囲のポートです。
  • [プロトコル番号] (IP レベルのプロトコル用)。プロトコル番号です。
  • [ICMP のプロパティ] (ICMP プロトコル用)。ICMP のコードと種類です。
  • (省略可能) [2 次接続]。1 次接続の後の追加の接続またはパケットに使用されるポートの範囲、プロトコルの種類、および方向です。2 次接続は 1 つ以上構成できます。

注

  • IP レベルの 1 次プロトコルに 2 次接続を定義することはできません。

手順については、「プロトコルを作成する」を参照してください。

方向

ISA Server は、プロトコルの方向を使用して、トラフィックが発信または着信のどちらであるかを指定します。

アクセス ルールの場合、プロトコルの方向は通常は発信として定義します。これにより、ルールの送信元 ([送信元]) として指定されたネットワーク エンティティから、ルールの宛先 ([宛先]) として指定されたネットワーク エンティティまでのトラフィックが許可されます。通常これは、ISA Server の背後にあるクライアントが他のネットワーク オブジェクト、または外部ネットワーク (インターネット) などのネットワークにトラフィックを送信できることを意味します。

サーバー公開ルールの場合、プロトコルは着信として定義する必要があります。これにより、ネットワークの送信元として指定されたネットワーク エンティティから、サーバー上の公開されたサービスまでトラフィックが許可されます。

サーバー公開ルールの場合、定義済みのプロトコルは常に Server サフィックスで識別されます。たとえば DNS サーバー プロトコルは、DNS サービスに対する要求が、公開された DNS サーバーに送信されることを許可します。サーバー公開用のプロトコルを定義するときに、サフィックスを追加する必要はありません。ただし、プロトコルは着信として定義する必要があります。

詳細については、「アクセス ルール」と「サーバー公開ルール」を参照してください。

アプリケーション フィルタとプロトコル

アプリケーション フィルタが指定されたプロトコルの定義には、通常は定義済みの 2 次接続は含まれていません。プロセスは次のようになります。

  1. クライアントは、インターネット上のサーバーへの 1 次接続を開きます。
  2. ISA Server コンピュータは、接続をフィルタに通知します。
  3. フィルタは、1 次接続を経由して流れているデータを検査し、クライアントがどの 2 次接続を使用するかを判断します。
  4. フィルタは、特定の 2 次接続を許可することを ISA Server コンピュータに通知します。
  5. ISA Server コンピュータは、アプリケーション フィルタによって指定された特定のポートを開きます。

アプリケーション フィルタの中には、新しいプロトコルを作成し、インストールするものがあります。これらのプロトコルは、複雑なプロトコルです。つまり、2 次接続が含まれています。これらの複雑なプロトコルが使用するポートを変換することで、アプリケーション フィルタはポートを有効にし、これらのプロトコルを使用するトラフィックが通過することを許可します。これらのプロトコルの 1 次接続は、アプリケーション フィルタが有効になっているかいないかにかかわらず、機能します。

他のアプリケーション フィルタは、ユーザー定義の既存のプロトコルまたは ISA Server によって構成されている既存のプロトコルのトラフィックをフィルタ処理します。このようなアプリケーション フィルタが無効になっていても、これらによってフィルタ処理されるプロトコルは無効になりません。たとえば、SMTP (簡易メール転送プロトコル) フィルタを無効にしても、SMTP プロトコルによってフィルタ処理なしでトラフィックが通過することがあります。

プロトコルには 1 つ以上のアプリケーション フィルタを適用し、このプロトコルの使用方法を制御できます。たとえば、Web プロキシ アプリケーション フィルタは HTTP プロトコルに適用されます。Web プロキシ アプリケーション フィルタを無効にすると、Web フィルタはこのルールに一致するトラフィックに適用されなくなります。

詳細については、「アプリケーション フィルタ」を参照してください。手順については、「プロトコルにアプリケーション フィルタを適用する」を参照してください。

RPC プロトコル

ISA Server をインストールすると、発信リモート プロシージャ コール (RPC) プロトコルが定義されます。このプロトコルの定義にはすべての UUID インターフェイスが使用されます。

この発信 RPC プロトコルの定義の使用を許可するアクセス ルールを作成できます。これによって、内部クライアントは RPC プロトコルを使用して外部リソースにアクセスできるようになります。たとえば、内部ネットワーク上のクライアントから外部の Exchange サーバーへのアクセスを許可できます。同様に、発信方向の RPC プロトコルの定義を作成し、それをプロトコル ルールの中で使用して、内部クライアントから外部リソースへのアクセスを許可できます。

発信 RPC プロトコルは、厳密に RPC 準拠となるように、ルールごとに構成できます。既定では、厳密に準拠することが RPC プロトコルに強制されています。厳密に準拠することにより、DCOM などの RPC タイプのプロトコルは、ISA Server 経由が許可されなくなります。

ISA Server をインストールすると、2 つの既定の RPC プロトコル定義が着信方向の要求に対して指定されます。

  • [RPC Server (すべてのインタフェース)]。このプロトコルの定義がサーバー公開ルールで許可されている場合、ISA Server はすべての着信 RPC 要求を、公開された RPC サーバーにマップします。UUID が RPC サーバーで登録されている場合は、プロシージャへのアクセスが与えられます。UUID が RPC サーバーで登録されていない場合、要求は破棄されます。
  • [Exchange RPC サーバー]。Exchange に使用される UUID インターフェイスの一覧が、RPC プロトコルの定義として定義されます。このプロトコルの定義をサーバー公開ルールで使用すると、特定の Exchange の機能へのアクセスを拒否または許可できます。

RPC (任意のインターフェイス) プロトコルは、発信方向の要求に対して定義されています。

追加の RPC プロトコルの定義を作成することもできます。ウィザードを使用すると、RPC サーバーで使用可能なインターフェイスの一覧から UUID インターフェイスを選択できます。または、インターフェイスを手動で定義できます。着信方向の RPC プロトコルの定義にインターフェイスを指定しない場合、このプロトコルの定義を許可するサーバー公開ルールでは、トラフィックを許可しなくなります。

着信方向の RPC プロトコルの定義を作成したら、それをサーバー公開ルールで使用できます。

プロトコル カテゴリ

ツールボックスでは、プロトコルは機能別のグループに分類されています。これらのカテゴリは、特定のシナリオに適したプロトコルを選択できるように作成されています。一部のプロトコルは複数のカテゴリに含まれています。すべてのプロトコルは "すべてのプロトコル" カテゴリに含まれています。ユーザーが定義するプロトコルは、"ユーザー定義" カテゴリに含まれます。

プロトコル カテゴリ | 説明
インフラストラクチャ | アドレスの割り当て (DHCP)、Active Directory (LDAP)、および名前解決 (DNS) などの一般的なネットワーク インフラストラクチャの要件を満たすために使用されるプロトコルが含まれています。
メール | SMTP、IMAP4、POP3 など、メール サーバーが使用するプロトコルが含まれています。
インスタント メッセージ | MSN メッセンジャー プロトコル、ICQ、H.323 など、インスタント メッセージに必要なプロトコルが含まれています。
リモート端末 | RDP、Telnet など、リモート管理を可能にするために必要なプロトコルが含まれています。
ストリーミング メディア | MMS、RTSP など、ストリーミング メディアに必要なプロトコルが含まれています。
VPN と IPSEC | IKE クライアント、IKE サーバー、レイヤ 2 トンネリング プロトコル (L2TP) など、VPN 接続に必要なプロトコルが含まれています。
Web | HTTP、HTTPS、FTP など、Web サイトへのアクセスに使用されるプロトコルが含まれています。Web 公開ルールを作成するときは、このカテゴリのプロトコルのみを選択できます。
認証 | リモート認証ダイヤルイン ユーザー サービス (RADIUS)、RSA SecurID、Kerberos など、認証に必要なプロトコルが含まれています。
サーバー プロトコル | RPC サーバー、Microsoft SQL Server、FTP サーバーなど、サーバー公開ルールで使用されるサーバー プロトコルが含まれています。


ユーザー セット

ファイアウォール ポリシー ルールを作成すると、特定のインターネット プロトコル (IP) アドレスまたはユーザーにそのルールを適用できます。ルールをユーザーに適用する場合、特定のルールの要求に応じて、ユーザーは認証の資格情報を提示して、認証を行う必要があります。

多くの場合、ユーザー グループにルールを適用して、ルールの構成プロセスを簡略化します。

ISA Server 2004 を使用すると、ユーザーをユーザー セットにグループ化できます。ユーザー セットには、任意の認証スキーム (機構) から 1 人以上のユーザーを含めることができます。たとえば、Windows ユーザー、RADIUS 名前空間のユーザー、SecurID 名前空間のユーザーを 1 つのユーザー セットに含めることができます。

ISA Server には、次のユーザー セットが事前に構成されています。

  • 認証されたすべてのユーザー。認証されたすべてのユーザーを示す事前定義されたユーザー セットです。このセットを使用して定義したルールは、認証されたユーザーに適用されます。SecureNAT クライアントは、仮想プライベート ネットワーク (VPN) クライアントでもある場合に限り認証されます。この場合、VPN の資格情報が承認に使用されます。
  • すべてのユーザー。すべてのユーザーを示す事前定義されたユーザー セットです。このセットを使用して定義したルールは、認証されたユーザーと認証されていないユーザーの両方に適用されます。
  • システムおよびネットワーク サービス。ISA Server コンピュータのローカル システム サービスとネットワーク サービスを示す事前定義されたユーザー セットです。このユーザー セットは、一部のシステム ポリシー ルールで使用されます。

手順については、「ユーザー セットを作成する」を参照してください。


コンテンツの種類

コンテンツの種類では、Multipurpose Internet Mail Extensions (MIME) の種類とファイル名拡張子を指定します。アクセス ルールを作成する場合、特定のコンテンツの種類のみに適用されるようにルールを制限できます。セキュリティ ポリシーを構成するときは、さらに具体的な指定が可能です。つまり、アクセスを特定の宛先のみに制限できるだけでなく、特定のコンテンツのみにも制限できます。

コンテンツの種類は、HTTP (ハイパーテキスト転送プロトコル) とトンネル モードの FTP (ファイル転送プロトコル) トラフィックのみに適用されます。これらのトラフィックは、ISA Server を経由して渡されます。

クライアントが FTP コンテンツを要求すると、ISA Server は要求されたオブジェクトのファイル名拡張子をチェックします。ISA Server では、要求されたファイル名拡張子を含むコンテンツの種類にルールが適用されるかどうかを確認し、それに応じてルールを処理します。

クライアントが HTTP コンテンツを要求すると、ISA Server はその要求を Web サーバーに送信します。Web サーバーがオブジェクトを返すと、ISA Server では Web サーバーが返したヘッダー情報に応じて、オブジェクトの MIME の種類またはそのファイル名拡張子をチェックします。ISA Server では、要求されたファイル名拡張子を含むコンテンツの種類にルールが適用されるかどうかを確認し、それに応じてルールを処理します。

コンテンツの種類は、HTTPS などの他のプロトコルには適用されません。

コンテンツの種類を作成する場合、コンテンツの MIME の種類とファイル名拡張子を指定することをお勧めします。たとえば、すべての director ファイルをコンテンツの種類に含めるには、次のファイル名拡張子と MIME の種類を選択します。

  • .dir
  • .dxr
  • .dcr
  • application/x-director

コンテンツの種類を構成する際、MIME の種類を指定するときに、アスタリスク (*) をワイルドカード文字として使用できます。たとえば、すべてのアプリケーションの種類を含めるには、「application/*」と入力します。アスタリスク ワイルドカード文字は、MIME の種類でのみ使用できます。ファイル拡張子では使用できません。アスタリスクは、MIME の種類の最後の部分でスラッシュ (/) の後に 1 回だけ指定できます。

構成手順については、「コンテンツの種類を作成する」を参照してください。

ISA Server には、コンテンツの種類として、アプリケーション、アプリケーション データ ファイル、オーディオ、圧縮されたファイル、ドキュメント、HTML ドキュメント、イメージ、マクロ ドキュメント、テキスト、ビデオ、および VRML があらかじめ構成されています。

Web サーバーに応じて、異なる MIME の種類が各ファイル名拡張子に関連付けられています。次の表は、インターネット インフォメーション サービス (IIS) の既定の関連付けの一覧です。

ファイル名拡張子 | MIME の種類
.hta | application/hta
.isp | application/x-internet-signup
.crd | application/x-mscardfile
.pmc | application/x-perfmon
.spc | application/x-pkcs7-certificates
.sv4crc | application/x-sv4crc
.bin | application/octet-stream
.clp | application/x-msclip
.mny | application/x-msmoney
.p7r | application/x-pkcs7-certreqresp
.evy | application/envoy
.p7s | application/pkcs7-signature
.eps | application/postscript
.setreg | application/set-registration-initiation
.xlm | application/vnd.ms-excel
.cpio | application/x-cpio
.dvi | application/x-dvi
.p7b | application/x-pkcs7-certificates
.doc | application/msword
.dot | application/msword
.p7c | application/pkcs7-mime
.ps | application/postscript
.wps | application/vnd.ms-works
.csh | application/x-csh
.iii | application/x-iphone
.pmw | application/x-perfmon
.man | application/x-troff-man
.hdf | application/x-hdf
.mvb | application/x-msmediaview
.texi | application/x-texinfo
.setpay | application/set-payment-initiation
.stl | application/vndms-pkistl
.mdb | application/x-msaccess
.oda | application/oda
.hlp | application/winhlp
.nc | application/x-netcdf
.sh | application/x-sh
.shar | application/x-shar
.tcl | application/x-tcl
.ms | application/x-troff-ms
.ods | application/oleobject
.axs | application/olescript
.xla | application/vnd.ms-excel
.mpp | application/vnd.ms-project
.dir | application/x-director
.sit | application/x-stuffit
.* | application/octet-stream
.crl | application/pkix-crl
.ai | application/postscript
.xls | application/vnd.ms-excel
.wks | application/vnd.ms-works
.ins | application/x-internet-signup
.pub | application/x-mspublisher
.wri | application/x-mswrite
.spl | application/futuresplash
.hqx | application/mac-binhex40
.p10 | application/pkcs10
.xlc | application/vnd.ms-excel
.xlt | application/vnd.ms-excel
.dxr | application/x-director
.js | application/x-javascript
.m13 | application/x-msmediaview
.trm | application/x-msterminal
.pml | application/x-perfmon
.me | application/x-troff-me
.wcm | application/vnd.ms-works
.latex | application/x-latex
.m14 | application/x-msmediaview
.wmf | application/x-msmetafile
.cer | application/x-x509-ca-cert
.zip | application/x-zip-compressed
.p12 | application/x-pkcs12
.pfx | application/x-pkcs12
.der | application/x-x509-ca-cert
.pdf | application/pdf
.xlw | application/vnd.ms-excel
.texinfo | application/x-texinfo
.p7m | application/pkcs7-mime
.pps | application/vnd.ms-powerpoint
.dcr | application/x-director
.gtar | application/x-gtar
.sct | text/scriptlet
.fif | application/fractals
.exe | application/octet-stream
.ppt | application/vnd.ms-powerpoint
.sst | application/vndms-pkicertstore
.pko | application/vndms-pkipko
.scd | application/x-msschedule
.tar | application/x-tar
.roff | application/x-troff
.t | application/x-troff
.prf | application/pics-rules
.rtf | application/rtf
.pot | application/vnd.ms-powerpoint
.wdb | application/vnd.ms-works
.bcpio | application/x-bcpio
.dll | application/x-msdownload
.pma | application/x-perfmon
.pmr | application/x-perfmon
.tr | application/x-troff
.src | application/x-wais-source
.acx | application/internet-property-stream
.cat | application/vndms-pkiseccat
.cdf | application/x-cdf
.tgz | application/x-compressed
.sv4cpio | application/x-sv4cpio
.tex | application/x-tex
.ustar | application/x-ustar
.crt | application/x-x509-ca-cert
.ra | audio/x-pn-realaudio
.mid | audio/mid
.au | audio/basic
.snd | audio/basic
.wav | audio/wav
.aifc | audio/aiff
.m3u | audio/x-mpegurl
.ram | audio/x-pn-realaudio
.aiff | audio/aiff
.rmi | audio/mid
.aif | audio/x-aiff
.mp3 | audio/mpeg
.gz | application/x-gzip
.z | application/x-compress
.tsv | text/tab-separated-values
.xml | text/xml
.323 | text/h323
.htt | text/webviewhtml
.stm | text/html
.html | text/html
.xsl | text/xml
.htm | text/html
.cod | image/cis-cod
.ief | image/ief
.pbm | image/x-portable-bitmap
.tiff | image/tiff
.ppm | image/x-portable-pixmap
.rgb | image/x-rgb
.dib | image/bmp
.jpeg | image/jpeg
.cmx | image/x-cmx
.pnm | image/x-portable-anymap
.jpe | image/jpeg
.jfif | image/pjpeg
.tif | image/tiff
.jpg | image/jpeg
.xbm | image/x-xbitmap
.ras | image/x-cmu-raster
.gif | image/gif


スケジュール

ルールを作成する際に、ルールにスケジュールを適用して、そのルールが有効になるタイミングを指定することができます。

ISA Server 2004 では、次の 2 つのスケジュールがあらかじめ構成されています。

  • 週末。土曜と日曜の全日、アクセスを許可します。
  • 就業時間。月曜から金曜の 09:00 (9:00 A.M.) から 17:00 (5:00 P.M.) までアクセスを許可します。

手順については、「スケジュールを作成する」を参照してください。


ネットワーク オブジェクト

ルールを作成したら、そのルールを適用する送信元と宛先を指定します。送信元と宛先はネットワーク オブジェクトです。より柔軟性を確保するために、コンピュータを異なる種類のネットワーク オブジェクトに分類できます。

  • ネットワーク。ネットワークは IP アドレスの範囲です。ネットワークの詳細については、「ネットワークおよびネットワーク セットの構成」を参照してください。
  • ネットワーク セット。ネットワーク セットには、1 つ以上のネットワークが含まれます。
  • コンピュータ。コンピュータは 1 つの IP アドレスに相当します。
  • アドレス範囲、サブネット、およびコンピュータ セット。アドレス範囲とサブネットは、IP アドレスの範囲に相当します。
  • Web リスナ。Web リスナは、指定したネットワークで Web 要求をリッスンする IP アドレスとポートを特定します。詳細については、「Web リスナ」を参照してください。

定義済みのコンピュータ セット

ISA Server をインストールすると、次のコンピュータ セットが作成されます。

  • 任意の場所。すべての IP アドレス範囲が含まれた定義済みのコンピュータ セットです。
  • リモート管理コンピュータ。ISA Server をリモート管理するコンピュータが含まれるコンピュータ セットです。このコンピュータ セットには、最初は何も設定されていません。ISA Server をリモート管理できるすべてのコンピュータの IP アドレスを含めるように構成する必要があります。詳細については、「リモート管理」を参照してください。
  • IPSec リモート ゲートウェイ。構成すると、インターネット プロトコル セキュリティ (IPSec) リモート仮想プライベート ネットワーク (VPN) ゲートウェイの IP アドレスが含まれるコンピュータ セットです。詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。


ドメイン名セットと URL セット

ドメイン名セットは、1 つ以上のドメイン名を 1 つのセットとして定義するため、指定した複数のドメインにファイアウォール ポリシーを適用することができます。

URL (Uniform Resource Locator) セットは、1 つ以上の URL をグループ化して 1 つのセットを構成します。URL セットをアクセス ルールで使用すると、指定した Web サイトへのアクセスを許可または拒否できます。

ドメイン名セットおよび URL セットに適用されるルールは、DNS に格納されているドメイン情報に従って強制されます。DNS が正しく構成されていないと、ルールは予想どおりには適用されないこともあります。

ドメイン名の指定

ドメイン名を指定するときは、アスタリスク (*) を使用してコンピュータのセットを指定できます。たとえば、microsoft.com ドメイン内のすべてのコンピュータを指定するには、ドメイン名として「*.microsoft.com」と入力します。アスタリスクはドメイン名の先頭に 1 つしか使用できません。

ドメイン名を指定するときは、完全修飾ドメイン名 (FQDN) を使用してコンピュータ名を指定します。たとえば、「\\<コンピュータ名>」ではなく、「<コンピュータ名>.microsoft.com」と入力します。

URL の指定

URL セットを作成するときは、1 つ以上の URL を URL 形式で指定できます。また、プロトコルとポートも次のように指定できます。

<プロトコル>:address/path:<ポート>

指定できるプロトコルは、HTTP、HTTPS、および FTP です。ただし、ISA Server では、URL セットに適用するルールが処理されるとき、指定したプロトコルは無視されます。つまり、ホスト名とパスのみが考慮されます。

URL には特定のポート番号も指定できますが、ISA Server におけるルールの処理では、ポート番号は無視されます。

パスも指定できます。パスにはワイルドカードを使用できます。ただし、使用できるのは末尾のみです。たとえば、「www.microsoft.com/*」のように入力します。「www.microsoft.com/*/sales」とは入力できません。

ISA Server では、ルールに構成された URL セットを確認する際、疑問符 (?) の後のテキストは無視されます。URL セットに疑問符付きの URL が含まれる場合、その URL は無視されます。

ISA Server は、Web トラフィック (HTTP または FTP over HTTP に対するクライアント要求) に限り、URL セットに適用するルールを処理します。クライアントが他のプロトコルを使用している場合、URL セットにのみ適用するルールは ISA Server で処理されません。

定義済みの URL セット

ISA Server 2004 では、次の URL セットがあらかじめ定義されています。

  • Microsoft エラー報告サイト。エラー報告を行うことができる定義済みの URL セットです。
  • システム ポリシーの許可サイト。メンテナンスおよび管理の目的で信頼できるサイトにアクセスできる定義済みの URL セットです。

手順については、「URL セットを作成する」および「ドメイン名セットを作成する」を参照してください。


Web リスナ

ここでは、Web リスナについて基本的な情報を提供します。

  • Web リスナの概要
  • ポートの指定


Web リスナの概要

Web 公開ルールを作成するときは、ルールの適用時に使用される Web リスナを指定します。Web リスナのプロパティによって、次の構成が決定されます。

  • 指定されているネットワーク上で Web 要求をリッスンするインターネット プロトコル (IP) アドレスとポート。
  • 必要な場合に使用される認証方法。
  • 許可される接続の数。

Web リスナは複数の Web 公開ルールで使用できます。

Web リスナのネットワーク (IP アドレス) の選択

選択する Web リスナのネットワークは、公開された Web サーバーへの接続で使用するネットワーク クライアントによって異なります。たとえば、公開している Web サイトがインターネット (外部ネットワーク) からのクライアント要求を許可する場合は、Web リスナに外部ネットワークを選択します。外部ネットワークを選択することで、外部ネットワーク アダプタに関連付けられている ISA Server コンピュータ上の IP アドレスを選択することになります。IP アドレスを制限しない場合は、選択したネットワーク アダプタに関連付けられているすべての IP アドレスがリスナの構成に含められます。

Web リスナは Web 公開ルールで使用されます。このルールは、Web リスナのほかに、送信元ネットワーク オブジェクトも指定します。Web 公開ルールに対して指定するネットワーク オブジェクトは、Web リスナに対しても指定する必要があります。

認証

コンピュータ セットまたはユーザー グループへのアクセスを許可または拒否するように、Web 公開ルールを作成できます。ルールがユーザーに適用される場合、ISA Server では発信方向の Web 要求プロパティをチェックして、ユーザーの認証方法を決定します。たとえば、Web 公開ルールでは特定のユーザーのみへのアクセスを許可する場合があります。ISA Server はオブジェクトを要求しているユーザーを認証し、Web 公開ルールで要求元のユーザーのアクセスが許可されるかどうかを確認します。ユーザーは、着信方向の Web 要求に対して指定されている認証方法のいずれかを使用して、認証する必要があります。

ISA Server は、Microsoft® Windows NT® チャレンジ/応答認証をサポートしているブラウザ、および基本認証を使用する他のブラウザのために、セキュリティで保護され、暗号化されたログオン環境を提供します。認証方法は、サーバー上のすべての IP アドレスに対して、または IP アドレスごとに個別に設定できます。

詳細については、「認証」を参照してください。

同時接続を制限する

ISA Server コンピュータへの許可する同時接続数を制限することで、システムのリソースに打撃を与えるアタックを防ぐことができます。これはサーバーを公開するときに特に役立ちます。接続するコンピュータの数を制限する一方で、制限を超えている場合でも、特定のクライアントに対しては引き続き接続を許可することができます。

手順については、「公開された Web サーバーに許可される同時接続の最大数を構成する」を参照してください。


ポートの指定

既定では、ISA Server はポート 80 で HTTP (ハイパーテキスト転送プロトコル) 要求をリッスンします。ただし、接続元クライアントが別のポートを使用する場合は、それに合わせてポート番号を変更する必要があります。Web リスナが既定のポート 443 で SSL (Secure Sockets Layer) 要求をリッスンするように構成することもできます。SSL を選択する場合は、最初に適切な証明書を ISA Server コンピュータにインストールする必要があります。Web リスナが使用するサーバー証明書を選択し、ISA Server コンピュータがそのコンピュータ自身をクライアントに対して認証できるようにする必要があります。


カスタム HTML エラー メッセージ

ISA Server には、必要に応じて Web ブラウザ クライアントに返される、一連の HTML (ハイパーテキスト マークアップ言語) エラー メッセージが用意されています。

ISA Server では、外部クライアント要求と内部クライアント要求が区別されます。内部クライアントの場合、ファイルの名前は <エラー番号>.htm となります。外部クライアントの場合、ファイルの名前は <エラー番号>R.htm となります。ここでの R は reverse (逆) を意味します。

次の表は、ISA Server に含まれるエラー メッセージの一覧です。

ファイル名 | 説明
10060.htm および 10060R.htm | 指定された Web サーバーにアクセスできませんでした。
11001.htm および 11001R.htm | 指定されたホストが見つかりませんでした。
11002.htm および 11002R.htm | 指定されたホストの DNS ネーム サーバーにアクセスできませんでした。
11004.htm および 11004R.htm | ホストが見つかりませんでした。

各自の組織向けにカスタマイズされた HTML エラー メッセージを追加で作成できます。追加の HTML エラー メッセージ ページを作成する際に、既定の HTML エラー ファイルを土台として使用できます。内部クライアント エラーのファイルは Default.htm という名前で、外部クライアント エラーのファイルは DefaultR.htm という名前で、それぞれ \ErrorHtmls フォルダに配置されています。エラー メッセージ ページは、Errorcode.htm という名前になります。

Default.htm ファイルは、あらゆる HTML ページと同様に編集できます。

  • [ERRORNUM] を適切なエラー コードで置き換えます。
  • [ERRORTEXT] を適切なエラー メッセージ テキストで置き換えます。
  • [SERVERNAME] を、HTML ページを返すサーバーの名前で置き換えます。
  • [VIAHEADER] を、ISA Server コンピュータが受け取る Via ヘッダー メッセージ文字列で置き換えます。

カスタム HTML エラー メッセージでは、.gif または .jpg ファイル形式のインライン グラフィックを使用できます。ただし、これらのファイルは、ISA Server コンピュータ上の独立した共有ディレクトリに格納する必要があり、HTML エラー メッセージ ファイルでは、完全修飾 URL を使用してインライン グラフィックを指す必要があります。


認証

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の認証サポートに関する基本的な情報を提供します。

  • Web 要求の認証方法
  • 認証プロセス


Web 要求の認証方法

ISA Server のアクセス ポリシーと公開ルールは、コンピュータのセットまたはユーザーのグループが、特定のサーバーにアクセスすることを許可または拒否するように構成できます。ルールがユーザーに適用される場合、ISA Server ではリスナの Web 要求プロパティをチェックして、ユーザーの認証方法を決定します。

使用する認証方法を構成できます。着信方向の Web 要求と発信方向の Web 要求には別々の認証方法を構成できます。

ISA Server でサポートする認証方法は次のとおりです。基本認証、ダイジェスト認証、統合 Windows 認証、クライアント証明書、およびサーバー証明書です。

注意

  • Microsoft® Internet Explorer 5 以降では、すべての認証方法がサポートされます。他の Web ブラウザでは、基本認証方法のみがサポートされる場合があります。着信方向の Web 要求と発信方向の Web 要求のプロパティに対して指定した認証方法のうち、少なくとも 1 つがクライアント Web ブラウザによって使用可能であることを確認してください。そうしないと、クライアントは要求されたオブジェクトにアクセスできません。

ここでは、Web 要求の認証方法について説明します。

  • 基本認証
  • ダイジェスト認証
  • 統合 Windows 認証
  • RADIUS 認証
  • RSA SecurID の認証サポート
  • RSA SecurID の認証を有効にするための ISA Server コンピュータの構成
  • フォームベース認証
  • SSL 証明書の認証


基本認証

基本認証方法は、ユーザー名とパスワード情報を収集するために広く使用されている業界標準の方法です。

標準の HTTP (ハイパーテキスト転送プロトコル) による認証方法が基本認証です。基本認証では、ユーザー情報が読み取り可能なテキスト文字として送受信されます。パスワードとユーザー名はエンコードされますが、基本認証では暗号化は使用されません。

重要

  • 基本認証を使用して転送されるパスワードは、セキュリティで保護されていないため、転送中に読み取られる可能性があります。できる限り、統合 Windows 認証を使用してください。

クライアント認証プロセス

次の手順は、基本認証を使用したクライアントの認証方法の概略です。

  1. ユーザーは、資格情報とも呼ばれる Windows アカウントのユーザー名とパスワードを入力するように要求されます。
  2. ISA Server は、ユーザーの資格情報を使用して接続を確立しようとします。クリア テキストのパスワードが、Base64 でエンコードされてネットワーク上に送信されます。

    重要

    • Base64 エンコードは暗号化ではありません。Base64 でエンコードされたパスワードがネットワーク スニッファによってネットワーク上で傍受されると、許可されていないユーザーがパスワードをデコードして再利用する恐れがあります。
  3. ISA Server によってユーザー名とパスワードが有効な Microsoft Windows ユーザー アカウントに対応していることが確認されると、接続が確立されます。

基本認証のメリットは、HTTP 仕様に組み込まれているためにほとんどのブラウザでサポートされていることです。デメリットは、基本認証を使用する Web ブラウザが、暗号化されていない形式のパスワードを転送することです。攻撃者や悪意のあるユーザーは、ネットワーク上の通信を監視することで、一般に入手可能なツールを使用してこれらのパスワードを傍受し、デコードできます。このため、専用線や SSL (Secure Sockets Layer) などで接続がセキュリティで保護されていることが確実でない限り、基本認証はお勧めしません。


ダイジェスト認証

ダイジェスト認証の機能は基本認証と同じですが、認証の資格情報の転送方法が異なります。認証の資格情報は、一般に "ハッシュ" と呼ばれる一方向プロセスを介して渡されます。このプロセスの結果はハッシュまたはメッセージ ダイジェストと呼ばれ、復号化できません。つまり、ハッシュから元のテキストを解読することはできません。

何者かがパスワードのハッシュを取得し、それを使用して本当のユーザーを偽装することができないよう、ハッシュする前に、パスワードに補足情報が追加されます。追加される値は、ユーザー、ユーザーのコンピュータ、およびユーザーが属しているドメインを識別するための役に立ちます。ユーザーが失効したパスワードを使用できないよう、タイム スタンプも追加されます。これは、許可されていない人物がパスワードを傍受して使用することが不可能であるため、基本認証より明らかに優れています。

ダイジェスト認証は、World Wide Web コンソーシアム (W3C) の Web サイト (英語情報) で RFC 2617 仕様に定義されている HTTP 1.1 プロトコルに基づいています。ダイジェスト認証では HTTP 1.1 に準拠していることが要求されるため、この方法をサポートしていないブラウザもあります。HTTP 1.1 に準拠していないコンピュータのブラウザで、ダイジェスト認証を使用するファイルを要求すると、クライアントがダイジェスト認証をサポートしていないため、要求は拒否されます。

ダイジェスト認証は、Windows ドメインでのみ使用できます。

重要

  • ダイジェスト認証は、ドメイン コントローラに、Active Directory に格納された要求側ユーザー パスワードの復号可能な暗号化コピー (クリア テキスト) が存在する場合のみ実行されます。パスワードをクリア テキストとして保存するには、Active Directory で、そのユーザーの [アカウント] タブの [暗号化を元に戻せる状態でパスワードを保存する] 設定を有効にする必要があります。または、グループ ポリシーを設定してこの機能を有効にすることもできます。この設定を行うと、古いパスワードが識別できなくなるため、この機能を有効にするには、新しいパスワードの設定が必要になります。
    WDigest 認証を使用する場合は、この操作は必要ありません。

WDigest

WDigest は、新しいバージョンのダイジェスト認証として ISA Server でサポートされています。標準のダイジェスト認証と異なり、WDigest では、パスワードを復号可能な暗号化形式で格納する必要がありません。WDigest は、Windows Server 2003 上で実行される ISA Server コンピュータでのみサポートされます。

WDigest の場合、ユーザー名とドメイン名では大文字と小文字が区別されます。つまり、ユーザーは、Active Directory に書き込まれているとおりにユーザー名とドメイン名を入力する必要があります。この点が、ダイジェスト認証、基本認証、および統合 Windows 認証と異なります。これらの認証では、パスワードでのみ大文字と小文字が区別されます。

ISA Server とドメインの両方が Windows Server 2003 をベースとしている場合、既定の認証は WDigest になります。つまり、Windows Server 2003 環境でダイジェスト認証を選択しても、実際には WDigest を選択したことになります。

ダイジェスト認証は、Windows 2000 および Windows Server 2003 のドメイン アカウントでのみ機能します。また、アカウントのパスワードを暗号化されたクリア テキストとして保存することが要求される場合もあります。

クライアント認証プロセス

ダイジェスト認証を使用してクライアントが認証される手順は、次のようになります。

  1. クライアントが要求を送信します。
  2. ISA Server はその要求を拒否し、クライアントに認証情報を求めます。
  3. ドメイン コントローラが認証結果を ISA Server に通知します。
  4. クライアントが認証されると、ISA Server はファイアウォール ポリシーを確認し、それに従ってオブジェクトを取得するかどうかを決定します。


統合 Windows 認証

統合 Windows 認証とは、NTLM、Kerberos、および Negotiate 認証機構のことです。統合 Windows 認証は、ユーザー名とパスワードがハッシュされてからネットワーク上で送信される安全な認証形式です。統合 Windows 認証を有効にすると、ユーザーのブラウザは、ハッシュを使用して Web サーバーと暗号化された情報を交換し、パスワードの正当性を証明します。統合 Windows 認証は、Windows 2000 および Windows Server 2003 ファミリのメンバで使用される既定の認証方法です。

クライアント認証プロセス

以下は、統合 Windows 認証を使用したクライアント認証の概要を示しています。

  1. ブラウザの構成によっては、統合 Windows 認証では、最初にユーザー名とパスワードの入力を要求しません。統合 Windows 認証では、クライアント コンピュータ上にある最新の Windows ユーザー情報が使用されます。
  2. 最初に認証交換でユーザーの識別に失敗した場合、ブラウザでは、ユーザーに対して Windows アカウントのユーザー名とパスワードの入力を要求します。入力された情報は、統合 Windows 認証を使用して処理されます。
  3. Web ブラウザは、ユーザーが有効なユーザー名とパスワードを入力するか、ダイアログ ボックスを閉じるまで、ユーザー名とパスワードの入力を要求し続けます。

セキュリティに関する考慮事項

統合 Windows 認証は、Active Directory サーバーに依存して、クライアントの資格情報を検証します。つまり、ISA Server では、クライアント認証が要求されるたびに Active Directory サーバーと通信を行います。そのため、外部および内部のユーザーがこの通信にアクセスしないように、Active Directory と ISA Server 用に保護されたネットワークを作成することをお勧めします。


RADIUS 認証

リモート認証ダイヤルイン ユーザー サービス (RADIUS) は、RFC 2865『Remote Authentication Dial-in User Service (RADIUS)』に記載されている業界標準のプロトコルです。RADIUS を使用して、認証が提供されます。RADIUS クライアントは、通常、ダイヤルアップ サーバー、仮想プライベート ネットワーク (VPN) サーバー、またはワイヤレス アクセス ポイントであり、ユーザー資格情報と接続パラメータ情報を RADIUS メッセージ形式で RADIUS サーバーに送信します。RADIUS サーバーは RADIUS クライアント要求を認証して、RADIUS メッセージ応答を返送します。

RADIUS サーバーはクライアントの資格情報を認証するだけでなく承認も行うため、ISA Server が RADIUS サーバーから受信した応答が、クライアントの資格情報が承認されなかったことを示している場合、実際に RADIUS サーバーがクライアントを承認していないことを示している可能性があります。資格情報が認証された場合であっても、ISA Server は RADIUS サーバーの承認ポリシーに基づいて、クライアント要求を拒否することがあります。

注

  • RADIUS ユーザーが ISA Server に資格情報を提示するときには、その資格情報を <ユーザー名>\<ドメイン名> として渡す必要があります。<ユーザー名>@<ドメイン名> ではありません。

特定の RADIUS サーバーを使用するように ISA Server を構成し、その RADIUS サーバーで RADIUS ユーザー認証を行うことができます。

発信方向の要求に対する RADIUS 認証

インターネット認証サービス (IAS) を RADIUS サーバーとして使用する場合は、IAS リモート アクセス ポリシーのダイヤルイン プロファイルで、暗号化されていない認証を有効にしてください。これは、パスワード認証プロトコル (PAP) または Shiva パスワード認証プロトコル (SPAP) です。PAP または SPAP に対して IAS を有効にするのは、プロファイルごとの IAS 設定です。ポリシー条件に一致するすべての RADIUS クライアントが、PAP または SPAP を使用して IAS サーバーに接続できるようになります。

RADIUS 認証用に ISA Server を構成する

ISA Server を構成する場合は、RADIUS 認証を認証プロバイダとして選択します。RADIUS サーバーを追加する場合、次の構成を行う必要があります。

  • サーバー名。RADIUS サーバーのホスト名または IP アドレスです。
  • 共有シークレット。ルーティングとリモート アクセスを実行するサーバーと RADIUS サーバーは、両者間で送信されるメッセージの暗号化に使用されるシークレットを共有します。リモート アクセス サーバーと RADIUS サーバーのどちらも同じ共有シークレットを使用するように構成する必要があります。
  • ポート。リモート アクセス サーバーは、RADIUS サーバーがリッスンしているユーザー データグラム プロトコル (UDP) ポートに認証要求を送信する必要があります。RADIUS サーバーを使用している場合、既定値 1812 を変更する必要はありません。

注

  • RADIUS 認証用に ISA Server を構成する場合、RADIUS サーバーの構成は、RADIUS 認証を使用するすべてのルールまたはネットワーク オブジェクトに適用されます。

手順については、「RADIUS サーバーを構成する」を参照してください。

セキュリティに関する考慮事項

RADIUS 認証には、次のセキュリティに関する考慮事項があります。

  • RADIUS の User-Password 隠蔽機構では、パスワードのセキュリティを十分に確保できない可能性があります。RADIUS の隠蔽機構は、RADIUS 共有シークレット、要求認証システム、および MD5 ハッシュ アルゴリズムを使用して、User-Password と共に、Tunnel-Password、MS-CHAP-MPPE-Keys などのその他の属性を暗号化します。RFC 2865 には、脅威のある環境を評価し、追加セキュリティを使用すべきかどうかを判断する必要性について記載されています。
    カプセル化セキュリティ ペイロード (ESP) を使用するインターネット プロトコル セキュリティ (IPSec) や、トリプル DES (3DES) などの暗号化アルゴリズムを使用して、隠されている属性の保護を強化し、RADIUS メッセージ全体のデータの機密性を確保できます。次の推奨ガイドラインに従ってください。
    1. IPSec を使用して、RADIUS クライアントとサーバーのセキュリティを強化します。
    2. 強力なユーザー パスワードの使用を要求します。
    3. 認証カウントとアカウント ロックアウトを使用して、ユーザー パスワードに対する辞書攻撃を防ぎます。
    4. 文字、数字、句読点のランダムなシーケンスで構成される長い共有シークレットを使用します。IAS サーバーを保護するために、この共有シークレットを頻繁に変更してください。
  • パスワードベースの認証を使用する場合は、ネットワークに強力なパスワード ポリシーを適用して、辞書攻撃を防ぐようにします。


RSA SecurID の認証サポート

ISA Server 2004 には、RSA Security, Inc. 製の RSA SecurID® 製品の認証資格情報に基づいたユーザー認証機能が導入されています。ISA Server は、RSA SecurID の認証資格情報を必要とする Web サイトをセキュリティで保護できます。

RSA の SecurID 製品では、保護されたリソースにリモート ユーザーがアクセスするには、認証の 2 つの要素が必要です。この 2 つの要素とは、ユーザーが認識している個人識別番号 (PIN) と、ユーザーが所有している物理トークンです。PIN もトークンも、単独ではアクセスを許可できません。両方が必要です。

RSA SecurID で保護された Web ページにユーザーがアクセスしようとすると、ISA Server コンピュータは、インターネット インフォメーション サービス (IIS) を実行中のセキュリティで保護されたサーバーに代わって Cookie をチェックします。この Cookie は、ユーザーが最近認証された場合にのみ存在し、永続的ではありません。ユーザーの Cookie が見つからなかった場合、ユーザー名と SecurID のパスコードの入力がユーザーに要求されます。このチャレンジは、ブラウザの種類に合わせて表示されます。ユーザーが Internet Explorer を使用している場合、チャレンジのコンテンツの種類は HTML (ハイパーテキスト マークアップ言語) です。パスコードは、ユーザーの PIN とトークンコードの組み合わせで構成されます。トークンコードはユーザーのトークンに表示され、1 分ごとに変わります。ISA Server コンピュータ上の RSA ACE/Agent® は、検証のためにこれらの資格情報を RSA ACE/Server® コンピュータに渡します。資格情報の検証に成功すると、セッション中のそれ以降のアクティビティのためにユーザーのブラウザに Cookie が配布され、ユーザーはコンテンツへのアクセスが許可されます。

RSA ACE/Server のインストールと構成、および認証の概念の詳細については、RSA の Web サイト (http://www.Microsoft.com/) を参照してください。

重要

  • クライアントと ISA Server 間の通信の暗号化には、SSL (Secure Sockets Layer) を使用することをお勧めします。

注

  • RSA SecurID は、RSA Security Inc. の技術に基づいています。

RSA SecurID の認証の動作

RSA SecurID プロトコルは、標準の HTTP メッセージを使用してクライアントを認証します。このプロトコルは要求ベースのプロトコルの一種で、クライアントが各要求に関連付けられた特殊なデータを送信し、その要求を実行するサーバーがクライアントを認証します。

次の用語が使用されます。

  • RSA ACE/Server。ユーザー、グループ、ホスト、およびトークンに関する情報を保持するコンピュータです。RSA ACE/Server は、ユーザーごとに、ユーザーがログオンできるホストの一覧とログオン名を管理します。ログオン名は、ホストごとに異なる場合があります。
  • RSA ACE/Agent。Web コンテンツを提供するコンピュータです。このコンピュータによって、ユーザーは RSA SecurID の資格情報を指定するよう要求されます。
  • クライアント。通常は、Web コンテンツを受け取る Web ブラウザです。

クライアントが GET /x 要求を ISA Server に送信すると、次のプロセスが発生します。

  1. RSA SecurID ISAPI 認証の Web フィルタは要求を傍受し、RSA SecurID 認証フォームをクライアントに返します。
  2. クライアントは、ログオン名とパスコードをフォームに入力するように要求されます。
  3. ブラウザは、HTTP POST メソッドを使用して Web フィルタにフォームを返します。
  4. RSA SecurID 認証の Web フィルタはこれらの詳細を RSA ACE/Server に伝達し、ISA Server コンピュータを使用したアクセスがユーザーに許可されるかどうかを検証します。許可された場合、Web フィルタは Set-Cookie ヘッダーを含む応答をクライアントに返します。
  5. Set-Cookie ヘッダーは、ブラウザのメモリに Cookie を書き込みます。ブラウザが閉じると、Cookie は失われます。Cookie には、ユーザーに関する情報が格納されます。この情報は、ISA Server にのみ認識されるシークレットによって署名されます。そのため、他のユーザーは Cookie を変更できません。
  6. 応答には Refresh ヘッダーが含まれます。このヘッダーは、元の GET /x 要求をサーバーに再送信するようブラウザに指示します。
  7. Web フィルタが Cookie と共に要求を受け取ると、Cookie が有効であるかどうかを検証します。その際、次の項目をチェックします。
    • 有効期限
    • IP アドレス (指定されている場合)
    • 署名 (データが変更されていないことを確認するため)

    すべてが有効である場合、ISA Server にインストールされている他の Web フィルタに要求が渡され、その後、ISA Server に渡されます。

  8. ISA Server はオブジェクトを要求し、オブジェクトはクライアントに返されます。


RSA SecurID の認証を有効にするための ISA Server コンピュータの構成

ネットワーク上に RSA ACE/Server® をセットアップしたら、次の手順を実行して ISA Server の構成を設定する必要があります。

  1. ISA Server コンピュータを RSA ACE/Agent® としてセットアップします。詳細については、「ISA Server コンピュータを RSA ACE/Agent としてセットアップする」を参照してください。
  2. ISA Server コンピュータで RSA SecurID® の認証資格情報を検証する場合は、RSA SecurID との通信を許可するシステム ポリシー ルールが有効になっていることを確認します。構成グループに指定した宛先に RSA ACE/Server が含まれていることを確認してください。既定では、内部ネットワークが宛先として構成されています。詳細については、「システム ポリシーの概要」および「システム ポリシー ルールの宛先を編集する」を参照してください。
  3. RSA ACE/Server と ISA Server コンピュータ間の接続をテストします。詳細については、「ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認する」を参照してください。

Windows Server 2003 を実行しているコンピュータ上で SecurID 認証を有効にすると、ネットワーク サービス アカウントでは、レジストリ キー HKLM\Software\SDTI\ACECLIENT への読み取り/書き込みのアクセス許可が必要になります。さらに、ネットワーク サービス アカウントは、%SystemRoot%\system32\ にある Sdconf.rec ファイルに対する読み取りアクセス許可も持っている必要があります。

SecurID Web フィルタは、インストール時には有効になっています。詳細については、「RSA SecurID 認証用の Web フィルタを有効または無効にする」を参照してください。


フォームベース認証

フォームベース認証は、Outlook Web Access サーバーを発行するときに使用します。

ユーザーが資格情報を入力すると、システムはユーザーを識別する Cookie を発行します。続いて要求が送信されると、システムはまず Cookie をチェックして、ユーザーが既に認証されているかどうかを確認します。したがって、ユーザーは資格情報を再び入力する必要はありません。

資格情報はクライアント コンピュータのキャッシュには格納されません。また、資格情報が有効なのは現在のセッション中のみです。このことは特に、ユーザーがパブリック コンピュータから Outlook Web Access サーバーに接続するシナリオで、ユーザー資格情報をキャッシュしない場合に重要になります。ユーザーは、ブラウザを終了したり、セッションからログオフしたり、別の Web サイトに移動したりすると、再認証を求められます。また、ユーザーが長時間にわたって操作を行わなかった場合に再認証が要求されるよう、最大アイドル セッション タイムアウトを構成することもできます。

Outlook Web Access サーバーの公開には、HTTPS を使用することをお勧めします。

注

  • ISA Server は、Exchange Server 5.5、Exchange 2000 Server、および Exchange Server 2003 のフォームベース認証をサポートしています。

Outlook Web Access には、ユーザーが各自のパスワードを変更できるオプション機能があります。ユーザーが Outlook Web Access のセッション中にパスワードを変更した場合、最初のログオン時に発行された Cookie はその時点で失効します。ISA Server にフォームベース認証を構成すると、Outlook Web Access のセッション中にパスワードを変更したユーザーには、次に要求を行うときにログオン ページが表示されます。

発信方向の要求のフォームベース認証を構成する手順については、「Web プロキシ クライアント (発信方向の要求) の認証方法を構成する」を参照してください。Web 公開のフォームベース認証を構成する手順については、「Web リスナの認証方法を構成する」を参照してください。

Exchange 2000 とフォームベース認証

ユーザーが <ユーザー名>@<ドメイン> (非修飾ユーザー名) 形式と <ドメイン>\<ユーザー名> (非修飾ドメイン名) 形式の両方を使用してログインできるよう、Exchange Manager でユーザー プリンシパル名 (UPN) を構成します。次の操作を行います。

  1. Exchange Manager で、[サーバー]、[<サーバー名>]、[プロトコル]、[Exchange 仮想サーバー] の順にクリックします。次に [Exchange] を右クリックして、[プロパティ] をクリックします。
  2. [アクセス] タブで、[認証] をクリックします。
  3. [既定のドメイン] に「\」(円記号) を入力し、ユーザーの電子メール アドレスおよびドメイン名を受け入れます。ユーザーが資格情報を入力するときは、常に <ドメイン>\<ユーザー名> 形式を使用する必要があります。


デジタル証明書

デジタル証明書は、機密データをネットワーク内またはネットワーク間で送信する際の業界標準の暗号化手段です。デジタル証明書の一般的な使用例としては、インターネット上のコンピュータと Web サーバー間での通信で、クレジット カードまたは銀行口座、およびパスワードの情報を転送する場合があります。この情報がインターネットに接続されているルーターを通過する際に読み取られないようにするために、デジタル証明書が必要となる HTTPS プロトコルが使用されます。ISA Server 2004 では、Web 公開ルール、サーバー公開ルール、およびサイト間仮想プライベート ネットワーク (VPN) 接続でデジタル証明書を使用できます。

デジタル証明書は、証明機関 (CA) から発行されます。CA は、手数料を徴収して証明書を発行する民間企業であることも、Windows Server™ 2003 または Windows® 2000 Server を実行する、証明書サービスがインストールされた組織内のコンピュータであることもあります。

デジタル証明書は信頼を要求します。証明書が信頼できるかどうかは、証明書を発行した CA からのルート証明書が存在するかどうかによって決まります。民間の CA が発行した証明書をインストールする場合は、ルート証明書は Windows と共にインストールされるので、ルート証明書を配布する必要はありません。Windows を実行している組織のコンピュータのいずれかに証明書サービスをインストールし、独自の証明書を発行する場合は、デジタル証明書によってセキュリティで保護された接続を許可するすべてのコンピュータに、CA のルート証明書を転送するように設定する必要があります。証明書サービス コンピュータに直接接続されていない場合は、ディスクや CD を使用したり、電子メールによって情報を交換できます。実行する前に、電子メール システムがセキュリティで保護されていることを確認してください。また、CA は、インターネット インフォメーション サービス (IIS) および Active Server Pages を使用して公開することもできます。

デジタル証明書はさまざまなシナリオで使用されます。ISA Server 2004 を使用する場合には、デジタル証明書のインストールが必要となることがある一般的な公開のシナリオが 2 つあります。

  • Outlook® Web Access サーバーの公開を含む、Web 公開ルールを使用した公開。
  • サーバー公開ルールを使用した公開。

詳細なシナリオについては、ISA Server の Web サイト (http://www.microsoft.com/) にある『ISA Server 2004 のデジタル証明書』を参照してください。

証明書の失効

クライアントが既に失効して証明書失効リスト (CRL) に載っている証明書を提示した場合に、ISA Server がそのクライアント要求をどのように処理するか構成できます。CRL に証明書が載っているクライアントからの要求を拒否するように ISA Server を構成することができます。手順については、「クライアント証明書の検証を構成する」を参照してください。

同様に、サーバーからの証明書が CRL に載っているかどうかを調べるように ISA Server を構成することもできます。サーバーが CRL に載っている証明書を提示した場合に、その要求を拒否するように ISA Server を構成できます。これは、ISA Server が上位サーバーに対する SSL 要求を生成するか、または公開されたサーバーへの SSL 要求を生成する場合に適切な構成です。手順については、「クライアント証明書の検証を構成する」を参照してください。


認証プロセス

ここでは、ISA Server が認証を処理する方法について説明します。

  • ファイアウォール ポリシーと認証
  • パススルー認証
  • チェーン認証
  • 基本認証の委任
  • 証明書


ファイアウォール ポリシーと認証

認証は、すべてのファイアウォール ポリシーにおいて不可欠な部分です。IP アドレスにはルールを適用できますが、多くの場合、明示的に構成された認証機構を使用して認証を行う特定ユーザーにのみ、アクセスを許可します。

認証は、宛先からの要求である着信方向の要求、および発信方向の要求の両方にとって重要です。

発信方向の要求

ファイアウォール クライアントが HTTP 以外のコンテンツを要求すると、ISA Server は特定のユーザーまたはグループに適用するルールが構成されているかどうかを確認します。ルールが構成されている場合、ISA Server は、そのクライアントにクライアント自体の認証を要求します。これにより ISA Server は、オブジェクトを要求しているクライアントにルールを適用するかどうかを決定できます。

発信方向の Web 要求の場合、ユーザーが配置されている特定のネットワークに対して認証が構成されます。Web プロキシ クライアント アクセスを有効にすると、Web プロキシ クライアントの認証に使用する認証機構を構成できます。手順については、「Web プロキシ クライアントの認証方法を構成する」を参照してください。

Web プロキシ クライアントまたはファイアウォール クライアントが HTTP コンテンツ (または公開シナリオでの HTTPS) を要求した場合、発信方向の要求のネットワークまたは着信方向の要求のリスナに対して [すべてのユーザーに認証を要求する] が選択されていると、ISA Server はファイアウォール ポリシーをチェックする前に必ずユーザー資格情報を要求します。

それ以外の場合、ISA Server は順序付けられたファイアウォール ポリシーのうち、最初のルールがクライアント要求に一致するかどうかを確認します。ルールが一致するように見えても、ISA Server が一致を検証するためにクライアント認証を必要とする場合は、ISA Server はクライアント認証を要求します。

それ以外の場合、ルールが [すべてのユーザー] ユーザー セットに適用されるか、またはルールが特定のクライアントの IP アドレスに適用される場合は、ISA Server はユーザー資格情報を要求せず、ファイアウォール ポリシーを適用します。

要求を拒否し、ユーザーに適用する Web 公開ルールの場合、既定では、ISA Server がルールとの一致に失敗するたびにクライアントに再認証が要求されます。

ファイアウォール クライアントの場合、ISA Server は、セッション確立時に資格情報を要求します。その後、ファイアウォール クライアントがオブジェクトを要求すると、セッションは既に ID を持っているため、ISA Server はクライアントの再認証を要求しません。

IP アドレスには適用せず、ユーザーに適用するアクセス ルールを構成する場合、要求を行っているユーザーが実際に認証を行うことができるように、少なくとも 1 つの認証機構を指定する必要があります。指定しないと、すべての要求が拒否されます。

着信方向の要求

Web 公開ルール、セキュリティで保護された Web 公開ルール、または Outlook Web Access のメール公開ルールを作成する場合、Web リスナを指定する必要があります。Web リスナは、どのネットワーク (またはネットワーク上のどの IP アドレス) が着信方向の要求を受け付けるかを示します。また、使用可能な認証機構も示します。詳細については、「Web リスナの概要」を参照してください。

指定された認証機構に応じて、公開された Web サーバーのオブジェクトを要求するクライアントを認証する必要があります。

複数の認証機構を使用する

Web リスナでは、基本認証、ダイジェスト認証、統合認証、およびクライアント証明書認証の各機構を同時に使用することができます。RADIUS、SecurID、またはフォームベース認証方法を選択した場合、構成する認証機構は選択したもののみにする必要があります。

HTTPS を使用する場合は、クライアント証明書認証が、選択した他のすべての認証機構よりも優先されます。他の認証機構は、クライアントがクライアント証明書での認証に失敗したときにのみ使用されます。


パススルー認証

パススルー認証は、クライアントの認証情報を宛先サーバーに渡す ISA Server の機能です。ISA Server は、発信と着信の両方向の Web 要求に対してパススルー認証をサポートします。

次の図は、公開のためのパススルー認証シナリオを示しています。

パススルー認証

クライアントが Web サーバー上のオブジェクトに対する Get 要求を ISA Server に送信します。ISA Server は要求を Web サーバーに渡します。その時点から、パススルー認証が次のように機能します。

  1. Web サーバーが Get 要求を受け取り、認証が必要であることを応答します (401 エラー)。また、Web サーバーはサポートしている認証の種類も通知します。
  2. ISA Server は、認証が必要であることを示す応答をクライアントに渡します。
  3. クライアントは、認証情報を ISA Server に返します。
  4. ISA Server は、クライアント認証情報を Web サーバーに渡します。
  5. 認証が成功すると、クライアントは直接 Web サーバーと通信を行います。


チェーン認証

チェーン認証は、上位サーバーに要求をルーティングするときに ISA Server が提供する認証です。ISA Server の Web チェーン ルールで上位サーバーにルーティングするように構成されている場合、要求は上位サーバーにチェーン接続されます。チェーン認証は、ISA Server を実行する上位サーバーへのチェーン接続でのみサポートされます。Web チェーン ルールを作成して、クライアント要求を上位サーバーにルーティングするように ISA Server を構成できます。

下位の ISA Server では資格情報は必要ないが、上位サーバーで必要な場合、ISA Server は上位サーバーにクライアントの資格情報を渡します。

下位の ISA Server および上位サーバーの両方で認証が必要な場合は、クライアント自体が下位の ISA Server に対して認証を行います。要求がルーティングされると、クライアントは上位サーバーに対する再認証を求められます。これは、基本認証の資格情報が要求され、ユーザーが基本認証の委任を使用しているシナリオ以外での動作です。この場合、下位の ISA Server は上位サーバーに資格情報を渡します。詳細については、「基本認証の委任」を参照してください。

上位サーバーが、オブジェクトを要求しているクライアントを識別できない場合があります。この場合、次のように処理されます。

  • 上位サーバーに接続する際にアカウントを使用するように Web チェーン ルールで指定されている場合、下位の ISA Server コンピュータはそのアカウントの認証情報を渡します。
  • Web チェーン ルールでアカウントを使用するように指定されていない場合、下位の ISA Server コンピュータはクライアントの認証情報を上位サーバーに渡します。

ファイアウォール チェーンの構成手順については、「ファイアウォール チェーンを構成する」を参照してください。

クライアント証明書

Web 公開シナリオでは、上位サーバーでクライアント証明書認証が必要になることがあります。この場合、クライアントの代わりに上位サーバーへの認証に使用できる有効なクライアント証明書を、ISA Server コンピュータ上で構成する必要があります。

Web プロキシ クライアントの場合、クライアント証明書は Web チェーン ルールで構成されます。

証明書の使用方法の詳細については、「証明書」を参照してください。


基本認証の委任

基本認証を使用しているクライアントが、公開されているコンピュータに対してではなく ISA Server コンピュータに対して認証を行えるように ISA Server を構成できます。Web サイトにアクセスしているユーザーは一度サインインするだけでよく、インターネット インフォメーション サービス (IIS) を実行しているサーバーに代わって ISA Server が認証を行うので便利です。ISA Server は、ユーザーの認証を行って識別し、その動作をログに記録します。また、ISA Server から IIS を実行しているサーバーにユーザーの資格情報が転送されるので、IIS は資格情報を再度要求しなくてもユーザーを認証できます。

認証の委任を使用すると、要求のリダイレクト先である Web サーバーがクライアントの認証を行います。認証の委任はルールごとに構成可能なので、シングル サインオンを必要とするサイトを決定できます。

重要

  • 基本認証データは、ISA Server コンピュータから公開された内部サーバーにテキスト形式で渡されます。このトラフィックのセキュリティを強化するために、SSL (Secure Sockets Layer) を使用して、クライアントと ISA Server 間のトラフィックを暗号化できます。

Web プロキシ クライアントの基本認証の委任は、Web チェーン ルールで構成されます。詳細については、「Web チェーン ルール」を参照してください。


証明書

Web 公開ルールを使用してサーバーを公開し、外部クライアントからの SSL (Secure Socket Layer) 通信が必要とされる場合は、ISA Server コンピュータにサーバー証明書をインストールする必要があります。さらに、内部 Web サーバーにも証明書をインストールできます。Web 公開ルール用のリスナは、サーバー証明書を使用するように構成する必要があります。

Web 公開シナリオで SSL 証明書をインストールするには、次の手順に従います。

  1. ISA Server コンピュータの SSL クライアントになるコンピュータに、信頼されたルート証明書をインストールします。証明機関 (CA) の Internet Explorer データベースに含まれている民間証明機関の証明書を使用する場合、この手順を実行する必要はありません。
  2. ISA Server コンピュータ用の証明書要求を生成します。証明書の一般名を指定するときは、完全修飾ホスト名か、外部クライアントが Web サイトにアクセスするために Web ブラウザに入力する URL (Uniform Resource Locator)、たとえば「news.adatum.com」などを入力します。これは、Web 公開ルールのパブリック名と同じになります。
  3. 証明書要求ファイルを処理します。
  4. 公開された Web サーバーに証明書をインストールします。
  5. 証明書をファイルにエクスポートし、ISA Server コンピュータにコピーします。
  6. ISA Server コンピュータに証明書をインストールします。


ネットワーク保護

ここでは、Internet Security and Acceleration (ISA) Server 2004 のセキュリティと監視のサポートを行う方法について基本的な情報を提供します。

  • 接続の制限
  • IP の基本設定
  • ブロードキャスト
  • アタックの検出


接続の制限

ISA Server では、一度に可能な接続の数を制限します。同時接続の最大数を指定することによって、制限を構成できます。最大接続数に達すると、その Web リスナに対する新しいクライアント要求は拒否されます。

サーバー公開ルールまたはアクセス ルールで 1 秒間に作成が許可される UDP 接続、ICMP 接続、および他の Raw IP 接続の総数を制限できます。これらの制限は、TCP 接続には適用されません。指定した接続数を超えると、新しい接続は作成されなくなります。既存の接続は切断されません。既定では、各ルールで 1 秒間に最大 1000 の接続を作成できます。指定した制限を超えると、警告がトリガされます。次のパラメータを持つログ エントリが記録されます。

  • [動作] : [接続を拒否しました。]
  • [結果コード] : [FWX_E_RULE_QUOTA_EXCEEDED_DROPPED]

フラッド アタックを回避できるように、接続数を制限することをお勧めします。UDP または Raw IP フラッド アタックが発生すると、偽造された送信元 IP アドレスから多くの要求が送信され、結果的にサービス拒否の状態に陥ります。

警告が発生した場合、ネットワークへのアタックが発生したのか、有効なトラフィックが単に過負荷状態にあるのかを判断してください。悪意のあるトラフィックによって制限を超えた場合は、以下を試みてください。

  • 悪意のあるトラフィックの送信元が内部ネットワークであると考えられる場合は、内部ネットワーク上にウイルスが存在する可能性があります。送信元 IP アドレスを特定し、直ちにネットワークからそのコンピュータを切断します。
  • 悪意のあるトラフィックの送信元が外部ネットワークの IP アドレスの小規模な範囲であると考えられる場合は、送信元 IP アドレスを含むコンピュータ セットへのアクセスを拒否するルールを作成します。
  • トラフィックの送信元が IP アドレスの大規模な範囲であると考えられる場合は、ネットワークの全体的な状態を評価します。ISA Server でネットワークの保護を強化できるように、接続制限を低く設定することを検討してください。

過負荷によって制限を超えた場合は、ルールごとの接続制限を高く設定することを検討してください。

ファイアウォール チェーン シナリオおよびバックツーバックのシナリオの一部では、チェーン サーバーまたはバック ファイアウォールの IP アドレスにカスタマイズされた接続制限を指定します。また、外部ネットワークに複数の UDP ベースまたは Raw IP ベースのサービスを公開する場合は、制限を低く構成して、フラッド アタックからネットワークをセキュリティで保護する必要があります。

クライアント接続の制限

同様に、各クライアントで許可される UDP 接続、ICMP 接続、および他の Raw IP 接続の総数を制限できます。カスタム制限を指定して、特定の IP アドレスに適用できます。たとえば、特定のサーバーに、他のクライアントに許可された以上の接続の確立を許可する場合に、この方法は便利です。

TCP 接続の場合、接続の制限を超えると、新しい接続は許可されなくなります。Raw IP や UDP などの他の接続の場合、接続の制限を超えると、古い接続が終了し、新しい接続を作成できるようになります。

手順については、「接続数を制限する」を参照してください。


IP の基本設定

ISA Server 2004 によるインターネット プロトコル (IP) パケットの処理方法については、以下を構成します。

  • IP フラグメント
  • IP ルーティング
  • IP オプション

IP フラグメント

1 つの IP データグラムは、IP フラグメントと呼ばれるさらに小さいサイズの複数のデータグラムに分割できます。これらのフラグメントは ISA Server でフィルタ処理できます。

フラグメント化されたすべてのパケットは、ISA Server がパケットのフラグメントをフィルタ処理するときに破棄されます。Teardrop アタックとその亜種では、フラグメント化されたパケットが送信され、システムに障害を発生させるような方法でこれらのパケットが再び組み立てられます。Teardrop アタックは、Ping of death アタックとは若干異なる動作をしますが、同じような結果を生み出します。Teardrop プログラムは IP フラグメントを作成します。IP フラグメントとは、元の 1 つのパケットがインターネットを経由して転送されるときに分割可能な単位です。問題となるのは、フラグメントに含まれている元のパケットの 1 部分をバイトで示すこれらのフラグメント上のオフセット フィールドが重複してしまうことです。

たとえば、通常 2 つのフラグメント オフセット フィールドは次のようになります。

フラグメント 1 : (オフセット) 100 ～ 300
フラグメント 2 : (オフセット) 301 ～ 600

これは、最初のフラグメントに元のパケットのバイト 100 ～ 300 が含まれており、2 番目のフラグメントにバイト 301 ～ 600 が含まれていることを示します。

重複しているオフセット フィールドは次のようになります。

フラグメント 1 : (オフセット) 100 ～ 300
フラグメント 2 : (オフセット) 200 ～ 400

宛先コンピュータがこれらのパケットを再び組み立てようとしても、不可能です。そのため、エラー、応答の停止、または再起動が発生する場合があります。

フラグメントのフィルタは、ストリーミング オーディオやビデオを妨害する可能性があります。さらに、証明書の交換中にパケットのフラグメント化が実行されるために、L2TP over IPSec 接続が確立されない場合があります。ストリーミング メディアや IPSec ベースの VPN 接続で問題が発生している場合は、フラグメントのフィルタを無効にしてください。

手順については、「IP フラグメント フィルタを有効にする」を参照してください。

IP ルーティング

IP ルーティングを無効にすると、ISA Server からは、元のネットワーク パケットではなくデータだけが宛先に送信されます。また、無効にした場合、ISA Server は各パケットをコピーした後、ドライバを経由してユーザー モードでパケットを再送信します。

IP ルーティングを有効にすると、ISA Server はルーターとして動作します。ISA Server を経由して通過するトラフィックに対しては、ユーザー モードのドライバによってフィルタが実行されます。

手順については、「IP ルーティングを有効にする」を参照してください。

IP オプション

ヘッダーに IP オプションのフラグを含むパケットはすべて拒否するように ISA Server を構成できます。最も問題の多いオプションは、ソース ルーティング オプションです。TCP/IP は、ソース ルーティングをサポートしています。これは、ネットワーク データの送信者がネットワーク上の特定のポイントを経由してパケットをルーティングすることを許可する手段です。ソース ルーティングには、次の 2 種類があります。

  • 厳密なソース ルーティング。データの送信者は特定のルートを指定できます。このオプションはほとんど使用されません。
  • 非厳密なソース レコード ルート (LSRR)。送信者は、パケットが通過する必要のある特定のルーター (ホップ) を指定できます。

IP ヘッダー内のソース ルート オプションを使用すると、送信者は送信元と宛先のコンピュータ間のルーターで通常行われるルーティングの決定を上書きできます。ソース ルーティングを使用すると、ネットワークのマッピングや、ルーティングおよび通信に関する問題のトラブルシューティングができます。ソース ルーティングは、最高のパフォーマンスを提供するルートを経由するようにトラフィックを強制するために使用することもできます。ただし、ソース ルーティングは攻撃者によって悪用される場合があります。

たとえば、侵入者は、ソース ルーティングを使用して、他のネットワークからは通常アクセスできない内部ネットワーク上のアドレスにアクセスすることができます。これは、他のネットワークと内部ネットワークの両方からアクセスできる別のコンピュータを経由するようにトラフィックをルーティングすることで行われます。

手順については、「IP オプション フィルタを有効にする」を参照してください。


ブロードキャスト

ブロードキャストでは、ユーザー データグラム ダイアグラム (UDP) などのコネクションレス型プロトコルを使用して、1 つのメッセージ (データグラム) が複数の受信者に送信されます。ブロードキャスト アドレスには、次の 3 種類があります。

  • 制限されたブロードキャスト アドレス。制限されたブロードキャスト アドレスは、255.255.255.255 です。
  • ネットワーク ブロードキャスト アドレス。ネットワーク ブロードキャスト アドレスは、すべて 1 ビットの IP アドレスと特定のネットワーク ID で構成されます。たとえば、クラス A のネットワーク 22.0.0.0 があるとします。そのネットワーク ブロードキャスト アドレスは、22.255.255.255 となります。
  • サブネット ブロードキャスト アドレス。サブネット ブロードキャスト アドレスは、すべて 1 ビットの IP アドレスと特定のサブネット ID で構成されます。たとえば、クラス A のネットワーク 22.0.0.0 でサブネット マスク 255.255.0.0 が使用されるとします。アドレス 22.0.255.255 がサブネット ブロードキャストとなります。

ISA Server とブロードキャスト

ISA Server では、ISA Server コンピュータ上のネットワーク アダプタ間でブロードキャスト メッセージを送信することは許可されていません。ISA Serverは、ブロードキャスト アドレスにルールを適用するかどうかを決定します。

  • 宛先アドレスがサブネット ブロードキャスト アドレスでない場合、ISA Server はそのアドレスがパケットを受信した ISA Server コンピュータ上のネットワーク アダプタのサブネット ブロードキャスト アドレスであると見なします。
  • パケットがローカル ホスト ネットワークへの着信方向のブロードキャストである場合、ISA Server は宛先を ISA Server コンピュータ (ローカル ホスト) 上のネットワーク アダプタと見なします。
  • これがローカル ホスト ネットワークからの発信方向のブロードキャストである場合、ISA Server は発信元を ISA Server コンピュータ (ローカル ホスト) 上のネットワーク アダプタと見なします。

たとえば、サブネット アドレスが 22.0.1.1 であるネットワーク アダプタ上のローカル ホスト ネットワーク (ISA Server コンピュータ) の UDP ポート 1500 でサービスがリッスンしているとします。内部ネットワークなどからこのサービスへのブロードキャスト トラフィックを可能にするには、UDP ポート 1500 で内部ネットワークからサブネット ブロードキャスト アドレス (22.0.255.255) へのトラフィックを許可するアクセス ルールを作成する必要があります。あるいは、内部ネットワークからローカル ホストへの UDP ポート 1500 トラフィックを許可するアクセス ルールを作成することもできます。

手順については、「アクセス ルールを作成する」を参照してください。


アタックの検出

あらゆるネットワーク管理者が共通して懸念するのは、アタックの蔓延です。一般的なアタックには次のものが挙げられます。

  • DNS キャッシュ侵害
  • IP スプーフィング
  • DHCP 侵害
  • SYN フラッド アタック

ISA Server では、定義済みの警告を構成して、このようなアタックが発生した場合に警告を表示させることができます。警告の詳細については、「警告」を参照してください。

DNS キャッシュ侵害

DNS キャッシュ侵害は、DNS サーバーが策略によって信頼できる情報を受け取ったと誤認識した場合に発生します。DNS キャッシュ侵害では、攻撃者が DNS サーバーのキャッシュを改ざんすることで、DNS サーバーが、実際の IP アドレスではなく攻撃者が指定した IP アドレスを含んだ正しくない応答を返すようにします。たとえば、攻撃者が DNS キャッシュ侵害を使用して、DNS サーバー内で www.microsoft.com に対して汚染された Web サイトを挿入したとします。Microsoft の Web サイトにアクセスして Internet Explorer の最新の修正プログラムをダウンロードしようとするユーザーは、知らないうちに攻撃者の Web サイトにリダイレクトされてワーム ウイルスをダウンロードすることになります。

IP スプーフィング

IP スプーフィング アタックは、パケットが偽造された場合に発生します。パケットに指定されている送信元が次のいずれかの条件に一致すると、そのパケットは偽造されたと見なされます。

  • パケットを受信したネットワーク アダプタ経由で、送信元の IP アドレスをルーティングできない。
  • 送信元の IP アドレスが、パケットを受信したネットワーク アダプタに関連付けられている (ISA Server を使用して作成された) ネットワークまたはネットワーク セットのメンバでない。
  • 送信元の IP アドレスがユニキャスト アドレスでない。

DHCP 侵害

DHCP 侵害は、悪意のあるユーザーがファイアウォール上のネットワーク アダプタに間違ったアドレスを割り当てて、IP スプーフィングを検出する機構が正常に機能しなくなるようにすると発生します。

SYN フラッド アタック

SYN フラッド アタックは、間違った TCP 接続要求によってネットワークを意図的に過負荷にすることで正当なユーザーへのサービスを拒否しようとする行為が試みられると発生します。

通常の TCP 接続では、コンピュータから SYN パケットが送信されます。SYN は "synchronize" の略で、あるコンピュータが TCP を使用して別のコンピュータへの接続を試みる際に最初に送信されるパケットです。宛先コンピュータは、接続の試行を認識し、SYN パケットを返します。SYN パケットを受け取った送信元コンピュータは、ACK で応答します。ACK は "acknowledge" の略です。

SYN フラッド アタックでは、送信元コンピュータから ACK が送信されません。宛先コンピュータは、接続がタイムアウトになって破棄されるまで待機します。ACK パケットが送信されないというこのような現象が数多く発生すると、コンピュータは常にビジーになり、サービス拒否攻撃が引き起こされます。

警告

アタックの試行を検出できるように、ISA Server では以下の警告があらかじめ構成されて有効になっています。

  • 無効な DHCP 提供メッセージ。DHCP 提供メッセージの IP アドレスが無効です。
  • IP エラー。IP パケットの発信元アドレスが無効です。
  • UDP パケット サイズのエラー。レジストリ キーで指定されている最大サイズを超えているため、ISA Server が UDP パケットを破棄しました。
  • SYN アタック。ISA Server が SYN アタックを検出しました。

侵入検出

侵入検出フィルタを構成して、特定のアタックを検出することができます。詳細については、「侵入検出フィルタ」を参照してください。

次の警告が構成されています。

  • DNS 侵入。ホスト名のバッファ オーバーフロー、リソース データ長オーバーフロー、またはゾーン転送のアタックが発生しました。
  • DNS ゾーン転送侵入。ゾーン転送アタックが発生しました。
  • 侵入の検出。外部ユーザーによって侵入が試みられました。
  • POP 侵入。POP バッファ オーバーフローが検出されました。

一般的なアタックの検出

次の一般的なアタックも検出することができます。

  • Windows out-of-band (WinNuke)
  • Land
  • Ping of death
  • IP half scan
  • UDP bomb
  • Port scan

詳細については、「侵入検出フィルタ」を参照してください。


ファイアウォール ポリシー : 操作方法

ここでは、ファイアウォール ポリシーを構成する手順について説明します。

  • アクセス ルールを構成する
  • Web 公開ルールを構成する
  • サーバー公開ルールを構成する
  • ファイアウォール ポリシー ルールを構成する
  • ルールごとのフィルタを構成する
  • システム ポリシーを構成する
  • ツールボックスの要素を構成する
  • 認証を構成する
  • ネットワーク保護を構成する


アクセス ルールを構成する

ここでは、アクセス ルールを構成する手順について説明します。ファイアウォール ポリシー ルールの一般的なプロパティの構成手順については、「ファイアウォール ポリシー ルールを構成する」を参照してください。

  • アクセス ルールを作成する
  • アクセス ルールの宛先ネットワーク オブジェクトを構成する
  • アクセス ルールのプロトコルを構成する
  • アクセス ルールのコンテンツを構成する
  • アクセス ルールの指定された送信元ポートを許可する


アクセス ルールを作成する

アクセス ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[新しいアクセス ルールの作成] をクリックします。
  3. [新しいアクセス ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更の適用バーで [適用] をクリックすると、ポリシーが更新されます。新しいポリシーは、新しい接続にのみ適用されます。

関連項目


アクセス ルールの宛先ネットワーク オブジェクトを構成する

アクセス ルールの宛先ネットワーク オブジェクトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [宛先] タブで、[追加] をクリックします。
  5. [ネットワーク エンティティ] で、適切なネットワーク オブジェクトを選択し、[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 指定したネットワーク オブジェクトを除くすべてのネットワーク オブジェクトにルールを適用するには、下部にある [追加] ボタンをクリックします。

関連項目


アクセス ルールのプロトコルを構成する

アクセス ルールのプロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [プロトコル] タブで、次のいずれかの操作を行います。
    • ISA Server で明示的に定義されていないプロトコルがあっても、すべてのプロトコルにルールを適用する場合は、[すべての送信トラフィック] をクリックします。
    • [プロトコル] で選択したプロトコルにのみルールを適用する場合は、[選択されたプロトコル] をクリックします。
    • 選択したプロトコル以外のすべての IP トラフィックにルールを適用する場合は、[選択された送信トラフィック以外のすべての送信トラフィック] をクリックします。
  5. [選択されたプロトコル] または [選択された送信トラフィック以外のすべての送信トラフィック] をクリックした場合は、[追加] をクリックし、1 つ以上のプロトコルを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


アクセス ルールのコンテンツを構成する

アクセス ルールのコンテンツを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [コンテンツの種類] タブで、次のいずれかの操作を行います。
    • すべてのコンテンツにルールを適用するように指定する場合は、[すべてのコンテンツの種類] をクリックします。
    • 特定のコンテンツにのみルールを適用するように指定する場合は、[選択されたコンテンツの種類 (このオプションを選択すると、ルールが適用可能になるのは HTTP トラフィックのみです)] をクリックし、1 つ以上のコンテンツ グループをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [選択されたコンテンツの種類 (このオプションを選択すると、ルールが適用可能になるのは HTTP トラフィックのみです)] オプションを指定した場合、ルールは HTTP トラフィックにのみ適用されます。

関連項目


アクセス ルールの指定された送信元ポートを許可する

アクセス ルールの指定された送信元ポートを許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [プロトコル] タブで、[ポート] をクリックします。
  5. 次のいずれかを選択します。
    • [送信元] ページで指定した、許可された送信元クライアント上の任意のポートからのトラフィックを許可する場合は、[許可された任意の送信元ポートからのトラフィックを許可する] をクリックします。
    • [送信元] ページで指定した、許可された送信元クライアント上のポートからのトラフィックのみを許可する場合は、[次の送信元ポートの範囲からのトラフィックに対してアクセスを制限する] をクリックします。次に、[開始] および [終了] に、許可される送信元ポートの範囲を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 制限できるのは、1 次接続の特定のポートからのアクセスのみです。

関連項目


Web 公開ルールを構成する

ここでは、Web 公開ルールを構成する手順について説明します。ファイアウォール ポリシー ルールの一般的なプロパティの構成手順については、「ファイアウォール ポリシー ルールを構成する」を参照してください。

  • Web 公開ルールを作成する
  • セキュリティで保護された Web 公開ルールを作成する
  • 公開する Web サーバーの名前を構成する
  • Web 公開ルールのパブリック名を構成する
  • パス マッピングを構成する
  • Web 公開ルールの HTTP 要求をリダイレクトする方法を構成する
  • Web 公開ルールのリスナを構成する
  • Web ページ内の絶対リンクを置換する
  • Web 公開ルールのリンク変換辞書エントリを追加する
  • リンク変換のコンテンツの種類を指定する


Web 公開ルールを作成する

Web 公開ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[Web サーバーの公開] をクリックします。
  3. [新しい Web 公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更の適用バーで [適用] をクリックすると、ポリシーが更新されます。新しいポリシーは、新しい接続にのみ適用されます。

関連項目


セキュリティで保護された Web 公開ルールを作成する

セキュリティで保護された Web 公開ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[セキュリティで保護された Web サーバーの公開] をクリックします。
  3. [新しい SSL Web 公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


公開する Web サーバーの名前を構成する

公開する Web サーバーの名前を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [公開先] タブの [サーバー] に、Web サイトが置かれているコンピュータ (Web サーバー) の名前または IP アドレスを入力します。
  5. 元のホストのヘッダー情報を転送する場合は、[元のホスト ヘッダーを、上で指定したサーバーに転送する] を選択します。ISA Server がホスト ヘッダー情報を転送すると、クライアント要求は公開されたコンピュータ上の特定のサイトにルーティングされます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


Web 公開ルールのパブリック名を構成する

Web 公開ルールのパブリック名を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [パブリック名] タブの [このルールの適用先] で、次のいずれかをクリックします。
    • [すべての要求]。指定した Web サーバーに対するすべての要求にルールを適用するときは、このオプションを選択します。
    • [以下の Web サイトへの要求]。サーバー上の特定の Web サイトにルールを適用するときは、このオプションを選択します。
  5. [以下の Web サイトへの要求] を選択した場合は、[追加] をクリックし、アクセスできる Web サイトの名前を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 1 つのルールでは 1 つの Web サイトのみを公開することをお勧めします。ある Web サイトに属する個人データが、同じパブリック名を使用して公開されている別の Web サイトにアクセスしたときに表示される可能性があるためです。
  • パブリック Web サイトは、ドメイン ネーム システム (DNS) に登録する必要があります。詳細については、「DNS Web サイトの登録」を参照してください。

関連項目


パス マッピングを構成する

パス マッピングを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [パス] タブで、[追加] をクリックします。
  5. テキスト ボックスに、公開された Web サーバー上のパスを入力します。
  6. 次のいずれかを選択します。
    • [公開されたフォルダと同じフォルダ]。要求内に指定されたパスが、公開された Web サーバー上のパスと同じになるようにします。
    • [次のフォルダ]。要求内に指定されたパスが、テキスト ボックスに指定したパスにマッピングされます。公開された Web サーバー上の要求のマッピング先となるパスを入力してください。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 要求のマッピング先となる内部パスを指定するときは、「/mypath/*」という形式を使用します。
  • パスにはワイルドカード文字を使用できません。たとえば、「mypath*/」や「/mypath*」は指定できません。
  • パス マッピングを構成する際、ファイル名を指定することは避けてください。ファイル名を指定すると、完全なパスに対する要求のみが処理されます。

関連項目


Web 公開ルールの HTTP 要求をリダイレクトする方法を構成する

Web 公開ルールの HTTP 要求をリダイレクトする方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ブリッジ] タブで、要求を FTP サーバーと Web サーバーのどちらに転送するかを選択します。次のいずれかを選択します。
    • [FTP サーバー]。このオプションを選択する場合は、テキスト ボックスに、要求のリダイレクト先となる FTP サーバー上のポートを入力します。
    • [Web サーバー]
  5. [Web サーバー] を選択する場合は、次の操作を行います。
    • HTTP プロトコルを使用して HTTP 要求を Web サーバーに渡す場合は、[HTTP ポートに要求をリダイレクトする] をクリックします。
    • HTTPS を使用して HTTP 要求を Web サーバーに渡す場合は、[SSL ポートに要求をリダイレクトする] をクリックします。
  6. (省略可能) [SSL ポートに要求をリダイレクトする] をクリックした場合は、[SSL Web サーバーへの認証には証明書を使う]、[選択] の順にクリックして、使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [SSL ポートに要求をリダイレクトする] を選択した場合は、ISA Server コンピュータにより、公開された Web サーバーに対してセキュリティで保護された新たな制御チャネルが開きます。

関連項目


Web 公開ルールのリスナを構成する

Web 公開ルールのリスナを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [リスナ] タブで、ボックスの一覧の該当するリスナをクリックします。または、このルールに新しい Web リスナを作成する場合は、[新規作成] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セキュリティ上の理由により、Outlook Web Access の公開用に構成した Web リスナは他の公開シナリオに使用しないことをお勧めします。

関連項目


Web ページ内の絶対リンクを置換する

Web ページ内の絶対リンクを置換するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[選択したルールの編集] をクリックします。
  3. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  4. [リンクの変換] タブで、[Web ページ内の絶対リンクを置換する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、リンクの変換辞書が自動的に作成されます。ほとんどの場合、既定の辞書にエントリを追加する必要はありません。
  • ISA Server は、内部コンピュータ名などの HTML ドキュメントの文字列に対してのみリンクの変換を行います。HTML ドキュメントの文字列は、UCS Transformation Format 8 (UTF-8) 形式で指定されています。

関連項目


Web 公開ルールのリンク変換辞書エントリを追加する

Web 公開ルールのリンク変換辞書エントリを追加するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [リンクの変換] タブで、[Web ページ内の絶対リンクを置換する] をクリックします。
  5. [追加] をクリックします。
  6. [検索する文字列] に、文字列を入力します。リンク変換 Web フィルタは、公開された内部 Web サイトでこの文字列を検索します。
  7. [置換する文字列] に、クライアントに返す応答ページで対象の文字列を置換するためにリンク変換 Web フィルタが使用する文字列を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 通常、[検索する文字列] に指定する名前には、外部クライアントがアクセスできない内部サイトおよび内部サーバーの名前を使用します。
  • 通常、[置換する文字列] に指定する名前には、ISA Server の完全修飾ドメイン名など、外部クライアントがアクセスできる名前を使用します。
  • クライアントが変換可能な HTML ページの範囲を要求した場合、URL は変換されません。そのため、クライアントへの応答は、元のサーバーの応答の範囲となります。
  • リンク変換辞書で指定されるすべてのエントリは明示的でなければなりません。たとえば、http://myInternal を http://www.microsoft.com にマップするエントリでは、http://myInternal:8080 は http://www.microsoft.com:8080 にマップされません。
  • 多数のエントリがあり、変換を必要とする多数のリンクを含む Web サイトに適用される辞書は、ISA Server のパフォーマンスに悪影響を及ぼすおそれがあります。

関連項目


リンク変換のコンテンツの種類を指定する

リンク変換のコンテンツの種類を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [リンクの変換] タブで、[Web ページ内の絶対リンクを置換する] をクリックします。
  5. [コンテンツの種類] をクリックします。
  6. [コンテンツの種類] タブの [選択されたコンテンツの種類] で、コンテンツの種類をクリックします (複数可)。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定では、リンク変換は HTML コンテンツ、つまり text/html、text/css、および text/webviewhtml にのみ適用されます。
  • コンテンツ グループに含まれている MIME の種類およびファイルの種類を参照するには、コンテンツ グループのプロパティを参照します。

関連項目


サーバー公開ルールを構成する

ここでは、サーバー公開ルールを構成する手順について説明します。ファイアウォール ポリシー ルールの一般的なプロパティの構成手順については、「ファイアウォール ポリシー ルールを構成する」を参照してください。

  • サーバー公開ルールを作成する
  • メール サーバーを公開する
  • サーバー公開ルールのプロトコルを構成する
  • サーバー公開ルールのネットワーク リスナを構成する
  • サーバー公開ルールの既定のポートを上書きする


サーバー公開ルールを作成する

サーバー公開ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 作業ウィンドウで、[新しいサーバー公開ルールの作成] をクリックします。
  3. [新しいサーバー公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更の適用バーで [適用] をクリックすると、ポリシーが更新されます。新しいポリシーは、新しい接続にのみ適用されます。

関連項目


メール サーバーを公開する

メール サーバーを公開するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[メール サーバーの公開] をクリックします。
  3. [新しいメール サーバー公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


サーバー公開ルールのプロトコルを構成する

サーバー公開ルールのプロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するサーバー公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [トラフィック] タブで、サーバー公開ルールを適用するプロトコル (ネットワーク トラフィック) を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


サーバー公開ルールのネットワーク リスナを構成する

サーバー公開ルールのネットワーク リスナを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するサーバー公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ネットワーク] タブで、ISA Server がクライアント要求をリッスンするネットワーク アダプタを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ルールが機能するためには、公開ルール プロパティの [送信元] タブで指定したトラフィックの送信元 (ネットワーク エンティティ) が、ネットワーク リスナとして選択したネットワークに含まれている必要があります。

関連項目


サーバー公開ルールの既定のポートを上書きする

サーバー公開ルールの既定のポートを上書きするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [トラフィック] タブで、[ポート] をクリックします。
  5. [ファイアウォールのポート] で、次のいずれかを選択します。
    • [プロトコル定義で定義されている既定のポートを使って公開する]。このオプションを選択すると、ISA Server は既定のポートで着信方向のクライアント要求を受け付けます。
    • [既定のポートではなく、次のポートで公開する]。このオプションを選択すると、ISA Server は既定のポート以外のポートで着信方向のクライアント要求を受け付けます。代替のポートを選択すると、ISA Server は、公開されたサービスに対するクライアント要求を標準ではないポートで受信し、公開されたサーバー上の指定のポートに転送します。
  6. [公開されたサーバーのポート] で、次のいずれかを選択します。
    • [公開されたサーバーの既定のポートに要求を送信する]。このオプションを選択すると、ISA Server はプロトコル定義に従って、公開されたサービスへの要求を既定のポートで受け付けます。
    • [公開されたサーバーの次のポートに要求を送信する]。このオプションを選択すると、ISA Server は既定のポート以外のポートで公開されたサービスへの要求を受け付けます。
  7. [送信元ポート] で、次のいずれかを選択します。
    • [許可された任意の送信元ポートからのトラフィックを許可する]。このオプションを選択すると、ISA Server は許可されたクライアント コンピュータ上の任意のポートからの要求を受け付けます。
    • [次の送信元ポートの範囲からのトラフィックに対してアクセスを制限する]。このオプションを選択すると、ISA Server は指定したポートからの要求のみを受け付けます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ファイアウォール ポリシー ルールを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のすべてのファイアウォール ポリシー ルールに共通するプロパティの構成手順について説明します。

  • ファイアウォール ポリシー ルールの動作を構成する
  • ファイアウォール ポリシー ルールのユーザーを構成する
  • ファイアウォール ポリシー ルールのスケジュールを構成する
  • ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成する
  • ファイアウォール ポリシー ルールのプロキシ要求を構成する
  • ファイアウォール ポリシー ルールのアプリケーション フィルタを構成する
  • ファイアウォール ポリシー ルールの順序を変更する
  • ファイアウォール ポリシー ルールを削除する
  • ファイアウォール ポリシー ルールを無効にする


ファイアウォール ポリシー ルールの動作を構成する

ファイアウォール ポリシー ルールの動作を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、次のいずれかの操作を行います。
    • クライアント アクセスを許可するには、[許可する] をクリックします。
    • クライアント アクセスを拒否するには、[拒否する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アクセス ルールについては、サイトへのアクセスを拒否するように選択した場合、[この Web ページへの HTTP 要求のリダイレクト] チェック ボックスをオンにして、クライアント要求をリダイレクトする代替 URL を指定することもできます。次の点に注意してください。
    • 指定する URL は、クライアントまたはユーザーからアクセス可能でなければなりません。または、その URL は内部コンピュータ上のものでなければなりません。そうでない場合は、ルールで URL へのアクセスを明示的に許可する必要があります。
    • 要求のリダイレクト先を指定する場合、別の場所を指定するには、「http://<URL>」と入力します。

関連項目


ファイアウォール ポリシー ルールのユーザーを構成する

ファイアウォール ポリシー ルールのユーザーを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールまたはアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ユーザー] タブで、[追加] をクリックします。
  5. [ユーザー セット] で、適切なユーザー セットを選択し、[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 指定したユーザー セットを除くすべてのユーザーにルールを適用するには、下部にある [追加] ボタンをクリックします。

関連項目


ファイアウォール ポリシー ルールのスケジュールを構成する

ファイアウォール ポリシー ルールのスケジュールを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールまたはアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [スケジュール] タブの [スケジュール] で、適用するスケジュールを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成する

ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [送信元] タブで、[追加] をクリックします。
  5. [ネットワーク エンティティ] で、適切なネットワーク オブジェクトを選択し、[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 指定したネットワーク オブジェクトを除くすべてのネットワーク オブジェクトにルールを適用するには、下部にある [追加] ボタンをクリックします。
  • Web 公開ルールの場合、ルールが適用されるのは、指定したネットワーク オブジェクトのうち、ルールに適用した Web リスナに指定されているネットワークに属するものだけです。詳細については、「Web リスナ」を参照してください。

関連項目


ファイアウォール ポリシー ルールのプロキシ要求を構成する

ファイアウォール ポリシー ルールのプロキシ要求を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [公開先] タブで、次のいずれかを選択します。
    • [ISA Server コンピュータからの要求にする]。このオプションを選択すると、要求を行っている IP アドレスが、ISA Server コンピュータとして見えるようになります。これにより、要求を行っているクライアントのアドレスを効果的に隠すことができます。
    • [元のクライアントからの要求にする]。このオプションを選択すると、要求を行っている IP アドレスが、クライアントとして見えるようになります。アプリケーションの一部は、要求している本当のクライアントによる実際の識別を必要とします。これらのアプリケーションを公開するときは、要求しているクライアント (送信元クライアント) の IP アドレスで要求が転送されるように、ISA Server を構成できます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [元のクライアントからの要求にする] オプションを選択した場合、ISA Server を、公開された Web サーバーに対するゲートウェイとして構成する必要があります。または、元のクライアントの IP アドレスに対するデフォルト ゲートウェイとして ISA Server を構成することもできます。

関連項目


ファイアウォール ポリシー ルールのアプリケーション フィルタを構成する

ファイアウォール ポリシー ルールのアプリケーション フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [プロトコル] タブで、[フィルタ] をクリックし、次のいずれかを選択します。
    • HTTP フィルタを構成する場合は、[HTTP の構成] をクリックします。
    • RPC フィルタを構成する場合は、[RPC プロトコルの構成] をクリックします。これはアクセス ルールにのみ適用されます。
    • FTP フィルタを構成する場合は、[FTP の構成] をクリックします。
    • SMTP フィルタを構成する場合は、[SMTP の構成] をクリックします。これは公開ルールにのみ適用されます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ルールが特定のプロトコルに適用される場合は、アプリケーション フィルタのみを構成できます。
    • HTTP フィルタ。このルールは HTTP に適用します。
    • RPC フィルタ。このルールは RPC プロトコルに適用します。
    • FTP フィルタ。このルールは FTP に適用します。

関連項目


ファイアウォール ポリシー ルールの順序を変更する

ファイアウォール ポリシー ルールの順序を変更するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールを上に移動] または [選択したルールを下に移動] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定のファイアウォール ポリシー ルールは、常にファイアウォール ポリシー ルールの最下位になります。
  • システム ポリシー ルールは、すべてのファイアウォール ポリシー ルールより先に処理されます。

関連項目


ファイアウォール ポリシー ルールを削除する

ファイアウォール ポリシー ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定のファイアウォール ポリシー ルール ([既定のルール]) は削除できません。

関連項目


ファイアウォール ポリシー ルールを無効にする

ファイアウォール ポリシー ルールを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[選択したルールの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ルールを無効にすると、接続の試行はすべて拒否されます。ただし、ISA Server が使用中の接続を閉じることはありません。アクティブな接続を終了するには、関連するセッションを切断します。

関連項目


ルールごとのフィルタを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 でファイアウォール ポリシー ルールのルールごとのフィルタを構成する手順について説明します。

  • FTP フィルタを構成する
  • HTTP フィルタを構成する
  • RPC フィルタを構成する


FTP フィルタを構成する

FTP フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、FTP トラフィックに適用するサーバー公開ルールまたはアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. サーバー公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[FTP の構成] の順にクリックします。
  5. FTP のアップロードをブロックする場合は、[プロトコル] タブで、[読み取り専用] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


HTTP フィルタを構成する

ここでは、HTTP を使用するファイアウォール ポリシー ルールの HTTP (ハイパーテキスト転送プロトコル) フィルタを構成する手順について説明します。

  • HTTP 要求におけるヘッダーの最大サイズを制限する
  • 要求のペイロード長を制限する
  • 要求で指定できる URL を制限する
  • Windows 実行可能ファイルを含む応答をブロックする
  • 指定した HTTP メソッドをブロックする
  • 指定した HTTP 拡張子をブロックする
  • 指定した HTTP ヘッダーをブロックする
  • HTTP ヘッダーが返される方法を指定する
  • HTTP VIA ヘッダーが転送または返される方法を指定する
  • 指定した HTTP 署名をブロックする


HTTP 要求におけるヘッダーの最大サイズを制限する

HTTP 要求におけるヘッダーの最大サイズを制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブの [ヘッダーの最大長] に、ブロックされるまでに要求のヘッダー (URL およびヘッダー) に含めることができる最大バイト数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この設定は、HTTP フィルタが適用されるすべてのルールに共通です。

関連項目


要求のペイロード長を制限する

要求のペイロード長を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブで、[すべてのペイロード長を許可する] が選択されていないことを確認します。
  6. [ペイロードの最大長] に、要求で許可する最大ペイロード長を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ペイロード長に関係なく要求を許可するには、[すべてのペイロード長を許可する] をクリックします。

関連項目


要求で指定できる URL を制限する

要求で指定できる URL を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブで、次の操作を行います。
    • [URL の最大長] に、許可する最大 URL 長を入力します。この値を超える URL が含まれている要求はブロックされます。
    • [クエリの最大長] に、要求で許可するクエリの最大長を入力します。この値を超えるクエリが含まれている要求はブロックされます。
    • 正規化後エスケープ文字を含む URL をブロックするよう指定するには、[正規化を検証する] を選択します。
    • ハイビット文字を含む URL をブロックするよう指定するには、[ハイビット文字をブロックする] を選択します。

重要

  • [ハイビット文字をブロックする] を選択した場合、DBCS または Latin 1 文字を含む URL はブロックされます。これは、Outlook® Web Access の公開、SharePoint™ Portal Server の公開、および GET 要求が 2 バイト文字セットの文字を含むパラメータを渡す場合などに影響する可能性があります。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


Windows 実行可能ファイルを含む応答をブロックする

Windows 実行可能ファイルを含む応答をブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブで、[Windows 上で実行可能なコンテンツを含む応答をブロックする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、ダウンロードしたバイナリ ファイルの先頭に "MZ" という語が含まれる応答がブロックされます。たとえば、.exe ファイルはすべてブロックされますが、.com ファイルや .pif ファイルはブロックされません。

関連項目


指定した HTTP メソッドをブロックする

指定した HTTP メソッドをブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [メソッド] タブで、次のいずれかを選択します。
    • [すべての方法を許可する]。メソッドをブロックしない場合に選択します。
    • [指定された方法のみを許可する]。特定のメソッドの要求のみを許可する場合に選択します。
    • [指定された方法をブロックする (その他すべてを許可する)]。指定したメソッドの要求を除くすべての要求を許可する場合に選択します。
  6. [指定された方法のみを許可する] または [指定された方法をブロックする (その他すべてを許可する)] を選択した場合は、[追加] をクリックして、[メソッド] に HTTP メソッドを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


指定した HTTP 拡張子をブロックする

指定した HTTP 拡張子をブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [拡張子] タブで、次のいずれかを選択します。
    • [すべての拡張子を許可する]。拡張子をブロックしない場合に選択します。
    • [指定した拡張子のみを許可する]。特定の拡張子の要求のみを許可する場合に選択します。
    • [指定した拡張子をブロックする (他はすべて許可する)]。指定した拡張子の要求を除くすべての要求を許可する場合に選択します。
  6. [指定した拡張子のみを許可する] または [指定した拡張子をブロックする (他はすべて許可する)] を選択した場合は、[追加] をクリックし、[拡張子] に HTTP 拡張子を入力します。
  7. ファイル拡張子を特定できない要求もブロックする必要がある場合は、[あいまいな拡張子を含む要求をブロックする] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


指定した HTTP ヘッダーをブロックする

指定した HTTP ヘッダーをブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [ヘッダー] タブで、[追加] をクリックします。
  6. [検索対象] で、[要求ヘッダー] または [応答ヘッダー] を選択します。
  7. [HTTP ヘッダー] に、ブロックするヘッダーを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • : (コロン) から最後の改行文字 (CRLF) までが、ヘッダー長としてカウントされます。

関連項目


HTTP ヘッダーが返される方法を指定する

HTTP ヘッダーが返される方法を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [ヘッダー] タブの [サーバー ヘッダー] で、次のいずれかを選択します。
    • [元のヘッダーを送信する]。ISA Server は、応答に元のヘッダーを入れて返します。
    • [応答からヘッダーを削除する]。ISA Server は、応答にヘッダーを入れずに返します。
    • [応答のヘッダーを変更する]。ISA Server は、応答に変更したヘッダーを入れて返します。
      このオプションを選択した場合は、応答で返す値を [変更後のヘッダー] に入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web サーバーを公開するときは、[応答からヘッダーを削除する] を選択することをお勧めします。Windows Media® サーバーを公開するときは、このオプションは選択しないようにしてください。

関連項目


HTTP VIA ヘッダーが転送または返される方法を指定する

HTTP VIA ヘッダーが転送または返される方法を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [ヘッダー] タブの [ヘッダー経由] で、次のいずれかを選択して、要求での Via ヘッダーの転送方法、または応答での Via ヘッダーの返送方法を構成します。
    • [既定のヘッダーを送信する]。既定のヘッダーを使用します。
    • [要求と応答のヘッダーを変更する]。ISA Server が Via ヘッダーを変更されたヘッダーに置き換えます。このオプションを選択した場合は、Via ヘッダーの代わりに表示するヘッダーを [変更後のヘッダー] に入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


指定した HTTP 署名をブロックする

指定した HTTP 署名をブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [トラフィック] タブで、[フィルタ]、[HTTP の構成] の順にクリックします。
  5. [署名] タブで、[追加] をクリックします。
  6. [署名] ページで、次の操作を行います。
    • [名前] に、署名の識別に使用する名前を入力します。
    • [検索対象] で、[要求 URL]、[要求ヘッダー]、[要求本文]、[応答ヘッダー]、または [応答本文] を選択します。
    • [署名] に、選択した要求ヘッダー、要求本文、応答ヘッダー、または応答本文で検出されたときにブロックする署名の文字列を入力します。
    • [要求本文] または [応答本文] を選択した場合は、[開始] および [終了] に、検索する本文の範囲を入力します。
    • [要求本文] または [応答本文] を選択した場合は、[形式] で [テキスト] または [バイナリ] を選択して、検索文字列の形式を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 要求本文または応答本文で署名を検索するよう指定した場合は、パフォーマンス上の理由から、検索するバイト範囲 ([開始] および [終了] で指定する範囲) を小さくすることをお勧めします。
  • 特定の署名をブロックすると、HTTP 上のトラフィックをトンネリングし、かつ要求ヘッダー、要求本文、応答ヘッダー、および応答本文の特定のパターン (Windows Messenger など) によって特徴付けることのできるアプリケーションを基本的にブロックすることになります。HTTP 署名のブロックでは、種類の異なるコンテンツエンコードまたは範囲要求を使用するアプリケーションはブロックされません。
  • テキスト形式の署名のブロックを実行するには、すべての HTTP 要求と応答が UTF-8 方式でエンコードされている必要があります。

関連項目


RPC フィルタを構成する手順

RPC フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、リモート プロシージャ コール (RPC) トラフィックに適用するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. アクセス ルールの [プロトコル] タブで、[フィルタ]、[RPC プロトコルの構成] の順にクリックします。
  5. RPCプロトコルが許可されていない場合は、[プロトコル] タブで [厳密な RPC 互換性を適用] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク間にルート ネットワーク関係が設定されている RPC インターフェイスを公開する場合、ポートの上書きは無視されます。公開ルールでは、元の IP アドレスまたはポートが使用されます。
  • [厳密な RPC 互換性を適用] オプションを無効にすると、DCOM トラフィックおよびその他の RPC プロトコルが許可されます。

関連項目


システム ポリシーを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のシステム ポリシーを構成する手順について説明します。

  • システム ポリシー構成グループを有効にする
  • システム ポリシー ルールの宛先を編集する
  • システム ポリシー ルールを表示する


システム ポリシー構成グループを有効にする

システム ポリシー構成グループを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[システム ポリシーの編集] をクリックします。
  3. [構成グループ] で、該当する構成グループを選択します。
  4. [全般] タブで、[有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


システム ポリシー ルールの宛先を編集する

システム ポリシー ルールの宛先を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[システム ポリシーの編集] をクリックします。
  3. システム ポリシー エディタの [送信元] タブで [追加] をクリックします。
  4. [ネットワーク エンティティ] で、ネットワーク オブジェクトを選択します。[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 宛先を変更するには、一覧で宛先をクリックし、[編集] をクリックします。
  • 宛先を削除するには、一覧で宛先をクリックし、[削除] をクリックします。

関連項目


システム ポリシー ルールを表示する

システム ポリシー ルールを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[システム ポリシー ルールの表示] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ツールボックスの要素を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のツールボックスの要素を作成および構成する手順について説明します。

  • コンテンツの種類を作成する
  • プロトコルを作成する
  • プロトコルにアプリケーション フィルタを適用する
  • スケジュールを作成する
  • URL セットを作成する
  • ドメイン名セットを作成する
  • ユーザー セットを作成する
  • Web リスナを構成する


コンテンツの種類を作成する

コンテンツの種類を作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[コンテンツの種類] をクリックします。
  3. [コンテンツの種類] の下のツール バーで、[コンテンツの種類]、[新規作成] の順にクリックします。
  4. [名前] に、コンテンツの種類の名前を入力します。
  5. (省略可能) [説明] に、コンテンツの種類の説明を入力します。
  6. [利用できる種類] で、次のいずれかの操作を行います。
    • 既存のコンテンツの種類を選択するには、ファイル名拡張子または Multipurpose Internet Mail Extensions (MIME) の種類をクリックします。
    • 新しいコンテンツの種類を追加するには、新しいファイル名拡張子または MIME の種類を入力します。
  7. [追加] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツの種類を作成する場合、コンテンツの MIME の種類とファイル名拡張子を指定することをお勧めします。
  • コンテンツの種類を構成する際、MIME の種類を指定するときに、アスタリスク (*) をワイルドカード文字として使用できます。たとえば、すべてのアプリケーションの種類を含めるには、「application/*」と入力します。アスタリスク ワイルドカード文字は、MIME の種類でのみ使用できます。ファイル拡張子では使用できません。アスタリスクは、MIME の種類の最後の部分でスラッシュ (/) の後に 1 回だけ指定できます。
  • コンテンツの種類からファイル名拡張子または MIME の種類を削除するには、[選択された種類] でファイル名拡張子または MIME の種類をクリックし、[削除] をクリックします。

関連項目


プロトコルを作成する

プロトコルを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[プロトコル] をクリックします。
  3. [プロトコル] の下のツール バーで、[新規作成]、[プロトコル] の順にクリックします。
  4. [新しいプロトコルの定義ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • プロトコルを作成したら、1 つまたは複数のアプリケーション フィルタをプロトコルに適用できます。アプリケーション フィルタを適用すると、フィルタによって別のフィルタ機能が実行されます。

関連項目


プロトコルにアプリケーション フィルタを適用する

プロトコルにアプリケーション フィルタを適用するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[プロトコル] をクリックします。
  3. [プロトコル] の下のツール バーで該当するプロトコルを選択し、[編集] をクリックします。
  4. [パラメータ] タブの [アプリケーション フィルタ] で、プロトコルに適用するフィルタを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アプリケーション フィルタを適用すると、フィルタによって別のフィルタ機能が実行されます。
  • 通常プロトコルに適用するアプリケーション フィルタを無効にすると、すべてのアプリケーション フィルタ機能が無効になります。たとえば、HTTP プロトコルの Web プロキシ フィルタを無効にすると、そのプロトコルのすべてのキャッシュおよびプロキシが無効になります。

関連項目


スケジュールを作成する

スケジュールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[スケジュール] をクリックします。
  3. [スケジュール] の下のツール バーで、[新規作成] をクリックします。
  4. [名前] に、スケジュールの名前を入力します。
  5. (省略可能) [説明] に、スケジュールの説明を入力します。
  6. スケジュール テーブルを使用してスケジュールを設定します。
    • 特定の日の特定の時間を選択するには、セルをクリックします。
    • 1 日全体を選択するには、左側の列で対象の日をクリックします。
    • すべての日の同じ時間を選択するには、1 行目で対象の時間をクリックします。
  7. 選択した時間帯にルールを有効にするには、[アクティブ] をクリックします。選択した時間を無効にするには、[非アクティブ] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • テーブル内の暗いセルは、その日のその時間帯にルールが有効であることを示します。白いセルは、ルールが無効であることを示します。

関連項目


URL セットを作成する

URL セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [ネットワーク オブジェクト] の下のツール バーで、[新規作成]、[URL セット] の順にクリックします。
  4. [名前] に、URL セットの名前を入力します。
  5. [新規作成] をクリックして、URL セットに含める URL を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server では、ルールに構成された URL セットを確認する際、疑問符 (?) の後のテキストは無視されます。URL セットに疑問符付きの URL が含まれる場合、その URL は無視されます。

関連項目


ドメイン名セットを作成する

ドメイン名セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [ネットワーク オブジェクト] の下のツール バーで、[新規作成]、[ドメイン名セット] の順にクリックします。
  4. [名前] に、ドメイン名セットの名前を入力します。
  5. [新規作成] をクリックして、ドメイン名セットに含めるドメインを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ドメイン名を指定するときは、アスタリスク (*) を使用してコンピュータのセットを指定できます。たとえば、microsoft.com ドメイン内のすべてのコンピュータを指定するには、ドメイン名として「*.microsoft.com」と入力します。アスタリスクはドメイン名の先頭に 1 つしか使用できません。
  • ドメイン名を指定するときは、完全修飾ドメイン名 (FQDN) を使用してコンピュータ名を指定します。たとえば、「//<コンピュータ名>」ではなく「<コンピュータ名>.microsoft.com」と入力します。

関連項目


ユーザー セットを作成する

ユーザー セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ユーザー] をクリックします。
  3. [ユーザー] の下のツール バーで、[新規作成] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • RADIUS 認証または SecurID 認証を使用する場合、ISA Server は、ユーザーから渡された資格情報と [ユーザー] タブで指定された文字列を比較します。
    たとえば、<ドメイン>\<ユーザー> のみを含むユーザー セットにルールを適用する場合、ユーザーが <ユーザー>@<ドメイン> として資格情報を渡したときは、ISA Server はこのルールをユーザーに適用しません。


Web リスナを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 の Web リスナを構成する手順について説明します。

  • Web リスナを作成する
  • Web リスナが HTTP または SSL をリッスンするよう構成する
  • 許可する同時接続の最大数を構成する
  • RSA SecurID を構成する
  • Outlook Web Access のフォームベース認証を構成する


Web リスナを作成する

Web リスナを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [ネットワーク オブジェクト] の下のツール バーで、[新規作成]、[Web リスナ] の順にクリックします。
  4. [名前] に、コンテンツの種類の名前を入力します。
  5. [新しい Web リスナの定義ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


Web リスナが HTTP または SSL をリッスンするよう構成する

Web リスナが HTTP または SSL をリッスンするよう構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. 該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. ISA Server が HTTP 要求をリッスンするように構成する場合は、[基本設定] タブで [HTTP を有効にする] を選択します。
    [HTTP ポート] に、ISA Server が要求をリッスンするポートの番号を入力します。
  6. ISA Server が SSL (Secure Sockets Layer) をリッスンするように構成する場合は、[SSL を有効にする] を選択します。
    [SSL ポート] に、ISA Server が SSL 要求をリッスンするポートの番号を入力します。
  7. [SSL を有効にする] を選択した場合は、[選択] をクリックして、SSL 要求に使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 着信方向の Web 要求に対する既定の HTTP ポート番号は 80 です。発信方向の Web 要求に対する既定のポート番号は 8080 です。
  • ほとんどの Web ブラウザは、ポート 443 だけを SSL 要求に使用できます。

関連項目


許可する同時接続の最大数を構成する

許可する同時接続の最大数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. 該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[詳細設定] を選択します。
  6. [詳細設定] で、次のいずれかを選択します。
    • [無制限]。サーバーに同時接続するクライアントの数を無制限に許可します。
    • [最大]。サーバーに同時接続できるクライアントの最大数を制限します。
      接続の最大数を入力してください。
  7. [詳細設定] の [接続タイムアウト] に、サーバーが非アクティブ ユーザーを切断するまでの秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


RSA SecurID を構成する

ここでは、RSA SecurID 認証を構成する手順について説明します。

  • RSA SecurID の認証を使用するよう Web リスナを構成する
  • RSA SecurID の認証でドメイン Cookie を有効にする
  • ドメイン シークレットをエクスポートする
  • タイムアウト期間の経過後アイドル Cookie を有効期限切れにする
  • 検証時にブラウザの IP アドレスを無視する
  • 保護されたページをキャッシュしない
  • 名前のロックを有効にする


RSA SecurID の認証を使用するよう Web リスナを構成する

RSA SecurID の認証を使用するよう Web リスナを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. [メソッド] で、[SecurID] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • RSA SecurID 認証を選択した場合、他の認証方法は選択できません。
  • RSA SecurID® 認証を使用すると、ユーザー要求すべてが、Web プロキシ ログの cs-username フィールドの SecurID ログオン名で記録されます。
  • RSA SecurID 認証で認証されたユーザーからの要求は、クライアントのユーザー名フィールドで、プレフィックス "(SecurID)" によって識別できます。たとえば、(SecurID)Eitan のように表示されます。

関連項目


RSA SecurID の認証でドメイン Cookie を有効にする

RSA SecurID の認証でドメイン Cookie を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[ドメイン構成の管理] をクリックします。
  6. [ドメイン Cookie 有効にする] をクリックします。
  7. [ドメイン名] に、Cookie を有効にするドメインの完全修飾 DNS 名を入力します。
  8. [Cookie 名] に、mscookie など、ドメインの Cookie の名前を入力します。
  9. [ドメイン シークレットの管理] をクリックして、ドメイン シークレットを作成、インポート、またはエクスポートします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 手順 7 でドメイン名を指定する際には、少なくとも 2 つのレベルを指定します。たとえば、「.Microsoft.com」および「.sales.Microsoft.com」は有効なエントリです。しかし、「.com」は有効なエントリではありません。
  • Cookie 名は、最大 30 文字です。文字、数字、ハイフン、およびアンダースコアを自由に組み合わせて使用できます。空白スペースや特殊文字は使用しないでください。
  • 既定では、SecurID Web フィルタによって配布される Cookie は、発行対象の Web リスナでのみ有効です。複数の公開ルールで有効な Cookie を発行するには、ドメイン Cookie を有効にします。
  • ドメイン Cookie を有効にした場合、WWW DNS ドメイン内の他のサーバーへのリンクを参照する際にショートカットを使用しないでください。ドメイン Cookie が正常に機能するには、URL で完全修飾ドメイン名を使用する必要があります。

関連項目


ドメイン シークレットをエクスポートする

ドメイン シークレットをエクスポートするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[ドメイン構成の管理] をクリックします。
  6. [ドメイン Cookie を有効にする] をクリックします。
  7. [ドメイン シークレットの管理] をクリックします。
  8. [他のサーバーまたはリスナへドメイン シークレットをエクスポートする]、[OK] の順にクリックします。
  9. リムーバブル メディアが配置されている対象のドライブを選択し、[保存] をクリックしてドメイン シークレット ファイル (Domain.sdi) をメディアに保存します。
  10. [パスワード] と [確認入力] に、ドメイン シークレット ファイルを保護するパスワードを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ドメイン シークレットをインポートするには、[他のサーバーまたはリスナからドメイン シークレットをインポートする] をクリックします。

関連項目


タイムアウト期間の経過後アイドル Cookie を有効期限切れにする

タイムアウト期間の経過後アイドル Cookie を有効期限切れにするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[指定された時間が経過すると、Cookie は必ず期限切れとなる] をクリックします。
  6. [有効期限] に、アイドル Cookie を有効期限切れにするまでの時間を分単位で入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Cookie を常に有効期限切れにするには、[指定された時間内に使用されなかった Cookie は期限切れとなる] をクリックします。
  • 最小有効期限は 1 分です。有効期限の上限は 1440 分 (1 日) です。

関連項目


検証時にブラウザの IP アドレスを無視する

検証時にブラウザの IP アドレスを無視するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[Cookie の検証時にブラウザの IP アドレスを無視する] が選択されていないことを確認します。

重要

  • Cookie の保護を強化する別の方法として、Cookie の有効期限を最小限に設定する方法があります。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを有効にすると、Cookie がクライアントの IP アドレスを保持して署名するので、1 人のユーザーが別の IP アドレスから同じ Cookie を使用できなくなります。

関連項目


保護されたページをキャッシュしない

保護されたページをキャッシュしないようにするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[クライアントで保護されたページをキャッシュしない] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 3.01 より前のバージョンの Microsoft Internet Explorer では、キャッシュ サイズを 0 に設定しても、この機能はサポートされません。保護されたページをキャッシュしない Internet Explorer Web ブラウザでは、ユーザーがこの設定を有効にしないようにしてください。保護されたリソースからユーザーがファイルをダウンロードした場合や、それらのファイルのアプリケーションを実行しようとした場合、ユーザーのコンピュータ上のキャッシュにファイルがダウンロードされます。ただし、それらのファイルは、ユーザーが開く前にキャッシュから削除されます。次善策として、ブラウザでキャッシュを消去する設定を有効にするようにユーザーに指示してください。
  • このオプションを有効にした場合にキャッシュされなくなるのは、ブラウザ上の保護されたデータのみです。ISA Server コンピュータ上の保護されたページはキャッシュされます。

関連項目


名前のロックを有効にする

名前のロックを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[RSA ACE/Server 5.0 の名前ロック機能を使う] をクリックします。
  6. ISA Server (RSA ACE/Agent) が最初にユーザー名の入力を要求し、ユーザーがユーザー名を入力した後にのみパスコードの入力を要求するようにする場合は、[別のユーザー名および PASSCODE ページを使う] をクリックします。

注意

  • サーバーが RSA ACE/Server データベースのエージェント ホスト レコードで名前のロックを必要とする場合は、エージェント ホストで名前のロックを有効にする必要があります。サーバーが名前のロックを必要とする場合に、エージェント ホストで名前のロック機能が使用されていないと、エージェント ホストからのすべての認証要求が拒否されます。サーバーが名前のロックを必要としない場合は、エージェント ホストでこの機能が有効になっていても、サーバーは名前のロックを使用しないで要求を処理できます。
  • 悪意のあるユーザーが、ログオン試行を繰り返すことで、ユーザーを永続的にロックするおそれがあります。

注

  • この機能を使用するには、RSA ACE/Server に RSA ACE/Server 5.0 Patch 0.3 がインストールされている必要があります。

関連項目


Outlook Web Access のフォームベース認証を構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 で Outlook Web Access のフォームベース認証を構成する手順について説明します。

  • Outlook Web Access クライアントからの添付ファイルをブロックする
  • Outlook Web Access クライアントのアイドル セッション タイムアウトを構成する


Outlook Web Access クライアントからの添付ファイルをブロックする

Outlook Web Access クライアントからの添付ファイルをブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. 該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. Outlook Web Access のフォームベース認証が選択されていることを確認し、[構成] をクリックします。
  7. [ブロックする電子メールの添付ファイル] で、次の操作を行います。
    • Outlook Web Access クライアントにパブリック コンピュータでの添付ファイルの受信を許可しない場合は、[パブリック コンピュータのクライアント] を選択します。
    • Outlook Web Access クライアントにプライベート コンピュータでの添付ファイルの受信を許可しない場合は、[プライベート コンピュータのクライアント] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この手順で構成した設定は、Outlook Web Access のフォームベース認証を使用するすべての Web リスナに適用されます。

関連項目


Outlook Web Access クライアントのアイドル セッション タイムアウトを構成する

Outlook Web Access クライアントのアイドル セッション タイムアウトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. 該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. [OWA フォームベース認証] が選択されていることを確認し、[構成] をクリックします。
  7. [アイドル セッション タイムアウト] で、次の操作を行います。
    • [パブリック コンピュータのクライアント] に、パブリック コンピュータでクライアント セッションがタイムアウトするまでのアイドル状態の時間を入力します。
    • [プライベート コンピュータのクライアント] に、プライベート コンピュータでクライアント セッションがタイムアウトするまでのアイドル状態の時間を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 構成した設定は、Outlook Web Access フォームベース認証を使用するすべての Web リスナに適用されます。
  • セッションがタイムアウトのしきい値に達すると、クライアントはユーザー資格情報を使用してセッションにログオンすることを求められます。

関連項目


認証を構成する

ここでは、認証を構成する手順について説明します。

  • RADIUS サーバーを構成する
  • Web リスナの認証方法を構成する
  • Web プロキシ クライアント (発信方向の要求) の認証方法を構成する
  • クライアント証明書の検証を構成する
  • サーバー証明書の検証を構成する


RADIUS サーバーを構成する

RADIUS サーバーを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[RADIUS サーバーの定義] をクリックします。
  3. [RADIUS サーバー] タブで、[追加] をクリックします。
  4. [サーバー名] に、認証に使用する RADIUS サーバーの名前を入力します。
  5. [変更] をクリックして、ISA Server と RADIUS サーバー間でセキュリティ保護された通信に使用される、共有シークレットを [新しいシークレット] に入力します。RADIUS 通信を成功させるには、ISA Server と RADIUS サーバーの両方に同じ共有シークレットを構成する必要があります。
  6. [ポート] に、着信方向の RADIUS 認証要求として RADIUS サーバーが使用するユーザー データグラム プロトコル (UDP) ポートを入力します。既定値の 1812 は、RFC 2138 に基づいています。RADIUS サーバーが古い場合は、ポートの値を 1645 に設定します。
  7. [タイムアウト (秒)] に、ISA Server が、別の RADIUS サーバーを試す前に、1 台の RADIUS サーバーからの応答を待機する時間を秒単位で入力します。
  8. 各 RADIUS メッセージと共に共有シークレットに基づくメッセージ認証システムを送信する場合は、[メッセージ認証システムを常に使用する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • RADIUS 認証用に ISA Server を構成する場合、RADIUS サーバーの構成は、RADIUS 認証を使用するすべてのルールまたはネットワーク オブジェクトに適用されます。
  • 共有シークレットを使用すると、Access-Request メッセージ以外の RADIUS メッセージが、同じ共有シークレットで構成された RADIUS 対応デバイスによって送信されることを確認できます。
  • RADIUS サーバーの既定の事前共有キーを変更してください。
  • 辞書攻撃を防ぐために、強力な共有シークレットを構成し、頻繁に変更してください。強力な共有シークレットとは、ランダムな文字、数字、および句読点を含む、23 文字以上の長いシーケンスです。
  • [メッセージ認証システムを常に使用する] をクリックした場合は、RADIUS サーバーでメッセージ認証システムの受信が可能であることを確認し、メッセージ認証システムを受信するように構成してください。
  • VPN クライアントの場合、メッセージ認証システムと共に、常に拡張認証プロトコル (EAP) メッセージが送信されます。Web プロキシ クライアントの場合、パスワード認証プロトコル (PAP) のみが使用されます。
  • RADIUS サーバーでインターネット認証サービス (IAS) を実行しており、そのサーバーに対して構成されている RADIUS クライアントで [要求はメッセージ認証属性を含んでいる必要がある] オプションが選択されている場合は、[メッセージ認証システムを常に使用する] を選択する必要があります。

関連項目


Web リスナの認証方法を構成する

Web リスナの認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. [メソッド] で、適切な認証方法を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web リスナでは、基本認証、ダイジェスト認証、統合 Windows 認証、およびクライアント証明書認証の各機構を同時に使用することができます。RADIUS 認証、SecurID 認証、またはフォームベース認証を選択する場合は、他の認証機構と併用するよう構成することはできません。

    • Windows Server 2003 を実行しているコンピュータ上で SecurID 認証を有効にすると、ネットワーク サービス アカウントでは、レジストリ キー HKLM\Software\SDTI\ACECLIENT への読み取り/書き込みのアクセス許可が必要になります。さらに、ネットワーク サービス アカウントは、%SystemRoot%\system32\ にある Sdconf.rec ファイルに対する読み取りアクセス許可も持っている必要があります。

関連項目


Web プロキシ クライアント (発信方向の要求) の認証方法を構成する

Web プロキシ クライアント (発信方向の要求) の認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[認証] をクリックします。
  5. [メソッド] で、適切な認証方法を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web リスナでは、基本認証、ダイジェスト認証、統合 Windows 認証、およびクライアント証明書認証の各機構を同時に使用することができます。RADIUS 認証、SecurID 認証、またはフォームベース認証を選択する場合は、他の認証機構と併用するよう構成することはできません。
  • Windows Server 2003 を実行しているコンピュータ上で SecurID 認証を有効にすると、ネットワーク サービス アカウントでは、レジストリ キー HKLM\Software\SDTI\ACECLIENT への読み取り/書き込みのアクセス許可が必要になります。さらに、ネットワーク サービス アカウントは、%SystemRoot%\system32\ にある Sdconf.rec ファイルに対する読み取りアクセス許可も持っている必要があります。

関連項目


クライアント証明書の検証を構成する

クライアント証明書の検証を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[証明書失効の指定] をクリックします。
  3. [着信クライアント証明書が失効していないことを検証する] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、ISA Server では、着信方向のクライアント証明書が証明書失効リスト (CRL) にあるかどうかが自動的に確認されます。証明書が証明書失効リストにある場合、そのクライアント要求は拒否されます。

関連項目


サーバー証明書の検証を構成する

サーバー証明書の検証を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[証明書失効の指定] をクリックします。
  3. 上位サーバーからのサーバー証明書が証明書失効リスト (CRL) にあるかどうかを ISA Server でチェックするには、[着信サーバー証明書が転送シナリオで失効していないことを検証する] をクリックします。
  4. 公開されたサーバーからのサーバー証明書が CRL にあるかどうかを ISA Server でチェックするには、[着信サーバー証明書がリバース シナリオで失効していないことを検証する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • これらのオプションを選択した場合、証明書が CRL にあれば、要求は拒否されます。

関連項目


ネットワーク保護を構成する

ここでは、ネットワーク保護機能を構成する手順について説明します。

  • 接続数を制限する
  • IP フラグメント フィルタを有効にする
  • IP オプション フィルタを有効にする
  • IP ルーティングを有効にする


接続数を制限する

接続数を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[接続の制限の定義] をクリックします。
  3. [接続の制限] タブで、[接続数を制限する] をクリックします。次の操作を行います。
    • [1 秒ごと、ルールごとに作成された接続数 (TCP 以外)] に、各ルールで 1 秒間に許可する接続数を入力します。
    • [クライアントごとの接続制限] に、各クライアントで許可する接続数を入力します。
  4. 特定の IP アドレスに対する既定の接続制限を上書きするには、[カスタム接続制限] に、特定のユーザーに許可する最大接続数を入力します。
  5. [追加] をクリックして、これらの制限を適用するコンピュータ セットを追加します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • TCP 接続の場合、接続の制限を超えると、新しい接続は許可されなくなります。Raw IP や UDP などの他の接続の場合、接続の制限を超えると、古い接続が終了し、新しい接続を作成できるようになります。
  • ファイアウォール チェーン シナリオおよびバックツーバックのシナリオの一部では、チェーン サーバーまたはバック ファイアウォールの IP アドレスにカスタマイズされた接続制限を指定します。

関連項目


IP フラグメント フィルタを有効にする

IP フラグメント フィルタを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[IP 基本設定の定義] をクリックします。
  3. [IP フラグメント] タブで、[IP フラグメントをブロックする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


IP オプション フィルタを有効にする

IP オプション フィルタを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[IP 基本設定の定義] をクリックします。
  3. [IP オプション] タブで、[IP オプションのフィルタを有効にする] をクリックします。
  4. 次のいずれかを選択します。
    • [任意の IP オプションを含む、すべてのパケットを拒否する]
    • [選択した IP オプションを含むパケットを拒否する]
    • [選択した IP オプションを除く、すべてのパケットを拒否する]
  5. [選択した IP オプションを含むパケットを拒否する] または [選択した IP オプションを除く、すべてのパケットを拒否する] を選択した場合は、IP オプションを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


IP ルーティングを有効にする

IP ルーティングを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[IP 基本設定の定義] をクリックします。
  3. [IP ルーティング] タブで、[IP ルーティングを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • IP ルーティングによりパフォーマンスは向上しますが、IP ルーティングを無効にする方がより安全であると考えられています。IP ルーティングを無効にすると、ISA Server からは、パケット全体ではなくデータだけが宛先に送信されます。

関連項目


仮想プライベート ネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、リモート アクセス クライアントおよびサイト間ネットワーク用の仮想プライベート ネットワークをサポートしています。リモート アクセス クライアントは、仮想プライベート ネットワーク (VPN) クライアントとも呼ばれます。ここでは、ISA Server の VPN 機能について、および VPN を構成する手順について説明します。

  • VPN のセキュリティに関する推奨事項
  • VPN : 概念
  • VPN : 操作方法
  • VPN のトラブルシューティング


VPN のセキュリティに関する推奨事項

ISA Server 2004 を仮想プライベート ネットワーク (VPN) サーバーとして使用する場合、セキュリティに関する運用方法に従う必要があります。次の一覧は、VPN サーバーとして使用する ISA Server コンピュータをセキュリティで保護するための推奨事項です。

  • 有効にする認証方法を決定する際は、これらのガイドラインに従ってください。認証方法の詳細については、「VPN 認証」を参照してください。
    • 十分なセキュリティを提供する認証方法を使用します。スマート カードと共に使用した場合に最も安全な認証方法は、EAP-TLS (Extensible Authentication Protocol-Transport Level Security) です。EAP-TLS とスマート カードを使用した場合には、公開キー基盤 (PKI) を必要とする複雑な展開となるにもかかわらず、これは最も安全な認証方法であると考えられています。
    • パスワードベースの認証を使用する場合は、ネットワークに強力なパスワード ポリシーを適用して、辞書攻撃を防ぐようにします。
    • パスワード認証プロトコル (PAP)、Shiva パスワード認証プロトコル (SPAP)、チャレンジ ハンドシェイク認証プロトコル (CHAP) などのプロトコルの使用を許可するのではなく、Microsoft チャレンジ ハンドシェイク認証プロトコル バージョン 2 (MS-CHAP v2) または拡張認証プロトコル (EAP) などのより安全な認証プロトコルを使用して認証されるようにリモート VPN クライアントに要求することを検討します。
    • パスワード認証プロトコル (PAP)、Shiva パスワード認証プロトコル (SPAP)、およびチャレンジ ハンドシェイク認証プロトコル (CHAP) は無効にすることを強くお勧めします。既定では、PAP、SPAP、および CHAP は無効になっています。
    • リモート アクセス ポリシーのプロファイルで既定により無効になっている EAP-TLS を有効にします。EAP-TLS 認証プロトコルを使用する場合は、インターネット認証サービス (IAS) サーバーにコンピュータ証明書をインストールする必要があります。クライアントとユーザーの認証では、クライアント コンピュータに証明書をインストールするか、スマート カードを使用できます。証明書を展開する前に、正しい要件を使用して証明書を設計する必要があります。
  • 最強の暗号化を実現するには、レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPSec) 接続をお勧めします。

    注

    • 強力なパスワード ポリシーを実装して適用し、辞書攻撃を防ぐことをお勧めします。このようなポリシーを実装する場合は、アカウントのロックアウトを無効にできます。こうすると、攻撃者がアカウントのロックアウトをトリガしにくくなります。
  • 特定のオペレーティング システム (Microsoft® Windows Server™ 2003 ファミリのメンバ、Windows® 2000、Windows XP など) を実行することをリモート VPN クライアントに要求するよう検討します。必ずしもすべてのオペレーティング システムで、ファイル システムのセキュリティ レベルとユーザー アカウンティングのセキュリティ レベルが同じとは限りません。また、必ずしもすべてのリモート アクセス機能を、すべてのオペレーティング システムで利用できるとは限りません。
  • ISA Server の検疫の制御機能を使用して、リモート VPN クライアントに段階別のネットワーク アクセスを提供します。検疫の制御を使用すると、クライアントはネットワークへのアクセスが許可されるまで、検疫モードに制限されます。検疫の制御は攻撃者に対する防御は行いませんが、許可されているユーザーのコンピュータ構成を確認し、必要に応じて、ユーザーがネットワークにアクセスする前にそれを修正できます。詳細については、「VPN と検疫」を参照してください。
  • ウイルスに感染した VPN クライアント コンピュータは自動的にブロックされず、ISA Server コンピュータやその保護下のネットワークに要求を送信し続けます。これを防ぐには、監視機能を実装して警告の発生やトラフィック負荷の異例なピークなどの異常を検出できるようにすると共に、電子メール メッセージを使用して警告を通知するよう構成します。感染した VPN クライアント コンピュータが識別された場合は、次のいずれかを行います。
    • リモート アクセス ポリシー (RAP) を使用して VPN アクセスをユーザー名によって制限し、接続を許可されている VPN クライアントからユーザーを除外します。
    • IP アドレスによって VPN アクセスを制限します。これを行うには、ブロックされる外部 IP アドレスを含む新しいネットワークを作成し、クライアントの IP アドレスを外部ネットワークから新しいネットワークに移動します。


VPN : 概念

ここでは、Internet Security and Acceleration (ISA) Server 2004 の仮想プライベート ネットワーク (VPN) 機能について説明します。

  • VPN の概要
  • VPN の動作
  • ISA Server とルーティングおよびリモート アクセスの相互運用性
  • リモート VPN クライアント
  • サイト間 VPN
  • 一般的な VPN 構成
  • VPN 接続の監視


VPN の概要

仮想プライベート ネットワーク (VPN) は、インターネットをはじめとする共有またはパブリック ネットワークにリンクしているプライベート ネットワークを拡張したものです。VPN を使用すると、ポイント ツー ポイント プライベート リンクをエミュレートすることにより、共有またはパブリック ネットワークに接続された 2 台のコンピュータ間でデータを送受信できます。仮想プライベート ネットワークを作成し、構成することを仮想プライベート ネットワーキングと言います。

VPN 接続により、自宅または外出先で作業するユーザーは、インターネットなどのパブリック インターネットワークのインフラストラクチャを使用して、組織のサーバーにリモート アクセスすることができます。ユーザー側では、VPN は、コンピュータ、VPN クライアント、および組織内のサーバー (VPN サーバー) 間に確立されたポイント ツー ポイント接続と認識されます。データが専用のプライベート リンクを介して送信されているかのように見えるため、共有またはパブリック ネットワークの実際のインフラストラクチャは重要ではありません。

さらに、VPN 接続を使用すると、インターネットなどのパブリック インターネットワークを介して、他の組織との間に経路指定された接続を確保し、その一方で地理的に離れたオフィスなどとの通信をセキュリティで保護することもできます。インターネット上で経路指定された VPN 接続は、論理的には専用広域ネットワーク (WAN) リンクとして機能します。

ISA Server 2004 では、仕様に応じて、リモート アクセス クライアントやリモート サイトからアクセス可能な、セキュリティで保護された VPN を構成できます。ISA Server コンピュータを VPN サーバーとして使用すると、企業ネットワークを悪意のある VPN 接続から保護できるという利点もあります。VPN サーバーはファイアウォール機能に統合されるため、VPN ユーザーにも ISA Server のファイアウォール ポリシーが適用されます。また、ISA Server コンピュータを VPN サーバーとして使用すると、サイト間 VPN 接続、および企業ネットワークへの VPN クライアントのアクセスを管理することができます。

ISA Server は、次の 2 種類の VPN 接続をサポートしています。

  • リモート アクセス VPN 接続。リモート アクセス クライアントは、プライベート ネットワークに接続するリモート アクセス VPN 接続を確立します。ISA Server は、VPN サーバーが接続されているネットワーク全体へのアクセスを提供します。詳細については、「リモート VPN クライアント」を参照してください。
  • サイト間 VPN 接続。ルーターは、プライベート ネットワークの 2 地点を結ぶサイト間 VPN 接続を確立します。ISA Server は、ISA Server コンピュータが接続されているネットワークへの接続を提供します。詳細については、「サイト間 VPN」を参照してください。

ISA Server の場合は、VPN 接続の種類ごとに構成が若干異なります。単一のリモート VPN クライアントにアクセスが要求される場合は、その単一ユーザーに対して構成を行います。サイト間ネットワーク構成では、リモート ユーザーのネットワーク全体にアクセスを許可する必要があります。つまり、VPN ユーザーのネットワークに対して構成を行います。

しかし、ほとんどの VPN 構成は、どちらのシナリオにも共通しています。たとえば、ISA Server は、リモート サイト ネットワークからの最初の接続要求を、単一のリモート VPN クライアントからの要求として認識します。トンネリング プロトコル、認証方法、ネットワーク アクセス、および初期接続へのアドレスの割り当ては、リモート アクセス クライアントに関するものとして構成される必要があります。一般的な VPN 構成の詳細については、「一般的な VPN 構成」を参照してください。

ISA Server の最新情報については、http://www.microsoft.com/isaserver/techinfo/howto/default.asp を参照してください。


VPN の動作

ポイント ツー ポイント リンクをエミュレートするため、データは、ルーティング情報の入ったヘッダーが付けられて、カプセル化 (ラップ) されます。このルーティング情報により、データが、共有またはパブリック ネットワーク経由でエンドポイントに到達することが可能になります。プライベート リンクをエミュレートするため、データが機密性を保持する目的で暗号化されます。共有またはパブリック ネットワークでパケットが傍受されても、暗号化キーがなければ解読できません。機密データのカプセル化と暗号化が行われるリンクは、仮想プライベート ネットワーク (VPN) 接続と位置付けられます。

リモート VPN クライアントまたはリモート サイト ゲートウェイが ISA Server 2004 を呼び出す際には、以下の手順が実行されます。

  1. リモート アクセス クライアントまたはリモート サイト ゲートウェイが ISA Server コンピュータにダイヤルします。
  2. ISA Server は、チャレンジをクライアントに送信します。
  3. クライアントまたはリモート サイト ゲートウェイは、ユーザー名、ドメイン名、パスワードで構成された応答を暗号化し、サーバーに送信します。
  4. サーバーは、該当するユーザー アカウント データベースに照らして、応答を確認します。
  5. アカウントが有効で、認証の資格情報が正しければ、サーバーは、そのユーザー アカウントのダイヤルイン プロパティとリモート アクセス ポリシーを使用して接続を許可します。

注

  • 手順 2 と手順 3 は、リモート アクセス クライアントと ISA Server が、MS-CHAP v1 または CHAP 認証プロトコルを使用していることを前提としています。他の認証プロトコルを使用している場合は、クライアントの資格情報の送信手順が異なる可能性があります。
  • ISA Server がドメインのメンバで、ユーザーの応答にドメイン名が含まれていない場合は、ISA Server コンピュータのドメイン名が使用されます。

接続が確立されてからのセキュリティ

リモート アクセスで使用される資格情報は、目的のネットワークへの通信チャネルを提供するだけです。リモート アクセス接続の結果、クライアントがネットワークにログオンすることはありません。クライアントがネットワーク リソースへのアクセスを試みるたびに、資格情報が要求されます。このチャレンジに対して適切な資格情報が返されない場合、その試行は失敗します。

Microsoft® Windows Server™ 2003 および Windows® XP には、リモート アクセスを簡略化するための機能が追加されています。接続に成功すると、Windows Server 2003 および Windows XP のリモート アクセス クライアントは、これらの資格情報を、リモート アクセス接続時の既定の資格情報としてキャッシュします。ネットワーク リソースがリモート アクセス クライアントに資格情報を要求すると、クライアントはキャッシュされた資格情報を返します。ユーザーは、資格情報を何度も入力する必要がありません。


ISA Server とルーティングおよびリモート アクセスの相互運用性

ISA Server 2004 は、Microsoft® Windows Server™ 2003 および Windows® 2000 で使用可能なルーティングとリモート アクセスによって有効になる基本的な仮想プライベート ネットワーク (VPN) 機能に基づいていて、これを拡張します。ほとんどの VPN 構成は ISA Server の管理を使用して行われますが、ルーティングとリモート アクセスを使用して一部の詳細設定を構成することもできます。実際にルーティングとリモート アクセスを使用して VPN を構成するときは、ISA Server でのみ構成する必要がある特定の設定を上書きしないように注意してください。特に、以下の点に注意する必要があります。

  • ルーティングとリモート アクセスを使用してネットワーク アドレス変換 (NAT) を有効にしている場合、ISA Server 機能の一部が適切に機能しないことがあります。
  • IP ルーティングの有効化または無効化には、ルーティングとリモート アクセスを使用しないでください。ISA Server は、常にルーティングとリモート アクセス設定を同期化しますが、ISA Server がこの機能をどのように構成しているかを、ルーティングとリモート アクセスが確認することはありません。ただし、ルーティングとリモート アクセスを使用してルーティング テーブルを構成することは可能です。
  • ルーティングとリモート アクセスを使用して構成したパケット フィルタは、適用されません。
  • ルーティングとリモート アクセスのパケット フィルタは、ISA Server の実行中は適用されません。ルーティングとリモート アクセスの検疫に使用されるパケット フィルタによって定義される機能を、ISA Server にコピーすることをお勧めします。
  • ISA Server は、ルーティングとリモート アクセスで指定された RADIUS サーバーおよび RADIUS サーバー スコアをすべて上書きします。


リモート VPN クライアント

ここでは、リモート VPN クライアント用の Internet Security and Acceleration (ISA) Serverの仮想プライベート ネットワーク (VPN) 機能について説明します。

  • リモート VPN クライアント アクセス
  • VPN クライアント コンピュータ
  • リモート VPN クライアント アクセスのユーザー
  • リモート VPN クライアントの RADIUS 認証
  • VPN クライアントのユーザー マッピング
  • VPN クライアントとファイアウォール ポリシー
  • L2TP 接続の証明書
  • VPN と検疫


リモート VPN クライアント アクセス

ISA Server 2004 を使用すると、ローカル インターネット接続を使用して、世界中のどこからでも内部ネットワークに接続できます。たとえば、会社がニューヨーク市にあり、営業員がシカゴで営業活動をしているとします。この場合、ニューヨーク市に電話をかけ、ルーティングとリモート アクセスを使用して内部ネットワークに直接接続するのではなく、インターネットにローカルに接続し、VPN 接続を使用して内部ネットワークにアクセスする方法があります。これが、リモート アクセス VPN シナリオです。

ISA Server では、PPTP (Point-to-Point トンネリング プロトコル) またはレイヤ 2 トンネリング プロトコル (L2TP) を使用して、リモート クライアント アクセス ソリューションを実装できます。トンネリング プロトコルの詳細については、「VPN トンネリング プロトコル」を参照してください。

たとえば、次の図のような、ローミング VPN クライアントの一般的なネットワーク トポロジについて考えてみます。この図では、3 つのネットワークが示されています。

  • インターネット。VPN クライアントが配置されています。
  • VPN ゲートウェイ。ISA Server コンピュータです。
  • 内部ネットワーク。IP アドレスを動的に割り当てるための DHCP サーバーを配置できます。L2TP トンネリング プロトコルを構成する場合は、証明機関も配置できます。
リモート クライアント アクセス

VPN クライアント

ISA Server に接続するリモート VPN クライアントには、Microsoft® Windows Server™ 2003、Windows® XP、Windows 2000、Windows NT® 4.0、Windows 98、Windows 95、または Windows Millennium Edition を実行しているコンピュータを使用できます。クライアントは、インターネット経由で TCP/IP パケットをリモート アクセス サーバーに送信する機能を持っていなければなりません。したがって、ネットワーク アダプタかアナログ電話回線に接続されたモデムのいずれか、またはインターネットへのその他の WAN 接続が必要になります。詳細については、「VPN クライアント コンピュータ」を参照してください。

リモート VPN クライアント アクセスを有効にする

ISA Server によって保護されたネットワークへのリモート VPN クライアント アクセスを有効にするには、次の手順を実行する必要があります。

  1. ISA Server にリモート VPN クライアントとして接続できるようにするユーザー アカウントを特定して構成します。ユーザーは、RADIUS ユーザーまたは Windows ユーザーとして識別されます。詳細については、「リモート VPN クライアント アクセスのユーザー」を参照してください。
  2. ISA Server コンピュータで、VPN クライアント アクセスを有効にします。手順については、「VPN クライアントとファイアウォール ポリシー」を参照してください。
  3. ISA Server への接続時に使用する VPN トンネリング プロトコル (PPTP または L2TP) を選択します。詳細については、「VPN トンネリング プロトコル」を参照してください。
  4. オプションで、検疫の制御を有効にします。接続するすべての VPN クライアントを検疫して、確実にセキュリティ ポリシーに準拠させることができます。準拠していない VPN クライアントは、内部ネットワーク上のリソースに接続して、ポリシー準拠に必要なソフトウェアや更新を取得できます。ただし、企業リソースへの一般のアクセスは許可されません。詳細については、「VPN と検疫」を参照してください。

注

  • 一部のプロパティは、ルーティングとリモート アクセスおよび ISA Server の両方で構成できます。このケースでは、これらは ISA Server でのみ構成してください。ルーティングとリモート アクセスに固有のプロパティは、ルーティングとリモート アクセスを使用して構成できます。詳細については、「ISA Server とルーティングおよびリモート アクセスの相互運用性」を参照してください。


VPN クライアント コンピュータ

ISA Server 2004 に接続する仮想プライベート ネットワーク (VPN) クライアント コンピュータには、Microsoft® Windows Server™ 2003、Windows® 2000、Windows XP、Windows NT® 4.0、Windows 98、Windows 95、または Windows Millennium Edition を実行しているコンピュータを使用できます。クライアントは、インターネット経由で TCP/IP パケットをリモート アクセス サーバーに送信する機能を持っていなければなりません。ネットワーク アダプタ、アナログ電話回線に接続されたモデム、またはインターネットへのその他の広域ネットワーク (WAN) 接続が必要とされます。

注

  • ISA Server では、ダイヤルアップ接続を可能にするルーティングとリモート アクセスの構成はサポートしていません。

VPN クライアントのトンネリング プロトコル

次の表は、Microsoft VPN クライアントでサポートされているトンネリング プロトコルの概要を示しています。トンネリング プロトコルの詳細については、「VPN トンネリング プロトコル」を参照してください。

VPN クライアント | サポートされているトンネリング プロトコル | サポートされていないトンネリング プロトコル
Windows Server 2003 ファミリ、Windows 2000、および Windows XP | PPTP (Point-to-Point トンネリング プロトコル) およびレイヤ 2 トンネリング プロトコル (L2TP) | なし
Windows NT Version 4.0 | PPTP | L2TP
Windows Millennium Edition および Windows 98 | PPTP | L2TP
Windows Dial-Up Networking 1.3 Performance and Security Upgrade for Windows 95 がインストールされた Windows 95 | PPTP | L2TP
Microsoft L2TP/IPSec VPN クライアントがインストールされた Windows Millennium Edition、Windows 98、Windows NT 4.0 Workstation、および Windows 95 | L2TP | PPTP

リモート VPN クライアントの認証方法

次の表は、リモート VPN クライアントでサポートされている認証プロトコルの概要を示しています。認証方法の詳細については、「VPN 認証」を参照してください。

リモート VPN クライアント | サポートされている認証方法 | サポートされていない認証方法
Windows Server 2003 ファミリ、Windows XP、および Windows 2000 | Microsoft チャレンジ ハンドシェイク認証プロトコル (MS-CHAP)、チャレンジ ハンドシェイク認証プロトコル (CHAP)、Shiva パスワード認証プロトコル (SPAP)、パスワード認証プロトコル (PAP)、MS-CHAP バージョン 2 (MS-CHAP v2)、拡張認証プロトコル (EAP) | なし
Windows NT Version 4.0 | MS-CHAP、CHAP、SPAP、PAP、MS-CHAP v2 (Windows NT 4.0 Service Pack 4 以降が必要) | EAP
Windows 98 | MS-CHAP、CHAP、SPAP、PAP、MS-CHAP v2 (Windows 98 Service Pack 1 以降が必要) | EAP
Windows 95 | MS-CHAP、CHAP、SPAP、PAP、MS-CHAP v2 (ダイヤルアップ ネットワーク 1.4 アップグレードが必要) | EAP

注

  • Windows 95 をダイヤルアップ ネットワーク 1.4 アップグレードと共に使用する場合、VPN 接続では MS-CHAP v2 はサポートされますが、ダイヤルアップ接続ではサポートされません。


リモート VPN クライアント アクセスのユーザー

ISA Server 2004 に接続するためのリモート仮想プライベート ネットワーク (VPN) クライアント アクセス機能を使用できるユーザーおよびグループを作成できます。VPN ユーザーは、ドメイン コントローラ コンピュータで作成できます。このコンピュータには、リモート ユーザーの認証に必要なユーザー グループおよびユーザー情報が含まれています。

または、RADIUS サーバーで VPN ユーザーを作成することもできます。詳細については、「リモート VPN クライアントの RADIUS 認証」を参照してください。

ユーザー アカウントのダイヤルイン プロパティ

Microsoft® Windows Server™ 2003 では、ユーザーによる接続試行を許可または拒否する際に使用されるダイヤルイン プロパティがユーザー アカウントに含まれています。ダイヤルイン プロパティは、[ローカル ユーザーとグループ] または [Active Directory ユーザーとコンピュータ] のユーザー アカウントの [ダイヤルイン] タブで設定することができます。リモート アクセス ポリシーで、[リモート アクセス許可 (ダイヤルインまたは VPN)] を [アクセスを許可] または [アクセスの制御] に設定する必要があります。

手順については、「リモート VPN クライアントのユーザーとグループを作成する」および「リモート サイト ゲートウェイのダイヤルイン アカウントを作成する」を参照してください。


リモート VPN クライアントの RADIUS 認証

ISA Server 2004 では、仮想プライベート ネットワーク (VPN) クライアント用に、リモート認証ダイヤルイン ユーザー サービス (RADIUS) 認証をサポートしています。RADIUS 認証が有効になっていると、VPN クライアントは RADIUS サーバーに対して認証されます。RADIUS サーバーは、集中管理されたリモート アクセス認証、承認、アカウンティング、および監査を行います。

RADIUS 認証用に ISA Server を構成する

ISA Server を構成する場合は、RADIUS 認証を認証プロバイダとして選択します。RADIUS サーバーを追加する場合、次の構成を行う必要があります。

  • サーバー名。インターネット認証サービス (IAS) サーバーのホスト名または IP アドレスです。
  • シークレット。ルーティングとリモート アクセスを実行するサーバーと IAS サーバーは、両者の間で送信されるメッセージの暗号化に使用するシークレットを共有します。リモート アクセス サーバーと IAS サーバーの両方を、同じ共有シークレットを使用するように構成する必要があります。
  • ポート。リモート アクセス サーバーは、IAS サーバーがリッスンしている UDP ポートに認証要求を送信する必要があります。IAS サーバーを使用している場合、既定値 1812 を変更する必要はありません。

手順については、「RADIUS サーバーを構成する」を参照してください。

RADIUS 認証システム ポリシー ルール

ISA Server をインストールすると、ISA Server コンピュータ (ローカル ホスト ネットワーク) から内部ネットワークへの RADIUS 認証を許可する既定のシステム ポリシー ルールが有効になります。このルールが有効になると、ISA Server は RADIUS 認証を使用して VPN クライアントを検証できるようになります。システム ポリシー ルールの詳細については、「システム ポリシーの概要」を参照してください。

ユーザー マッピング

クライアントが Windows 以外のオペレーティング システムを実行していて、リモート VPN アクセス クライアントとして接続している場合は、認証に使用する RADIUS サーバーを指定する必要があります。ISA Server のユーザー マッピング機能を使用すると、Windows を使用していないユーザーを Windows アカウントにマップできます。このため、ユーザー セットに適用されるファイアウォール ポリシー ルールを作成した場合は、Windows を使用していない VPN リモート アクセス クライアントにこれらのルールを適用することもできます。

ユーザー マッピングが有効になっている場合に RADIUS ユーザーが資格情報を提示すると、ユーザー名とドメインが同じユーザー名とドメインにマップされ、このユーザーは Windows の資格情報が提示された場合と同じように認証されます。

手順については、「ユーザー マッピングを有効にする」を参照してください。

RADIUS アカウンティング用に ISA Server を構成する

ルーティングとリモート アクセスを実行しているサーバーのプロパティを構成する場合は、アカウンティング プロバイダとして RADIUS アカウンティングを選択します。

RADIUS サーバーを追加する場合、次の構成を行う必要があります。

  • サーバー名。IAS サーバーのホスト名または IP アドレスです。
  • シークレット。ルーティングとリモート アクセスを実行するサーバーと IAS サーバーは、両者の間で送信されるメッセージの暗号化に使用するシークレットを共有します。リモート アクセス サーバーと IAS サーバーの両方を、同じ共有シークレットを使用するように構成する必要があります。
  • ポート。リモート アクセス サーバーは、IAS サーバーがリッスンしている UDP ポートにアカウンティング要求を送信する必要があります。既定値 1813 は、RFC 2866 の "RADIUS アカウンティング" に基づいており、IAS サーバーを使用する場合は変更する必要がありません。

手順については、「アカウンティングに RADIUS を使用する」を参照してください。


VPN クライアントのユーザー マッピング

ユーザー マッピングは、Windows に基づいていない認証方法 (RADIUS または EAP) を使用して ISA Server に接続している仮想プライベート ネットワーク (VPN) クライアントを Windows 名前空間にマップするために使用します。その結果、Windows ユーザーとグループ用のユーザー セットを指定しているファイアウォール ポリシー アクセス ルールが、Windows を使用していない認証済みのユーザーにも適用されます。Windows に基づいていない名前空間からのユーザーのユーザー マッピングを定義しない場合、これらのユーザーに既定のファイアウォール ポリシー アクセス ルールが適用されることはありません。

ユーザー マッピングを定義するには

  1. [VPN クライアント] プロパティの [ユーザー マッピング] タブで、[ユーザー マッピングを有効にする] チェック ボックスをオンにします。
  2. ユーザー名にドメイン名が含まれていない場合は、[ユーザー名にドメインが含まれていないときは、このドメインを使用する] チェック ボックスをオンにして、ドメイン名を [ドメイン名] テキスト ボックスに入力します。

注

  • Windows を使用していないユーザーに対してユーザー マッピングを有効にしない場合は、これらのユーザー用のユーザー セットを作成し、ファイアウォール ポリシー ルールを適用できるようにする必要があります。使用する認証方法 (RADIUS または EAP) にかかわらず、RADIUS 名前空間にはユーザー セットを定義する必要があります。


VPN クライアントとファイアウォール ポリシー

ISA Server 2004 を使用してリモートの仮想プライベート ネットワーク (VPN) クライアントへのアクセスを許可するには、VPN クライアント アクセスを有効にする必要があります。手順については、「リモート VPN クライアント アクセスを有効にする」を参照してください。VPN クライアント アクセスを有効にすると、ISA Server によって適切なネットワークおよびファイアウォール ポリシー ルールが有効になり、最初のアクセスが許可されます。

リモート VPN クライアントの接続が許可されると、ISA Server 2004 は、これらのクライアントを VPN クライアント ネットワークのメンバにします。既定のシステム ポリシー ルールにより、ISA Server コンピュータ (ローカル ホスト ネットワーク) へのこれらのクライアント アクセスが許可されます。

システム ポリシー ルール

VPN クライアント アクセスを有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。リモート クライアント アクセスにどのプロトコルを構成したかに応じて、システム ポリシー ルールでは、VPN クライアントが存在する外部ネットワークから ISA Server コンピュータ (ローカル ホスト) へのアクセスに、PPTP (Point-to-Point トンネリング プロトコル)、レイヤ 2 トンネリング プロトコル (L2TP) のいずれか、または両方を使用することを許可します。以下のリモート VPN クライアント アクセス プロパティを構成すると、このルールは変更されます。

  • VPN アクセス ネットワーク。最初は外部ネットワークに設定されていますが、このプロパティは変更できます。ISA Server に接続するための VPN クライアントの接続元のネットワークを 1 つ以上指定できます。このプロパティを変更すると、システム ポリシー ルールが自動的に変更され、追加のネットワークまたは変更されたネットワークに適用されるようになります。
  • VPN プロトコル。リモート VPN クライアント アクセスに使用される VPN コントロールは、PPTP、L2TP のいずれか、または両方です。この設定を変更すると、システム ポリシー ルールが更新され、該当するプロトコルが許可されます。

ネットワーク ルール

ISA Server をインストールしたときに作成される既定のネットワーク ルールは、内部ネットワークと VPN クライアント ネットワーク間のルーティング関係を定義します。ISA Server をインストールすると、VPN クライアント ネットワークから外部ネットワークへのアクセスを許可するもう 1 つの既定のルールも作成されます。新しいネットワーク ルールを作成すると、VPN クライアント ネットワークから他のネットワークへのトラフィックを許可できるようになります。ネットワーク ルールの詳細については、「ネットワーク ルール」を参照してください。

ISA Server は、VPN クライアントのアドレス解決プロトコル (ARP) プロキシとして機能します。たとえば、VPN クライアント ネットワークに割り当てられているアドレスが内部ネットワーク セグメントの一部である場合は、アドレスが静的プールから割り当てられているか、DHCP サーバーによって割り当てられているかにかかわらず、内部ネットワークのコンピュータが ARP クエリを VPN クライアントに送信します。ISA Server は、このクエリを傍受し、接続されている VPN クライアントの代わりに返信します。

VPN クライアント ネットワークのサブネットを内部ネットワークから分離する必要はありません。

ファイアウォール ポリシー ルール

内部ネットワーク上のリソースへのリモート VPN クライアント アクセスを許可するには、適切なアクセスを許可するためのアクセス ルールを作成する必要があります。ファイアウォール ポリシーの観点から見て VPN クライアント ネットワークを内部ネットワークと等しいと見なす場合は、内部ネットワークから VPN クライアント ネットワークへのすべてのトラフィックを許可するアクセス ルールを作成することもできます。ファイアウォール ポリシーの詳細については、「ファイアウォール ポリシー ルールの概要」を参照してください。

検疫を有効にして構成する場合は、検疫された VPN クライアント ネットワーク用のアクセス ルールを作成して、適切なアクセス許可を与える必要があります。検疫の詳細については、「VPN と検疫」を参照してください。

ISA Server がルールを処理し、VPN クライアントからの要求を許可するかどうかを判断する際、VPN の資格情報が使用されます。

ファイアウォール クライアントと Web プロキシ クライアント

ISA Server が VPN サーバーとして構成されており、ファイアウォール クライアントのファイアウォール サーバーとして機能している場合、ファイアウォール クライアントがインストールされている VPN クライアント コンピュータは、ISA Server 内部ネットワーク インターフェイスのポート 1745 を使用します。ファイアウォール クライアントの詳細については、「ファイアウォール クライアント」を参照してください。

同様に、ISA Server が VPN サーバーとして構成されていて、Web プロキシ クライアントのプロキシ サーバーとして機能している場合、ISA Server をプロキシとして使用している VPN クライアント コンピュータは、ISA Server 内部ネットワーク インターフェイスのポート 8080 を使用します。Web プロキシ クライアントの詳細については、「Web プロキシ クライアント」を参照してください。

既定では、VPN クライアント ネットワークから内部ネットワークへのアクセスを許可するルールを定義すると、すべてのポートへのアクセスが許可されます。ただし、ポートを制限する場合は、ファイアウォール クライアント用のポート 1745 と Web プロキシ クライアント用のポート 8080 へのアクセスを許可する必要があります。

ファイアウォール クライアントとして構成されている VPN クライアント コンピュータは、認証を受けるにあたって、VPN セッションの資格情報ではなく、ファイアウォール クライアントの資格情報 (ログオンしているユーザー) を提示します。VPN 資格情報に基づいたアクセス ルールが有効になります。

ISA Server に接続しているファイアウォール クライアントは、別の VPN サーバーに接続することはできません。ファイアウォール クライアント アプリケーションは、ISA Server を経由して、VPN トラフィックを含むすべてのトラフィックを送信するためです。このため、VPN サーバーに接続しているときは、ファイアウォール クライアントを無効にしてください。または、ファイアウォール クライアント用に構成されているネットワークに、リモート ネットワークのすべてのアドレスを含めてください。


L2TP 接続の証明書

リモート仮想プライベート ネットワーク (VPN) クライアントがレイヤ 2 トンネリング プロトコル (L2TP) を使用して ISA Server 2004 に接続できるようにする場合、証明書を要求することになります。

インターネット プロトコル セキュリティ (IPSec) の証明書を発行する証明機関 (CA) が必要です。証明書は、内部のサーバーとリモート VPN クライアントでの内部使用のみを目的としているので、ローカル CA を作成することをお勧めします。そのための手順は、Windows を実行している内部ネットワークのコンピュータで行います。スタンドアロンのルート CA は、Windows を実行している内部ネットワークのコンピュータであれば、どのコンピュータ上にでも作成できます。エンタープライズ ルート CA は、ドメイン コントローラにインストールする必要があります。

L2TP over IPSec の場合は、IPSec 証明書を CA からインストールする必要があります。したがって、コンピュータが Web ページを介して証明書を取得できるようにするためのサービスもインストールしなければなりません。コンピュータが他の方法で証明書を取得できるようにする場合は、インターネット インフォメーション サービス (IIS) および Active Server Pages (ASP) をインストールする必要はありません。

証明書を作成したら、その証明書を ISA Server コンピュータにインストールする必要があります。次に、証明書をリモート VPN クライアント コンピュータにインストールします。

証明書の作成およびインストール方法の詳細については、「ISA Server のガイドと記事」 の Web サイトにある『ISA Server および公開されたサーバーのデジタル証明書』シナリオ ドキュメントを参照してください。


VPN と検疫

ここでは、Internet Security and Acceleration (ISA) Server 2004 の検疫ポリシー機能ついて説明します。

  • 検疫の制御の概要
  • 検疫の制御の要件
  • 検疫の制御の動作
  • 検疫の制御構成の手順
  • 検疫された VPN クライアントに対するファイアウォール ポリシー


検疫の制御の概要

検疫の制御では、仮想プライベート ネットワーク (VPN) クライアントとしても知られるリモート クライアントに対して、段階別のネットワーク アクセスを提供します。これは、これらのクライアントにネットワークへのアクセスを許可するまで、これらのクライアントを検疫モードに制限することで行います。クライアント コンピュータの構成が受け入れられるか、または組織の特定の検疫制限に準拠していると判定されると、指定した検疫の種類に従って、標準の VPN ポリシーが接続に適用されます。たとえば、検疫の制限では、特定のウイルス対策ソフトウェアがインストールされ、ネットワークへの接続中にそれが有効になることが指定されます。検疫の制御は攻撃者に対する防御は行いませんが、許可されているユーザーのコンピュータ構成を確認し、必要に応じて、ユーザーがネットワークにアクセスする前にそれを修正できます。タイマ設定も利用できます。タイマ設定を使用して、クライアントが構成要件を満たさないときに接続が切断される間隔を指定することができます。

ISA Server では、検疫モードを有効にする方法を選択できます。

  • [RADIUS サーバーのポリシーに従って検疫する]。このオプションは、Microsoft® Windows Server™ 2003 ファミリのメンバを実行しているコンピュータに ISA Server がインストールされている場合にのみ選択できます。[RADIUS サーバーのポリシーに従って検疫する] オプションを選択すると、VPN クライアントが接続を試みるときに、クライアントが検疫の対象となるかどうかが ISA Server で判断されます。クライアントは、検疫をクリアすると、VPN クライアント ネットワークに無条件で接続されます。
  • [ISA Server のポリシーに従って検疫する]。このオプションは、検疫された VPN クライアント ネットワークを使用できるようにします。このネットワークに対しては、ファイアウォール ポリシーを設定できます。このオプションにはルーティングとリモート アクセス機能は必要ないため、Windows® 2000 Server を実行しているコンピュータに ISA Server がインストールされている場合に利用できます。

検疫モードを無効にすることもできます。

手順については、「検疫の制御を有効にする」を参照してください。

検疫の制御は、企業のセキュリティ要件に対する VPN クライアントの準拠を制御するために使用できるオプションです。検疫モードが無効になっている場合は、適切な認証アクセス許可を持つすべてのリモート VPN クライアントが VPN クライアント ネットワークに配置され、ファイアウォール ポリシー内で VPN クライアント ネットワークに許可しているアクセス権が与えられることに注意してください。

ISA Server に対する検疫の制御は、ルーティングとリモート アクセスと共に機能して、企業ネットワークに対する VPN クライアント アクセスを制限する手段となります。ISA Server では、新たに接続された VPN クライアントの接続マネージャによって、クライアントが企業の接続ポリシーに準拠していることが示されるまで、そのクライアントが制限付きのファイアウォール ポリシーを使用して、検疫された VPN クライアント ネットワークに割り当てられるように要求できます。

検疫の制御は、VPN クライアントに対して作成する接続マネージャ (CM) プロファイルに依存しています。CM プロファイルは、Windows Server 2003 および Windows 2000 Server に付属の接続マネージャ管理キット (CMAK) を使用して作成します。CM プロファイルには、次の情報が含まれています。

  • ネットワーク ポリシー要件スクリプトを実行する接続後操作。このスクリプトは CMAK を使用して CM プロファイルを作成したときに構成します。
  • リモート アクセス クライアント コンピュータで検証チェックを実行し、ネットワーク ポリシーに準拠していることを確認するためのネットワーク ポリシー要件スクリプト。これにはカスタムの実行ファイル、またはバッチ ファイルとも呼ばれる単純なコマンド ファイルを使用できます。スクリプトが正常に実行され、スクリプトの検証によって、接続元のコンピュータがネットワーク ポリシー要件をすべて満たしていることが確認された場合は、スクリプトによって適切なパラメータを使用した通知コンポーネント (実行ファイル) が実行されます。スクリプトが正常に実行されない場合は、内部 Web ページなどの検疫リソースにリモート アクセス ユーザーを誘導する必要があります。この Web ページには、ネットワーク ポリシーに準拠するために必要なコンポーネントをインストールする方法が説明されています。
  • スクリプトが正常に実行されたことを示すメッセージを検疫対応 ISA Server コンピュータに送信する通知コンポーネント。独自の通知コンポーネントを使用することも、Rqc.exe を使用することもできます。Rqc.exe は、Windows Server 2003 リソース キットに付属のサンプルです。これらのコンポーネントがインストールされている場合、リモート アクセス クライアント コンピュータは接続セットアップ作業の一環として、CM プロファイルを使用してネットワーク ポリシー要件テストを実行し、テストに成功したことを ISA Server コンピュータに通知します。

注

  • ISA Server ポリシーを使用して VPN 接続を確立するには、リモート認証ダイヤルイン ユーザー サービス (RADIUS) サーバーまたは Windows 認証プロバイダに格納されているリモート アクセス ポリシー (RAP) 内の検疫機能を無効にする必要があります。次の操作を行います。
    1. [コンピュータの管理] を開き、[ルーティングとリモート アクセス] ノードを展開します。
    2. [リモート アクセス ポリシー] を選択します。
    3. 詳細ウィンドウで、各ポリシーをダブルクリックしてそのプロパティを開き、[プロファイルの編集] をクリックします。
    4. [詳細設定] タブで、属性一覧から MS-Quarantine-IPFilter と MS-Quarantine-Session-Timeout を削除します。


検疫の制御の要件

ここでは、ISA Server の検疫の制御を実行するための要件について説明します。

ISA Server コンピュータ

検疫対応 ISA Server コンピュータには、以下のコンポーネントが含まれています。

  • Microsoft® Windows Server™ 2003 または Windows® 2000 Server ファミリのメンバを実行しているコンピュータ (ISA Server ポリシーではなく RADIUS 検疫ポリシーを実装する場合に必要)、および ISA Server。
  • リスナ コンポーネント。このコンポーネントは、検疫対応リモート アクセス クライアントからのメッセージをリッスンします。これは、クライアントのスクリプトが正常に実行されていることを示します。独自のカスタム通知コンポーネントに合わせて独自のカスタム リスナ コンポーネントを作成することも、Windows Server 2003 リソース キットのリモート アクセス検疫エージェント サービス (Rqs.exe) のサンプルをインストールすることもできます。

独自のリスナ コンポーネントを作成する場合は、通知コンポーネントからのメッセージをリッスンするように設計し、リモート アクセス接続の検疫の制限を解除するために MprAdminConnectionRemoveQuarantine() (英語情報) (http://www.microsoft.com/) アプリケーション プログラミング インターフェイス (API) を使用する必要があります。API は、API のドキュメントで示されている Mprapi.dll ではなく、ISA Server インストール ディレクトリにある Vpnplgin.dll を呼び出す必要があります。その後、ISA Server は呼び出しをルーティングとリモート アクセスにチェーンします。

これらのコンポーネントをインストールすることで、ISA Server コンピュータは、接続しようとするリモート アクセス クライアントに検疫モードを使用します。そして、クライアントがネットワーク ポリシー要件を満たしていること、および検疫された VPN クライアント ネットワークから VPN クライアント ネットワークに移動可能であることを示す通知メッセージをリッスンします。

Rqc.exe と Rqs.exe を使用している場合、Rqc.exe が送信する通知メッセージには、実行される検疫スクリプトのバージョンを示すテキスト文字列が含まれています。この文字列は、検疫スクリプトから実行するときに、コマンド ライン パラメータの一部として Rqc.exe 用に構成されます。Rqs.exe は、このテキスト文字列を、ISA Server コンピュータのレジストリに格納されているテキスト文字列セットと比較します。一致した場合は、接続の検疫状態が解除されます。ISA Server の Web サイト (英語情報) (http://www.microsoft.com/) で入手可能な ConfigureRQSForISA.vbs スクリプトは、RQS (リスナ コンポーネント) のインストールに役立ちます。

注

  • Rqc.exe が送信する通知は暗号化または認証されていないため、悪意のあるクライアントがスプーフィングを行う可能性があります。
  • RQS.exe エージェントは、ルーティングとリモート アクセスに基づいている必要があります。

ルーティングとリモート アクセスは、Windows または RADIUS 認証プロバイダのいずれかを使用して構成することができます。

検疫対応 RADIUS サーバー (省略可能)

ISA Server コンピュータのルーティングとリモート アクセスを RADIUS 認証プロバイダで構成した場合、検疫対応 RADIUS サーバーには、MS-Quarantine-IPFilter および MS-Quarantine-Session-Timeout RADIUS のベンダ固有属性 (VSA) の構成をサポートしている、Windows Server 2003 および Internet Authentication Service (IAS) を実行しているコンピュータが必要です。MS-Quarantine-IPFilter 属性は、検疫フィルタ用です。MS-Quarantine-Session-Timeout 属性は、検疫セッション タイマ用です。

検疫のリソース

検疫のリソースは、検疫モードのリモート アクセス クライアントが名前解決を実行するためにアクセスできるサーバー (DNS サーバーなど)、最新バージョンの CM プロファイルを取得できるサーバー (匿名アクセスが許可されているファイル サーバー)、またはリモート アクセス クライアントをネットワーク ポリシーに準拠させるために必要な手順やコンポーネントにアクセスできるサーバー (匿名アクセスが許可されている Web サーバー) で構成されています。リモート アクセス ユーザーはリモート アクセス接続を作成するための正しい資格情報を持っていても、保護されているファイルおよび Web リソースにアクセスするための正しいドメインの資格情報を使用していないことがあるため、ファイルおよび Web リソースへの匿名アクセスが必要です。


検疫の制御の動作

ここでは、Rqc.exe、Rqs.exe、および ISA Server ポリシーが使用されている場合の、ISA Server の検疫の制御の動作について説明します。

  1. 検疫対応リモート アクセス クライアントのユーザーは、インストールされている検疫接続マネージャ (CM) プロファイルを使用して、検疫対応 ISA Server コンピュータに接続します。
  2. リモート アクセス クライアントは、認証資格情報を ISA Server コンピュータに渡します。
  3. ISA Server コンピュータはリモート アクセス クライアントの認証資格情報を検証し、資格情報が有効であると見なす場合は、リモート アクセス ポリシーを確認します。接続の試行は、検疫ポリシーに従います。
  4. 検疫の制限を適用した接続が許可され、クライアントは、IP アドレスが割り当てられて、検疫された VPN クライアント ネットワークに配置されます。この時点で、リモート アクセス クライアントは、検疫された VPN クライアント ネットワークのファイアウォール ポリシーに一致するトラフィックのみを送信することができ、ISA Server の検疫プロパティで指定された秒数が経過するまでに、スクリプトが正常に実行されたことを ISA Server コンピュータに通知することができます。
  5. CM プロファイルは、接続後の動作として検疫スクリプトを実行します。
  6. 検疫スクリプトが実行され、リモート アクセス クライアント コンピュータの構成がネットワーク ポリシー要件を満たしているかどうかが確認されます。ネットワーク ポリシー準拠に関するすべてのテストで問題がない場合、スクリプトはコマンド ライン パラメータを使用して Rqc.exe を実行します。パラメータの 1 つは、CM プロファイル内に含まれる検疫スクリプトのバージョンを表すテキスト文字列です。
  7. Rqc.exe は、スクリプトが正常に実行されたことを示す通知を ISA Server コンピュータに送信します。通知には、検疫スクリプトのバージョン文字列が含まれています。
  8. リスナ コンポーネント (Rqs.exe) が通知を受信します。通知トラフィックは、ファイアウォール ポリシーによる指定で許可されたトラフィックと一致しているため、許可されます。このファイアウォール ポリシーは、VPN クライアントおよび検疫された VPN クライアント ネットワークが RQS ポート 7250 でローカル ホスト ネットワークとの通信を行うことを許可する ISA Server アクセス ルール内で指定されています。
  9. リスナ コンポーネントは、通知メッセージ内のスクリプト バージョン文字列を、レジストリに構成済みの文字列で確認し、スクリプト バージョンが有効であることを示すメッセージまたはスクリプト バージョンが無効であることを示すメッセージを送信します。
  10. スクリプト バージョンが有効な場合、リスナ コンポーネントは、MprAdminConnectionRemoveQuarantine() API を呼び出します。この API により、ISA Server は、検疫された VPN クライアント ネットワークから VPN クライアント ネットワークにクライアントを移動します。
  11. リスナ コンポーネントは、検疫された接続の詳細を示すイベントをシステム イベント ログに作成します。


検疫の制御構成の手順

ここでは、ISA Server の検疫の制御を構成する方法について説明します。検疫モードを有効にする前に、次の手順を行う必要があります。

  1. クライアントの構成情報を検証するクライアント側のスクリプトを作成します。
  2. スクリプトが正常に実行されたことを ISA Server コンピュータに伝える検証用の通知コンポーネントを作成します。通知コンポーネントを作成しない場合は、Rqc.exe を使用できます。
    通知コンポーネントは接続マネージャ (CM) プロファイルに含まれており、クライアント コンピュータにインストールされます。通知コンポーネントは、管理者の提供したスクリプトがクライアントで正常に実行されたときに ISA Server コンピュータに通知を送信します。
  3. リスナ コンポーネントを作成して、通知コンポーネントから情報を受信できる ISA Server コンピュータにインストールし、次にクライアントの検疫モードを解除して、フル アクセス ポリシーを適用します。リスナ コンポーネントを作成しない場合は、サンプルの Rqs.exe を使用できます。リスナ コンポーネントは ISA Server コンピュータにインストールされ、クライアントのスクリプトが構成のチェックをすべて正常に実行したときに、通知コンポーネントから通知を受信します。リスナ コンポーネントは通知を受信した後、クライアントの検疫モードを解除します。そして、ISA Server コンピュータが標準のファイアウォール ポリシー ルールをクライアントに適用します。
  4. サンプルの Rqs.exe を使用している場合は、ISA Server の Web サイト (英語情報) (http://www.microsoft.com/) で入手可能なスクリプト ConfigureRQSForISA.vbs を実行します。このスクリプトは、以下の操作を実行します。
    1. RQS をサービスとしてインストールし、ローカル システム アカウントで実行するように設定します。
    2. VPN クライアントおよび検疫された VPN クライアント ネットワークからローカル ホスト ネットワークへの RQS ポート (7250) での通信を許可する ISA Server アクセス ルールを作成します。クライアントが接続要件を満たしていることを知らせる通知を ISA Server コンピュータが受け取るには、これが必要です。
    3. RQS が ISA Server で機能するように ISA Server コンピュータのレジストリ キーを変更します。
    4. RQS サービスを開始します。
    スクリプトには 1 つのスイッチ (インストールまたは削除) および 2 つのパラメータがあります。これらのパラメータは、許可された RQS 共有キーと RQS.exe へのパスです。
    共有キーは、VPN クライアントが検疫された VPN クライアント ネットワークを終了する前に、RQS が RQC.exe から取得します。許可された共有キー セットに含まれていない共有キーをクライアントが提供した場合、クライアントは切断されます。ConfigureRQSForISA.vbs スクリプトに引数を渡すとき、"\0" で区切ることで複数の共有キーを使用することができます。スクリプトは、ISA Server の Web サイト (英語情報) (http://www.microsoft.com/) から入手できます。

    注

    • ConfigureRQSForISA.vbs スクリプトを使用するには、ファイル Reg.exe および Sc.exe をシステム パスに含める必要があります。Microsoft® Windows Server™ 2003 では、これらのファイルは、既定で %windir%\system32 にあります。Windows® 2000 Server では、ConfigureRQSForISA.vbs を実行する前に、ファイルをシステム パスにインストールする必要があります。Reg.exe は Windows 2000 CD の support\tools にあります。Sc.exe は Microsoft Windows 2000 リソース キットに含まれています。リソース キットは、無料のツールをダウンロードするための Web サイト (英語情報) (http://www.microsoft.com/) から入手できます。
  5. CM プロファイルを接続マネージャ管理キット (CMAK) で作成します。CMAK の詳細については、「Windows Server 2003 ヘルプの接続マネージャ管理キット」(http://www.microsoft.com/) を参照してください。
  6. インストール用の CM プロファイルをリモート アクセス クライアントのコンピュータに配布します。

検疫の通知コンポーネントおよびリスナ コンポーネント

独自の通知コンポーネントおよびリスナ コンポーネントを作成することも、Rqs.exe (リスナ コンポーネント) および Rqc.exe (通知コンポーネント) を使用することもできます。詳細については、Windows リソース キット ツールのヘルプを参照してください。リモート アクセス検疫エージェント サービスは、Rqs.exe が ISA Server コンピュータにインストールされるときに含まれるものです。CM プロファイルを作成するときは、管理者が提供したスクリプトおよび Rqc.exe を含めることができます。これらはリモート アクセス クライアントのコンピュータに配布され、インストールされます。このプロファイルをインストールできるクライアント オペレーティング システムは、Windows XP Professional、Windows XP Home Edition、Windows 2000 Professional、Windows Millennium Edition、および Windows 98 Second Edition です。

検疫の設定

検疫を設定するための準備が終わったら、ISA Server コンピュータで検疫設定を構成します。検疫モードを有効にしてから、次のいずれかを選択して、検疫された VPN クライアント ネットワークのプロパティを構成します。

  • [RADIUS サーバーのポリシーに従って検疫する]。検疫を有効にしている場合、このオプションでは RADIUS サーバー ポリシーを検疫に使用します。
  • [ISA Server のポリシーに従って検疫する]。検疫を有効にしている場合、このオプションでは ISA Server ポリシーを検疫に使用します。検疫モードを適用してから切断するまでの時間を指定することもできます。

検疫が有効になっている場合でも、検疫の制御から特定のユーザーを除外することができます。


検疫された VPN クライアントに対するファイアウォール ポリシー

ファイアウォール ポリシーは、検疫された VPN クライアント ネットワークからネットワーク リソースへのアクセスを制御します。これらのリソースには、ユーザーを認証するための RADIUS サーバーまたはドメイン コントローラ、ウイルス対策ソフトウェアや最新の署名情報がインストールされたサーバー、VPN クライアントに IP アドレスを割り当てる DHCP サーバーなどが含まれます。

リソースへのアクセスを許可するには、検疫された VPN クライアント ネットワークを送信元とし、アクセス対象のサーバーを宛先としたアクセス ルールを作成します。そのためには、アクセス ルールで使用するコンピュータ ルール要素をサーバーごとに作成する必要があります。または、検疫されたクライアントがアクセスするコンピュータをすべて含むコンピュータ セットを作成し、検疫された VPN クライアント ネットワークが送信元であり、作成したコンピュータ セットが宛先であるアクセス ルールを作成します。アクセス対象のすべてのサーバーをサブネットに配置するようネットワークを設計し、アクセス ルールで使用するためのサブネット ルール要素を定義する方法もあります。

ファイアウォール ポリシーの詳細については、「ファイアウォール ポリシー ルールの概要」を参照してください。

以下は、検疫された VPN クライアント ネットワークに許可するアクセスの種類の例です。最初の 3 つのアクセスは、クライアントを VPN クライアント ネットワークに公開するためのネットワーク ポリシー要件スクリプトで必要となります。使用しているクライアントの接続マネージャで、特定のプロトコルの特定のサーバーへのアクセスが必要になる場合もあります。接続マネージャの作成者に問い合わせて、必要なアクセス ルールを確認してください。

  • 内部ネットワークに配置されている LDAP サーバーへの照会を許可する。
  • ドメイン コントローラへのトラフィックを許可する。
  • 検疫された VPN クライアントから DNS サーバーへの DNS 照会を許可する。
  • 検疫された VPN クライアントから WINS サーバーへの WINS トラフィックを許可する。

注

  • ISA Server の Web サイト (英語情報) から入手可能な ConfigureRQSForISA.vbs スクリプトは、RQS ポート (7250) 上で、VPN クライアントおよび検疫された VPN クライアント ネットワークからローカル ホスト ネットワークへの通信を許可する ISA Server アクセス ルールを作成します。クライアントが接続要件を満たしていることを知らせる通知を ISA Server コンピュータが受け取るには、これが必要です。


サイト間 VPN

ここでは、Internet Security and Acceleration (ISA) Server 2004 のサイト間仮想プライベート ネットワーク (VPN) 機能について説明します。

  • サイト間 VPN の概要
  • L2TP over IPSec と PPTP ネットワーク
  • IPSec トンネリング プロトコル ネットワーク
  • サイト間 VPN とファイアウォール ポリシー
  • サイト間 VPN 接続
  • リモート サイト接続のダイヤルイン アカウント


サイト間 VPN の概要

大規模な企業の場合、ニューヨークの本社、ワシントンの支社などのように、通信が必要なサイトを複数持つ場合が多くあります。この 2 つのオフィスは、サイト間仮想プライベート ネットワーク (VPN) を使用することにより、インターネット上でセキュリティで保護された接続を行うことができます。

ISA Server 2004 は、サイト間接続を実現するために、次の 3 種類の VPN プロトコルを用意しています。

  • PPTP (Point-to-Point トンネリング プロトコル)
  • レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPSec)
  • インターネット プロトコル セキュリティ (IPSec) トンネル モード

VPN トンネリング プロトコルの詳細については、「VPN トンネリング プロトコル」を参照してください。

リモート VPN ネットワークの構成プロセスは、選択するトンネリング プロトコルによって異なります。すべてのリモート サイト ネットワークに必要なプロセスは、ネットワークの構成、リモート ネットワーク用のネットワークとファイアウォール ポリシーの設定、およびリモート サイト ゲートウェイ (VPN サーバー) の構成です。

このほかに、IPSec ネットワークの場合は、ISA Server コンピュータにもセキュリティ 設定を構成することができます。また、リモート サイト ゲートウェイに IPSec ポリシーを構成する必要もあります。

L2TP over IPSec および PPTP リモート ネットワークの構成の詳細については、「L2TP over IPSec と PPTP ネットワーク」を参照してください。IPSec リモート ネットワークの構成の詳細については、「IPSec トンネリング プロトコル ネットワーク」を参照してください。


L2TP over IPSec と PPTP ネットワーク

ISA Server 2004 は、PPTP (Point-to-Point トンネリング プロトコル) およびレイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPSec) を使用するサイト間仮想プライベート ネットワーク (VPN) をサポートしています。たとえば、ISA Server 2004 を VPN サーバーとして使用し、接続先のサイトで Microsoft® Windows Server™ 2003、Windows® 2000 Server、ISA Server 2004、または ISA Server 2000 を VPN サーバーとして使用している場合は、これらのトンネリング プロトコルを使用することができます。ISA Server 2004 では、L2TP over IPSec VPN 接続の確立にルーティングとリモート アクセスを使用します。

次の図は、L2TP over IPSec ソリューションで可能なネットワーク トポロジを示しています。

L2TP over IPsec を使用した VPN サイト間接続

PPTP または L2TP over IPSec を使用したリモート ネットワークをセットアップするには、次の一般的な手順を行う必要があります。

  1. リモート サイト ネットワークを作成し、トンネリング プロトコルとして PPTP または L2TP over IPSec を選択します。手順については、「リモート サイト ネットワークを追加する」を参照してください。
  2. PPTP または L2TP over IPSec をトンネリング プロトコルとして指定します。手順については、「リモート サイト ネットワークのトンネリング プロトコルを構成する」を参照してください。
  3. ISA Server ネットワーク ルールおよびアクセス ポリシーを構成します。詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。
  4. リモート VPN サイトによって開始された接続の一般的な VPN プロパティを構成します。ISA Server はこれらのサイトを VPN クライアントとして見るためです。詳細については、「サイト間 VPN 接続」を参照してください。
  5. ISA Server コンピュータがダイヤルアップ接続経由でインターネットに接続する場合は、自動ダイヤルを構成します。手順については、「自動ダイヤルを構成する」を参照してください。
  6. リモート VPN サーバーを構成します。


IPSec トンネリング プロトコル ネットワーク

ISA Server 2004 は、インターネット プロトコル セキュリティ (IPSec) トンネリング プロトコルを使用したサイト間仮想プライベート ネットワーク (VPN) をサポートしています。たとえば、ISA Server 2004 を VPN サーバーとして使用し、接続先のサイトでサード パーティ製品または ISA Server 2004 を VPN サーバーとして使用している場合、IPSec トンネリング プロトコルを使用することができます。次の図は、IPSec トンネル ソリューションで可能なネットワーク トポロジを示しています。

IPSec を使用した VPN サイト間接続

図に示されているように、本社では ISA Server 2004 を VPN サーバーとして使用しています。ISA Server 2004 は、Microsoft® Windows Server™ 2003 または Windows® 2000 Server のいずれかを実行しているコンピュータ上にあります。

支社では、複数のサード パーティ VPN サーバーのいずれかを実行することができます。あるいは、支社の VPN サーバーとして、ISA Server 2004、Windows Server 2003、または Windows 2000 Server を使用することもできます。

IPSec を使用したリモート ネットワークをセットアップするには、次の一般的な手順を行う必要があります。

  1. リモート サイト ネットワークを作成します。IPSec をトンネリング プロトコルとして指定します。手順については、「リモート サイト ネットワークを追加する」を参照してください。
  2. ISA Server ネットワーク ルールおよびアクセス ポリシーを構成します。詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。
  3. ISA Server コンピュータがダイヤルアップ接続経由でインターネットに接続する場合は、自動ダイヤルを構成します。手順については、「自動ダイヤルを構成する」を参照してください。
  4. リモート VPN サーバーを構成します。リモート VPN サーバーは、製造元の指示に従って、IPSec トンネル モードで ISA Server コンピュータに接続するよう構成する必要があります。ISA Server は、リモート サーバーの構成に必要な情報のサマリーを提供します。サマリー情報を表示するための手順については、「IPSec ポリシーを表示する」を参照してください。
  5. IPSec の詳細設定を構成します。手順については、「フェーズ 1 の IPSec の詳細設定を構成する」および「フェーズ 2 の IPSec の詳細設定を構成する」を参照してください。

IPSecPol ツール

Windows 2000 を実行しているコンピュータ上で IPSec プロトコル トンネリング モードを使用するリモート サイト ネットワークを作成するには、IPSecPol ツールをインストールする必要があります。Microsoft の Web サイト (英語情報) (http://www.microsoft.com/) から入手可能です。ツールは、ISA Server のインストール フォルダにインストールします。

IPSec トンネリング プロトコルを使用するリモート サイト ネットワークを作成する際、Microsoft ファイアウォール サービスの再起動時に、ファイアウォール サービスによってコンピュータの IPSec フィルタが変更されます。ネットワークのアドレス範囲に含まれているサブネットの数によっては、この処理に数分かかることがあります。効率的に行うために、サブネット境界で揃えた IP アドレス範囲を定義することをお勧めします。

PolicyAgent サービス

IPSec PolicyAgent サービスを停止または再起動すると、ISA Server の VPN サイト間 IPSec 構成設定を含め、動的なすべての IPSec 構成情報が失われ、クライアントが切断されます。さらに、PolicyAgent サービスを停止すると、IPSec ポリシーが消去され、クライアントからのすべてのトラフィックは暗号化されずにインターネットに転送されます。

設定を復元するには、PolicyAgent サービスを開始し、ファイアウォール サービスを再起動します。または、コンピュータを再起動します。

ドメイン メンバに対する IPSec ポリシー

通常、ISA Server コンピュータはドメインのメンバではありません。このような場合は、ローカル IPSec ポリシーを使用します。ただし、ISA Server が、すべてのメンバに IPSec ポリシーを適用したドメインのメンバである場合は、ローカルの IPSec ポリシーはドメインの IPSec ポリシーによって上書きされます。ドメイン管理者と共に作業して、ドメインの IPSec ポリシーが、リモート サイト ネットワークに対して構成されている IPSec ポリシーと競合しないようにしてください。リモート サイト ネットワークの IPSec ポリシーを表示するには、次の手順を実行します。

  1. ISA Server の管理で、[仮想プライベート ネットワーク (VPN)] をクリックします。
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [タスク] タブで、[IPSec ポリシーの表示] をクリックします。

複数の IP アドレスに対する IPSec のサポート

IPSec リモート サイト ネットワークでは、ローカル エンドポイントとしてプライマリ IP アドレス以外のアドレスを使用した場合、以下はサポートされません。

  • 内部ネットワークから開始されたリモート サイト ネットワークへのトラフィックの場合、任意の内部ネットワークからリモート サイト ネットワークへの NAT 関係を構成することはできません。
  • 任意の内部ネットワークからリモート サイト ネットワークへの Web プロキシ トラフィックはサポートされません。Web プロキシ アプリケーション フィルタに対して構成されていない新しいプロトコル (HTTP1 など) を定義すると、HTTP トラフィックを許可できます。特定のリモート サイト ネットワークへの HTTP トラフィックを許可するルールで、このプロトコルを使用します。

複数の IPSec リモート サイト ネットワークから Windows Server 2003 を実行する同一の ISA Server コンピュータに接続する場合、各リモート サイト ネットワークのローカル エンドポイントに一意の IP アドレスを定義することをお勧めします。

複数の IPSec リモート サイト ネットワークで NAT/HTTP 機能 (内部ネットワークからリモート サイト ネットワーク) が必要な場合、ローカル エンドポイントとしてネットワーク アダプタ上にプライマリ IP アドレスを使用して、各リモート サイト ネットワークに専用のネットワーク アダプタを使用することをお勧めします。プライマリ IP アドレスを識別するには、次の手順を実行します。

  1. 該当するネットワーク アダプタを選択し、[プロパティ] を右クリックします。
  2. [TCP/IP] プロトコル、[プロパティ] の順にクリックします。


サイト間 VPN とファイアウォール ポリシー

ISA Server でサイト間仮想プライベート ネットワーク (VPN) を構成する場合は、新しいネットワークを確立することになります。これは、リモート VPN として ISA Server コンピュータに認識されるリモート サイトです。リモート サイト ネットワークには、リモート サイトのすべてのアドレスを含める必要があります。リモート サイト ネットワークの作成手順については、「リモート サイト ネットワークを追加する」を参照してください。

リモート ネットワークを作成すると、VPN サイト間接続が有効になります。ISA Server は、システム ポリシー ルールを有効にします。これによって、すべての外部ネットワークから ISA Server コンピュータ (ローカル ホスト ネットワーク) への、VPN トンネリング プロトコルを使用したアクセスが許可されます。VPN アクセス ネットワークを変更すると、このルールが変更されます。このルールは最初は外部ネットワークに設定されています。ISA Server に接続するための VPN クライアントの接続元のネットワークを 1 つ以上指定できます。これを変更すると、システム ポリシー ルールが自動的に変更され、追加のネットワークまたは変更されたネットワークに適用されるようになります。システム ポリシー ルールの詳細については、「システム ポリシーの概要」を参照してください。

既定のシステム ポリシー ルールは、IPSec リモート ゲートウェイという名前のコンピュータ セットからのアクセスも許可します。IPSec リモート ゲートウェイは定義済みのコンピュータ セットで、変更できません。IPSec サイト間ネットワークを追加すると、リモート トンネル エンドポイントとして構成されている IP アドレスが IPSec リモート ゲートウェイのコンピュータ セットに追加されます。

内部ネットワーク上のリソースへのリモート ネットワーク アクセスを許可するには、適切なアクセスを許可するためのアクセス ルールを作成する必要があります。ファイアウォール ポリシーの観点から見て、リモート ネットワークを内部ネットワークと等しいと見なす場合は、内部ネットワークからリモート ネットワークへのすべてのトラフィックを許可するアクセス ルールを作成することもできます。ファイアウォール ポリシーの詳細については、「ファイアウォール ポリシー ルールの概要」を参照してください。


サイト間 VPN 接続

サイト間ネットワークでは、ISA Server 2004 またはリモート サイト ゲートウェイが仮想プライベート ネットワーク (VPN) 接続を開始できます。

リモート サイト ゲートウェイが開始する接続

ISA Server は、PPTP (Point-to-Point トンネリング プロトコル) またはレイヤ 2 トンネリング プロトコル (L2TP) を使用しているリモート サイト ゲートウェイをリモート アクセス クライアントと見なします。このため、リモート サイト ゲートウェイには次のことが要求されます。

  • 所属先の VPN アクセス ネットワークを構成して、接続を開始できるようにします。手順については、「VPN アクセス ネットワークを構成する」を参照してください。
  • ISA Server コンピュータでダイヤルイン アカウントを持つユーザーを構成します。ユーザーは、Windows ユーザーでも RADIUS ユーザーでもかまいません。同じことが、リモート VPN クライアントに関しても、リモート サイト ネットワークに適用されます。手順については、「リモート サイト ゲートウェイのダイヤルイン アカウントを作成する」を参照してください。
  • ISA Server から割り当てられた IP アドレスを持ちます。アドレスは内部ネットワーク上に存在する必要があります。手順については、「VPN アドレスの割り当てを構成する」を参照してください。
  • 認証プロトコルを構成します。これは、ISA Server に対してユーザー アカウント情報を認証するときに使用されます。手順については、「VPN 認証方法を構成する」を参照してください。

リモート サイトで開始された接続を特定の時間の経過後に終了するかどうかを構成することもできます。手順については、「アクティブでない VPN 接続を自動的に終了する」を参照してください。

ISA Server が開始する接続

PPTP または L2TP を使用しているリモート サイト ネットワークごとに、ISA Server が VPN 接続も開始できるかどうかを構成できます。ISA Server が接続を開始できる場合は、リモート サイト ゲートウェイに対する認証に使用する適切な資格情報を構成する必要があります。

ISA Server がリモート サイト ゲートウェイへの接続を開始するときに使用される認証方法を構成することもできます。構成する認証プロトコルは、リモート サイト ゲートウェイで必要とするプロトコルにしなければなりません。たとえば、リモート サイト ゲートウェイで IPSec を使用している場合は、証明書または事前共有キーのどちらかを使用した認証を構成する必要があります。手順については、「ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する」を参照してください。


リモート サイト接続のダイヤルイン アカウント

リモート アクセス用のサイト間ネットワークを作成する場合は、リモート アクセス ダイヤルアップ接続を開始するためのユーザー アカウントも作成する必要があります。接続を確立するには、次の設定が必要です。

  • ユーザー アカウント名とサイト間ネットワーク名は同じである必要があります。
  • リモート アクセス ユーザーのダイヤルイン プロパティが、リモート アクセスを許可するように設定されている必要があります。

この情報は、レイヤ 2 トンネリング プロトコル (L2TP) または PPTP (Point-to-Point トンネリング プロトコル) を使用するサイト間接続に当てはまります。インターネット プロトコル セキュリティ (IPSec) を使用する接続には当てはまりません。

手順については、「リモート サイト ゲートウェイのダイヤルイン アカウントを作成する」を参照してください。


一般的な VPN 構成

ここでは、一般的な仮想プライベート ネットワーク (VPN) 構成での Internet Security and Acceleration (ISA) Server 2004 の機能について説明します。

  • VPN アクセス ネットワーク
  • VPN トンネリング プロトコル
  • VPN 認証
  • VPN クライアント アドレスの割り当てと名前解決


VPN アクセス ネットワーク

仮想プライベート ネットワーク (VPN) クライアント接続では、VPN が有効になっている ISA Server 2004 コンピュータにクライアントが接続できるネットワークは、アクセス ネットワークと呼ばれます。

サイト間 (リモート) 接続では、アクセス ネットワークはリモート VPN サーバーが存在するネットワークになります。

既定では、サイト間接続とクライアント接続のどちらに対しても、VPN アクセス ネットワークは外部ネットワークにのみ設定されます。このため、VPN アクセスを有効にすると、外部ネットワーク上のコンピュータに対して VPN 接続を確立できます。

手順については、「VPN アクセス ネットワークを構成する」を参照してください。

リモート VPN クライアント アクセス

ISA Server 上で VPN クライアント アクセスを初めて有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。これによって、外部ネットワークは既定でアクセス ネットワークとして構成されるため、外部ネットワークからローカル ホストへのアクセスが可能になります。その後追加のアクセス ネットワークを構成するには、追加の VPN アクセス ネットワークを指定します。システム ポリシー ルールは自動的に更新され、追加のアクセス ネットワークに適用されます。

サイト間アクセス

サイト間アクセスでは、新しいリモート サイト ネットワークを作成すると、[すべての保護されたネットワーク] ネットワーク セットに含まれているネットワーク一覧にリモート ネットワークが追加されます。さらに、ISA Server によって、次のシステム ポリシー ルールが有効になります。

  • ISA Server からの VPN サイト間トラフィックを許可する。このルールは、選択された VPN プロトコルを使用して、ISA Server コンピュータが外部ネットワーク上のクライアントにアクセスできるようにします。
  • ISA Server への VPN サイト間トラフィックを許可する。このルールは、選択された VPN プロトコルを使用して、外部ネットワーク上のクライアントが ISA Server コンピュータにアクセスできるようにします。


VPN トンネリング プロトコル

ISA Server 2004 は、リモート クライアント アクセス接続用として、次の 2 つの仮想プライベート ネットワーク (VPN) プロトコルをサポートしています。

  • PPTP (Point-to-Point トンネリング プロトコル)
  • レイヤ 2 トンネリング プロトコル (L2TP)

さらに、サイト間 VPN 接続では、インターネット プロトコル セキュリティ (IPSec) トンネル モードもサポートされています。

リモート クライアント アクセスのプロトコルを構成する手順については、「リモート クライアント アクセスのトンネリング プロトコルを構成する」を参照してください。

PPTP

PPTP (Point-to-Point トンネリング プロトコル) は、TCP/IP ベースのデータ ネットワーク上に VPN を構築することによって、リモート クライアントからプライベート エンタープライズ サーバーへのセキュリティで保護されたデータ転送を可能にするネットワーク プロトコルです。PPTP は、インターネットなどのパブリック ネットワーク上に、マルチプロトコル対応のオンデマンド仮想プライベート ネットワークを実現します。PPTP を使用すると、IP トラフィックを暗号化し、IP ヘッダーにカプセル化して、企業の IP ネットワークやインターネットなどのパブリック IP ネットワーク上で送信できます。

L2TP

レイヤ 2 トンネリング プロトコル (L2TP) は、パケットをカプセル化することにより、パケット対応のメディア経由で PPP (Point-to-Point プロトコル) フレームを送信する業界標準のインターネット トンネリング プロトコルです。L2TP を使用すると、IP トラフィックを暗号化し、IP など、ポイント ツー ポイント データグラム配信をサポートしているメディア経由で送信できます。Microsoft が実装する L2TP では、インターネット プロトコル セキュリティ (IPSec) の暗号化を使用して、VPN クライアントから VPN サーバーへのデータ ストリームを保護します。IPSec トンネル モードを使用すると、IP パケットを暗号化し、IP ヘッダーにカプセル化して、企業の IP ネットワークまたはインターネットなどのパブリック IP ネットワーク上で送信できます。

PPTP 接続に必要なのは、PPP ベースの認証プロトコルを使用したユーザーレベルの認証のみです。L2TP over IPSec 接続を行うには、同じユーザーレベルの認証に加え、コンピュータ証明書を使用したコンピュータレベルの認証が必要になります。

IPSec トンネル モード

トンネリングとは、カプセル化、ルーティング、カプセル化解除のプロセス全体のことです。トンネリングでは、元のパケットが新しいパケット内にカプセル化 (ラップ) されます。この新しいパケットには必要に応じて新しいアドレスとルーティング情報が与えられ、ネットワーク経由で転送できるようになります。トンネリングとデータの機密性機能を組み合わせた場合、ネットワーク トラフィックが傍受されても、元のパケットのデータ、およびその発信元と宛先が知られることはありません。カプセル化されたパケットが宛先に到着すると、カプセル化が解除され、元のパケット ヘッダーの情報に基づいて最終的な宛先にパケットがルーティングされます。

トンネル自体は、カプセル化されたパケットを送信するための論理的なデータ パスです。通常、元の発信元ピアと宛先ピアにとってトンネルは透過的であり、ネットワーク パス上の通常のポイント ツー ポイント接続のように見えます。トンネルの始点と終点の間にあるルーター、スイッチ、プロキシ サーバー、およびその他のセキュリティ ゲートウェイは、これらのピアからは見えません。トンネリングとデータの機密性を組み合わせると、VPN を実現できます。

カプセル化されたパケットは、トンネル内を通ってネットワーク上を転送されます。たとえば、このネットワークがインターネットであるとします。外部インターネットとプライベート ネットワークの間に配置されたゲートウェイは、エッジ ゲートウェイとなります。エッジ ゲートウェイとしては、ルーター、ファイアウォール、プロキシ サーバー、またはその他のセキュリティ ゲートウェイを使用できます。さらに、ネットワークの信頼できない部分を経由するトラフィックを保護するため、プライベート ネットワーク内に 2 つのゲートウェイを配置できます。

IPSec をトンネル モードで使用する場合、IPSec が行うのは IP トラフィックのカプセル化のみです。IPSec トンネル モードを使用する主な理由は、L2TP over IPSec や PPTP VPN トンネリングをサポートしていない他のルーター、ゲートウェイ、またはエンド システムとの相互運用性を確保することです。

注

  • IPSec PolicyAgent サービスを停止または再起動すると、ISA Server の VPN サイト間 IPSec 構成設定を含め、動的なすべての IPSec 構成情報が失われ、VPN クライアントが切断されます。設定を復元するには、PolicyAgent サービスを起動して Microsoft ファイアウォール サービスを再起動するか、コンピュータを再起動します。

VPN プロトコルの比較

次の表は、VPN プロトコルの比較一覧です。

プロトコル | 目的 | セキュリティのレベル | コメント
IPSec トンネル モード | サード パーティの VPN サーバーに接続 | 高 | これは、Microsoft VPN サーバー以外への接続で使用できる唯一のオプションです。
L2TP over IPSec | ISA Server 2004 コンピュータ、ISA Server 2000 コンピュータ、または Windows VPN サーバーに接続 | 高 | ルーティングとリモート アクセスを使用します。IPSec トンネル ソリューションほど複雑ではありませんが、リモート VPN サーバーとして ISA Server コンピュータまたは Windows VPN サーバーを使用する必要があります。
PPTP | ISA Server 2004 コンピュータ、ISA Server 2000 コンピュータ、または Windows VPN サーバーに接続 | 中 | ルーティングとリモート アクセスを使用します。L2TP と同様の制約がありますが、構成はやや簡単です。IPSec 暗号化を使用することから、L2TP の方がより安全といえます。


VPN 認証

仮想プライベート ネットワーク (VPN) クライアントの認証は、セキュリティにかかわる重要な問題です。通常、認証方法では、接続確立の処理中にネゴシエーションが行われる認証プロトコルが使用されます。ここでは、ISA Server 2004 がサポートする次の認証方法について説明します。

  • EAP 認証方法
  • EAP 認証構成
  • MS-CHAP 認証方法
  • CHAP、SPAP、および PAP 認証方法
  • 事前共有キー (L2TP 接続のカスタム IPSec ポリシー)

リモート サイト ゲートウェイの認証方法

リモート サイト ゲートウェイは、ISA Server との接続を開始すると、まず、リモート VPN クライアントとして認証されます。リモート VPN クライアントに適用する認証方法は、リモート サイト ゲートウェイにも適用されます。リモート サイト ゲートウェイが ISA Server に接続する方法については、「VPN サイト間接続」を参照してください。

ISA Server がリモート サイトとの接続を開始するときの認証方法

ISA Server コンピュータがリモート サイト ゲートウェイとの接続を開始できるように、ISA Server を構成することができます。この場合は、使用する認証方法も構成する必要があります。手順については、「ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する」を参照してください。


EAP 認証方法

拡張認証プロトコル (EAP) では、任意の認証機構によってリモート アクセス接続が認証されます。実際に使用される認証スキームは、リモート VPN クライアントと認証実行サーバー (ISA Server または RADIUS サーバー) によって取り決められます。ISA Server は、既定で、MD5-Challenge (Message Digest 5 Challenge) および EAP-TLS (Extensible Authentication Protocol-Transport Level Security) をサポートしています。

EAP では、リモート VPN クライアントと認証実行サーバー間の対話に制限はありません。この対話は、認証実行サーバーからの認証情報要求と、それに対するリモート VPN クライアントの応答で構成されます。たとえば、EAP をセキュリティ トークン カードと共に使用すると、認証実行サーバーは、名前、PIN、およびカード トークンの値をリモート アクセス クライアントに対して個別に照会できます。照会の要求と応答が行われると、リモート アクセス クライアントに対してさらに次のレベルの認証が行われます。すべての照会に適切な応答があると、そのリモート アクセス クライアントは認証されます。

特定の EAP 認証スキームは、EAP の種類として知られています。認証を正常に行うには、リモート アクセス クライアントと認証実行サーバーの両方が同じ種類の EAP をサポートしていなければなりません。

認証方法の構成手順については、「VPN 認証方法を構成する」を参照してください。

EAP 基盤

EAP は、任意の種類の EAP をプラグイン モジュール形式で構造的にサポートする、内部コンポーネントのセットです。認証を正常に行うには、リモート アクセス クライアントと認証実行サーバーの両方に同じ EAP 認証モジュールがインストールされていなければなりません。ISA Server は、MD5-Challenge と EAP-TLS という 2 種類の EAP をサポートしています。

MD5-Challenge

メッセージ ダイジェスト 5 チャレンジ (MD5-Challenge) は、PPP ベースの CHAP と同じチャレンジ/ハンドシェイク プロトコルを使用する、必須の EAP の種類です。ただし、チャレンジと応答は EAP メッセージとして送信されます。一般に MD5-Challenge は、ユーザー名とパスワードによるセキュリティ システムに基づいて、リモート VPN クライアントの資格情報を認証する場合に使用します。EAP の相互運用性をテストする場合にも MD5-Challenge を使用できます。

EAP-TLS

EAP-TLS (Extensible Authentication Protocol-Transport Level Security) は、証明書ベースのセキュリティ環境で使用する EAP の種類です。スマート カードを使用してリモート アクセス認証を行う場合は、EAP-TLS 認証方法を使用する必要があります。リモート VPN クライアントと認証実行サーバーは、EAP-TLS メッセージを交換することによって、相互認証、暗号化方法のネゴシエーション、暗号化キーの決定を行います。EAP-TLS は、最も強力な認証方法とキー決定方法です。

EAP-RADIUS

EAP-RADIUS は EAP の種類ではありませんが、任意の EAP の種類の EAP メッセージを認証実行サーバーから RADIUS サーバーに渡すことによって認証を行います。たとえば、ISA Server が RADIUS 認証用として構成されている場合、リモート VPN クライアントと ISA Server の間で送受信される EAP メッセージがカプセル化され、リモート アクセス サーバーと RADIUS サーバー間の RADIUS メッセージとしてフォーマットされます。

EAP-RADIUS は、RADIUS が認証プロバイダである環境で使用します。EAP-RADIUS を使用する利点は、EAP の種類を RADIUS サーバーにのみインストールするだけで済み、すべてのリモート アクセス サーバーにインストールする必要がないことです。インターネット認証サービス (IAS) の場合、EAP の種類を IAS サーバーにのみインストールする必要があります。

RADIUS 認証の詳細については、「リモート VPN クライアントの RADIUS 認証」を参照してください。


EAP 認証構成

PPTP (Point-to-Point トンネリング プロトコル) 接続を使用する仮想プライベート ネットワーク (VPN) リモート サイト ネットワークを作成し、その認証プロトコルとして拡張認証プロトコル (EAP) を選択した場合は、EAP 構成を完了する必要があります。EAP 構成は、ルーティングとリモート アクセスの管理を使用して定義します。

EAP 構成を完了するには、次の操作を行います。

  1. ルーティングとリモート アクセスの管理コンソールで、[ネットワーク インターフェイス] ノードをクリックします。
  2. 変更を ISA Server の構成に適用すると、ネットワークと同じ名前のデマンド ダイヤル インターフェイスが作成されます。このデマンド ダイヤル インターフェイスを選択し、[プロパティ] をクリックします。
  3. [セキュリティ] タブでは、詳細カスタム設定オプションが選択されている必要があります。[設定] をクリックし、[セキュリティの詳細設定] を開きます。
  4. 使用する EAP を選択して [プロパティ] をクリックし、EAP プロバイダに応じて EAP を構成します。

注

  • ルーティングとリモート アクセスの管理コンソールを開くには、[スタート] ボタン、[管理ツール]、[ルーティングとリモート アクセス] の順にクリックします。


MS-CHAP 認証方法

ISA Server 2004 では、Microsoft チャレンジ ハンドシェイク認証プロトコル (MS-CHAP) がサポートされています。このプロトコルは MS-CHAP バージョン 1 とも呼ばれる、復号不可能な暗号化されたパスワード認証プロトコルです。チャレンジ ハンドシェイク処理は、次のように行われます。

  1. ユーザー認証システム (リモート アクセス サーバーまたはインターネット認証サービス (IAS) サーバー) は、リモート アクセス クライアントにチャレンジを送信します。チャレンジは、セッション識別子と任意のチャレンジ文字列で構成されます。
  2. リモート アクセス クライアントは、チャレンジ文字列のユーザー名と、セッション ID およびパスワードの復号不可能な暗号を含む応答を送信します。
  3. ユーザー認証システムは応答を確認し、有効であれば、ユーザーの資格情報が認証されます。

認証プロトコルとして MS-CHAP を使用すると、Microsoft Point-to-Point 暗号化 (MPPE) を使用して、PPP または PPTP 接続で送信されるデータを暗号化することができます。

ISA Server は、MS-CHAP バージョン 2 もサポートしています。MS-CHAP バージョン 2 は、リモート アクセス接続用に MS-CHAP よりも強力なセキュリティを提供します。MS-CHAP の代わりに、MS-CHAP バージョン 2 を使用することを検討してください。

注

  • MS-CHAP (バージョン 1 およびバージョン 2) は、認証処理中のパスワード変更をサポートする Microsoft® Windows Server™ 2003 ファミリで提供される唯一の認証プロトコルです。
  • 認証プロトコルとして MS-CHAP v1 を使用する場合、ユーザーのパスワードが 14 文字を超えると、40 ビットで暗号化された接続は確立できません。これは、ダイヤルアップおよび仮想プライベート ネットワーク (VPN) のリモート アクセス、およびデマンド ダイヤル接続の両方に影響を与えます。

認証方法を設定する手順については、「VPN 認証方法を構成する」を参照してください。

MS-CHAP バージョン 2

ISA Server は、リモート アクセス接続用の強力なセキュリティを提供する Microsoft チャレンジ ハンドシェイク認証プロトコル バージョン 2 (MS-CHAP v2) をサポートしています。

MS-CHAP v2 では、次のように、一方向暗号化パスワードを使用して相互認証を行います。

  1. ユーザー認証システム (リモート アクセス サーバーまたはインターネット認証サービス (IAS) サーバー) は、リモート アクセス クライアントにチャレンジを送信します。チャレンジは、セッション識別子と任意のチャレンジ文字列で構成されます。
  2. リモート アクセス クライアントは、次の項目が含まれた応答を送ります。
    • ユーザーの名前。
    • 任意のピア チャレンジ文字列。
    • 受信したチャレンジ文字列、ピア チャレンジ文字列、セッション識別子、ユーザーのパスワードを一方向に暗号化したもの。
  3. ユーザー認証システムはクライアントからの応答を確認し、次の項目が含まれた応答を送り返します。
    • 接続の試行の成功または失敗を示す情報。
    • 送信されたチャレンジ文字列、ピア チャレンジ文字列、暗号化されたクライアントの応答、およびユーザーのパスワードに基づく認証済み応答。
  4. リモート アクセス クライアントは、認証済み応答を確認し、その応答が正しければ、接続を使用します。認証済み応答が正しくない場合、リモート アクセス クライアントは接続を終了します。


CHAP、SPAP、および PAP 認証方法

ISA Server 2004 では、チャレンジ ハンドシェイク認証プロトコル (CHAP)、Shiva パスワード認証プロトコル (SPAP)、およびパスワード認証プロトコル (PAP) がサポートされています。

CHAP

チャレンジ ハンドシェイク認証プロトコル (CHAP) は、応答の暗号化に業界標準の Message Digest 5 (MD5) ハッシング方式が使用される、チャレンジ/応答認証プロトコルです。CHAP は、ネットワーク アクセス サーバーおよびクライアントのさまざまなベンダで使用されています。ルーティングとリモート アクセスを実行するサーバーは CHAP をサポートしており、CHAP を要求するリモート アクセス クライアントを認証できます。CHAP には、復号可能な暗号化パスワードが必要なため、Microsoft チャレンジ ハンドシェイク認証プロトコル (MS-CHAP) バージョン 2 など、他の認証方法を検討する必要があります。

注

  • 使用しているパスワードの有効期限が切れていると、CHAP は認証の処理中にパスワードを変更できません。
  • Microsoft Point-to-Point 暗号化 (MPPE) は、CHAP と共には使用できません。

認証方法を設定する手順については、「VPN 認証方法を構成する」を参照してください。

SPAP

Shiva パスワード認証プロトコル (SPAP) は、Shiva で使用されている復号可能な暗号化機構です。Windows XP Professional を実行しているコンピュータは、Shiva LAN Rover に接続するとき、ルーティングとリモート アクセスを実行しているサーバーに Shiva クライアントが接続する場合と同様に、SPAP を使用します。この認証形式は、プレーンテキストよりも安全ですが、CHAP または MS-CHAP よりは安全性が低くなります。

重要

  • SPAP を認証プロトコルとして有効にすると、同じユーザー パスワードが常に同じ復号可能な暗号化形式で送信されます。そのため、SPAP 認証は再現によるアタックを受けやすくなり、悪意のあるユーザーが認証プロセスのパケットをキャプチャし、応答を再現してイントラネットへのアクセスの認証を通過してしまいます。SPAP は使用しないことをお勧めします。特に仮想プライベート ネットワーク接続の場合は、使用しないでください。

注

  • 使用しているパスワードの有効期限が切れていると、SPAP は認証の処理中にパスワードを変更できません。
  • インターネット認証サービス (IAS) サーバーのリモート アクセス ポリシーで SPAP を有効にする前に、使用しているネットワーク アクセス サーバー (NAS) で SPAP がサポートされていることを確認してください。
  • Microsoft Point-to-Point 暗号化 (MPPE) は、SPAP と共には使用できません。

PAP

パスワード認証プロトコル (PAP) は、プレーンテキスト パスワード (暗号化されていないテキスト) を使用する、最も安全性の低い認証プロトコルです。通常、リモート アクセス クライアントとリモート アクセス サーバーが、より安全性の高い認証のネゴシエーションを行うことができない場合に行われます。

PAP ベースの認証を有効にするには、次の操作を行います。

  1. リモート アクセス サーバーで、認証プロトコルとして PAP を有効にします。PAP は既定で無効になっています。
  2. 適切なリモート アクセス ポリシーで PAP を有効にします。PAP は既定で無効になっています。
  3. リモート アクセス クライアントの PAP を有効にします。

注

  • ISA Server で PAP を無効にすることで、プレーンテキスト パスワードはダイヤルアップ クライアントによって送信されることはありません。PAP のサポートを無効にすると、認証の安全性が向上しますが、PAP のみをサポートするリモート VPN クライアントは接続できなくなります。
  • 使用しているパスワードの有効期限が切れていると、PAP は認証の処理中にパスワードを変更できません。
  • Microsoft Point-to-Point 暗号化 (MPPE) は、PAP と共には使用できません。


事前共有キー (L2TP 接続のカスタム IPSec ポリシー)

事前共有キーとは、レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPSec) 接続を認証するために使用される Unicode 文字列です。事前共有キーの使用は、Microsoft® Windows Server™ 2003 ファミリおよび Windows® XP も含めた、多くのオペレーティング システムでサポートされています。事前共有キーを使用して他のルーターからの接続を認証するように ISA Server を構成することもできます。

手順については、「VPN 接続の事前共有キーを構成する」を参照してください。

事前共有キーの長所と短所

事前共有キー認証では、L2TP over IPSec 認証でコンピュータ証明書を使用するときに必要となる公開キー基盤 (PKI) のハードウェアおよび構成に対する投資が必要ありません。事前共有キーはリモート アクセス サーバーで簡単に構成でき、リモート アクセス クライアントでも比較的簡単に構成できます。事前共有キーが接続マネージャ プロファイル内で発行されている場合には、ユーザーに対して透過的になります。PKI の確立処理中であるか、Active Directory ドメインを管理する場合には、コンピュータ証明書または事前共有キーを使用して L2TP over IPSec 接続を受け付けるようにルーティングとリモート アクセスを構成できます。

しかし、単一のリモート アクセス サーバーで利用できる事前共有キーは、認証に事前共有キーを必要とするすべての L2TP over IPSec 接続に対して 1 つだけです。事前共有キーを使用してリモート アクセス サーバーに接続するすべての L2TP over IPSec VPN クライアントに対して、同じ事前共有キーを発行する必要があります。接続マネージャ プロファイル内で事前共有キーを配布しない限り、各ユーザーが手動で事前共有キーを入力する必要があります。この制限により、展開でのセキュリティが低下し、エラーの発生する可能性が増大します。リモート アクセス サーバーで事前共有キーが変更された場合、手動で事前共有キーを構成したクライアントは、そのクライアントで事前共有キーが変更されるまで、変更されたサーバーにアクセスできなくなります。事前共有キーが接続マネージャ プロファイル内でクライアントに配布された場合には、新しい事前共有キーを使用してそのプロファイルを再発行し、クライアント コンピュータに再インストールする必要があります。証明書と異なり、事前共有キーの出所と履歴は特定できません。これらの理由から、L2TP over IPSec 接続の認証で事前共有キーを使用する方法は、比較的脆弱な認証方法と考えられます。長期にわたる強い認証方法を必要とする場合は、PKI の使用を検討してください。

事前共有キーを選択したときの考慮事項

事前共有キーは、リモート アクセス サーバーと L2TP over IPSec クライアントの両方に構成される文字のシーケンスです。事前共有キーは、NULL 以外の最長 256 の Unicode 文字であれば、どのような組み合わせの文字列でもかまいません。事前共有キーを選択する場合、[新しい接続ウィザード] を利用して VPN クライアント接続を作成するユーザーは、手動で事前共有キーを入力する必要があることを考慮してください。適切なセキュリティの確保に十分な長さと複雑さを持ったキーは、大多数のユーザーにとって正確に入力することが難しい可能性があります。VPN クライアントから提示された事前共有キーが、リモート アクセス サーバーで構成された事前共有キーと違っていると、クライアント認証は失敗します。

注

  • ISA Server では、事前共有キーに使用できるのは英語の文字だけです。

事前共有キーが格納されると、リモート アクセス サーバーと VPN クライアントは Unicode 文字列から ASCII 文字列への変換を試みます。変換に成功すると、ASCII バージョンの文字列が認証に使用されます。この方法では、他社製のルーターなど、Unicode 標準に準拠していないデバイスによる伝送時に、事前共有キーが壊れていないことが保証されます。事前共有キーを ASCII 文字列として格納できない場合は、Unicode 文字列が使用されます。Unicode の事前共有キーを Unicode 標準に準拠していないデバイスで処理しなければならない場合には、接続を試みてもおそらく失敗します。


VPN クライアント アドレスの割り当てと名前解決

仮想プライベート ネットワーク (VPN) を許可するように ISA Server 2004 を構成するときは、リモート クライアントにアドレスを割り当てる方法 (動的アドレスか静的アドレスか) を構成する必要があります。VPN クライアントにアドレスが割り当てられると、そのアドレスは VPN クライアント ネットワークの一部になります。

認証方法の設定手順については、「VPN アドレスの割り当てを構成する」を参照してください。

注

  • ISA Server は、VPN クライアントのアドレス解決プロトコル (ARP) プロキシとして機能します。たとえば、静的プールまたは DHCP サーバーから VPN クライアントに割り当てられたアドレスが内部ネットワーク セグメントに属する場合、内部ネットワークに接続されているコンピュータは、VPN クライアントに ARP クエリを送信します。ISA Server は、このクエリを傍受し、接続されている VPN クライアントの代わりに返信します。

動的アドレスの割り当て

リモート クライアントのアドレスを動的に割り当てる場合は、DHCP サーバーが必要です。DHCP サーバーは、VPN クライアントとの接続時に、これらのクライアントに IP アドレスを動的に割り当てます。VPN クライアントに IP アドレスを割り当てるには、この方法を使用することをお勧めします。

内部ネットワークで Windows Server 2003 または Windows 2000 Server を実行しているコンピュータは、いずれも DHCP サーバーの機能を担うことができます。内部ネットワークの既存の DHCP サーバーによって、VPN クライアントのニーズに対応します。

アドレスの割り当てに DHCP サーバーを使用すると、VPN クライアントが接続を確立したときに、VPN クライアントのアドレスが内部ネットワークから VPN クライアント ネットワークまたは検疫された VPN クライアント ネットワーク (検疫が有効で、クライアントが検疫されている場合) に自動的に移動します。アドレスは、クライアントとの接続が切断されると、内部ネットワークに戻されます。このアドレス割り当ては、ISA Server の管理には表示されません。

内部ネットワーク上の IP アドレスの割り当てには DHCP サーバーを使用しても、内部ネットワークからの IP アドレス グループの割り当てには VPN クライアントの静的プールを使用する場合は、DHCP サーバーがこれらのアドレスを割り当てないよう構成する必要があります。

動的なアドレスの割り当てを使用すると、VPN クライアントに割り当てられるアドレスは、実際には内部ネットワークからのアドレスになります。VPN クライアントが接続を確立すると、VPN クライアントのアドレスは内部ネットワークから VPN クライアント ネットワークに動的に移動します。その後、クライアントが接続を切断すると、アドレスは再び内部ネットワークに戻ります。このような IP アドレス メンバシップの変動は、ISA Server の管理には表示されません。

注

  • 内部ネットワークに DHCP サーバーが構成されていない場合は、VPN クライアント ネットワークに IP アドレスの静的プールを構成する必要があります。

静的アドレスの割り当て

IP アドレスは、アドレスの静的プールから割り当てることもできます。この方法は、内部ネットワークの IP アドレスが静的に割り当てられている場合などに使用できます。

アドレスの割り当てに静的アドレス プールを使用する場合は、まず、プールに割り当てるアドレスを他の定義済みネットワークから削除する必要があります。なぜなら、IP アドレスは、ネットワーク間で重複することができないからです。静的アドレス プールには、必要なリモート VPN 接続数 (リモート サイト接続とローミング クライアント接続を含む) より 1 つ多い IP アドレスを指定する必要があります。

VPN クライアントのブロードキャスト名前解決

ISA Server に対する VPN 接続のブロードキャスト名前解決を有効にすると、クライアントがコンピュータの名前解決に使用する DNS サーバーまたは WINS サーバーを指定できます。この場合、リモート アクセス クライアントは、コンピュータのフル ネームと NetBIOS 名、および構成済み DNS または WINS サーバーを持たないリモート ネットワーク上のその他のリソースを解決できます。


VPN 接続の監視

仮想プライベート ネットワーク (VPN) セッションを監視し、VPN 接続のみを表示するように [セッション] ビューをフィルタ処理することができます。VPN クライアントを監視するには、[セッションの種類] が [VPN クライアント] に設定されるようにフィルタを構成します。リモート サイト ネットワークからの接続を監視するには、[送信元ネットワーク] が [VPN サイト間ネットワーク] に設定されるように [セッション] ビューのフィルタを構成します。

ログ

ISA Server 2004 は、VPN 接続に対して次の種類のログをサポートしています。

  • イベント ログ。イベント ログとは、システム イベント ログにイベントが記録されることです。通常、イベント ログは、トラブルシューティングに使用したり、異常なイベントをネットワーク管理者に通知するために使用します。
  • ISA Server ログ。ISA Server は、リモート VPN 接続の認証およびアクセス情報のログもサポートしています。このログは、システム イベントのログに記録されるイベントとは別のものです。ログに収集された情報を使用して、リモート アクセスの使用状況および認証試行を追跡することができます。詳細については、「ログの保存形式」を参照してください。
  • RADIUS ベースの認証とアカウンティングのログ。ルーティングとリモート アクセスを実行するサーバーでは、RADIUS 認証とアカウンティングが有効である場合に、リモート アクセス接続のアカウンティング情報のログを、リモート認証ダイヤルイン ユーザー サービス (RADIUS) サーバーで収集できます。このログは、システム イベントのログに記録されるイベントとは別のものです。RADIUS サーバーでログに収集された情報を使用して、リモート アクセスの使用状況を追跡することができます。手順については、「RADIUS 認証を使用する」および「アカウンティングに RADIUS を使用する」を参照してください。


VPN : 操作方法

ここでは、リモート VPN クライアント、サイト間 VPN、および一般的な VPN 構成設定を構成する手順について説明します。

  • リモート VPN クライアント アクセスを構成する
  • サイト間 VPN 接続を構成する
  • 一般的な VPN 設定を構成する
  • VPN のトラブルシューティング


リモート VPN クライアント アクセスを構成する

ここでは、リモート VPN クライアント アクセスを構成する手順について説明します。

  • リモート VPN クライアント アクセスを有効にする
  • リモート クライアントの同時接続の最大数を構成する
  • ドメイン グループのリモート アクセスを許可する
  • リモート クライアント アクセスのトンネリング プロトコルを構成する
  • ユーザー マッピングを有効にする
  • リモート VPN クライアントのユーザーとグループを作成する
  • 検疫の制御を有効にする
  • 検疫の制御からユーザーを除外する


リモート VPN クライアント アクセスを有効にする

リモート VPN クライアント アクセスを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • VPN クライアント アクセスを有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。

関連項目


リモート クライアントの同時接続の最大数を構成する

リモート クライアントの同時接続の最大数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [VPN クライアントの最大許容数] に、同時に接続可能な VPN クライアントの最大数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • VPN クライアント アクセスを有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。

関連項目


ドメイン グループのリモート アクセスを許可する

ドメイン グループのリモート アクセスを許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [ユーザー] タブで、[追加] をクリックします。
  5. ISA Server コンピュータへのリモート アクセスを許可するユーザーまたはグループの名前を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Windows ビルトイン ユーザー グループを VPN ユーザーとして追加することはできません。ISA Server コンピュータがドメイン コントローラでもある場合でも、ビルトイン ドメイン グループを使用してください。
  • これらのドメイン グループに属するユーザーに対して、ダイヤルイン プロパティを [リモート アクセス ポリシーでアクセスを制御] に設定する必要があります。

関連項目


リモート クライアント アクセスのトンネリング プロトコルを構成する

リモート クライアント アクセスのトンネリング プロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [プロトコル] タブで、次のオプションを選択します (複数可)。
    • [PPTP を有効にする]
    • [L2TP/IPSec を有効にする]

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート VPN クライアントがL2TP トンネリング プロトコルを使用して ISA Server 2004 に接続できるようにする場合、証明書を要求することになります。

関連項目


ユーザー マッピングを有効にする

ユーザー マッピングを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細タブで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [ユーザー マッピング] タブで、[ユーザー マッピングを有効にする] をクリックします。
  5. マップするユーザー名にドメイン名が含まれていない場合は、[ユーザー名にドメインが含まれていないときは、このドメインを使用する] をクリックします。次に、[ドメイン名] に、使用するドメインの名前を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


リモート VPN クライアントのユーザーとグループを作成する

リモート VPN クライアントのユーザーとグループを作成するには

  1. [コンピュータの管理] で、[ローカル ユーザーとグループ] をクリックし、[グループ] を右クリックして、[新しいグループ] をクリックします。
  2. [新しいグループ] にグループの名前を入力し、[作成] をクリックします。
  3. [ユーザー] をクリックします。リモート VPN アクセスを許可するユーザーごとに、次の操作を実行します。
    1. ユーザーをダブルクリックして、そのプロパティを表示します。
    2. [所属するグループ] タブで、[追加] をクリックします。
    3. [選択するオブジェクト名を入力してください] にグループ名を入力し、[OK] をクリックします。
    4. [ダイヤルイン] タブで [リモート アクセス ポリシーでアクセスを制御]、[OK] の順にクリックします。

注

  • リモート VPN クライアント アクセスで ISA Server を使用できるのは、ダイヤルイン プロパティが構成されているユーザーのみです。


検疫の制御を有効にする

検疫の制御を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、[検疫された VPN クライアント] ネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [検疫] タブで、[検疫の制御を有効にする] を選択します。
  5. 次のオプションのいずれかを選択します。
    • [RADIUS サーバーのポリシーに従って検疫する]。VPN クライアントが接続を試みるときに、ルーティングとリモート アクセス ポリシーは、接続要求を ISA Server に渡すかどうかを決定します。ルーティングとリモート アクセス ポリシーが確認されると、クライアントは無条件に VPN クライアント ネットワークに接続されます。
    • [ISA Server のポリシーに従って検疫する]。VPN クライアントが ISA Server コンピュータに接続しようとすると、ルーティングとリモート アクセスにより、要求が無条件に ISA Server に渡されます。ISA Server は、接続しようとしているクライアントを検疫された VPN クライアント ネットワークに置いて、そのネットワークに定義されたファイアウォール ポリシーをクライアントに適用します。クライアントは、検疫がクリアされると、VPN クライアント ネットワークに移動します。このオプションを選択するときは、ルーティングとリモート アクセスの検疫機能を無効にし、VPN 接続を確立できるようにしてください。
  6. 検疫されたクライアントを指定した時間後に切断する必要がある場合は、[検疫されたユーザーとの接続を切断するまでの秒数] を選択して、クライアントが検疫された VPN クライアント ネットワークから削除されて、ISA Server から切断されるまでの秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択する場合は、ISA Server コンピュータと、接続を試みるリモート VPN クライアント上で、検疫の制御を構成する必要があります。そうしないと、リモート VPN クライアントは、指定した時間が経過して ISA Server から切断されるまで、検疫モードのままになります。

関連項目


検疫の制御からユーザーを除外する

検疫の制御からユーザーを除外するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、[検疫された VPN クライアント] ネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [検疫] タブで、[検疫の制御を有効にする] を選択します。
  5. [追加] をクリックします。
  6. [ユーザー セットの選択] で、検疫の制御から除外するユーザーを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 検疫の制御を有効にする場合は、ISA Server コンピュータと、接続を試みるリモート VPN クライアント上で、検疫の制御を構成する必要があります。そうしないと、リモート VPN クライアントは、指定した時間が経過して ISA Server から切断されるまで、検疫モードのままになります。
  • 検疫の制御から除外されたユーザーは、自動的に VPN クライアント ネットワークのメンバになります。

関連項目


サイト間 VPN 接続を構成する

ここでは、サイト間 VPN 接続を構成する手順について説明します。

  • リモート サイト ネットワークを追加する
  • リモート サイト ネットワークのトンネリング プロトコルを構成する
  • リモート サイト ネットワークのアドレスを構成する
  • ISA Server がリモート VPN ゲートウェイへの接続を開始することを許可する
  • ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する
  • リモート サイト ネットワークを無効にする
  • PPTP および L2TP ネットワークを構成する
  • IPSec ネットワークを構成する


リモート サイト ネットワークを追加する

リモート サイト ネットワークを追加するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. [タスク] タブで、[リモート サイト ネットワークの追加] をクリックします。
  4. ウィザードで、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Microsoft Windows 2000 を実行しているコンピュータ上でインターネット プロトコル セキュリティ (IPSec) トンネリング モードを使用するリモート サイト ネットワークを作成するには、IPSecPol ツールをインストールする必要があります。Microsoft の Web サイト (英語情報) (http://www.microsoft.com/) から入手できます。ツールは、ISA Server のインストール フォルダにインストールします。
  • IPSec トンネリング プロトコルを使用するリモート サイト ネットワークを作成する際、Microsoft ファイアウォール サービスの再起動時に、ファイアウォール サービスによってコンピュータの IPSec フィルタが変更されます。ネットワークのアドレス範囲に含まれているサブネットの数によっては、この処理に数分かかることがあります。効率的に行うために、サブネット境界で揃えた IP アドレス範囲を定義することをお勧めします。
  • IPSec PolicyAgent サービスを停止または再起動すると、ISA Server の VPN サイト間 IPSec 構成設定を含め、動的なすべての IPSec 構成情報が失われ、VPN クライアントが切断されます。設定を復元するには、PolicyAgent サービスを開始するか、ファイアウォール サービスを再起動します。

関連項目


リモート サイト ネットワークのトンネリング プロトコルを構成する

リモート サイト ネットワークのトンネリング プロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  5. [プロトコル] タブで、次のいずれかを選択します。
    • [L2TP/IPSec]。レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPSec) の認証および暗号化プロトコルを有効にして、ISA Server コンピュータを通過できるようにします。
      このオプションを選択した場合、必要に応じて [第 2 (バックアップ) の認証方法として事前共有キー IPSec 認証を許可する] をクリックし、2 次認証に使用する事前共有キーを入力できます。この事前共有キーは、このポリシーを使用して接続する各クライアント コンピュータで構成する必要があります。
    • [PPTP]。PPTP (Point-to-Point トンネリング プロトコル) を有効にして、ISA Server コンピュータを通過できるようにします。PPTP は、トンネルの管理とデータのカプセル化に使用するトンネリング プロトコルです。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このタスクは、PPTP/L2TP ネットワークでのみ実行できます。IPSec トンネル モードのトンネリング プロトコルを指定するには、新しいリモート ネットワークを作成する必要があります。

関連項目


リモート サイト ネットワークのアドレスを構成する

リモート サイト ネットワークのアドレスを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート サイト ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  5. [アドレス] タブで、[追加] をクリックします。
  6. [開始アドレス] に、ネットワーク アドレス範囲の最初のアドレスを入力します。
  7. [終了アドレス] に、ネットワーク アドレス範囲の最後のアドレスを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • IPSec トンネリング プロトコルを使用するリモート サイト ネットワークを作成する際、Microsoft ファイアウォール サービスの再起動時に、ファイアウォール サービスによってコンピュータの IPSec フィルタが変更されます。ネットワークのアドレス範囲に含まれているサブネットの数によっては、この処理に数分かかることがあります。効率的に行うために、サブネット境界で揃えた IP アドレス範囲を定義することをお勧めします。

関連項目


ISA Server がリモート VPN ゲートウェイへの接続を開始することを許可する

ISA Server がリモート VPN ゲートウェイへの接続を開始することを許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [接続] タブの [リモート ゲートウェイの名前または IP アドレス] に、リモート VPN ゲートウェイの名前または IP アドレスを入力します。
  5. [ローカル サイトがリモート サイトとの接続を開始できるようにする] をクリックします。次に、[ユーザー名]、[ドメイン]、[パスワード]、[パスワードの確認入力] に、ISA Server が接続を開始するときに使用するユーザー名を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ここで指定するユーザー名は、リモート VPN ゲートウェイで構成されている必要があります。

関連項目


ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する

ISA Server によって開始されたサイト間接続の VPN 認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [認証] タブで、リモート VPN ゲートウェイが ISA Server によって開始された接続の認証に使用する適切な認証プロトコルのチェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


リモート サイト ネットワークを無効にする

リモート サイト ネットワークを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート サイト ネットワークを選択します。
  4. [タスク] タブで、[リモート サイトの無効化] をクリックします。

関連項目


PPTP および L2TP ネットワークを構成する

ここでは、PPTP ネットワークと L2TP ネットワークを構成する手順について説明します。

  • リモート サイト ゲートウェイのダイヤルイン アカウントを作成する
  • アクティブでない VPN 接続を自動的に終了する


リモート サイト ゲートウェイのダイヤルイン アカウントを作成する

リモート サイト ゲートウェイのダイヤルイン アカウントを作成するには

  1. ISA Server コンピュータで、[スタート] ボタンをクリックし、[管理ツール] をポイントして、[コンピュータの管理] をクリックします。
  2. コンピュータの管理で、[コンピュータの管理]、[システム ツール]、[ローカル ユーザーとグループ]、[ユーザー] の順にクリックします。
  3. 詳細ウィンドウで、目的のユーザーを右クリックし、[プロパティ] をクリックします。
  4. [ダイヤルイン] タブの [リモート アクセス許可 (ダイヤルインまたは VPN)] で、[アクセスを許可] を選択します。

注

  • PPTP および L2TP ネットワークの場合にのみ、ダイヤルイン アカウントを作成する必要があります。IPSec ネットワークの場合は、ダイヤルイン アカウントを作成する必要はありません。

関連項目


アクティブでない VPN 接続を自動的に終了する

アクティブでない VPN 接続を自動的に終了するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワーク (PPTP ネットワークと L2TP ネットワークのみ) を選択します。
  4. [接続] タブで、[アクティブでない接続を終了するまでの時間] をクリックします。次に、セッションが終了するまでアクティブでない状態を維持する時間を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


IPSec ネットワークを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 でインターネット プロトコル セキュリティ (IPSec) を構成する手順について説明します。

  • IPSec ポリシーを表示する
  • フェーズ 1 の IPSec の詳細設定を構成する
  • フェーズ 2 の IPSec の詳細設定を構成する


IPSec ポリシーを表示する

IPSec ポリシーを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当する IPSec リモート サイト ネットワークを選択します。
  4. [タスク] タブで、[IPSec ポリシーの表示] をクリックします。

関連項目


フェーズ 1 の IPSec の詳細設定を構成する

フェーズ 1 の IPSec の詳細設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当する IPSec リモート サイト ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  5. [接続] タブで、[IPSec の設定] をクリックします。
  6. [フェーズ 1] タブの [整合性アルゴリズム] で、次のいずれかを選択します。
    • [MD5]。128 ビット キー (高速) を使用します。
    • [SHA1]。160 ビット キー (強力) を使用します。
  7. [暗号化アルゴリズム] で、次のいずれかを選択します。
    • [3DES]。トリプル データ暗号化標準アルゴリズムと 3 つの一意な 56 ビット キーを使用します。このオプションは、より強力なセキュリティを提供します。
    • [DES]。DES アルゴリズムと 1 つの 56 ビット キーを使用します。
  8. [Diffie-Hellman グループ] で、次のいずれかを選択します。
    • [グループ 1 (768 ビット)]。768 ビットのマスタ キーのキー生成情報を生成します。
    • [グループ 2 (1024 ビット)]。1024 ビットのマスタ キーのキー生成情報を生成します (より強力なセキュリティ)。
    • [グループ 2048 (2048 ビット)]。2048 ビットのマスタ キーのキー生成情報を生成します (最も強力なセキュリティ)。
  9. [新しいキーを認証して生成する間隔] に、マスタ キーを生成し、再認証をトリガする時間間隔を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [Diffie-Hellman グループ] 設定でより強力なグループを使用すると、Diffie-Hellman 交換から派生するシークレット キーがさらに強力になります。Windows 2000 および Windows XP との相互運用性が要求される場合は、グループ 2 を使用してください。

関連項目


フェーズ 2 の IPSec の詳細設定を構成する

フェーズ 2 の IPSec の詳細設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート IPSec サイト ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  5. [接続] タブで、[IPSec の設定] をクリックします。
  6. [フェーズ 2] タブの [整合性アルゴリズム] で、次のいずれかを選択します。
    • [MD5]。128 ビット キー (高速) を使用します。
    • [SHA1]。160 ビット キー (強力) を使用します。
  7. [暗号化アルゴリズム] で、次のいずれかを選択します。
    • [3DES]。トリプル データ暗号化標準アルゴリズムと 3 つの一意な 56 ビット キーを使用します。このオプションは、より強力なセキュリティを提供します。
    • [DES]。DES アルゴリズムと 1 つの 56 ビット キーを使用します。
  8. [次の間隔で新しいキーを生成する] をクリックして、再認証が要求されるまでキーを再使用する時間を制限します。[キロバイト] または [秒]、あるいは両方のフィールドに値を入力して、制限時間を指定します。
  9. 複数のセッション キーの生成にマスタ キー情報を使用しない場合は、[PFS (Perfect Forward Secrecy) を使用する] をクリックします。PFS を有効にすると認証が要求されるため、パフォーマンスに影響を与えることがあります。次に、[Diffie-Hellman グループ] で、次のいずれかを選択します。
    • [グループ 1 (768 ビット)]。768 ビットのマスタ キーのキー生成情報を生成します。
    • [グループ 2 (1024 ビット)]。1024 ビットのマスタ キーのキー生成情報を生成します (より強力なセキュリティ)。
    • [グループ 2048 (2048 ビット)]。2048 ビットのマスタ キーのキー生成情報を生成します (最も強力なセキュリティ)。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッション キーの設定で [キロバイト] や [秒] の制限を設定した場合は、最初に到達した間隔がいずれであっても、新しいキーが開始されます。
  • [Diffie-Hellman グループ] 設定でより強力なグループを使用すると、Diffie-Hellman 交換から派生するシークレット キーがさらに強力になります。Windows 2000 および Windows XP との相互運用性が要求される場合は、グループ 2 を使用してください。

関連項目


一般的な VPN 設定を構成する

ここでは、一般的な VPN 設定を構成する手順について説明します。

  • VPN アクセス ネットワークを構成する
  • VPN アドレスの割り当てを構成する
  • VPN 認証方法を構成する
  • VPN 接続の事前共有キーを構成する
  • RADIUS 認証を使用する
  • アカウンティングに RADIUS を使用する


VPN アクセス ネットワークを構成する

VPN アクセス ネットワークを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート アクセスの構成] をクリックします (手順 3)。
  3. [アクセス ネットワーク] タブで、次の操作を行います。
    • リモート VPN クライアント アクセスを構成する場合は、リモート VPN クライアントが接続する必要があるネットワークを選択します。
    • サイト間 VPN アクセスを構成する場合は、リモート サイト ゲートウェイが接続する必要があるネットワークを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ここで構成するアクセス ネットワークは、リモート VPN クライアント アクセスおよびサイト間ネットワーク アクセスの両方に使用されます。

関連項目


VPN アドレスの割り当てを構成する

VPN のアドレスの割り当てを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. [タスク] タブで、[アドレスの割り当ての定義] をクリックします。
  3. [アドレスの割り当て] タブで、次のオプションのいずれかを選択します。
    • [静的アドレス プール]。リモート VPN ゲートウェイまたはリモート VPN クライアントに静的アドレスを割り当てます。
    • [動的ホスト構成プロトコル (DHCP)]。リモート VPN ゲートウェイまたはリモート VPN クライアントに動的にアドレスを割り当てます。
  4. [静的アドレス プール] を選択した場合は、以下の操作を実行します。
    1. [追加] をクリックします。
    2. [開始アドレス] に、VPN クライアントに割り当てるアドレス範囲の最初のアドレスを入力します。
    3. [終了アドレス] に、VPN クライアントに割り当てるアドレス範囲の最後のアドレスを入力します。
  5. [DHCP、DNS および WINS サービスの取得に使用するネットワーク] で、名前解決サーバーが配置されているネットワークを選択します。
  6. [詳細設定] をクリックします。次の操作を行います。
    1. [名前解決] タブで、次のいずれかを選択します。
      • [DHCP の構成を使って DNS サーバーのアドレスを取得する]。VPN クライアントが、DHCP の構成を使用して DNS サーバーを取得する必要のある場合。
      • [次の DNS サーバーのアドレスを使用する]。VPN クライアントが名前解決に使用する、DNS サーバーの静的 IP アドレスを提供する場合。
    2. [次の DNS サーバーのアドレスを使用する] を選択した場合は、[プライマリ] に、VPN クライアントが内部ネットワークでの名前解決に使用できる、内部ネットワーク上の DNS サーバーの IP アドレスを入力します。[バックアップ] に、内部ネットワーク上の DNS サーバーの IP アドレスを入力します。これは、プライマリ DNS サーバーが使用できない場合に、VPN クライアントが内部ネットワークでの名前解決に使用できるアドレスです。
    3. 次のいずれかを選択します。
      • [DHCP の構成を使って WINS サーバーのアドレスを取得する]。VPN クライアントが、DHCP の構成を使用して WINS サーバーを取得する必要のある場合。
      • [次の WINS サーバーのアドレスを使用する]。VPN クライアントが名前解決に使用する、WINS サーバーの静的 IP アドレスを提供する場合。
    4. [次の WINS サーバーのアドレスを使用する] を選択した場合は、[プライマリ] に、VPN クライアントが内部ネットワークでの名前解決に使用できる、内部ネットワーク上の WINS サーバーの IP アドレスを入力します。[バックアップ] に、内部ネットワーク上の WINS サーバーの IP アドレスを入力します。これは、プライマリ DNS サーバーが使用できない場合に、VPN クライアントが内部ネットワークでの名前解決に使用できるアドレスです。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ルーティングとリモート アクセス ユーザーはサポートされていません。

関連項目


VPN 認証方法を構成する

VPN 認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[認証方法の選択] をクリックします。
  3. [認証] タブで、ISA Server がリモート VPN クライアントおよびリモート VPN ゲートウェイ (構成した場合) の認証に使用する適切な認証プロトコルのチェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート ネットワークの場合、選択した認証方法は、リモート VPN ゲートウェイが ISA Server コンピュータへの接続を開始するときに使用されます。
  • EAP で認証されたユーザーは、RADIUS サーバーによって認証されます。したがって、ユーザー マッピング機能も構成している場合、ユーザーに適用されるファイアウォール ポリシー ルールは、これらのユーザーにのみ適用されます。

関連項目


VPN 接続の事前共有キーを構成する

VPN 接続の事前共有キーを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[認証方法の選択] をクリックします。
  3. [認証] タブで、ISA Server がリモート VPN クライアントおよびリモート VPN ゲートウェイ (構成した場合) の認証に使用する適切な認証プロトコルのチェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート ネットワークの場合、選択した認証方法は、リモート VPN ゲートウェイが ISA Server コンピュータへの接続を開始するときに使用されます。
  • EAP で認証されたユーザーは、RADIUS サーバーによって認証されます。したがって、ユーザー マッピング機能も構成している場合、ユーザーに適用されるファイアウォール ポリシー ルールは、これらのユーザーにのみ適用されます。

関連項目


RADIUS 認証を使用する

RADIUS 認証を使用するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[RADIUS 構成の指定] をクリックします。
  3. [RADIUS] タブで、[認証に RADIUS を使用する] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


アカウンティングに RADIUS を使用する

アカウンティングに RADIUS を使用するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 仮想プライベート ネットワーク
  2. [タスク] タブで、[RADIUS 構成の指定] をクリックします。
  3. [RADIUS] タブで、[アカウンティングに RADIUS を使用する] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


VPN のトラブルシューティング

ISA Server が VPN 接続を受け付けません (Windows 2000 のみ)。

原因 : ISA Server のインストール時にインターネット認証サービス (IAS) が実行されていた場合、ISA Server は VPN 接続を受け付けません。

解決方法 : IAS を再起動します。

リモート VPN クライアントが ISA Server に接続できません。

原因 : ユーザーが ISA Server にアクセスできない場合、さまざまな理由が考えられますが、たとえば次のような理由があります。

  • ユーザー アカウントが正しく構成されていない。
  • ユーザーが ISA Server コンピュータへのアクセスに適切なアクセス権を持っていない。

解決方法 : アカウントが正しく構成されていないことが原因と思われる場合は、次の操作を実行します。

  • 各ユーザーのダイヤルイン特権が有効になっているかどうか、またはリモート アクセス ポリシー構成で設定されたグループにユーザー アカウントが属しているかどうかを確認します。詳細については、「リモート VPN クライアント アクセスのユーザー」を参照してください。
  • リモート VPN クライアントが適切な認証方法およびトンネリング プロトコルで正しく構成されているかどうかを確認します。これらは、ISA Server の構成設定と一致する必要があります。

関連項目 : 「リモート VPN クライアント アクセスのユーザー」および「VPN トンネリング プロトコル」

リモート サイト ゲートウェイの IP アドレスから送られたトラフィックが拒否されます (IP スプーフィングの可能性)。

原因 : PPTP または L2TP トンネリング プロトコルを使用するリモート サイト ネットワーク シナリオでは、ISA Server コンピュータにデフォルト ゲートウェイが構成されていない場合があります。デフォルト ゲートウェイが定義されていない場合、ISA Server とリモート サイト ゲートウェイ間の静的ルートは追加されません。ルートがないため、リモート サイト ゲートウェイからのトラフィックはスプーフィングと見なされ、トラフィックは拒否されます。

解決方法 : デフォルト ゲートウェイを追加します。ダミーのデフォルト ゲートウェイを指定することができます。

IPSec リモート サイト間接続を確立できません。

原因 : サイト間接続を確立できない場合、さまざまな理由が考えられますが、たとえば次のような理由があります。

  • IPSec 接続に失敗した。
  • リモート サイト ゲートウェイにアクセスできない。
  • ローカル ISA Server コンピュータのアドレスが、リモート サイト ゲートウェイで正しく構成されていない。
  • リモート サイト ゲートウェイまたは ISA Server のいずれかで、リモート サイト ネットワークのアドレス範囲が正しく構成されていない。
  • 事前共有キーを使用している場合、事前共有キーが正しく構成されていない。
  • 証明書の認証が使用されている場合、正しい証明書を使用できない。

解決方法 : 次の操作を実行します。

  • 原因がネットワーク アドレス変更時の構成の誤りに関係があると思われる場合は、構成を確認します。手順については、「リモート サイト ネットワークのアドレスを構成する」を参照してください。
  • 証明書が正しく構成されているかどうかを確認します。
  • 原因がセキュリティ監査に関係があると思われる場合は、イベント ビューアで最新のセキュリティ エラーを確認します。
  • 原因が認証のネゴシエーションに関係があると思われる場合は、次のインターネット キー交換 (IKE) イベントが発生していないかどうかを確認します。
    • Event 541 (成功)。IKE が、メイン モード セキュリティ アソシエーション (SA) または IPSec SA のいずれかと正常にネゴシエートすると、記録されます。SA パラメータは、イベントのテキストに示されます。
    • Event 542 (成功)。IKE が IPSec SA を正常に削除すると、記録されます。SA のライフタイムの有効期限切れ、クイック モードのキー更新中の新しい SA の生成、IPSec ピアによる削除メッセージの送信、IPSec ポリシーの変更、または IPSec サービスの停止が原因で、IPSec SA が削除される場合があります。
    • Event 543 (成功)。IKE がメイン モード SA を正常に削除すると、記録されます。SA のライフタイムの有効期限切れ、IPSec ピアによる削除メッセージの送信、IPSec ポリシーの変更、または IPSec サービスの停止が原因で、IKE メイン モード SA が削除される場合があります。
    • Event 544 (失敗)。証明書の信頼エラーおよびその後の認証エラーが原因で、IKE ネゴシエーションが終了すると、記録されます。このエラーは、IPSec ピアで有効な証明書チェーンが見つからなかったか、見つかった証明書チェーンを信頼されたルート証明機関 (CA) に送信できなかったことが原因で発生します。
    • Event 545 (失敗)。コンピュータ証明書の署名の検証エラーが原因で、IKE ネゴシエーションが終了すると、記録されます。このイベントは、IPSec ピアのコンピュータ証明書で RSA タイプの公開キーと秘密キーのペアが一致しないことを示すため、ほとんど発生しません。
    • Event 546 (失敗)。IPSec ピアから提示された IKE が無効であることが原因で、SA を確立できないと、記録されます。このエラーは通常、IPSec ポリシーが正しく構成されていない場合に発生します。
    • Event 547 (失敗)。IKE ネゴシエーションが失敗すると、記録されます。失敗の原因はイベントのテキストに示されません。

PPTP または L2TP リモート サイト間接続を確立できません。

原因 : サイト間接続を確立できない場合、さまざまな理由が考えられますが、たとえば次のような理由があります。

  • リモート サイト ゲートウェイにアクセスできない。
  • ローカル ISA Server コンピュータのアドレスが、リモート サイト ゲートウェイで正しく構成されていない。
  • サイト間接続のユーザー アカウントが適切に構成されていない。
  • 事前共有キーを使用している場合、L2TP 接続で、事前共有キーが一致しないことがある。
  • 証明書の認証が使用されている場合、正しい証明書を使用できない。


キャッシュ

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、ネットワーク パフォーマンスを向上させるために、頻繁に要求されるオブジェクトのキャッシュが実装されています。最も頻繁に使用されるデータが必ず格納されるようにキャッシュを構成することができます。

  • キャッシュ : 概念
  • キャッシュ : 操作方法
  • キャッシュのトラブルシューティング


キャッシュ : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のキャッシュ機能について説明します。

  • キャッシュの概要
  • キャッシュの動作
  • キャッシュの構成
  • キャッシュ ルール
  • コンテンツ ダウンロード ジョブ


キャッシュの概要

ISA Server は、頻繁に要求されるオブジェクトのキャッシュを実装してネットワーク パフォーマンスを向上させます。最も頻繁に使用されるデータが必ず格納されるようにキャッシュを構成することができます。

ISA Server をインストールすると、既定により、キャッシュは無効になります。これは、ISA Server コンピュータのどのディスク ドライブにも、キャッシュ用に指定されているディスク領域がないためです。キャッシュ用のドライブを構成する場合、ドライブ上で使用するディスク領域を指定して、キャッシュを有効にします。キャッシュ可能なコンテンツを指定して、キャッシュを詳細に構成できます。

キャッシュが有効な場合、キャッシュ ルールを構成して、指定したサイトのコンテンツを ISA Server キャッシュに保存するかどうか、または ISA Server キャッシュから取得するかどうかを指定できます。キャッシュ ルールは、送信元ネットワークに関係なく、要求されたサイトに適用されます。

キャッシュが有効な場合、コンテンツ ダウンロード ジョブを構成することもできます。コンテンツ ダウンロード ジョブを使用すると、指定時刻にコンテンツを自動的にダウンロードするように ISA Server を構成できます。この方法の場合、頻繁に要求されるコンテンツにオフピーク時にアクセスするように ISA Server を構成できるため、ネットワーク パフォーマンスが向上します。

キャッシュを使用する

ISA Server は、クライアントが要求されたコンテンツに素早くアクセスできるフォワード キャッシュ サーバーとして展開できます。ISA Server は、任意の Web ブラウザ クライアントがアクセス可能な頻繁に要求されるオブジェクトのキャッシュを集中管理します。ディスク キャッシュから提供されるオブジェクトは、他のネットワークからのオブジェクトに比べて必要な処理がきわめて少なくなります。このため、クライアント ブラウザのパフォーマンスが向上し、ユーザーの応答時間が短縮され、またインターネット接続での帯域幅の使用量も削減されます。

次の図では、内部ネットワーク上のクライアントが、外部ネットワーク上のサーバーのオブジェクトを要求しています。この図では、ユーザーがオブジェクトを要求した場合の ISA Server の応答方法を示しています。

キャッシュの動作

この図では、ISA Server がオブジェクトをキャッシュする場合のユーザーの利点も示しています。図ではフォワード キャッシュ シナリオに焦点を当てていますが、インターネット ユーザーが企業の Web サーバーにアクセスするリバース キャッシュの場合もプロセスは同じです。図には次の処理が示されています。

  1. 最初のユーザー (クライアント 1) が Web オブジェクトを要求します。
  2. ISA Server は、オブジェクトがキャッシュにあるかどうかをチェックします。オブジェクトが ISA Server キャッシュにないため、ISA Server はインターネット上のサーバーのオブジェクトを要求します。
  3. インターネット上のサーバーがオブジェクトを ISA Server コンピュータに返します。
  4. ISA Server は、オブジェクトのコピーをキャッシュに保持し、オブジェクトをクライアント 1 に返します。
  5. クライアント 2 が同じオブジェクトを要求します。
  6. ISA Server はインターネットからオブジェクトを取得するのではなく、キャッシュからオブジェクトを返します。

商用 Web ビジネスをホストしたり、ビジネス パートナーへのアクセスを提供する組織の Web サーバーの前面に ISA Server を展開できます。着信方向の Web 要求があると、ISA Server は、外部に対して Web サーバーを偽装し、Web コンテンツに対するクライアント要求をキャッシュから処理します。要求がキャッシュから処理できない場合にのみ、ISA Server は Web サーバーに要求を転送します。


キャッシュの動作

ISA Server は Web オブジェクトのキャッシュを維持し、キャッシュを使用して Web 要求を処理します。キャッシュを使用して要求を処理できない場合、ISA Server コンピュータはクライアントに代わって新しい要求を開始します。リモート Web サーバーが ISA Server コンピュータに応答すると、ISA Server コンピュータは元のクライアント要求に対する応答をキャッシュし、クライアントに応答を送信します。

ISA Server は、発信方向の要求に使用されるフォワード キャッシュ、および着信方向の要求に使用されるリバース キャッシュをサポートしています。フォワード キャッシュおよびリバース キャッシュの両方を使用するクライアントでは、ISA Server キャッシュ機能の利点を最大限に利用できます。詳細については、「キャッシュの概要」を参照してください。

ISA Server には、キャッシュ機能を処理する Web プロキシ フィルタが組み込まれています。特定のネットワークでは、ファイアウォール クライアントが有効な場合、または ISA Server が SecureNAT クライアントのデフォルト ゲートウェイとして構成されている場合、Web プロキシ フィルタはファイアウォール クライアントおよび SecureNAT クライアントによって要求されたオブジェクトをキャッシュします。

ISA Server は、キャッシュ プロパティとキャッシュ ルールの構成を調べて、オブジェクトをキャッシュから取得するか、または別のサーバーから取得するかを決定します。ISA Server はキャッシュ構成、キャッシュ ルール、および既存のキャッシュ コンテンツを分析して、オブジェクトをキャッシュから取得するかどうかを決定します。

ユーザー要求が許可される場合、ISA Server はキャッシュから応答を返そうとします。

  1. ISA Server は、要求された宛先に対して HTTP キャッシュが有効かどうかをチェックします。有効でない場合、ISA Server は Web チェーン ルールをチェックして、要求のルーティング方法を決定します。
  2. HTTP キャッシュが有効な場合、ISA Server はキャッシュ内で要求されたオブジェクトを検索します。有効なオブジェクトがキャッシュ内にある場合、ISA Server はそれをキャッシュから取得して、ユーザーに返します。
    オブジェクトまたはクライアント要求ディレクティブに指定された有効期限が切れている場合、そのオブジェクトは無効と見なされます。
  3. 要求をルーティングするように Web チェーン ルールが構成されている場合、ISA Server は要求を上位サーバーにルーティングするか、または要求された Web サーバーにルーティングするかを決定します。
  4. 要求を Web サーバーにルーティングするように Web チェーン ルールが構成されている場合、ISA Server は Web サーバーに要求を送信します。
  5. Web サーバーにアクセスできない場合、ISA Server は有効期限切れのオブジェクトをキャッシュから返すようにサーバーが構成されているかどうかをチェックします。特定の有効期限が過ぎていない限り、サーバーから有効期限切れのオブジェクトを返すように指定した場合、オブジェクトはキャッシュからユーザーに返されます。
  6. Web サーバーが使用可能な場合、ISA Server は、オブジェクトをキャッシュできるかどうか、およびキャッシュ ルールのプロパティが応答をキャッシュするように構成されているかどうかを確認します。可能な場合、ISA Server はオブジェクトをキャッシュしてユーザーにオブジェクトを返します。

キャッシュ ルールの詳細については、「キャッシュ ルール」を参照してください。Web チェーン ルールの詳細については、「Web チェーン ルール」を参照してください。


キャッシュの構成

既定では、ISA Server をインストールすると、キャッシュは無効に設定されます。キャッシュを有効にするには、ISA Server コンピュータの任意のキャッシュ ドライブに領域を構成する必要があります。手順については、「キャッシュを有効にする」を参照してください。

キャッシュにはフォーマット済みの NTFS パーティションを使用し、ドライブはローカル ドライブにする必要があります。一般に、最適なパフォーマンスを得るには、メインの ISA Server システムおよび Microsoft® Windows® オペレーティング システムがインストールされているドライブとは別のドライブを使用します。キャッシュに使用するドライブは、事前にフォーマットすることをお勧めします。

ISA Server のキャッシュ機能を使用する場合は、NTFS ボリュームとしてフォーマットされているパーティションが少なくとも 1 つはあるコンピュータに ISA Server をインストールする必要があります。現在のサーバーのディスク ボリュームで FAT パーティションが使用されている場合は、Windows の Convert を使用してパーティションを NTFS に変換できます。Convert によってディスク上のデータが上書きされることはありません。Convert の使用方法については、コマンド プロンプトで「convert /?」と入力してください。

ISA Server が使用するキャッシュのサイズと場所は、サーバーごとに構成できます。キャッシュ容量がいっぱいになるとキャッシュ内のオブジェクトが削除されるため、大きめのキャッシュを割り当てることをお勧めします。手順については、「キャッシュ サイズを構成する」を参照してください。

キャッシュ コンテンツ ファイル

キャッシュ用のドライブを構成すると、ISA Server は、そのドライブに .cdat という拡張子の 1 つのキャッシュ コンテンツ ファイルを作成します。このファイルは、dir1.cdat という名前で、<ドライブ>:\urlcache フォルダに作成されます。

オブジェクトがキャッシュされると、ISA Server は、それらをキャッシュ コンテンツ ファイルに追加します。キャッシュ コンテンツ ファイルがいっぱいで新しいオブジェクトを追加できない場合、ISA Server は、オブジェクトの存続期間、アクセス頻度、およびサイズを評価する式を使用して、キャッシュ内の古いオブジェクトから順に削除します。

警告

  • キャッシュ コンテンツ ファイルの変更や削除は行わないでください。

キャッシュするコンテンツの構成

ISA Server が次の HTTP (ハイパーテキスト転送プロトコル) オブジェクトをキャッシュする必要があるかどうかを構成できます。

  • 最終更新日が指定されていないオブジェクト
  • 200 応答を持たないオブジェクト

メモリ キャッシュに格納するオブジェクトの最大サイズも構成できます。

手順については、「キャッシュするコンテンツを構成する」、「キャッシュ内のオブジェクトの最大サイズを構成する」、および「ネガティブ キャッシュを構成する」を参照してください。

オブジェクトの Time-to-Live (TTL) が過ぎると、そのオブジェクトは有効期限切れと見なされます。要求された Web サイトが使用できない場合に、有効期限の切れたコンテンツをキャッシュから返す必要があるかどうかを構成できます。手順については、「有効期限切れのオブジェクトをキャッシュから返すかどうかを構成する」を参照してください。

重要

  • Web サイトに、キャッシュしてはならないコンテンツのキャッシュ制御ディレクティブが適切に構成されていない場合、ISA Server は、悪意のあるユーザーにユーザー コンテンツを返す場合があります。

RAM キャッシュ

ISA Server では、ランダム アクセス メモリ (RAM) およびディスクにオブジェクトがキャッシュされます。メモリにキャッシュされたオブジェクトは、ディスクにキャッシュされたオブジェクトより高速に取得できます。既定では、RAM の 10 パーセントがオブジェクトのキャッシュに使用されます。そこに入りきらないオブジェクトはすべて、ディスクにのみキャッシュされます。手順については、「キャッシュに使用できるメモリの割合を構成する」を参照してください。

ヘッダー

ISA Server は、次の HTTP 応答ヘッダーが含まれる要求への応答はキャッシュしません。

  • cache-control: no-cache
  • cache-control: private
  • pragma: no-cache
  • www-authenticate
  • set-cookie

また、ISA Server コンピュータは、次の HTTP 要求ヘッダーが含まれる要求への応答もキャッシュしません。

  • authorization (元のサーバーが、応答に cache-control: public ヘッダーを含めることによって、明示的にこれを許可している場合を除く)
  • cache-control: no-store

アクティブ キャッシュ

アクティブ キャッシュを有効にすると、ISA Server はキャッシュ内のオブジェクトを分析し、最も頻繁にアクセスされているものを特定します。キャッシュ内の頻繁に使用されているオブジェクトの有効期限が近づくと、ISA Server は、キャッシュ内のコンテンツを自動的に更新します。

アクティブ キャッシュを有効にした場合、ダイヤルアップを使用してインターネットに接続しているコンピュータは、キャッシュのコンテンツを取得する際にインターネット サービス プロバイダ (ISP) にダイヤルアウトします。

アクティブ キャッシュ ポリシーを構成することができます。次のいずれかを選択します。

  • [頻繁に更新する]。頻繁に要求されるオブジェクトが、有効期限に近づくたびに定期的にキャッシュにダウンロードされます。このオプションは、クライアントから要求されたオブジェクトを必ずキャッシュに格納する場合に便利です。
  • [頻繁に更新しない]。頻繁に要求されるオブジェクトの一部がキャッシュにダウンロードされます。キャッシュ内のオブジェクトが最新である可能性は低下しますが、アクティブ キャッシュが最小限に設定されるため、ネットワーク パフォーマンスは向上します。
  • [標準]。既定では、バランスのとれたこのオプションが選択されます。オブジェクトが適度な頻度で更新され、ネットワーク パフォーマンスも考慮されます。

詳細については、「アクティブ キャッシュを構成する」を参照してください。


キャッシュ ルール

キャッシュ ルールを使用すると、キャッシュに格納するコンテンツの種類、およびキャッシュからオブジェクトを提供する方法を指定できます。キャッシュ ルールは、組織のニーズに応じて、すべてのサイトから取得するコンテンツまたは指定したサイト (宛先セット) に送信するコンテンツに、およびすべてのコンテンツ グループまたは指定したコンテンツの種類に適用できます。さらに、オブジェクトを有効と見なす期間や、キャッシュ ルールが有効期限の切れたオブジェクトを処理する方法も制限できます。

手順については、「キャッシュ ルールを作成する」を参照してください。

キャッシュの記憶域の構成

ルールごとに、キャッシュにどのオブジェクトを格納するかを構成できます。指定の宛先に対して、コンテンツをキャッシュするかどうか、およびキャッシュするコンテンツの種類を指定できます。

  • [ダイナミック コンテンツ]。取得したオブジェクトがキャッシュ可能としてマークされていない場合でも、キャッシュするよう指定します。
  • [オフライン参照用コンテンツ]。すべての要求をキャッシュ内のコンテンツから処理するよう指定します。したがって、応答コード 302 および 307 のキャッシュ不可能なコンテンツも、キャッシュに格納する必要があります。
  • [取得時にユーザー認証が必要なコンテンツ]。アクセス用の認証が必要なコンテンツをキャッシュするよう指定します。
  • [キャッシュするオブジェクトの最大サイズ]。キャッシュするオブジェクトの最大サイズを指定します。手順については、「キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限する」を参照してください。

キャッシュからのオブジェクトの取得

キャッシュ ルール構成の一部として、キャッシュ内のオブジェクトを取得する方法、およびキャッシュからオブジェクトを提供する方法を定義できます。

ISA Server は、キャッシュからオブジェクトを提供する前に、そのオブジェクトの有効なコピーがキャッシュにあるかどうかを確認します。HTTP キャッシュ プロパティ、FTP キャッシュ プロパティ、またはオブジェクト自体に指定されている Time-to-Live (TTL) の有効期限が切れていなければ、オブジェクトは有効と見なされます。ルールのキャッシュ プロパティの構成方法に従って、ISA Server はキャッシュからオブジェクトを取得します。ISA Server は、次の操作のいずれかを実行するように構成できます。

  • オブジェクトが有効な場合のみ、キャッシュからオブジェクトを取得します。オブジェクトが無効な場合、要求はサーバーにルーティングされてから取得されます。
  • オブジェクトが有効か無効かに関係なく、キャッシュからオブジェクトを取得します。
  • 要求をルーティングしません。どちらのバージョンのオブジェクトもキャッシュにない場合、エラー ページを返します。

要求されたオブジェクトをキャッシュに保存しないようにキャッシュ ルールを構成することもできます。

HTTP および FTP コンテンツのキャッシュ

指定の宛先に対して、HTTP コンテンツと FTP コンテンツのどちらをキャッシュするかを構成できます。HTTP コンテンツをキャッシュする場合は、HTTP オブジェクトの有効期限ポリシーも構成できます。同様に、FTP オブジェクトにも有効期限ポリシーを構成できます。

キャッシュ ルールの構成では、HTTP、FTP、および SSL のいずれの応答に対してキャッシュを有効にするかを定義できます。また、キャッシュするコンテンツをファイル サイズに応じて制限するようにキャッシュ ルールを構成することもできます。

HTTP オブジェクトのキャッシュ

キャッシュした HTTP オブジェクトは、TTL 設定に従って有効期限が切れます。HTTP オブジェクトの場合、応答ヘッダーに定義されている TTL と、キャッシュ ルールに定義されている TTL 境界に基づいて有効期限が構成されます。TTL 境界は、コンテンツの生存期間、すなわちオブジェクが作成または変更された後の経過時間に対する割合として計算されます。HTTP オブジェクトは、キャッシュ ルールで HTTP オブジェクトに定義されている TTL に従って有効期限が切れます。手順については、「キャッシュ ルールの HTTP キャッシュを構成する」を参照してください。

FTP オブジェクトのキャッシュ

ISA Server のキャッシュ内で FTP オブジェクトを管理する方法を構成できます。FTP オブジェクトには、キャッシュを有効にするかどうかを指定したり、すべてのオブジェクトの TTL 期間を構成することができます。

既定では、すべての FTP オブジェクトの TTL は 1 日に設定されています。

構成の手順については、「キャッシュ ルールの FTP キャッシュを構成する」を参照してください。

SSL オブジェクトのキャッシュ

ISA Server のキャッシュ内で SSL オブジェクトを管理するかどうかを構成できます。構成の手順については、「キャッシュ ルールの SSL キャッシュを構成する」を参照してください。

ルールの順序

キャッシュ ルールには順番が付けられ、既定のキャッシュ ルールは最後に処理されます。新しい接続に対して、ISA Server コンピュータは順番にキャッシュ ルールを処理します。つまり、1 つ目のルールが最初に処理されます。要求は、ルールで指定されている条件に一致すると、それに従ってキャッシュされます。それ以外の場合は、次のルールが適用されます。この手順は、最後のルール (既定のルール) が処理されるまで、その要求に適用されます。

既定のキャッシュ ルール

ISA Server をインストールすると、既定のキャッシュ ルールが構成されます。既定のルールはまず、要求された有効なオブジェクトのみを ISA Server のキャッシュから取得するように構成されます。キャッシュ内のオブジェクトが無効な場合、そのオブジェクトはインターネットから直接取得されます。

既定のキャッシュ ルールのオブジェクトの取得方法は変更できません。


コンテンツ ダウンロード ジョブ

ISA Server 2004 のキャッシュ コンテンツ ダウンロード ジョブ機能を使用すると、インターネットから ISA Server のキャッシュへの直接的なコンテンツ ダウンロードをスケジュールできます。バックグラウンド プロセスによって、定義済みのスケジュールに基づいてコンテンツがダウンロードされます。

キャッシュ コンテンツ ダウンロード ジョブを使用すると、Web プロキシ クライアントによって今後まもなく要求される可能性のある、HTTP (ハイパーテキスト転送プロトコル) コンテンツで ISA Server のキャッシュを更新できます。予定されたキャッシュ コンテンツ ダウンロードによって、スループットに影響を及ぼすことなく、貴重なネットワーク帯域幅を節約し、全体的なキャッシュ パフォーマンスを改善できます。

ISA Server がコンテンツ ダウンロード ジョブに指定されているコンテンツをダウンロードするには、予定されたダウンロード ジョブのシステム ポリシー構成グループを有効にする必要があります。手順については、「システム ポリシー構成グループを有効にする」を参照してください。このシステム ポリシー構成グループを有効にすると、ISA Server コンピュータからの認証されていない HTTP トラフィックが ISA Server によってブロックされることに注意してください。これは、他のポリシー ルールによってトラフィックが許可されている場合でも、適用されます。

このようなトラフィックを許可する場合、システム ポリシー構成グループを有効にするのではなく、すべてのネットワークへの HTTP アクセスを許可するアクセス ルールを作成できます。このルールは、コンテンツ ダウンロード ジョブを効果的に実行するために必要です。また、ローカル ホスト ネットワークからの認証されていない HTTP アクセスを許可する、さらに優先順位の高いアクセス ルールを追加します。

Web チェーン ルールに指定されているルーティング構成は、コンテンツ ダウンロード ジョブに指定されているルーティング構成よりも常に優先されます。つまり、コンテンツ ダウンロード ジョブで、要求をルーティングしないように指定されていても、またオブジェクトがキャッシュに存在する場合でも、Web チェーン ルールで要求をルーティングするよう指定されている場合は、要求がルーティングされます。Web チェーン ルールの詳細については、「Web チェーン ルール」を参照してください。

手順については、「予定されたキャッシュ コンテンツ ダウンロード ジョブを作成する」を参照してください。

注

  • キャッシュ コンテンツ ダウンロード ジョブに失敗した場合は、イベントが Windows のイベント ビューアに記録されます。

キャッシュ コンテンツ ダウンロードを自動化する

ISA Server は、カスタマイズされたキャッシュ ダウンロードによってキャッシュ パフォーマンスを拡張します。インターネットのアクセスを監視し、分析すると、どの HTTP コンテンツがいつ必要になるかを判断できます。次に、予定されたキャッシュ コンテンツ ダウンロード機能を使用して、要求が行われたとき、またはスケジュールに従って、HTTP コンテンツを直接 ISA Server のキャッシュにダウンロードできます。これによって、組織内のクライアントによって要求されることが予想される HTTP コンテンツで ISA Server のキャッシュを更新できるようになります。このコンテンツはインターネットではなく、ISA Server のキャッシュを使用して直接アクセスできるようになります。

ダウンロードは、単一の URL (Uniform Resource Locator)、複数の URL、または Web サイト全体を対象にすることができます。予定されたキャッシュ コンテンツ ダウンロード ジョブを作成するときに、ダウンロードされるコンテンツを制限できます。たとえば、ダウンロードを単一のドメインに制限できます。同様に、たどるリンクの数を制限することもできます。

キャッシュ コンテンツ ダウンロードをスケジュールするときは、オブジェクトを格納するように ISA Server のキャッシュを構成することにより、ダイナミック コンテンツのキャッシュを構成できます。これは、HTTP キャッシュ制御ヘッダーによって、オブジェクトをキャッシュできない場合があることが示されている場合でも、有効になります。手順については、「キャッシュ コンテンツのダウンロード元となる場所を構成する」を参照してください。

警告

  • オブジェクトのダウンロード元の Web サーバーが、クライアント認証を要求した場合、予定されたコンテンツ ダウンロード ジョブは失敗します。

ダウンロードは構成済みのスケジュールに従って実行されます。スケジュールを定期的に繰り返すかどうかを指定することもできます。手順については、「キャッシュ コンテンツ ダウンロード ジョブのスケジュールを構成する」を参照してください。


キャッシュ : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のキャッシュ機能を構成する手順について説明します。

  • 全般的なキャッシュプロパティを構成する
  • キャッシュ ルールを構成する
  • コンテンツ ダウンロード ジョブを構成する


全般的なキャッシュプロパティを構成する

ここでは、全般的なキャッシュ プロパティを構成する手順について説明します。

  • キャッシュを有効にする
  • キャッシュ サイズを構成する
  • アクティブ キャッシュを構成する
  • キャッシュするコンテンツを構成する
  • キャッシュ内のオブジェクトの最大サイズを構成する
  • ネガティブ キャッシュを構成する
  • 有効期限切れのオブジェクトをキャッシュから返すかどうかを構成する
  • キャッシュに使用できるメモリの割合を構成する


キャッシュを有効にする

キャッシュを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックします。
  3. [タスク] タブで、[キャッシュ ドライブの定義] をクリックします。
  4. リスト ボックスに一覧表示されているドライブのいずれかを選択します。
  5. [キャッシュの最大サイズ] に、選択したドライブからキャッシュに割り当てる容量を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • キャッシュは、少なくとも 1 つのキャッシュ ドライブのサイズがゼロより大きい場合のみ有効になります。
  • Microsoft ファイアウォール サービスが停止している場合、キャッシュ ドライブ情報は ISA Server の管理に表示されません。

関連項目


キャッシュ サイズを構成する

キャッシュ サイズを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックします。
  3. [タスク] タブで、[キャッシュ ドライブの定義] をクリックします。
  4. リスト ボックスに一覧表示されているドライブのいずれかを選択します。
  5. [キャッシュの最大サイズ] に、選択したドライブからキャッシュに割り当てる容量を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • キャッシュは、少なくとも 1 つのキャッシュ ドライブのサイズがゼロより大きい場合のみ有効になります。
  • Microsoft ファイアウォール サービスが停止している場合、キャッシュ ドライブ情報は ISA Server の管理に表示されません。
  • フォーマットされていないドライブが一覧に表示されていても、これらをキャッシュに使用することはできません。

関連項目


アクティブ キャッシュを構成する

アクティブ キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  3. [アクティブ キャッシュ] タブで、[アクティブ キャッシュを有効にする] チェック ボックスをオンにします。
  4. 次のいずれかの操作を行います。
    • 以前にキャッシュされたオブジェクトが有効期限切れになる前に更新および再検証する場合は、[頻繁に更新する] をクリックします。
    • 高速応答とネットワーク負荷のバランスを取る場合は、[標準] をクリックします。
    • ネットワークに負荷を与えたくない場合は、[頻繁に更新しない] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アクティブ キャッシュが有効な場合、ISA Server は、指定されている設定に従って、現在のコンテンツをインターネットから取得します。インターネットへのダイヤルアップ接続を使用している場合は、このコンテンツを取得する際に、コンピュータがインターネット サービス プロバイダにダイヤルアウトします。

関連項目


キャッシュするコンテンツを構成する

キャッシュするコンテンツを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  3. 最終更新日が指定されていないオブジェクトをキャッシュするには、[詳細設定] タブで [最終更新日が指定されていないオブジェクトをキャッシュする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


キャッシュ内のオブジェクトの最大サイズを構成する

キャッシュ内のオブジェクトの最大サイズを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  3. メモリにキャッシュされる URL の最大サイズを制限するには、[詳細設定] タブの [メモリにキャッシュする URL のサイズの上限 (バイト)] に、最大バイト数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ネガティブ キャッシュを構成する

ネガティブ キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 設定
    • キャッシュ
  2. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  3. [詳細設定] タブで、[HTTP ステータス コード 200 を持たないオブジェクトもキャッシュする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


有効期限切れのオブジェクトをキャッシュから返すかどうかを構成する

有効期限切れのオブジェクトをキャッシュから返すかどうかを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  3. [詳細設定] タブで、次のいずれかを選択します。
    • [期限切れオブジェクトを返さない]。このオプションを選択した場合、エラー ページが返されます。
    • [以下の条件を満たす期限切れオブジェクトのみを返す]。このオプションを選択した場合、有効期限切れのオブジェクトが ISA Server キャッシュから返されます。
  4. 有効期限切れのオブジェクトを返すことを選択した場合は、オブジェクトの Time to Live (TTL) の限界値を指定します。
    • [元の Time-to-Live (TTL) が指定した割合以下の場合 (%)] で、TTL の最大の割合 (パーセント) を指定します。有効期限がこの上限を超える場合は、オブジェクトは返されません。
    • [時間制限 (分)] で、オブジェクトの有効期限切れ以降の最大経過時間 (分) を指定します。有効期限がこの上限を超える場合は、オブジェクトは返されません。

関連項目


キャッシュに使用できるメモリの割合を構成する

キャッシュに使用できるメモリの割合を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  3. [詳細設定] タブの [キャッシュに利用する空きメモリの割合] に、1 ～ 100 までの数値を入力し、キャッシュに割り当てるメモリの最大割合を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


キャッシュ ルールを構成する

ここでは、キャッシュ ルールを構成する手順について説明します。

  • キャッシュ ルールを作成する
  • キャッシュ ルールのネットワーク エンティティを構成する
  • Web オブジェクトのキャッシュ方法を構成する
  • キャッシュ ルールの HTTP キャッシュを構成する
  • キャッシュ ルールの FTP キャッシュを構成する
  • キャッシュ ルールの SSL キャッシュを構成する
  • キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限する
  • キャッシュ ルールを無効にする
  • キャッシュ ルールを削除する


キャッシュ ルールを作成する

キャッシュ ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックします。
  3. [タスク] タブで、[キャッシュ ルールの作成] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


キャッシュ ルールのネットワーク エンティティを構成する

キャッシュ ルールのネットワーク エンティティを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [宛先] タブで、次の操作を行います。
    • 特定のネットワーク エンティティにルールを適用するには、上の [追加] ボタンをクリックし、ルールを適用するネットワーク エンティティを選択します。
    • ルールを適用しないネットワーク エンティティを指定するには、下の [追加] ボタンをクリックし、ルールを適用しないネットワーク エンティティを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク オブジェクトが [このルールを次のネットワーク エンティティから要求されたコンテンツに適用する] の一覧にあっても、[例外] の一覧にもある場合は、ルールが適用されません。

関連項目


Web オブジェクトのキャッシュ方法を構成する

Web オブジェクトのキャッシュ方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [キャッシュの保存と取得] タブで、次のいずれかのオプションをクリックします。
    • 有効期限が切れていないオブジェクトのみをキャッシュから取得する場合は、[有効期限内のオブジェクトがキャッシュにある場合のみ。有効期限内のオブジェクトがない場合は、要求をルーティングします。] をクリックします。
    • 使用可能なオブジェクトがあるときはキャッシュから取得し、使用可能なオブジェクトがないときは指定したルートを使用する場合は、[有効期限に関係になくオブジェクトがキャッシュにある場合。ない場合は、要求をルーティングします。] をクリックします。
    • キャッシュに存在するときのみオブジェクトを取得する場合は、[すべてのオブジェクト。ない場合は、要求を破棄します。] をクリックします。
  5. [コンテンツのキャッシュ] で、次のいずれかのオプションをクリックします。
    • 取得したオブジェクトをキャッシュする必要がない場合は、[どのような場合でもキャッシュしない] をクリックします。
    • ソース ヘッダーおよび要求ヘッダーでオブジェクトをキャッシュするように指示しているときのみコンテンツをキャッシュする場合は、[ソースと要求ヘッダーに指示してある場合] をクリックします。次の中から 1 つまたは複数を選択します。
      • [ダイナミック コンテンツ] (ISA Server は、取得したオブジェクトがキャッシュ可能としてマークされていない場合でも、キャッシュします)
      • [オフライン参照用コンテンツ]
      • [取得時にユーザー認証が必要なコンテンツ]

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


キャッシュ ルールの HTTP キャッシュを構成する

キャッシュ ルールの HTTP キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [HTTP] タブで、[HTTP キャッシュを有効にする] チェックボックスをオンにします。
  5. HTTP オブジェクトをキャッシュ内に残す期間をコンテンツの有効期間に対する割合で指定する場合、[オブジェクトの TTL を設定する] ボックスに数値を入力します。
  6. HTTP オブジェクトをキャッシュ内に残す期間を時間で指定する場合、[最短時間] ボックスおよび [最長時間] ボックスに最短時間および最長時間を入力します。
  7. 構成した設定に従って、有効期限が切れた後もオブジェクトをキャッシュに残す場合、[有効期限が指定されているソースにも、この TTL 境界を適用する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [オブジェクトの TTL を設定する] ボックスに指定した割合が高いほど、キャッシュが更新される頻度は少なくなります。
  • [有効期限が指定されているソースにも、この TTL 境界を適用する] オプションを指定して、Time to Live (TTL) を短くすると、キャッシュのオブジェクトはさらに最新の状態になります。ただし、オブジェクトが頻繁にインターネットから取得されるため、ネットワークのパフォーマンスに影響を与える可能性があります。
  • TTL を既定の設定に戻すには、[既定値を復元] をクリックします。
  • すべてのキャッシュ ルールに対して HTTP キャッシュを無効にした場合でも、ISA Server はキャッシュ メモリを割り当てます。ISA Server でキャッシュ メモリが割り当てられないようにするには、キャッシュ サイズをゼロに設定します。

関連項目


キャッシュ ルールの FTP キャッシュを構成する

キャッシュ ルールの FTP キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [FTP] タブで、[FTP キャッシュを有効にする] チェックボックスをオンにします。
  5. キャッシュに FTP オブジェクトを維持する期間を指定するには、[FTP オブジェクトの Time-to-Live (TTL)] に数値を入力します。ドロップダウン リストから、[秒]、[分]、[時間]、[日]、[週] のいずれかの時間単位を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • FTP 有効期限ポリシーをリセットして重要性を同等にする場合は、[既定値を復元] をクリックします。
  • すべてのキャッシュ ルールの FTP キャッシュを無効にしても、ISA Server ではキャッシュ メモリが割り当てられます。ISA Server でキャッシュ メモリが割り当てられないようにするには、キャッシュ サイズをゼロに設定します。

関連項目


キャッシュ ルールの SSL キャッシュを構成する

キャッシュ ルールの SSL キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [詳細設定] タブで、[SSL 応答をキャッシュする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限する

キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [詳細設定] タブで、[キャッシュするオブジェクトの最大サイズ] チェック ボックスをオンにします。
  5. サイズを入力し、ドロップダウンの一覧から単位をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • オブジェクト サイズを計算するときに、ISA Server はオブジェクトのヘッダーのサイズを含めます。

関連項目


キャッシュ ルールを無効にする

キャッシュ ルールを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するルールを選択します。
  3. [タスク] タブで、[選択したルールの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • キャッシュ ルールを有効にするには、[タスク] タブで、[選択したルールの有効化] をクリックします。

関連項目


キャッシュ ルールを削除する

キャッシュ ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するルールを選択します。
  3. [タスク] タブで、[選択したルールの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


コンテンツ ダウンロード ジョブを構成する

ここでは、コンテンツ ダウンロードジョブを構成する手順について説明します。

  • 予定されたキャッシュ コンテンツ ダウンロード ジョブを作成する
  • キャッシュ コンテンツ ダウンロード ジョブのスケジュールを構成する
  • キャッシュ コンテンツのダウンロード元となる場所を構成する
  • コンテンツ ダウンロード ジョブの作成済み接続の数を制限する
  • ダウンロードされたキャッシュ コンテンツの Time to Live を構成する
  • コンテンツ ダウンロード ジョブに含めるコンテンツを構成する
  • コンテンツ ダウンロード ジョブを直ちに実行する
  • コンテンツ ダウンロード ジョブを無効にする
  • コンテンツ ダウンロード ジョブを削除する


予定されたキャッシュ コンテンツ ダウンロード ジョブを作成する

予定されたキャッシュ コンテンツ ダウンロード ジョブを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[コンテンツ ダウンロード ジョブのスケジュール] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツ ダウンロード ジョブを実行できるのは、次の場合に限られます。
    1. ローカル ホスト ネットワークが、Web プロキシ クライアント要求をリッスンするように構成されている。
    2. コンテンツのダウンロードを許可するシステム ポリシー ルールが有効になっている。
    3. Microsoft ISA Server ジョブ スケジューラ サービスが実行されている。

関連項目


キャッシュ コンテンツ ダウンロード ジョブのスケジュールを構成する

キャッシュ コンテンツのダウンロード ジョブのスケジュールを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [スケジュール] タブにある [日付] および [時刻] で、インターネットからコンテンツをダウンロードする日時を選択します。
  5. [ダウンロードの頻度] で、次のいずれかの操作を行います。
    • 指定時刻に 1 回だけコンテンツをダウンロードするには、[一度のみ] をクリックします。
    • 指定時刻に毎日コンテンツをダウンロードするには、[毎日] をクリックします。
    • 指定日の指定時刻にコンテンツをダウンロードするには、[毎週] をクリックし、コンテンツをダウンロードする曜日に対応するチェック ボックスをオンにします。
  6. [毎日] または [毎週] を選択した場合は、[1 日のうちの頻度] で、次のいずれかの操作を行います。
    • 1 日に 1 回だけコンテンツをダウンロードするには、[ジョブを毎日 1 回実行する] をクリックします。
    • 1 日に複数回コンテンツをダウンロードするには、[次の間隔で繰り返す] をクリックし、ジョブの実行頻度を入力します。
    • [次の時刻以後はジョブの新規実行を開始しない] に、コンテンツのダウンロード ジョブを開始する最終時刻を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


キャッシュ コンテンツのダウンロード元となる場所を構成する

キャッシュ コンテンツのダウンロード元となる場所を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [コンテンツ] タブにある [指定した URL からコンテンツをダウンロードする] に、コンテンツのダウンロード元となる URL (Uniform Resource Locator) を入力します。
  5. コンテンツのダウンロード元を [指定した URL からコンテンツをダウンロードする] に指定されたドメインに限定するには、[指定した URL ドメイン名外のリンクを含めない] チェック ボックスをオンにします。
  6. コンテンツのダウンロード時に、単一のページからたどるリンク数を制限するには、[ページあたりの最大リンク深度] チェック ボックスをオンにし、リンク数を入力します。
  7. キャッシュするオブジェクトの総数を制限するには、[取得したオブジェクトの数を次の最大値に制限] にオブジェクトの数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • URL は、http://widgets.microsoft.com/path という形式で入力します。

関連項目


コンテンツ ダウンロード ジョブの作成済み接続の数を制限する

コンテンツ ダウンロード ジョブの作成済み接続の数を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [コンテンツ] タブの [このジョブ用に作成する最大同時 TCP 接続数] に、このジョブに対して作成できる接続の最大数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ダウンロードされたキャッシュ コンテンツの Time to Live を構成する

ダウンロードされたキャッシュ コンテンツの Time to Live を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. オブジェクトの Time to Live (TTL) を上書きするには、[オブジェクトの TTL を上書きする] チェック ボックスをオンにします。
  5. TTL が定義されていない場合にオブジェクトの TTL を上書きするには、[応答に定義されていない場合、TTL を設定する] チェック ボックスをオンにします。
  6. ダウンロードされたオブジェクトに特定の TTL を構成するには、[ダウンロードされたオブジェクトの新しい TTL (分)] に TTL を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [オブジェクトの TTL を上書きする] をオンにすると、ここで指定した TTL またはキャッシュ構成プロパティで指定されている TTL によって TTL が決定されます。

関連項目


コンテンツ ダウンロード ジョブに含めるコンテンツを構成する

コンテンツ ダウンロード ジョブに含めるコンテンツを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [キャッシュ] タブの [コンテンツのキャッシュ] で、次のオプションのいずれかを選択します。
    • 要求または応答のヘッダーでオブジェクトをキャッシュしない指示があっても、すべてのコンテンツを常にキャッシュする場合は、[すべてのコンテンツをキャッシュする] をクリックします。
    • 要求または応答のヘッダーでオブジェクトをキャッシュする指示があるか、またはダイナミック コンテンツであるときにのみコンテンツをキャッシュする場合は、[ソースと要求ヘッダーに指示してある場合、またはダイナミック コンテンツの場合はキャッシュする] をクリックします。
    • 要求または応答のヘッダーでオブジェクトをキャッシュする指示があるときにのみコンテンツをキャッシュする場合は、[ソースと要求ヘッダーに指示してある場合はキャッシュする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [すべてのコンテンツをキャッシュする] を選択した場合、リダイレクト応答 (301、302、および 307) を含め、すべてのコンテンツがキャッシュされます。
  • [ソースと要求ヘッダーに指示してある場合、またはダイナミック コンテンツの場合はキャッシュする] を選択した場合、ヘッダーでコンテンツをキャッシュするよう指示がなくても、ダイナミック コンテンツであれば、コンテンツがキャッシュされます。

関連項目


コンテンツ ダウンロード ジョブを直ちに実行する

コンテンツ ダウンロード ジョブを直ちに実行するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブを今すぐ開始] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツ ダウンロード ジョブを実行できるのは、次の場合だけです。
    • ローカル ホスト ネットワークが、Web プロキシ クライアント要求をリッスンするように構成されている。
    • コンテンツのダウンロードを許可するシステム ポリシー ルールが有効になっている。
    • Microsoft ISA Server ジョブ スケジューラ サービスが実行されている。
  • コンテンツ ダウンロード ジョブを停止するには、[タスク] タブで、[選択したジョブの無効化] をクリックします。

関連項目


コンテンツ ダウンロード ジョブを無効にする

コンテンツ ダウンロード ジョブを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツ ダウンロード ジョブを有効にするには、[タスク] タブで、[選択したジョブの有効化] をクリックします。

関連項目


コンテンツ ダウンロード ジョブを削除する

コンテンツ ダウンロード ジョブを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[選択したジョブの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


キャッシュのトラブルシューティング

どのような問題がありますか?

ISA Server キャッシュにすべてのトラフィックが保存されません。

原因 : ISA Server はキャッシュの条件を満たす項目のみをキャッシュします。

解決方法 : キャッシュ可能なオブジェクトにクライアントがアクセスすると、オブジェクトがネットワークからではなく ISA Server キャッシュから取得されるために、ネットワーク パフォーマンスが向上したように見えます。ところが、キャッシュされないオブジェクトにクライアントがよくアクセスしている場合は、パフォーマンスの向上が感じられないことがあります。


監視

ここでは、Internet Security and Acceleration (ISA) Server 2004 の監視機能について説明します。

  • 監視 : 概念
  • 監視 : 操作方法
  • 監視のトラブルシューティング


監視 : 概念

ここでは、Internet Security and Acceleration (ISA) Server 2004 の監視機能について基本的な情報を提供します。

  • ダッシュボード
  • 警告
  • セッション
  • サービス
  • ログ
  • レポート
  • 接続
  • パフォーマンス モニタ


ダッシュボード

ISA Server のダッシュボード ビューには、セッション、警告、サービス、レポート、接続、および一般的なシステム状態についての監視情報が一覧表示されます。既定のダッシュボード ビューには次の情報が表示されます。

  • [接続]。ISA Server から他のコンピュータまたは URL への接続をチェックします。
  • [警告]。ISA Server コンピュータ上で発生したイベントが一覧表示されます。
  • [サービス]。ISA Server コンピュータ上のサービス、およびその現在の状態が一覧表示されます。
  • [セッション]。クライアント セッションの合計数が表示されます。
  • [レポート]。新しく作成されたレポートが一覧表示されます。
  • [システム パフォーマンス]。ISA Server コンピュータのパフォーマンス情報が表示されます。

ダッシュボードの各領域では、状態情報が視覚的に示されます。赤い円で囲まれた X は、潜在的な問題を示しています。黄色いアイコンは警告を表します。緑の円で囲まれたチェック マークは、すべて正常であることを示しています。

ダッシュボード ビューをカスタマイズして、情報を非表示にすることができます。

ダッシュボードを表示する手順については、「ダッシュボードを表示する」を参照してください。

ダッシュボードを使用した ISA Server 状態の監視

ダッシュボードを使用すると、ISA Server に関する重大な問題をすばやく見つけることができます。日常業務の一環として、重要なサーバーやサービスの状態を確認できます。

たとえば、ISA Server サービスが実行されており、主要サーバーが接続中であることを確認できます。ダッシュボードにざっと目を通すだけで、すべて正常に実行されていることがわかります。動作状態をチェックした後、警告を確認して、すべてのアタックが阻止されているか、即座に対処すべき問題が発生していないかどうかをチェックできます。

ダッシュボードで問題を検出した場合は、詳細情報を簡単に検索できます。関連するウィンドウの見出しをクリックすると、詳細情報が表示されたタブにジャンプします。

ダッシュボード ビューでは、警告の受信確認やリセットを行えます。警告の受信確認とリセットの詳細については、「警告」を参照してください。


警告

ISA Server の警告サービスは、指定されたイベントの発生時に通知されます。イベントが発生したとき、一連の動作をトリガするように警告定義を構成できます。ISA Server の警告サービスは、ディスパッチャおよびイベント フィルタとして機能します。警告サービスは、イベントを検出し、所定の条件を満たしているかどうかを確認して、対応する動作を実行します。

ISA Server の管理には、発生したすべてのイベントが、情報、注意、エラーという警告の種類ごとに表示されます。

警告はすべて警告ビューに表示されます。

警告の受信確認とリセット

イベントが発生すると、ISA Server は、警告定義で構成されている動作をトリガします。警告が警告ビューに表示され、すべてのイベントのサマリーがダッシュボード ビューに一覧表示されます。

警告のインスタンスのグループ全体をリセットするには、警告ヘッダーを選択します。警告ビューでは、警告のインスタンスが [サービスのシャットダウン] などの分類ごとにグループ化されます。グループの見出しを展開したり、折りたたんだりして、その見出しに含まれる項目の表示と非表示を切り替えることができます。

ISA Server の管理では、イベントの受信確認を行うことによって、特定のイベントを処理するか、イベントのグループを処理するかを指定できます。特定のイベントまたはイベントのグループを受信確認済みにすると、警告ビューではそれらのイベントの状態が変更されます。受信確認済みのイベントはダッシュボードに表示されなくなります。手順については、「警告の受信確認を行う」を参照してください。

同様に、警告をリセットすると、その警告が警告ビューから削除されます。手順については、「警告をリセットする」を参照してください。

注

  • ISA Server コンピュータを再起動すると、すべての警告がリセットされます。

警告定義の作成

ISA Server をインストールすると、すべての種類のイベントについて既定の警告が構成されます。さらに具体的なイベントを定義できます。たとえば、[ネットワーク構成の変更] イベントに対して構成済みの警告定義について考えてみます。ネットワーク管理者は、この汎用的な警告を設定し直して、独自に次のような 2 つの警告定義を作成できます。

  • ネットワークが無効になった場合に適用する警告定義
  • ネットワークが有効になった場合に適用する警告定義

前者の警告定義は、ネットワークが無効になるたびに、負荷分散クラスタからコンピュータを切断するためのバッチ ファイルを実行する動作をトリガします。後者の警告定義によって、電子メール メッセージを送信することができます。

注

  • 具体的なイベントの警告は、具体的でないイベントより優先されます。たとえば、2 つの警告が構成されており、1 つは "すべてのネットワーク構成の変更" を対象とした警告であり、もう 1 つは "ネットワークの接続" に対する警告であるとします。ネットワーク接続が行われると、後者の警告動作が実行されます。

手順については、「警告定義を追加する」を参照してください。

警告定義の構成

警告動作をトリガするイベントとその他の条件を選択できます。

次のしきい値を構成することもできます。これらのしきい値は、警告動作を実行するタイミングを指定します。

  • 警告が発行されるまでの 1 秒間のイベント発生回数 (イベント頻度しきい値とも呼ばれます)。
  • 警告が発行されるまでのイベントの発生回数。
  • 警告が再度発行されるまでの待機時間。

手順については、「警告の条件を編集する」を参照してください。

警告動作

警告条件が一致した場合に、次のいずれかの動作または複数の動作を実行するように設定できます。

  • 電子メール メッセージを送信する。
  • 特定の動作を実行する。
  • Windows イベント ログにイベントを記録する。
  • Microsoft ファイアウォール サービスまたは予定されたコンテンツ ダウンロード サービスを停止または開始する。

アプリケーションの実行時にどの資格情報を使用するかを設定できます。ローカル セキュリティ ポリシーを使用して、ユーザーの権限を構成します。

注

  • 指定したユーザーに "バッチ ジョブとしてログオン" 特権が与えられていることを確認してください。

警告動作がコマンドの実行である場合、そのコマンド動作で指定されているパスが ISA Server コンピュータ上に存在する必要があります。パス名内で、%SystemDrive% などの環境変数を使用することをお勧めします。

手順については、「警告の動作を編集する」を参照してください。

内部ネットワーク上に配置された SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP プロトコルを使用して内部ネットワークにアクセスできるようにするためのシステム ポリシー ルールを有効にする必要があります。システム ポリシー エディタの [リモート監視] 構成グループで [SMTP] を選択し、[有効にする] をクリックします。"ISA Server から信頼されたサーバーへの SMTP を許可する" ルールが有効になります。

外部 SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP プロトコルを使用して外部ネットワーク (または SMTP サーバーが配置されているネットワーク) にアクセスできるようにするためのアクセス ルールを作成する必要があります。

イベント

次の表は、イベントの一覧です。必要に応じて、ISA Server によって定義される追加のキーも記載されています。警告を作成するときは、その警告をトリガするイベントとして以下のいずれかを指定します。

イベント | 説明
警告の動作エラー | この警告に関連する動作が失敗しました。
キャッシュ コンテナの初期化エラー | キャッシュ コンテナの初期化に失敗したため、コンテナが無視されました。
キャッシュ コンテナの回復完了 | 単一コンテナの回復が完了しました。
キャッシュ ファイルのサイズ変更エラー | キャッシュ ファイルのサイズを小さくできませんでした。
キャッシュの初期化エラー | グローバル エラーのため、Web キャッシュ プロキシは無効になりました。
キャッシュの復元完了 | キャッシュ コンテンツの復元が完了しました。
キャッシュの書き込みエラー | コンテンツをキャッシュに書き込めませんでした。
キャッシュされたオブジェクトの破棄 | キャッシュの回復中に、競合する情報を持つオブジェクトが検出されました。オブジェクトは無視されました。
コンポーネントの読み込みエラー | 拡張コンポーネントを読み込むことができませんでした。
構成エラー | 構成情報を読み取り中にエラーが発生しました。
接続の制限超過 | ユーザーまたは IP アドレスが接続の制限を超えました。
ルールの接続制限を超過 | ルールで許可される 1 秒ごとの接続数を超えました。
DHCP の侵害に対抗する侵入検出が無効 | DHCP の侵害に対抗する侵入検出方法が有効ではありませんでした。
ダイヤル オン デマンド エラー | 応答がないか、通話中なため、ダイヤル オン デマンド接続を作成できませんでした。
DNS ゾーン転送侵入 | ゾーン転送アタックが発生しました。
イベント ログ エラー | システムのイベント ログにイベント情報のログを記録できませんでした。既定では、この警告が無効になります。
ファイアウォールの通信エラー | ファイアウォール クライアントと ISA Server ファイアウォール サービス間の通信が失敗しました。
FTP フィルタ初期化注意 | FTP フィルタで許可された ftp コマンドを解析できませんでした。コマンドが正しい形式で格納されていることを確認してください。各コマンドは、4 文字以内の長さで、空白文字で区切られる必要があります。
侵入の検出 | 外部ユーザーが侵入のアタックを試みました。
無効な CRL の検出 | 証明書失効リスト (CRL) がないか無効なため、クライアント証明書は失効しました。CRL の有効期限が切れているか、有効な CRL をダウンロードできませんでした。"CRL ダウンロード" システム ポリシー構成グループが有効で、CRL 配布ポイント (CDP) に接続していることを確認してください。
無効な DHCP 提供メッセージ | DHCP 提供メッセージの IP アドレスが無効です。
ダイヤル オン デマンドの資格情報エラー | ダイヤル オン デマンドの無効な資格情報が検出されました。
ODBC ログ資格情報が無効 | この ODBC データベースに指定されたユーザー名またはパスワードが無効です。
IP エラー | IP パケットの発信元アドレスが無効です。
ISA Server コンピュータの再起動 | 構成に対する変更は、コンピュータを再起動した後に有効になります。
ログ エラー | <サービス名> ログに失敗しました。
ログの保存の制限 | ログの保存の制限値に達しました。
ネットワーク構成の変更 | ISA Server に影響するネットワーク構成の変更が検出されました。
利用可能なポートなし | 利用できるポートがなかったため、ネットワーク ソケットを作成できませんでした。
接続なし | ISA Server は、要求されたサーバーとの接続を確立できませんでした。
OS コンポーネントとの競合 | IP ネットワーク アドレス変換 (NAT) エディタ、インターネット接続共有 (ICS)、ルーティングとリモート アクセスのうち、いずれかのオペレーティング システム コンポーネントと競合しています。
UDP パケット サイズのエラー | ユーザー データグラム プロトコル (UDP) パケットは、レジストリ キーで指定されている最大サイズを超えたので破棄されました。
POP 侵入 | POP (Post Office Protocol) バッファ オーバーフローが検出されました。
検疫された VPN クライアント ネットワークの変更 | 検疫された VPN クライアント ネットワークからユーザーが削除されました。既定では、この警告が無効になります。
レポート サマリーの生成エラー | ログ ファイルからレポート サマリーを生成中にエラーが発生しました。
リソースの割り当てエラー | リソースの割り当てエラーが発生しました。たとえば、システムのメモリ不足です。
ルーティング (チェーン) エラー | 要求を上位サーバーに転送できませんでした。
ルーティング (チェーン) の回復 | 上位サーバーへのルーティングを再開しました。
RPC フィルタ - バインド エラー | 定義されたポートは既に使用されているため、RPC Filter では使用できません。
RPC フィルタ - 接続の変更 | 公開の RPC サービス <サーバー名> への接続が変更されました。<追加のキー>
サーバー公開エラー | サーバー公開ルールが正しく構成されていません。
サーバー公開ルールは適用できません。 | サーバー公開ルールは適用できません。
サーバー公開の回復 | サーバー公開ルールを適用できます。
サービスの初期化エラー | サービスを初期化できませんでした。
サービスの応答なし | ISA Server サービスが予期せず機能を強制終了または停止しました。
サービスのシャットダウン | サービスが正常に停止しました。<%service name%>
サービスの開始 | サービスが正常に開始されました。<%service name%>
遅い接続 | ISA Server の、要求されたサーバーとの接続が遅くなっています。
SMTP フィルタ イベント | SMTP (簡易メール転送プロトコル) コマンド ルールに違反しました。
SOCKS 構成エラー | SOCKS プロパティで指定されたポートは、別のプロトコルで使用中です。
SYN アタック | SYN アタックが検出されました。
未登録のイベント | 登録されていないイベントが発生しました。
上位方向へのチェーン構成の資格情報 | 上位方向へのチェーン構成の資格情報が正しくありません。
VPN 接続のエラー | VPN クライアント接続に失敗しました。


セッション

ISA Server のリアルタイム監視機能を使用すると、ISA Server コンピュータの動作を集中的に監視できます。セッション ビューは、ISA Server で新しいセッションが識別されるたびに自動的に最新の情報に更新されます。手順については、「セッションを表示する」を参照してください。

セッションとは、クライアントの IP アドレスとユーザー名の一意な組み合わせです。ISA Server が認証を要求しない場合、同じ IP アドレスからのすべてのトラフィックは単一セッションと見なされます。したがって、Web ブラウザで同じ IP アドレスに対して複数の TCP 接続を開くと、ISA Server はこれらの接続を単一セッションと見なします。

ISA Server には、ファイアウォール クライアント、SecureNAT、仮想プライベート ネットワーク (VPN) クライアント、VPN サイト間、および Web プロキシのセッションが一覧表示されます。

クライアントが現在ブラウズを行っていない場合でも、最後の Web ブラウザの動作が Web プロキシ セッションとして表示されます。

公開サーバーが現在公開されている場合、そのサーバーはファイアウォール クライアント セッションとして表示されます。したがって、実際に接続されているクライアントがなくても、いくつかのファイアウォール クライアント セッションが表示される場合があります。

すべてのセッションの詳細は、セッション ビューに一覧表示されます。ファイアウォール クライアント、SecureNAT、および Web プロキシ セッションの合計のサマリーは、ダッシュボードに表示されます。詳細については、「ダッシュボード」を参照してください。

注

  • IP ルーティングが無効になっている場合は、ユーザーおよび IP アドレスからのトラフィックがセッション ビューに一覧表示されます。IP ルーティングが有効になっている場合は、アプリケーション フィルタを介して送受信されるトラフィックのセッションのみが一覧表示されます。

セッション ビューのフィルタ処理

セッション ビューをフィルタ処理して、特定の問題にフォーカスすることができます。たとえば、あるクライアントで接続上の問題が報告された場合は、そのクライアントによって開始されたセッションのみが表示されるように、セッション ビューをフィルタ処理することができます。セッション ビューアには、フィルタに含まれるすべての式に一致するセッションのデータのみが表示されます。つまり、フィルタ式は、論理演算子 AND を使用して組み合わせることができます。手順については、「特定のセッションを監視する」を参照してください。

セッション ビューを効果的にフィルタ処理するクエリを作成したら、それを保存しておき、後で使用することができます。異なるセッションの種類にフォーカスする個別のクエリを、1 つのクエリ セットとして保存しておくと便利です。手順については、「監視のフィルタ定義を保存する」および「監視のフィルタ定義を読み込む」を参照してください。

セッションの切断

セッション ビューには、悪意のあるまたは不要である可能性を持つセッションの動作が視覚的に示されます。セッション ビューでは、不要なセッションを即座に停止することができます。手順については、「セッションを切断する」を参照してください。

セッションを停止すると、関連するすべての接続も閉じられます。

セッションを停止しても、クライアントがセッションを再度アクティブにすることを止めることはできません。ファイアウォール ポリシー構成を変更して、不要なクライアントへのアクセスを明確に拒否するルールを作成する必要があります。詳細については、「ファイアウォール ポリシーの概要」を参照してください。

セッションの監視の一時停止と停止

セッションの監視を停止して、ISA Server のセッション ビューを実質的にクリアすることができます。セッションの監視を停止すると、監視していたセッションに関するすべての情報が ISA Server から失われます。セッションの監視を再開すると、アクティブなセッションに関するすべての情報が収集されます。

監視を一時停止することもできます。この場合、セッション ビューに表示されているセッションは削除されません。ただし、新しいセッションがビューに追加されることもありません。セッションの監視を再開すると、セッション ビューは、関連する新しいセッション情報で更新されます。

手順については、「セッションの監視を一時停止する」および「セッションの監視を停止する」を参照してください。


サービス

ISA Server をインストールすると、次の Microsoft® Windows® オペレーティング システムのサービスもインストールされます。

  • Microsoft ファイアウォール サービス
  • Microsoft ISA Server 制御サービス
  • Microsoft ISA Server ジョブ スケジューラ サービス
  • Microsoft Data Engine

Microsoft ファイアウォール、Microsoft ISA Server ジョブ スケジューラ、および Microsoft Data Engine サービスは、サービス ビューで停止または開始できます。手順については、「サービスを開始または停止する」を参照してください。

このほか、カーネル モード ドライバであるパケット フィルタ ドライバ (fweng) があります。これは、ファイアウォール上のすべてのトラフィックを取得して、ネットワーク トラフィックに対するパケット フィルタおよびアドレス変換の決定を行います。

Microsoft ファイアウォール サービス

Microsoft ファイアウォール サービス (fwsrv) は、ファイアウォール クライアントおよび SecureNAT クライアントからの要求をサポートする Windows サービスです。

ISA Server の管理を使用して、Microsoft ファイアウォール サービスのステータスを監視できます。同様に、ISA Server の管理では、ファイアウォール サービスの停止または開始も行うことができます。

ファイアウォール サービスは、あらゆる Web ブラウザからの要求をサポートします。これにより、Microsoft Windows Server™ 2003、Windows XP、Windows 2000、Windows Millennium Edition、Windows NT®、Windows 98、Windows 95、Macintosh、UNIX などの、ほぼすべてのデスクトップ オペレーティング システムへの Web アクセスが可能になります。ファイアウォール サービスは、Web プロキシ プロトコルがサポートする FTP (ファイル転送プロトコル)、HTTP (ハイパーテキスト転送プロトコル)、HTTPS のいずれかを使用して取得可能なインターネット オブジェクトを要求するクライアントの代わりとして、アプリケーション レベルで機能します。

クライアント (通常はブラウザ) は、ISA Server コンピュータを使用するように特別に構成する必要があります。ユーザーが Web サイトを要求すると、ブラウザはその URL を解析します。完全修飾ドメイン名 (FQDN) または IP アドレスとしてドットコム (.com) アドレスが使用されている場合、ブラウザはその宛先をリモートと見なし、HTTP 要求を ISA Server コンピュータに送信して処理されるようにします。

ファイアウォール サービスを停止しても、キャッシュ内の情報は削除されません。ただし、サービスを再起動したときに、キャッシュが完全に有効かつ動作可能な状態になるまで数秒かかる場合があります。サービスに障害が発生すると、ISA Server はキャッシュ内の情報を復元します。これにはしばらく時間がかかります。また、キャッシュが最終的に復元されるまで、最適なパフォーマンスが得られない可能性があります。

ISA Server 制御サービス

ISA Server 制御サービス (mspadmin) は、次の機能を実行する Microsoft Windows サービスです。

  • 必要に応じた他の ISA Server サービスの再起動
  • 警告の生成と動作の実行
  • 使用されていないログ ファイルの削除

ISA Server 制御サービスは、ISA Server の管理を使用して停止または開始することはできません。このサービスを停止するには、コマンド プロンプトで次のように入力します。

net stop isactrl

ISA Server 制御サービスを停止すると、他のすべての ISA Server サービスも停止します。

Microsoft ISA Server ジョブ スケジューラ

Microsoft ISA Server ジョブ スケジューラ サービス (w3prefch) は、ISA Server の管理で構成されたジョブに応じて Web サーバーからキャッシュ コンテンツをダウンロードする Microsoft Windows サービスです。

Microsoft ISA Server ジョブ スケジューラ サービスは、ISA Server の管理を使用してステータスを監視できます。同様に、ISA Server の管理では、Microsoft ISA Server ジョブ スケジューラ サービスの停止および開始も行うことができます。

このサービスを停止すると、予定されたコンテンツ ダウンロード ジョブは実行できなくなります。


ログ

既定では、Internet Security and Acceleration (ISA) Server 2004 をインストールすると、すべてのコンピュータでログ機能が有効になります。Web プロキシ、Microsoft ファイアウォール サービス、SMTP メッセージ スクリーナなど任意のコンポーネントに対してログ機能を無効にすることができます。既定では、Web プロキシおよびファイアウォール サービス ログのログ情報は、ログ ビューアで表示することができる Microsoft Data Engine (MSDE) データベースに保存されます。情報をファイル、SQL データベース、または MSDE データベースに保存することで、ログの保存を構成することができます。

ここでは、ISA Server 2004 のログ機能について説明します。

  • ログの保存形式
  • ログ ビューア
  • Microsoft ファイアウォール サービスのログ フィールド
  • Web プロキシのログ フィールド
  • SMTP メッセージ スクリーナのログ フィールド
  • SQL データベース ログ


ログの保存形式

ISA Server のログ情報は、ISA Server の管理から直接ログ ビューアを使用して表示できます。また、ログ情報は、次のいずれかの形式で保存できます。

  • Microsoft Data Engine (MSDE) データベース
  • SQL データベース
  • ファイル

MSDE データベース

MSDE 形式で保存したログ情報は、ログ ビューアに表示することができます。これを使用して、ネットワークの動作に関するオンライン情報にすばやくアクセスできます。ログ ビューアに表示されるデータはエクスポート可能なため、MSDE 形式で表示されているデータも、テキスト ファイルに保存できます。手順については、「MSDE データベースへのログを構成する」を参照してください。

MSDE ログの最大サイズは 2 ギガバイトです。ログ サイズがこの制限を超えると、ISA Server によって新しいデータベースが自動的に作成されます。同様に、1 日の始めには毎日新しいログが作成されます。ただし、ログ ビューアでは、すべてのデータが 1 つのデータベースのものであるかのように表示されます。

SQL データベース

ログ情報は、SQL データベースに保存できます。これはリモートでログを記録する場合に便利です。SQL データベースにログを記録する際のセキュリティ上の考慮事項については、「SQL データベース ログ」を参照してください。

手順については、「SQL データベースへのログを構成する」を参照してください。

SQL データベースにログを記録するには、"NetBios を使用した、信頼されたサーバーへのリモート ログを許可する" というシステム ポリシー ルールを有効にする必要があります。

ファイル

ISA Server のログは、次のいずれかの形式でファイルに保存できます。

  • World Wide Web Consortium (W3C) 形式
  • ISA Server 形式

SMTP メッセージ スクリーナのログ情報は、既定でファイル形式で保存されます。データベースには保存できません。

手順については、「ファイルへのログを構成する」を参照してください。

ログ ファイルの最大サイズは 2 ギガバイトです。ファイル サイズがこの制限を超えると、ISA Server によって新しいファイルが自動的に作成されます。同様に、1 日の始めには毎日新しいログ ファイルが作成されます。

W3C ログには、データとディレクティブの両方が記録され、バージョン、日付、およびログされたフィールドが示されます。フィールドはファイル内で指定されるため、選択していないフィールドはログに記録されません。区切り文字にはタブ文字が使用されます。日付および時間は世界協定時刻 (UTC) です。

ISA Server 形式にはデータのみが含まれ、ディレクティブは含まれません。すべてのフィールドが常にログに記録されます。ログでは、選択していないフィールドにはダッシュが付けられ、空であることが示されます。区切り文字にはコンマが使用されます。日付および時刻フィールドはローカル時間で表されます。

オプション

既定では、MSDE ログおよびログ ファイルの情報は、ISA Server インストール フォルダの下の ISALogs フォルダに格納されます。この場所は変更できます。

相対ディレクトリを指定すると、ログは ISA Server インストール フォルダの下の ISALogs フォルダに保存されます。絶対パスを指定すると、実際のログ フォルダは、各サーバーで異なる場合があります。

重要

  • ログは NTFS ボリュームに記録することをお勧めします。

ログ ファイルを圧縮すると、必要となるディスク領域を削減できます。ファイルは、NTFS パーティションに格納した場合のみ圧縮されます。NTFS 圧縮ファイルで作業すると、パフォーマンスが低下することがあります。圧縮ファイルの読み取り (アクセス) を行うと、Windows がファイルを自動的に展開し、ファイルへの書き込みを行うと、Windows がファイルを圧縮します。この処理が原因で、コンピュータのパフォーマンスが低下することがあります。

ログのメンテナンス

ISA Server には、ログのメンテナンス機能が装備されています。この機能では、ログ ファイルが一定の領域要件を超えないように構成することができます。ログを MSDE データベースまたはファイルに記録する場合は、ログ情報をローカル ディスクに格納しておく期間と、ログ用に割り当てるディスク領域のサイズを構成できます。手順については、「ログの保存の制限を構成する」および「MSDE データベースへのログを構成する」を参照してください。

ISA Server では、10 分ごとに、ログが指定された制限値を超えていないかどうかが確認されます。これは、その 10 分の間に、ログが制限値を超える可能性があることを意味します。


ログ ビューア

ISA Server のログ ビューアを使用して、トラフィックを監視および分析し、ネットワークの動作のトラブルシューティングを行うことができます。ログ ビューアは、発生したログ エントリをライブで表示できます。この場合、イベントがログに記録されるたびに、そのイベントがログ ビューアに表示されます。

ログ ビューア データのフィルタ処理

ログ ビューアに表示されるデータをフィルタ処理すると、特定の条件を満たすデータを表示できます。ログ ビューアには、フィルタに含まれるすべての式に一致するログ データのみが表示されます。つまり、フィルタ式は、論理演算子 AND を使用して組み合わせることができます。

たとえば、特定の IP アドレスについて、現在ログに記録されているすべてのログ エントリを表示するとします。この場合、ログ フィルタを次のように編集します。

  • [クライアント IP アドレス] を目的の IP アドレスに設定します。
  • [ログ時刻] を [ライブ] に設定します。

ログをフィルタ処理する場合は、必ず、ログ レコードの種類 (ファイアウォールまたは Web プロキシ) を 1 つとログ時刻を 1 つ選択します。手順については、「ログ ビューア データをフィルタ処理する」を参照してください。

ログ ビューアには、ログ形式に関係なく、ログ情報を表示できます。ただし、Microsoft Data Engine (MSDE) 以外のすべてのログ形式では、[ログ時刻] を [ライブ] に設定する必要があります。MSDE ログでは、ログ時刻をフィルタ処理して、履歴ログ情報を表示できます。ログ形式の詳細については、「ログの保存形式」を参照してください。

注

  • ログ ビューをフィルタ処理した場合、ログ ビューアに表示されるフィルタ結果は最大 10,000 件です。
  • ポリシー ルールまたはアプリケーション フィルタ以外の理由により許可されないトラフィックに対しては、IP データ、Raw IP ヘッダー、インターフェイスなどの一部のログ情報が表示されません。たとえば、偽造されたと見なされたため破棄されたトラフィックの場合、ログ情報は表示されません。

オフライン ログ ビューア

ログ ビューアに表示されるデータをフィルタ処理すると、オフライン データを表示できます。これを行うには、ログ フィルタを編集して、[ログ時刻] を任意の時刻に設定します。[ログ時刻] が [ライブ] に設定されていない限り、ログ ビューアにオフライン データが表示されます。

オフライン データを表示する場合、ログ ビューアによってデータベースが実際に検索されます。オフライン ログ表示は、ログの保存形式が MSDE の場合にのみ使用できます。

ログ ビューアのフィールド

次の表は、ISA Server の各ログ ファイルのフィールドがログ ビューアにどのように表示されるかを示しています。SMTP メッセージ スクリーナのログ情報は、ログ ビューアには表示されません。

ファイアウォール | Web プロキシ | 説明
動作 | 該当なし | 可能な値の一覧については、「動作ログの値」を参照してください。
該当なし | 認証済みクライアント | クライアントが ISA Server で認証されたかどうかを示します。可能な値には、Y と N があります。
双方向 | 該当なし | トラフィックが送信と受信かどうかを示します。
受信バイト | 受信バイト | 現在の接続の間に、宛先コンピュータから送信され、クライアントによって受信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータから何も受信していないことを示しています。
送信バイト | 送信バイト | 現在の接続の間に、送信元クライアントから宛先サーバーに送信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータに何も送信されなかったことを示しています。
該当なし | キャッシュ情報 | この数値は、オブジェクトのキャッシュ状態を反映しており、オブジェクトがキャッシュされた理由、またはキャッシュされなかった理由を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「キャッシュ情報ログの値」を参照してください。
クライアント エージェント クライアント エージェント HTTP (ハイパーテキスト転送プロトコル) ヘッダーを使用して、クライアントによって送信されたクライアント アプリケーションの種類。ISA Server がアクティブにキャッシュしている場合、クライアント エージェントは ISA Server になります。
Microsoft ファイアウォール サービスの場合、このフィールドには、クライアントのオペレーティング システムについての情報が含まれます。可能な値の一覧については、「オペレーティング システム ログの値」を参照してください。
クライアント IP アドレス | クライアント IP アドレス | 要求元クライアントの IP アドレス。
クライアントのユーザー名 | クライアントのユーザー名 | 要求を行っているユーザーのアカウント。ISA Server のアクセス制御が使用されていない場合、ISA Server は anonymous を使用します。
宛先 IP アドレス | 宛先 IP アドレス | 現在の接続にサービスを提供するリモート コンピュータのネットワーク IP アドレス。Web プロキシでは、このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが提供されたことを示します。唯一の例外はネガティブ キャッシュです。この場合、このフィールドは、ネガティブキャッシュされたオブジェクトが返された宛先 IP アドレスを示します。
宛先ホスト名 | 宛先ホスト名 | 現在の接続にサービスを提供するリモート コンピュータのドメイン名。Web プロキシでは、このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが取得されたことを示します。
宛先ネットワーク | 宛先ネットワーク | 現在の接続にサービスを提供するネットワーク。
宛先ポート | 宛先ポート | 現在の接続にサービスを提供するリモート コンピュータの予約されたポート番号。これは、要求元のクライアント アプリケーションによって使用されます。
宛先プロキシ | 該当なし | 現在の接続にサービスを提供するリモート コンピュータ。
該当なし | エラー情報 | エラー情報。
該当なし HTTP メソッド 使用されるアプリケーション メソッドを示します。Web プロキシの場合、一般的な値は、GET、PUT、POST、および HEAD です。
ファイアウォール サービスの場合、一般的な値は、CONNECT、BIND、SEND、RECEIVE、GHBN (GetHostByName)、および GHBA (GetHostByAddress) です。
ログ時刻 | ログ時刻 | ログに記録されたイベントが発生した時刻。
該当なし | オブジェクト ソース | 現在のオブジェクトの取得元を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「オブジェクト ソース ログの値」を参照してください。
該当なし | MIME の種類 | 現在のオブジェクトの Multipurpose Internet Mail Extensions (MIME) の種類。このフィールドがハイフン (-) である場合、このフィールドが使用されていないか、有効な MIME の種類がリモート コンピュータで定義またはサポートされていないことを示します。このフィールドは、Web プロキシ ログにのみ適用されます。
ネットワーク インターフェイス | 該当なし | トラフィックを受信したインターフェイスのプライマリ IP アドレス。
該当なし 処理時間 ISA Server が現在の接続を処理するために要する合計時間 (ミリ秒単位) を示します。サーバーが最初に要求を受け取ってから、そのサーバーで最後の処理を実行し、その結果がクライアントに返されて接続が閉じられる時点までのサーバーの経過時間が計測されます。

Web プロキシを介して処理されたキャッシュ要求の場合、クライアント要求を完全に処理し、サーバー キャッシュからクライアントにオブジェクトを返すために要したサーバーの経過時間が処理時間となります。
プロトコル プロトコル 接続に使用されるアプリケーション プロトコルを示します。一般的な値は、HTTP、FTP (ファイル転送プロトコル)、および Secure HTTP (HTTPS) です。
ファイアウォール サービスの場合、ポート番号もログに記録されます。
Raw ペイロード | 該当なし
該当なし | 参照しているサーバー | ISA Server がチェーン構成の上位で使用されている場合、これは、要求を送信した下位サーバーのサーバー名を示します。
結果コード | 結果コード | このフィールドは、要求の状態を示します。可能な値の一覧については、「結果コード ログの値」を参照してください。
ルール | ルール | これは、要求へのアクセスを許可または拒否したルールを反映します。
該当なし | サーバー名 | ISA Server を実行しているコンピュータの名前。これは、Microsoft Windows で割り当てられているコンピュータ名です。
該当なし サービス ログに記録されるサービスの名前。
  • w3proxy は、発信方向の Web 要求を示します。
  • fwsrv は、ファイアウォール サービスを示します。
  • w3reverseproxy は、着信方向の Web 要求を示します。
送信元ネットワーク | 送信元ネットワーク | 要求元のネットワーク。
送信元ポート | 該当なし | 要求元クライアントが要求を送信したポート。
送信元プロキシ | 該当なし | クライアント コンピュータを表す IP アドレス。
トランスポート プロトコル | トランスポート プロトコル | 接続に使用されるトランスポート プロトコルを示します。一般的な値は、TCP およびユーザー データグラム プロトコル (UDP) です。
該当なし | URL | このフィールドは、URL 要求の内容を示します。このフィールドは、Web プロキシ ログにのみ適用されます。


Microsoft ファイアウォール サービスのログ フィールド

ISA Server ログを使用して、Microsoft ファイアウォール サービスの状態を監視および分析することができます。

次の表は、各 ISA Server ログ ファイルに含めることができるフィールドの一覧です。ISA Server のログ形式では、使用できないフィールドにはハイフン (-) が付いてログに表示されます。World Wide Web Consortium (W3C) ログ ファイル形式では、フィールドは表示されません。

フィールド列は、ISA Server ファイル形式内の位置を示しています。

ログに保存するフィールドを制限することができます。手順については、「ログに記録するフィールドを指定する」を参照してください。

フィールド | ファイアウォール (W3C) | ファイアウォール (MSDE) | 説明
1 | computer | servername | ISA Server を実行しているコンピュータの名前。これは、Microsoft Windows で割り当てられているコンピュータ名です。
2 | date | TimeStamp | ログに記録されたイベントが発生した日付で、ISA Server コンピュータで設定された日時に基づきます。Microsoft Data Engine (MSDE) 形式では、日付と時刻の両方が入ったタイム スタンプになります。
3 | time | 該当なし | ログに記録されたイベントが発生した時刻で、ISA Server コンピュータで設定された日時に基づきます。W3C 形式では、これは世界協定時刻 (UTC) になります。
4 | IP Protocol | Protocol | 接続に使用されるトランスポート プロトコルを示します。一般的な値は、TCP およびユーザー データグラム プロトコル (UDP) です。
5 | source | SourceIP | 要求元クライアントの IP アドレス。MSDE 以外のすべての形式で、source フィールドには IP アドレスとポートが含まれます。MSDE では、SourceIP および SourcePort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
5 |  | SourcePort | (MSDE のみ) ICMP パケットでは、このフィールドは ICMP の種類を示します。MSDE では、SourceIP および SourcePort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
6 | destination | DestinationIP | 現在の接続にサービスを提供するリモート コンピュータのネットワーク IP アドレス。MSDE 以外のすべての形式で、Destination フィールドには IP アドレスとポートが含まれます。MSDE では、DestinationIP および DestinationPort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
6 |  | DestinationPort | (MSDE のみ) ICMP パケットでは、このフィールドは ICMP コードを示します。MSDE では、DestinationIP および DestinationPort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
7 | original client IP | OriginalClientIP | 要求を行っているクライアントの IP アドレス。
8 | source network | SourceNetwork | 要求元のネットワークの名前。
9 | destination network | DestinationNetwork | 現在の要求にサービスを提供するネットワークの名前。
10 | action | Action | 使用されるアプリケーション メソッドを示します。一般的な値は、CONNECT、BIND、SEND、RECEIVE、GHBN (GetHostByName)、および GHBA (GetHostByAddress) です。
11 | status | resultcode | このフィールドは、要求の状態を示します。可能な値の一覧については、「結果コード ログの値」を参照してください。
12 | rule | rule | これは、要求へのアクセスを許可または拒否したルールを反映します。
13 | application protocol | ApplicationProtocol | プロトコル定義に基づいてアプリケーション プロトコルの名前を示します。アプリケーション プロトコルを特定できない場合は、"Unidentified IP Traffic" と表示されます。
14 | Bidirectional | Bidirectional | アプリケーション プロトコルが双方向 (送信と受信) かどうかを示します。
15 | bytes sent | bytessent | 現在の接続の間に、送信元クライアントから宛先サーバーに送信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータに何も送信されなかったことを示しています。
16 | bytes sent intermediate | bytessentDelta | 現在の接続の間に、送信元クライアントによって宛先コンピュータに既に送信されたバイト数。
17 | bytes received | bytesrecvd | 現在の接続の間に、宛先コンピュータから送信され、クライアントによって受信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータから何も受信していないことを示しています。
18 | bytes received intermediate | bytesrecvdDelta | 現在の接続の間に、送信元クライアントから送信され、宛先コンピュータによって既に受信されたバイト数。
19 | connection time | connectiontime | 接続時間 (ミリ秒単位)。
20 | connection time intermediate | connectiontimeDelta | これまでの接続時間 (ミリ秒単位)。
21 | source proxy | SourceProxy | 将来の使用に備えて予約されています。
22 | destination proxy | DestinationProxy | 将来の使用に備えて予約されています。
 | Source Name | SourceName | 将来の使用に備えて予約されています。
24 | destination name | DestinationName | 将来の使用に備えて予約されています。
25 | Username | ClientUserName | 要求を行っているユーザーのアカウント。ISA Server のアクセス制御が使用されていない場合、ISA Server は anonymous を使用します。
26 | agent | ClientAgent | ファイアウォール クライアントの場合、<アプリケーション名>:<OS の署名> という形式でオペレーティング システムを指定します。 SecureNAT クライアントの場合、このフィールドは空です。
27 | Session ID | sessionid | セッションの接続を識別します。ファイアウォール クライアントでは、ファイアウォール サービスを介して接続するプロセスごとに、セッションが開始されます。SecureNAT クライアントでは、同じ IP アドレスからのすべての接続に対して 1 つのセッションが開始されます。
28 | Connection ID | connectionid | 同じソケットに属するエントリを識別します。発信 TCP には通常、接続ごとに、接続が確立されたときと終了したときの 2 つのエントリがあります。UDP には通常、リモート アドレスごとに 2 つのエントリがあります。
29 | Interface | Interface | 要求を受信したネットワーク アダプタのプライマリ IP アドレス。
30 | IP header | IPHeader | パケットの IP ヘッダー。
31 | protocol payload | Payload | パケットの IP ペイロード。


Web プロキシのログ フィールド

ISA Server のログを使用して、Web プロキシ要求の状態を監視および分析することができます。

次の表は、各 ISA Server ログ ファイルに含めることができるフィールドの一覧です。ISA Server のログ形式では、使用できないフィールドにはハイフン (-) が付いてログに表示されます。World Wide Web Consortium (W3C) ログ ファイル形式では、フィールドは表示されません。

フィールド列は、ISA Server ファイル形式内の位置を示しています。

ログに保存するフィールドを制限することができます。手順については、「ログに記録するフィールドを指定する」を参照してください。

注

  • Web プロキシ クライアントの認証プロセスが複数の要求で構成されている場合、それぞれの要求がログに記録されます。
  • Web プロキシ ログでは、宛先 IP アドレスとポート番号は、拒否された要求に対してはログに記録されません。
フィールド | Web プロキシ (W3C) | Web プロキシ (MSDE) | 説明
1 | c-ip | ClientIP | 要求元クライアントの IP アドレス。
2 | cs-username | ClientUserName | 要求を行っているユーザーのアカウント。ISA Server のアクセス制御が使用されていない場合、ISA Server は anonymous を使用します。
3 | c-agent | ClientAgent | クライアント要求で指定されている "User-Agent" ヘッダーを示します。
4 | sc-authenticated | ClientAuthenticate | クライアントが ISA Server で認証されたかどうかを示します。可能な値には、Y と N があります。
5 | date | TimeStamp | ログに記録されたイベントが発生した日付で、ISA Server コンピュータで設定された日時に基づきます。MSDE 形式では、日付と時刻の両方が入ったタイム スタンプになります。
6 | time | 該当なし | ログに記録されたイベントが発生した時刻で、ISA Server コンピュータで設定された日時に基づきます。W3C 形式では、これは世界協定時刻 (UTC) になります。
7 s-svcname service ログに記録されるサービスの名前。
  • w3proxy は、発信方向の Web 要求を示します。
  • w3reverseproxy は、着信方向の Web 要求を示します。
8 | s-computername | servername | ISA Server を実行しているコンピュータの名前。これは、Windows で割り当てられているコンピュータ名です。
9 | cs-referred | referredserver | 将来の使用に備えて予約されています。
10 | r-host | DestHost | 現在の接続にサービスを提供するリモート コンピュータのドメイン名。このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが取得されたことを示します。
11 | r-ip | DestHostIP | 現在の接続にサービスを提供するリモート コンピュータのネットワーク IP アドレス。このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが提供されたことを示します。唯一の例外はネガティブ キャッシュです。この場合、このフィールドは、ネガティブキャッシュされたオブジェクトが返された宛先 IP アドレスを示します。
12 | r-port | DestHostPort | 現在の接続にサービスを提供するリモート コンピュータの予約されたポート番号。これは、要求元のクライアント アプリケーションによって使用されます。
13 time-taken processingtime ISA Server が現在の接続を処理するために要する合計時間 (ミリ秒単位) を示します。サーバーが最初に要求を受け取ってから、そのサーバーで最後の処理を実行し、その結果がクライアントに返されて接続が閉じられる時点までのサーバーの経過時間が計測されます。

Web プロキシを介して処理されたキャッシュ要求の場合、クライアント要求を完全に処理し、サーバー キャッシュからクライアントにオブジェクトを返すために要したサーバーの経過時間が処理時間となります。
14 | cs-bytes | bytesrecvd | 現在の接続の間に、宛先コンピュータから送信され、クライアントによって受信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータから何も受信していないことを示しています。
15 | sc-bytes | bytessent | 現在の接続の間に、送信元クライアントから宛先サーバーに送信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータに何も送信されなかったことを示しています。
16 | cs-protocol | protocol | 接続に使用されるアプリケーション プロトコルを示します。一般的な値は、HTTP、FTP (ファイル転送プロトコル)、および Secure HTTP (HTTPS) です。
17 | cs-transport | transport | 接続に使用されるトランスポート プロトコルを示します。値は常に TCP です。
18 | s-operation | operation | 使用されるアプリケーション メソッドを示します。Web プロキシの場合、一般的な値は、GET、PUT、POST、および HEAD です。
19 | cs-uri | uri | このフィールドは、URL 要求の内容を示します。このフィールドは、Web プロキシ ログにのみ適用されます。
20 | cs-mime-type | mimetype | 現在のオブジェクトの Multipurpose Internet Mail Extensions (MIME) の種類。このフィールドがハイフン (-) である場合、このフィールドが使用されていないか、有効な MIME の種類がリモート コンピュータで定義またはサポートされていないことを示します。このフィールドは、Web プロキシ ログにのみ適用されます。
21 | s-object-source | objectsource | 現在のオブジェクトの取得元を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「オブジェクト ソース ログの値」を参照してください。
22 | sc-status | resultcode | このフィールドは、要求の状態を示します。可能な値の例については、「結果コード ログの値」を参照してください。
23 | s-cache-info | CacheInfo | この数値は、オブジェクトのキャッシュ状態を反映しており、オブジェクトがキャッシュされた理由、またはキャッシュされなかった理由を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「キャッシュ情報ログの値」を参照してください。
24 | rule | rule | これは、要求へのアクセスを許可または拒否したルールを反映します。
25 | FilterInfo | FilterInfo | このフィールドには、Web フィルタがログに記録できる情報が含まれます。たとえば、HTTP フィルタが要求を拒否する場合、拒否の理由がここに格納されます。
26 | cs-Network | SrcNetwork | 要求の発行元のネットワーク。
27 | sc-Network | DstNetwork | 要求の転送先のネットワーク。
28 | error-info | ErrorInfo | このフィールドには、要求の処理方法に関する追加情報が含まれます。


SMTP メッセージ スクリーナのログ フィールド

ISA Server ログを使用して、SMTP メッセージ スクリーナの状態を監視および分析することができます。

次の表は、各 ISA Server ログ ファイルに含めることができるフィールドの一覧です。ISA Server のログ形式では、使用できないフィールドにはハイフン (-) が付いてログに表示されます。World Wide Web Consortium (W3C) ログ ファイル形式では、フィールドは表示されません。

フィールド列は、ISA Server ファイル形式内の位置を示しています。

ログに保存するフィールドを制限することができます。手順については、「ログに記録するフィールドを指定する」を参照してください。

フィールド | W3C | 説明
1 | date | ログに記録されたイベントが発生した日付。
2 | time | ログに記録されたイベントが発生した時刻。W3C 形式では、これは世界協定時刻 (UTC) になります。
3 | cs-sender | "MAIL FROM:" SMTP ヘッダーで指定されている差出人の名前。72 文字までに制限されています。
4 | cs-recipient | "RCPT TO:" SMTP ヘッダーで指定されている受信者の名前。72 文字までに制限されています。
5 | cs-subject | メッセージの件名。72 文字までに制限されています。
6 | cs-messageid | メッセージの ID。差出人によって生成された一意なメッセージ ID、または受信時に Windows SMTP サービスによって自動的に割り当てられた ID です。72 文字までに制限されています。
7 x-action ISA Server が実行した動作。次のいずれかになります。
  • Delete。メッセージは削除されます。
  • Hold。メッセージは BadMail キューに保存されます。
  • Forward。元のメッセージで指定されている受信者ではなく、別の受信者にメッセージが転送されます。
  • Pass。cs-recipient で指定されている受信者にメッセージが送信されます。
8 x-reason ISA Server がその動作 (x-action) を実行した理由。次のいずれかになります。
  • Some message properties could not be read. Taking default action.
    既定の動作は Hold です。
  • Policy rule stamp could not be found in the message. Taking default action.
    既定の動作は Hold です。ポリシー ルール スタンプは、ISA Server がメッセージ内に挿入するもので、メッセージにどのルールを適用すべきかをメッセージ スクリーナに知らせるための情報です。これは、メッセージが SMTP メッセージ スクリーナに渡される前に、そのメッセージが SMTP アプリケーション フィルタを通過しなかった場合に生成されます。
  • Logger is not initialized yet. Taking default action.
    既定の動作は Hold です。
  • Policy rule could not be read. Taking default action.
    既定の動作は Hold です。
  • Failed while trying to forward the message.
    該当するエラー コードもここに表示されます。
  • The SMTP Message Screener policy rule does not allow messages from sender.
  • The SMTP Message Screener policy rule does not allow attachment.
  • The SMTP Message Screener policy rule does not allow attachment extension.
  • The SMTP Message Screener policy rule does not allow attachments of specified size.
  • The SMTP Message Screener policy rule does not allow messages with specified subject.
  • The SMTP Message Screener policy rule does not allow messages with specified message body.


SQL データベース ログ

ログ情報を SQL データベースに保存すると、リモート ログに役立ちます。この方法を選択する場合は、次の点に注意してください。

  • SQL データベースにログを記録する際、適切なセキュリティを構成することをお勧めします。
  • SQL 認証ではなく、Windows 認証を使用することをお勧めします。
  • リモート データベースにログを記録する場合は、リモート データベースにコピーするログ情報に対して暗号化およびデータ署名を構成することをお勧めします。
  • 最大限のセキュリティを実現するために、ISA Server コンピュータと SQL Server 間の通信に対してインターネット プロトコル セキュリティ (IPSec) を構成することをお勧めします。

SQL Server へのログ出力を構成する手順については、「ISA Server ログ用の SQL Server をセットアップする」を参照してください。


レポート

ここでは、Internet Security and Acceleration (ISA) Server 2004 のレポート機能について説明します。

  • レポートの概要
  • レポート機構の動作
  • レポートの表示と公開


レポートの概要

ISA Server のレポート機能を使用して、通信パターンの概要を示し、分析を行うことができます。特に、レポートを作成すると、一般的な使用パターンを知ることができます。次に例を示します。

  • サイトにアクセスしているユーザーとアクセスされているサイト
  • もっとも頻繁に使用されるプロトコルとアプリケーション
  • 一般的なトラフィックのパターン
  • キャッシュ率

また、レポートを使用して、ネットワークのセキュリティを監視することもできます。たとえば、内部リソースに対する悪意のあるアクセスの試みを追跡するレポートなどを生成できます。同様に、公開されたサーバーへの接続数やトラフィックを追跡すれば、サービス拒否攻撃の試みを識別することもできます。

定期的なレポート

ISA Server のレポート機構を使用すると、ログ ファイルから収集されたデータに基づく定期的なレポートをスケジュールできます。レポートは、日次、週次、月次、または年次ベースで定期的に生成されるようにスケジュールできます。レポートには、日次、週次、月次、または年次データを出力できます。

レポート ジョブをスケジュールするには、以下を指定します。

  • レポートの対象となる動作期間
  • レポートの生成日時と生成頻度

手順については、「定期的なレポート ジョブを作成する」を参照してください。


レポート機構の動作

ISA Server のレポート機構では、ISA Server コンピュータのサマリー ログを、個々の ISA Server コンピュータのデータベースに結合します。データベースは、ISA Server コンピュータ上のフォルダに存在します。既定では ISASummaries フォルダです。レポートが作成されると、関連するすべてのサマリー データベースが結合されて 1 つのレポート データベースになります。レポートは、結合されたサマリーに基づいて作成されます。

ISA Server レポートは、Web プロキシ および Microsoft ファイアウォール サービス ログに基づいて作成されます。次の表は、レポートの生成に使用されるファイアウォール サービス ログ フィールドおよび Web プロキシ ログ フィールドの一覧です。

Web プロキシのログ フィールド | ファイアウォール サービスのログ フィールド
受信バイト | 動作
送信バイト | 受信バイト
クライアント エージェント | 送信バイト
クライアント IP アドレス | バイト送信デルタ
クライアントのユーザー名 | クライアント エージェント
宛先ホスト名 | クライアントのユーザー名
宛先 IP アドレス | クライアント IP アドレス
宛先ポート | クライアント ポート
HTTP の状態コード | 宛先 IP アドレス
ログ時刻 | 宛先ポート
ログの日付 | ログの日付
オブジェクト ソース | ログ時刻
処理時間 | 元のクライアント IP アドレス
プロトコル | 処理時間
トランスポート プロトコル | 処理時間デルタ
URL | プロトコル
 | 結果コード
 | トランスポート プロトコル

ISA Server と共にインストールされる DailySum.exe アプリケーションは、特定の時刻に上記のログ情報のサマリーを作成します。既定では、DailySum.exe はレポートを作成またはスケジュールするかどうかに関係なく、ISA Server コンピュータで常に実行されます。アプリケーションを無効にするための手順については、「レポート サマリー データベースの生成を無効にする」を参照してください。

保存されるログ サマリーには、日ごとと月ごとの 2 種類のサマリーがあります。Dailysum.exe は、月初めには月ごとのサマリーも作成します。これは、前月の日ごとのサマリーを集計したものです。少なくとも 35 の日ごとのサマリーと 13 の月ごとのサマリーが保存されます。ISA Server がログ サマリーを保存する方法および場所を構成することができます。手順については、「レポート サマリー データベースを構成する」を参照してください。

レポートを生成するために、ISA Server は、ISARepGen.exe アプリケーションを実行します。このアプリケーションも ISA Server と共にインストールされます。


レポートの表示と公開

レポートを表示するには、ISA Server の管理でレポート名をダブルクリックします。レポートは Internet Explorer に表示されます。手順については、「レポートを表示する」を参照してください。

レポートは、ISA Server の管理を実行しているコンピュータでのみ表示できます。他のコンピュータのレポートには、空のデータが表示されるか、空のフレームを含むページと "Web サイトを表示できません" というメッセージが表示されます。

レポートに表示されるデータについては、次のことに注意してください。

  • 要求は、接続が終了したときにのみ計算されます。
  • ログ内のすべての行のバイト数がカウントされます。

レポートの公開

レポートをさらに幅広く利用できるようにするために、レポートは共有フォルダに公開できます。レポートにアクセスするには、このフォルダへの読み取りアクセス許可が必要です。こうすると、他のユーザーは、ISA Server コンピュータにアクセスしなくても、また ISA Server の管理を使用しなくても、レポートを表示できるようになります。手順については、「レポートを公開する」を参照してください。

レポートを公開すると、複数のレポート ファイルとそれに関連するグラフィックスが指定の公開フォルダに保存されます。

レポートを公開するための資格情報

レポートを公開するときは、公開フォルダの書き込みアクセス許可が IsaRepGen.exe プロセスに割り当てられている必要があります。IsaRepGen.exe がレポートの作成に使用する資格情報を構成できます。

既定では、ローカル システム アカウントが使用されます。ただし、レポートを別のコンピュータに公開する場合、ローカル システム アカウントの資格情報は実際には (ISA Server) コンピュータ アカウントとして渡されることに注意してください。コンピュータ アカウントには、ネットワーク共有フォルダへの書き込みアクセス許可が割り当てられている必要があります。

ISA Server が Windows NT 4.0 ドメインにインストールされているか、ワークグループ モードでインストールされている場合、IsaRepGen.exe は認証されていないアカウントを使用します。この場合、レポートを別のコンピュータに公開するときは、ユーザーの資格情報を指定することをお勧めします。

レポートの内容

レポートに含める内容を構成することができます。レポートには、次の種類の内容を含めることができます。

  • サマリー。サマリー コンテンツを含めると、ネットワーク トラフィックの使用に関する要約情報が、アプリケーション別にレポートに表示されます。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。
  • Web の使用。Web の使用コンテンツを含めると、上位 Web ユーザー、一般的な応答、およびブラウザに関する情報がレポートに表示されます。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。これには、Web が企業内でどのように使用されているかが示されます。
  • アプリケーションの使用。アプリケーションの使用コンテンツを含めると、上位ユーザー、クライアント アプリケーション、および宛先に関するインターネット アプリケーションの使用情報がレポートに表示されます。
  • トラフィックと使用状況。トラフィックと使用状況のコンテンツを含めると、総合的なインターネットの使用が、アプリケーション、プロトコル、および方向別にレポートに表示されます。これらのレポートには、平均トラフィックと最大同時接続数、キャッシュ ヒット率、エラー、およびその他の統計も示されます。
  • セキュリティ。セキュリティ コンテンツを含めると、ネットワーク セキュリティに違反する試行が一覧に表示されます。


接続

ISA Server の接続機能を使用すると、ISA Server コンピュータから任意のネットワーク上の特定のコンピュータまたは URL への接続を定期的に監視することにより、接続を検証できます。接続の識別に、次のうちいずれの方法を使用するかを構成できます。

  • Ping。この方法を構成すると、ISA Server は、指定したサーバーに ICMP ECHO_REQUEST を送信し、ICMP ECHO_REPLY を待ちます。この方法は、サーバーが実行されていること、および ISA Server から到達可能であることを検証する場合に使用します。
  • TCP 接続。この方法を構成すると、ISA Server は、指定したサーバーの特定のポートに対する TCP 接続の確立を試みます。この方法は、サーバー上の特定のサービスが実行中であること、および ISA Server から到達可能であることを検証する場合に使用します。
  • HTTP 要求。この方法を構成すると、ISA Server は、HTTP Get 要求を送信し、応答を待ちます。この方法は、Web サーバーが実行されていること、および ISA Server から到達可能であることを検証する場合に使用します。

IP アドレス、コンピュータ名、または URL を指定して、監視対象のサーバーを選択できます。手順については、「接続検証方法を作成する」を参照してください。

サーバーの接続検証方法を構成する際は、Active Directory、DHCP、DNS、公開されたサーバー、Web (インターネット)、その他のいずれかのグループに分類します。サーバー グループのステータスはダッシュボード ビューに表示されるため、特定のサービスに問題があるかどうかを迅速に判断できます。

たとえば、FTP サーバー、SQL サーバー、および Exchange サーバーを公開していて、クライアントがそれらを常時使用できることが必要であるとします。各サーバーに対して接続検証方法を作成し、それらをすべて Published Servers グループに分類することができます。サーバーのいずれかが正常に機能していない場合、それはまず、ダッシュボードで確認できます。[接続] タブで、正常に機能していないサーバーを特定できます。手順については、「接続検証方法グループを構成する」を参照してください。

別のシナリオとして、ISA Server が外部ネットワークの Web サイトに実際に接続していることを検証する必要があるとします。そのためには、一般に使用可能なものとして知られている 3 つの一般的な Web サイトに対する HTTP 接続検証方法を定義します。接続検証方法を、Web (インターネット) グループに分類します。

HTTP 要求を発行して接続を確認する接続検証方法を作成すると、ISA Server では、ローカル ホストからすべてのネットワークへの HTTP および HTTPS トラフィックを許可する、"接続検証方法に、ISA Server から選択されたサーバーへの HTTP/HTTPS 要求を許可する" というシステム ポリシー ルールが有効になります。HTTP を使用する接続検証方法をすべて無効にするか、削除すると、このシステム ポリシー ルールは無効になります。詳細については、「システム ポリシーの概要」を参照してください。

HTTP 応答の分析

HTTP 要求を送信する接続検証方法メソッドを構成した場合は、監視対象のサーバーから HTTP 応答が返されます。その応答に応じて、ISA Server は、次の表に示す接続検証方法ステータスを設定します。

監視対象サーバーからの HTTP 応答 | 接続検証方法のステータス
1xx、2xx、または 3xx | OK。これは応答時間 (ミリ秒単位) です。
401 (Web サーバーの認証が必要) | OK。Web サーバーからメッセージが返されたため、エラーとは見なされません。
407 (プロキシの認証が必要) | エラー (Windows Server 2003)。実際の Web サーバーへの接続が特定できないため、エラーと見なされます。
407 (プロキシの認証が必要) | 認証が必要です (Windows 2000 Server)。
4xx (401 と 407 を除く) または 5xx | エラー。
要求のタイムアウト | タイムアウト。
サーバー名が解決できない | 未解決の名前。
ISA Server がダウン | 検証できません。Microsoft ファイアウォール サービスを使用できません。


パフォーマンス モニタ

パフォーマンス データは、レポートのほか、さまざまなグラフやログ形式で表示できます。パフォーマンス ログは、長期にわたってカウンタを監視する場合に便利です。カウンタが一定の値に達したらイベントを作成するよう、パフォーマンス警告を構成することができます。たとえば、ログ エントリ、ネットワーク メッセージの送信、プログラムの実行などのイベントを作成できます。ISA Server のパフォーマンス データは、ダッシュボードに表示することも、ISA Server パフォーマンス モニタを使用して表示することもできます。ISA Server パフォーマンス モニタを使用すると、Windows システム モニタ内の ISA Server の既定のカウンタが表示されます。ダッシュボードを表示する手順については、「ダッシュボードを表示する」を参照してください。システム モニタを使用する手順については、Windows ヘルプを参照してください。

ISA Server をリモート管理する場合は、[パフォーマンスのログと警告] スナップインを開くことによってパフォーマンス カウンタを表示できます。Windows 2000 を実行しているコンピュータでは、ISA Server コンピュータの管理者のみがパフォーマンス カウンタを表示できます。Windows Server 2003 を実行しているコンピュータでは、Performance Monitoring Users グループのすべてのメンバがパフォーマンス カウンタを表示できます。


監視 : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 を監視する手順について説明します。

  • 監視のビューを更新する
  • 更新間隔を設定する
  • ダッシュボードを表示する
  • 警告を構成する
  • セッションの監視を構成する
  • サービスを開始または停止する
  • ログを構成する
  • レポートを構成する
  • 接続検証方法を構成する


監視のビューを更新する

監視のビューを更新するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、更新するビューのタブをクリックします。使用可能なタブは、[ダッシュボード]、[警告]、[サービス]、[レポート]、および [接続] です。
  3. [タスク] タブで、[更新] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [更新] をクリックすると、選択したタブにあるデータのみが更新されます。


更新間隔を設定する

更新間隔を設定するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、更新するビューのタブをクリックします。使用可能なタブは、[ダッシュボード]、[警告]、[サービス]、[レポート]、および [接続] です。
  3. [タスク] タブの [自動更新間隔] で、[なし]、[低]、[中]、[高] のいずれかをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 更新間隔を [低] に設定すると、データは 120 秒ごとに最新の情報に更新されます。
  • 更新間隔を [中] に設定すると、データは 60 秒ごとに最新の情報に更新されます。
  • 更新間隔を [高] に設定すると、データは 30 秒ごとに最新の情報に更新されます。


ダッシュボードを表示する

ダッシュボードを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ダッシュボード] タブをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


警告を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 で警告を構成する手順について説明します。

  • 警告定義を有効にする
  • 警告定義を追加する
  • 警告定義を編集する
  • 警告の条件を編集する
  • 警告のしきい値を編集する
  • 警告の動作を編集する
  • 警告の受信確認を行う
  • 警告をリセットする


警告定義を有効にする

警告定義を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. [警告定義] タブで、チェック ボックスをオンにして、選択した警告を有効にします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


警告定義を追加する

警告定義を追加するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成]、[追加] の順にクリックします。
  4. [新しい警告ウィザード] の画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義がまだ関連付けられていないイベントにのみ、新しい警告定義を作成できます。

関連項目


警告定義を編集する

警告定義を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. [警告定義] タブで、警告定義を選択し、[編集] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義を無効にするには、警告の名前の横にあるチェック ボックスをオフにします。

関連項目


警告の条件を編集する

警告の条件を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. 編集する警告定義を選択し、[編集] を選択します。
  5. [イベント] タブで、次の操作を行います。
    • [イベント] で、警告をトリガするイベントをクリックします。イベントで追加の条件を必要とする場合は、[そのほかの条件] で条件をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義に関連付けられているイベントを変更できるのは、そのイベントがまだ他の警告定義に関連付けられていない場合だけです。

関連項目


警告のしきい値を編集する

警告のしきい値を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. 編集する警告定義を選択し、[編集] を選択します。
  5. [イベント] タブで、[イベントの発生回数] チェック ボックスをオンにし、警告を発行するまでのイベントの発生回数を入力します。
  6. [イベントの 1 秒あたりの発生回数] チェックボックスをオンにし、警告を発行するまでのイベントの 1 秒あたりの発生回数を入力します。
  7. 次のオプションのいずれかを選択します。
    • イベントが繰り返されたらすぐに警告を再発行する場合は、[警告発生の直後] をクリックします。
    • 警告をリセットした後にのみ警告を再発行する場合は、[警告が手動でリセットされた場合のみ] をクリックします。
    • 指定した時間の経過後に警告を再発行する場合は、[前回の警告から次の時間が経過した場合] をクリックし、動作を実行するまでの経過時間を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義に関連付けられているイベントを変更できるのは、そのイベントがまだ他の警告定義に関連付けられていない場合だけです。
  • 指定した数のイベントが発生すると、警告がトリガされます。たとえば、5 と指定した場合、6 番目のイベントが発生すると、警告がトリガされます。同様に、指定した秒数が経過すると、警告がトリガされます。たとえば、5 秒と指定した場合、6 秒経過すると、警告がトリガされます。

関連項目


警告の動作を編集する

警告の動作を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. 編集する警告定義を選択し、[編集] を選択します。
  5. [動作] タブで、次の動作を変更します (複数可)。
    • 警告条件が発生したときに電子メールを送信するには、[電子メールを送信する] チェック ボックスをオンにし、SMTP (簡易メール転送プロトコル) サーバー、受信者、および差出人を入力します。
    • 警告条件が発生したときにアプリケーションを実行するには、[プログラムを実行する] チェック ボックスをオンにし、コマンド プロンプト上で実行するコマンドと、プログラムを実行するアカウントを入力します。
    • イベントのログを記録するには、[Windows イベント ログに記録する] チェック ボックスをオンにします。
    • ISA Server サービスを停止するには、[指定されたサービスを停止する] チェック ボックスをオンにし、[選択] をクリックして、警告条件が発生したときに停止する ISA Server サービスを選択します。
    • ISA Server サービスを開始するには、[指定されたサービスを開始する] チェック ボックスをオンにし、[選択] をクリックして、警告条件が発生したときに開始する ISA Server サービスを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 複数のアドレスをセミコロン (;) で区切って [宛先] および [CC] フィールドに入力すると、電子メールに複数の受信者を指定できます。
  • 内部ネットワーク上に配置された SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP プロトコルを使用して内部ネットワークにアクセスできるようにするためのシステム ポリシー ルールを有効にする必要があります。システム ポリシー エディタの [リモート監視] 構成グループで [SMTP] を選択し、[有効にする] をクリックします。"ISA Server から信頼されたサーバーへの SMTP を許可する" ルールが有効になります。
  • 外部 SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP プロトコルを使用して外部ネットワーク (または SMTP サーバーが配置されているネットワーク) にアクセスできるようにするためのアクセス ルールを作成する必要があります。
  • ISA Server がプログラムを実行する場合は、どのユーザー アカウントを使用するかを指定できます。指定されたユーザーには、"バッチ ジョブとしてログオン" アクセス許可が必要です。
  • [アカウントの設定] をクリックして、[使用するアカウント] にプログラムを実行するユーザー アカウントを指定できます。

関連項目


警告の受信確認を行う

警告の受信確認を行うには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. 詳細ウィンドウで、受信確認を行う警告または警告のグループを選択します。
  4. [タスク] タブで、[指定された警告の受信確認] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告グループ全体の受信確認を行うには、そのグループの見出しを選択します。
  • 警告ビューでは、警告のインスタンスが [サービスのシャットダウン] などの分類ごとにグループ化されます。グループの見出しを展開したり、折りたたんだりして、その見出しに含まれる項目の表示と非表示を切り替えることができます。
  • 隣接する複数の警告を選択するには、選択範囲の最初の警告をクリックし、Shift キーを押しながら最後の項目をクリックします。
  • 隣接しない複数の警告を選択するには、いずれかの警告をクリックし、Ctrl キーを押しながら他の項目をクリックします。

関連項目


警告をリセットする

警告をリセットするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. 詳細ウィンドウで、受信確認を行う警告または警告のグループを選択します。
  4. [タスク] タブで、[指定された警告のリセット] をクリックします。
  5. 選択した警告をリセットする場合は、[はい] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告グループ全体をリセットするには、そのグループの見出しを選択します。
  • 警告ビューでは、警告のインスタンスが [サービスのシャットダウン] などの分類ごとにグループ化されます。グループの見出しを展開したり、折りたたんだりして、その見出しに含まれる項目の表示と非表示を切り替えることができます。
  • 隣接する複数の警告を選択するには、選択範囲の最初の警告をクリックし、Shift キーを押しながら最後の項目をクリックします。
  • 隣接しない複数の警告を選択するには、いずれかの警告をクリックし、Ctrl キーを押しながら他の項目をクリックします。
  • Microsoft ISA Server 制御サービス (isactrl) を再起動すると、警告はすべて自動的にリセットされます。

関連項目


セッションの監視を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 でセッションの監視を構成する手順について説明します。

  • セッションを表示する
  • セッションを切断する
  • 特定のセッションを監視する
  • フィルタ定義を保存する
  • フィルタ定義を読み込む
  • セッションの監視を一時停止する
  • セッションの監視を停止する


セッションを表示する

セッションを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッションは、詳細ウィンドウに一覧表示されます。

関連項目


セッションを切断する

セッションを切断するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. 目的のセッションを選択します。
  4. [タスク] タブで、[セッションの切断] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


特定のセッションを監視する

特定のセッションを監視するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[フィルタの編集] をクリックします。
  4. [フィルタ方法] で、次のオプションのいずれかを選択します。
    • [稼働開始]。指定した時刻以降にアクティブになったセッションのみをフィルタ処理します。
    • [アプリケーション名]。
    • [クライアント ホスト名]、[クライアント IP アドレス]、または [クライアントのユーザー名]。特定のクライアントからのセッションをフィルタ処理します。
    • [セッションの種類]。特定の種類のクライアント (ファイアウォール クライアント、SecureNAT、VPN クライアント、VPN サイト間、または Web プロキシ) からのセッションをフィルタ処理します。
    • [送信元ネットワーク]。特定の送信元ネットワークからのセッションをフィルタ処理します。
  5. [条件] と [値] に適切な条件を指定し、[一覧に追加] をクリックします。
  6. フィルタにさらに条件を追加する場合は、手順 4 と 5 を繰り返します。次に、[クエリの開始] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定では、すべてのセッションが [セッション] 詳細ウィンドウに一覧表示されます。
  • セッション ビューアには、フィルタに含まれるすべての式に一致するセッションのデータのみが表示されます。つまり、フィルタ式は、論理演算子 AND を使用して組み合わせることができます。
  • 既定では、[アプリケーション名] 列と [サーバー名] 列は、[セッション] 詳細ウィンドウに表示されません。これらの列を表示するには、詳細ウィンドウで列見出しを右クリックし、該当する列をクリックします。
  • フィルタ一覧から式を削除するには、[フィルタの編集] をクリックします。次に、式を選択して [削除] をクリックします。
  • フィルタ一覧の式を編集するには、[フィルタの編集] をクリックします。次に、式を選択して適切に編集し、[更新] をクリックします。

関連項目


フィルタ定義を保存する

フィルタ定義を保存するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のエクスポート] をクリックします。
  4. [ファイル名] に、フィルタ定義を格納する .xml ファイルのファイル名を指定します。次に、[保存] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


監視定義を読み込む

フィルタ定義を読み込むには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のインポート] をクリックします。
  4. [ファイル名] に、フィルタ定義が含まれている .xml ファイルのファイル名を指定します。次に、[読み込み] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


セッションの監視を一時停止する

セッションの監視を一時停止するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[セッション監視の一時停止] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッションの監視を再開するには、[タスク] タブで、[セッション監視の再開] をクリックします。
  • セッションの監視を一時停止した場合、セッション ビューに表示されているセッションは削除されません。ただし、新しいセッションがビューに追加されることもありません。セッションの監視を再開すると、セッション ビューは、関連する新しいセッション情報で更新されます。

関連項目


セッションの監視を停止する

セッションの監視を停止するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[セッション監視の停止] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッションの監視を停止すると、監視していたセッションに関する情報が ISA Server から失われます。

関連項目


サービスを開始または停止する

サービスを開始または停止するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[サービス] タブをクリックします。
  3. Microsoft Data Engine (MSDE)、Microsoft ファイアウォール サービス、Microsoft ISA Server ジョブ スケジューラ サービスのいずれかを選択します。
  4. 選択したサービスを開始するには、[タスク] タブの [指定されたサービスを開始する] をクリックし、停止するには [指定されたサービスを停止する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • サービスが既に停止している場合、[タスク] タブの [指定されたサービスを停止する] は選択できません。

関連項目


ログを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のログ機能を構成する手順について説明します。

  • 特定のサービスのログを有効にする
  • ルールに一致する要求をログに記録する
  • ログに記録するフィールドを指定する
  • SQL データベースへのログを構成する
  • MSDE データベースへのログを構成する
  • ISA Server ログ用の SQL Server をセットアップする
  • ログの保存の制限を構成する
  • ファイルへのログを構成する
  • ログ ビューア データをフィルタ処理する
  • ログ フィルタ定義を保存する
  • ログ フィルタ定義を読み込む
  • ログ ビューア データを保存する


特定のサービスのログを有効にする

特定のサービスのログを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
    • [SMTP メッセージ スクリーナ ログの構成]。SMTP メッセージ スクリーナ ログの場所を構成します。
  4. [ログ] タブで、[このサービスのログを有効にする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 特定のサービスのログを無効にするには、[ログ] タブで [このサービスのログを有効にする] チェック ボックスがオフになっていることを確認します。


ルールに一致する要求をログに記録する

ルールに一致する要求をログに記録するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、ログを有効にするルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[このルールに一致するログ要求] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 特定のプロトコルまたはソースから大量のデータがログに記録される場合は、要求をログに記録しないようにする新しいルールを作成し、このルールをそのタイプのトラフィックに適用できます。たとえば、ポリシーで DHCP 要求を許可していないため、多数の DHCP 要求が拒否されているとします。DHCP 要求を拒否しても、その要求をログに記録しないという新しいアクセス ルールを作成できます。


ログに記録するフィールドを指定する

ログに記録するフィールドを指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
    • [SMTP メッセージ スクリーナ ログの構成]。SMTP メッセージ スクリーナ ログの場所を構成します。
  4. [フィールド] タブで、次のいずれかの操作を行います。
    • 特定のフィールドを選択するには、該当するチェック ボックスをオンにします。
    • フィールド一覧内のチェック ボックスをすべてオフにするには、[すべてクリア] をクリックします。
    • フィールド一覧内のチェック ボックスをすべてオンにするには、[すべて選択] をクリックします。
    • ISA Server ログ ファイルの既定のフィールド セットを選択するには、[既定値を復元] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


SQL データベースへのログを構成する

SQL データベースへのログを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
  4. [ログ] タブで、[SQL データベース] をクリックします。
  5. 次のパラメータを確認または変更します。
    • [ODBC データ ソース名 (DSN)]
    • [テーブル名]
    • [使用するアカウント]
  6. (省略可能) ユーザー アカウントを変更する必要がある場合は、[アカウントの設定] をクリックし、[ユーザー] にユーザー名を入力して、[パスワード] および [パスワードの確認入力] にパスワードを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [リモート ログ (SQL)] システム ポリシー構成グループで、SQL データベースへのログが有効になっている必要があります。
  • Windows 認証を使用するよう DSN を構成する場合は、ISA Server コンピュータに適切なアクセス許可を付与します。この場合、ISA Server の管理のログ プロパティで構成されている資格情報は、特定のログに対しては無視されることに注意してください。

関連項目


MSDE データベースへのログを構成する

MSDE データベースへのログを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
  4. [ログ] タブで、[MSDE データベース] をクリックします。
  5. (省略可能) [オプション] をクリックして、次のパラメータを確認または変更します。
    • [ISALogs フォルダ] または [このフォルダ]。ログ ファイルの場所を選択します。
    • [指定した日数を過ぎたファイルを削除する]。ログ ファイルが自動的に削除されるまで保持する日数を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ISA Server ログ用の SQL Server をセットアップする

ISA Server ログ用の SQL Server をセットアップするには

  1. データベース ファイルを使用して SQL Server をセットアップします。
    1. SQL Server コンピュータで、Enterprise Manager を起動します。
    2. データベース ファイルをホストする SQL Server コンピュータに接続します。
    3. [ツール] メニューの [SQL クエリ アナライザ] をクリックします。
    4. [ファイル] メニューの [開く] をクリックし、"ISA CD":\Isa を開きます。
    5. SQL データベースへのログ方法に応じて、次の .sql ファイルのいずれかを開きます。
      • Microsoft ファイアウォール サービスの場合は、Fwsrv.sql ファイルを開きます。
      • Web プロキシの場合は、W3proxy.sql ファイルを開きます。
    6. 各スクリプトの 1 番上に次の行を追加します。
      Create database <データベース名> Go
Use <データベース名>
Go
    7. [クエリ] メニューの [実行] をクリックします。
  2. ISA Server コンピュータから Open Database Connectivity (ODBC) データ接続を受け付けるように SQL Server をセットアップします。ISA Server が同じ Windows Server 2003 ドメインまたは Windows 2000 ドメイン内に配置されていない場合は、SQL Server アカウントを設定する必要があります。
    1. SQL Enterprise Manager を起動し、データベースをホストするようにセットアップする SQL Server コンピュータに接続します。
    2. [Microsoft SQL Server]、[SQL Server グループ]、[<サーバー名>]、[セキュリティ] の順にクリックして、[ログイン] を右クリックします。
    3. [新規ログイン] をクリックします。
    4. 使用しているコンピュータが ISA Server と同じドメイン内にある場合は、[Windows 認証] をクリックします。
      1. [名前] に、「<ドメイン名>\<ISA Server名$>」と入力します。
      2. [データベース アクセス] タブで、このログオン方法でアクセスできる作成済みのデータベースをクリックします。
    5. 使用しているコンピュータが ISA Server と別のドメインにある場合は、SQL Server 認証を使用する必要があります。
      1. (省略可能) [名前] に、具体的な名前を入力します。
      2. ログオン方法を示す名前を使用します。
      3. このログオン方法のパスワードを入力します。
      4. [データベース アクセス] タブで、このログオン方法でアクセスできる作成済みのデータベースをクリックします。
    6. [既定のデータベースを以下のものに変更する] を選択し、ISA Server でデータをログに記録するデータベースを選択します。
    7. SQL Server 2000 以降を使用している場合、"選択" および "挿入" アクセス許可を構成する必要があります。
    8. SQL Server サービスを停止してから再開します。
  3. ISA Server コンピュータで ODBC データソースをセットアップします。
    1. [管理ツール] の [データ ソース (ODBC)] をクリックします。
    2. [システム DSN] タブで、[追加] をクリックします。
    3. SQL Server ドライバをクリックし、[完了] をクリックします。
    4. データベース ファイルと同じ名前を持つデータ ソースを割り当てます。
    5. SQL Server コンピュータの名前を入力し、[次へ] をクリックします。
    6. データベース認証には 2 つのオプションがあります。これらのオプションは、手順 2 で設定したアカウントに対応しています。
      • ISA Server コンピュータのアカウントを使用して認証を行う場合は、[ネットワークへのログイン ID で、Windows NT の認証メカニズムを使う] をクリックします。このオプションは、Windows Server 2003 または Windows 2000 ドメインでのみ使用できます。
      • SQL アカウントを使用して認証を行う場合は、[ユーザーが入力する SQL Server 用のログイン ID とパスワードを使う] と、ユーザーが入力したパスワードをクリックします。
    7. 画面上に表示される指示に従います。


ログの保存の制限を構成する

ログの保存の制限を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの制限を構成する場合に使用します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの制限を構成する場合に使用します。
  4. [ログ] タブで、[ファイル] または [MSDE データベース] を選択します。
  5. [オプション] ボタンをクリックします。
  6. ログのサイズを制限するには、[ログ ファイルの合計サイズに制限する] をクリックします。次に、最大ログ サイズを入力します。
  7. ログを格納するディスク上に指定した空きディスク領域を維持するには、[空きディスク領域を維持する] をクリックします。次に、維持する空きディスク領域を入力します。
  8. [ログ ファイルの合計サイズに制限する] または [空きディスク領域を維持する] をクリックした場合は、次のいずれかを選択します。
    • [必要であれば古いログ ファイルを削除する]。あらかじめ指定されている制限を超えたら、最も古いログ ファイルから削除する場合に使用します。
    • [新しいログ エントリを破棄する]。ISA Server による新しいログ エントリの追加を停止し、古いログ情報をすべて保持する場合に使用します。
  9. 古いログ情報を削除するには、[指定した日数を過ぎたファイルを削除する] をクリックします。次に、ログ情報を保持する日数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • SQL データベース ログに対しては、ログの制限を設定できません。
  • ISA Server では、10 分ごとに、ログが指定された制限値を超えていないかどうかが確認されます。これは、その 10 分の間に、ログが制限値を超える可能性があることを意味します。


ファイルへのログを構成する

ファイルへのログを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
    • [SMTP メッセージ スクリーナ ログの構成]。SMTP メッセージ スクリーナ ログの場所を構成します。
  4. [ログ] タブで、[ファイル] をクリックします。
  5. (省略可能) [オプション] をクリックして、次のパラメータを確認または変更します。
    • [ISALogs フォルダ] または [このフォルダ]。ログ ファイルの場所を選択します。
    • [ログ ファイルを圧縮する]。ログ ファイルを圧縮します。
    • [指定した日数を過ぎたファイルを削除する]。ログ ファイルが自動的に削除されるまで保持する日数を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ログ ファイルを圧縮するとファイルのサイズが小さくなり、ファイルが使用するディスク領域が減少します。
  • NTFS 圧縮ファイルで作業すると、パフォーマンスが低下することがあります。圧縮ファイルの読み取り (アクセス) を行うと、Windows がファイルを自動的に展開し、ファイルへの書き込みを行うと、Windows がファイルを圧縮します。この処理が原因で、コンピュータのパフォーマンスが低下することがあります。

ISA Server コンピュータで SMTP (簡易メール転送プロトコル) メッセージ スクリーナ コンポーネントを実行しておらず、ISA Server コンピュータの ISA Server の管理で、メッセージ スクリーナ コンポーネントを実行しているコンピュータに存在しないメッセージ スクリーナ ログのフォルダ場所を指定している場合、フォルダはそのコンピュータが再起動された後のみそのコンピュータ上に作成されます。

関連項目


ログ ビューア データをフィルタ処理する

ログ ビューア データをフィルタ処理するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、[フィルタの編集] をクリックします。
  4. [フィルタ方法] で、いずれかのログ フィールドを選択します。
  5. [条件] と [値] に適切な条件を指定し、[一覧に追加] をクリックします。
  6. フィルタにさらに条件を追加する場合は、手順 4 と 5 を繰り返します。次に、[クエリの開始] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ログ ビューアには、フィルタに含まれるすべての式に一致するログ データのみが表示されます。つまり、フィルタ式は、論理演算子 AND を使用して組み合わせることができます。
  • フィルタ一覧の式を編集するには、[フィルタの編集] をクリックします。次に、条件を選択して [更新] をクリックします。
  • フィルタ一覧から式を削除するには、[次の条件に一致するエントリのみ表示する] で式を選択し、[削除] をクリックします。
  • フィルタを作成する場合は、[ログ時刻] と [ログ レコードの種類] を 1 つずつ指定する必要があります。
  • ログ ビューアでは、Microsoft ファイアウォール サービスが実行されているときのみデータが更新されます。ファイアウォール サービスが実行されていないときは、ISA Server でロックダウン モードが適用されます。詳細については、「ロックダウン モード」を参照してください。
  • ログ ビューアには、ファイアウォールと Web プロキシのログに関する情報のみが表示されます。SMTP メッセージ スクリーナのログ情報はログ ビューアに表示されません。

関連項目


ログ フィルタ定義を保存する

ログ フィルタ定義を保存するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のエクスポート] をクリックします。
  4. [ファイル名] に、フィルタ定義を格納する .xml ファイルのファイル名を指定します。次に、[保存] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ログ フィルタ定義を読み込む

ログ フィルタ定義を読み込むには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のインポート] をクリックします。
  4. [ファイル名] に、フィルタ定義が含まれている .xml ファイルのファイル名を指定します。次に、[読み込み] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


ログ ビューア データを保存する

ログ ビューア データを保存するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、次のいずれかを選択します。
    • [すべての結果をクリップボードにコピー]。ログ ビューアに表示されるすべてのデータをコピーします。
    • [選択された結果をクリップボードにコピー]。選択したデータをログ ビューアからコピーします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 隣接する複数のログ エントリを選択するには、選択範囲の最初のログ エントリをクリックし、Shift キーを押しながら最後の項目をクリックします。
  • 隣接しない複数のログ エントリを選択するには、いずれかのログ エントリをクリックし、Ctrl キーを押しながらその他の項目をクリックします。
  • データをクリップボードにコピーしたら、そのテキストを適切なアプリケーションに貼り付けて分析できます。

関連項目


レポートを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 でレポートを構成する手順について説明します。

  • レポートを作成する
  • 定期的なレポート ジョブを作成する
  • レポート サマリー データベースを構成する
  • レポート サマリー データベースの生成を無効にする
  • 定期的なレポートを構成する
  • レポートを表示および公開する


レポートを作成する

レポートを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[管理] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[新しいレポートの生成] をクリックします。
  4. 画面上に表示される指示に従います。
  5. [全般] タブの [名前] に、レポート ジョブの名前を入力します。
  6. (省略可能) [説明] に、レポート ジョブの説明を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートを作成するには、Microsoft ISA Server ジョブ スケジューラ サービスが実行されている必要があります。
  • レポートを共有フォルダに公開する場合は、レポート エンジンによって使用される公開用の資格情報を必ず指定します。これらの資格情報には、指定フォルダへの書き込みアクセス許可が割り当てられている必要があります。公開したレポートを他のユーザーが表示できるようにするには、対象となるユーザーにそのフォルダの読み取りアクセス許可を与えます。
  • 定期的なレポート ジョブを作成するには、[タスク] タブの [レポート ジョブの作成と構成] をクリックします。

関連項目


定期的なレポート ジョブを作成する

定期的なレポート ジョブを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. [追加] をクリックして、定期的なレポート ジョブを新規に作成します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートを作成するには、Microsoft ISA Server ジョブ スケジューラ サービスが実行されている必要があります。
  • レポートを共有フォルダに公開する場合は、レポート エンジンによって使用される公開用の資格情報を必ず指定します。これらの資格情報には、指定フォルダへの書き込みアクセス許可が割り当てられている必要があります。公開したレポートを他のユーザーが表示できるようにするには、対象となるユーザーにそのフォルダの読み取りアクセス許可を与えます。

関連項目


レポート サマリー データベースを構成する

レポート サマリー データベースを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[ログのサマリーの構成] をクリックします。
  4. [ログのサマリー] タブで、[日ごとのサマリーと月ごとのサマリーを生成する] チェック ボックスをオンにします。
  5. [生成時刻を指定してください] に、レポート データを生成する時刻を入力します。
  6. 次のいずれかの操作を行います。
    • レポートをこのコンピュータの ISASummaries サブフォルダに保存するには、[ISASummaries フォルダ] をクリックします。
    • レポートを他のフォルダに保存するには、[そのほかのフォルダ]、[参照]、レポートを保存するフォルダの順にクリックします。
  7. 保存するサマリーの数を構成するには、次の操作を行います。
    • [保存するサマリーの数] の [日ごとのサマリー] に、保存する日ごとのサマリー数を入力します。
    • [月ごとのサマリー] に、保存する月ごとのサマリー数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 日ごとのサマリーは、35 以上保存する必要があります。月ごとのサマリーは、13 以上保存する必要があります。

関連項目


レポート サマリー データベースの生成を無効にする

レポート サマリー データベースの生成を無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[ログのサマリーの構成] をクリックします。
  4. [ログのサマリー] タブで、[日ごとのサマリーと月ごとのサマリーを生成する] チェック ボックスをオフにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ログ サマリー データベースの生成が無効な場合にレポートを作成すると、ISA Server は、見つからないログ サマリーを作成して、レポートを生成します。このサマリーが以前に作成され、その後で削除された場合は、再作成されません。

関連項目


定期的なレポートを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 で定期的なレポートを構成する手順について説明します。

  • レポート ジョブのレポートの内容を構成する
  • レポート ジョブ スケジュールを構成する
  • レポートの基準となる期間を構成する
  • レポート ジョブを実行するタイミングを指定する
  • 予定されたレポート ジョブを直ちに実行する
  • レポートの生成を通知する
  • レポート ジョブを削除する


レポート ジョブのレポートの内容を構成する

レポート ジョブのレポートの内容を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [コンテンツ] タブで、次のどのレポートを生成するかを選択します。
    • サマリー
    • Web の使用
    • アプリケーションの使用
    • トラフィックと使用状況
    • セキュリティ

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [新しいレポート ウィザード] を使用してレポートを作成する場合、このウィザードの [レポートのコンテンツ] ページで生成するレポートの種類を指定できます。
  • サマリー レポートは、プロトコルの使用、アクセスされた Web サイト、キャッシュ情報、トラフィック全般に関する一般的な情報が含まれたレポート セットです。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。
  • Web の使用レポートは、上位 Web ユーザー、一般的な応答、およびブラウザが表示されるレポート セットを含みます。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。これには、Web が企業内でどのように使用されているかが示されます。
  • アプリケーションの使用レポートは、着信方向および発信方向のトラフィック、上位ユーザー、クライアント アプリケーション、および宛先を含めて、企業におけるインターネット アプリケーションの使用状況を示します。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している担当者が、ネットワーク容量を計画したり、帯域幅ポリシーを決定する際に役立ちます。
  • トラフィックと使用状況のレポートは、アプリケーション別、プロトコル別、および方向別にインターネットの全体的な使用状況を示します。これらのレポートには、平均トラフィックと最大同時接続数、キャッシュ ヒット率、エラー、およびその他の統計も示されます。このレポートは、ネットワーク容量を計画および監視したり、帯域幅ポリシーを決定する場合に役立ちます。
  • セキュリティ レポートには、ネットワーク セキュリティに違反する試行が一覧に表示されます。セキュリティ レポートは、ネットワークへの攻撃やセキュリティ侵害の発生を検出する場合に役立ちます。

関連項目


レポート ジョブ スケジュールを構成する

レポート ジョブ スケジュールを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [スケジュール] タブで、次の操作を行います。
    • レポートを毎日生成するには、[毎日] をクリックします。
    • レポートを毎週特定の曜日に生成するには、[指定した曜日] をクリックして、適切な曜日を選択します。
    • レポートを毎月生成するには、[毎月 (指定した日付)] をクリックします。毎月レポートを生成する日を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートに表示される内容には、レポートの期間を構成したときに指定した期間が反映されます。

関連項目


レポートの基準となる期間を構成する

レポートの基準となる期間を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [コンテンツ] タブの [レポートの基となる期間を選択してください] で、次のいずれかをクリックします。
    • 前日の動作状況を示すレポートを生成するには、[日単位] を選択します。
    • 前週の動作状況を示すレポートを生成するには、[週単位] を選択します。
    • 前月の動作状況を示すレポートを生成するには、[月単位] を選択します。
    • 前年の動作状況を示すレポートを生成するには、[年単位] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 定期的なレポート ジョブを作成すると、その期間は、レポート ジョブ スケジュールと同じであると見なされます。たとえば、毎週定期的に実行するレポート ジョブを作成した場合、そのレポートには前週の動作状況が表示されます。

関連項目


レポート ジョブを実行するタイミングを指定する

レポート ジョブを実行するタイミングを指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [スケジュール] タブの [生成時刻] に、レポート ジョブを実行する時刻を指定します。
  6. [開始日] に、レポートの実行を開始する日を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • たとえば 31 日など、月によっては存在しない日を指定すると、該当する月ではレポートは実行されません。


予定されたレポート ジョブを直ちに実行する

予定されたレポート ジョブを直ちに実行するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[直ちに実行] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。


レポートの生成を通知する

レポートの生成を通知するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [通知] タブで、[電子メールを送信する] を選択します。
  6. [SMTP サーバー] に、電子メール通知を送信する際に使用するメール サーバーの名前を入力します。
  7. [差出人]、[宛先]、および [CC] に、差出人と受信者の電子メール アドレスを入力します。
  8. [メッセージ] に、電子メールの受信者に送信するメッセージを入力します。
  9. メッセージが正常に送信されることを確認するには、[テスト] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。


レポート ジョブを削除する

レポート ジョブを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。


レポートを表示および公開する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のレポートを表示および公開する手順について説明します。

  • レポートを表示する
  • レポート データをカスタマイズする
  • レポート データを並べ替える
  • レポートを公開する
  • レポートを削除する


レポートを表示する

レポートを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックし、目的のレポートを選択します。
  3. [タスク] タブで、[選択したレポートの表示] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • グラフには、レポートに含まれる上位 10 項目のみが表示されます。

関連項目


レポート データをカスタマイズする

レポート データをカスタマイズするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、構成するレポートの種類 (次のいずれか) をクリックします。
    • [サマリー コンテンツのカスタマイズ]
    • [Web の使用コンテンツのカスタマイズ]
    • [アプリケーションの使用コンテンツのカスタマイズ]
    • [トラフィックと使用状況のコンテンツのカスタマイズ]
    • [セキュリティ コンテンツのカスタマイズ]
  4. タブをクリックし、"含める数" に、レポートに含める最大データ量を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


レポート データを並べ替える

レポート データを並べ替えるには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、構成するレポートの種類をクリックします。
    • [サマリー コンテンツのカスタマイズ]
    • [Web の使用コンテンツのカスタマイズ]
    • [アプリケーションの使用コンテンツのカスタマイズ]
    • [トラフィックと使用状況のコンテンツのカスタマイズ]
    • [セキュリティ コンテンツのカスタマイズ]
  4. [並べ替え順] で、レポートのデータの並べ替えに使用するオプションをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートは、次に表示するときに並べ替えられて表示されます。
  • テーブル内のデータは並べ替えられます。ただし、レポート内のグラフは再生成されません。

関連項目


レポートを公開する

レポートを公開するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックし、目的のレポートを選択します。
  3. [タスク] タブで、[選択したレポートの公開] をクリックします。
  4. [フォルダの参照] で、公開されるレポートのフォルダが作成されるフォルダを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 公開されるレポートは、<レポート ジョブ名>_(<開始日>—<終了日>) という名前のフォルダに格納されます。
    たとえば、2004 年 12 月 1 日から 2004 年 12 月 15 日まで実行するようにスケジュールされている、DailyReports という名前のレポート ジョブを公開する場合、公開されるレポートのフォルダ名は DailyReports_(12.1.2004—12.15.2004) となります。
  • レポートを表示するには、公開されているフォルダ内にある report.htm という名前のファイルをダブルクリックします。これには、生成されたすべてのレポートの種類へのリンクが含まれています。
  • レポートを生成するか、または定期的なレポート ジョブを構成すると、レポートの公開を構成できます。ウィザードの [レポートの公開] ページに、公開されるレポートのフォルダが作成されるフォルダの名前を入力します。

関連項目


レポートを削除する

レポートを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックし、目的のレポートを選択します。
  3. [タスク] タブで、[選択したレポートの削除] をクリックします。次に、[はい] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


接続検証方法を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 で接続検証方法を作成および構成する方法について説明します。

  • 接続検証方法を作成する
  • 接続検証方法メソッドを構成する
  • 接続検証方法のタイムアウトを構成する
  • 接続検証方法グループを構成する
  • 接続検証方法を無効にする


接続検証方法を作成する

接続検証方法を作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックします。
  3. [タスク] タブで、[新しい接続検証方法の作成] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ダッシュボード ビューには、グループごとの接続状態が一覧表示されます。グループ内のすべてのサーバーが応答可能であり、指定した応答時間のしきい値を超えていない場合、そのグループのすべてのサーバーが応答可能であることがグループの状態に示されます。グループ内のいずれかのサーバーが指定した応答時間内に応答しない場合、[遅い接続] や [接続なし] など、そのグループで最悪の状態がグループの状態として表示されます。

関連項目


接続検証方法メソッドを構成する

接続検証方法メソッドを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の編集] をクリックします。
  4. [プロパティ] タブで、次のメソッドのいずれかを選択します。
    • [HTTP GET 要求の送信]
    • [Ping 要求の送信]
    • [TCP 接続の確立]
  5. [TCP 接続の確立] を選択した場合は、[Connect to Port] で、プロトコルを指定してその既定のポートを選択するか、[カスタム] をクリックしてポート番号を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


接続検証方法のタイムアウトを構成する

接続検証方法のタイムアウトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の編集] をクリックします。
  4. [プロパティ] タブの [タイムアウトの応答しきい値の指定] に、サーバーが応答しないと判断するまでの時間をミリ秒で入力します。
  5. サーバーが応答しないことを知らせる警告を ISA Server がトリガする場合は、[サーバー応答が指定したタイム アウト内になければ警告をトリガする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


接続検証方法グループを構成する

接続検証方法グループを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の編集] をクリックします。
  4. [プロパティ] タブの [グループの種類]で、次のいずれかを選択します。
    • [Active Directory]
    • [DHCP]
    • [DNS]
    • [その他]
    • [公開されたサーバー]
    • [Web (インターネット)]

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ダッシュボード ビューには、グループごとの接続状態が一覧表示されます。グループ内のすべてのサーバーが応答可能であり、指定した応答時間のしきい値を超えていない場合、そのグループのすべてのサーバーが応答可能であることがグループの状態に示されます。グループ内のいずれかのサーバーが指定した応答時間内に応答しない場合、[遅い接続] や [接続なし] など、そのグループで最悪の状態がグループの状態として表示されます。

関連項目


接続検証方法を無効にする

接続検証方法を無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


監視のトラブルシューティング

ログのトラブルシューティング

どのような問題がありますか?

匿名アクセスがブロックされるにもかかわらず、匿名ユーザーからの要求がログに記録されます。

原因 : ユーザーの認証が必要な場合、実際の通信は次のように行われます。

  1. ユーザーが匿名要求を送信します。ISA Server はエラー 407 を返し、接続を終了します。匿名要求がログに記録されます。
  2. ユーザーが同じ要求を、キープアライブおよび NTLM 認証ユーザー情報と共に送信します。ISA Server は認証チャレンジと共に再びエラー 407 を返します。接続は終了しません。もう 1 つの匿名要求がログに記録されます。
  3. ユーザーが同じ要求を認証応答と共に送信します。要求が認証され、処理されます。

解決方法 : 匿名要求の後に、実際の認証済みユーザーから要求が送信されていることを検証します。それ以外の場合は、構成に問題があることが考えられます。

不明なユーザーからの要求がログに記録されています。

原因 : キャッシュ構成がアクティブなために取得されるデータはすべて、不明ユーザーからの要求としてログに記録されます。

ログ ファイルにクライアント認証 (ユーザー名) 情報が見つかりません。

原因 : ISA Server は、クライアントに常に認証を要求するわけではありません。クライアントが認証されていない場合、それらのクライアントには匿名アクセスが付与され、認証情報はログに記録されません。

解決方法 : 着信方向および発信方向の Web 要求のプロパティを構成することで、Web プロキシ クライアント自身の認証を常に要求するように ISA Server を構成できます。詳細については、「すべての Web 要求に対して認証を要求する」および「ルールと認証」を参照してください。

ログの情報が多すぎます。

原因 : ルールを作成すると、既定で、そのルールに一致するすべての要求がログに記録されます。[既定のルール] はすべてのトラフィックを拒否するため、作成したルールによって明確に許可されていない要求も、すべてログに記録されます。そのため、ログがすぐにいっぱいになる可能性があります。

解決方法 : 特定のプロトコルまたはソースから大量のデータがログに記録されている場合は、要求をログに記録しないようにする新しいルールを作成し、このルールをその種類のトラフィックに適用できます。たとえば、ポリシーで DHCP 要求を許可していないため、多数の DHCP 要求が拒否されているとします。DHCP 要求を拒否しても、その要求をログに記録しないという新しいアクセス ルールを作成できます。

セッションのトラブルシューティング

どのような問題がありますか?

Microsoft ファイアウォール サービスのパフォーマンス カウンタにある現在のユーザー数が、セッション ビューに表示されているセッション数より多いように思われます。

原因 : ISA Server におけるセッションとは、IP アドレスとユーザー名の固有の組み合わせです。1 つの接続が特定の IP アドレスの新しいセッションと見なされるのは、そのアドレスに対応する一意のユーザーがログオンした場合のみです。一方、システム モニタでは、ISA Server と異なり、すべての接続がカウントされます。

レポートのトラブルシューティング

どのような問題がありますか?

レポートに空のデータが含まれます。

原因 : レポートを Internet Explorer から保存できるのは、ISA Server の管理が実行されているコンピュータのみです。他のコンピュータのレポートには、空のデータが表示されるか、空のフレームと "Web サイトを表示できません" というメッセージが表示されます。

解決方法 : 他のコンピュータでレポートを表示するには、そのレポートを公開します。手順については、「レポートを公開する」を参照してください。

警告のトラブルシューティング

どのような問題がありますか?

ISA Server が、警告定義に構成されている動作を実行しません。

原因 : 警告定義に動作を構成するときは、その動作を実行するアカウントを指定できます。指定したアカウントに "バッチ ジョブとしてログオン" アクセス許可がない場合、動作は実行されません。

解決方法 : 動作を実行するユーザーに、その動作を実行するためのアクセス許可を付与します。"バッチ ジョブとしてログオン" アクセス許可の割り当てについては、Windows ヘルプを参照してください。

イベントが発生したときに電子メールで通知を送信するよう構成されている警告定義が、正しく機能しません。

原因 : どの SMTP サーバーが電子メールによる通知を送信するよう構成されているのかを確認します。それが外部 SMTP サーバーの場合は、ローカル ホストに外部 SMTP サーバーへのアクセスを許可するアクセス ルールを作成する必要があります。

解決方法 : SMTP プロトコルを使用して、ローカル ホストから 外部ネットワークにアクセスできるようにするアクセス ルールを作成します。手順については、「アクセス ルールを作成する」を参照してください。


アドイン

アドインには、Microsoft またはサード パーティ ベンダが開発したアプリケーション フィルタと Web フィルタがあります。これらのアドインを使用することで、Internet Security and Acceleration (ISA) Server 2004 のフィルタ機能はさらに強化されます。ここでは、アドインと、その構成手順について説明します。

  • アドイン : 概念
  • アドイン : 操作方法
  • 展開シナリオ : SMTP フィルタ


アドイン : 概念

ここでは、Microsoft またはサード パーティ ベンダが開発したアドイン、すなわちアプリケーション フィルタおよび Web フィルタについて説明します。これらのアドインを使用することで、Internet Security and Acceleration (ISA) Server 2004 のフィルタ機能はさらに強化されます。

  • 拡張性の概要
  • アプリケーション フィルタ
  • Web フィルタ


拡張性の概要

セキュリティのポリシーと実装は組織によって異なります。また、トラフィックの量やコンテンツの形式によっても、生じる問題はさまざまです。大規模な組織のセキュリティとパフォーマンスの要件すべてを 1 つの製品やベンダで満たすことはできないため、ISA Server は拡張性に富んでいます。ISA Server には、カスタム開発向けの広範なソフトウェア開発キットがあります。また、多数のベンダから、ISA Server を拡張し、統合する、互換性のある補完ソリューションが提供されています。このようなサード パーティ製品として、ウイルス スキャン、構文分析などのコンテンツ セキュリティ ツールや、リアルタイム監視、リモート管理、サイト ブロック、URL (Uniform Resource Locator) 分類、レポートなどの管理ツールがあります。ISA Server Software Development Kit には、拡張機能やアドイン コンポーネントを開発するための詳細な API ドキュメント、手順説明、およびソース コードのサンプルがあります。

ISA Server では、次の拡張性機構を使用します。

  • 拡張可能な管理。すべての管理オプションへのプログラムを使用した読み取り/書き込みアクセスによって、管理コンポーネント オブジェクト モデル (COM) オブジェクトを使用してスクリプトや管理ツールを記述できます。
  • アプリケーション フィルタ。あらゆるデータ ストリームの傍受、分析、または変更を行うアプリケーション フィルタを開発できます。
  • Web フィルタ。Internet Server API (ISAPI) に基づいて、HTTP (ハイパーテキスト転送プロトコル) トラフィックおよび FTP (ファイル転送プロトコル) トラフィックの参照、分析、ブロック、リダイレクト、または変更を行うための Web フィルタを作成できます。
  • 拡張可能なユーザー インターフェイス。Microsoft 管理コンソール (MMC) スナップインを使用して、ISA Server インターフェイスを拡張できます。
  • 拡張可能な警告。イベントに応答して自動的に起動する新しいイベントやスクリプトを定義できます。
  • 拡張可能な記憶域。記憶域に関する追加情報を ISA Server の構成に登録して、アドイン フィルタおよびツールの管理を集中化できます。


アプリケーション フィルタ

Internet Security and Acceleration (ISA) Server 2004 のアプリケーション フィルタは、Microsoft ファイアウォール サービスに追加のセキュリティ レイヤを提供します。アプリケーション フィルタは、ファイアウォール サービス内のセッションに関連付けられたデータ ストリームやデータグラムにアクセスすることができます。アプリケーション フィルタは、ファイアウォール サービスに登録され、アプリケーション レベルのプロトコル ストリームまたはデータグラムの一部またはすべてを処理します。アプリケーション フィルタは、認証やウイルス チェックといった、プロトコル固有のタスクやシステム固有のタスクを実行することができます。ここでは、ISA Server で提供されているアプリケーション フィルタについて説明します。

  • FTP アクセス フィルタ
  • H.323 フィルタ
  • 侵入検出フィルタ
  • RPC フィルタ
  • SMTP フィルタ
  • SOCKS フィルタ
  • ストリーミング メディア アプリケーション フィルタ
  • Web プロキシ フィルタ


FTP アクセス フィルタ

ISA Server の FTP アクセス フィルタは、SecureNAT クライアントから Microsoft ファイアウォール サービスへ FTP (ファイル転送プロトコル) 要求を転送します。このフィルタは、FTP が要求する 2 次ポートを動的に開き、SecureNAT クライアントに必要なアドレス変換を実行します。

FTP のプロトコルは作成できますが、このプロトコルは FTP アクセス フィルタの持つすべての機能を提供しません。次に、ユーザー定義の FTP プロトコルと FTP アクセス フィルタとの相違点を説明します。

  • FTP アクセス フィルタは、2 次接続用の特定のポートを動的に開きます。一方プロトコル定義は、ある範囲の 2 次ポートを開きます。
  • FTP アクセス フィルタは、2 次接続に必要なアドレス変換を実行することにより、クライアントを保護します。
  • FTP アクセス フィルタには読み取り専用の FTP プロトコル定義が含まれ、読み取りアクセス許可と書き込みアクセス許可が区別されるため、アクセス許可の調整が可能になります。

FTP アクセス フィルタは、次のプロトコル定義を使用します。これらは、ISA Server のインストール時に、フィルタと共にインストールされます。

  • FTP クライアント読み取り専用
  • FTP クライアント
  • FTP サーバー

FTP アクセス フィルタを特定のルールに適用する手順については、「FTP フィルタを構成する」を参照してください。

既定では、FTP プロトコルおよび FTP サーバー プロトコルに FTP アクセス フィルタが適用されます。プロトコルの詳細については、「プロトコル」を参照してください。


H.323 フィルタ

ISA Server には、NetMeeting 3.0 以降などの H.323 対応アプリケーションが ISA Server を通過できるようにする、H.323 フィルタが含まれています。これにより、インターネットを使用している企業間で、リッチ マルチメディアおよびリアルタイム コラボレーション機能を使用できるようになります。部門間ファイアウォールを展開している組織では、このテクノロジを使用してイントラネット上での社員同士のコミュニケーションを促進することもできます。

さらに、H.323 フィルタは、クライアントの IP アドレスを隠し、必要に応じてアクセスを制限することで、内部クライアントとインターネット間の通信を保護します。

H.323 フィルタの構成手順については、「H.323 フィルタを構成する」を参照してください。

H.323 プロトコル

H.323 プロトコルは、サービスの品質 (QoS) が保証されないパケットベース ネットワーク上でのリアルタイム マルチメディア会議および通信を可能にする標準セットです。この標準は、さまざまな用途に対応するよう開発されました。インターネット上では音声の品質が不十分であったため、通信の一部をインターネット上で、もう一部を公衆交換電話網 (PSTN) 上で行えば改善が見られるのではないかという提案がありました。H.323 標準は、標準 PSTN 電話およびコンピュータベースのクライアント間の通信も提供します。

H.323 は、対応するコンポーネント (ターミナル、ゲートウェイ、ゲートキーパー、および Multipoint Control Unit (MCU)) がオーディオ、ビデオ、およびマルチポイント会議通信でどのように使用されるかを定義します。H.323 標準は、ゲートキーパーによって提供される必須およびオプションのサービスを定義します。H.323 プロトコル標準は、ポイントツーポイントおよびマルチポイント会議の両方において、呼の制御および管理に対処します。また、LAN と PSTN デバイス間だけでなく、H.32x ターミナル間でも呼を接続できるようにするゲートウェイの運用性も定義します。

既定では、H.323 フィルタは H.323 プロトコルに適用されます。プロトコルの詳細については、「プロトコル」を参照してください。

H.323 へのアクセスの制限

H.323 プロトコルへのアクセスを制限するアクセス ルールを作成できます。たとえば、クライアントによるビデオ、T120 データ共有、および発信呼への H.323 アクセスを拒否できます。着信呼プロトコルへの H.323 クライアント アクセスのみを許可するアクセス ルールを作成できます。ISA Server は明示的に指定されている場合にのみアクセスを許可するため、このプロトコルのみが許可されます。


侵入検出フィルタ

ISA Server 2004 には次の侵入検出フィルタが含まれています。

  • DNS 侵入検出フィルタは、DNS サーバー公開ルールで機能します。このフィルタは、内部ネットワークへのすべての着信方向の DNS トラフィックを傍受し分析します。
  • POP3 アプリケーション フィルタは、POP3 (Post Office Protocol 3) バッファ オーバーフロー アタックをチェックします。

DNS フィルタ

ISA Server と共にインストールされる DNS アプリケーション フィルタは、内部ネットワークへの DNS トラフィックを傍受し分析します。DNS フィルタは ISA Server の侵入検出機構のバックボーンとなるものです。侵入検出によって、ネットワークに対するアタックの試行が感知され、アタックがあった場合には、構成された一連の動作または警告が実行されます。侵入者を検出するために、ISA Server ではネットワーク トラフィックとログのエントリを一般的なアタック方法と照合します。疑わしい動作を検出すると、警告がトリガされます。動作には、接続の終了、サービスの終了、電子メール警告、ログなどがあります。

手順については、「一般的なアタックの侵入検出を有効にする」および「DNS アタックの侵入検出を有効にする」を参照してください。

侵入検出を有効にすると、次のうちのどの侵入が警告をトリガするかを構成できます。

  • すべてのポートへのアタックのスキャン
  • 列挙されたポートへのアタックのスキャン
  • IP half scan アタック
  • Land アタック
  • Ping of death アタック
  • UDP bomb アタック
  • Windows out-of-band アタック

さらに、次の DNS アタックのうちどの DNS アタックが警告をトリガするかを構成できます。

  • DNS ホスト名のオーバーフロー。ホスト名に対する DNS 応答が一定の長さ (255 バイト) を超えた場合に、DNS ホスト名のオーバーフローが発生します。ホスト名の長さをチェックしないアプリケーションでは、このホスト名をコピーするときにオーバーフロー内部バッファを返す場合があります。そのために、リモート攻撃者による対象のコンピュータでの任意のコマンド実行を許可してしまうおそれがあります。
  • DNS リソース データ長のオーバーフロー。 インターネット プロトコル (IP) アドレスに対する DNS 応答には、長さフィールドが含まれています。このフィールドは、4 バイトにする必要があります。それより大きな値を持つ DNS 応答をフォーマットすると、DNS 参照を実行しているアプリケーションに内部バッファのオーバーフローが発生し、リモート攻撃者による対象のコンピュータでの任意のコマンド実行を許可してしまうおそれがあります。
    ISA Server では、RDLength の値が残りの DNS 応答のサイズを超過しないかどうかもチェックします。
  • DNS ゾーン転送。クライアント システムが DNS クライアント アプリケーションを使用して、任意の送信元ポート上の内部 DNS サーバーからゾーンを転送すると、DNS ゾーン転送が発生します。

すべてのポートへのアタックのスキャン

この警告は、構成済みの数のポートを超えるアクセスが試行されたことを通知します。ユーザーは、アクセス可能なポートの数を示すしきい値を指定できます。

列挙されたポートへのアタックのスキャン

この警告は、各ポートの応答を調べる方法で、コンピュータ上で実行されたサービスのカウントが行われたことを通知します。

この警告が発生した場合は、ポート スキャンの発生元を識別する必要があります。対象のコンピュータで実行しているサービスとこれを比較してください。また、スキャンの発生元と目的も識別します。許可されていないアクセスを示すような記録がないかどうか、アクセス ログを確認してください。許可されていないアクセスを示すような記録を検出した場合は、システムが危害を受けたものと見なし、適切な処置を講じる必要があります。

IP half scan アタック

この警告は、無効なフラグを持つ TCP パケットを送信する試行が繰り返し行われたことを通知します。

通常の TCP 接続時は、送信元は、宛先システム上のポートに SYN パケットを送信することによって、接続を開始します。サービスがそのポートをリッスンしている場合、サービスは SYN/ACK パケットで応答します。すると、接続を開始しているクライアントは ACK パケットで応答し、接続が確立されます。宛先ホストは、指定されたポートで接続を待機していない場合、RST パケットで応答します。ほとんどのシステム ログでは、送信元から最終的な ACK パケットが受信されるまで、接続の完了がログに記録されません。この流れに従わない別の種類のパケットを送信することによって、接続がログに記録されずに、ターゲット ホストから有益な応答を引き出すことが可能です。これは、スキャン対象のホストでログ エントリが生成されないため、TCP half scan またはステルス スキャンとして知られています。

この警告が発生した場合は、スキャンが発生したアドレスをログに記録します。必要に応じて、ISA Server ルールを構成し、スキャンの発生元からのトラフィックをブロックします。

Land アタック

この警告は、宛先 IP アドレスおよびポートと一致する、偽造された送信元 IP アドレスおよびポート番号で TCP SYN パケットが送信されたことを通知します。アタックに成功すると、TCP の実装でループが発生し、コンピュータに障害が発生するおそれがあります。

Ping of death アタック

この警告は、最大 IP パケット サイズを超えるデータを含む IP フラグメントを受信したことを通知します。アタックに成功すると、カーネル バッファがオーバーフローし、コンピュータに障害が発生します。

UDP bomb アタック

この警告は、無効なユーザー データグラム プロトコル (UDP) パケットの送信が試行されたことを通知します。一部の古いオペレーティング システムでは、特定のフィールドに無効な値を含んでいる UDP パケットを受信すると、障害が発生します。対象のコンピュータに障害が発生した場合、原因の特定が困難なことがよくあります。

Windows out-of-band アタック

この警告は、ISA Server が保護しているコンピュータに out-of-band denial-of-service アタック が試行されたことを通知します。このアタックに成功すると、コンピュータに障害が発生するか、またはアタックを受けやすいコンピュータがネットワークに接続できなくなります。

POP フィルタ

POP (Post Office Protocol) フィルタは、内部ネットワークへの POP トラフィックを傍受し分析します。具体的には、アプリケーション フィルタが POP バッファ オーバーフロー アタックをチェックします。

POP バッファ オーバーフロー アタックは、リモート攻撃者が、サーバーの内部バッファをオーバーフローさせる方法で POP サーバーのルートにアクセスしようとする際に発生します。


RPC フィルタ

ISA Server は、ネットワーク外部にあるクライアントと、ネットワーク内部にあるリモート プロシージャ コール (RPC) サーバー間のすべての RPC のトラフィックを処理します。ISA Server RPC フィルタを使用すると、1 つまたは複数の UUID インターフェイスを RPC プロトコルの定義として指定できます。ISA Server 公開ルールでこのプロトコルの定義がそのサーバーに使用されて、外部クライアントが内部 RPC サーバー上の UUID インターフェイスにアクセスできるようになります。

既定では、RPC フィルタは RPC プロトコルと RPC サーバー プロトコルに適用されます。プロトコルの詳細については、「プロトコル」を参照してください。

Exchange サーバーの公開と RPC フィルタ

リモート サイトから Exchange サーバーにアクセスする一般的な方法は、完全 Outlook® MAPI クライアントを使用する方法です。ユーザーは、企業ネットワークに直接接続するときには、電子メール用と同一の完全 Outlook MAPI クライアントを使用することを好みます。ファイアウォールとセキュリティの管理者の課題は、完全 Outlook MAPI クライアントのリモート アクセス接続をセキュリティで保護する方法です。Outlook MAPI クライアントのアクセスで必要とされる、Microsoft Exchange RPC サービスへのリモート アクセスでは、インターネットのエッジ ファイアウォール上に静的に多数のポートを開くように要求できます。Exchange RPC サービスへのリモート アクセスを許可するために静的に多数のポートを開く必要があることが、リモートの場所から Outlook の改善されたメール機能を有効にする際の障壁になっていました。

従来のファイアウォールでは、このタイプのアクセスを有効にするために、ファイアウォール上に多数のポートを静的に開く必要があったため、セキュリティとファイアウォールの管理者に、完全 Outlook MAPI クライアントにリモート アクセスを許可することを躊躇させていました。重要な問題となるのは、RPC サービスと DCOM サービスを攻撃するように設計されたウイルスとワームの危険性です。RPC アプリケーション レイヤ対応でない従来のファイアウォールを使用している場合、RPC ワームがこのポート番号を使用してネットワークを攻撃する可能性があります。このような攻撃が Exchange サーバーに感染し、さらに企業ネットワーク上の他のコンピュータにも感染する場合があります。

ISA Server RPC フィルタを使用すると、企業の Exchange サーバーとの Outlook MAPI 接続を強制的にセキュリティで保護できます。RPC フィルタは、企業ネットワークからの発信 RPC ワーム接続をブロックします。このフィルタにより、RPC ワーム接続が企業ネットワークからは発信されなくなり、企業ネットワーク上のホストによるインターネット上のコンピュータの感染を防ぐことができます。

また、RPC フィルタを使用して、Outlook MAPI クライアントからの RPC 接続をセキュリティで保護することもできます。この機能を有効にした場合、リモート Outlook MAPI クライアントからの接続要求は、セキュリティで保護された暗号化チャネルを介して送信する必要があります。接続がセキュリティで保護されていない場合、ISA Server はそのクライアント要求を破棄します。これにより、ユーザーではなく ISA Server がセキュリティのレベルを制御できるようになります。

手順については、「RPC フィルタを構成する」を参照してください。

Outlook クライアント用の RPC フィルタ

以下では、最初の RPC エンドポイント マッパー接続を、Outlook MAPI クライアントと ISA Server との間に確立する場合について説明します。

  1. Outlook MAPI クライアントは、ISA Server の外部インターフェイス上に TCP ポート 135 への接続を確立します。
  2. RPC フィルタは、その接続のパケットをステートフルに検査します。無効な RPC 通信が検出された場合、その接続は破棄されます。
  3. Outlook MAPI クライアントからの有効な RPC 接続は、Exchange サーバーに転送されます。Exchange サーバーは、クライアントがその後のデータ接続に使用するポート番号で、要求に応答します。
  4. ISA Server はその応答を傍受し、ポート番号を、Outlook MAPI クライアントが ISA Server の外部インターフェイス上で使用できる有効なポート番号に変更します。
  5. ISA Server は、そのポート番号を Outlook MAPI クライアントに転送します。このポート番号が、その後の Exchange サーバーとの通信に使用されます。

以下は、エンドポイント マッパー 接続が確立された後の Outlook MAPI クライアントと Exchange サーバーとの通信手順です。

  1. Outlook MAPI クライアントは、ISA Server で使用するように指定された MAPI ポートへの接続を確立します。ISA Server は RPC コマンドをスクリーニングし、セキュリティ上の弱点がチャネル内に含まれていないことを確認します。
  2. Outlook MAPI クライアントから送信された情報は、ISA Server によって Exchange サーバーの RPC サービスに転送されます。
  3. Exchange サーバーは Outlook MAPI クライアントに応答し、ISA Server がその応答を傍受します。RPC フィルタはこれらの応答をスクリーニングし、送信元ポート番号を変更します。
  4. ISA Server は、応答を Outlook MAPI クライアントに転送します。

厳密な RPC 準拠

発信 RPC プロトコルは、厳密に RPC 準拠となるように、ルールごとに構成できます。既定では、厳密に準拠することが RPC プロトコルに強制されています。厳密に準拠することにより、DCOM などの RPC タイプのプロトコルは、ISA Server 経由が許可されなくなります。

手順については、「RPC フィルタを構成する」を参照してください。


SMTP フィルタ

ISA Server 2004 は高機能なアプリケーション レイヤ対応ファイアウォールであり、危険なウイルスやワームが含まれている不要な電子メール メッセージを阻止するように構成できます。ISA Server では SMTP メッセージの検査を行い、企業ネットワークへの危険なコードおよび不要な電子メール メッセージの侵入をブロックします。

ISA Server は次の 2 つのコンポーネントを使用して、企業ネットワークを保護します。

  • SMTP フィルタ。詳細については、「SMTP フィルタ」を参照してください。
  • SMTP メッセージ スクリーナ。詳細については、「メッセージ スクリーナ」を参照してください。


SMTP フィルタ

ISA Server は、ISA Server コンピュータのポート 25 に着信するすべての SMTP (簡易メール転送プロトコル) トラフィックを傍受します。SMTP フィルタは、トラフィックを受け付けて調査し、ルールで許可されている場合のみそのトラフィックを通過させます。

SMTP フィルタをメッセージ スクリーナと連動させて、コンテンツをより厳密に検査することができます。メッセージ スクリーナの詳細については、「メッセージ スクリーナ」を参照してください。

既定では、SMTP プロトコルと SMTP サーバー プロトコルに SMTP フィルタが適用されます。詳細については、「プロトコル」を参照してください。

ISA Server が Exchange サーバー コンピュータ間のフォレスト間の通信をサポートするのは、その通信がセキュリティで保護されたチャネル上で TLS を使用して行われる場合に限られます。

ブロックされた電子メールのログ

SMTP フィルタのいずれかの条件に反しているために SMTP コマンドがブロックされた場合、ブロックされたメッセージは、SMTP フィルタ イベント警告を有効にした場合のみログに記録されます。既定では、この警告が無効になります。手順については、「警告定義を有効にする」を参照してください。

コマンドの処理

SMTP フィルタは、インターネット上の SMTP サーバーおよびクライアントから送信された SMTP コマンドを調査します。フィルタは、SMTP コマンドを傍受し、それらが所定のサイズを超えているかどうかを確認します。設定された上限より大きな SMTP コマンドは、SMTP サーバーに対する攻撃と見なされ、SMTP フィルタによって中断されることがあります。フィルタ処理の対象となるコマンドを構成する手順については、「SMTP フィルタ バッファ オーバーフローのしきい値を構成する」を参照してください。

各 SMTP コマンドには、最大長が関連付けられています。この長さは、各コマンドで使用できるバイト数を表します。攻撃者から送信されたコマンドが、そのコマンドで使用可能なバイト数を超えている場合、ISA Server は接続を破棄し、攻撃者が社内のメール サーバーと通信できないようにします。

定義されていて無効になっているコマンドをクライアントが使用すると、フィルタによってその接続が閉じられます。SMTP フィルタが認識しないコマンドをクライアントが使用すると、そのメッセージに対してフィルタ処理が実行されません。クライアントが TURN コマンドを使用すると、フィルタによってすべての電子メール メッセージが破棄されます。

RFC は、AUTH コマンドを MAIL FROM コマンドの一部と見なします。このため、SMTP フィルタが MAIL FROM コマンドをブロックするのは、そのコマンドの長さが、発行された MAIL FROM コマンドと AUTH コマンド (AUTH が有効である場合) の長さを上回った場合に限られます。たとえば、MAIL FROM の最大長を 266 バイト、AUTH の最大長を 1024 バイトとして指定すると、MAIL FROM コマンドが 1290 バイトを超えた場合のみメッセージがブロックされます。


メッセージ スクリーナ

ISA Server には、メール リレー、ウイルスの侵入、およびネットワーク上で送信される不要な添付ファイルを防止するために役立つ 2 つのコンポーネントが含まれています。これらは SMTP (簡易メール転送プロトコル) フィルタおよびメッセージ スクリーナです。メッセージ スクリーナは、ISA Server のオプションのコンポーネントで、ISA Server や ISA Server の管理とは別にインストールできます。

SMTP メッセージ スクリーナは SMTP フィルタと共に機能し、ISA Server コンピュータの TCP ポート 25 に到着する SMTP トラフィックをすべて傍受します。メッセージ スクリーナは、スパムをフィルタ処理するために設計されています。その主な目的は、不要な送信者やドメインから送信されたキーワード、添付ファイル、および電子メール メッセージを仕様に従ってフィルタ処理することです。これはインターネット インフォメーション サービス (IIS) 6.0 または IIS 5.0 を実行している SMTP サーバーにインストールする必要があります。このサーバーが ISA Server コンピュータである必要はありません。たとえば、メッセージ スクリーナは ISA Server コンピュータ、Exchange Server コンピュータ、または IIS 6.0 または IIS 5.0 を実行しているその他の内部 SMTP サーバーにインストールできます。

注

  • メッセージ スクリーナを ISA Server コンピュータにインストールしない場合は、MS Firewall 制御プロトコルを使用してメッセージ スクリーナからローカル ホスト ネットワークにアクセスできるようにするアクセス ルールを作成する必要があります。

SMTP メッセージ スクリーナは、以下に基づいて着信方向のメールをフィルタ処理できます。

  • MAIL FROM SMTP コマンドで送信される値。これは送信者とドメイン名のフィルタに使用されます。
  • 各添付ファイルの Content-Disposition ヘッダー フィールド。このフィールドには通常添付ファイル名と拡張子が含まれています。メッセージ スクリーナは、拡張子、名前、またはサイズを使用して添付ファイルをフィルタ処理できます。
  • キーワードのフィルタ。これは、text/plain または text/html のどちらかのコンテンツの種類のメッセージの件名と本文をフィルタ処理するために使用されます。

SMTP メッセージ スクリーナを構成して、電子メール メッセージを削除したり、後で検査するために電子メール メッセージを一時保管したり、または後で調査および分析するために電子メール メッセージをセキュリティ管理者のアカウントに転送することができます。

たとえば、特定のキーワードを含む不要な電子メール メッセージを送信する一般的なウイルスを考えてみてください。このキーワードを含む電子メール メッセージを受信したときに、次の 3 つの動作のいずれかを行うようにメッセージ スクリーナを構成できます。

  • メッセージの削除
  • メッセージの一時保管
  • メッセージの転送

重要

  • メッセージ スクリーナをインストールしても、有効化と構成を行わなければ、すべてのメッセージは破棄されます。

メッセージ スクリーニングを構成する

次の手順に従って、ISA Server のメッセージ スクリーニングをインストールし、有効にします。

  1. メッセージ スクリーナをインストールします。通常、これは ISA Server コンピュータにはインストールしません。手順については、「メッセージ スクリーナをインストールする」を参照してください。
  2. SMTPCred ツールを構成します。手順については、「SMTPCred ツールを構成する」を参照してください。

ルールごとのフィルタ

メッセージ スクリーナはルールごとに構成されます。メッセージ スクリーナは、ルールのメッセージ スクリーニングが明示的に有効な場合にのみ、そのルールに適用されます。それ以外の場合、メッセージ スクリーナは電子メール メッセージをすべて破棄します。これは、SMTP フィルタが実行するフィルタとは異なります。SMTP フィルタは、SMTP トラフィックに適用されるルールすべてに対して構成されています。

ブロックされたメッセージのログ

SMTP メッセージ スクリーナによって許可またはブロックされたメッセージは、メッセージ スクリーナを実行しているコンピュータ上のログ ファイルにローカルで記録されます。このファイルは既定では %ProgramFiles%\Microsoft ISA Server\ISALogs にあります。SMTP ログの詳細については、「SMTP メッセージ スクリーナのログ フィールド」を参照してください。

注

  • ISA Server コンピュータでメッセージ スクリーナを実行しておらず、メッセージ スクリーナ コンピュータに存在しないメッセージ スクリーナ ログのフォルダ場所を指定している場合、フォルダはそのコンピュータが再起動された後にのみそのコンピュータ上に作成されます。


SOCKS フィルタ

ISA Server の SOCKS フィルタは、SOCKS アプリケーションからの要求を Microsoft ファイアウォール サービスに転送します。ISA Server は、アクセス ポリシー ルールをチェックして、SOCKS クライアント アプリケーションがインターネットと通信できるかどうかを決定します。

ISA Server をインストールすると、すべてのネットワークに対して SOCKS フィルタが無効になります。SOCKS 要求を任意のポートでリッスンするように ISA Server を構成できます。通常、SOCKS アプリケーションはポート 1080 に要求を送信します。既定のポートは変更できます。

手順については、「SOCKS フィルタを構成する」を参照してください。


ストリーミング メディア アプリケーション フィルタ

ストリーミング メディア アプリケーション フィルタは、ファイアウォール クライアントと SecureNAT クライアントが、以下のストリーミング メディア プロトコルを使用して Microsoft Windows Media® Technologies (WMT) サーバーなどのメディア ストリーミング サーバーにアクセスできるようにします。

ISA Server には 3 つのアプリケーション フィルタが含まれており、それらによって一般的なストリーミング メディア プロトコルにクライアントがアクセスできるようにしています。

  • RTSP フィルタ。アクセス ルールに使用される RTSP (Real Time Streaming Protocol) およびサーバー公開ルールに使用される RTSP Server に適用されます。有効である場合は、このアプリケーション フィルタを使用して Windows Media Player 9 以降、RealPlayer G2 以降、および QuickTime 4 とその他クライアントのアクセス、およびサーバーの公開を許可することができます。
  • MMS フィルタ。アクセス ルールに使用される Microsoft Windows Media (MMS) およびサーバー公開ルールに使用される MMS Server プロトコルに適用されます。有効である場合は、このアプリケーション フィルタを使用して Windows Media Player 8 (Windows XP の既定のクライアント) クライアントのアクセスおよびサーバーの公開を許可することができます。
  • PNM フィルタ。アクセス ルールに使用される PNM (Progressive Networks Protocol) およびサーバー公開ルールに使用される PNM Server に適用されます。有効である場合は、このアプリケーション フィルタを使用して RealPlayer クライアントのアクセスおよびサーバーの公開を許可することができます。

プロトコル定義へのアクセスを制限するプロトコル ルールを作成することができます。たとえば、クライアントのアクセスを Windows Media に限定することができます。クライアント MMS (Windows Media プロトコル) を許可するプロトコル ルール、およびクライアント PNM (RealNetworks protocol) の使用を拒否する別のプロトコル ルールを作成できます。

ストリーミング メディア フィルタを無効にすると、そのすべてのプロトコル定義も無効になります。つまり、Windows Media Technologies、RealNetworks、RTSP の各プロトコル定義を使用するトラフィックがブロックされます。

既定では、ストリーミング メディア フィルタが RTSP、RTSP Server、MMS、MMS Server、PNM、PNM Server の各プロトコルに適用されます。プロトコルの詳細については、「プロトコル」を参照してください。


Web プロキシ フィルタ

Web プロキシ フィルタは、Web ベースのトラフィックを要求するクライアントの代わりに、アプリケーション レベルで動作します。このフィルタを無効にすることはできませんが、特定のプロトコルにフィルタが適用されるかどうかを構成することは可能です。既定では、次のように構成されている HTTP (ハイパーテキスト転送プロトコル) に適用されます。

  • 方向が発信方向である。
  • プロトコルの種類が TCP である。
  • ポートが 80 である。

プロトコルの詳細については、「プロトコル」を参照してください。

Web プロキシ フィルタがプロトコルに対して有効であれば、そのプロトコルは、該当する場合に次の機能を使用できます。

  • 認証。詳細については、「認証」を参照してください。
  • HTTP フィルタ。詳細については、「HTTP フィルタ」を参照してください。

Web プロキシ フィルタがプロトコルに対して無効である場合、ISA Server は Web サーバーに接続しているクライアントからの要求を傍受しません。これにより、クライアント要求に対するすべてのキャッシュとその他のプロキシ サービスは無効になります。プロトコルに対してフィルタを無効化 (または適用) する手順については、「プロトコルにアプリケーション フィルタを適用する」を参照してください。

ポート 80 以外のポートでリッスンするカスタム プロトコルを作成して、このプロトコルに Web プロキシ アプリケーション フィルタを適用できます。この方法では、カスタム プロトコルに対して Web プロキシ フィルタ機能を拡張します。


Web フィルタ

外部ベンダによって開発された Web フィルタをインストールして、ISA Server の機能を拡張することができます。Web フィルタを使用すると、内部ネットワークとインターネット間の HTTP (ハイパーテキスト転送プロトコル) 通信の監視、評価、および傍受を行うことができます。

Web フィルタは、Microsoft ファイアウォール サービスが開始されると読み込まれます。Web フィルタは、各 HTTP 要求および応答で発生する多くの特別なフィルタ イベント通知を受信するように構成できます。

ISA Server には、次の Web フィルタがあります。

  • 認証フィルタ
  • HTTP フィルタ
  • リンクの変換

追加のアプリケーション フィルタをインストールおよびアップグレードする

他のベンダが開発した追加のアプリケーション フィルタを ISA Server で使用すると、ISA Server のセキュリティ モデルを拡張できます。

新しいアプリケーション フィルタをインストールするときは、ファイアウォール サービスを再起動する必要があります。

Web フィルタをアップグレードするときは、HTTP プロトコルの使用を拒否するアクセス ルールを作成することをお勧めします。こうすると、フィルタが再び機能するようになるまで HTTP トラフィックがすべてブロックされます。アップグレード プロセスが完了したら、このルールを削除するか無効にできます。手順については、「アクセス ルールを作成する」を参照してください。


認証フィルタ

ISA Server にはさまざまな認証スキームが含まれています。以下の Web フィルタによって、新しい認証機構のサポートが可能になります。

  • OWA フォームベース認証 Web フィルタ。これによって、フォームベース (Cookie) 認証を使用して Outlook Web Access サーバーを公開できるようになります。
  • RSA SecurID Web フィルタ。これによって、RSA SecurID 認証を使用して Web 要求を認証できるようになります。
  • RADIUS 認証 Web フィルタ。これによって、RADIUS 認証を使用して Web 要求を認証できるようになります。

ISA Server では、RADIUS を使用して Active Directory を照会することにより、Active Directory およびその他認証データベース内のユーザーを認証できます。Web 公開ルールでも、RADIUS を使用してリモート アクセス接続を認証することができます。

ISA Server は、SecurID の 2 要素認証を使用してリモート接続を認証することができます。これによって、ユーザーは公開された Web サーバーにアクセスするために必要な情報を認識し、必要なものを持っていなければならないため、高度な認証セキュリティが実現されます。

ISA Server は、Outlook Web Access のサイトが使用するフォームを生成して、フォームベース認証を行うことができます。これによって、認証されていないユーザーが Outlook Web Access サーバーにアクセスできなくなるため、Outlook Web Access サイトへのリモート アクセスに対するセキュリティが強化されます。

認証の詳細については、「Web 要求の認証方法」を参照してください。


HTTP フィルタ

ISA Server 2004 では、ステートフル フィルタ処理だけでなく、ステートフル インスペクションも行うことができます。ステートフル インスペクションによって、ISA Server はアプリケーション レイヤのコマンドおよびデータを調べることができます。ISA Server では、アタック コードがステートフル フィルタ機構を通過しても、その後、パケットがステートフル インスペクション機構に渡されるため、アタック コードをブロックできます。ISA Server のステートフル アプリケーション レイヤ フィルタは、HTTP (ハイパーテキスト転送プロトコル) コマンドおよびデータを調べ、企業ネットワーク上の Web サーバーに渡されるパケットをブロックします。このようにして、境界領域ネットワークへのアタックを防ぎます。

HTTP フィルタは、以下に基づいて HTTP 要求をブロックできる Web フィルタです。

  • 要求のペイロード長。手順については、「要求のペイロード長を制限する」を参照してください。
  • URL の長さ。手順については、「要求で指定できる URL を制限する」を参照してください。
  • HTTP 要求メソッド。たとえば、POST、GET、HEAD などの要求メソッドが使用されます。手順については、「指定した HTTP メソッドをブロックする」を参照してください。
  • HTTP 要求のファイル名拡張子。たとえば、.exe、.asp、.dll などのファイル名拡張子があります。手順については、「指定した HTTP 拡張子をブロックする」を参照してください。
  • HTTP 要求ヘッダーまたは応答ヘッダー。たとえば、要求ヘッダーまたは応答ヘッダーには、Location、Server、Via などがあります。手順については、「指定した HTTP メソッドをブロックする」を参照してください。
  • 要求ヘッダー、応答ヘッダー、または本文の署名やパターン。手順については、「指定した HTTP 署名をブロックする」を参照してください。

HTTP フィルタは、セキュリティで保護された HTTP アクセスを実現するために、既定の設定で最初に構成されます。ただし、展開シナリオによっては、これらの既定の設定をカスタマイズする必要があります。たとえば、Web 公開シナリオの場合は、OPTIONS、TRACE、GET、HEAD、および POST メソッドを許可する必要があります。

注

  • 特定の署名をブロックすると、トラフィックを HTTP 上でトンネリングし、要求ヘッダー、応答ヘッダー、および本文に特定のパターンが含まれるアプリケーション (たとえば、Windows Messenger) がブロックされます。HTTP 署名のブロックでは、異なる種類のコンテンツ エンコードや範囲の要求を使用するアプリケーションはブロックされません。
  • すべての HTTP 要求および応答が UTF-8 でエンコードされていることが前提となります。異なるエンコード方法が使用されている場合は、署名ブロックは行われません。

拡張子の構成

HTTP フィルタが、特定のファイル名拡張子を許可または拒否するよう構成されている場合、フィルタは最初に拡張子を調べます。ISA Server では、最後のピリオド (.) の後から、スラッシュ (/) または疑問符 (?) の前まで、あるいは、/ または ? がない場合は URL の最後までを拡張子として見なします。さらに、ISA Server が拡張子と思われる文字 (たとえば、.exe、.dll、.com) をピリオドの後に見つけた場合、HTTP フィルタはこれらを拡張子として使用します。

次の表は、クライアント要求の例と ISA Server が HTTP フィルタに使用するファイル名拡張子の一覧です。

クライアント要求 | 拡張子
http://server/path/file.ext | .ext
http://server/path/file.htm/additional/path/info.asp | .asp
http://MyServer/Path.exe/file.ext | .exe

この表の最後の例で、HTTP フィルタで .exe 拡張子が許可されている場合、フィルタで .ext 拡張子が許可されていなくても要求は許可されます。この問題に対処するには、URL の .ext 署名を拒否します。手順については、「指定した HTTP 署名をブロックする」を参照してください。

ルールごとのフィルタ

HTTP フィルタは、Web 公開ルールおよびアクセス ルールについて、ルールごとに構成できます。各ルールに対して、ブロックするメソッド、拡張子、および署名を構成できます。

ヘッダーの最大の長さは、HTTP に適用されるすべてのルールで構成される HTTP フィルタ プロパティです。既定では、32,768 バイトに設定されています。手順については、「HTTP 要求におけるヘッダーの最大サイズを制限する」を参照してください。

HTTP フィルタが要求を拒否すると、拒否の理由が Web プロキシ ログの "フィルタ情報" フィールドに保存されます。

重要

  • HTTP フィルタを構成する場合、ハイビット文字をブロックするよう指定できます。このオプションを選択した場合、DBCS または Latin 1 文字を含む URL はブロックされます。これは、Outlook® Web Access の公開、SharePoint™ Portal Server の公開、および GET 要求が 2 バイト文字セットの文字を含むパラメータを渡す場合などに影響する可能性があります。手順については、「要求で指定できる URL を制限する」を参照してください。


リンクの変換

公開された Web サイトには、コンピュータの内部名への参照が含まれていることがあります。外部クライアントに対しては、ネットワーク全体ではなく、ISA Server のみを使用可能にするため、これらの参照は壊れたリンクとして表示されます。ISA Server にはリンクの変換 Web フィルタが含まれています。これを使用すると、内部コンピュータ名を公開されている既知の名前にマップする定義の辞書を作成できます。

詳細については、次の項目を参照してください。

  • リンクの変換の動作
  • リンクの変換の辞書


リンクの変換の動作

ISA Server のリンクの変換は、Web フィルタのビルトイン機能およびその既定の辞書によって Web 公開ルールのリンクの変換を可能にし、単純な公開シナリオの問題を解決します。たとえば、内部 Web サーバーのページに独自のサーバー名 (NetBIOS 名) を指す絶対 URL (Uniform Record Locator) が含まれている場合、リンクの変換フィルタは、外部のネットワーク ユーザーがアクセスできる適切なリンクを返します。さらに、これらの URL に http:// が含まれており、外部ユーザーが https:// を使用して Web サイトに接続しても、ISA Server のリンクの変換によって、http:// ではなく https:// を使用するようにリンクが変更されます。詳細については、「Web ページ内の絶対リンクを置換する」を参照してください。

既定のリンク変換辞書は、標準以外のポートへの要求も変換します。たとえば、ユーザーが ISA Server ファイアウォールの標準以外のポートで公開されている Web サイト (http://www.external.net:8181 など) に接続すると、リンクの変換は、外部クライアントに返す URL にポート番号を追加します。

より複雑な公開シナリオや複雑な Active Server Pages (ASP) コードを使用する場合は、内部 Web サイトが返す名前にマップする辞書定義を構成する必要があります。辞書名のマッピングは、ISA Server で Web 公開ルールごとに構成されます。

リンクの変換が有効な場合、ISA Server は応答の Content-type ヘッダーも調べて、メッセージの本文にリンクの変換を適用する必要があるかどうかを判断します。他のコンテンツ グループを指定することもできますが、既定では、リンクの変換は HTML ドキュメント コンテンツ グループに対してのみ機能します。

注 :

  • リンクの変換フィルタは、まず Content-type ヘッダーを調べて、変換を行う必要があるかどうかを判断します。Content-type ヘッダーがない場合は、Content-location ヘッダーで変換が必要かどうかを調べます。どちらのヘッダーもない場合は、要求された URL のファイル名拡張子を調べます。
  • ISA Server は、内部コンピュータ名など、UTF-8 形式で指定された HTML ドキュメント文字列に対してのみリンク変換を行います。
  • Web サイトに変換が必要なリンクが多数含まれている場合は、ISA Server のパフォーマンスが低下する可能性があります。

    Web 公開ルールでリンク変換辞書を使用すると、リンクの変換フィルタは、次のルールに従ってテキスト文字列をマップします。

    1. フィルタは、辞書に追加された順序で文字列を検索します。
    2. フィルタがテキスト文字列に一致する文字列を見つけると、右側の次の文字を調べ、それが終了文字であるかどうかを判断します。以下の文字が、終了文字として見なされます。
    終了文字
    \t \r \n ; ~ < ! " & '
    ( $ ) * + , / > =
    ? [ \ ] ^ ` { | }
  • 文字列のすぐ右側に終了文字がある場合、フィルタは変換を実行します。

たとえば、"http://IntSalesA" という検索文字列があるとします。http://IntSalesA/Sales/ と http://IntSalesAfrica/ の両方にこの文字列が含まれていますが、"f" は終了文字ではないため、リンクの変換 Web フィルタは、"http://IntSalesA/Sales/" のみを置き換えます。

FTP:// リンクは、既定のリンク変換辞書に自動的には追加されないので注意してください。これらのリンクは明示的に辞書に追加できます。

注意

  • リンク変換辞書にマップされない内部リンクは、そのままユーザーに渡されます。この場合、内部コンピュータの名前が公開され、ハッカーがこれらの内部名に気付く可能性があるため、リスクが大きくなります。意味のある名前を持つコンピュータの場合 (\\Firewall など)、特にリスクが大きくなります。


リンクの変換の辞書

Web 公開ルールに対してリンクの変換を有効にすると、リンクの変換の辞書が自動的に作成されます。ほとんどの場合、既定の辞書にエントリを追加する必要はありません。この辞書には必要に応じてエントリを追加できます。

既定の辞書には次のエントリが含まれています。

  • Web 公開ルール プロパティの [公開先] タブに指定されているコンピュータ名が Web サイト上で使用されている場合は、それがすべて Web サイト名または IP アドレスに置換されます。
    たとえば、ルールによって、fttp://www.microsoft.com に対するすべての要求が、msinternal という内部コンピュータにリダイレクトされる場合、クライアントに返される応答ページに含まれている http://msinternal は、すべて http://www.microsoft.com に置換されます。
  • 既定以外のポートが着信方向の Web 要求リスナで指定されている場合は、応答ページ上のリンクを置換するときにそれが使用されます。既定のポートが指定されている場合は、応答ページ上のリンクを置換するときにそのポートが削除されます。
  • クライアントが ISA Server コンピュータへの要求内で HTTPS を指定している場合、ISA Server は、IIS Server コンピュータからの応答で、すべての HTTP を HTTPS に置換します。

例

たとえば、ISA Server が IIS_A.Org という内部名を持つコンピュータ上のサイトを公開することになっていて、IIS_A.Org が既定の HTTP ポート 80 および SSL ポート 443 で使用可能であるというシナリオを想定してください。ISA Server は、同じ既定のポート上で、www.fabrikam.com というパブリック名を使用してこのサイトを公開します。クライアントは次のような要求を行う場合があります。

GET /dirA HTTP/1.1
Host:www.fabrikam.com

要求内のディレクトリ名はスラッシュ (/) で終わっていないことに注目してください。インターネット インフォメーション サービス (IIS) を実行しているサーバーがこの要求を受信すると、http://IIS_A.Org/dirA/ に設定されている場所のヘッダーを含む 302 応答を自動的に返します。http://IIS_A.Org/dirA/ は、サーバーの内部名、ディレクトリ名、および最後のスラッシュで構成されています。

ISA Server は、応答のヘッダー値を http://www.fabrikam.com/dirA/ に変換します。

この例では、次のエントリがリンクの変換の辞書に自動的に追加されます。

  • http://IIS_A.Org は http://www.fabrikam.com にマップする
  • http://IIS_A.Org:80 は http://www.fabrikam.com にマップする
  • https://IIS_A.Org は https://www.fabrikam.com にマップする
  • https://IIS_A.Org:443 は https://www.fabrikam.com にマップする

最初のクライアント要求が、セキュリティで保護された接続上で SSL を使用して送信された場合、セキュリティ上の理由から、同じコンピュータへのリンクはすべて SSL を使用するように変換されます。次のエントリがリンクの変換の辞書に自動的に追加されます。

  • http://IIS_A.Org は https://www.fabrikam.com にマップする
  • http://IIS_A.Org:80 は https://www.fabrikam.com にマップする
  • https://IIS_A.Org は https://www.fabrikam.com にマップする
  • https://IIS_A.Org:443 は https://www.fabrikam.com にマップする

サイトが既定以外のポート (たとえば HTTP に 81、SSL に 444) を使用している場合、リンクにはそのポート番号が含められます。ポート番号も次のように変換されます。

  • http://IIS_A.Org:81 は http://www.fabrikam.com にマップする
  • https://IIS_A.Org:444 は https://www.fabrikam.com にマップする

同様に、ISA Server が既定以外のポート上 (たとえば HTTP に 82、SSL に 445) のサイトを公開する場合、リンクは次のように、公開されているポートに変換されます。

  • http://IIS_A.Org は http://www.fabrikam.com:82 にマップする
  • http://IIS_A.Org:80 は http://www.fabrikam.com:82 にマップする
  • https://IIS_A.Org は https://www.fabrikam.com:445 にマップする
  • https://IIS_A.Org:443 は https://www.fabrikam.com:445 にマップする

エントリを追加する際のヒント

リンクの変換の辞書のエントリを作成するときは、次のガイドラインに従ってください。

  • 検索文字列の最後に終了文字を付けないでください。たとえば、http://IIS_A.Org/ ではなく、http://IIS_A.Org を使用します。
  • サイト名のエントリを追加するときは、サイト名とポートを含むエントリも追加します。たとえば、http://IIS_A.Org という検索文字列を追加するときは、http://IIS_A.Org:80 という検索文字列も追加します。
  • http:// と https:// の両方を使用します。
  • ディレクトリ構造の変更は、十分注意して行います。
  • 多数のエントリがあり、変換を必要とする多数のリンクを含む Web サイトに適用される辞書は、ISA Server のパフォーマンスに悪影響を及ぼすおそれがあります。


アドイン : 操作方法

ここでは、Microsoft またはサード パーティ ベンダが開発したフィルタ アドインの使用方法について説明します。これらのアドインを使用することで、Internet Security and Acceleration (ISA) Server 2004 のフィルタ機能はさらに強化されます。

  • フィルタを有効または無効にする
  • H.323 フィルタを構成する
  • 侵入検出フィルタを構成する
  • RSA SecurID の Web フィルタを構成する
  • SOCKS フィルタを構成する
  • SMTP フィルタを構成する


フィルタを有効または無効にする

フィルタを有効または無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウで、該当する Web フィルタまたはアプリケーション フィルタをクリックします。
  3. [タスク] タブで、次のいずれかの操作を行います。
    • フィルタを有効にするには、[選択したフィルタの有効化] をクリックします。
    • フィルタを無効にするには、[選択したフィルタの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • フィルタを無効にすると、該当するプロトコルについてアプリケーション フィルタが無効になります。アプリケーション フィルタを無効にする方法としては、特定のプロトコルにフィルタを適用しないことをお勧めします。

関連項目


H.323 フィルタを構成する

H.323 フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウで、[H.323 フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [呼の制御] タブで、次の操作を行います (複数可)。
    • H.323 ゲートキーパーを指定するには、[使用するゲートキーパーを指定する] チェック ボックスをオンにして、H.323 ゲートキーパー サーバーの完全修飾ドメイン名 (FQDN) を入力します。
    • 自分の組織内のユーザーを他の組織のユーザーが呼び出すことができるようにするには、[着信呼を許可する] チェック ボックスをオンにします。
    • DNS ゲートキーパー参照を有効にするには、[DNS ゲートキーパー参照と LRQ をエイリアス解決に使う] チェック ボックスをオンにします。
    • 音声呼を許可するには、[音声を許可する] チェック ボックスをオンにします。
    • ビデオ呼を許可するには、[ビデオを許可する] チェック ボックスをオンにします。
    • T.120 データとアプリケーションの共有を許可するには、[T120 とアプリケーションの共有を許可する] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


侵入検出フィルタを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 に含まれる侵入検出フィルタを構成する方法について説明します。

  • 一般的なアタックの侵入検出を有効にする
  • DNS アタックの侵入検出を有効にする
  • 破棄されたパケットをログに記録する


一般的なアタックの侵入検出を有効にする

一般的なアタックの検出を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[侵入検出と DNS アタック検出の有効化] をクリックします。
  3. [一般的なアタック] タブで、[侵入検出を有効にする] をクリックします。
  4. 次の中から 1 つまたは複数を選択します。
    • [Windows out-of-band (WinNuke)]。このオプションは、ISA Server が保護しているコンピュータに out-of-band denial-of-service アタックが試行された場合、ISA Server でイベントを生成するときに選択します。
    • [Land]。このオプションは、宛先 IP アドレスおよびポート番号と一致する、偽造された送信元 IP アドレスおよびポート番号で TCP SYN パケットが送信された場合、ISA Server でイベントを生成するときに選択します。
    • [Ping of death]。このオプションは、最大 IP パケット サイズを超えるデータと共に IP フラグメントを受信した場合、ISA Server でイベントを生成するときに選択します。
    • [IP half scan]。このオプションは、宛先コンピュータへの接続の試行が繰り返され、応答する ACK パケットが受信されなかった場合、ISA Server でイベントを生成するときに選択します。
    • [UDP bomb]。このオプションは、無効なユーザー データグラム プロトコル (UDP) パケットの送信が試行された場合、ISA Server でイベントを生成する場合に選択します。アタックが発生するとイベントが生成されますが、動作がトリガされるように、明示的に警告を有効にして構成する必要があります。
    • [Port scan]。このオプションは、各ポートの応答を調べる方法で、コンピュータ上で実行されているサービスのカウントが試行された場合、ISA Server でイベントを生成するときに選択します。このオプションを選択した場合は、以下も指定します。
      • [well-known ポート]。ポート スキャン アタックの検出時に、イベントを生成する前にスキャン可能な well-known ポートの最大数を入力します。well-known ポートは、1 ～ 2048 の範囲にある任意のポートです。
      • [ポート]。ポート スキャン アタックの検出時に、イベントを生成する前にスキャン可能なポートの最大数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


DNS アタックの侵入検出を有効にする

DNS アタックの侵入検出を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[侵入検出と DNS アタック検出の有効化] をクリックします。
  3. [DNS アタック] ページで、[DNS アタックの検出とフィルタを有効にする] をクリックします。
  4. 次の中から 1 つまたは複数を選択します。
    • [DNS ホスト名のオーバーフロー]。ISA Server により、DNS ホスト名のオーバーフローによる侵入の試みがチェックされます。DNS 侵入検出フィルタは、内部ネットワークへの DNS トラフィックを傍受し分析します。ホスト名に対する DNS 応答がある一定の長さを超えている場合に、DNS ホスト名のオーバーフローによる侵入が発生します。
    • [DNS リソース データ長のオーバーフロー]。ISA Server により、DNS リソース データ長のオーバーフローによる侵入の試みがチェックされます。IP アドレスに対する DNS 応答が指定した 4 バイト長を超えている場合に、DNS リソース データ長のオーバーフローによる侵入が発生します。
    • [DNS ゾーン転送]。ISA Server により、DNS ゾーン転送による侵入の試みがチェックされます。クライアント システムが DNS クライアント アプリケーションを使用して内部 DNS サーバーからゾーンを転送するときに、DNS ゾーン転送による侵入が発生します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


破棄されたパケットをログに記録する

破棄されたパケットをログに記録するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[侵入検出と DNS アタック検出の有効化] をクリックします。
  3. [一般的なアタック] ページで、[破棄されたパケットをログに記録する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server をインストールすると、既定により、破棄されたパケットはすべてログに記録されます。

関連項目


RSA SecurID の Web フィルタを構成する

ここでは、RSA ACE/Agent および RSA ACE/Server 用に Microsoft Internet Security and Acceleration (ISA) Server 2004 を構成する手順について説明します。

  • ISA Server コンピュータを RSA ACE/Agent としてセットアップする
  • ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認する


ISA Server コンピュータを RSA ACE/Agent としてセットアップする

ISA Server コンピュータを RSA ACE/Agent としてセットアップするには

  • RSA ACE/Server コンピュータの ACE\Data フォルダにある Sdconf.rec ファイルを ISA Server コンピュータの %windir%\system32 フォルダにコピーします。

注

  • 5.0 より前のバージョンの RSA ACE/Server を使用している場合は、次の手順を実行してください。
    1. RSA ACE/Server コンピュータで、[スタート] ボタン、[プログラム]、[RSA ACE Server]、[Database Administration - Host Mode] の順にクリックします。
    2. [Agent Host] メニューの [Add Agent Host] をクリックします。
    3. [名前] に、ISA Server コンピュータの名前を入力します。
    4. [Network address] に ISA Server コンピュータの IP アドレスが表示されていない場合は、IP アドレスを入力します。
    5. [Agent Host] で、[Generate Configuration File]、[One Agent Host]、[OK] の順にクリックし、ISA Server コンピュータの名前をダブルクリックして、コンピュータのフォルダに Sdconf.rec ファイルを保存します。
    6. Sdconf.rec ファイルを ISA Server コンピュータの %windir%\system32 フォルダにコピーします。

関連項目


ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認する

ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認するには

  1. コマンド プロンプトで、「<ISA のインストール ディレクトリ>\sdtest.exe」と入力します。
  2. [RSA SecurID の認証情報] で、[RSA ACE/Server のテスト ディレクトリ] をクリックします。
  3. [RSA SecurID 認証] で、[ユーザー名の入力] にユーザー名、[パスコードの入力] にパスコードを入力します。
  4. 認証に成功したというメッセージが表示されたら、[OK] をクリックします。

重要

  • RSA SecurID 認証の Web フィルタは RSA ACE/Server と通信し、認証するので、ISA Server コンピュータは RSA ACE/Server と通信し、RSA ACE/Server に対して認証を行えることが必要です。

関連項目


SOCKS フィルタを構成する

SOCKS フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウで、[SOCKS V4 フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [全般] タブで、[このフィルタを有効にする] をクリックします。
  5. [ネットワーク] タブの [ポート] に、ISA Server が SOCKS 要求をリッスンするポート番号を入力します。
  6. ISA Server が SOCKS 要求をリッスンするネットワークを選択します (複数可)。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目


SMTP フィルタを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 に含まれる SMTP フィルタを構成する方法について説明します。

  • メッセージ スクリーナをインストールする
  • SMTPCred ツールを構成する
  • SMTP フィルタ バッファ オーバーフローのしきい値を構成する
  • ユーザーが SMTP サーバーにアクセスできないようにする
  • ドメインが SMTP サーバーにアクセスできないようにする
  • 電子メールの添付ファイルをフィルタ処理する
  • 電子メール メッセージをキーワードでフィルタ処理する


メッセージ スクリーナをインストールする

メッセージ スクリーナをインストールするには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISA\Setup
    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。画面上に表示される指示に従います。
  3. [使用許諾契約] 画面で、[同意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [セットアップの種類] 画面で、[カスタム]、[次へ] の順にクリックします。
  6. [カスタム セットアップ] 画面で、[メッセージ スクリーナ]、[ローカル ドライブにインストール]、[次へ] の順にクリックします。
  7. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • メッセージ スクリーナは、SMTP サーバーにインストールする必要があります。通常、このサーバーは、ISA Server コンピュータではありません。
  • SMTP メッセージ スクリーナの構成に指定されたユーザー アカウントは、ISA Server コンピュータに対する読み取りアクセス権を持っている必要があります。
  • メッセージ スクリーナを実行する SMTP サーバーは、SMTPCred ツールを使用してこれらの資格情報を渡すことができます。手順については、「SMTPCred ツールを構成する」を参照してください。
  • メッセージ スクリーナを ISA Server コンピュータにインストールしない場合は、MS Firewall 制御プロトコルを使用してメッセージ スクリーナからローカル ホスト ネットワークにアクセスできるようにするアクセス ルールを作成する必要があります。

関連項目


SMTPCred ツールを構成する

SMTPCred ツールを構成するには

  1. コマンド プロンプトで「SMTPCred.exe」と入力して、SMTPCred ツールを実行します。
  2. メッセージ ボックスに、ISA Server コンピュータの名前または IP アドレスを入力します。
  3. 該当するテキスト ボックスに、ドメイン名、管理者名、およびパスワードを入力します。
  4. [テスト] をクリックします。

注

  • 既定では、SMTPCred.exe ツールは、ISA Server のインストール フォルダにあります。
  • SMTP メッセージ スクリーナの構成に指定されたユーザー アカウントは、ISA Server コンピュータに対する読み取りアクセス権を持っている必要があります。

関連項目


SMTP フィルタ バッファ オーバーフローのしきい値を構成する

SMTP フィルタ バッファ オーバーフローのしきい値を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [SMTP コマンド] タブで、該当するコマンドをクリックし、[編集] をクリックします。
  5. [SMTP コマンドのルール] で、[SMTP コマンドを有効にする] をクリックします。
  6. [長さの上限] に、コマンドに対するコマンド行の最大長を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 新しいコマンドを追加するには、[追加] をクリックし、[SMTP コマンドのルール] にコマンド名を入力します。
  • 定義されていて無効になっているコマンドをクライアントが使用すると、フィルタによってその接続が閉じられます。
  • SMTP フィルタが認識しないコマンドをクライアントが使用すると、そのメッセージに対してフィルタ処理が実行されません。
  • 追加できるのは、単純な SMTP コマンドだけです。
  • クライアントが TURN コマンドを使用すると、フィルタによってすべての電子メール メッセージが破棄されます。
  • RFC は、AUTH コマンドを MAIL FROM コマンドの一部と見なします。このため、SMTP フィルタが MAIL FROM コマンドをブロックするのは、そのコマンドの長さが、発行された MAIL FROM コマンドと AUTH コマンド (AUTH が有効である場合) の長さを上回った場合に限られます。たとえば、MAIL FROM の最大長を 266 バイト、AUTH の最大長を 1024 バイトと指定すると、MAIL FROM コマンドが 1290 バイトを超えた場合のみメッセージがブロックされます。

関連項目


ユーザーが SMTP サーバーにアクセスできないようにする

ユーザーが SMTP サーバーにアクセスできないようにするには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [ユーザー/ドメイン] タブにある [差出人の電子メール アドレス] に、SMTP サーバーへのアクセスを拒否する送信者の電子メール アドレスを入力し、[追加] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。

関連項目


ドメインが SMTP サーバーにアクセスできないようにする

ドメインが SMTP サーバーにアクセスできないようにするには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [ユーザー/ドメイン] タブにある [ドメイン名] に、SMTP サーバーへのユーザーのアクセスを拒否するドメイン名を入力し、[追加] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。

関連項目


電子メールの添付ファイルをフィルタ処理する

電子メールの添付ファイルをフィルタ処理するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [添付ファイル] タブで、[追加] をクリックします。
  5. [メールの添付ファイルのルール] で、[このルールを有効にする] チェック ボックスをオンにします。
  6. 次のいずれかを選択し、適切な情報を入力します。
    • [添付ファイル名]。添付ファイルの名前を入力します。
    • [添付ファイルの拡張子]。添付ファイルの拡張子を入力します。
    • [添付ファイルのサイズ制限 (バイト)]。添付ファイルの最大サイズを入力します。
  7. [動作] で、次のいずれかを選択します。
    • [メッセージの削除]
    • [メッセージの一時保管]
    • [メッセージの転送]
  8. [メッセージの転送] を選択した場合は、メッセージの転送先となる 1 つまたは複数のアドレスをセミコロン (;) で区切って入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。
  • 条件に動作を適用する順序を変更するには、上向きまたは下向きの矢印をクリックします。

関連項目


電子メール メッセージをキーワードでフィルタ処理する

電子メール メッセージをキーワードでフィルタ処理するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [キーワード] タブで、[追加] をクリックします。
  5. [このルールを有効にする] をクリックします。
  6. [キーワード] に、ルールを適用する文字列を入力します。
  7. [キーワードを検索する場所 (見つかった場合、動作を適用します)] で、次のいずれかを選択します。
    • [メッセージ ヘッダーまたは本文]
    • [メッセージ ヘッダー]
    • [メッセージ本文]
  8. [動作] で、次のいずれかを選択します。
    • [メッセージの削除]
    • [メッセージの一時保管]
    • [メッセージの転送]。この場合、メッセージの転送先となる 1 つまたは複数のアドレスをセミコロン (;) で区切って入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[プログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。
  • 条件に動作を適用する順序を変更するには、上向きまたは下向きの矢印をクリックします。

関連項目


展開シナリオ : SMTP フィルタ

SMTP フィルタは、必ず ISA Server コンピュータで実行されます。しかし、SMTP メッセージ スクリーナは、ISA Server コンピュータの背後の保護されたネットワークにある別のコンピュータ上に配置することができます。SMTP メッセージ スクリーナをインストールできるのは、次の場所です。

  • ISA Server コンピュータ
  • ISA Server コンピュータの背後にある独立型 SMTP リレー
  • Exchange サーバー

メッセージのフィルタ処理には、かなりの処理能力が必要となります。このため、多くの組織では、ISA Server コンピュータ上、または企業ネットワークのいずれかの場所にある SMTP リレー上に SMTP メッセージ スクリーナを配置して、Exchange サーバーに負荷をかけないようにしています。

SMTP メッセージ スクリーナは、インターネット インフォメーション サービス (IIS) 6.0 または IIS 5.0 SMTP サービスを実行している企業ネットワークの SMTP リレー コンピュータにインストールできます。ISA Server コンピュータでは内部ネットワークの SMTP リレーを公開し、メッセージ スクリーナが SMTP リレー コンピュータで危険な電子メール メッセージをブロックします。SMTP メッセージ スクリーナは SMTP フィルタと通信して、ブロックすべき電子メール メッセージの情報を取得します。

基本的な情報については、「SMTP フィルタ」を参照してください。展開シナリオの詳細については、ISA Server の Web サイトにある『SMTP メッセージ スクリーニング』(http://www.microsoft.com/) を参照してください。


その他の参照情報

  • ISA Server の管理のアクセシビリティ
  • ログ コードの値
  • パフォーマンス カウンタ


ISA Server の管理のアクセシビリティ

Microsoft® Windows Server™ 2003 (または Windows® 2000 Server) および Microsoft 管理コンソール (MMC) のアクセシビリティ製品とサービスに加えて、ISA Server ではコマンドの選択およびコンソール ウィンドウ内とコンソール ウィンドウ間のナビゲーションを行うためのショートカット キーを提供しています。

ナビゲーション

MMC スナップインと同様に、ISA Server の管理のコンソール ツリーでは、ブランチの展開と折りたたみ、マイナス記号とプラス記号のクリック、マウスのダブルクリックの各操作による参照が可能です。次の表は、コンソール ウィンドウ内およびコンソール ウィンドウ間を移動する際に使用できるキーストロークの一覧です。

キーストローク操作 | 結果
Tab | アクティブなウィンドウ内のウィンドウ領域間を前方に移動します。
Shift + Tab | アクティブなウィンドウ内のウィンドウ領域間を後方に移動します。
↑ | ウィンドウ領域内で、選択対象を 1 つ上に移動します。
↓ | ウィンドウ領域内で、選択対象を 1 つ下に移動します。
PageUp | 選択対象を、ウィンドウ領域に表示されている最上位の項目に移動します。
PageDown | 選択対象を、ウィンドウ領域に表示されている最下位の項目に移動します。
Home | 選択対象を、ウィンドウ領域内の最初の項目に移動します。
End | 選択対象を、ウィンドウ領域に表示されている最後の項目に移動します。
→ | 選択された項目を展開します。
← | 選択された項目を折りたたみます。選択された項目に隠し項目が含まれていない場合は、↑ キーと同じように機能します。

次の表は、ISA Server の管理のコンソール ツリー内を移動するときに使用できるマウス操作の一覧です。

マウス操作 | 結果
クリック | 項目を選択します。
ダブルクリック | 選択された項目に含まれている項目を表示または非表示にします。項目のプロパティを表示したり、項目を開いたりします。
右クリック | 選択した項目に対して [動作] ショートカット メニューを表示します。

タブ間のナビゲーション

[表示] メニューの [切り替え] コマンドを使用して、タブ間を移動することができます。Alt + V キーを押して [表示] メニューにアクセスし、W キーを押して [切り替え] コマンドにアクセスします。その後に、適切なショートカット キーをクリックしてタブにアクセスします。

ショートカット キー

次の表は、ISA Server の管理のメニュー コマンドに対するショートカット キーの一覧です。

操作 | 結果
F1 | 選択した項目にヘルプ トピックがあれば、それを開きます。
F5 | すべてのコンソール ウィンドウの内容を更新します。
Enter | 選択した項目にプロパティ ダイアログ ボックスがあれば、それを表示します。
Alt + Space | ISA Server の管理のウィンドウのメニューを表示します。
Alt + F4 | スナップインを閉じます。
Alt + A | [動作] メニューを表示します。
Alt + V | [表示] メニューを表示します。
Alt + F | [ファイル] メニューを表示します。
Alt + H | [ヘルプ] メニューを表示します。


ログ コードの値

  • 動作ログの値
  • キャッシュ情報ログの値
  • エラー情報ログの値
  • オペレーティング システム ログの値
  • オブジェクト ソース ログの値
  • 結果コード ログの値


動作ログの値

ファイアウォール ログには、動作フィールドを含めることができます。詳細については、「ログ ビューア」および「Microsoft ファイアウォール サービスのログ フィールド」を参照してください。次の表は、動作値の一覧です。

MSDE 値 | テキスト ログの文字列
0 | -
1 | Bind
2 | Listen
3 | GHBN
4 | GHBA
5 | Redirect-bind
6 | Establish
7 | Terminate
8 | Denied
9 | Allowed
10 | Failed
11 | Intermediate
12 | Successful Connection
13 | Unsuccessful Connection
14 | Disconnection
15 | User cleared Quarantine
16 | Quarantine timeout


キャッシュ情報ログの値

Web プロキシ ログには、オブジェクトのキャッシュ状態を明示するキャッシュ情報フィールドを含めることができます。これにより、オブジェクトがキャッシュされた理由またはキャッシュされなかった理由がわかります。次の表は、可能なキャッシュ情報値の一覧です。

値 | 説明
0x00000001 | 要求をキャッシュから処理することはできません。
0x00000002 | 要求に IF-MODIFIED-SINCE ヘッダーが含まれています。
0x00000004 | 要求に CACHE-CONTROL: NO-CACHE または PRAGMA: NO-CACHE ヘッダーが含まれています。
0x00000008 | 要求に AUTHORIZATION ヘッダーが含まれています。
0x00000010 | 要求に VIA ヘッダーが含まれています。
0x00000020 | 要求に IF-MATCH ヘッダーが含まれています。
0x00000040 | 要求に RANGE ヘッダーが含まれています。
0x00000080 | 要求に CACHE-CONTROL: NO-STORE ヘッダーが含まれています。
0x00000100 | 要求に CACHE-CONTROL: MAX-AGE、CACHE-CONTROL: MAX-STALE、または CACHE-CONTROL: MIN-FRESH のいずれかのヘッダーが含まれています。
0x00000200 | キャッシュを更新できませんでした。
0x00000400 | 要求で指定された IF-MODIFIED-SINCE の時間はキャッシュされた LASTMODIFIED の時間より後です。
0x00000800 | 要求に CACHE-CONTROL: ONLY-IF-CACHED ヘッダーが含まれています。
0x00001000 | 要求に IF-NONE-MATCH ヘッダーが含まれています。
0x00002000 | 要求に IF-UNMODIFIED-SINCE ヘッダーが含まれています。
0x00004000 | 要求に IF-RANGE ヘッダーが含まれています。
0x00008000 | 複数の VARY ヘッダーが含まれています。
0x00010000 | 応答に CACHE-CONTROL: PUBLIC ヘッダーが含まれています。
0x00020000 | 応答に CACHE-CONTROL: PRIVATE ヘッダーが含まれています。
0x00040000 | 応答に CACHE-CONTROL: NO-CACHE または PRAGMA: NO-CACHE ヘッダーが含まれています。
0x00080000 | 応答に CACHE-CONTROL: NO-STORE ヘッダーが含まれています。
0x00100000 | 応答に CACHE-CONTROL: MUST-REVALIDATE または CACHE-CONTROL: PROXY-REVALIDATE ヘッダーが含まれています。
0x00200000 | 応答に CACHE-CONTROL: MAX-AGE または S-MAXAGE ヘッダーが含まれています。
0x00400000 | 応答に VARY ヘッダーが含まれています。
0x00800000 | 応答に LAST-MODIFIED ヘッダーが含まれています。
0x01000000 | 応答に EXPIRES ヘッダーが含まれています。
0x02000000 | 応答に SET-COOKIE ヘッダーが含まれています。
0x04000000 | 応答に WWW-AUTHENTICATE ヘッダーが含まれています。
0x08000000 | 応答に VIA ヘッダーが含まれています。
0x10000000 | 応答に AGE ヘッダーが含まれています。
0x20000000 | 応答に TRANSFER-ENCODING ヘッダーが含まれています。
0x40000000 | 応答をキャッシュすることはできません。


エラー情報ログの値

Web プロキシ ログには、エラー情報フィールドを含めることができます。詳細については、「ログ ビューア」および「Web プロキシのログ フィールド」を参照してください。次の表は、可能な値の一覧です。

MSDE 値 | 説明
0x00000001 | クライアントからのパケット受信でエラーが発生しました。
0x00000002 | クライアントへのパケット送信でエラーが発生しました。
0x00000004 | サーバーへのパケット送信でエラーが発生しました。
0x00000008 | サーバーからのパケット受信でエラーが発生しました。
0x00000040 | 接続中にエラーが発生しました。
0x00000080 | クライアントとの接続が "キープアライブ" です。
0x00000100 | 上位サーバーとの接続が "キープアライブ" です。
0x00000200 | クライアントの要求にコンテンツ長がゼロでない本文が含まれています。
0x00000400 | サーバーの応答にコンテンツ長がゼロでない本文が含まれています。
0x00000800 | DNS キャッシュを使用して名前が解決されました。


オペレーティング システム ログの値

Web プロキシ ログとファイアウォール ログには、要求を開始したオペレーティング システムを明示するクライアント エージェント フィールドを含めることができます。次の表は、可能なオペレーティング システム値の一覧です。

値 | 説明
0:3.1 | Windows® 3.1
0:3.11 | Windows for Workgroups
0:3.95 | Windows 95 (16 ビット)
1:3.11 | Win32s
2:4.0 | Windows 95 (32 ビット)
2:4.10 | Windows 98
2:4.90 | Windows Millennium Edition
3:3.1 | Windows NT® 3.1
3:3.5 | Windows NT 3.5
3:3.51 | Windows NT 3.51
3:4.0 | Windows NT 4.0
3:5.0 | Windows 2000
3:5.1 | Windows XP
3:5.2 | Windows Server™ 2003

ISA Server がオペレーティング システムを認識しない場合は、ログ フィールドの値が Unknown に設定されます。


オブジェクト ソース ログの値

Web プロキシ ログには、現在のオブジェクトを取得するために使用されたソースを明示するオブジェクト ソース フィールドを含めることができます。詳細については、「ログ ビューア」および「Web プロキシのログ フィールド」を参照してください。次の表は、可能なオブジェクト ソース値の一覧です。

ソース値 | テキスト ログの文字列 | 説明
0 | (なし) | ソース情報はありません。
1 | Cache | ソースはキャッシュです。オブジェクトはキャッシュから返されました。
2 | Verified Cache | ソースはキャッシュです。オブジェクトをソースに対して検証しましたが、変更されていませんでした。
3 | Not Verified Cache | ソースはキャッシュです。オブジェクトをソースに対して検証できませんでした。
4 | Verify Failed Internet | ソースはインターネットです。キャッシュ内のオブジェクトが無効であったため、インターネットから取得されています。
5 | Internet | ソースはインターネットです。オブジェクトはキャッシュに追加されました。
7 | Upstream | オブジェクトは上位プロキシ キャッシュから返されました。
8 | Not Modified | ソースはキャッシュです。クライアントが If-Modified-Since 要求を実行しましたが、オブジェクトは変更されていませんでした。


結果コード ログの値

Web プロキシ ログとファイアウォール ログには、要求の状態を示す結果コード フィールドを含めることができます。Web プロキシ ログでは、このフィールドが HTTP ステータス コードを示します。ファイアウォール ログでは、このフィールドが結果コードを示します。

ファイアウォール ログでは、結果コード フィールドがエラーを表します。これは次のいずれかになります。

  • Windows ベースの HRESULT エラー コード
  • ISA Server サービスのエラー コード。通常、このエラーは 0xC00 で始まります。エラー テキストには多くの場合 FWX_E_ が含まれています。

HTTP ステータス コード列は、Web プロキシからの HTTP エラーを表します。これには、次のいずれかの値が設定されます。

  • HTTP RFC に定義されている HTTP 応答コード。HTTP 応答コードの一覧については、プラットフォーム SDK (英語情報) (http://www.microsoft.com/) を参照してください。
  • Winsock エラー コード。Winsock エラー コードの一覧については、MSDN (英語情報) (http://www.microsoft.com/) を参照してください。
  • ISA Server Web プロキシ エラー コード。これらのエラーには、説明も含まれています。


パフォーマンス カウンタ

ここでは、Internet Security and Acceleration (ISA) Server 2004 のパフォーマンス カウンタについて説明します。個々のカウンタの詳細については、以下を参照してください。

  • Firewall Engine パフォーマンス カウンタ
  • H.323 フィルタ パフォーマンス カウンタ
  • キャッシュ パフォーマンス カウンタ
  • Microsoft ファイアウォール サービス パフォーマンス カウンタ
  • SOCKS フィルタ パフォーマンス カウンタ
  • Web プロキシ パフォーマンス カウンタ

読み込みの監視

全般的なパフォーマンスを監視するには、以下のカウンタを綿密に監視します。

分類 | カウンタ名
ISA Server Firewall Engine | Active Connections
ISA Server ファイアウォール サービス | Active Sessions
ISA Server Web プロキシ | Requests per second
ISA Server Firewall Engine | Bytes/sec

セキュリティの監視

全般的なセキュリティ上の脅威を監視するには、以下のカウンタを綿密に監視します。

分類 | カウンタ名
ISA Server Firewall Engine | Dropped packets/sec
ISA Server Firewall Engine | Packets/sec
ISA Server Firewall Engine | Connections/sec
ISA Server Web プロキシ | Current Average Milliseconds/request


Firewall Engine パフォーマンス カウンタ

次の表は、Firewall Engine のパフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Active Connections | 現在データを送受信しているアクティブな接続の総数です。
Connections/sec | 1 秒間に新たに作成された接続の数です。
TCP Established Connections/sec | 1 秒間に新たに確立された TCP 接続の数です。TCP 接続は、スリーウェイ SYN ハンドシェイクが正常に完了したときに、接続が確立されたものとしてカウントされます。
Bytes | ISA Server を通過した合計バイト数です。
Bytes/sec | 1 秒間に ISA Server を通過したバイト数です。
Packets | ISA Server によって検査された合計パケット数です。
Packets/sec | 1 秒間に ISA Server によって検査されたパケット数です。
Allowed Packets | ISA Server が通過を許可する合計パケット数です。
Allowed Packets/sec | 1 秒間に ISA Server が通過を許可するパケット数です。
Dropped Packets | ISA Server によって破棄されたパケット数です。
Dropped Packets/sec | 1 秒間に ISA Server によって破棄されたパケット数です。
Backlogged Packets | バックログとして残されたパケット数です。


H.323 フィルタ パフォーマンス カウンタ

次の表は、H.323 フィルタのパフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Total H.323 Calls | ファイアウォール サービスが開始されてから H.323 フィルタによって処理された H.323 呼の合計です。
Active H.323 Calls | 現在アクティブな H.323 呼の数です。


キャッシュ パフォーマンス カウンタ

次の表は、ISA Server キャッシュのパフォーマンス カウンタの一覧です。

カウンタ | 説明
Active Refresh Bytes Rate (KB/sec) | キャッシュ内の頻繁に使用される URL (Uniform Resource Locator) をアクティブに更新するために、インターネットから取得される 1 秒あたりのデータの量です。この値は、アクティブ キャッシュ用に設定された構成に関連します。
Active URL Refresh Rate (URL/sec) | キャッシュ内の頻繁に使用される URL がインターネットからアクティブに更新される 1 秒あたりの数です。この値は、アクティブ キャッシュ用に設定された構成に関連します。
Disk Bytes Retrieve Rate (KB/sec) | ディスク キャッシュから取得される 1 秒あたりのデータの量です。このカウンタは、Disk URL Retrieve Rate カウンタと似ていますが、URL ではなくバイトを監視します。
Disk Cache Allocated Space (KB) | ディスク キャッシュが使用している領域のサイズです。この値は、ディスク キャッシュに対して構成されているサイズ以下の値になります。
Disk Content Write Rate (Writes/sec) | URL コンテンツをキャッシュ ディスクに書き込むための、ディスク キャッシュに対する 1 秒あたりの書き込み数です。
Disk Failure Rate (Failures/sec) | 1 秒あたりの入出力 (I/O) エラーの数です。I/O エラーは、ISA Server がディスク キャッシュからの読み取りまたはディスク キャッシュへの書き込みに失敗した場合に発生します。このカウンタは、Total Disk Failures カウンタと共に、ディスク キャッシュに問題があることを明確に示します。
Disk URL Retrieve Rate (URL/sec) | ディスク キャッシュからクライアントに送信される 1 秒あたりの URL の数です。ピーク時とオフピーク時にこのカウンタを計測すると、ディスク キャッシュのパフォーマンスの確認に役立ちます。Memory URL Retrieve Rate カウンタと比較することで、キャッシュ ディスクとメモリがどのように使用されているかを確認できます。
Max URLs Cached | キャッシュに格納された URL の最大数です。
Memory Bytes Retrieved Rate (KB/sec) | メモリ キャッシュから取得される 1 秒あたりのデータの量です。このカウンタは、Memory URL Retrieve Rate カウンタと似ていますが、URL ではなくバイトを監視します。
Memory Cache Allocated Space (KB) | メモリ キャッシュが使用している領域のサイズです。この値は、メモリ キャッシュに対して構成されているサイズ以下の値になります。
Memory URL Retrieve Rate (URL/sec) | メモリ キャッシュからクライアントに送信される 1 秒あたりの URL の数です。ピーク時とオフピーク時にこのカウンタを計測すると、メモリ キャッシュのパフォーマンスの確認や、キャッシュ用に割り当てられているメモリが効率的に使用されていているかどうかの確認に役立ちます。
Memory Usage Ratio Percent (%) | メモリ キャッシュからのキャッシュ フェッチの総量の割合です。割合が高い場合は、使用可能なメモリ リソースをさらにキャッシュに割り当てることが適切であることを示している可能性があります。割合が低い場合は、メモリ リソースを別の場所で使用するほうが有効であることを示している可能性があります。
Total Actively Refreshed URLs | インターネットからアクティブに更新された、キャッシュ内の頻繁に使用される URL の累積数です。このカウンタは、アクティブ キャッシュのパフォーマンスを示す 1 つの目安となります。
Total Bytes Actively Refreshed (KB) | キャッシュ内の頻繁に使用される URL をアクティブに更新するためにインターネットから取得された合計バイト数です。このカウンタは、アクティブ キャッシュのパフォーマンスを示す 1 つの目安となります。
Total Disk Bytes Retrieved (KB) | ディスク キャッシュから取得されたディスク バイトの累積数です。このカウンタと Total Memory Bytes Retrieved カウンタの合計は、キャッシュから取得された合計バイト数を示します。
Total Disk Failures | 入出力 (I/O) エラーによって、Web プロキシがディスク キャッシュの読み取りまたはディスク キャッシュへの書き込みに失敗した回数です。カウンタの値が小さい場合は、ディスクが正常に機能していることを示します。カウンタの値が高い場合は、キャッシュ ディスクが小さすぎる、遅すぎる、または破損している可能性があります。
Total Disk URLs Retrieved | ディスク キャッシュから取得された URL の累積数です。このカウンタと Total Memory URLs Retrieved カウンタの合計は、キャッシュから取得された URL の総数を示します。
Total Memory Bytes Retrieved (KB) | キャッシュへのクライアント要求に応答して、メモリ キャッシュから取得されたメモリ バイトの累積数です。値が小さい場合は、キャッシュ専用のメモリ リソースが効率的に使用されていないことを示している可能性があります。値が大きい場合は、キャッシュに割り当てるメモリ リソースを増やす必要があることを示している可能性があります。
Total Memory URLs Retrieved | キャッシュへのクライアント要求に応答して、メモリ キャッシュから取得された URL の累積数です。値が小さい場合は、キャッシュ専用のメモリ リソースが効率的に使用されていないことを示している可能性があります。値が大きい場合は、キャッシュに割り当てるメモリ リソースを増やす必要があることを示している可能性があります。
Total URLs Cached | キャッシュに格納された URL の累積数です。このカウンタと URLs in Cache カウンタの値が小さい場合は、キャッシュに問題があることを示している可能性があります。キャッシュが最適に使用できるように構成されていないか、キャッシュ サイズが小さすぎる可能性があります。
URL Commit Rate (URL/sec) | URL がキャッシュに書き込まれる速度です。このカウンタの値が Disk Failure Rate カウンタの値と同程度の場合は、キャッシュへの書き込みに失敗している率が高いことを示します。これは、キャッシュの構成に問題があるか、キャッシュ ディスクが遅すぎるか、キャッシュ サイズが小さすぎることを示している可能性があります。
URLs in Cache | キャッシュ内にある現在の URL 数です。


Microsoft ファイアウォール サービス パフォーマンス カウンタ

次の表は、Microsoft ファイアウォール サービス パフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Accepting TCP Connections | ファイアウォール クライアントからの伝送制御プロトコル (TCP) 接続を待機する接続オブジェクトの数です。
Active Sessions | ファイアウォール サービスのアクティブなセッション数です。
Active TCP Connections | 現在データを送受信しているアクティブな TCP 接続の数です。保留中の接続やまだ確立されていない接続は、別のカウンタで計測されます。
Active UDP Connections | アクティブなユーザー データグラム プロトコル (UDP) 接続の数です。
Available Worker Threads | 使用可能な、または完了ポート キューで待機中のファイアウォール サービス ワーカー スレッドの数です。
Back-connecting TCP Connections | 着信接続呼び出しの完了を待機している TCP 接続の数です。これらは、ファイアウォール サービスがリスニング ソケット上でインターネットからの接続を受け付けた後、クライアントに配置される接続です。
Bytes Read/sec | データ ポンプが読み取る 1秒あたりのバイト数です。
Bytes Written/sec | データ ポンプが書き込む 1秒あたりのバイト数です。
Pending TCP Connections | 保留中の TCP 接続の数です。これらは、ファイアウォール サービスとリモート コンピュータ間で完了を待機している接続です。
DNS Cache Entries | ファイアウォール サービスの動作の結果としてキャッシュされた、現在の DNS ドメイン名のエントリ数です。
DNS Cache Flushes | ファイアウォール サービスによって DNS ドメイン名キャッシュがフラッシュまたはクリアされた回数です。
DNS Cache Hits | ファイアウォール サービスによって DNS キャッシュ内で DNS ドメイン名が検出された回数です。
DNS Cache Hits % | ファイアウォール サービスによって取得されたすべての DNS エントリの総数に対して DNS キャッシュから返された DNS ドメイン名の割合です。
DNS Retrievals | ファイアウォール サービスによって取得された DNS ドメイン名の数です。
Failed DNS Resolutions 失敗した、次のアプリケーション プログラミング インターフェイス (API) 呼び出しの数です。
gethostbyname
および
gethostbyaddr
これらは、ファイアウォール サービス接続のホスト DNS ドメイン名と IP アドレスの解決に使用される呼び出しです。
Kernel Mode Data Pumps | ファイアウォール サービスによって作成されたカーネル モード データ ポンプの数です。
Listening TCP Connections | リモート インターネット コンピュータからの TCP 接続を待機する接続オブジェクトの数です。
Available UDP Mappings | UDP 接続に使用可能なマッピングの数です。
Pending DNS Resolutions 解決を保留にしている、次のアプリケーション プログラミング インターフェイス (API) 呼び出しの数です。
gethostbyname
および
gethostbyaddr
これらの呼び出しは、ファイアウォール サービス接続のホスト DNS ドメイン名とインターネット プロトコル (IP) アドレスの解決に使用される呼び出しです。
SecureNAT Mappings | SecureNAT によって作成されたマッピングの数です。
Successful DNS Resolutions 正常に返された、次のアプリケーション プログラミング インターフェイス (API) 呼び出しの数です。
gethostbyname
および
gethostbyaddr
これらは、ファイアウォール サービス接続のホスト DNS ドメイン名と IP アドレスの解決に使用される呼び出しです。
Worker Threads | 現在アクティブなファイアウォール サービス ワーカー スレッドの数です。


SOCKS フィルタ パフォーマンス カウンタ

次の表は、SOCKS フィルタのパフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Active Sessions | 単一クライアントに対する CONNECT および BIND コマンドを含む単一の SOCKS セッションです。
Active Connections | 現在データを送受信しているアクティブな接続の総数です。保留中の接続やまだ確立されていない接続は含まれません。SOCKS 接続が確立されると、このカウンタの値は 1 増加します。SOCKS 接続は、CONNECT コマンドが正常に実行された後、SOCKS フィルタがプロトコルのデータ ポンプ ステージを開始するときにカウントされます。接続が終了すると、理由に関係なく、このカウンタの値が 1 減少します。
Connecting Connections | リモート コンピュータへの接続を待機している SOCKS 接続の数です。クライアントが CONNECT コマンドを SOCKS フィルタに送信すると、クライアントの代わりに SOCKS フィルタが指定されたサーバーに接続します。このカウンタの値は、SOCKS フィルタが指定されたサーバーへの接続プロセスを開始する直前に 1 増加し、指定されたサーバーへの接続が完了すると、正常に接続されたかどうかに関係なく 1 減少します。
Listening Connections | リモート コンピュータからの接続を待機している接続オブジェクト数です。クライアントが BIND コマンドを SOCKS フィルタに送信すると、SOCKS フィルタは指定されたポートで着信方向の接続をリッスンします。このカウンタの値は、SOCKS フィルタが着信方向の接続の待機を開始すると 1 増加し、着信方向の接続を受信するか、接続が終了すると 1 減少します。
Bytes Read/sec | すべての SOCKS 接続で 1 秒間に読み取られたバイト数です。"読み取られたバイト" とは、プロトコルのデータ ポンプ ステージ中にクライアントからサーバーに送信されたデータの量を指します。
Bytes Written/sec | プロトコルのデータ ポンプ ステージ中に、サーバーからクライアントに送信されたデータの量です。
Pending DNS Resolutions | 保留中の名前解決要求の数です。これらは、SOCKS 接続のホスト DNS 名と IP アドレスを解決する要求です。
Successful DNS Resolutions | 1 秒間に解決された名前解決要求の数です。これらは、SOCKS 接続のホスト DNS 名と IP アドレスを解決する要求です。


Web プロキシ パフォーマンス カウンタ

次の表は、Web プロキシ パフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Array Bytes Received/sec (Enterprise) | 同じアレイ内の他の ISA Server コンピュータから受信する 1 秒あたりのデータ バイト数です。
Array Bytes Sent/sec (Enterprise) | 同じアレイ内の他の ISA Server コンピュータに送信される 1 秒あたりのデータ バイト数です。
Array Bytes Total/sec (Enterprise) | Array Bytes Sent/sec カウンタと Array Bytes Received/sec カウンタの合計です。これは、ISA Server コンピュータと同じアレイ内の他のメンバ間で転送されたすべてのデータ バイトの合計速度です。
Cache Hit Ratio (%) | キャッシュ内のデータを使用して処理された Web プロキシ クライアント要求の数 (Total Cache Fetches) を、ISA Server コンピュータに送られて正常に処理された Web プロキシ クライアント要求の総数 (Total Successful Requests) に対する割合として示します。この値は、キャッシュの有効性を示す 1 つの目安となります。カウンタの値が高い場合は、多数の要求がキャッシュから処理されており、応答速度が速いことを示します。カウンタの値がゼロの場合は、キャッシュ機能が無効であることを示します。カウンタの値が低い場合は、構成に問題があることを示している可能性があります。キャッシュ サイズが小さすぎるか、要求がキャッシュできないことが考えられます。
Cache Running Hit Ratio (%) | キャッシュから処理された要求の総数を、正常に処理された要求の総数に対する割合として示します。この割合は、Cache Hit Ratio カウンタで計測されるものと同じです。2 つのカウンタの違いは、Cache Running Hit Ratio カウンタが最後に処理された 10,000 個の要求に関する割合を計測するのに対して、Cache Hit Ratio カウンタ は Web プロキシが最後に起動されて以降の割合を計測する点です。つまり、Cache Running Hit Ratio カウンタのほうが、キャッシュの有効性をより動的に評価します。
Client Bytes Received/sec | Web プロキシ クライアントから受信する 1 秒あたりのデータ バイト数です。この値は、Web プロキシ クライアント要求の量に応じて変化しますが、常に低い場合は、要求の処理が遅延している可能性があります。
Client Bytes Sent/sec | Web プロキシ クライアントに送信される 1 秒あたりのデータ バイト数です。この値は、Web プロキシ クライアント要求の量に応じて変化しますが、常に低い場合は、要求の処理が遅延している可能性があります。
Client Bytes Total/sec | Client Bytes Sent/sec カウンタと Client Bytes Received/sec カウンタの合計です。これは、ISA Server コンピュータと Web プロキシ クライアント間で転送されたすべてのバイトの合計速度です。
Current Array Fetches Average (Milliseconds/request) | 別のアレイ メンバを介してフェッチされた Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。これには、Secure Sockets Layer (SSL) トンネルによる処理に対する要求は含まれません。
Current Average (Milliseconds/request) | Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。SSL トンネルによって処理された要求は含まれません。ピーク時とオフピーク時にこのカウンタを監視すると、クライアント要求の処理速度に関する実態を包括的に把握できます。このカウンタの値が高すぎる場合は、ISA Server コンピュータがすべての要求を処理しきれず、要求が遅延していることを示している可能性があります。
Current Cache Fetches Average(Milliseconds/request) | キャッシュからの Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。これには、SSL トンネルによる処理に対する要求は含まれません。
Current Direct Fetches Average (Milliseconds/request) | Web サーバーまたは上位プロキシに直接送信された Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。これには、SSL トンネルによる処理に対する要求は含まれません。
Current Users | 現在 Web プロキシを実行しているクライアントの数を示します。ピーク時とオフピーク時にこのカウンタを監視すると、サーバーの使用状況を知る 1 つの目安となります。この値は、Web 要求の最大接続数の構成設定に影響されます。このカウンタは、ISA Server サービスを一時的に停止する必要がある場合も役立ちます。
DNS Cache Entries | Web プロキシによってキャッシュされた、現在の DNS ドメイン名のエントリ数です。カウンタ値が高い場合は、DNS キャッシュ エントリが DNS 参照を行う必要がなく、システム リソースが節約されているため、パフォーマンス上のメリットがあることを示しています。
DNS Cache Flushes | Web プロキシによって DNS ドメイン名キャッシュがフラッシュまたはクリアされた回数の合計です。DNS キャッシュは、データを格納する領域がなくなると、新しいエントリを作成できるようにフラッシュされます。
DNS Cache Hits | Web プロキシによって DNS キャッシュ内で DNS ドメイン名が検出された回数の合計です。このカウンタを DNS Cache Entries カウンタおよび DNS Cache Flushes カウンタと比較することで、DNS キャッシュが効率的に機能しているかどうかを確認できます。DNS キャッシュのヒット数が低い場合は、すべての DNS 参照の速度が低下するため、特に参照プロセスに問題が生じている場合は、パフォーマンスに影響します。
DNS Cache Hits % | キャッシュ内のデータを使用して解決された DNS エントリ数 (DNS Cache Hits) を、Web プロキシによって取得された DNS ドメイン名の総数 (DNS Retrievals) に対する割合として示します。このカウンタの値が高い場合は、DNS データがキャッシュから処理され、DNS 参照を解決するオーバーヘッドが発生していないため、パフォーマンスが優れていることを示します。
DNS Retrievals | Web プロキシによって取得された DNS ドメイン名の総数です。
Failing Requests/sec | 何らかのエラーによって終了した 1 秒あたりの Web プロキシ クライアント要求の数です。このカウンタを Requests/sec カウンタと比較することで、ISA Server が着信方向の Web 要求を処理する能力を確認できます。着信方向の要求数との比較で失敗率が高い場合は、ISA Server がすべての着信方向の要求に対応しきれていないことを示しています。着信方向の Web 要求の接続設定が正しく構成されていないか、接続帯域幅が不十分である可能性があります。
FTP Requests | Web プロキシに対して行われた FTP (ファイル転送プロトコル) 要求の数です。このカウンタ値が常に低い場合は、FTP オブジェクトのキャッシュ ポリシーに影響する可能性があります。
HTTP Requests | Web プロキシに対して行われたHTTP (ハイパーテキスト転送プロトコル) 要求の数です。
HTTPS Sessions | SSL トンネルによって処理された、Secure HTTP (HTTPS) のセキュリティで保護されたセッションの総数です。
Maximum Users | Web プロキシに同時に接続しているユーザーの最大数です。このカウンタは、負荷状況やライセンス要件を調べる場合に役立ちます。
Requests/sec | Web プロキシに対して行われた 1 秒あたりの着信方向の要求数です。この値が高い場合は、着信方向の要求を処理するために、より多くの ISA Server リソースが必要になることを示します。
Reverse Bytes Received/sec | 着信方向の要求に対する応答として Web プロキシが Web 公開サーバーから受信する 1 秒あたりのデータ バイト数です。ピーク時とオフピーク時にこの値を監視すると、着信方向の Web 要求に対する ISA Server の処理能力を調べることができます。
Reverse Bytes Sent/sec | 着信方向の要求に対する応答として Web プロキシから Web 公開サーバーに送信される 1 秒あたりのデータ バイト数です。ピーク時とオフピーク時にこの値を監視すると、着信方向の Web 要求に対する ISA Server の処理能力を調べることができます。
Reverse Bytes Total/sec | Reverse Bytes Sent/sec カウンタと Reverse Bytes Received/sec カウンタの合計です。これは、着信方向の要求に対する応答として Web プロキシと Web 公開サーバー間で転送されるすべてのバイトの合計速度です。
Site Access Denied | Web プロキシがアクセスを拒否したインターネット サイトの総数です。この値が極端に高い場合は、アクセス ポリシーによる制約が厳しすぎることを示している可能性があります。
Site Access Granted | Web プロキシがアクセスを許可したインターネット サイトの総数です。これを Site Access Denied カウンタと比較することで、アクセス ポリシー構成の効果を数値で確認することができます。
SNEWS Sessions | SSL トンネルによって処理された SNEWS セッションの総数です。
SSL Client Bytes Received/sec | Web プロキシが SSL クライアントから受信する 1 秒あたりの SSL データのバイト数です。Client Bytes Received/sec カウンタと似ていますが、SSL 要求のみがカウントされます。
SSL Client Bytes Sent/sec | Web プロキシから SSL クライアントに送信される 1 秒あたりの SSL データのバイト数です。Client Bytes Sent/sec カウンタと似ていますが、SSL 要求のみがカウントされます。
SSL Client Bytes Total/sec | SSL Client Bytes Sent/sec カウンタと SSL Client Bytes Received/sec カウンタの合計です。これは、Web プロキシと SSL クライアント間で転送されたすべてのバイトの合計速度です。
Thread Pool Active Sessions | スレッド プールによってアクティブに処理されたセッションの数です。
Thread Pool Failures | スレッド プールがいっぱいであるために拒否された要求の数です。
Thread Pool Size | スレッド プール内のスレッドの数です。このスレッド プールは、クライアント要求を処理するために使用できるリソースを表します。
Total Array Fetches (Enterprise) | 同じアレイ内の別の ISA Server からデータを要求することによって処理された Web プロキシ クライアント要求の総数です。これらの要求は、オブジェクトをメンバ サーバーのキャッシュのいずれかに無作為に格納する Cache Array Routing Protocol (CARP) アルゴリズムによる結果です。サーバーのキャッシュが大きいほど、多数のキャッシュ アイテムを保持できるため、このカウンタは、アレイ内の各 ISA Server のキャッシュ サイズに依存します。各サーバーの負荷係数を構成して、アレイ メンバ間でどのように負荷を分散するかを確定することもできます。
Total Cache Fetches | キャッシュ データを使用することによって処理された Web プロキシ クライアント要求の総数です。この値が高いほど、キャッシュが十分に活用されていることを示します。
Total Failed Requests | エラーにより Web プロキシで処理できなかった要求の総数です。エラーは、Web プロキシが要求されたサーバーの URL をインターネットで検出できなかったか、要求された URL に対する承認済みアクセス権がクライアントになかった場合に発生します。このカウンタの値は、Total Successful Requests カウンタより低くなければなりません。そうでない場合は、ISA Server で要求が効率的に処理できていないことを示します。これは、構成に問題があるか、接続速度が遅すぎることが原因と考えられます。また、アクセス ポリシーによる制約が厳しすぎることを示している可能性もあります。
Total Pending Connects | Web プロキシに対する保留中の接続の総数です。
Total Requests | Web プロキシに対して行われた要求の総数です。これは、Total Successful Requests カウンタと Total Failed Requests カウンタの合計です。
Total Reverse Fetches | Web 公開サーバーからデータを要求することによって処理された、着信方向の要求の総数です。
Total SSL Sessions | SSL トンネルによって処理された SSL セッションの総数です。
Total Successful Requests | Web プロキシによって正常に処理された要求の総数です。このカウンタを Total Requests カウンタおよび Total Failed Requests カウンタと比較することで、ISA Server における要求処理の有効性を調べることができます。
Total Upstream Fetches | インターネットまたはチェーン構成されたプロキシ コンピュータのデータを使用して処理された要求の総数です。このカウンタを Total Cache Fetches カウンタと比較することで、インターネットまたは上位のプロキシ上のリモート サーバーで処理された要求を、キャッシュから処理された要求に対する割合として確認することができます。
Total Users | Web プロキシに接続しているユーザーの総数です。これは、サーバーの過去の使用状況履歴を表します。
Unknown SSL Sessions | SSL トンネルによって処理された不明な SSL セッションの総数です。
Upstream Bytes Received/sec | Web プロキシからの要求に対する応答として、Web プロキシがインターネット上のリモート サーバーまたはチェーン構成されたプロキシ コンピュータから受信する 1 秒あたりのデータ バイト数です。このカウンタの値は、接続の帯域幅に一部依存します。カウンタ値が常に低い場合は、接続速度が低いためにボトルネックが生じていることを示す可能性があります。この状況を改善するには、帯域幅の優先順位の構成を変更します。あるいは、接続速度を高める必要がある場合もあります。
Upstream Bytes Sent/sec | Web プロキシからインターネット上のリモート サーバーまたはチェーン構成されたプロキシ コンピュータに送信される 1 秒あたりのデータ バイト数です。このカウンタの値は、接続の帯域幅に一部依存します。カウンタ値が常に低い場合は、接続速度が低いためにボトルネックが生じていることを示す可能性があります。この状況を改善するには、帯域幅の優先順位の構成を変更します。あるいは、接続速度を高める必要がある場合もあります。
Upstream Bytes Total/sec | Upstream Bytes Sent/sec カウンタと Upstream Bytes Received/sec カウンタの合計です。これは、Web プロキシとインターネット上のリモート サーバーまたはチェーン構成されたプロキシ サーバーの間で転送されるすべてのバイトの合計速度を表します。


著作権

このドキュメントに記載されている情報 (URL 等のインターネット Web サイトに関する情報を含む) は、将来予告なしに変更することがあります。別途記載されていない場合、このソフトウェアおよび関連するドキュメントで使用している会社、組織、製品、ドメイン名、電子メール アドレス、ロゴ、人物、場所、出来事などの名称は架空のものです。実在する商品名、団体名、ドメイン名、電子メール アドレス、ロゴ、個人名、場所などとは一切関係ありません。お客様ご自身の責任において、適用されるすべての著作権関連法規に従ったご使用を願います。このドキュメントのいかなる部分も、米国 Microsoft Corporation の書面による許諾を受けることなく、その目的を問わず、どのような形態であっても、複製または譲渡することは禁じられています。ここでいう形態とは、複写や記録など、電子的な、または物理的なすべての手段を含みます。ただしこれは、著作権法上のお客様の権利を制限するものではありません。

マイクロソフトは、このドキュメントに記載されている内容に関し、特許、特許申請、商標、著作権、またはその他の無体財産権を有する場合があります。別途マイクロソフトのライセンス契約上に明示の規定のない限り、このドキュメントはこれらの特許、商標、著作権、またはその他の無体財産権に関する権利をお客様に許諾するものではありません。

ここにあるリンクによって、マイクロソフトの製品または Web サイトから別のサイトへ移動することができます。リンク先のサイトはマイクロソフトが管理するものではなく、したがって、リンク先のサイトの内容、含まれるリンク、およびそのサイトの変更や更新について、マイクロソフトは責任を負うものではありません。また、リンク先のサイトから受信する Web キャストまたはその他の伝送形式についても、責任を負うものではありません。これらのリンクは、お客様の利便性を考慮して提供されているものであり、マイクロソフトがそのリンクの内容を保証していることを意味するものではありません。

© 2004 Microsoft Corporation. All rights reserved.

Microsoft、Active Directory、Microsoft Press、MSDN、Visual Basic、Visual C++、Windows、および Windows NT は、米国 Microsoft Corporation の米国およびその他の国における登録商標または商標です。

記載されている会社名、製品名には、各社の商標のものもあります。