ISA Server にようこそ

ヘッダー グラフィック
Microsoft® Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition では、マルチネットワーク サポート、高度に統合された使いやすい仮想プライベート ネットワーク構成、拡張済みでさらに拡張可能なユーザーおよび認証モデル、および向上した管理機能が導入されています。ISA Server ではアレイ、統合ネットワーク負荷分散 (NLB)、および CARP (Cache Array Routing Protocol) がサポートされています。1 つのアレイ内に複数の ISA Server コンピュータを配置できるので、高可用性、フェールオーバー、および冗長性の利点が得られます。
ブランドの行頭文字 このヘルプについて
このドキュメントは、日々の ISA Server 管理作業に役立つように作成されています。以下のトピックで構成されています。
  • ISA Server について
  • インストールとアップグレード
  • 管理とセキュリティ
  • ネットワーク
  • ファイアウォール ポリシー
  • クライアント
  • 仮想プライベート ネットワーク
  • キャッシュ
  • 監視
  • アドイン
  • 展開シナリオ
  • その他の参照情報
ブランドの行頭文字 ISA Server のガイダンス
ISA Server の詳しい技術情報は、主に Web ベースの「ISA Server のガイダンス」に記載されています。ライブラリには定期的に新規ドキュメントが追加されるため、常に ISA Server の最新の技術情報を入手できます。

ISA Server のリリース後、ISA Server ヘルプが更新されることがあります。

ヘルプの更新ファイルをダウンロードおよびインストールし、追加の最新コンテンツを入手するには、「ISA Server のガイダンス」を参照してください。
ブランドの行頭文字 ISA Server コミュニティ
初心者の方でも経験豊かなユーザーの方でも、"コミュニティ" を利用して、アイディアを共有し、質問への回答を入手し、専門家のアドバイスを閲覧することができます。Microsoft コミュニティに関するページでは、ユーザー同士で ISA Server に関する問題と解決策を検討することができます。


ISA Server について

Microsoft® Internet Security and Acceleration (ISA) Server 2004 は、Microsoft Windows Server™ 2003 オペレーティング システムのセキュリティ、管理、およびディレクトリ上に構築された拡張可能なエンタープライズ ファイアウォールおよび Web キャッシュ サーバーであり、インターネットワーキングのポリシーベースのアクセス制御、高速化、および管理機能を提供します。

組織は、インターネットによって、顧客、取引先、および社員と接続できます。これは役に立つ反面、セキュリティ、パフォーマンス、および管理のしやすさに関してリスクと問題ももたらします。ISA Server は、今日のインターネット対応ビジネスのニーズに応えるために設計されています。ISA Server は、ウイルス、ハッカー、および許可されていないアクセスからネットワーク リソースを保護するための、マルチレイヤのエンタープライズ ファイアウォールを提供します。ISA Server 2004 の Web キャッシュを使用すると、混雑するインターネットを経由せずに、オブジェクトをローカルで提供できるので、組織はネットワーク帯域幅を節約でき、ユーザーはより高速な Web アクセスを体験できます。

専用コンポーネントとして展開されるか、統合ファイアウォールおよびキャッシュ サーバーとして展開されるかに関係なく、ISA Server には、セキュリティおよびアクセス管理を簡略化する統合管理コンソールが用意されています。ISA Server は、Windows Server 2003 および Windows® 2000 Server の両方のプラットフォーム用に構築されており、強力な統合管理ツールにより、セキュリティで保護され、かつ高速なインターネット接続を実現します。

ここでは、ISA Server について説明します。

  • ISA Server の概要
  • 新機能 : マルチネットワーク
  • 新機能 : セキュリティとファイアウォール ポリシー
  • 新機能 : 仮想プライベート ネットワーク
  • 新機能 : 監視
  • 新機能 : アドイン
  • 新機能 : エンタープライズ管理
  • 新機能 : 負荷分散

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。
このページに関するフィードバックをお寄せください このページに関するフィードバックをお寄せください。


ISA Server の概要

Microsoft® Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition は、セキュリティで保護された、高速で、管理の容易なインターネット接続を実現します。ISA Server は、高機能でアプリケーション レイヤ対応のマルチレイヤ エンタープライズ ファイアウォールと、高性能 Web キャッシュを統合しています。Microsoft Windows Server™ 2003 のセキュリティおよびディレクトリ上に構築され、インターネットワーキングのポリシーベースのセキュリティ、高速化、および管理機能を提供します。ISA Server では、アレイ、統合ネットワーク負荷分散 (NLB)、および CARP (Cache Array Routing Protocol) がサポートされています。

高可用性、フェールオーバー、および冗長性

ISA Server 2004 Enterprise Edition では、エンタープライズ レベルでポリシーを適用できます。エンタープライズ管理者は、アレイ管理者に付与されたポリシー権限のレベルを含め、エンタープライズ全体でポリシーを詳細に制御できます。

ISA Server コンピュータをアレイにグループ化して、フォールト トレラントな負荷分散ネットワークを実現することができます。アレイ シナリオでは、CARP (Cache Array Routing Protocol) アルゴリズムを使用して、アレイ内の適切な ISA Server コンピュータによってクライアント要求が処理されます。

さらに、NLB が ISA Server と統合されているため、ISA Server によって保護されているさまざまなネットワーク間の NLB を容易に管理できます。

セキュリティで保護されたインターネット接続

ネットワークとユーザーをインターネットに接続する場合、セキュリティと生産性に関する問題が発生します。ISA Server 2004 を組織で使用すると、ユーザーごとのアクセスの制御と使用状況の監視を包括的に行うことができます。許可されていないアクセスからネットワークを保護し、ステートフル フィルタ処理およびインスペクションを実行し、ファイアウォールや保護されたネットワークに対するアタックを管理者に警告します。

ISA Server は、パケット レベル、回線レベル、およびアプリケーション レベルでのトラフィックのスクリーニングによるセキュリティ保護、ステートフルなフィルタおよび検査、多様なネットワーク アプリケーションのサポート、密接に統合された仮想プライベート ネットワーク (VPN)、システムの堅牢化、統合された侵入検出、インテリジェントなレイヤ 7 アプリケーション フィルタ、すべてのクライアントに対するファイアウォールの透過性、高度な認証、安全なサーバーの公開などの機能を備えたファイアウォールです。ISA Server 2004 では、次のことを実行できます。

  • 許可されていないアクセスからネットワークを保護します。
  • 外部アタックから Web サーバーおよび電子メール サーバーを守ります。
  • 着信方向および発信方向のネットワーク トラフィックを検査して、確実にセキュリティで保護します。
  • 疑わしい動作の警告を受信します。

高速 Web アクセス

インターネットは組織に生産性の上で利点をもたらしますが、適切なコストで高速アクセスできるのは、コンテンツがアクセス可能な場合だけです。ISA Server 2004 では、ローカルにキャッシュした Web コンテンツを提供することにより、パフォーマンスのボトルネックを最小限に抑え、ネットワーク帯域幅を節約します。ISA Server では、次のことを実行できます。

  • 混雑したインターネット経由ではなく、Web キャッシュからオブジェクトが提供されるため、ユーザーはより高速な Web アクセスを体験できます。
  • リンクのネットワーク トラフィックを減らすことにより、インターネットの帯域幅コストを節約します。
  • 世界中の顧客に Web サーバーのコンテンツと電子商取引アプリケーションを効率的かつ経済的に配布します。
  • 頻繁にアクセスされる Web コンテンツは ISA Server の Web キャッシュから提供し、それ以外のコンテンツの要求に備えて内部ネットワーク帯域幅を確保します。

統一された管理

ファイアウォールと高性能 Web キャッシュ機能を統合することにより、ISA Server 2004 では、ネットワークの複雑さとコストを軽減する共通の管理インフラストラクチャを提供します。ISA Server は、Windows Server 2003 および Windows 2000 Server と緊密に統合されています。これにより、一貫性のある強力な方法で、ユーザー アクセスおよびファイアウォール ルールの構成を管理できます。

拡張可能なプラットフォーム

セキュリティ ポリシーと規範は、組織によってそれぞれ異なります。トラフィックの量やコンテンツの形式によっても、生じる問題はさまざまです。セキュリティとパフォーマンスに関するすべての要件を満たす製品はないため、ISA Server 2004 は高度な拡張性をもたせて構築されています。ISA Server では、包括的なソフトウェア開発者キット (SDK)、各種サード パーティのアドオン ソリューション、および拡張可能な管理オプションを利用できます。サード パーティのアドオン ソリューションの詳細については、ISA Server パートナーの Web サイト (http://www.microsoft.com/) を参照してください。

ISA Server の管理コンポーネント オブジェクト モデル (COM) を使用すると、ISA Server 機能を拡張できます。また、管理オブジェクトでは、ISA Server の管理で実行されるすべてのタスクの自動化が許可されます。つまり、管理オブジェクトを使用すると、ISA Server 管理者はすべてのタスクを自動化できます。詳細については、Microsoft SDK の Web サイト (英語情報) (http://www.microsoft.com/) を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


新機能 : マルチネットワーク

次の表は、ISA Server 2004 で導入されたマルチネットワーク機能の一覧です。これらの機能の詳細については、「マルチネットワーク」を参照してください。

機能 | 説明
複数のネットワークの構成 | 他のネットワークと明確な関係を持つ 1 つまたは複数のネットワークを構成できます。アクセス ポリシーは、ネットワークに対して定義されます。特定の内部ネットワークに対して定義する必要はありません。ISA Server では、任意のネットワーク間のトラフィック、または任意のネットワーク オブジェクト間のトラフィックに適用するように、ファイアウォールおよびセキュリティ機能が拡張されています。
ネットワークごとの一意なポリシー | ISA Server の新しいマルチネットワーク機能では、組織の内部、外部に関係なくクライアント間の通信を制限することで、内外のセキュリティ上の脅威からネットワークを保護できるようになりました。マルチネットワーク機能は、洗練された境界領域ネットワーク (非武装地帯、DMZ、スクリーン サブネット) シナリオをサポートし、異なるネットワークのクライアントが境界領域ネットワークにアクセスする方法を構成できるようにします。ネットワーク間のアクセス ポリシーは、各ネットワークに相当する一意のセキュリティ ゾーンに基づくことができます。
ルート ネットワーク関係および NAT ネットワーク関係 | ISA Server を使用して、必要なアクセスと通信に応じて、ネットワーク間のルーティング関係を定義できます。場合によっては、ネットワーク間で、より安全性が高く、透過性の低い通信が必要になることがあります。このような場合、ネットワーク アドレス変換 (NAT) 関係を定義できます。また別の状況では、単純に ISA Server 経由でトラフィックをルーティングすればよい場合があります。このような場合は、ルーティングされた関係を定義できます。ルーティングされたネットワーク間でのパケットの移動は、ISA Server のステートフル フィルタおよびインスペクション機構に完全に公開されます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


新機能 : セキュリティとファイアウォール ポリシー

次の表は、ISA Server 2004 で導入されたセキュリティとファイアウォール ポリシー機能の一覧です。これらの機能の詳細については、「ファイアウォール ポリシー」を参照してください。

機能 | 説明
複数の 1 次接続を必要とする複雑なプロトコルのサポート | ISA Server では、多くのストリーミング メディア、音声アプリケーション、およびビデオ アプリケーションで必要とされるプロトコルなど、複雑なプロトコルをサポートします。これらのアプリケーションでは、ファイアウォールで複雑なプロトコルを管理する必要があります。
カスタマイズされたプロトコル定義 | ファイアウォール ポリシー ルールを作成するすべてのプロトコルで、送信元および宛先ポート番号を制御できます。ファイアウォール経由での着信および発信を許可するパケットに対して、高度な制御が可能です。
認証 | ビルトイン Windows 認証、RADIUS 認証、RSA SecurID 認証、またはその他の名前空間を使用してユーザーを認証できます。任意の名前空間のユーザーまたはユーザー グループにルールを適用できます。サード パーティ ベンダは、ソフトウェア開発キット (SDK) を使用して、これらのビルトイン認証方法を拡張し、追加の認証機構を提供することができます。
ネットワーク オブジェクト | コンピュータ、ネットワーク、ネットワーク セット、アドレス範囲、サブネット、コンピュータ セット、およびドメイン名セットなどのネットワーク オブジェクトを定義できます。これらのネットワーク オブジェクトを使用して、ファイアウォール ポリシー ルールの送信元と宛先の設定を定義します。
順序付けられた一覧として示されるファイアウォール ポリシー ルール | ファイアウォール ポリシー ルールでは、順序付けられた一覧が示されます。この一覧で、最初に接続パラメータが最上位のルールに対して比較されます。ISA Server は、接続パラメータに一致するルールが見つかるまでこのルール一覧を下方に検索し、一致したルールのポリシーを強制します。このファイアウォール ポリシーに対するこの対処法により、特定の接続を許可または拒否する理由の特定が容易になります。
新しいメール サーバー公開ルール ウィザード | ISA Server の [新しいメール サーバー公開ルール ウィザード] を使用して、Exchange サーバーの Outlook Web Access 用に SSL (Secure Sockets Layer) 仮想プライベート ネットワーク (VPN) を作成できます。
FTP のサポート | クライアントや ISA Server コンピュータで特別な構成を必要とせずに、代替ポート番号でリッスンするインターネットの FTP (ファイル転送プロトコル) サーバーにアクセスできます。
サーバー公開ルールのポートのリダイレクト | 1 つのポート番号で接続を受信し、その要求を公開されたサーバー上の別のポート番号にリダイレクトできます。
セキュリティで保護された Web 公開 | 企業ネットワークまたは境界領域ネットワーク上で、ファイアウォールの背後にサーバーを配置し、サービスを安全に公開できます。[新しい SSL Web 公開ルール ウィザード] を使用して、公開された Web サーバーへのセキュリティで保護された SSL リモート アクセスをリモート ユーザーに許可するルールを作成できます。
HTTP 1.1 のサポート | ISA Server は上位サーバーに接続されると、HTTP 1.1 クライアントになります。この方向 (Web プロキシ) と逆方向 (Web 公開) のどちらのシナリオでも、ISA Server は、チャンクされた (転送エンコード) コンテンツを受信して検査できます。また、Web 公開ルールを構成して、圧縮されたコンテンツを受信できますが、この場合、応答本文は検査できません。ISA Server では、圧縮は行われません。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


新機能 : 仮想プライベート ネットワーク

ISA Server 2004 は、支社やリモート ユーザーから企業ネットワークに接続できる、セキュリティで保護された仮想プライベート ネットワーク (VPN) アクセスをサポートしています。VPN ユーザーがアクセスできるリソースとプロトコルを制御するには、ISA Server のファイアウォール ポリシーを VPN 接続に適用します。VPN 機能の詳細については、「仮想プライベート ネットワーク」を参照してください。

次の表は、ISA Server でサポートされる VPN 機能の一覧です。

機能 | 説明
VPN 管理 | ISA Server には、Microsoft® Windows Server™ 2003 と Windows® 2000 Server の機能に基づき、高度に統合された仮想プライベート ネットワーク機構が含まれています。
VPN のステートフル フィルタおよびインスペクション | VPN クライアントは独立したネットワークとして構成されるため、VPN クライアントには異なるポリシーを作成できます。ファイアウォール ポリシー エンジンは、VPN クライアントからの要求を個別に調べ、アクセス ポリシーに基づいて、これらの要求に対してステートフルなフィルタ処理およびインスペクションを行い、接続を動的に開きます。
ISA Server VPN サーバーに接続される VPN クライアントに対する SecureNAT クライアントのサポート | ISA Server は、ファイアウォール クライアント ソフトウェアがクライアント システムにインストールされていない場合でも、インターネットへのアクセスを SecureNAT クライアントに許可することにより、VPN クライアントのサポートを拡張します。また、ユーザーまたはグループベースのファイアウォール ポリシーを VPN SecureNAT クライアントに強制することにより、企業ネットワークのセキュリティを向上させることもできます。
サイト間 VPN トンネルによるステートフル フィルタおよびインスペクション | ISA Server では、サイト間 VPN 接続を経由するすべての通信に対して、ステートフル フィルタおよびインスペクションが採用されています。特定のホストまたはネットワークが対応する側でアクセスできるように、リソースを制御できます。ユーザーまたはグループベースのアクセス ポリシーを使用すると、リソースの使用に対するきめ細かい制御をリンク経由で実行できます。
VPN 検疫の制御 | VPN クライアントがあらかじめ定義されているセキュリティ要件を満たすまで、別のネットワーク上で検疫できます。セキュリティ テストをパスした VPN クライアントは、VPN クライアントのファイアウォール ポリシーに基づき、ネットワーク アクセスが許可されます。セキュリティ テストに失敗した VPN クライアントには、そのクライアントがネットワーク セキュリティ要件を満たすことができるサーバーへの制限付きアクセスが与えられることがあります。
サイト間 VPN リンクに対する IPsec トンネル モードのサポート | ISA Server では、IPsec トンネル モードを VPN プロトコルとして使用することをユーザーに許可することによって、サイト間リンクをサポートします。IPsec トンネル モードのサポートにより、多様なサード パーティの VPN ソリューションとの ISA Server の相互運用性が大幅に向上しています。
VPN の監視とログ | 他の ISA Server クライアントの動作を監視するように、VPN クライアントとリモート VPN ネットワークの動作を監視できます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


新機能 : 監視

次の表は、Microsoft Internet Security and Acceleration (ISA) Server 2004 で導入された監視機能の一覧です。これらの機能の詳細については、「監視」を参照してください。

機能 | 説明
ダッシュボード | ISA Server のダッシュボード ビューには、セッション、警告、サービス、レポート、接続、および一般的なシステム状態についての監視情報が一覧表示されます。ダッシュボードを使用すると、ネットワークの稼動状態をすばやく表示できます。
ログ ビューアでのリアルタイム監視 | ファイアウォールと Web プロキシのログをリアルタイムで表示できます。ファイアウォールのログ ファイルに記録されたログ エントリは、監視コンソールに表示されます。
ビルトイン ログ クエリ (フィルタ) | ビルトイン ログ クエリ機能を使用して、ログ ファイルを照会できます。Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) のログを照会して、ログに記録された任意のフィールドに保存されている情報を調べることができます。クエリのスコープを特定の時間帯に制限できます。結果は ISA Server コンソールに表示されるので、クリップボードにコピーして別のアプリケーションに貼り付けて、詳細に分析できます。
セッションのリアルタイム監視とフィルタ | アクティブな接続をすべて表示できます。セッション ビューでは、個々のセッションやセッション グループを並べ替えたり、切断したりできます。さらに、ビルトイン セッション フィルタ機能を使用して、セッションのインターフェイスでエントリをフィルタ処理し、目的のセッションにフォーカスすることもできます。
接続検証方法 | 接続検証方法を使用して、ISA Server コンピュータから特定のコンピュータまたは URL (Uniform Resource Locator) への接続を定期的に監視することにより、接続を検証できます。接続の識別に、Ping、ポートへの伝送制御プロトコル (TCP) 接続、または HTTP GET のいずれの方法を使用するかを構成できます。IP アドレス、コンピュータ名、または URL を指定して、監視対象の接続を選択できます。
レポートの公開 | 自動的にローカル フォルダまたはネットワーク ファイル共有にレポートのコピーを保存するように、ISA Server のレポート ジョブを構成できます。レポートが保存されるフォルダやファイル共有を Web サイトの仮想ディレクトリにマップすると、他のユーザーがレポートを表示できるようになります。また、レポートが作成されたら、自動的に公開するように構成されていないレポートを手動で公開することもできます。
MSDE 2000 データベースへのログ | ログは MSDE 2000 形式で保存できます。ローカル データベースへのログによって、クエリの速度と柔軟性が向上します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


新機能 : アドイン

ISA Server 2004 は、HTTP/SSL (ハイパーテキスト転送プロトコル/Secure Sockets Layer)、FTP (ファイル転送プロトコル)、リモート デスクトップ プロトコル (RDP)、Telnet、RealAudio、RealVideo、インターネット リレー チャット (IRC)、H.323、Windows Media ストリーミング、電子メール プロトコル、およびニュース プロトコルなど、多くのインターネット プロトコルを、ビルトイン アドインを使用してサポートします。これらのアドインの詳細については、「アドイン」を参照してください。

次の表は、ISA Server のアドイン機能の一覧です。

機能 | 説明
ルールごとの HTTP フィルタ | ISA Server の HTTP ポリシーは、厳密な HTTP のステートフル インスペクション (アプリケーション レイヤのフィルタ) の実行をファイアウォールに許可します。検査範囲はルールごとに構成されます。HTTP 着信および発信アクセスに対して、カスタムの制限を構成できます。
すべての実行ファイルのコンテンツへのアクセスをブロックする | リソースで使用されているファイル拡張子に関係なく、Windows 実行ファイルのコンテンツへのすべての接続の試行をブロックするよう ISA Server の HTTP ポリシーを構成できます。
すべての ISA Server クライアント接続に HTTP フィルタを適用する | ISA Server では、MIME 指定 (HTTP の場合) またはファイル拡張子 (FTP の場合) を使用して、Web プロキシ クライアントベースの HTTP および FTP 接続のコンテンツをブロックできます。すべての ISA Server クライアント接続の HTTP アクセスを制御できます。
HTTP 署名に基づいて HTTP アクセスを制御する | 要求 URL、要求ヘッダー、要求本文、応答ヘッダー、および応答本文に対して比較する HTTP 署名を作成できます。内部および外部ユーザーが ISA Server を介してアクセスできるコンテンツを、詳細に制御できます。
完全 Outlook MAPI クライアントからのセキュリティで保護された Exchange RPC 接続を強制する | ISA Server の Exchange Server 公開ルールでは、リモート ユーザーが、完全に機能する Outlook® MAPI クライアントを使用して、インターネット経由で Exchange に接続することを許可します。ただし、セキュリティで保護された RPC を使用して接続が暗号化されるように、Outlook クライアントを構成する必要があります。ISA Server RPC ポリシーを使用すると、暗号化されていない Outlook MAPI クライアント接続をすべてブロックできます。
FTP ポリシー | ISA Server の FTP ポリシーを構成して、FTP を使用したアップロードとダウンロードをユーザーに許可できます。あるいは、ユーザーの FTP アクセスをダウンロードのみに制限することもできます。
リンクの変換 | 公開された Web サイトには、コンピュータの内部名への参照が含まれていることがあります。外部クライアントが利用できるのは ISA Server コンピュータと外部名前空間だけで、内部ネットワーク名前空間は利用できないため、これらの参照は壊れたリンクとして表示されます。内部コンピュータ名を公開されている既知の名前にマップする定義の辞書を作成できるように、ISA Server にはリンクの変換機能が用意されています。
IP オプションに対するきめ細かい制御 | IP オプションを個別に構成し、必要な IP オプションのみを許可して、それ以外をすべてブロックできます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


新機能 : エンタープライズ管理

次の表は、Microsoft Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition で導入されたエンタープライズ管理機能の一覧です。これらの機能の詳細については、「エンタープライズ管理」を参照してください。

機能 | 説明
エンタープライズ ポリシー | ISA Server 2004 Enterprise Edition では、エンタープライズ レベルでポリシーを適用できます。エンタープライズ管理者は、アレイ管理者に与えられるポリシー権限のレベルを含め、エンタープライズ全体でポリシーをきめ細かく制御できます。
エンタープライズ ネットワーク | エンタープライズ ネットワークとは、エンタープライズ レベルで定義されるネットワークのことで、そのエンタープライズ内のすべてのアレイに対してグローバルです。これにより、エンタープライズ レベルのルールを作成できます。また、アレイ間の通信が可能になり、同時にスプーフィング検出がサポートされます。
集中監視 | 適切な資格情報を持つユーザーは、あらゆる場所から ISA Server コンピュータを監視できます。


新機能 : 負荷分散

次の表は、Microsoft Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition で導入された負荷分散機能の一覧です。これらの機能を使用して、冗長性とフェールオーバーをサポートするネットワーク環境を作成できます。これらの機能の詳細については、「ネットワーク負荷分散の概要」および「CARP」を参照してください。

機能 | 説明
統合ネットワーク負荷分散 (NLB) | NLB が ISA Server に統合されているため、ISA Server で保護されているさまざまなネットワーク間の NLB を容易に管理できます。
CARP (Cache Array Routing Protocol) | ISA Server コンピュータのアレイに関してキャッシュされている情報の格納と取得を効率的に管理します。


インストールとアップグレード

ここでは、インストールのプロセスと、Microsoft Internet Security and Acceleration (ISA) Server 2004 のインストール手順について説明します。

ISA Server 2000 がインストールされている場合は、コンピュータから削除せずにアップグレードすることができます。ほとんどの構成情報は移行されます。ここでは、アップグレードおよびアップグレード プロセスについて説明します。

  • インストールとアップグレード : 概念
  • インストールとアップグレード : 操作方法
  • インストールのトラブルシューティング

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


インストールとアップグレード : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のインストール プロセスに関する基本的な情報と、ISA Server 2000 からのアップグレードに関する情報について説明します。

  • ISA Server のインストール
  • ISA Server 2000 からのアップグレード

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server のインストール

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の新規インストールについて基本的な情報を提供します。

  • インストールの計画
  • 無人セットアップ
  • 既定の設定


インストールの計画

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のインストールの計画に関する基本的な情報を提供します。

  • インストールの必要条件
  • 容量設計
  • インストール コンポーネント
  • インストール プロセス
  • ドメイン コントローラへの構成保管サーバーのインストール
  • ADAM サイト間での構成保管サーバーの展開
  • ワークグループおよび信頼されていないドメインを展開する場合のインストール上の考慮事項


インストールの必要条件

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用するには、以下が必要です。

  • 550 MHz 以上の Pentium 互換 CPU を搭載したパーソナル コンピュータ。
  • 次のオペレーティング システム。
    • 構成保管サーバーおよび ISA Server サービス用の Microsoft® Windows Server™ 2003 オペレーティング システム
    • メッセージ スクリーナ用の Windows Server 2003 または Microsoft Windows® 2000 Server
    • ファイアウォール クライアント共有および ISA Server の管理用の Windows Server 2003、Windows 2000 Server、または Microsoft Windows XP
  • 256 MB のメモリ。
  • コンピュータのオペレーティング システムと互換性があるネットワーク アダプタ 1 つ (内部ネットワークとの通信用)。
  • ISA Server コンピュータに接続している各ネットワーク用のネットワーク アダプタ。
  • 使用可能なハード ディスク領域が 150 MB 以上あるローカル ハード ディスク パーティション 1 つ。これには、キャッシュの使用に必要なハード ディスク領域は含まれていません。ISA Server サービスをインストールする場合は、NTFS ファイル システムでディスクがフォーマットされている必要があります。

また、Microsoft SQL Server™ 2000 Desktop Engine (MSDE 2000) またはテキスト ファイルにログを記録する場合は、4 GB 以上のディスク領域を確保しておくことをお勧めします。

ネットワーク負荷分散 (NLB) の構成を計画している場合、アレイ内通信用のネットワーク アダプタの追加を許可する必要があります。このネットワークに対しては、負荷分散を構成しないでください。

インストール手順については、「ISA Server をインストールする」を参照してください。


容量設計

Microsoft Internet Security and Acceleration (ISA) Server 2004 の最小限のシステム要件については、「インストールの必要条件」で説明されています。ただし、より優れたパフォーマンスを得るためには、予想される負荷に対応できる ISA Server 2004 のハードウェアおよびインターネット接続を設計します。ISA Server コンピュータに必要なハードウェアを判断する際は、次の質問について検討してください。

  • プロセッサはいくつ必要で、どんな種類のプロセッサが必要ですか。
  • RAM 容量とディスク容量はどのくらい必要で、ネットワーク アダプタはいくつ必要ですか。
  • 推奨されるインターネット接続の帯域幅はどのようなものですか。

これらの質問に対する回答は、セキュリティ構成のニーズと展開シナリオによって異なります。特に、ハードウェアに関する推奨事項は、ファイアウォール ポリシーの構成、ログの必要条件、ピーク時の合計ネットワーク スループット、サーバーを公開するかあるいはインターネット アクセスを許可するだけかというすべての要因に影響されます。中でも、インターネット接続におけるピーク時の合計スループットは、多くの場合においてインターネット処理能力のニーズを表しているため、コンピュータのニーズを特定する上で最も重要な要因とされています。

次の表は、インターネット リンクの帯域幅に応じた一般的なガイドラインを示しています。ここに記載する推奨値は、Web トラフィックと、多数のルールで構成されたポリシーを使用することを前提としています。また、これらの推奨値には、特別な構成 (キャッシュやサード パーティのフィルタなど) は考慮されていません。キャッシュを有効にする場合は、インターネット リンクの帯域幅がこれより 20 ～ 30 パーセント低くても十分と思われます。さらに、プロキシ対応のクライアントを構成すると、同じハードウェア構成で 2 倍のスループットを期待できます。

インターネット リンクの帯域幅 | 5 T1 (7.5 Mbps) 以下 | 25 Mbps 以下 | T3 (45 Mbps) 以下 | 注
プロセッサ | 1 | 1 | 2 |
プロセッサの種類 | Pentium III 550 MHz 以上 | Pentium 4 2.0 ～ 3.0 GHz | Xeon 2.0 ～ 3.0 GHz | IA-32 命令セットをエミュレートする他の互換プロセッサも使用できます。 ステートフル インスペクション フィルタ処理のみが要求され、高度なアプリケーション レベルのフィルタ処理が不要な展開では、推奨の Pentium 4 および Xeon プロセッサを使用することにより、LAN の各種ワイヤ スピードに対応できます。
メモリ | 256 MB | 512 MB | 1 GB | Web キャッシュを有効にする場合は、これらの推奨値では十分すぎる場合があります。
ディスク領域 | 150 MB | 2.5 GB | 5 GB | これらの値には、ログの使用に必要なハード ディスク領域は含まれていません。
ネットワーク アダプタ | 10/100 Mbps | 10/100 Mbps | 100/1000 Mbps | これらの値は、インターネット以外のネットワークに接続されるアダプタを対象としています。

詳細については、ISA Server の Web サイトにある容量設計に関するドキュメント (http://www.microsoft.com/) を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


インストール コンポーネント

Microsoft Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition は、次のコンポーネントで構成されています。

  • ISA Server の管理。管理者がエンタープライズの管理に使用するコンソール。
  • 構成保管サーバー。エンタープライズ レイアウトおよびエンタープライズ内の各サーバーの構成を格納するリポジトリ。このリポジトリは、Active Directory Application Mode (ADAM) のインスタンスです。各 ISA Server コンピュータには、その構成のローカル コピーがあります。これはサーバーの構成のレプリカで、構成保管サーバーに配置されています。
  • ISA Server サービス。これは、ISA Server のファイアウォール、仮想プライベート ネットワーク (VPN)、およびキャッシュ機能を実行するコンピュータです。ISA Server サービスを実行するコンピュータは、構成情報を格納する構成保管サーバーに接続されます。
  • その他のコンポーネント。その他のコンポーネント (詳細ログ、ファイアウォール クライアント共有、およびメッセージ スクリーナ) は、別々のコンピュータにインストールできます。詳細ログ コンポーネントは、ISA Server サービスを実行しているコンピュータにのみインストールできることに注意してください。

次の図には、これらのコンポーネントが示されています。

ISA Server のコンポーネント

インストール時に、これらのインストール コンポーネントを 1 つ以上インストールできます。ISA Server サービス コンポーネントをインストールするには、構成保管サーバーが使用可能であることが必要です。これは、ISA Server サービスおよび ISA Server の管理を実行する各コンピュータが、その構成情報を構成保管サーバーから取得するためです。

構成保管サーバーで障害が発生すると、動作している構成保管サーバーへの接続を必要とする ISA Server の管理は、すべての ISA Server 機能へのアクセスを提供できなくなります。同時に、ISA Server 2004 コンピュータは、前回起動時に構成保管サーバーから取得した構成に基づいて、ファイアウォール、VPN、プロキシの各サービスの提供を続行します。ただし、その構成を監視または変更できるようになるのは、構成保管サーバーが復元されてから、または ISA Server サービスと ISA Server の管理を実行しているコンピュータを、エンタープライズ内の別の構成保管サーバーに接続してからです。インストール後に構成保管サーバーを指定する手順については、「このアレイの構成保管サーバーを指定する」を参照してください。

構成保管サーバー

構成保管サーバーは、エンタープライズ内のすべてのアレイの構成を格納するサーバーです。構成保管サーバーは、ADAM を使用して格納を実行します。構成保管サーバーをインストールすると、自動的に ADAM もコンピュータにインストールされます。エンタープライズ内のアレイを構成すると、構成保管サーバー内の情報も変更されます。ISA Server 2004 Enterprise Edition コンピュータは、後で構成保管サーバーにアクセスして構成の変更があったかどうかを確認し、そのレジストリ ベースのローカル記憶域を更新してエンタープライズ内の最新の変更を反映します。

エンタープライズに複数の構成保管サーバーを配置して、それぞれにエンタープライズ構成の正確なレプリカを格納できます。

各アレイは、特定の構成保管サーバーをポイントし、そこから更新された構成を取得します。構成保管サーバーで障害が発生した場合に使用される代替構成保管サーバーを指定することもできます。

インストールの手順については、「構成保管サーバーをインストールする」を参照してください。

ISA Server の管理

ISA Server の管理は、エンタープライズおよびアレイ メンバを管理するために使用する管理コンソールです。ISA Server の管理を使用して、特定の構成保管サーバーに接続してエンタープライズを管理します。インストール手順については、「ISA Server の管理をインストールする」を参照してください。

ISA Server サービスを実行するコンピュータ

ISA Server サービスを実行するコンピュータは、ファイアウォール、キャッシュ、および VPN 機能を備えたコンピュータです。既定では、ISA Server の管理もこれらのコンピュータにインストールされます。これらのコンピュータで表示される構成情報は、構成保管サーバーに格納されています。

ISA Server サービスを実行するコンピュータは、アレイにグループ化できます。アレイにグループ化されたすべてのコンピュータで、次の内容が同じである必要があります。

  • 同じ名前のアレイ レベル ネットワークに接続されたネットワーク アダプタの数
  • 構成済みのダイヤルアップ接続
  • 複数のクロックが同期化されているタイム ゾーン (ログ用)
  • パーティション (ログ用)
  • 各アレイ メンバにインストールされている証明書
  • 各アレイ メンバが使用できるネットワーク サービス (DNS、CRL 検証の接続、Active Directory の接続など)
  • インストールされている ISA Server および Windows Server 2003 の言語バージョン (コンピュータとログオン ユーザーに同じロケール セットを使用)
  • インストール済みの更新
  • ドメインおよびサイトの構成 (またはワークグループへの所属)

ネットワーク負荷分散 (NLB) の構成を計画している場合に、Windows Server 2003 がインストールされていないときは、アレイ内通信用の追加のネットワーク アダプタを用意する必要があります。このネットワークに対しては、負荷分散を構成しないでください。

インストール手順については、「ISA Server サービスを実行するコンピュータをインストールする」を参照してください。アレイの詳細については、「アレイとアレイ メンバ」を参照してください。


インストール プロセス

インストールを開始する前に、Microsoft Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition のインフラストラクチャのトポロジを十分に検討してください。以下の事項を確認します。

  • ISA Server をワークグループ内に展開するか、信頼されたドメイン環境内に展開するか。詳細については、「ワークグループおよび信頼されていないドメインを展開する場合のインストール上の考慮事項」を参照してください。
  • 構成保管サーバーをどこにインストールするか。
  • 構成保管サーバーをすべて同じサイトにインストールするかどうか。マルチサイト インストールの詳細については、「ADAM サイト間での構成保管サーバーの展開」を参照してください。
  • エンタープライズ内にインストールするアレイの数
  • 各アレイのメンバの数
  • エンタープライズをリモートで管理するかどうか
  • インストールするリモート管理コンピュータの数

ISA Server をセットアップする前に、「インストールの必要条件」を確認してください。その後で、以下の順にコンピュータを展開します。

  1. 構成保管サーバーをインストールします。ISA Server 2004 コンポーネントをインストールするには、構成保管サーバーが使用可能である必要があります。構成保管サーバーをインストールするときに、構成保管サーバーを既存のエンタープライズに加えることができます。または、新しいエンタープライズを作成することもできます。展開の効率を最大にするには、組織内にエンタープライズを 1 つだけ作成することをお勧めします。エンタープライズが 1 つだけならば、組織内のすべてのアレイを 1 つの ISA Server の管理のコンソールから管理できます。インストールの手順については、「構成保管サーバーをインストールする」を参照してください。
  2. (省略可能) アレイ、エンタープライズ ネットワーク ルール、およびエンタープライズ ポリシーを構成保管サーバー上で作成します。次の手順で説明しているように、アレイ メンバのインストールを開始するときに、アレイ メンバを既存のアレイに加えることができます。
  3. ISA Server サービスを 1 つ以上のコンピュータにインストールします。ISA Server サービスを実行するコンピュータを、新しいアレイの最初のメンバとしてインストールする場合は、内部ネットワークでのアドレスを指定します。内部ネットワークの詳細については、「既定の内部ネットワーク」を参照してください。手順については、「ISA Server サービスを実行するコンピュータをインストールする」を参照してください。

ISA Server は、インストール時に、TCP/IP ドライバの動的ポートの範囲を 65,535 に設定し直します。この変更は、コンピュータを再起動した後に有効になります。ただし、ISA Server をインストールした後、コンピュータは自動的には再起動されないので注意してください。

注

  • ISA Server のセットアップ時に詳細ログ コンポーネント (MSDE) のインストールを選択すると、Ds16gt.dll や Odbc16gt.dll など多数の .dll ファイルがインストールされます。詳細ログ コンポーネント (MSDE) は、既定でインストールされるオプションのコンポーネントです。

サービスの停止と無効化

インストール時は、次のサービスが無効になります。

  • インターネット接続ファイアウォール (ICF) または インターネット接続の共有 (ICS)
  • IP ネットワーク アドレス変換

さらに、インストール時は、次のサービスが停止されます。

  • SNMP サービス
  • FTP 発行サービス
  • NNTP (ネットワーク ニュース転送プロトコル)
  • IIS 管理サービス
  • World Wide Web 発行サービス

これらのサービスは、インストールの完了後に再起動されます。

ファイアウォール クライアント共有のインストール

ファイアウォール クライアント用共有をインストールするように指定した場合は、ファイアウォール クライアント ソフトウェアのインストールに必要なファイルが、コンピュータ上のフォルダにコピーされます。このフォルダは、次のグループに対して読み取りアクセス許可を指定して共有されます。Administrators、System、および Authenticated Users の各グループです。

共有をインストールすると、内部ネットワーク上のクライアントに共有へのアクセスを許可する "信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する" というシステム ポリシー ルールが有効になります。このルールにより、クライアントは共有からソフトウェアをインストールできるようになります。詳細については、「システム ポリシーの概要」を参照してください。


ドメイン コントローラへの構成保管サーバーのインストール

シナリオによっては、Microsoft Internet Security and Acceleration (ISA) Server 2004 の構成保管サーバー コンポーネントをドメイン コントローラにインストールする場合があります。たとえば、ファイアウォールによる保護が必要な支社のハードウェアおよび管理リソースを保護する場合などです。

ほとんどのシナリオで、構成保管サーバーのサービスはネットワーク サービス アカウントの下で実行されます。ただし、ISA Server の構成保管サーバーをドメイン コントローラにインストールする場合は、別のアカウントを構成保管サーバーのサービスを実行するアカウントとして指定する必要があります。これは、構成保管サーバーがドメイン コントローラで実行されているときには、ネットワーク サービス アカウントを使用できないためです。

Domain Admins グループに属するユーザー (ドメイン管理者) の資格情報を使用して、構成保管サーバーのサービスを実行することができます。ただし、最も安全な構成については、ドメイン管理者以外のユーザーの資格情報を使用することをお勧めします。この場合は、以下の手順を実行して、サービスに必要なアクセス許可がユーザーに与えられていることを確認する必要があります。

  1. 「構成保管サーバーをインストールする」の説明に従って、構成保管サーバーをインストールします。
  2. セットアップ時に、セットアップ ウィザードの [構成保管サーバー サービス アカウント] ページで、ドメイン管理者ではないユーザーの資格情報を入力します。
  3. Program Files\Microsoft ISA Server\ADAMData フォルダで、<DNS ドメイン>.bat ファイルを検索します。<DNS ドメイン> は、Active Directory Application Mode (ADAM) が実行されているコンピュータのドメイン ネーム システム (DNS) 名です。
  4. コマンド プロンプトで、「<DNS ドメイン>」と入力してファイルを実行します。

注

  • <DNS ドメイン>.bat ファイルは、ADAM のインストールが完了してから約 1 分後にディレクトリに表示されます。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ADAM サイト間での構成保管サーバーの展開

大規模な多重分岐のシナリオでは、複数の構成保管サーバーが地理的に分散配置され、低速リンクで接続されている場合があります。このようなシナリオでは、Active Directory Application Mode (ADAM) サイトを確立することで、構成保管サーバーに格納されている構成情報のレプリケーションを最適化できます。サイト間で、構成情報がレプリケートされる頻度を構成することができます。

構成保管サーバーを別のサイトに移動するには、次の手順を実行します。

  1. Microsoft Internet Security and Acceleration (ISA) Server 2004 (構成保管サーバー) をインストールします。手順については、「構成保管サーバーをインストールする」を参照してください。
  2. AdamSites.exe ツール (英語情報) (http://www.microsoft.com/) を使用して、新しいサイトを作成します。コマンド プロンプトで、次のように入力します。
    AdamSites Site Create <新しいサイト>
    <新しいサイト> には、新しいサイトの名前を指定します。
  3. AdamSites.exe ツールを使用して、サーバーを新しいサイトに移動します。コマンド プロンプトで、次のように入力します。
    AdamSites MoveServer ConfigStgServer <サイト 1> <新しいサイト>
    <サイト 1> には既存のサイトの名前を、<新しいサイト> には新しいサイトの名前を指定します。

サイト間レプリケーション

各サイトには、トポロジ構築用の、サイト間トポロジ ジェネレータと呼ばれる構成保管サーバーが 1 つずつ割り当てられます。これらのサイト間トポロジ ジェネレータが連携して、サイト間の冗長なレプリケーション パスを排除するアルゴリズムが構築されます。サイト間レプリケーション トポロジは、ネットワーク内のあらゆる変更に対応するために、定期的に更新されます。

サイト間レプリケーションの詳細については、Active Directory レプリケーション トポロジの動作についてのページ (英語情報) (http://www.microsoft.com/) を参照してください。

AdamSites.exe の使用

AdamSites.exe ツールを実行する場合、ADAM の展開においてサイトを他のサイトにレプリケートする頻度を指定できます。

他の構成オプションを使用するには、コマンド プロンプトで「AdamSites.exe」と入力します。

レプリケーションを許可するファイアウォール ポリシー

あるサイトの構成保管サーバーを別のサイトの構成保管サーバーでレプリケートするときは、適切な資格情報を提示する必要があります。これを可能にするには、各構成保管サーバーから、Active Directory ドメイン コントローラおよび適切なドメイン ネーム システム (DNS) サーバーにアクセスできる必要があります。このアクセスを許可する適切なファイアウォール ポリシーを構成する必要があります。このポリシーは、アレイ レベルで各アレイに対して構成することも、エンタープライズ レベルで構成することもできます。

アレイ レベルのファイアウォール ポリシーを構成するには、次のシステム ポリシー構成グループを変更します。

  • DNS。特定の DNS サーバーを含むように、この構成グループを変更します。
  • Active Directory。特定の Active Directory ドメイン コントローラを含むように、この構成グループを変更します。

手順については、「システム ポリシー ルールの宛先を編集する」を参照してください。

エンタープライズ レベルのポリシーを構成するには、次の 2 つのアクセス ルールを作成します。

  1. 構成保管サーバーが DNS プロトコルを使用して DNS サーバーにアクセスすることを許可するアクセス ルール
  2. 構成保管サーバーが、LDAP および LDAPS プロトコルを使用して Active Directory ドメイン コントローラにアクセスすることを許可するアクセス ルール

手順については、「エンタープライズ ポリシー ルールを作成する」を参照してください。


ワークグループおよび信頼されていないドメインを展開する場合のインストール上の考慮事項

Microsoft Internet Security and Acceleration (ISA) Server 2004 サービスを実行するコンピュータは、ワークグループにインストールするか、または接続している構成保管サーバーのドメインとの間に信頼関係のないドメインにインストールできます。この場合、2 台のコンピュータ間で認証を行うには、証明書を使用する必要があります。証明書ファイルは、構成保管サーバーのセットアップ アプリケーションおよび ISA Server サービスを実行するコンピュータを介して作成および使用する必要があります。

構成保管サーバーをインストールする場合は、次の手順を実行します。

  1. 「証明機関をインストールする」の説明に従って、証明機関 (CA) をインストールします。
  2. 「サーバー証明書を作成する」および「サーバー証明書をエクスポートする」の説明に従って、証明書の作成とエクスポートを行います。
  3. 構成保管サーバーをインストールする際に、この証明書を、ISA Server サービスを実行するコンピュータと通信する際に使用する証明書として指定します。

ISA Server サービスを実行するコンピュータをインストールする場合は、次の手順を実行します。

  1. ルート証明書を取得します。手順については、「ルート証明書を取得する」を参照してください。
  2. ISA Server サービスを実行するコンピュータの証明書ストアに証明書を追加します。
  3. インストール時に、[構成保管サーバー認証オプション] ページでこの証明書を指定します。

ISA Server をワークグループにインストールする場合は、ISA Server サービスを実行する各コンピュータで、ローカル ユーザーを作成する必要があります。このアカウントは、後で ISA Server の管理がこれらのコンピュータと通信する際に使用します。ISA Server の管理をアレイに接続するたびに、ローカル ユーザーの資格情報を入力します。アレイ内の各サーバーのローカル ユーザーは同一、つまりミラー化されたアカウントでなければなりません。詳細については、「ドメインおよびワークグループのロール」を参照してください。

注

  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。

インストール後の展開環境の変更

ISA Server コンポーネントをインストールした後、展開環境の変更を決定して、ワークグループまたは信頼されていないドメインに 1 つまたは複数のコンポーネントを配置する場合があります。この場合、ISA Server コンポーネントに適切な証明書をインストールする必要があります。

構成保管サーバーで、次のいずれかの手順を実行して証明書を取得できます。

  • ISA Server のセットアップを実行して、[修復] オプションを選択します。手順については、「構成保管サーバーで証明書を指定する」を参照してください。ISA Server のセットアップの [修復] オプションを実行すると、ADAM_ISASTGCTRL ローカル ストアから既存の証明書がすべて削除されます。
  • ISACertTool を使用します。これは、ISA Server ダウンロード センター (英語情報) (http://www.microsoft.com/) で入手できます。ISACertTool を実行すると、ADAM_ISASTGCTRL ローカル ストア内の証明書がすべて消去されます。ツールの実行時に /keepcerts フラグを指定することによって、すべての証明書をそのまま残すことができます。
  • 構成保管サーバーに証明書を直接インストールします。手順については、「サーバー証明書を取得する」を参照してください。

証明書をインストールすると、構成保管サーバーの Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys フォルダに、秘密キー コンテナが作成されます。ISASTGCTRL サービスを実行しているアカウント (既定では、ネットワーク サービス アカウント) には、秘密キー コンテナへの適切なアクセス許可が必要です。


無人セットアップ

無人セットアップ コマンドを使用して、Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールすることができます。手順については、「ISA Server の無人セットアップを実行する」を参照してください。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。

ISA Server 2000 がインストールされているコンピュータでは、無人インストールを実行することはできません。ISA Server CD の FPC フォルダに収録されている以下のファイルには、無人モードでのサーバー セットアップに使用できる構成についての情報が収録されています。

ファイル名 | 説明
InstallJoinedServer.ini | ISA Server サービスを実行するコンピュータをインストールし、特定のアレイに追加します。
InstallNewArrayAndServer.ini | ISA Server サービスを実行するコンピュータをインストールし、<アレイ名>で指定した名前の新しいアレイを作成します。
InstallNewManagementServer.ini | 構成保管サーバーをインストールします。
InstallStandaloneServer.ini | ISA Server サービスおよび構成保管サーバーをインストールします。
Uninstallserver.ini | サーバーをアンインストールします。

このファイルに値が指定されていない場合は、既定の値が使用されます。以下の表では、構成ファイル内の項目と値について説明します。それぞれのインストール構成で、これらのパラメータがすべて使用されるとは限らないことに注意してください。

項目 | 説明 | シナリオ
ADDLOCAL= {MSFirewall_Management}, {MSFirewall_Services}, {Message_Screener}, {Publish_Share_Directory}, {MSDE}, {Storage_Server} | コンピュータにインストールするコンポーネントをコンマで区切って指定します。すべてのコンポーネントをインストールするには、ADDLOCAL=ALL と設定します。 | すべてのインストール シナリオで省略可能です。
ARRAY_AUTHENTICATIONMETHOD アレイの認証方法を定義します。
使用可能な値 : Windows (LDAP) または Certificate (LDAPS)。この値を設定する場合は、CLIENT_CERTIFICATE_FULLPATH の値も指定する必要があります。
既定値 : Windows 		以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに
  • ISA Server サービスと構成保管サーバーの両方
ワークグループ シナリオでは、「Certificate」に設定する必要があります。
ARRAY_DESCR アレイの説明
既定値 : 空 		以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに (既存のアレイへの参加の場合は使用されない)
  • ISA Server サービスと構成保管サーバーの両方
ARRAY_DNS_NAME アレイに接続するときにファイアウォール クライアントおよび Web プロキシ クライアントによって使用される名前を指定します。
既定値 : コンピュータ名 		以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに (既存のアレイへの参加の場合は使用されない)
  • ISA Server サービスと構成保管サーバーの両方
ARRAY_ENTERPRISEPOLICY 使用するエンタープライズ ポリシーを指定します。既定値は Array Policy Only です。 サーバーを新しいアレイにインストールする場合は必須です。
新しいエンタープライズに ISA Server サービスおよび構成保管サーバーをインストールするときは、指定しないでください。
ARRAY_INTERNALNET 新しいアレイの内部ネットワーク内の IP アドレス範囲を指定します。新しいアレイの記述を定義します。

<数字> <開始アドレス1>-<終了アドレス1>,<開始アドレス2>-<終了アドレス2>,...<開始アドレスN>-<終了アドレスN>。<数字> は範囲の数です。<開始アドレスI> と <終了アドレスI> は、各範囲の開始アドレスと終了アドレスです。

 以下のインストールの場合は必須です。
  • サーバーを新しいアレイに
  • ISA Server サービスと構成保管サーバーの両方
  • 内部ネットワークが定義されていない既存のアレイへの参加
内部ネットワークが定義されている既存のアレイにサーバーをインストールするときは、指定しないでください。
ARRAY_INTERNALNET_ENTERPRISE_NETS を使用するときは、省略可能です。
ARRAY_INTERNALNET_ENTERPRISE_NETS アレイの内部ネットワークに含められるエンタープライズ ネットワークの名前を指定します。
構文 : "<ネットワーク1>" "<ネットワーク2>"..."<ネットワークN>"
ネットワーク名に引用符が含まれる場合は、二重引用符 ("") に置き換えてください。 		ARRAY_INTERNALNET を指定した場合は省略可能です。それ以外の場合で、サーバーを新しいアレイにインストールするときは必須です。
新しいエンタープライズ用に構成保管サーバーをインストールするときは、指定しないでください。
ARRAY_NAME アレイに参加する場合に、新しいアレイの名前または既存のアレイの名前を指定します。
既定値 : コンピュータ名 (新しいアレイのインストールの場合) 		以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに (既存のアレイへの参加の場合は使用されない)
  • ISA Server サービスと構成保管サーバーの両方
サーバーを既存のアレイにインストールする場合は必須です。
CLIENT_CERTIFICATE_FULLPATH 構成保管サーバーに接続するときにどのルート証明書を使用するかを指定します。 以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに
  • ISA Server サービスと構成保管サーバーの両方
  • サーバーを既存のアレイに
ワークグループ シナリオでは必須です。
COMPANYNAME=<会社名> | 製品をインストールする会社の名前を指定します。 | すべてのインストール シナリオで省略可能です。
DONOTDELLOGS = {0|1} | 1 に設定した場合、ログ ファイルはコンピュータから削除されません。既定値は 0 です。 | アンインストールの場合は省略可能です。
DONOTDELCACHE = {0|1} | 1 に設定した場合、キャッシュ ファイルはコンピュータから削除されません。既定値は 0 です。 | アンインストールの場合は省略可能です。
ENTERPRISE_DESCR エンタープライズの説明を指定します。
既定値 : 空 		以下のインストールの場合は省略可能です。
  • 構成保管サーバーを新しいエンタープライズに
  • ISA Server サービスと構成保管サーバーの両方を新しいエンタープライズに
ENTERPRISE_MODE 構成保管サーバーが新しいエンタープライズであるか、既存の構成保管サーバーのレプリカであるかを指定します。使用可能な値 : New または Replica
既定値 : New 		以下のインストールの場合は省略可能です。
  • 構成保管サーバーを新しいエンタープライズに
  • ISA Server サービスと構成保管サーバーの両方を新しいエンタープライズに
ENTERPRISE_NAME エンタープライズの名前を指定します。
既定値 : Enterprise 		以下のインストールの場合は省略可能です。
  • 構成保管サーバーを新しいエンタープライズに
  • ISA Server サービスと構成保管サーバーの両方を新しいエンタープライズに
IMPORT_CONFIG_FILE =Importfile.xml | インポートする構成ファイルを指定します。構成ファイルのインポートの詳細については、「構成のインポートと復元」を参照してください。 | すべてのインストール シナリオで省略可能です。
InstallDir={<インストール ディレクトリ>} ISA Server のインストール ディレクトリを指定します。指定しない場合は、既定で、十分な容量のある最初のディスク ドライブが使用されます。構文は次のとおりです。

<ドライブ>:\<フォルダ>

既定のフォルダは、%Program Files%\Microsoft ISA Server です。 		すべてのインストール シナリオで省略可能です。
INTRA_ARRAY_ADDRESS_IP 同じアレイ内にある ISA Server コンピュータで通信に使用する IP アドレスを定義します。この IP アドレスは、ISA Server コンピュータ上の IP アドレスでなければなりません。 以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに
  • ISA Server サービスと構成保管サーバーの両方
  • サーバーを既存のアレイに
PIDKEY | 製品キーを指定します。ISA Server CD-ROM のケースの裏に記載されている 25 桁の番号です。 | すべてのインストール シナリオで必須です。
REMOVE={MSFirewall_Management}, {MSFirewall_Services}, {Message_Screener}, {Publish_Share_Directory}, {MSDE}, {Storage_Server} | コンピュータから削除するコンポーネントをコンマで区切って指定します。すべてのコンポーネントを削除するには、REMOVE=ALL と設定します。 | すべてのインストール シナリオで省略可能です。
SERVER_CERTIFICATE_FULLPATH 使用するサーバー証明書を指定します。証明書を指定する場合は、ARRAY_AUTHENTICATIONMETHOD エントリを「Certificate」に設定する必要があります。 以下のインストールの場合は省略可能です。
  • 構成保管サーバー
  • ISA Server サービスと構成保管サーバーの両方
ワークグループまたは信頼されていないドメインでのシナリオの場合は必須です。
REMOVE={MSFirewall_Management}, {MSFirewall_Services}, {Message_Screener}, {Publish_Share_Directory}, {MSDE}, {Storage_Server} | コンピュータから削除するコンポーネントをコンマで区切って指定します。すべてのコンポーネントを削除するには、REMOVE=ALL と設定します。 | すべてのインストール シナリオで省略可能です。
SERVER_CERTIFICATE_PASSWORD サーバー証明書のパスワードを指定します。SERVER_CERTIFICATE_FULLPATH で暗号化された証明書が指定されている場合は、SERVER_CERTIFICATE_PASSWORD を設定する必要があります。 以下のインストールの場合は省略可能です。
  • 構成保管サーバー
  • ISA Server サービスと構成保管サーバーの両方
ワークグループまたは信頼されていないドメインでのシナリオの場合は必須です。
STORAGESERVICE_ACCOUNT 構成保管サーバーに使用するユーザー アカウント名を指定します。
既定値 : NT AUTHORITY\NetworkService 		以下のインストールの場合は省略可能です。
  • ISA Server サービスと構成保管サーバーの両方
  • 構成保管サーバー (またはレプリカのみ)
STORAGESERVER_COMPUTERNAME 接続する構成保管サーバーの完全修飾ドメイン名 (FQDN) を指定します。既定値は localhost です。既定値では、このコンピュータにインストールされている構成保管サーバーが使用されます。 以下のインストールの場合は必須です。
  • サーバーを新しいアレイまたは既存のアレイに
  • レプリカ構成保管サーバー (ISA Server サービスもインストールするかどうかに関係なく、ENTERPRISE_MODE が Replica に設定されている場合)
STORAGESERVER_CONNECT_ACCOUNT STORAGESERVER_COMPUTERNAME への接続に使用するユーザー アカウントの名前を指定します。既定値は、現在ログオンしているユーザー アカウントです。 以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに
  • ISA Server サービスと構成保管サーバーの両方 (レプリケートの場合)
  • サーバーを既存のアレイに
STORAGESERVER_CONNECT_PWD STORAGESERVER_CONNECT_ACCOUNT のパスワードをテキスト形式で指定します。既定値は、現在ログオンしているユーザーのパスワードです。 以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに
  • ISA Server サービスと構成保管サーバーの両方 (レプリケートの場合)
  • サーバーを既存のアレイに
STORAGESERVICE_PWD STORAGESERVICE_ACCOUNT アカウントのパスワードを指定します。
既定値 : パスワードなし 		以下のインストールの場合は省略可能です。
  • ISA Server サービスと構成保管サーバーの両方
  • 構成保管サーバー (またはレプリカのみ)
SUPPORT_EARLIER_CLIENTS 古いバージョンのファイアウォール クライアントを実行するクライアントまたは古いオペレーティング システム バージョン上のクライアントをこの ISA Server アレイに接続できるかどうかを指定します。使用可能な値 : 0 (既定) または 1 以下のインストールの場合は省略可能です。
  • サーバーを新しいアレイに
  • ISA Server サービスと構成保管サーバーの両方


既定の設定

インストール後、Internet Security and Acceleration (ISA) Server 2004 は次の表に示す既定の設定を使用します。

機能 | 既定の設定 | 詳細の参照先
ユーザーのアクセス許可 | ローカル コンピュータの Administrators グループのメンバは、ファイアウォール ポリシーを構成できます。
内部ネットワーク | 内部ネットワークには、各アレイについて、インストール プロセスで指定されたエントリが含まれます。 | 既定の内部ネットワーク
ネットワーク設定 アレイ レベルでは、次のネットワーク ルールが作成されます。
  • [ローカル ホスト アクセス]。ローカル ホスト ネットワークとすべてのネットワーク間のルーティングされたネットワーク関係を定義します。ISA Server コンピュータで実行されるサービスで必要な、他のネットワークへのネットワーク関係を定義します。
  • [インターネット アクセス]。内部ネットワーク、検疫 VPN クライアント ネットワーク、および VPN クライアント ネットワークから、外部ネットワークへのネットワーク アドレス変換 (NAT) ネットワーク関係を定義します。該当するアクセス ポリシーを構成した場合にのみ、アクセスが許可されます。
  • [VPN クライアントから内部ネットワーク]。VPN クライアント ネットワークと内部ネットワーク間のルーティングされたネットワーク関係を定義します。仮想プライベート ネットワーク (VPN) クライアント アクセスを有効にした場合にのみ、アクセスが許可されます。
ネットワーク ルール
エンタープライズ ポリシー | セットアップ時に指定されたエンタープライズ ポリシーが適用されます。これがエンタープライズ内の最初のアレイである場合は、既定のエンタープライズ ポリシーが適用されます。既定のエンタープライズ ポリシーには、すべてのネットワーク間のトラフィックを拒否する、既定のルール ([既定のルール]) が含まれています。 | エンタープライズ ポリシー
システム ポリシー | ISA Server は既定によりセキュリティで保護され、特定の重要なサービスの実行も許可します。インストール時には、必要なサービスを許可するために、一部のシステム ポリシー ルールが有効になります。システム ポリシー構成を確認して、特定の展開に必要なサービスだけを有効にするようにカスタマイズすることをお勧めします。 | システム ポリシー
Web チェーン | 既定のルール ([既定のルール]) では、すべての Web プロキシ クライアント要求をインターネットから直接取得するように指定されています。 | Web チェーン ルール
キャッシュ | キャッシュ サイズは 0 に設定されます。このため、キャッシュはすべて無効です。 | キャッシュの概要
警告 | ほとんどの警告はアクティブです。具体的なネットワーク要件に合わせて、警告を確認および構成することをお勧めします。 | 警告
クライアント構成 | ファイアウォール クライアントおよび Web プロキシ クライアントがインストールまたは構成されると、自動検出が有効になります。ファイアウォール クライアントの Web ブラウザ アプリケーションは、ファイアウォール クライアントのインストール時に構成されます。 | 自動検出の概要


ISA Server 2000 からのアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ISA Server 2000 ユーザーを対象とした完全なアップグレード パスをサポートしています。ISA Server 2000 のほとんどのネットワーク設定、監視の構成、およびキャッシュ構成が ISA Server 2004 にアップグレードされます。

ISA Server 2004 には数多くの新機能が追加されました。また、さまざまな点が変更されています。これらの変更は、サーバーの構成とアップグレード シナリオに影響を与えます。ここでは、アップグレード プロセスの一環として考慮すべき重要事項について説明します。

  • アップグレード シナリオ
  • アップグレードされる情報
  • 新しく変更された手順


アップグレード シナリオ

Microsoft Internet Security and Acceleration (ISA) Server 2004 Enterprise Edition にアップグレードする前に、「アップグレード プロセス」を十分に確認してください。

ここで説明するように、インストールする ISA Server 2004 コンポーネントに応じて、ISA Server 2000 からのアップグレード手順は異なります。

  • ISA Server サービスを実行するコンピュータへのアップグレード
  • 構成保管サーバーへのアップグレード
  • ISA Server 2000 ルーティングおよびリモート アクセスのアップグレード
  • アドインのアップグレード

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アップグレード プロセス

Microsoft® Internet Security and Acceleration (ISA) Server 2004 の移行ツールは、ISA Server 2000 ユーザーに ISA Server 2004 への完全なアップグレード パスを提供します。ISA Server 2000 のほとんどの構成情報が ISA Server 2004 にアップグレードされます。ISA Server 2004 には数多くの新機能と変更が追加されています。これらの変更は、サーバーの構成とアップグレード シナリオに影響を与えます。また、これらの変更は、アップグレード可能な要素にも影響します。

注

  • コンピュータに ISA Server 2000 Service Pack 1 (SP1) または Service Pack 2 (SP2) がインストールされている必要があります。
  • アップグレードが可能なのは、ISA Server 2000 Enterprise Edition からのみです。
  • 別のコンピュータ上で ISA Server 2000 から ISA Server 2004 にアップグレードする場合は、必要なすべての証明書をそのコンピュータにインストールしてから、ISA Server 2000 構成ファイルをインポートすることをお勧めします。
  • ISA Server 2000 からアップグレードする場合、同じ言語バージョンの ISA Server 2004 をインストールする必要があります。
  • 現在、Microsoft Windows® 2000 Server を実行するコンピュータに ISA Server 2000 がインストールされている場合、ISA Server 2000 SP1 または ISA Server 2000 SP2 がインストールされていることを確認してください。その後、オペレーティング システムを Microsoft Windows Server™ 2003 にアップグレードしてください。

ISA Server 2000 コンピュータのアレイからのアップグレード

ISA Server 2000 コンピュータのアレイからのアップグレード プロセスには、以下の手順が含まれます。

  1. 「構成保管サーバーへのアップグレード」の説明に従って、ISA Server 2004 構成保管サーバーを作成します。構成保管サーバーは、元の ISA Server 2000 アレイに属さないコンピュータに作成する必要があります。
  2. 構成保管サーバーを作成したら、「ISA Server サービスを実行するコンピュータへのアップグレード」の説明に従って、ISA Server 2000 アレイ メンバをアップグレードします。

追加のコンピュータを ISA Server 2004 アレイ専用にしない場合は、次の手順を実行します。

  1. 「構成保管サーバーをインストールする」の説明に従って、いずれかの ISA Server 2004 コンピュータに構成保管サーバー コンポーネントをインストールします。必ず [エンタープライズ構成のレプリカの作成] を選択してください。
  2. 各 ISA Server 2004 アレイ メンバで、構成保管サーバーをインストールしたコンピュータに接続します。手順については、「このアレイの構成保管サーバーを指定する」を参照してください。
  3. ISA Server 2000 アレイに属していなかったコンピュータから構成保管サーバーをアンインストールします。手順については、「サーバー ソフトウェアをアンインストールする」を参照してください。

図にはこのプロセスが示されています。

アップグレード プロセス

スタンドアロン ISA Server 2000 コンピュータからのアップグレード

スタンドアロン ISA Server 2000 コンピュータからのアップグレード プロセスは、ISA Server 2000 アレイのアップグレード プロセスと同様です。アレイのアップグレードと同様に、ISA Server 2004 構成保管サーバー コンポーネントをインストールする追加のコンピュータが必要です。

ISA Server 2004 Standard Edition からのアップグレード

ISA Server 2004 Standard Edition からのアップグレード プロセスには、以下の手順が含まれます。

  1. ISA Server 2004 Standard Edition の構成をエクスポートします。手順については、ISA Server 2004 Standard Edition ヘルプを参照してください。
  2. ISA Server 2004 Enterprise Edition の構成保管サーバー コンポーネントをインストールします。手順については、「構成保管サーバーをインストールする」を参照してください。
  3. 1 つのアレイ メンバを構成保管サーバーまたは別のコンピュータにインストールします。
  4. 手順 1 でエクスポートした構成ファイルを、手順 3 で作成したアレイにインポートします。
  5. ISA Server アレイ メンバをインストールします。

構成情報をインポートするときは、アレイ内のメンバ サーバーは 1 つだけにする必要があります。


ISA Server サービスを実行するコンピュータへのアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2004 のコンポーネントは、別々のコンピュータにインストールできます。ISA Server 2000 Enterprise Edition から ISA Server 2004 へのアップグレードは、インストールされる ISA Server 2004 コンポーネントによって異なります。

ISA Server サービスのみをインストールする場合、ISA Server 2000 からのアップグレード処理は簡単で、インプレース アップグレードを実行するだけです。

アップグレード後に、移行されたルールの要素を確認してください。アップグレード処理は自動化されているので、移行は正確に実行されますが、移行されたルールの要素が最適でない場合があります。必要に応じて、ルールの要素を調整してください。

手順については、「ISA Server 2000 構成をアップグレードする」を参照してください。


構成保管サーバーへのアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2004 のコンポーネントは、別々のコンピュータにインストールできます。ISA Server 2000 Enterprise Edition から ISA Server 2004 へのアップグレードは、インストールされる ISA Server 2004 コンポーネントによって異なります。

ISA Server 2000 から ISA Server 2004 の構成保管サーバー コンポーネントにアップグレードする場合は、次の手順を実行します。

  1. ISA Server 2000 コンピュータ上で ISA Server の移行ウィザードを実行します。構成情報を含む .xml ファイルが作成されます。
  2. Microsoft ISA Server 2004 Enterprise Edition をインストールし、その際に構成保管サーバーをインストールするオプションを選択します。
  3. ISA Server 2004 コンピュータに .xml ファイルをインポートします。.xml ファイルをインポートする前に、ISA Server 2004 コンピュータの現在の設定を完全にバックアップすることをお勧めします。

別のコンピュータ上で ISA Server 2000 から ISA Server 2004 にアップグレードする場合は、必要なすべての証明書をそのコンピュータにインストールしてから、ISA Server 2000 構成ファイルをインポートすることをお勧めします。

アップグレード後に、移行されたルールの要素を確認してください。アップグレード処理は自動化されているので、移行は正確に実行されますが、移行されたルールの要素が最適でない場合があります。必要に応じて、ルールの要素を調整してください。

手順については、「ISA Server 2000 構成をアップグレードする」を参照してください。


ISA Server 2000 ルーティングおよびリモート アクセスのアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールする際、ルーティングとリモート アクセス構成をアップグレードすることができます。構成は、ISA Server 2000 がコンピュータにインストールされているかどうかに関係なく、ISA Server 2004 にアップグレードすることができます。

アップグレードする場合は、移行処理時に生成された .xml ファイルは、エンタープライズ レベルではなくアレイ レベルでのみインポートできます。

ルーティングとリモート アクセス構成のアップグレードについては、以下の制限事項に注意してください。

  • ISA Server 2004 に接続可能なリモート仮想プライベート ネットワーク (VPN) クライアントの最大数は、ルーティングとリモート アクセスの PPTP ポート数と L2TP ポート数のうち数が多い方に設定されます。詳細については、「リモート クライアントの同時接続の最大数を構成する」を参照してください。
  • 静的に割り当てられた IP アドレスの数が VPN クライアントの数より少ない場合、VPN クライアントの数は、静的アドレス プールのサイズに合わせて削減されます。ユーザーには、ルーティングとリモート アクセスのアップグレード処理中に警告が表示されます。
  • 静的アドレス プールは移行されません。
  • ルーティングとリモート アクセス用に構成された事前共有キーはエクスポートされません。警告メッセージが表示されます。
  • プライマリ DNS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。代わりに DHCP 設定が使用され、警告メッセージが表示されます。バックアップ DNS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。警告メッセージが表示されます。
  • プライマリ WINS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。代わりに DHCP 設定が使用され、警告メッセージが表示されます。バックアップ WINS サーバーに無効な IP アドレスが構成されている場合、IP アドレスはエクスポートされません。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続が PPTP、L2TP の順に使用するよう構成されている場合、PPTP のみを使用する ISA Server 2004 のリモート サイト ネットワークにアップグレードされます。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続が L2TP、PPTP の順に使用するよう構成されている場合、L2TP のみを使用する ISA Server 2004 のリモート サイト ネットワークにアップグレードされます。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続用に構成された事前共有キーはエクスポートされません。警告メッセージが表示されます。
  • ルーティングとリモート アクセスのサイト間接続用に構成された資格情報はエクスポートされません。ISA Server 2004 では、発信方向の VPN 接続は、再構成しなければ使用できません。警告メッセージが表示されます。

.xml ファイルに保存された構成情報をインポートできるのは、ISA Server 2004 Enterprise Edition の空のアレイのみです。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アドインのアップグレード

サード パーティ ベンダによって提供された Microsoft Internet Security and Acceleration (ISA) Server 2000 用のアプリケーション フィルタと Web フィルタは、ISA Server 2004 には対応していません。ISA Server 2004 に対応した新しいバージョンを作成しているサード パーティ ベンダもあります。新しいバージョンにアップグレードするには、次の手順を実行します。

  1. ISA Server 2000 コンピュータからアプリケーション フィルタと Web フィルタをアンインストールします。
  2. ISA Server 2004 へのアップグレードを実行します。
  3. アップグレードされたアプリケーション フィルタおよび Web フィルタの新しいバージョンをインストールします。

アドインのアップグレード方法の詳細については、「ISA Server 2000 アドイン構成のアップグレード」を参照してください。

メッセージ スクリーナのアップグレード

ISA Server 2000 メッセージ スクリーナからのアップグレード処理は簡単で、インプレース アップグレードを実行するだけです。


アップグレードされる情報

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ISA Server 2000 ユーザーを対象とした完全なアップグレード パスをサポートしています。ISA Server 2000 のほとんどのネットワーク設定、監視の構成、およびキャッシュ構成が ISA Server 2004 にアップグレードされます。

ISA Server 2004 には数多くの新機能が追加されました。また、さまざまな点が変更されています。これらの変更は、サーバーの構成とアップグレード シナリオに影響を与えます。ここでは、アップグレード プロセスの一環として考慮すべき重要事項について説明します。

  • ISA Server 2000 管理および監視構成のアップグレード
  • ISA Server 2000 アレイおよびエンタープライズのアップグレード
  • ISA Server 2000 アクセス ポリシー構成のアップグレード
  • ISA Server 2000 公開ポリシー構成のアップグレード
  • ISA Server 2000 ポリシーの要素のアップグレード
  • ISA Server 2000 ネットワークおよびクライアント構成のアップグレード
  • ISA Server 2000 ダイヤルアップ、チェーン、およびルーティング構成のアップグレード
  • ISA Server 2000 アドイン構成のアップグレード
  • ISA Server 2000 キャッシュ構成のアップグレード
  • ISA Server 2000 Feature Pack 1 および修正プログラム構成のアップグレード
  • アップグレードされない情報


ISA Server 2000 管理および監視構成のアップグレード

以下のトピックで説明するように、管理および監視の一部の構成設定が Microsoft Internet Security and Acceleration (ISA) Server 2004 に移行されます。

システム アクセス制御リスト

ISA Server 2000 では、ISA Server の管理を使用して、オブジェクトのシステム アクセス制御リスト (SACL) を再構成できます。さらに、Admin COM オブジェクト モデルを使用して、すべての要素の SACL を変更できました。

SACL は ISA Server 2004 に移行されません。代わりに、既定の SACL が適用されます。

監視

次の情報を除き、ISA Server 2000 のすべての警告定義が ISA Server 2004 にそのまま移行されます。

  • ISA Server 2004 には Web プロキシ サービスがないので、Microsoft ファイアウォール サービスでは、代わりに Web プロキシを参照する警告定義が作成されます。
  • ISA Server 2004 の警告定義のうち、DNS 侵入、POP 侵入、RPC フィルタ接続の変更、SOCKS 構成エラーは変更されません。

ログ構成設定は ISA Server 2000 から移行されません。ISA Server 2004 のログ設定は、インストール後の既定値に設定されます。移行後、ISA Server 2004 のログは、Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) ログまたはテキスト形式で保存されます。

レポート ジョブ、レポート、およびレポート構成は移行されません。


ISA Server 2000 アレイおよびエンタープライズのアップグレード

以下のトピックで説明するように、Internet Security and Acceleration (ISA) Server 2000 エンタープライズをアップグレードすると、ほとんどの設定が ISA Server 2004 に移行されます。

エンタープライズ ポリシー

ISA Server 2000 アレイをアップグレードすると、そのアレイに適用されているエンタープライズ ポリシーが、空のポリシーとしてアップグレードされます。つまり、そのエンタープライズ ポリシーにはルールが含まれていません。

エンタープライズ ポリシーの要素

「ISA Server 2000 ポリシーの要素のアップグレード」で説明されているように、エンタープライズ ポリシーの要素は、ISA Server 2004 エンタープライズ ポリシーの要素にアップグレードされます。

同様に、ISA Server 2000 のアレイ レベルのポリシーの要素は、ISA Server 2004 のアレイ レベルのポリシーの要素にアップグレードされます。


ISA Server 2000 アクセス ポリシー構成のアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2000 のアクセス ポリシー ルールは、ISA Server 2004 にアップグレードされません。具体的には、アップグレード プロセスの一環としてアップグレードされないルールは、次のとおりです。

  • サイトとコンテンツ ルール
  • プロトコル ルール
  • パケット フィルタ

帯域幅ルール

帯域幅ルールとそれに関連するポリシーの要素は、ISA Server 2004 ではサポートされていません。これらはアップグレードされません。

パケット フィルタ

ISA Server 2000 でパケット フィルタが無効になっている場合、構成されているシステム ポリシーに従って、ローカル ホストおよび境界領域ネットワークへのすべてのトラフィックが許可されます。


ISA Server 2000 公開ポリシー構成のアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2000 の公開ルールは、ISA Server 2004 にアップグレードされません。具体的には、アップグレード プロセスの一環としてアップグレードされないルールは、次のとおりです。

  • サーバー公開ルール
  • Web 公開ルール


ISA Server 2000 ポリシーの要素のアップグレード

以下のトピックで説明するように、Microsoft Internet Security and Acceleration (ISA) Server 2000 のほとんどのポリシーの要素が ISA Server 2004 にアップグレードされます。ISA Server 2000 のエンタープライズ レベルのポリシーの要素は、ISA Server 2004 のエンタープライズ レベルのポリシーの要素にアップグレードされます。同様に、ISA Server 2000 のアレイ レベルのポリシーの要素は、ISA Server 2004 のアレイ レベルのポリシーの要素にアップグレードされます。

クライアント アドレス セット

ISA Server 2000 では、クライアント アドレス セットに IP アドレスと IP アドレス範囲が含まれています。クライアント アドレス セットは、サイトとコンテンツ ルールおよびプロトコル ルールで使用され、公開ルールでは使用されません。

ISA Server 2004 では、クライアント アドレス セットの代わりにコンピュータ セットを使用します。ISA Server 2000 のルールが適用されているクライアント アドレス セットをアップグレードすると、ISA Server 2004 では、それらの各ルールについて新しいコンピュータ セットが作成されます。アップグレードしたルールは新しいコンピュータ セットに適用されます。このコンピュータ セットには、SA Server 2000 の元のクライアント アドレス セットと同じ IP アドレスが含まれます。

コンテンツ グループ

ISA Server 2000 のコンテンツ グループは、ISA Server 2004 にそのままアップグレードされます。同じ名前のコンテンツ グループが ISA Server 2004 に存在する場合、そのコンテンツ グループは ISA Server 2000 からインポートされません。

宛先セット

ISA Server 2000 の宛先セットには、コンピュータ名、IP アドレス、IP アドレス範囲、ドメイン名、およびコンピュータ上のパスを含めることができます。宛先セットは、サイトとコンテンツ ルールおよび公開ルールで使用されます。

ISA Server 2004 では宛先セットを使用しません。代わりに、アクセス ルールと公開ルールで柔軟に使用できるその他のネットワーク要素が採り入れられています。

次の表は、ISA Server 2000 の宛先セットと、ISA Server 2004 のさまざまなネットワーク オブジェクトとの対応関係を示しています。

ISA Server 2000 ポリシーの要素 | ISA Server 2004 ネットワーク オブジェクト
ワイルドカード文字が指定された宛先セット | ドメイン名セット
パスが指定された宛先セット | URL セット
1 つの IP アドレスが指定された宛先セット | URL セット
1 つの IP アドレスとパスが指定された宛先セット | URL セット
IP アドレス範囲が指定された宛先セット | コンピュータ セット
IP アドレス範囲とパスが指定された宛先セット URL セット

注

  • ISA Server 宛先セットに 6 つ以上の IP アドレスが含まれている場合は、URL セットが作成されません。ログ ファイルに警告が記録されます。この宛先セットにルールが適用されている場合、そのルールはアップグレードされず、ログ ファイルにメッセージが記録されます。

次の表は、ISA Server 2000 宛先セットのアップグレード例を示しています。

ISA Server 2000 の宛先セット | ISA Server 2004 のネットワーク オブジェクト
mayah.microsoft.com が指定された宛先セット | mayah.microsoft.com が指定されたドメイン名セット
eitanh.microsoft.com およびパス moo が指定された宛先セット | eitanh.microsoft.com が指定されたドメイン名セット、および http://eitanh.microsoft.com/moo/ が指定された URL セット
IP アドレス範囲 192.168.123.134 (1 つの IP) およびパス moo が指定された宛先セット | 範囲が 192.168.123.134 ～ 192.168.123.134 であるコンピュータ セット http://192.168.123.134/moo/ が指定された URL セット
yairh.microsoft.com とパス /moo、IP アドレス 1.2.3.4 とパス boo、および IP アドレス範囲 1.2.3.4 ～ 1.2.3.5 とパス /home が指定された宛先セット | IP アドレス範囲 1.2.3.4 ～ 1.2.3.4 および IP アドレス範囲 1.2.3.4 ～ 1.2.3.5 が指定されたコンピュータ セット yairh.microsoft.com が指定されたドメイン名セット http://yairh.microsoft.com/moo、http://1.2.3.4/boo、http://1.2.3.4/home、および http://1.2.3.5/home が指定された URL セット

宛先セットとルール

次の表は、アップグレード前の ISA Server 2000 ルールで使用されていた宛先セットと、それに対応する ISA Server 2004 のルール設定を示しています。

ISA Server 2000 | ISA Server 2004
すべての宛先 | [宛先] プロパティが [任意の場所] に設定されます。
すべての内部宛先 | [宛先] プロパティが [内部ネットワーク] に設定されます。 宛先ネットワークが [内部] に設定されます。
すべての外部宛先 | [宛先] プロパティが [外部ネットワーク] に設定されます。 宛先ネットワークが [外部] に設定されます。
選択された宛先 | [宛先] プロパティが、元の宛先セットに対応するコンピュータ セット、ドメイン名、および URL セットに設定されます。

プロトコル定義

ISA Server 2000 には、次の 2 種類のプロトコル定義が含まれています。

  • 明示的に定義されたプロトコル定義。インストール時に ISA Server によって作成されるプロトコル要素、またはその後でユーザーが作成するプロトコル要素です。
  • 暗黙的に定義されたプロトコル定義。特定のアプリケーション フィルタまたは IP パケット フィルタで使用されます。

移行ツールによって、明示的に定義されたすべてのプロトコル要素について、それに対応するプロトコル定義が ISA Server 2004 に作成されます。ISA Server 2004 に同じ名前のプロトコル定義が既に存在する場合、ISA Server 2000 のそのプロトコル定義はインポートされません。

暗黙的に定義されたプロトコル定義のうち、サード パーティのアプリケーション フィルタによって作成された定義はアップグレードされません。移行ログ ファイルに、そのことを知らせる警告メッセージが出力されます。暗黙的に定義されたプロトコル定義のうち、IP パケット フィルタで使用されていた定義はアップグレードされます。

移行ツールが認識できないプロトコル定義はアップグレードされません。不明なプロトコル定義に適用されているルールはすべて削除されます。

スケジュール

ISA Server 2000 のスケジュールは、ISA Server 2004 にそのままアップグレードされます。スケジュールが明確に指定されていない ISA Server 2000 ルールは、ISA Server 2004 で作成され、同じ名前を持つスケジュールを参照します。

ISA Server 2000 で、サイトとコンテンツ ルールおよびプロトコル ルールによって 2 つのスケジュールが使用されている場合、ISA Server 2004 では新しいスケジュールが作成されます。

Web リスナ

ISA Server 2000 では、特定の IP アドレスに着信方向のリスナと発信方向のリスナが存在します。ISA Server 2004 では、ネットワーク全体、または特定の IP アドレスに Web リスナを割り当てることができます。

ISA Server 2000 の着信方向のリスナは、外部ネットワーク上の Web リスナとして ISA Server 2004 にアップグレードされます。

ISA Server 2000 の既定の発信方向のリスナは、内部ネットワーク上の Web リスナとして ISA Server 2004 にアップグレードされます。既定のリスナが使用されていない場合、リスナはアップグレードされません。これはログ ファイルに記録されます。

名前付け規則

次の表は、新しいルールの要素の名前付け規則を示しています。

ISA Server 2000 ポリシーの要素 | ISA Server 2004 ルールの要素
宛先セット (コンピュータ セットを作成) | <宛先セット名> が指定されたコンピュータ セット
宛先セット (URL セットを作成) | <宛先セット名> が指定された URL セット
既定の Web リスナ | 既定の外部 Web リスナ
結合されたスケジュール | <スケジュール名1>_<スケジュール名2>


ISA Server 2000 ネットワークおよびクライアント構成のアップグレード

以下のトピックで説明するように、Microsoft Internet Security and Acceleration (ISA) Server 2000 のネットワークおよびクライアントの構成設定が ISA Server 2004 にアップグレードされます。

ネットワーク

ISA Server 2000 は、内部ネットワークと外部ネットワークの 2 つのネットワークのみをサポートしています。境界領域ネットワーク (DMZ、非武装地帯、スクリーン サブネット) は、外部ネットワークから境界領域ネットワークにトラフィックをルーティングするパケット フィルタを作成することで示していました。

ISA Server 2004 は、複数のネットワークをサポートしています。ISA Server 2004 では、既定で次のネットワークが作成されます。

  • 内部 (ISA Server 2000 のローカル アドレス テーブル (LAT) を基に設定される)。ISA Server 2004 の内部ネットワークには、ISA Server 2000 で構成された VPN 静的アドレス プール内の IP アドレスは含まれません。また、ブロードキャスト アドレスも含まれません。
  • 外部
  • ローカル ホスト
  • VPN クライアント

移行ツールによって、ISA Server 2004 に次のネットワーク ルールが作成されます。

  • ローカル ホスト ネットワークと内部ネットワークの間のルート関係を定義するネットワーク ルール
  • VPN クライアント ネットワーク、検疫ネットワーク、および内部ネットワークの間のルート関係を定義するネットワーク ルール
  • 内部ネットワーク、VPN クライアント ネットワーク、検疫ネットワーク、および外部ネットワークの間のネットワーク アドレス変換 (NAT) 関係を定義するネットワーク ルール

ローカル ドメイン テーブル

ローカル ドメイン テーブル (LDT) は、ISA Server 2004 に移行されます。ISA Server 2000 の LDT に IP アドレスが含まれている場合、それらは ISA Server 2004 に移行されません。

クライアント設定

ISA Server 2004 では、クライアント設定をネットワークごとに定義します。ISA Server 2000 のクライアント設定は、ISA Server 2004 内部ネットワークのクライアント設定にそのままアップグレードされます。

ISA Server 2000 と同様、ISA Server 2004 のファイアウォール クライアント アプリケーション設定は、すべてのクライアント要求に適用されます。ファイアウォール クライアント アプリケーション設定は、ISA Server 2004 にそのままアップグレードされます。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server 2000 ダイヤルアップ、チェーン、およびルーティング構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 のダイヤルアップ、チェーン、およびルーティングに関するほとんどの構成設定が ISA Server 2004 にアップグレードされます。

ダイヤルアップ接続

ISA Server 2000 では複数のダイヤルアップ接続を作成できますが、一度にアクティブにできるダイヤルアップ接続は 1 つだけです。ISA Server 2004 では、ダイヤルアップを 1 つだけ作成できます。

ISA Server 2000 の場合、ダイヤルアップ接続は、ファイアウォール クライアントごとおよび Web プロキシ クライアントごとに定義されました。ISA Server 2004 では、ネットワークごとにダイヤルアップ接続が定義されます。

アップグレード プロセスでは、アクティブなダイヤルアップ接続のみがアップグレードされます。これは、外部ネットワークに割り当てられます。

その他すべてのダイヤルアップ接続はアップグレードされません。これは、アップグレード ログ ファイルに記録されます。

ファイアウォール チェーン

ISA Server 2000 のチェーン構成は ISA Server 2004 に直接アップグレードされます。唯一の例外は、ISA Server 2000 で指定されたダイヤルアップ接続です。ISA Server 2004 では、外部ネットワークにダイヤルアップ接続が作成されます。

ルーティング ルール

ISA Server 2000 の各ルーティング ルールは、キャッシュ ルールおよびルーティング ルールとして ISA Server 2004 にアップグレードされます。

ISA Server 2004 のルーティング ルールは、元の ISA Server 2000 ルーティング ルールと同じプロパティを使用して作成されます。ISA Server 2000 のルーティング ルールで指定されている宛先は、ISA Server 2004 ルーティング ルール プロパティの [宛先] プロパティ ページで指定されたネットワークにマップされます。

ISA Server 2000 のルーティング ルールでダイヤルアップ エントリが使用されている場合、ISA Server 2004 の外部ネットワーク上に、同じプロパティを持つダイヤルアップ エントリが作成されます。

移行元の ISA Server 2000 のルーティング ルールに基づいて、新しいキャッシュ ルールが作成されます。ISA Server 2000 のルーティング ルールで指定されている宛先は、ISA Server 2004 ルーティング ルール プロパティの [宛先] プロパティ ページで指定されたネットワークにマップされます。

ブリッジと動作のプロパティは、ISA Server 2004 のキャッシュ ルールでサポートされていません。したがって、これらのプロパティは、元の ISA Server 2000 のルーティング ルールからアップグレードされません。


ISA Server 2000 アドイン構成のアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2000 では、アプリケーション フィルタが特定のトラフィックに無条件に適用されていました。ISA Server 2004 では、一部のフィルタはルールごとに適用できます。次の表は、ISA Server 2000 のアプリケーション フィルタ機能が ISA Server 2004 にどのようにアップグレードされるかを示しています。

注

  • アップグレードを行う前に、サードパーティ ベンダにより出荷されたアプリケーション フィルタまたは Web フィルタはすべて削除してください。それらのアプリケーション フィルタまたは Web フィルタが ISA Server 2004 でも使用可能な場合、アップグレード後にそれらを再インストールすることができます。
アプリケーション フィルタまたはルール | ISA Server 2000 | ISA Server 2004
H.323 フィルタ | 着信呼を許可 | 外部ネットワーク上でリッスンするフィルタ
 | 発信呼を許可 | 内部ネットワーク上でリッスンするフィルタ
 | その他すべての構成 | ISA Server 2000 と同じ
HTTP リダイレクト | すべての構成 | サポートなし
RPC フィルタ | すべての構成 | ルールごとのフィルタに置き換え
SMTP フィルタ | SMTP コマンド | ISA Server 2000 と同じ
SOCKS V4 フィルタ | 有効 | 内部ネットワークからの SOCKS 要求をリッスン
ストリーミング メディア | MMS フィルタ、PNM フィルタ、および RTSP フィルタ : 任意の構成 | ISA Server 2000 と同じ構成 MMS ストリーム分割はサポート対象外

次のアプリケーション フィルタの構成設定は、ISA Server 2004 に直接アップグレードされます。

  • DNS 侵入検出フィルタ
  • POP 侵入検出フィルタ

ISA Server 2004 にアップグレードするコンピュータにメッセージ スクリーナがインストールされていない場合は、内部ネットワークに対する送受信およびローカル ホスト ネットワークに対する送受信のすべてのトラフィックを許可するよう、ISA Server 2004 を明示的に構成しない限り、メッセージ スクリーナ コンピュータからのトラフィックはすべてブロックされます。同様に、メッセージ スクリーナ コンピュータからローカル ホスト コンピュータへの MS ファイアウォール制御トラフィックを許可するルールを追加できます。

ISA Server 2004 と ISA Server 2000 では、一部のアプリケーション フィルタのプロパティ構成が異なります。ISA Server 2004 の使用方法については、「新しく変更された手順」を参照してください。

サード パーティのアプリケーション フィルタはアップグレードされません。同様に、そのアプリケーション フィルタと共にインストールされたプロトコル定義もアップグレードされません。これらのプロトコル定義に適用されるルールはアップグレードされません。

HTTP リダイレクタ フィルタ

ISA Server 2000 HTTP リダイレクタ フィルタの設定は、ISA Server 2004 には移行されません。ISA Server 2004 を構成するには、次の操作を行います。

  • ISA Server 2000 で HTTP リダイレクタを [要求された Web サーバーに送信する] に構成した場合は、ISA Server 2004 で、Web プロキシ フィルタを HTTP プロトコルに適用しないように構成します。ISA Server 2004 では、既定ですべての要求が Web プロキシ フィルタに送信されます。詳細については、「Web プロキシ フィルタ」を参照してください。
  • ISA Server 2000 の HTTP リダイレクタを [ファイアウォールおよび SecureNAT クライアントからの HTTP 要求を拒否する] に構成した場合は、ISA Server 2004 で、ポート 80 を使用する新しいプロトコル定義を作成します。続いて、そのプロトコルの使用を拒否するアクセス ルールを作成します。

リンクの変換

リンクの変換に使用されるユーザー定義のコンテンツの種類は、アレイ レベルのコンテンツの種類に移行されます。ただし、ISA Server 2004 Enterprise Edition では、リンクの変換フィルタはエンタープライズ レベルのコンテンツの種類にのみ適用できます。リンクの変換フィルタが正しく機能するには、移行したコンテンツの種類をエンタープライズ レベルにコピーする必要があります。手順については、「アレイ ルールの要素をエンタープライズにコピーする」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server 2000 キャッシュ構成のアップグレード

以下のトピックで説明するように、ISA Server 2000 のほとんどのキャッシュ構成設定が ISA Server 2004 にアップグレードされます。

キャッシュ

ISA Server 2000 のほとんどのキャッシュ プロパティは、何も変更されず、ISA Server 2000 から ISA Server 2004 にそのままアップグレードされます。以下の例外に注意してください。

  • キャッシュ オブジェクトを更新するかどうかを指定する全般的なキャッシュ プロパティは、ISA Server 2004 の既定値に設定されます。
  • 特定のサイズを超えるオブジェクトをキャッシュするかどうかを指定する全般的なキャッシュ プロパティは、アップグレードされません。
  • ダイナミック コンテンツをキャッシュするかどうかを指定する全般的なキャッシュ プロパティは、ISA Server 2004 の既定のキャッシュ ルールで設定されます。

キャッシュ ドライブ構成は、ISA Server 2004 でもそのまま保持されます。他のコンピュータに移行する場合は、ISA Server 2004 コンピュータのハードウェアおよびドライブ構成を移行元の ISA Server 2000 コンピュータと同様にする必要があります。

ISA Server 2000 をキャッシュ モードでインストールした場合は、移行ツールによって次の処理が行われます。

  • ISA Server 2000 コンピュータで指定された単一ネットワーク アダプタに関連付けられているすべてのアドレスが含まれるように、ISA Server 2004 上の内部ネットワークが構成されます。
  • 内部ネットワーク間の HTTP、HTTPS、および FTP アクセスを許可するアクセス ルールが作成されます。

予定されたコンテンツ ダウンロード ジョブ

ISA Server 2000 の予定されたコンテンツ ダウンロード ジョブは、ISA Server 2004 に直接アップグレードされます。


ISA Server 2000 Feature Pack 1 および修正プログラム構成のアップグレード

Microsoft Internet Security and Acceleration (ISA) Server 2000 Feature Pack 1 にはいくつかの新機能が含まれており、これらの機能は ISA Server 2004 に追加されています。ISA Server 2000 Feature Pack 1 のほとんどの構成情報は、ISA Server 2004 にそのまま移行されます。以下の例外に注意してください。

  • リンクの変換。ISA Server 2004 にそのまま移行されます。次の点に注意してください。
    • ISA Server 2000 のリンクの変換フィルタがコンテンツ グループに適用されている場合、そのコンテンツ グループに対応する新しいコンテンツ グループが作成されます。
    • ISA Server 2000 Feature Pack 1 のリンクの変換では、外部プロキシにおける変換された応答のキャッシュを禁止することができました。この機能は、ISA Server 2004 ではサポートされていません。
  • SecurID 認証のサポート。次の点に注意してください。
    • SecurID を有効にする Web 公開ルールは ISA Server 2004 に移行されますが、新しいルールは無効になります。
    • ISA Server 2000 Feature Pack 1 では、Web 公開ルールごとに SecurID 認証が構成されました。ISA Server 2004 では、Web リスナごとに構成されます。ISA Server 2000 に構成の異なる 2 つの Web 公開ルールがある場合、それらのルールを移行することは可能ですが、SecurID 認証構成は無効になります。
    • SecurID 認証構成を移行するには、次の操作を行います。
      1. アクセス制御エントリ (ACE) サーバーによって生成された Sdconf.rec ファイルを %SystemRoot%\System32 にコピーします。
      2. ローカル ホストから ACE サーバーへの通信を許可するアクセス ルールを作成します。
  • URLScan。このフィルタは、ISA Server 2004 では HTTP フィルタという名前に変更されています。Urlscan.ini ファイルは、%windir%\temp\isa2k_upgrade に保存されます。いずれの設定も ISA Server 2004 には移行されません。

ISA Server 2000 修正プログラム

ISA Server 2000 修正プログラムの一部としてインストールされているすべてのレジストリ キーは、ISA Server 2004 にそのまま移行されます。


アップグレードされない情報

Internet Security and Acceleration (ISA) Server 2000 の次のオブジェクトおよび構成設定は、ISA Server 2004 に移行されません。

  • 帯域幅ルールは、ISA Server 2004 ではサポートされていません。
  • システム アクセス制御リスト (SACL) などのアクセス許可設定はアップグレードされません。詳細については、「ISA Server 2000 管理および監視構成のアップグレード」を参照してください。
  • ログおよびレポート構成とその情報は移行されません。詳細については、「ISA Server 2000 管理および監視構成のアップグレード」を参照してください。
  • ルールは移行されません。ルールの要素のみがアップグレードされます。詳細については、「ISA Server 2000 ポリシーの要素のアップグレード」を参照してください。

注

  • アップグレードすると、ISA Server 2000 にインストールされている H.323 ゲートキーパーは削除されます。

移行ツールを使用して ISA Server 2004 をインストールする場合、ファイアウォール クライアント共有 (ISA Server 2004 ソフトウェア ファイアウォール クライアント) がインストールされます。ファイアウォール クライアント共有をインストールすることをお勧めします。手順については、「ファイアウォール クライアント インストールの共有フォルダを作成する」を参照してください。


新しく変更された手順

以下の表では、ISA Server 2004 で実行可能な一般的なタスクの一覧を示し、これらのタスクが ISA Server 2000 でどのように実行されていたかを比較します。

目的 | ISA Server 2000 | ISA Server 2004
同一場所にあるサーバーを公開する | ISA Server コンピュータ上の特定のサーバーへのアクセスを許可する静的パケット フィルタを作成します。 | サーバー公開ルールを作成します。詳細については、「サーバー公開ルール」を参照してください。
ISA Server コンピュータ上のアプリケーションからインターネットへのアクセスを有効にする | ISA Server コンピュータで、特定のポートへのアクセスを許可する静的パケット フィルタを作成します。 | インストール時に作成される既定のネットワーク ルールが、ローカル ホスト ネットワークと外部ネットワーク間の関係を正確に定義していることを確認します。次に、特定のプロトコルへのアクセスを許可するアクセス ルールを作成します。詳細については、「アクセス ルール」を参照してください。
ローカル アドレス テーブル (LAT) を構成する | 任意のサービスのプロパティで [ローカル アドレス テーブル (LAT)] をクリックします。 | 内部ネットワークは、ローカル アドレス テーブルに代わるもので、セットアップ時に構成されます。内部ネットワークは後から再構成できます。詳細については、「内部ネットワーク」を参照してください。
IP ベースのプロトコルのサポートを構成する | IP ベースのプロトコルは、限定的な方法でサポートされていました。 | プロトコルの種類を TCP、UDP、ICMP、または IP レベルの中から指定して、プロトコルを作成します。IP レベルを選択した場合は、下位レベルのプロトコルを指定できます。詳細については、「プロトコル」を参照してください。
仮想プライベート ネットワークを構成する | VPN のウィザードを使用して、クライアントとルーター間の VPN またはルーター間の VPN を構成します。 | VPN プロパティを構成して有効にし、VPN 接続を監視します。詳細については、「仮想プライベート ネットワーク」を参照してください。
発信方向の Web 要求プロパティを構成する | アレイ プロパティで、[発信方向の Web 要求] タブをクリックし、リスナ プロパティを構成します。 | 各ネットワークには独自のリスナがあります。これは、該当するネットワーク向けの要求をリッスンするネットワーク アダプタです。発信方向の要求に対するリスナの構成については、「Web プロキシ クライアント (発信方向の要求) の認証方法を構成する」を参照してください。
着信方向の Web 要求プロパティを構成する | アレイ プロパティで [着信方向の Web 要求] タブをクリックし、リスナ プロパティを構成します。 | Web リスナは、各 Web 公開ルールの一部として使用されます。Web 公開ルールを構成する際に、そのルールで使用する Web リスナを指定します。Web リスナについては、「Web リスナの概要」を参照してください。


インストールとアップグレード : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 および ISA Server 2004 Microsoft ファイアウォール クライアント ソフトウェアをインストールする方法について説明します。

  • ISA Server をインストールする
  • サーバー ソフトウェアをアンインストールする
  • ISA Server 2000 構成をアップグレードする


ISA Server をインストールする

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールする手順について説明します。

  • 構成保管サーバーをインストールする
  • ISA Server サービスを実行するコンピュータをインストールする
  • ISA Server の管理をインストールする
  • ファイアウォール クライアント インストールの共有フォルダを作成する
  • ISA Server のインストール オプションを変更する
  • ISA Server の無人セットアップを実行する
  • 構成保管サーバーへの接続をチェックする


構成保管サーバーをインストールする

構成保管サーバーをインストールするには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISAAutorun.exe
    <パス> は、Microsoft Internet Security and Acceleration (ISA) Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。
  3. [使用許諾契約] 画面で、[同意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [シナリオのセットアップ] 画面で、[構成保管サーバーのインストール] を選択し、[次へ] をクリックします。
  6. [コンポーネントの選択] 画面で、構成保管サーバー機能がローカル ハード ドライブにインストールされることを確認します。次に、[次へ] をクリックします。
  7. 次のオプションのいずれかを選択します。
    • [新しい ISA Server エンタープライズの作成]。このオプションを選択した場合は、次の手順を実行します。
      1. [新しいエンタープライズの警告] ページで、組織内で別のエンタープライズを作成しないように推奨する理由を説明するメッセージを確認し、[次へ] をクリックします。
      2. [名前] に新しいエンタープライズの名前を入力し、[次へ] をクリックします。
      3. [エンタープライズ展開環境] ページで、次のいずれかを選択します (複数可)。
        • [単一のドメイン内、または信頼関係のあるドメイン内に展開しています]。このオプションは、すべてのアレイ メンバと構成保管サーバーを、同じドメインまたは信頼されているドメインに配置する場合に選択します。
        • [ワークグループ内、または信頼関係のないドメイン内に展開しています]。このオプションは、すべてのアレイ メンバと構成保管サーバーを、ワークグループまたは信頼されていないドメインに配置する場合に選択します。
        [次へ] をクリックします。
    • [エンタープライズ構成のレプリカの作成]。このオプションを選択した場合は、[次へ] をクリックします。次に、[構成保管サーバー] に、エンタープライズ内の別の構成保管サーバーの完全修飾ドメイン名 (FQDN) を入力します。
  8. 構成保管サーバーが Active Directory ドメイン コントローラ上で実行されている場合は、[サービス アカウント] ページで、ネットワーク サービス アカウントではなくユーザー アカウントを指定してください。
  9. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • 構成保管サーバーの Administrators グループに属するユーザーには、基本的にエンタープライズ管理者のアクセス許可があります。これらのユーザーは構成保管サーバー上のすべてのデータを直接変更できるためです。
  • インストールが完了するまでは、このコンピュータをインターネットに接続しないでください。
  • エンタープライズ構成のレプリカを作成する場合は、構成保管サーバーのセットアップを行うコンピュータが、最初に [構成保管サーバーのレプリケート] コンピュータ セットに属している必要があります。このコンピュータをそのコンピュータ セットに追加できるのは、アレイ管理者またはエンタープライズ管理者のみです。手順については、「コンピュータ セットを変更する」を参照してください。
  • [サービス アカウント] ページで指定するユーザー アカウントには、サービスとしてログオンするためのアクセス許可が必要です。
  • 手順 7 でワークグループ内に展開することを選択した場合、サーバー証明書 (.pfx ファイル) を指定する必要があります。証明書の作成手順については、「サーバー証明書を作成する」を参照してください。
  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。
  • ドメイン コントローラでの構成保管サーバーのインストールの詳細については、「ドメイン コントローラへの構成保管サーバーのインストール」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ISA Server サービスを実行するコンピュータをインストールする

ISA Server サービスを実行するコンピュータをインストールするには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISAAutorun.exe
    <パス> は、Microsoft Internet Security and Acceleration (ISA) Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。画面上に表示される指示に従います。
  3. [使用許諾契約] 画面で、[同意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [シナリオのセットアップ] 画面で、[ISA Server サービスのインストール] を選択し、[次へ] をクリックします。
  6. [コンポーネントの選択] 画面で、ISA Server 機能がローカル ハード ドライブにインストールされることを確認します。必要に応じて、以下のいずれかのオプションのインストールを選択します。
    • [ISA Server] をダブルクリックし、[詳細ログ]、[インストールしない] の順にクリックします。
    • [ファイアウォール クライアント インストール共有]、[インストールしない] の順にクリックします。
    • [メッセージ スクリーナ]、[インストールしない] の順にクリックします。
    次に、[次へ] をクリックします。
  7. [構成保管サーバー] に、このアレイの構成保管サーバーの完全修飾ドメイン名 (FQDN) を入力し、[次へ] をクリックします。
  8. 次のオプションのいずれかを選択します。
    • [新しいアレイの作成]。このオプションを選択した場合は、[次へ] をクリックします。次に、[新しいアレイの作成] ページで、新しいアレイの名前を入力します。
    • [既存のアレイに参加する]。このオプションを選択した場合は、[次へ] をクリックします。次に、[既存のアレイに参加します] ページで、参加するアレイを選択します。
  9. [構成保管サーバー認証オプション] ページで、次のいずれかのオプションを選択します。
    • [Windows 認証]。このオプションは、このコンピュータおよびそれが使用する構成保管サーバーを、同じドメインまたは信頼されているドメインに配置する場合に選択します。
    • [SSL 暗号化チャネル経由の認証]。このオプションは、このコンピュータおよびそれが使用する構成保管サーバーを、ワークグループまたは信頼されていないドメインに配置する場合に選択します。
    [次へ] をクリックします。
  10. 内部ネットワークが構成されている既存のアレイを参加させるよう選択した場合は、この手順を省略してください。
    新しいアレイを作成した場合は、[内部ネットワーク] ページで [追加] をクリックします。次に、次の操作 (複数可) を実行することで、このアレイの内部ネットワークに IP アドレスを追加します。
    • [選択] をクリックし、このアレイの内部ネットワークに含めるエンタープライズ ネットワークを追加します。[ネットワーク] で、含めるエンタープライズ ネットワークを選択し、[OK] をクリックします。
    • [アダプタの追加] をクリックし、このコンピュータ上のネットワーク アダプタに割り当てられた IP アドレスを含めます。該当するネットワーク アダプタを選択し、[OK] をクリックします。
    • [追加] をクリックして、IP アドレスの特定の範囲を追加します。[開始アドレス] に範囲の最初のアドレスを入力し、[終了アドレス] に範囲の最後のアドレスを入力します。[OK] をクリックします。
    [次へ] をクリックします。
  11. コンピュータが既存のアレイに参加する場合は、この手順を省略します。
    コンピュータが新しいアレイに参加する場合は、[エンタープライズ ポリシー] で、このアレイに適用するエンタープライズ ポリシーを選択し、[次へ] をクリックします。
  12. 古いバージョンのファイアウォール クライアントを許可する必要がある場合は、[ファイアウォール クライアントの接続設定] ページで、[古いバージョンのファイアウォール クライアント ソフトウェアを実行しているコンピュータが接続できるようにする] を選択します。[次へ] をクリックします。
  13. リモート インストールを実行している場合、または指定した内部ネットワーク内にドメイン コントローラがない場合は、メッセージを確認して [次へ] をクリックします。
  14. [サービスの警告] ページでメッセージを確認し、[次へ] をクリックします。
  15. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。新しいアレイを作成するには、エンタープライズ管理者である必要があります。
  • 手順 7 で指定した構成保管サーバーに ISA Server サービスがインストールされている場合は、ISA Server サービスをインストールするコンピュータをまず "管理された ISA Server コンピュータ" コンピュータ セットに追加する必要があります。
  • 手順 9 でワークグループ内に展開することを選択した場合、証明書を指定する必要があります。手順については、「ルート証明書を取得する」を参照してください。ISA Server サービスのインストールを実行するコンピュータに、この証明書をインストールします。
  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。
  • コンピュータが最近ワークグループに参加した場合は、そのコンピュータに新しい名前が割り当てられていることを確認してから、インストールを開始してください。
  • このコンピュータが参加しているアレイでネットワーク負荷分散 (NLB) を有効にする場合は、アレイ内トラフィックに専用のネットワーク アダプタを使用します。NLB には異なるネットワーク アダプタを使用する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ISA Server の管理をインストールする

ISA Server の管理をインストールするには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISAAutorun.exe
    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。画面上に表示される指示に従います。
  3. [使用許諾契約] 画面で、[同意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [シナリオのセットアップ] 画面で、[ISA Server 管理のインストール] を選択し、[次へ] をクリックします。
  6. [コンポーネントの選択] 画面で、ISA Server の管理の機能がローカル ハード ドライブにインストールされることを確認します。必要に応じて、以下のいずれかのオプションのインストールを選択します。
    • [ファイアウォール クライアント インストール共有]、[インストールしない] の順にクリックします。
    • [メッセージ スクリーナ]、[インストールしない] の順にクリックします。
    次に、[次へ] をクリックします。
  7. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール クライアント インストールの共有フォルダを作成する

ファイアウォール クライアント インストールの共有フォルダを作成するには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISAAutorun.exe
    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。画面上に表示される指示に従います。
  3. [使用許諾契約] 画面で、[同意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [コンポーネントの選択] 画面で、ISA Server 機能がローカル ハード ドライブにインストールされることを確認します。必要に応じて、以下のいずれかのオプションのインストールを選択します。
    • [ファイアウォール クライアント インストール共有]、[インストールしない] の順にクリックします。
    • [メッセージ スクリーナ]、[インストールしない] の順にクリックします。
    次に、[次へ] をクリックします。
  6. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • ファイアウォール クライアント ソフトウェアは、Microsoft Windows Server 2003、Windows 2000 Server、Windows NT Server 4.0、Windows XP、または Windows Millennium Edition を実行するクライアント コンピュータにインストールできます。Microsoft Internet Explorer 5 以降がインストールされている Windows 98 Second Edition を実行するコンピュータにも、ファイアウォール クライアント ソフトウェアをインストールできます。
  • ファイアウォール クライアント共有をインストールすると、"信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する" というシステム ポリシー ルールが有効になります。これは、内部ネットワーク上のクライアントに共有へのアクセスを許可するものです。クライアントが共有フォルダからソフトウェアをインストールできるようにするには、このルールを有効にする必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ISA Server のインストール オプションを変更する

ISA Server のインストール オプションを変更するには

  1. Windows Server 2003 を実行しているコンピュータで、[スタート] ボタン、[コントロール パネル] の順にクリックして、[プログラムの追加と削除] をダブルクリックします。
  2. [Microsoft ISA Server 2004] の [変更と削除] をクリックします。
  3. [ようこそ] ページで、[次へ] をクリックします。
  4. [プログラムのメンテナンス] ページで、[変更] を選択し、[次へ] をクリックします。
  5. [一覧にあるアイコンをクリックして、機能をインストールする方法を表示、または変更してください] で、次のうちから必要なものを選択します (複数可)。
    • [ISA Server]。このオプションを選択すると、ISA Server のすべてのサービスがインストールされます。
    • [ISA Server の管理]。このオプションを選択すると、ISA Server の一元管理に使用する管理コンソールがインストールされます。
    • [ファイアウォール クライアント インストール共有]。このオプションを選択すると、ファイアウォール クライアント ソフトウェアのインストールに必要なすべてのファイルを保持するフォルダが、ISA Server コンピュータに作成されます。このフォルダは Everyone グループで共有されるため、すべてのユーザーがアクセスしてソフトウェアをインストールできます。
    • [メッセージ スクリーナ]。このオプションを選択すると、メッセージ スクリーナがインストールされます。このコンポーネントは、通常は ISA Server コンピュータとして使用されていない SMTP サーバーにインストールする必要があります。
    • [構成保管サーバー]。このオプションを選択すると、構成保管サーバーがインストールされます。このとき、エンタープライズ内の他の構成保管サーバーから情報がレプリケートされます。
    [次へ] をクリックします。
  6. 次のオプションのいずれかを選択します。
    • [新しい ISA Server エンタープライズの作成]。この場合は、次の手順を実行します。
      1. [新しいエンタープライズの警告] ページで、組織内で別のエンタープライズを作成しないように推奨する理由を説明するメッセージを確認し、[次へ] をクリックします。
      2. [名前] に新しいエンタープライズの名前を入力し、[次へ] をクリックします。
      3. [エンタープライズ展開環境] ページで、次のいずれかを選択します。
        • [単一のドメイン内、または信頼関係のあるドメイン内に展開しています]。このオプションは、すべてのアレイ メンバと構成保管サーバーを、同じドメインまたは信頼されたドメインに配置する場合に選択します。
        • [ワークグループ内、または信頼関係のないドメイン内に展開しています]。このオプションは、すべてのアレイ メンバと構成保管サーバーを、ワークグループまたは信頼されていないドメインに配置する場合に選択します。
        [次へ] をクリックします。
    • [エンタープライズ構成のレプリカの作成]。このオプションを選択した場合は、[次へ] をクリックします。次に、[構成保管サーバー] に、エンタープライズ内の別の構成保管サーバーの完全修飾ドメイン名を入力します。
  7. [インストール] をクリックして、インストールを開始します。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • ISA Server の管理のみをインストールした場合は、別の ISA Server コンピュータをリモート管理できます。ISA Server は、ローカル コンピュータ上では実行されません。
  • ファイアウォール クライアント共有をインストールすると、"信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する" というシステム ポリシー ルールが有効になります。これは、内部ネットワーク上のクライアントに共有へのアクセスを許可するものです。クライアントが共有フォルダからソフトウェアをインストールできるようにするには、このルールを有効にする必要があります。
  • このプロセスの中で構成保管サーバーを削除する場合は、このアレイが接続可能な別の構成保管サーバーを指定する必要があります。
  • セキュリティ上の理由から、ISA Server サービスを実行しているコンピュータと同じコンピュータに構成保管サーバーをインストールしないことをお勧めします。代わりに、ISA Server によって保護されているコンピュータに構成保管サーバーをインストールしてください。このようにすれば、セキュリティに関する構成情報の保護の強化に役立ちます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ISA Server の無人セットアップを実行する

ISA Server の無人セットアップを実行するには

  1. いずれかのサンプルの応答ファイルを変更します。サンプルの応答ファイルとして、UninstallServer.ini、InstallJoinedServer.ini、InstallNewArrayAndServer.ini、InstallNewManagementServer.ini、および InstallStandaloneServer.ini が CD の FPC フォルダに収録されています。
  2. コマンド プロンプトで、次のように入力します。

    PathToISASetup\Setup.exe /V" /q[b|n] FULLPATHANSWERFILE=\"PathToINIFile\INI_filename\""

パラメータ

PathToISASetup
ISA Server 2004 のインストール ファイルへのパスです。このパスは、ISA Server CD-ROM のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
INI_filename
応答ファイルの名前です。
/Q [b|n]
無人セットアップを実行します。b を指定すると、進捗状況バーにセットアップ プロセスが示されます。n を指定した場合、ダイアログ ボックスは表示されません。セットアップ ログ ファイルにエラー メッセージが保存されます。
PathToINIFile
無人インストール情報が格納されているフォルダへのパスです。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • たとえば、CD\FPC\setup.exe /v" /qn FULLPATHANSWERFILE=\"C:\InstallStandaloneServer.ini\"" と指定すると、ISA Server サービスおよび構成保管サーバーを実行するコンピュータの無人インストールが、C:\ にある InstallStandaloneServer.ini ファイルを使用して実行されます。
  • 無人モードでインストールするコンポーネントを変更するには、次のように入力します。
     PathToISASetup\Setup.exe ADDLOCAL=NewFeature または REMOVE=FeatureToRemove
  • 無人モードでインストールを修復するには、次のように入力します。
    PathToISASetup\Setup.exe REINSTALL=ALL
  • ターミナル サービスをアプリケーション サーバー モードで使用してリモートで ISA Server をインストールすると、多くの監視機能で必要とされる Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) コンポーネントが正しくインストールされません。ターミナル サービスを管理モードで使用して、MSDE 2000 を正しくインストールしてください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


構成保管サーバーへの接続をチェックする

構成保管サーバーへの接続をチェックするには

  1. Microsoft Internet Security and Acceleration Server 2004 CD の \FPC\Program Files\Microsoft ISA Server\adam フォルダにある AdamSetup.exe を実行します。
  2. %windir%\ADAM フォルダにインストールされている Ldp.exe を実行します。
  3. [Connection] メニューの [Connect] をクリックします。
  4. [Server] に、構成保管サーバーの完全修飾ドメイン名 (FQDN) を入力します。
  5. [Port] に、「2172」と入力します。
  6. [SSL] チェック ボックスをオンにします。

注

  • アレイ メンバをインストールする前に、構成保管サーバーへの接続を確認することをお勧めします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ワークグループ環境にインストールする

Microsoft Internet Security and Acceleration (ISA) Server 2004 をワークグループ環境にインストールする場合は、構成保管サーバーとアレイ メンバの間の通信を認証するために使用する適切な証明書を作成する必要があります。ここでは、証明書を取得してインストールする手順について説明します。

  • 構成保管サーバーで証明書を指定する
  • 証明機関をインストールする
  • サーバー証明書を作成する
  • サーバー証明書をエクスポートする
  • サーバー証明書を取得する
  • ルート証明書を取得する

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


構成保管サーバーで証明書を指定する

構成保管サーバーで証明書を指定するには

  1. Windows Server 2003 を実行しているコンピュータで、[スタート] ボタン、[コントロール パネル] の順にクリックし、[プログラムの追加と削除] をダブルクリックします。
  2. [Microsoft ISA Server 2004] の [変更と削除] をクリックします。
  3. [ようこそ] ページで、[次へ] をクリックします。
  4. [プログラムのメンテナンス] ページで、[修復] をクリックします。
  5. [エンタープライズ展開環境] ページで、[ワークグループ内、または信頼関係のないドメイン内に展開しています] を選択します。次の操作を行います。
    • [サーバー証明書] に、証明書のパスとファイル名を入力します。
    • [証明書のパスワード] に、証明書ファイルのパスワードを入力します。
    [次へ] をクリックします。
  6. [インストール] をクリックします。

注

  • ISA Server を削除する前に、ISA Server の管理および ISA Server パフォーマンス モニタを必ず閉じてください。
  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • この手順は、構成保管サーバーまたは ISA Server サービスを実行しているコンピュータが、信頼されていないドメインまたはワークグループに参加している場合に実行します。
  • 記憶域が壊れている場合は、この手順内で、アレイ メンバシップおよび内部ネットワーク構成も指定する必要があります。
  • 証明書をインストールすると、構成保管サーバーの Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys フォルダに、秘密キー コンテナが作成されます。ISASTGCTRL サービスを実行しているアカウント (既定では、ネットワーク サービス アカウント) には、秘密キー コンテナへの適切なアクセス許可が必要です。
  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


証明機関をインストールする

証明機関をインストールするには

  1. [スタート] ボタン、[コントロール パネル]、[プログラムの追加と削除]、[Windows コンポーネントの追加と削除]、[証明機関] コンポーネントの順にクリックします。
  2. ウィザードの [CA の種類] ページで、[スタンドアロンのルート CA] を選択します。それ以外のすべての既定のオプションはそのままにして、[次へ] をクリックします。
  3. CA の名前を入力します。[次へ] をクリックします。
  4. [証明書データベースの設定] ページで、[次へ] をクリックします。
  5. [完了] をクリックします。
  6. 次の操作を実行して、証明書の自動登録を有効にします。
    1. [スタート] ボタン、[プログラム]、[管理ツール]、[証明機関] の順にクリックします。
    2. [証明機関] をクリックし、証明機関名を右クリックして [プロパティ] をクリックします。次に、[ポリシー モジュール] タブで、[プロパティ] をクリックします。
    3. オプション [証明書テンプレートに操作が設定されている場合はそれに従い、設定されていない場合は自動的に証明書を発行する] を選択します。

注

  • ここでは、Microsoft 証明機関を使用して証明書をインストールする方法を説明します。ただし、証明書は任意の証明機関を使用して作成できます。
  • 証明機関をインストールする前に、IIS をインストールすることをお勧めします。
  • Internet Security and Acceleration (ISA) Server 2004 サービスを実行している複数のコンピュータが、異なるネットワーク アダプタを使用して構成保管サーバーに接続する場合は、複数の DNS 名にマップされた単一の証明書を取得する必要があります。詳細については、証明書の詳細な登録と管理についてのページ (英語情報) (http://www.microsoft.com/) を参照してください。
  • 証明書の自動登録が有効でない場合は、証明機関のコンピュータの管理者が明示的にすべての証明書要求を発行する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー証明書を作成する

サーバー証明書を作成するには

  1. Windows Server 2003 を実行する、証明機関 (CA) のコンピュータへのアクセスが可能なコンピュータ上で、Web ブラウザを使用して Web ページ http://<証明機関コンピュータ名>/certsrv を開きます。
  2. [証明書を要求する] をクリックします。
  3. [証明書の要求の詳細設定] をクリックします。
  4. [この CA への要求を作成し送信する] をクリックします。
  5. [名前] に、構成保管サーバーの名前を入力します。これは、ISA Server サービスを実行し、このサーバーに接続しているコンピュータが、このサーバーを認識しているためです。
  6. [必要な証明書の種類] で、[サーバー認証証明書] を選択します。
  7. [キーのオプション] で、[エクスポート可能なキーとしてマークする] を選択します。これらのキーは、証明書に組み込まれるので、エクスポート可能でなければなりません。
  8. [ローカル コンピュータの証明書ストアに証明書を格納する] を選択します。
  9. [送信] をクリックします。Web サイトがサーバー証明書を要求していることを示すメッセージが表示される場合があります。[はい] をクリックします。
  10. 証明機関のサーバーが証明書の要求を自動的に発行するよう構成されていない場合は、要求の ID 番号が表示されます。要求を発行するには、次の操作を行います。
    1. 証明機関のコンピュータで、[スタート] ボタン、[プログラム]、[管理ツール]、[証明機関] の順にクリックします。
    2. [保留中の要求]、要求 ID、[発行] の順にクリックします。
    3. 証明書を要求したコンピュータで、Web ページ http://<証明機関コンピュータ名>/certsrv にアクセスします。
    4. [保留中の証明書の要求の状態] をクリックします。
    5. 適切な証明書の要求をクリックします。
  11. [この証明書のインストール] をクリックします。Web サイトがサーバー証明書を要求していることを示すメッセージが表示されたら、[はい] をクリックします。この操作によって、ローカル コンピュータの証明書ストアに証明書がインストールされます。
  12. 証明書を使用するには、最初に証明書を .pfx ファイルにエクスポートする必要があります。手順については、「サーバー証明書をエクスポートする」を参照してください。

注

  • 証明書を作成する前に、「証明機関をインストールする」の説明に従って、証明機関のサーバーをインストールする必要があります。
  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。
  • これらの手順は、Windows Server 2003 を実行しているコンピュータにインストールされた証明機関に適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー証明書をエクスポートする

サーバー証明書をエクスポートするには

  1. [スタート] ボタン、[ファイル名を指定して実行] の順にクリックし、「mmc.exe」と入力して [OK] をクリックします。
  2. [ファイル] メニューの [スナップインの追加と削除]、[追加] の順にクリックします。
  3. [証明書]、[追加] の順にクリックします。
  4. [コンピュータ アカウント]、[次へ] の順にクリックします。
  5. [ローカル コンピュータ]、[完了] の順にクリックします。
  6. [閉じる]、[OK] の順にクリックします。
  7. [コンソール ルート]、[証明書]、[個人]、[証明書] の順にクリックします。
  8. 該当する証明書の名前を右クリックし、[すべてのタスク] をポイントし、[エクスポート] をクリックします。
  9. [次へ] をクリックします。
  10. [秘密キーのエクスポート] ページで、[はい、秘密キーをエクスポートします] をクリックします。
  11. [エクスポート ファイルの形式] ページで、[次へ] をクリックします。
  12. [パスワード] ページで、パスワードを入力します。ISA Server をインストールするときに、このパスワードを使用します。[次へ] をクリックします。
  13. [エクスポートするファイル] ページで、[ファイル名] に証明書を保存するファイル名を入力します。[次へ]、[完了] の順にクリックします。

注

  • 証明書を作成する前に、「証明機関をインストールする」の説明に従って、証明機関をインストールする必要があります。
  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー証明書を取得する

サーバー証明書を取得するには

  1. 構成保管サーバーで、[スタート] ボタン、[ファイル名を指定して実行] の順にクリックし、「MMC.exe」と入力して、[OK] をクリックします。
  2. [ファイル] メニューの [スナップインの追加と削除] をクリックします。
  3. [追加] をクリックします。
  4. [利用できるスタンドアロン スナップイン] で、[証明書]、[追加] の順にクリックします。
  5. [サービス アカウント] を選択し、[次へ] をクリックします。
  6. [ローカル コンピュータ] を選択し、[次へ] をクリックします。
  7. [サービス アカウント] で、[ISASTGCTRL] を選択し、[完了] をクリックします。
  8. [閉じる]、[OK] の順にクリックします。
  9. MMC コンソールで、[証明書] をダブルクリックします。
  10. [ADAM_ISASTGCTRL] を右クリックし、[すべてのタスク]、[インポート] の順にクリックします。
  11. ウィザードで、サーバー証明書 (.pfx ファイル) を指定します。

注

  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ルート証明書を取得する

ルート証明書を取得するには

  1. Windows Server 2003 を実行する、証明機関 (CA) コンピュータへのアクセスが可能なコンピュータ上で、Web ブラウザを使用して Web ページ \\<証明機関コンピュータ名>\certsrv を開きます。
  2. [CA 証明書、証明書チェーン、または CRL のダウンロード] をクリックします。
  3. [CA 証明書のダウンロード] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー ソフトウェアをアンインストールする

サーバー ソフトウェアをアンインストールするには

  1. [スタート] ボタン、[コントロール パネル] の順にクリックし、[プログラムの追加と削除] をダブルクリックします。
  2. [Microsoft ISA Server] の [変更と削除] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • Web サイトから ISA Server インストール ファイルをダウンロードした場合、または ISA Server CD のコンテンツをコピーした場合は、コマンド プロンプトで ISAautorun.exe ファイルを実行して、ISA Server のインストールを開始します。次に、[ISA Server 2004 のインストール] をクリックします。
  • ISA Server を削除する前に、ISA Server の管理および ISA Server パフォーマンス モニタを必ず閉じてください。
  • ISA Server サービスをアンインストールする際に、アレイ メンバで使用されている構成保管サーバーに接続できない場合、保管されている構成情報は削除されません。
  • 最後のアレイ メンバをアンインストールすると、アレイが削除されます。
  • アレイ メンバは、一度に 1 つずつアンインストールしてください。
  • ISA Server を構成すると、ルーティングとリモート アクセスの設定の一部が変更される場合があります。ISA Server をアンインストールすると、ルーティングとリモート アクセス構成は次のように再構成されます。
    • ルーティングとリモート アクセス サービスが無効になります。
    • ISA Server によって構成されたリモート アクセス ポリシーは削除されます。
    • ルーティングとリモート アクセスは既定の設定にリセットされ、無効になります。ルーティングとリモート アクセスを構成するには、ルーティングとリモート アクセス スナップインからアクセスできる [ルーティングとリモート アクセスの構成と有効化] ウィザードを使用します。
  • 統合 NLB モードを構成すると、Windows Server 2003 のネットワーク負荷分散 (NLB) 設定が変更されます。ISA Server をアンインストールすると、NLB 構成は次のように再構成されます。
    • ネットワーク アダプタは、引き続き NLB にバインドされます。
    • ISA Server では NLB ネットワーク サービスは、ISA Server でインストールした場合でも、アンインストールされません。
  • ISA Server をアンインストールしても、一部のファイルは、コンピュータから完全には削除されません。次の表は、残るファイルとその場所の一覧です。
フォルダ | ファイル名
%windir% | IsUninst.exe
%windir%\MUI | muisetup.exe
%windir%\System32 | DBmsLPCn.dll、PJLMON.DLL、SET14.tmp、cliconfg.rll、dbmsgnet.dll、dbmsqlgc.dll、dbmsvinn.dll、dbnetlib.dll、ds16gt.dll、mscpxl32.dll、msdart.dll、msorc32r.dll、odbc32.dll、odbc32gt.dll、odbcad32.exe、odbctrac.dll、simpdata.tlb、sqlsrv32.rll、sqlunirl.dll

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server 2000 構成をアップグレードする

ISA Server 2000 構成をアップグレードするには

  1. コマンド プロンプトで、次のように入力します。

    <パス>\ISA2KExport.exe

    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. ISA Server 移行ツールの [ようこそ] ページで、[次へ] をクリックします。
  3. [ファイルの場所] ページで、ISA Server 2000 の構成情報を保存するために作成する .xml ファイルの名前と場所を入力します。次に、[次へ] をクリックします。
  4. [移行ファイルの作成] ページで、[作成] をクリックします。ステータス バーに移行処理の完了が表示されたら、[次へ] をクリックします。
  5. [完了] をクリックして、ウィザードを閉じます。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • ISA Server 2004 のインポート機能を使用すると、生成された .xml ファイルをインポートできます。手順については、「構成をインポートする」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


インストールのトラブルシューティング

インストール時の問題

ISA Server サービスをインストールしようとしていますが、該当する構成保管サーバーに接続できません。

原因 : 構成保管サーバーにアクセスできない可能性があります。

解決方法 : 接続を確認します。手順については、「構成保管サーバーへの接続をチェックする」を参照してください。

インストール時に、"内部ネットワークは、ISA Server コンピュータの IP アドレスを少なくとも 1 つ含まなければなりません" というエラー メッセージが表示されます。

原因 : ISA Server のインストールでは、名前解決を使用して、内部ネットワークの構成に必要なローカル IP アドレスが特定されます。しかし、HOSTS ファイル内の行にも、この情報が含まれています。

解決方法 : %windir%\system32\drivers\etc\hosts フォルダにある HOSTS ファイルを確認します。IP ISA_Server_Name 行を削除します。

インストールが正常に終了しませんでした。

原因 : さまざまな理由により、インストールが正常に終了しない可能性があります。

解決方法 : セットアップ ログを参照し、考えられる原因を確認してください。ISA Server のインストールを開始するたびに、3 つのセットアップ ログが作成されます。これらのファイルは、%windir%\%temp% フォルダ内に isa*.log という名前で作成されます。

インストール後の問題

インストール後、Microsoft ファイアウォール サービスを開始できません。

原因 : このエラーは、ISA Server が ISA Server コンピュータの名前を解決できない場合に発生します。次のエラー メッセージが表示されます。

アプリケーション フィルタ Web プロキシ フィルタ ({4CB7513E-220E-4C20-815A-B67BAA295FF4}) を読み込めません。
FilterInit がコード 0x80072afc で失敗しました。
このアプリケーション フィルタをもう一度アクティブにするには、ファイアウォール サービスを停止して再起動してください。

解決方法 : ISA Server コンピュータの名前を解決できるように DNS サーバーを構成します。

ワークグループおよびドメイン メンバシップの問題

ISA Server サービスを実行するコンピュータはワークグループに属しています。ところが、接続先の構成保管サーバーに証明書がインストールされていません。

原因 : ISA Server サービスを実行するコンピュータがワークグループまたは信頼されていないドメインに属する場合は、構成保管サーバーで証明書認証を有効にする必要があります。

解決方法 : 「構成保管サーバーで証明書を指定する」の説明に従って修復を実行します。
または、ISA Server のダウンロード センター (英語情報) (http://www.microsoft.com/) で入手できる ISACertTool を使用してください。

ISA Server サービスを実行するコンピュータのドメインまたはワークグループ メンバシップを変更したら、このコンピュータで ISA Server が機能しなくなります。

原因 : ISA Server のインストール後に、ドメイン メンバシップを変更したり、ワークグループに参加したりすることはできません。

解決方法 : ISA Server のインストールを修復します。


管理とセキュリティ

Microsoft Internet Security and Acceleration (ISA) Server 2004 はネットワークのエッジに展開できるため、ISA Server を実行しているコンピュータを完全にセキュリティで保護することが重要になります。

ISA Server は、機微な役割上、アクセス許可の割り当てや管理は慎重に行う必要があります。定期的に構成のバックアップを実行してください。複数の ISA Server コンピュータを展開する場合は、より多くの構成プロセスを自動的に実行できるよう、構成をエクスポートすることを検討してください。

ここでは、セキュリティと管理に関する考慮事項を示すと共に、ISA Server をセキュリティで保護し、管理する手順について説明します。

  • 管理とセキュリティ : 概念
  • 管理とセキュリティ : 操作方法


管理とセキュリティ : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の管理およびセキュリティ保護について基本的な情報を提供します。

  • セキュリティ
  • ISA Server コンソール
  • エンタープライズ管理
  • 管理ロール
  • リモート管理
  • 構成のエクスポートとバックアップ
  • 構成のインポートと復元
  • エラー報告とフィードバック


セキュリティ

ここでは、セキュリティに関する考慮事項について説明します。

  • セキュリティのヒント集
  • エンタープライズ管理のセキュリティのヒント集
  • ロックダウン モード

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


セキュリティのヒント集

多くの場合、Microsoft Internet Security and Acceleration (ISA) Server 2004 を実行しているコンピュータは外部ネットワークへの主インターフェイスとなるので、セキュリティで保護することをお勧めします。このヘルプ ファイルに記載された情報の他に、ISA Server の Web サイトでセキュリティのヒントに関するドキュメント (http://www.microsoft.com/) が定期的に新しい情報で更新されているので参照してください。

コンピュータのセキュリティ保護

ISA Server コンピュータをセキュリティで保護するには、次を実行します。

  • 次の項目について、重要な更新をインストールします。
    • オペレーティング システム
    • ISA Server (ISA Server の Web サイト (http://www.microsoft.com/) で最新の更新を入手できます)
    • Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) および OWC を含む、ISA Server でインストールする追加のコンポーネント
  • MBSA は、ISA Server を実行しているコンピュータ上で実行することを強くお勧めします。MBSA を実行すると、MSDE 2000 (ISA Server でインストールするオプションのコンポーネント) ではローカル システム アカウントを使用するよう警告されます。ISA Server は MSDE 2000 ローカル アクセスのみを許可するので、このメッセージは無視してかまいません。他のネットワーク サービスへのアクセスは許可されません。
  • ISA Server コンピュータは必ず、物理的に安全な場所に格納します。サーバーへの物理アクセスは、セキュリティ上の大きなリスクです。侵入者によるサーバーへの物理アクセスによって、許可されていないアクセスや変更、およびセキュリティをかいくぐることを目的としたハードウェアやソフトウェアのインストールが行われるおそれがあります。セキュリティで保護された環境を確保するには、ISA Server コンピュータへの物理アクセスを制限する必要があります。
  • ISA Server コンピュータが危害を受けたと判断できる場合には、ISA Server を再インストールします。
  • ユーザーが悪意のあるコードを知らずに実行した場合、その悪意のあるコードが、変更されたバージョンのシステム DLL を含む追加ファイルと共にパッケージされていると、その独自のバージョンの DLL が読み込まれる可能性があります。そのため、コードによる被害が拡大するおそれがあります。[MSS: Enable Safe DLL search mode (recommended)] の値を [有効] に構成します。このレジストリ キーの詳細については、追加のレジストリ設定についてのページ (英語情報) (http://www.microsoft.com/) を参照してください。
  • ISA Server コンピュータでは不要なアプリケーションやサービスを実行しないようにします。

ネットワーク環境のセキュリティ保護

ネットワーク環境をセキュリティで保護するには、次を実行します。

  • レイヤ 2 の IDS や静的 MAC などのセキュリティ ソリューションまたはポートの関連付けをスイッチ上に展開して、レイヤ 2 アタックから保護します。
  • 可能な場合、ネットワーク内にインターネット プロトコル セキュリティ (IPsec) を構成します。
  • Windows アドレス解決プロトコル (ARP) キャッシュへの man-in-the-middle 攻撃から保護するために、ISA Server コンピュータの前にルーターを配置することをお勧めします。これは、ルーター経由で ARP パケットをルーティングできないからです。ISA Server が物理ネットワークを信頼されていないネットワークと共有する場合、ISA Server が静的 ARP を実行するよう構成することをお勧めします。セキュリティを最適化するために、デフォルト ゲートウェイおよび同じ物理ネットワーク上の他のホストに静的 ARP エントリを追加することをお勧めします。

構成のセキュリティ保護

構成をセキュリティで保護するには、次を実行します。

  • "最小限の特権" の原則を適用し、特定の作業の実行に必要な最小限の特権のみをユーザーに与えます。このようにすることで、ユーザー アカウントが漏えいしても、そのユーザーが保有している特権が限られているので、影響は最小限に抑えられます。管理者は、通常の非管理作業を実行する場合にはアクセス許可が制限されたアカウントを使用し、広範なアクセス許可を持つアカウントを使用するのは特定の管理作業を実行する場合のみにする必要があります。ISA Server の管理ロールを割り当てる際には、この点を考慮します。詳細については、「管理ロール」を参照してください。
  • ISA Server コンピュータにログオンするアクセス許可が必要なユーザーを慎重に決定します。その後、ログオンの権利を適切に構成します。詳細については、Windows ヘルプを参照してください。
  • "攻撃対象の削減" の原則を適用し、現在の作業に必要でないサービスや機能を無効にします。使用しない ISA Server の機能は無効にしてください。ネットワークの要件に適したシステム ポリシーを構成して、不要な機能を無効にします。システム ポリシーの詳細については、「システム ポリシーの概要」を参照してください。
  • 資格情報の提示を要求された場合は、強力なパスワードを使用します。許可されていないアクセスを効果的に防御できるものが、強力なパスワードと見なされます。強力なパスワードには、ユーザーのアカウント名の全部または一部を使用しません。大文字、小文字、0 ～ 9 の数字、およびキーボードで使用されている記号 (!、@、# など) の 4 種類の文字の中から、少なくとも 3 種類を使用します。
  • ファイアウォール チェーンを構成する場合、IPsec を使用して ISA Server コンピュータと上位サーバー間の通信チャネルをセキュリティで保護することをお勧めします。
  • 構成変更を適用したら、それらをテストします。たとえば、ポート スキャンを使用して、適用可能なポートのみが実際に開いているかどうかを確認します。

RADIUS サーバー構成に関する推奨事項

RADIUS サーバーは、次のように構成することをお勧めします。

  • RADIUS サーバーを認証に使用している場合は、サーバーの状態を監視する接続検証方法を作成します。RADIUS サーバーが機能していないときに適切な操作が行われるように警告を構成します。接続検証方法の詳細については、「接続」を参照してください。
  • 信頼されていないユーザーには、RADIUS サーバーと ISA Server 間のネットワークへのアクセス権を与えないようにします。信頼されていないユーザーにアクセス権が必要な場合は、そのネットワークで IPsec を使用してください。

ログと警告に関する推奨事項

ログと警告は、次のように構成することをお勧めします。

  • 定期的にログを注意深く確認して、ネットワーク リソースに対する疑わしいアクセスや使用がないかどうかを調べます。
  • 管理者に通知を送信するように警告を構成します。迅速な応答手順を実装してください。
  • ログのメンテナンス機能を使用して、ログ情報が保存されているディスクがいっぱいにならないようにします。ログのメンテナンス機能の詳細については、「ログの保存形式」を参照してください。
  • ISA Server サービスを停止するように [ログの保存の制限] 警告定義を構成します。このようにすることで、アクセスを適切に監査できる場合にのみアクセスを許可します。警告の詳細については、「警告」を参照してください。
  • 何らかの理由でログ情報を保存できない場合は、ISA Server コンピュータをロックダウンします。そのためには、Microsoft ファイアウォール サービスを停止するログ エラー イベントの警告定義を構成します。手順については、「警告定義を追加する」を参照してください。
  • 実行ファイルまたはスクリプトを実行するように警告を構成する場合は、実行ファイルまたはスクリプトが信頼されていて、適切なアクセス許可が設定されていることを確認してください。
  • 最大限のセキュリティを実現するために、別個の NTFS ディスク パーティションにログを保存します。ISA Server コンピュータの管理者のみがログにアクセスできるようにしてください。
  • SQL データベースにログ情報を保存する場合は、SQL Server 認証ではなく Windows 認証を使用します。
  • リモート データベースにログ情報を記録する場合は、リモート データベースにコピーされるログ情報の暗号化とデータ署名を構成します。
  • フラッドや混雑などのネットワークに関する問題は、ISA Server コンピュータとログ サーバー間の接続障害を引き起こす可能性があります。このような接続に関する問題は、ISA Server がロックダウン モードになる原因となります。このような問題を回避するには、次を実行します。
    • ISA Server コンピュータとログ サーバー間にプライベート ネットワークを使用します。
    • ログ サーバーが信頼されていないソースからトラフィックを受信しないように保護します。
    • ISA Server コンピュータとログ サーバー間の通信に対して IPsec を構成します。

その他の推奨事項

ISA Server コンピュータで実行しているオペレーティング システムのセキュリティに関する推奨事項に従う必要があります。次のドキュメントに記載されているセキュリティの運用方法を参照し、適用してください。

  • Windows Server 2003 については、『Windows Server 2003 セキュリティ ガイド』 (http://www.microsoft.com/) を参照してください。
  • Windows 2000 Server については、『Windows 2000 Server セキュリティ運用ガイド』 (http://www.microsoft.com/) を参照してください。
  • エンタープライズ展開におけるセキュリティの詳細については、「エンタープライズ管理のセキュリティのヒント集」に説明されているガイドラインを参照してください。
  • 仮想プライベート ネットワーク (VPN) 展開については、「VPN のセキュリティに関する推奨事項」を参照してください。

注

  • MSDE 2000 ログを必要としない場合は、詳細ログ機能をアンインストールしてください。


エンタープライズ管理のセキュリティのヒント集

Microsoft Internet Security and Acceleration (ISA) Server 2004 には複数層アーキテクチャが導入されており、構成情報が構成保管サーバーに保存されます。アレイ メンバは、構成保管サーバーと通信して、最新の構成情報を入手します。また、アレイ メンバも相互に通信します。この展開モデルをセキュリティで保護するには、ここで一覧に示すセキュリティのヒント集に従ってください。また、ISA Server サービスを実行するコンピュータをセキュリティで保護するには、「セキュリティのヒント集」の一覧に示すガイドラインに従ってください。

構成保管サーバーのセキュリティによる保護

構成保管サーバーをセキュリティで保護するには、次のガイドラインに従ってください。

  • 構成保管サーバーを専用コンピュータ、つまり他のタスクには使用されないコンピュータにインストールすることをお勧めします。
  • 構成保管サーバーのセキュリティを確保します。コンピュータが物理的に安全であることを確認します。
  • 管理者のロールを作成した後は、構成保管サーバー上で作業を実行しないようにします。構成保管サーバーに対する変更は、ISA Server アレイ コンピュータ上またはリモート管理コンピュータ上でエンタープライズ管理者の資格情報を使用して行ってください。
  • 構成保管サーバーの Administrators グループに属するユーザーには、基本的にエンタープライズ管理者のアクセス許可があります。これらのユーザーは構成保管サーバー上のすべてのデータを直接変更できるためです。
  • 構成保管サーバーをネットワークのエッジに配置しないことをお勧めします。代わりに、ISA Server サービスを実行するコンピュータの背後に配置すると、アタックの可能性から保護できます。
  • 構成保管サーバーに対するアクセス許可の変更を監査します。手順については、「構成保管サーバーのアクセス許可設定の監査を有効にする」を参照してください。

アレイ内通信のセキュリティによる保護

アレイ内通信をセキュリティで保護するには、次のガイドラインに従ってください。

  • インストール時に、各アレイ メンバに秘密キーと公開キーのペアを作成します。これらのキーは、アレイ メンバ間での機密データの転送に使用されます。これらのキーが漏えいしたと思われる場合は、ISA Server をアンインストールしてからインストールして、新しいキーのペアを作成します。
  • ネットワークでは、アレイ内通信専用のネットワーク アダプタを使用することをお勧めします。このネットワークには、すべてのアレイ メンバのアレイ内アドレスを含める必要があります。詳細については、「アレイ内通信の構成とセキュリティ保護」を参照してください。

ネットワーク負荷分散

ネットワーク負荷分散 (NLB) については、次のガイドラインに従ってください。

  • NLB を有効にする場合は、Windows 2000 および Windows Server 2003 でのネットワーク負荷分散のセキュリティに関するヒント集 (英語情報) (http://www.microsoft.com/) で説明されているセキュリティのヒント集に従ってください。
  • NLB を有効にする場合は、NLB が有効なアレイの前面にルーターを配置します。Raw IP トラフィックをブロックするようにルーターを構成します。そうしないと、すべてのアレイ メンバでトラフィックが同時に処理されます。
  • NLB が有効な場合、NLB ではイーサネット プロトコル通信のみを使用してアレイ メンバが同期されます。この低レベルのトラフィックは、ISA Server によって保護されません。このトラフィックがセキュリティで保護されるようにするには、インターネットと NLB が有効なアレイとの間にレイヤ 3 ルーターを配置することをお勧めします。このレイヤ 3 ルーターでは、低レベルのイーサネット プロトコルの通過が許可されないので、NLB の動作を妨害する、インターネットからの悪意のある可能性があるイーサネット トラフィックからアレイを保護できます。

Cache Array Routing Protocol

CARP (Cache Array Routing Protocol) を有効にする場合は、次のガイドラインに従ってください。

  • CARP 通信のための専用ネットワークを使用します。このネットワーク用のインターネット プロトコル セキュリティ (IPsec) を構成します。
  • CARP が有効なネットワークには、アレイ メンバからのみアクセスできるようにする必要があります。


ロックダウン モード

ファイアウォールの重要な機能の 1 つにアタックへの対応機能があります。アタックが発生した場合、防御の第一線として、インターネットから切断して悪意のある部外者がアクセスしたネットワークを分離する方法があります。ただし、この方法はお勧めできません。アタックには対処できるかもしれませんが、通常のネットワーク接続機能をできるだけ早く再開し、アタックがどこから行われたのかを特定する必要があります。

Microsoft Internet Security and Acceleration (ISA) Server 2004 で導入されたロックダウン機能は、接続した状態を維持しながら分離するというニーズに応えます。Microsoft ファイアウォール サービスをシャットダウンするような状況が発生すると、ISA Server はロックダウン モードに入ります。これは、次の場合に起こります。

  • ファイアウォール サービスのシャットダウンをトリガするイベントが発生した場合。警告定義を構成している場合は、どのイベントによってファイアウォール サービスをシャットダウンするかを決めます。基本的には、ISA Server がロックダウン モードに入るタイミングを構成します。
  • ファイアウォール サービスが手動でシャットダウンされた場合。悪意のあるアタックに気が付いた場合、ファイアウォール サービスをシャットダウンし、ISA Server コンピュータおよびネットワークをアタックに対応するように構成することができます。

影響のある機能

ロックダウン モードになると、以下の機能が適用されます。

  • パケット フィルタ ドライバ (fweng) がファイアウォール ポリシーに適用されます。
  • 次のシステム ポリシー ルールは、引き続き適用可能です。
    • ISA Server から選択したサーバーまで、ICMP 要求を許可する
    • MMC を使用した、選択されたコンピュータからのリモート管理を許可する
    • ターミナル サーバーを使用した、選択されたコンピュータからのリモート管理を許可する
  • ローカル ホスト ネットワークからすべてのネットワークへの発信方向のトラフィックは許可されます。発信方向の接続が確立された場合、接続は着信方向のトラフィックへの応答に使用されます。たとえば、DNS クエリは、同じ接続上で DNS 応答を受信することができます。
  • トラフィックを明示的に許可する前述のシステム ポリシー ルールが有効でない限り、着信方向のトラフィックは許可されません。ただし、既定のシステム ポリシー ルールにより許可される DHCP トラフィックは例外です。すべてのネットワークからローカル ホスト ネットワークへのポート 68 上の UDP 送信プロトコルは許可されます。ポート 67 上の対応する UDP 受信プロトコルは許可されます。
  • VPN リモート アクセス クライアントは ISA Server にはアクセスできません。同様に、サイト間 VPN 構成のリモート サイト ネットワークへのアクセスも拒否されます。
  • ロックダウン モード中に行われたネットワーク構成への変更は、ファイアウォール サービスが再起動され、ISA Server のロックダウン モードが終了してから適用されます。たとえば、ネットワーク セグメントを物理的に移動し、物理的な変更に合うように ISA Server を再構成した場合、新しいトポロジは、ISA Server のロックダウン モードが終了して初めて有効になります。
  • ISA Server は警告をトリガしません。

ISA Server サービスを実行するコンピュータに構成保管サーバーがインストールされている場合、"信頼されたサーバーからローカル構成保管サーバーへのアクセスを許可する" というシステム ポリシー ルールが有効です。このシステム ポリシー ルールでは、すべてのアレイ メンバからローカル ホストへの Microsoft CIFS (TCP) プロトコル、Microsoft CIFS (UDP) プロトコル、および MS ファイアウォール記憶域プロトコルの使用が許可されます。このルールは、ロックダウン モードの場合でも適用されます。これらのプロトコルを使用するトラフィックは、ロックダウン モードの場合でも許可されます。

ロックダウン モードの終了

ファイアウォール サービスが再起動されると、ISA Server のロックダウン モードが終了し、前と同じように機能するようになります。ISA Server 構成への変更は、ISA Server のロックダウン モードが終了してから適用されます。


ISA Server の管理コンソール

ISA Server の管理には、スコープ ウィンドウ、詳細ウィンドウ、および作業ウィンドウの 3 つのウィンドウがあります。

ISA Server の管理には、障害のある方にとってより使いやすいユーザー補助機能が含まれています。詳細については、「ISA Server の管理のアクセシビリティ」を参照してください。

注

  • ISA Server の管理を最適に表示するためには、画面解像度を 800x600 以上に設定することをお勧めします。

スコープ ウィンドウ、詳細ウィンドウ、作業ウィンドウ

次の図は、ISA Server の管理コンソールを示しています。

ISA Server コンソール

スコープ ウィンドウには、コンソール ツリーが表示されます (図中の 1)。コンソール ツリーには、コンソールで利用可能なノードが表示されます。中央のウィンドウには詳細ウィンドウが表示されます (図中の 2)。詳細ウィンドウには、選択したコンソール ツリー項目に関する情報およびその項目に関連する機能が表示されます。コンソール ツリーで別の項目をクリックすると、詳細ウィンドウの情報が変更されます。詳細ウィンドウには、Web ページ、グラフィック、グラフ、表、列などを含むさまざまな種類の情報が表示されます。

右ウィンドウには作業ウィンドウが表示されます (図中の 3)。作業ウィンドウには、[タスク] タブと [ヘルプ] タブが含まれています。[エンタープライズ ポリシー] ノードおよび [ファイアウォール ポリシー] ノードでは、作業ウィンドウに [ツールボックス] タブが追加されます。[ネットワーク] ノードでは、作業ウィンドウに [テンプレート] タブが追加されます。

作業ウィンドウは閉じることができます。分割バー (図中の 4) で、[作業ウィンドウを開くまたは閉じる] ボタン (右矢印が付いた縦長の四角形) をクリックします。作業ウィンドウを再び開くには、[作業ウィンドウを開くまたは閉じる] ボタン (左矢印が付いた縦長の四角形) をもう一度クリックします。作業ウィンドウを閉じると詳細ウィンドウにより多くの情報が表示されますが、作業ウィンドウからしか実行できないタスクもあるので注意してください。さらに、作業ウィンドウを閉じると、作業ウィンドウのリンクを使用するほとんどのタスクの実行方法について説明する [ヘルプ] タブを利用できなくなります。

コンソール ツリーの各ノードには、ユーザーがタスクを実行する際に役立つ独自のメニューとツール バーが、メイン ウィンドウのものとは別に用意されています。

変更の適用バー

オブジェクトを作成または構成すると、詳細ウィンドウの上に変更の適用バーが表示されます。変更内容を確認してから、それらの変更を適用または破棄することができます。変更を適用するには、変更の適用バーの [適用] ボタンをクリックします。変更を破棄するには、変更の適用バーの [破棄] ボタンをクリックします。

ツールボックス

[ツールボックス] タブは、[エンタープライズ ポリシー] ノードおよび [ファイアウォール ポリシー] ノードでのみ表示されます。ここには、ファイアウォール ポリシー ルールで使用可能なルール要素、つまりプロトコル定義、ユーザー、コンテンツの種類、スケジュール、およびネットワーク オブジェクトが一覧表示されます。

ドラッグ アンド ドロップ編集

エンタープライズ ポリシーおよびファイアウォール ポリシーの詳細ウィンドウでは、特定のルールのプロパティ シートを開いてルールを編集することができます。または、[ツールボックス] から該当するルール要素を詳細ウィンドウに表示されているルールにドラッグし、そこでルールを変更することもできます。


エンタープライズ管理

Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータをアレイにグループ化すると、エンタープライズ全体のネットワーク ポリシーを集中管理できます。エンタープライズ内のすべてのアレイに適用される集中管理されたエンタープライズ ポリシーを選択するか、各アレイ管理者がローカル ポリシーを定義できるより柔軟なポリシーを選択できます。集中管理を行うと、セキュリティが強化されます。すべての管理作業を 1 台のコンピュータから実行でき、構成が全体に適用されるので、すべてのサーバーで同じアクセス ポリシーを構成できます。これは特に、アレイに多数の ISA Server コンピュータが含まれる可能性がある大規模な組織に有効です。

ここでは、エンタープライズ管理について説明します。

  • エンタープライズ
  • エンタープライズのポリシー
  • アレイとアレイ メンバ
  • アレイの作成
  • アレイ通信
  • アレイ内通信の構成とセキュリティ保護


エンタープライズ

Internet Security and Acceleration (ISA) Server のエンタープライズには、ユーザーの組織内のすべてのアレイが含まれます。エンタープライズをセットアップするときに、エンタープライズ ポリシーの管理を指定します。集中管理されるエンタープライズ ポリシーを選択してエンタープライズ内のすべてのアレイに適用することも、各アレイの管理者がローカル ポリシーを定義できる、より柔軟なポリシーを選択することもできます。

各エンタープライズには、1 つ以上の構成保管サーバーが関連付けられています。各構成保管サーバーには、同一の構成情報が含まれますが、この情報は定期的にレプリケートされます。各アレイのアレイ メンバは、エンタープライズ内の指定された構成保管サーバーから構成情報を取得します。

エンタープライズ内に構成保管サーバーをインストールするときに、新しいエンタープライズの作成を選択できます。各エンタープライズ (レプリケーション構成保管サーバーの各セット) で管理できるのはそのメンバ アレイだけです。エンタープライズの管理者が管理できるのは、そのエンタープライズに属するアレイだけです。

エンタープライズ ネットワーク

エンタープライズ内でアレイおよびアレイ メンバを展開する前に、エンタープライズ管理者はエンタープライズ ネットワークを構成します。エンタープライズ ネットワークとは、エンタープライズ レベルで定義されるネットワークのことで、そのエンタープライズ内のすべてのアレイに対してグローバルです。エンタープライズ ネットワークはいくつかの IP アドレス範囲から構成されています。アレイ ネットワークにはこの他にも定義するプロパティがありますが、エンタープライズ ネットワークにはありません。

各 IP アドレスは、1 つのエンタープライズ ネットワークにのみ含まれます。エンタープライズ ネットワークに含まれる、エンタープライズ レベルで定義される IP アドレスは、そのエンタープライズのアドレス範囲と見なされます。通常、エンタープライズ ネットワークを作成した後に、そのネットワークを 1 つ以上のアレイ レベル ネットワークに含めます。

詳細については、「エンタープライズ ネットワーク」を参照してください。

エンタープライズ ポリシー

エンタープライズ管理者は、1 つ以上のエンタープライズ ポリシーを作成します。このポリシーには、アクセス ルール、ルール要素、およびアドインが含まれます。アレイが作成されると、そのアレイにエンタープライズ ポリシーを適用できるようになります。これによって、アレイ レベルで作成されたファイアウォール ポリシーが強化されます。

詳細については、「エンタープライズ ポリシー」を参照してください。


エンタープライズのポリシー

Internet Security and Acceleration (ISA) Server のエンタープライズ ポリシーは、アレイによって実現される集中管理を強化するもので、企業ネットワーク内でのポリシーの実装とアレイへの適用を可能にします。エンタープライズ ポリシーには、アクセス ルールが含まれます。エンタープライズ ポリシーはどのアレイにも適用でき、アレイの独自のポリシーを付け加えることもできます。これによって、支社および部門レベルの管理者は、エンタープライズ ポリシーを管理することが可能になり、必要に応じて、アクセスをさらに制限できます。

エンタープライズ ポリシーは、エンタープライズ レベルで定義されたポリシーであり、アレイに適用できます。ポリシーには、順序が付けられたポリシー ルールのセットが含まれます。エンタープライズ ポリシーには、そのエンタープライズ ポリシーのルールの中でアレイ ポリシーが出現する場所を表すプレースホルダも組み込まれます。詳細については、「エンタープライズ ポリシー」を参照してください。

1 つ以上のエンタープライズ ポリシーと、エンタープライズ レベルのルール要素の単一のセットを作成できます。エンタープライズ レベルのルール要素は、エンタープライズ ポリシーのルールを構成するときや、アレイ レベルのルールを作成するときに使用できます。

エンタープライズ管理者は、既知の脆弱性をブロックするエンタープライズ ポリシー、標準のトラフィック (HTTP など) を許可するエンタープライズ ポリシー、VPN サーバーのエンタープライズ ポリシーなど、さまざまなエンタープライズ ポリシーを定義できます。管理者はその後、関連するアレイにエンタープライズ ポリシーを割り当てることができます。

ポリシー内の各ルールは、アレイ ポリシーの前または後に適用されるように定義することができます。ポリシー ルールには順序が付けられているため、このことは重要です。ISA Server によって受信された要求と一致する最初の許可ルールが使用され、以降のルールはチェックされません。

エンタープライズ ポリシー作成の手順については、「エンタープライズ ポリシーを作成する」を参照してください。


アレイとアレイ メンバ

アレイは、Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータのグループです。アレイの構成は、次のとおりです。

  • 1 つまたは複数の構成保管サーバー。エンタープライズの一部であるアレイやサーバーなどの ISA Server 情報、および各アレイとサーバーの現在の構成が格納されています。
  • 1 つまたは複数のアレイ メンバ。ISA Server サービスがインストールされているコンピュータです。
  • ISA Server の管理がインストールされている、1 つまたは複数のリモート管理コンピュータ。

アレイ メンバは、同じ構成を共有しているので、容易に管理できます。アレイの構成を変更すると、アレイ内のすべての ISA Server コンピュータも変更されます。これには、すべてのアクセス ポリシーとキャッシュ ポリシーが含まれます。

アレイの構成情報は、構成保管サーバーに格納されています。すべてのアレイ メンバが、同じ構成保管サーバーを使用します。アレイに対して構成保管サーバーを指定する手順については、「このアレイの構成保管サーバーを指定する」を参照してください。

集中管理を行うと、セキュリティも強化されます。すべての管理作業を 1 台のコンピュータから実行でき、構成が全体に適用されるので、すべてのサーバーで同じアクセス ポリシーを構成できます。これは特に、アレイに多数の ISA Server コンピュータが含まれる可能性がある大規模な組織に有効です。

アクセス ルールと公開ルールは、アレイ レベルで作成できます。これらのルールで構成されるのが、アレイ ポリシーです。アレイ ポリシーによって、ISA Server クライアントの通信方法および許可される通信が決まります。名前が示すとおり、アレイ ポリシーはアレイ内の ISA Server コンピュータにのみ適用されます。

同一のコンピュータ構成

すべてのアレイ メンバで、構成が同じでなければなりません。つまり、すべてのアレイ メンバで、次の項目が同じであることが必要です。

  • 同じ名前のアレイ レベル ネットワークに接続されたネットワーク アダプタの数
  • 基本監視機能のアクセス許可が与えられているミラー化されたアカウント (ワークグループ展開用)
  • アプリケーションおよび Web フィルタの構成
  • インストールされている証明書

アレイ メンバの IP アドレスの変更

アレイ メンバは、ISA Server のインストール時に構成されたインターネット プロトコル (IP) アドレスを使用して、互いに通信します。アレイ内アドレスは、インストール後に構成できます。このアレイ内アドレスはさまざまなシステム ポリシー ルールで使用され、アレイ メンバ間の通信が許可されます。アレイ メンバの IP アドレスは、構成保管サーバーとの通信やリモート管理の場合を含めて、他の ISA Server コンポーネント間の通信に使用される場合があります。アレイ内通信の詳細については、「アレイ通信」を参照してください。

アレイ メンバの IP アドレスを変更する場合は、次のことを確認してください。

  • 変更した IP アドレスがアレイ内通信に使用された場合、アレイ内アドレスを再構成します。手順については、「アレイ内アドレスを構成する」を参照してください。
  • 変更した IP アドレスが、このコンピュータに接続するためにリモート管理コンピュータによって使用された場合、リモート通信に使用される IP アドレスを更新します。手順については、「リモート管理に使用するコンピュータ名を構成する」を参照してください。
  • IP アドレスが、"管理された ISA Server コンピュータ" コンピュータ セットに含まれていることを確認します。手順については、「コンピュータ セットを変更する」を参照してください。


アレイの作成

Microsoft Internet Security and Acceleration (ISA) Server 2004 サービスをインストールするときに、アレイを作成できます。この場合、インストール時に次の項目を指定します。

  • アレイが構成保管サーバーに対する認証を行う方法
  • 内部ネットワーク
  • 適用するエンタープライズ ポリシー
  • ファイアウォール クライアントの接続設定
  • アレイの名前と説明

これらの設定は、インストール後に変更できます。

また、ISA Server の管理を使用して空のアレイを作成することもできます。手順については、「アレイを作成する」を参照してください。

エンタープライズ管理者は、空のアレイを作成できます。その後に、アレイ管理者がこの構成済みのアレイに参加します。空のアレイを作成するときに、次のプロパティを構成できます。

  • 構成保管サーバーの情報。手順については、「このアレイの構成保管サーバーを指定する」を参照してください。
  • ファイアウォール クライアントの接続設定。手順については、「以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可する」を参照してください。
  • エンタープライズ ポリシー。手順については、「エンタープライズ ポリシーを適用する」を参照してください。

サーバーの移動

コンピュータにインストールした ISA Server サービスをアンインストールし、再インストールする方法で、サーバーを別のアレイに移動することができます。

次の操作が可能です。

  • アレイが削除されたか、アレイへのアクセス許可がないために、アレイにアクセスできなくなった場合は、インストールの修復を選択して ISA Server を再インストールできます。
  • 同様に、サーバーにアクセスできなくなった場合も、インストールの修復を選択して ISA Server を再インストールできます。
  • ISA Server を再インストールし、インストールの修復を選択することで、サーバーを新しいエンタープライズに移動し、新しいアレイを指定できます。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アレイ通信

Microsoft Internet Security and Acceleration (ISA) Server 2004 アレイを構成するサーバーは、セキュリティで保護され、密閉されたチャネル上で相互に通信します。これには、各アレイ メンバから構成保管サーバーへの通信に加え、アレイ内通信も含まれます。

ISA Server サービスを実行するコンピュータは、ISA Server の管理の [サーバー] ノードにアレイごとに表示されます。これらはアレイ メンバと呼ばれます。アレイ メンバは、MS ファイアウォール記憶域プロトコルを使用して構成保管サーバーと通信します。また、ISA Server の管理を実行するコンピュータも、MS ファイアウォール記憶域プロトコルを使用して、構成保管サーバーに対して読み取りと書き込みを行います。

すべての監視通信がリモート プロシージャ コール (RPC) を使用して行われます。ISA Server の管理を実行するコンピュータは、RPC を使用して、ISA Server サービスを実行するコンピュータのリアルタイムのローカル情報を照会します。

ファイアウォール、管理コンソール、および構成サーバー間の通信チャネルはすべて密閉されています。

アレイ内アドレス

アレイ メンバ間の通信は、アレイ内アドレスを使用して受け渡しされます。このアドレスは、最初は内部ネットワーク上のアレイ メンバのネットワーク アダプタの既定の IP アドレスに設定されます。アレイ管理者は、アレイ内アドレスを変更できます。詳細については、「アレイ内通信の構成とセキュリティ保護」を参照してください。

ワークグループのシナリオでのアレイ通信

ワークグループのシナリオでは、ISA Server サービスを実行するコンピュータは、LDAP over SSL (LDAPS) プロトコルを使用して構成保管サーバー上の構成の保管にアクセスします。Active Directory Application Mode (ADAM) のインスタンスを実行する構成保管サーバーは、LDAPS プロトコルをサポートします。この通信を有効にするには、ISA Server サービスを実行するコンピュータによって信頼された、証明機関の証明書をインストールする必要があります。次に、構成保管サーバーにサーバー証明書をインストールします。

ISA Server の管理コンピュータは、ドメイン アカウントまたはミラー化されたローカル アカウントを使用して、構成保管サーバーおよび ISA Server サービスを実行するコンピュータに対して認証を行います。ミラー化されたローカル アカウントは、各アレイ メンバで作成する必要があります。

ワークグループ環境では、ISA Server サービスを実行するコンピュータが、ADAM アカウントを使用して構成保管サーバーに対して認証を行います。LDAPS チャネルは、認証シーケンスを密封します。構成保管サーバーでは、セットアップ時にアレイ メンバごとに ADAM アカウントが生成され、中央保管にサーバー オブジェクトが作成されます。

システム ポリシー ルール

ISA Server には、アレイ メンバ、構成保管サーバー、および管理コンソール間の通信を可能にする、次の定義済みのシステム ポリシー ルールが組み込まれています。

シナリオ グループ | 構成グループ | ルール名 | ルールの説明
構成保管サーバー | リモート構成保管サーバー アクセス | 構成保管サーバーへのリモート アクセスを許可する | ローカル ホストから "エンタープライズ構成保管サーバー" コンピュータ セットへの、MS ファイアウォール記憶域プロトコルを使用したアクセスを許可します。
構成保管サーバー | ローカルの構成保管サーバーへのアクセス | 信頼されたサーバーからローカル構成保管サーバーへのアクセスを許可する | CIFS (TCP と UDP) および MS ファイアウォール記憶域プロトコルを使用した、"アレイ サーバー"、"エンタープライズ リモート管理コンピュータ"、"管理された ISA Server コンピュータ"、"リモート管理コンピュータ"、および "構成保管サーバーのレプリケート" のコンピュータ セットからローカル ホストへのアクセスを許可します。
構成保管サーバー | 構成保管サーバーのレプリケーション | 構成保管サーバー間でのレプリケーションを許可する | MS ファイアウォール制御および RPC プロトコルを使用した、"構成保管サーバーのレプリケート" コンピュータ セット間の通信を許可します。
アレイ内通信 | アレイ メンバ通信 | アレイ内通信の許可 | MS ファイアウォール制御および RPC プロトコルを使用した、"アレイ サーバー" コンピュータ セット間のアレイ内通信を許可します。
リモート管理 | Microsoft 管理コンソール (MMC) | MMC を使用した、選択されたコンピュータからのリモート管理を許可する | MS ファイアウォール制御、NetBIOS データグラム、NetBIOS ネームサービス、NetBIOS セッション、および RPC (すべてのインターフェイス) の各プロトコルを使用した、"アレイ サーバー"、"エンタープライズ リモート管理コンピュータ"、および "リモート管理コンピュータ" のコンピュータ セットからローカル ホストへの通信を許可します。
リモート管理 | ターミナル サーバー | ターミナル サーバーを使用した、選択されたコンピュータからのリモート管理を許可する | RDP (ターミナル サービス) プロトコルを使用した、"エンタープライズ リモート管理コンピュータ" および "リモート管理コンピュータ" のコンピュータ セットからローカル ホストへの通信を許可します。
リモート管理 | ICMP | 選択されたコンピュータから ISA Server への ICMP (PING) 要求を許可する | ICMP プロトコルを使用した、"エンタープライズ リモート管理コンピュータ" および "リモート管理コンピュータ" のコンピュータ セットからローカル ホストへの通信を許可します。

コンピュータ セットとドメイン名セット

次のコンピュータ セットは、必要に応じて、アレイ構成に基づいて変更する必要があります。

  • エンタープライズ リモート管理コンピュータ。このコンピュータ セットには、エンタープライズ構成とそのエンタープライズ内のすべてのアレイを管理するコンピュータがすべて含まれます。
  • リモート管理コンピュータ。このコンピュータ セットにはアレイごとに、リモートでアレイを管理できるコンピュータが含まれます。
  • アレイ サーバー。このコンピュータ セットにはアレイごとに、アレイ メンバの IP アドレスが含まれます。コンピュータは、インストール時に追加されます。アレイ メンバのアドレスを後で変更した場合、それに応じてこのコンピュータ セットを更新してください。
  • 構成保管サーバーのレプリケート。このコンピュータ セットには、エンタープライズ内のすべての構成保管サーバーが含まれます。
  • 管理された ISA Server コンピュータ。このコンピュータ セットにはアレイごとに、構成保管サーバーへのアクセスを許可されたアレイ メンバの IP アドレスが含まれます。

また、エンタープライズ構成保管サーバー ドメイン名セットは、アレイの構成保管サーバーの名前を含むように自動的に構成されます。代替構成保管サーバーを指定した場合、そのサーバーもこのドメイン名セットに含まれます。

プロトコル

アレイ内通信を許可するために、次の専用プロトコルが定義されます。

  • MS ファイアウォール記憶域。このプロトコルは、ポート 2171 および 2172 に関する発信 TCP プロトコルです。これは LDAP ベースおよび LDAPS ベースのプロトコルです。
  • MS ファイアウォール記憶域レプリケーション。このプロトコルは、ポート 2173 に関する発信 TCP プロトコルです。構成保管サーバー間の構成のレプリケーションに使用されます。
  • MS ファイアウォール制御。このプロトコルは、ISA Server の管理と、ISA Server サービスを実行するコンピュータとの通信に使用される、発信 TCP プロトコルです。


アレイ内通信の構成とセキュリティ保護

インストール時に、アレイ内アドレスがアレイ メンバに割り当てられます。このアドレスは、既定で内部ネットワーク上の IP アドレスに設定されます。ただし、マルチサーバー アレイでは、ネットワーク負荷分散 (NLB) 展開でアレイ内通信を行うために、各アレイ メンバに専用ネットワーク アダプタが必要です。また、専用ネットワーク アダプタを使用すると、ネットワークを悪意のあるトラフィックから切り離すことで、他の展開シナリオでもセキュリティが強化されます。

アレイ内通信のセキュリティを強化するには、専用ネットワーク アダプタで専用ハブまたは仮想 LAN (VLAN) を使用する必要があります。

専用ネットワーク アダプタのインストール後に、次の手順を実行します。

  1. アレイ内通信に使用されるこのネットワーク アダプタの IP アドレスを指定します。手順については、「アレイ内アドレスを構成する」を参照してください。
  2. 各アレイ メンバのアレイ内アドレスを含んだアレイ レベルの専用ネットワークを作成します。手順については、「アレイ レベル ネットワークを作成する」を参照してください。ネットワークを作成するときに、その種類には [内部] を指定します。
  3. ネットワークを作成したら、次の構成を行います。
    • Web プロキシ クライアントを有効にします。手順については、「Web プロキシ クライアント要求をリッスンする」を参照してください。
    • ファイアウォール クライアントからの要求をリッスンしないようにします。手順については、「ファイアウォール クライアント要求をリッスンする」を参照してください。

アレイ サーバーのコンピュータ セットが、すべてのアレイ内アドレスを含むように自動的に更新されます。システム ポリシー ルールによって、アレイ サーバーのコンピュータ セットのメンバとローカル ホストとの間の通信が許可されます。詳細については、「アレイ通信」を参照してください。

ネットワーク テンプレートを適用すると、作成したアレイ内ネットワークを含むすべてのユーザー定義のネットワークが上書きされます。このため、アレイ内ネットワークをエクスポートすることをお勧めします。手順については、「構成をエクスポートする」を参照してください。ネットワーク テンプレートを適用した後に、アレイ内ネットワークをインポートします。手順については、「構成をインポートする」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


管理ロール

ロールベースの管理を使用すると、Microsoft Internet Security and Acceleration (ISA) Server 2004 エンタープライズ管理者を、一連の固有のタスクが割り当てられた定義済みのロールに編成することができます。ロールをユーザーに割り当てるときは、そのユーザーに特定のタスクを実行するためのアクセス許可を与えます。ロールベースの管理には、Windows のユーザーおよびグループを使用します。これらのセキュリティのアクセス許可、グループ メンバシップ、およびユーザー権利は、どのユーザーにどのロールが割り当てられているのかを識別するために使用されます。

ISA Server コンピュータの管理者アクセス許可を持つユーザーに、ISA Server アレイ レベルまたはエンタープライズ レベルのアクセス許可が自動的に与えられることはありません。代わりに、これらのユーザーに適切なロールを具体的に割り当てる必要があります。ただし、構成保管サーバー上の Administrators グループに属するユーザーは、基本的にエンタープライズ構成を制御できることに注意してください。これらのユーザーは構成保管サーバー上のすべてのデータを直接変更できるためです。

ここでは、管理ロールについて説明します。

  • アレイ レベルの管理ロール
  • エンタープライズ レベルの管理ロール
  • エンタープライズ ポリシー管理ロール
  • ドメインおよびワークグループのロール


アレイ レベルの管理ロール

エンタープライズ レベルのロールベースの管理と同様に、アレイ レベルの管理者を、一連の固有のタスクが割り当てられた定義済みの個別のロールに編成することができます。次の表は、Microsoft Internet Security and Acceleration (ISA) Server 2004 のアレイ レベルのロールを示しています。

ロール | 説明
ISA Server アレイ監視監査者 | このロールが割り当てられたユーザーとグループは、ISA Server コンピュータとネットワークの動作状況を監視できますが、特定の監視機能を構成することはできません。
ISA Server アレイ監査者 | このロールが割り当てられたユーザーとグループは、ログの構成、警告定義の構成、および ISA Server の基本監視のロールで使用できるすべての監視機能を含む、すべての監視タスクを実行できます。
ISA Server 管理者 | このロールが割り当てられたユーザーとグループは、ルールの構成、ネットワーク テンプレートの適用、および監視を含むあらゆる ISA Server のタスクを実行できます。

注

  • ISA Server アレイ監視監査者アクセス許可を持つ管理者は、機密の構成情報をエクスポートおよびインポートできます。つまり、機密情報を解読できるということです。
  • ISA Server アレイ監視監査者アクセス許可を持つ管理者は、次の例外を除いて、すべてのレポート プロパティを構成できます。
    • レポートを公開する際、異なるユーザー アカウントを構成できない。
    • レポートの内容をカスタマイズできない。
  • ISA Server 管理者ロールを割り当てられたユーザーは、ISA Server コンピュータで高い権限で行う処理を実行できます。

ロールと動作

各 ISA Server のロールには、特定の ISA Server タスクが関連付けられています。次の表は、ISA Server の管理タスクの一部と、それらを実行できるロールを示しています。

動作 | ISA Server アレイ監視監査者 | ISA Server アレイ監査者 | ISA Server 管理者
ダッシュボード、警告、接続、セッション、およびサービスを表示する | X | X | X
警告の受信確認とリセットを行う | X | X | X
ログ情報を表示する |  | X | X
警告の定義を作成する |  |  | X
レポートを作成する |  | X | X
セッションとサービスを停止および開始する |  | X | X
ファイアウォール ポリシーを表示する |  | X | X
ファイアウォール ポリシーを構成する |  |  | X
キャッシュを構成する |  |  | X
VPN を構成する |  |  | X

管理者アクセス許可の削除

管理者アクセス許可を削除するには、特定の管理者グループからユーザーを削除します。

ログオンしている ISA Server 管理者をセキュリティ グループから削除して、新しいグループに追加するには、次の手順を実行します。

  1. 管理者アカウントを新しいグループに追加します。
  2. 管理者アカウントを使用してログオフおよびログオンし、新しい設定が有効となるようにします。
  3. 管理者アカウントを元のグループから削除します。


エンタープライズ レベルの管理ロール

ロールベースの管理を使用すると、Microsoft Internet Security and Acceleration (ISA) Server 2004 エンタープライズ管理者を、一連の固有のタスクが割り当てられた定義済みのロールに編成することができます。ロールをユーザーに割り当てるときは、そのユーザーに特定のタスクを実行するためのアクセス許可を与えます。ロールベースの管理には、Windows のユーザーおよびグループを使用します。これらのセキュリティのアクセス許可、グループ メンバシップ、およびユーザー権利は、どのユーザーにどのロールが割り当てられているのかを識別するために使用されます。

ISA Server では、エンタープライズ レベルのロールとアレイ レベルのロールが区別されます。アレイ レベルの管理ロールの詳細については、「アレイ レベルの管理ロール」を参照してください。次の表は、エンタープライズ管理用の ISA Server ロールとその説明です。

ロール | 説明
ISA Server エンタープライズ管理者 | このロールが割り当てられたユーザーとグループには、エンタープライズおよびすべてのアレイ構成に対するフル コントロールが許可されます。エンタープライズ管理者は、他のユーザーとグループにロールを割り当てることもできます。
ISA Server エンタープライズ監査者 | このロールが割り当てられたユーザーとグループは、エンタープライズ構成およびすべてのアレイ構成を表示できます。

注

  • ISA Server エンタープライズ管理者ロールを割り当てられたユーザーは、エンタープライズ内の ISA Server コンピュータで高い権限で行う処理を実行できます。

ロールと動作

各 ISA Server のロールには、特定の ISA Server タスクが関連付けられています。次の表は、ISA Server の管理タスクの一部と、それらを実行できるロールを示しています。

動作 | ISA Server エンタープライズ管理者 | ISA Server エンタープライズ監査者
エンタープライズ ポリシーを表示する | X | X
エンタープライズ ポリシーを作成する | X |
エンタープライズ ポリシーをアレイに適用する | X |
アレイ レベルのファイアウォール ポリシーを表示する | X | X
アレイ構成を表示する | X | X
アレイ構成を変更する | X |
アレイを作成する | X |

ロールを割り当てる手順については、「エンタープライズ管理者の管理ロールを割り当てる」を参照してください。

管理者アクセス許可の削除

管理者アクセス許可を削除するには、特定の管理者グループからユーザーを削除します。

ログオンしている ISA Server 管理者を、セキュリティ グループから削除して新しいグループに追加するには、次の手順を実行します。

  1. 管理者アカウントを新しいグループに追加します。
  2. 管理者アカウントを使用してログオフおよびログオンし、新しい設定が有効となるようにします。
  3. 管理者アカウントを元のグループから削除します。


エンタープライズ ポリシー管理ロール

ロールベースの管理を使用すると、Microsoft Internet Security and Acceleration (ISA) Server 2004 エンタープライズ管理者を、一連の固有のタスクが割り当てられた定義済みのロールに編成することができます。ロールをユーザーに割り当てるときは、そのユーザーに特定のタスクを実行するためのアクセス許可を与えます。ロールベースの管理には、Windows のユーザーおよびグループを使用します。これらのセキュリティのアクセス許可、グループ メンバシップ、およびユーザー権利は、どのユーザーにどのロールが割り当てられているのかを識別するために使用されます。

エンタープライズ管理者は、特定のエンタープライズ ポリシーに対するアクセス許可を管理者に割り当てることができます。このため、これらの管理者に広範なエンタープライズ アクセス許可を与えることなく、エンタープライズ レベルの管理を特定のポリシーに制限できます。ISA Server エンタープライズ ポリシー 編集者ロールは、指定されたユーザーまたはグループに、そのエンタープライズ ポリシーの変更を許可します。

ロールと動作

各 ISA Server のロールには、特定の ISA Server タスクが関連付けられています。次の表では、ISA Server 管理作業の一部を挙げ、エンタープライズ ポリシー編集者が実行を許可されているタスクを示します。

動作 | ISA Server エンタープライズ ポリシー編集者
エンタープライズ ポリシーを作成する | 不可
エンタープライズ ポリシーを表示する | 可 (ロールが割り当てられている特定のエンタープライズ ポリシーのみを、構成保管サーバーまたはリモート管理コンピュータのみで表示)
エンタープライズ ポリシー ルールを作成する | 可 (対象はロールが割り当てられている特定のエンタープライズ ポリシーのみ)
エンタープライズ レベルのルール要素を作成する | 不可
エンタープライズ ポリシーをアレイに適用する | 不可
アレイ レベルの構成を表示する | 不可
アレイ構成を変更する | 不可
アレイを作成する | 不可

ロールを割り当てる手順については、「エンタープライズ管理者の管理ロールを割り当てる」を参照してください。

管理者アクセス許可の削除

管理者アクセス許可を削除するには、特定の管理者グループからユーザーを削除します。

ログオンしている ISA Server 管理者を、セキュリティ グループから削除して新しいグループに追加するには、次の手順を実行します。

  1. 管理者アカウントを新しいグループに追加します。
  2. ログオフしてから、管理者アカウントを使用してログオンし、新しい設定が有効となるようにします。
  3. 管理者アカウントを元のグループから削除します。


ドメインおよびワークグループのロール

ネットワークの特定のトポロジに応じて、構成保管サーバーにアクセスするロールに異なるアクセス許可を構成する必要があります。

手順については、「アレイ管理者の管理ロールを割り当てる」および「エンタープライズ管理者の管理ロールを割り当てる」を参照してください。

ISA Server サービスを実行するコンピュータがワークグループに属する

Microsoft Internet Security and Acceleration (ISA) Server 2004 のサービスを実行するコンピュータがワークグループに属し、構成保管サーバーがドメインに属する場合は、そのドメイン上に構成されたユーザー アカウントを、構成保管サーバーへのアクセスに使用する必要があります。

アレイ内通信および管理用に、各アレイ メンバ上にミラー化されたアカウントを作成します。つまり、対象のアレイ メンバ上に、指定されたユーザー アカウントと同じ設定のアカウントを作成します。

たとえば、構成保管サーバーが microsoft.com ドメインに属するとします。ISA Server サービスを実行する 2 台のコンピュータそれぞれがワークグループに属します。ユーザー名が Amaya であるエンタープライズ管理者が、このエンタープライズを管理します。Amaya は、Enterprise Administrators グループに属する必要があります。この例では、次の操作が必要です。

  • ISA Server サービスを実行する両方のコンピュータで、Amaya 用のミラー化されたアカウントを作成します。これらのアカウントには同じ資格情報を設定する必要があります。
  • 構成保管サーバーへのアクセスを許可するユーザーに、Amaya のドメイン ユーザー名を追加します。
  • このアレイの監視に使用するミラー化されたアカウントの一覧に、ユーザー名 (ミラー化されたアカウントに指定されているもの) を追加します。

Amaya は、エンタープライズに接続する際に、次の操作を行います。

  1. 構成保管サーバーへの接続方法を指定する際に、ログオンしているユーザーの資格情報を指定します。
  2. 各アレイ メンバへの接続方法を指定する際に、異なる資格情報を指定します。
  3. アレイ メンバの資格情報に、ユーザー名として Amaya を指定します。

ISA Server サービスを実行するコンピュータがドメインに属する

ISA Server サービスを実行するコンピュータがドメインに属し、構成保管サーバーがワークグループに属する場合は、構成保管サーバーに管理アカウントを作成します。

このシナリオでは、エンタープライズに使用できる構成保管サーバーは 1 つだけです。アレイ内通信および管理用のドメイン アカウントを作成します。

ISA Server サービスを実行するコンピュータと構成保管サーバーがワークグループに属する

ISA Server サービスを実行するコンピュータと構成保管サーバーが共に同じワークグループに属する場合は、1 つの管理アカウントを作成します。

このシナリオでは、エンタープライズに使用できる構成保管サーバーは 1 つだけです。アレイ内通信および管理用のドメイン アカウントを作成する必要はありません。

アレイ内通信および管理用に、各アレイ メンバ上にミラー化されたアカウントを作成します。各管理者にミラー化されたアカウントを作成できます。または、各ロールにミラー化されたアカウントを作成します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート管理

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用すると、他のコンピュータから ISA Server コンピュータを管理できます。リモート デスクトップ接続を実行しているコンピュータ、または Microsoft 管理コンソール (MMC) がインストールされているリモート コンピュータから、ISA Server のすべての管理作業を実行できます。

リモート管理ポリシー

リモート管理は、ISA Server サービスのインストール時に既定で有効になりますが、アレイ レベルまたはエンタープライズ レベルで "リモート管理コンピュータ" コンピュータ セットに含まれるコンピュータに対してのみ有効になります。コンピュータ セットは次のとおりです。ただし、既定では空です。

  • エンタープライズ リモート管理コンピュータ (エンタープライズ レベル)
  • リモート管理コンピュータ (アレイ レベル)

"エンタープライズ リモート管理コンピュータ" コンピュータ セットにコンピュータを追加すると、適切なアクセス許可を持つユーザーは、追加されたコンピュータからエンタープライズ内のすべての ISA Server アレイを管理および監視できます。

"リモート管理コンピュータ" コンピュータ セットにコンピュータを追加すると、適切なアクセス許可がある場合は追加したコンピュータからすべての ISA Server アレイを管理できますが、監視できるのはこのコンピュータ セットを所有するアレイのみです。ISA Server サービスと構成保管サーバーが同じコンピュータにインストールされていて、構成保管サーバーがアレイに含まれる場合に、この構成保管サーバーに接続することは、アレイがこのコンピュータ セットを所有する場合にのみ実行できます。

リモート デスクトップ接続を使用したリモート管理

ターミナル サーバーと ISA Server の管理を使用して、ISA Server コンピュータを管理できます。ターミナル サーバーを使用すると、ISA Server の管理コンソールがインストールされているコンピュータのデスクトップを表示できます。これによって、付与されているアクセス許可に従って ISA Server を管理できます。

注

  • 仮想プライベート ネットワーク (VPN) クライアントから ISA Server を管理する場合は、ISA Server の管理ではなくターミナル サーバーを使用することをお勧めします。ISA Server の管理操作によっては、サービスの再起動が必要になることがあります。このような場合は、サービス間で動作するルーティングとリモート アクセスが停止しているため、ISA Server の管理のリモート接続を終了しないとサービスを再起動できません。この問題は、ターミナル サーバーを使用したリモート管理では発生しません。

ISA Server の管理を使用したリモート管理

ISA Server の管理は、構成保管サーバーおよび ISA Server サービスと共にインストールされますが、ISA Server コンピュータの管理用のスタンドアロン コンポーネントとしてインストールすることもできます。

ISA Server の管理のリモート コンソールを構成保管サーバーに接続します。このリモート コンソールからのサーバー固有の情報を要求する場合、リモート コンソールは自動的にアレイに接続され、その情報が取得されます。構成保管サーバーおよびアレイとの接続を有効にするには、物理接続または VPN 接続が必要です。

エンタープライズ管理者は、ISA Server の管理を使用して、エンタープライズ内の任意のアレイをリモートで管理できます。コンピュータは、管理されたアレイの "エンタープライズ リモート管理コンピュータ" および "リモート管理コンピュータ" コンピュータ セットに属している必要があります。ISA Server サービスを実行しているコンピュータが管理対象の同じアレイ内にある場合は、そのコンピュータからリモートに管理することも可能です。さらに、別なアレイ内のコンピュータへの発信方向の MS ファイアウォール制御プロトコルを許可するアクセス ルールを追加すれば、ISA Server サービスを実行しているコンピュータからそれらの別のアレイ内のコンピュータを管理することもできます。

ロールベースのリモート管理

ISA Server アレイまたはエンタープライズをリモート管理するユーザーの管理ロールによって、実行できるタスクが異なります。たとえば、特定のアレイに対して ISA Server 管理者アクセス許可を持つユーザーは、このアレイをリモート管理できますが、エンタープライズは管理できません。ISA Server エンタープライズ管理者のアクセス許可を持つユーザーのみが、エンタープライズを管理できます。ISA Server によってコンピュータが接続を許可されていると認識されていても、ISA Server の管理に必要な特権がユーザーにない場合があります。コンピュータの接続後に、ユーザーは ISA Server のタスクや、アレイまたは構成保管サーバーの状態の監視を実行できなくなります。

ISA Server のロールの詳細については、「管理ロール」を参照してください。

リモート監視

ISA Server をインストールすると、すべてのリモート監視およびリモート ログ (SMTP 以外) が既定により無効になります。適切なシステム ポリシー構成グループを有効にすることができます。

  • リモート ログ (NetBios)
  • リモート ログ (SQL)
  • リモート パフォーマンス モニタ
  • Microsoft Operations Manager
  • SMTP (既定で有効)


構成のエクスポートとバックアップ

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、エクスポートおよびインポート機能があり、アレイ構成情報を保存および復元できます。構成パラメータは、ローカルの .xml ファイルにエクスポートおよび保存できます。構成は、任意のディレクトリに任意のファイル名で保存できます。

最大限のセキュリティを実現するために、バックアップ ファイルは NTFS ディスク パーティションに保存することをお勧めします。ISA Server コンピュータの管理者だけが、ディレクトリの読み取りアクセス許可を持つようにしてください。

構成のエクスポート

それぞれのニーズに応じて、ISA Server の構成全体をエクスポートすることも、一部のみをエクスポートすることもできます。エクスポートできるオブジェクトは次のとおりです。

  • ISA Server の構成全体
  • すべての接続検証方法、または選択した 1 つの接続検証方法
  • すべてのネットワーク、または選択した 1 つのネットワーク
  • すべてのネットワーク セット、または選択した 1 つのネットワーク セット
  • すべてのネットワーク ルール、または選択した 1 つのネットワーク ルール
  • すべての Web チェーン ルール、または選択した 1 つの Web チェーン ルール
  • キャッシュの構成
  • すべてのコンテンツ ダウンロード ジョブ、または選択したコンテンツ ダウンロード ジョブ (複数可)
  • ファイアウォール ポリシー全体、または選択した 1 つのルール
  • 1 つ以上またはすべてのエンタープライズ ポリシー
  • エンタープライズ構成
  • アレイ構成

ファイアウォール ポリシーのエクスポートでは、システム ポリシー ルールはエクスポートされません。システム ポリシーをエクスポートするには、[システム ポリシーのエクスポート] タスクを選択します。

エンタープライズ構成全体をエクスポートすると、全般的な構成情報がすべてエクスポートされます。これには、エンタープライズ内のすべてのアレイの構成、アクセス ルール、公開ルール、ルールの要素、警告構成、キャッシュ構成、およびアレイとそのメンバに構成されている ISA Server のプロパティが含まれます。また、エクスポート情報には、エンタープライズ ポリシー情報すべてとエンタープライズ固有のその他の情報すべてが含まれます。

また、ユーザーのアクセス許可設定や、ユーザー パスワードなどの機密情報をエクスポートするように指定することもできます。エクスポートするファイルに格納されている機密情報は、エクスポート プロセス中に指定したパスワードを使用して暗号化されます。機密情報には、ユーザーの資格情報のパスワード (SQL Server を実行するコンピュータへのログに使用するものなど)、RADIUS 共有シークレット、事前共有 IPsec キーなどが含まれます。

ユーザーのアクセス許可設定をエクスポートすることもできます。通常、同じ企業ネットワーク内で構成情報を複製する場合に、これらの設定をエクスポートします。

特定のオブジェクトをエクスポートするように指定した場合は、次のものがエクスポートされます。

  • 指定したオブジェクトとすべてのプロパティ値
  • 指定したオブジェクトと、その階層内のすべての下位オブジェクト
  • すべての参照オブジェクト (指定したオブジェクトと異なるオブジェクト階層のものも含む)

手順については、「構成をエクスポートする」を参照してください。

構成のバックアップ

ISA Server では、エンタープライズ全体、特定のエンタープライズ ポリシー、またはアレイなど、選択したオブジェクトの構成情報がバックアップされます。構成をバックアップするには、機密情報とユーザーのアクセス許可の設定をバックアップするように選択する必要があります。

以下のような大きな変更を加えた後は、構成をバックアップすることをお勧めします。

  • キャッシュのサイズまたは場所の変更
  • ファイアウォール ポリシーの変更
  • ルール ベースの変更
  • システム ルールの変更
  • ネットワーク定義またはネットワーク ルールの変更など、ネットワークの変更
  • 管理者権限の委任または委任の解除

手順については、「エンタープライズ構成をバックアップする」を参照してください。

Windows バックアップ ユーティリティによる構成のバックアップ

エンタープライズ内のアレイ数が 100 を超える、複雑で大規模なエンタープライズ構成を使用している場合、Windows バックアップ ユーティリティを使用して構成をバックアップすることをお勧めします。

手順については、「Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成をバックアップする」を参照してください。


構成のインポートと復元

インポート プロセスでは、エクスポートした .xml ファイルに保存された構成が、指定の場所にコピーされます。このファイルには、キャッシュ ドライブや SSL (Secure Sockets Layer) 証明書などのサーバー固有の構成情報が含まれます。ユーザー パスワードなどの機密情報がファイルにエクスポートされている場合は、セキュリティで保護された情報を開いて解読するために、パスワードが要求されます。このパスワードは、ファイルをエクスポートしたときに設定したものです。

構成全体をエクスポートすると、証明書の設定もエクスポートされます。ただし、証明書が異なる Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータに構成をインポートすると、Microsoft ファイアウォール サービスを開始することができず、イベント メッセージがログに記録されます。

機密情報を含むファイルをインポートする際、この情報を開いて解読するためのパスワードが要求される場合があります。このパスワードは、エクスポート プロセスでファイルを作成したときに指定されたパスワードです。

インポート機能は、アレイ間で構成を複製する場合に使用できます。たとえば、本社にある 1 つのアレイにポリシーを作成します。その後、その構成をエクスポートし、さまざまな支社にある ISA Server アレイに構成情報をインポートすることができます。

注意

  • あるコンピュータからエクスポートしたファイルを再び同じコンピュータにインポートすると、以前に定義されていたルールの要素、ポリシー ルール、公開ルール、警告構成、キャッシュ構成、および ISA Server のプロパティは、インポートするファイルにもオブジェクトが存在する場合、上書きされます。これは、インポートを起動したレベルとその下位レベルに適用されます。

構成ファイルは、適切なノードでインポートする必要があります。たとえば、ルールをエクスポートした場合は、ファイアウォール ポリシー ノードで構成ファイルをインポートするか、別のルールを選択してインポートする必要があります。

構成の手順については、「構成をインポートする」を参照してください。

構成の復元

復元プロセスにより、ほとんどの構成情報が再構築されます。構成を復元するには、[インポート ウィザード] で [上書き (復元)] オプションを選択する必要があります。

手順については、「エンタープライズ構成を復元する」を参照してください。

Windows バックアップ ユーティリティを使用した構成の復元

Windows バックアップ ユーティリティを使用して構成をバックアップした場合は、このユーティリティを使用して構成を復元する必要があります。復元処理は、各ネットワーク展開 (構成保管サーバーの数が 1 つか複数か) によって異なります。

単一の構成保管サーバー環境での復元

以前にバックアップした構成ファイルを単一の構成保管サーバーに復元する場合は、次の手順を実行します。これらの手順は、この構成保管サーバーからレプリケートする他の構成保管サーバーがないことを前提としています。

  1. ISASTGCTRL サービスを停止します。
  2. 「Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成を復元する」で説明されている手順に従います。
  3. ISASTGCTRL サービスを再起動します。

複数の構成保管サーバーを含む環境での復元

以前にバックアップした構成ファイルを、他の構成保管サーバーとレプリケートする構成保管サーバーに復元する場合は、次の手順を実行します。これらの手順を完了すると、復元された構成情報がエンタープライズ内のすべての構成保管サーバーにレプリケートされます。

  1. ISASTGCTRL サービスを停止します。
  2. DelISAConfig スクリプトを実行します。コマンド プロンプトで、次のように入力します。
    cscript DelISAConfig.vbs <構成保管サーバー>
    <構成保管サーバー> には、復元プロセスを実行している構成保管サーバーではなく、エンタープライズ内の別の構成保管サーバーの名前を指定します。
  3. Windows バックアップ ユーティリティを使用して構成を復元します。手順については、「Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成を復元する」を参照してください。
  4. 構成保管サーバーをレプリケーション オーソリティとして構成するには、次の手順を実行します。
    1. %windir%\ADAM フォルダにある Dsdbutil.exe を実行します。
      アクティブなインスタンスが "ISASTGCTRL" に設定されていることが、プロンプトに示されます。
    2. Dsdbutil プロンプトで、「authoritative restore」と入力します。
    3. authoritative restore プロンプトで、「restore database」と入力します。
    4. プロンプトで、「quit」と入力します。
    5. プロンプトで、再度「quit」と入力します。
  5. ISASTGCTRL サービスを再起動します。

DellSAConfig.vbs ファイルは、ISA Server ダウンロード センター (英語情報) (http://www.microsoft.com/) で入手できます。


エラー報告とフィードバック

ISA Server 2004 には、Microsoft エラー報告が導入されています。この機能を使用すると、ISA Server の実行中に発生したエラーに関する情報を Microsoft に送信できます。

ISA Server コンピュータに Local Administrator としてログオンしていると、[Microsoft エラー レポート] というダイアログ ボックスが表示されることがあります。このダイアログ ボックスには、ISA Server などの Windows アプリケーションの使用時に発生したエラーが表示されます。ISA Server のエラー報告を Microsoft に送信すると、製品チームに技術的な情報が伝達されるため、特定の問題の追跡や対処に役立ちます。エラー報告のデータは、品質管理の目的にのみ使用されます。マーケティングの目的で、個々のユーザーやインストールを追跡するために使用されることはありません。ISA Server のエラー報告は、次の方法で送信できます。

  • HTTPS を使用して、インターネットを通じて直接 Microsoft に送信する。これには、[Microsoft エラー レポート] ダイアログ ボックスの [報告を今すぐ送信する] をクリックします。ISA Server では、既定で、ローカル ホスト ネットワークから Microsoft のエラー報告サイトに HTTP または HTTPS トラフィックを送信できるシステム ポリシー ルールが有効になっています。システム ポリシーの詳細については、「システム ポリシーの概要」を参照してください。
  • 企業内エラー報告ツールを使用する。グループ ポリシーが構成されている組織では、管理者が企業内エラー報告ツールを使用してエラーを収集し、必要なものを Microsoft に報告することができます。これを有効にすると、企業内エラー報告ツールがインストールされているサーバーに、エラーが自動的にリダイレクトされます。

ドキュメントのフィードバック

このほか、ISA Server のオンライン ヘルプでは、ドキュメントにコンテンツの評価システムが組み込まれています。ユーザーは各ページを評価して、ISA Server のドキュメント チームにコメントを送信することができます。ISA Server ドキュメント チームでは、ドキュメントに関するご意見ご感想をお待ちしています。

内部ネットワークの SMTP サーバーを使用して ISA Server コンピュータから電子メール メッセージを送信する場合は、ローカル ホスト ネットワークが SMTP プロトコルを使用して内部ネットワークにアクセスできるようにするためのシステム ポリシー ルールを有効にする必要があります。[システム ポリシー エディタ] の [リモート監視] 構成グループで [SMTP] を選択し、[有効にする] をクリックします。"ISA Server から信頼されたサーバーへの SMTP を許可する" ルールが有効になります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


管理とセキュリティ : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 を管理する手順について説明します。

  • 作業ウィンドウを表示する
  • ISA Server コンピュータの詳細を表示する
  • エンタープライズを管理する
  • アレイを管理する
  • バックアップと復元
  • アレイ管理者の管理ロールを割り当てる
  • エンタープライズ管理者の管理ロールを割り当てる


作業ウィンドウを表示する

作業ウィンドウを表示するには

  • ISA Server の管理の [表示] メニューで、[作業ウィンドウ] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ISA Server コンピュータの詳細を表示する

ISA Server コンピュータの詳細を表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[サーバー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • サーバー
  2. 詳細ウィンドウで、該当するサーバーをクリックします。
  3. [タスク] タブで、[選択されたサーバーの構成] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。


エンタープライズを管理する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 エンタープライズを管理する手順について説明します。

  • 構成保管サーバーに接続する
  • エンタープライズから切断する
  • アレイ ルールの要素をエンタープライズにコピーする


構成保管サーバーに接続する

構成保管サーバーに接続するには

  1. [ISA Server の管理] のコンソール ツリーで、[Microsoft Internet Security and Acceleration Server 2004] をクリックします。
  2. [タスク] タブで、[構成保管サーバーに接続] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ローカルまたはリモートの構成保管サーバーに接続できます。ローカルの構成保管サーバーを選択する場合は、このコンピュータ上に構成保管サーバーをインストールする必要があります。手順については、「構成保管サーバーをインストールする」を参照してください。
  • リモートの構成保管サーバーを選択する場合は、サーバーへの適切なアクセス許可が必要です。
  • ADAM ADSI 編集ツールを使用して、レプリケーション頻度を構成することができます。手順については、構成保管サーバーの Active Directory Application Mode (ADAM) ヘルプで、「サイト内レプリケーションの頻度を構成する」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズから切断する

エンタープライズから切断するには

  1. [ISA Server の管理] のコンソール ツリーで、[Microsoft Internet Security and Acceleration Server 2004] をクリックします。
  2. [タスク] タブで、[切断] をクリックします。
  3. メッセージ ボックスで、[はい] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • エンタープライズから切断すると、このコンピュータからは ISA Server エンタープライズまたはアレイの構成を表示または管理できなくなります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイ ルールの要素をエンタープライズにコピーする

アレイ ポリシーの要素をエンタープライズにコピーするには

  1. [ISA Server の管理] のコンソール ツリーで、該当するアレイをクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[アレイ ルール要素のエンタープライズへのコピー] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイを管理する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 アレイを管理する手順について説明します。

  • アレイを作成する
  • アレイの名前を変更する
  • アレイを削除する
  • このアレイの構成保管サーバーを指定する
  • 代替構成保管サーバーを指定する
  • 構成保管サーバーとの通信に使用する資格情報を指定する
  • アレイ内アドレスを構成する
  • アレイ内の資格情報を指定する
  • リモート管理に使用するコンピュータ名を構成する
  • エンタープライズ ポリシーを適用する


アレイを作成する

アレイを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[アレイ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
  2. [タスク] タブで、[新しいアレイの作成] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイの名前を変更する

アレイの名前を変更するには

  1. [ISA Server の管理] のコンソール ツリーで、対象の ISA Server アレイを右クリックし、[プロパティ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [全般] タブの [名前] に、ISA Server 構成の管理に使用する名前を入力します。
  3. [DNS 名] に、アレイを表す DNS 名を入力します。これは、アレイに接続するファイアウォール クライアントおよび Web プロキシ クライアントによって使用される名前です。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この構成変更を保存するには、[適用] ボタンをクリックする必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイを削除する

アレイを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[<アレイ名>] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[選択されたアレイの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


このアレイの構成保管サーバーを指定する

このアレイの構成保管サーバーを指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[<アレイ名>] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[アレイ プロパティの構成] をクリックします。
  3. [構成の保管] タブの [構成保管サーバー] で、このアレイが使用する構成保管サーバーのコンピュータ名または IP アドレスを入力します。
  4. (省略可能) [代替構成保管サーバー] に、最初の構成保管サーバーを使用できない場合に使用する代替構成保管サーバーのコンピュータ名を入力します。
  5. [構成保管サーバーで更新を確認する間隔] で、次のいずれかのオプションを選択します。
    • [15 秒]。これは比較的高頻度です。これにより、アレイ メンバの最新の構成情報が確保されるようになります。
    • [10 分]。これは標準的な頻度です。
    • [60 分]。これは比較的低頻度です。構成の変更がほとんどない場合にのみこの設定をお勧めします。
    • [カスタム]。このオプションを選択した場合は、テキスト ボックスに更新頻度の秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワークに帯域幅の制約があることを考えて、構成保管サーバーをできる限り頻繁にチェックするようアレイを構成することをお勧めします。
  • プライマリ構成保管サーバーが 30 分間使用できない場合、ISA Server は代替構成保管サーバーに切り替えます (指定されている場合)。代替構成保管サーバーを 6 時間使用すると、ISA Server はプライマリ構成保管サーバーが使用可能かどうかを定期的に確認します。プライマリ サーバーが使用可能になってから 10 分後に、アレイはプライマリ構成保管サーバーに切り替えます。
    ここで指定した時間が既定値になります。これらは、ISA Server ソフトウェア開発キット (SDK) を使用して構成できます。これらの既定値を構成するサンプル スクリプトについては、コーディングについてのページ (英語情報) (http://www.microsoft.com/) を参照してください。
  • 構成保管サーバーを変更した後、ISA Server サービスを実行しているコンピュータが "管理された ISA Server コンピュータ" コンピュータ セットに含まれていることを確認してください。
  • 構成保管サーバーを構成保管サーバーのレプリケートとして別のサイトにインストールする場合は、まず AdamSites.exe ツールを使用します。詳細については、「ADAM サイト間での構成保管サーバーの展開」を参照してください。
  • 構成保管サーバーが使用できない場合、構成保管サーバーのレプリケートで、ISA Server の管理において、アレイの構成保管サーバーをこの構成保管サーバー (レプリケート) に変更します。各アレイ メンバで、ISA Server のインストール フォルダにある ChangeStorageServer.vbs スクリプトを実行します。使用手順については、[cscript ChangeStorageServer.vbs ?] を実行してください。
  • 構成保管サーバーを変更するには、ISA Server を再インストールして [修復] オプションを指定します。この場合、コンピュータ上の Microsoft ファイアウォール サービスを停止します。次に再インストール時に、新しい構成保管サーバーの名前を指定します。
  • 新しい構成保管サーバーを使用するよう構成した後、すぐにはアレイが構成保管サーバーの使用を開始しません。構成の状態を確認して、構成保管サーバーの変更が適用された日時を確認します。構成の状態を表示する手順については、「構成の状態を表示する」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


代替構成保管サーバーを指定する

代替構成保管サーバーを指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[<アレイ名>] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[アレイ プロパティの構成] をクリックします。
  3. [構成の保管] タブの [代替構成保管サーバー] に、このアレイが使用する代替構成保管サーバーのコンピュータ名または IP アドレスを入力します。このサーバーは、プライマリ構成保管サーバーに障害が発生した場合に使用されます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 代替構成保管サーバーを 6 時間使用すると、ISA Server はプライマリ構成保管サーバーが使用可能かどうかを定期的に確認します。プライマリ サーバーが使用可能になってから 10 分後に、アレイはプライマリ構成保管サーバーに切り替えます。
    ここで指定した時間が既定値になります。これらは、ISA Server ソフトウェア開発キット (SDK) を使用して構成できます。これらの既定値を構成するサンプル スクリプトについては、コーディングについてのページ (英語情報) (http://www.microsoft.com/) を参照してください。
  • 代替サーバーが 30 分間使用できない場合、アレイはプライマリ構成保管サーバーに切り替えます (使用可能な場合)。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


構成保管サーバーとの通信に使用する資格情報を指定する

構成保管サーバーとの通信に使用する資格情報を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[<アレイ名>] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[アレイ プロパティの構成] をクリックします。
  3. [構成の保管] タブで、[選択] をクリックします。
  4. [認証の種類の選択] で、次のいずれかを選択します。
    • [Windows 認証]。このオプションは、構成保管サーバーおよび ISA Server サービスを実行しているコンピュータが、単一のドメインまたは信頼関係のあるドメイン内に配置されている場合に選択します。
    • [SSL 暗号化チャネル経由の認証]。このオプションは、アレイ メンバと構成保管サーバーを同じワークグループ内に、または信頼されていないドメイン内に配置する場合に選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [SSL 暗号化チャネル経由の認証] を選択する場合は、構成保管サーバーに証明書がインストールされている必要があります。ISA Server のダウンロード ページ (http://www.microsoft.com/) で入手可能な ISACertTool を使用できます。ISACertTool を実行すると、ADAM_ISASTGCTRL ローカル ストア内の証明書がすべて消去されます。ツールの実行時に /keepcerts フラグを指定することによって、すべての証明書をそのまま残すことができます。
  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイ内アドレスを構成する

アレイ内アドレスを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[サーバー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • サーバー
  2. 詳細ウィンドウで、該当するサーバーを選択します。
  3. [タスク] タブで、[選択されたサーバーの構成] をクリックします。
  4. [通信] タブの [アレイ メンバ間の通信に使用する IP アドレス] で、アレイ内通信に使用するサーバー上の IP アドレスを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アレイ内アドレスを再構成すると、新しいアドレスが [アレイ サーバー] コンピュータ セットに追加されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイ内の資格情報を指定する

アレイ内の資格情報を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[<アレイ名>] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[アレイ プロパティの構成] をクリックします。
  3. [アレイ内の資格情報] タブで、次のいずれかを選択します。
    • [アレイ メンバのコンピュータ アカウントを使用して認証する]。このオプションは、アレイ メンバ間の通信を、ローカル コンピュータ アカウントを使用して認証する場合に選択します。このオプションは、アレイ メンバが 1 つの Windows ドメイン内にある場合のみ選択してください。
    • [次のアカウントを使用して認証する (ワークグループの構成用のみ)]。このオプションは、アレイ メンバ間の通信を、指定のアカウントを使用して認証する場合に選択します。このオプションは、アレイ メンバが 1 つのワークグループ内にある場合のみ選択してください。
  4. [次のアカウントを使用して認証する] を選択した場合は、[アカウントの設定] をクリックし、通信の認証に使用するユーザー アカウントを指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


リモート管理に使用するコンピュータ名を構成する

リモート管理に使用するコンピュータ名を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[サーバー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • サーバー
  2. 詳細ウィンドウで、該当するサーバーを選択します。
  3. [タスク] タブで、[選択されたサーバーの構成] をクリックします。
  4. [通信] タブで、次のオプションのいずれかを選択します。
    • [フル コンピュータ名を使用する]。このオプションを選択すると、リモート管理の目的でこの ISA Server コンピュータに接続する際に、フル コンピュータ名が使用されます。
    • [次の IP アドレスまたはコンピュータ名を使用する]。このオプションを選択する場合は、リモート管理の目的でこの ISA Server コンピュータに接続する際に使用する IP アドレスまたは完全修飾ドメイン名 (FQDN) を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ここで指定する名前は、アレイをリモート管理するコンピュータが使用する名前です。
  • コンピュータの IP アドレスを変更する場合は、リモート管理用にここで指定した IP アドレスを必ず更新してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズ ポリシーを適用する

エンタープライズ ポリシーを適用するには

  1. [ISA Server の管理] のコンソール ツリーで、[<アレイ名>] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[アレイ プロパティの構成] をクリックします。
  3. [ポリシーの設定] タブの [エンタープライズ ポリシー] で、このアレイに適用するエンタープライズ ポリシーを選択します。
  4. 次のオプションの中から 1 つまたは複数を選択します。
    • ["拒否" アクセス ルール]。このオプションを選択すると、アクセスを拒否するアクセス ルールをこのアレイで作成できます。
    • ["許可" アクセス ルール]。このオプションを選択すると、アクセスを許可するアクセス ルールをこのアレイで作成できます。
    • [公開ルール ("拒否" および "許可")]。このオプションを選択すると、公開ルールをこのアレイで作成できます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アレイに対して作成できるルールの種類を構成できるのは、ISA Server エンタープライズ管理者ロールが割り当てられたユーザーのみです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


バックアップと復元

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 を管理する手順について説明します。

  • 構成をエクスポートする
  • 構成をインポートする
  • エンタープライズ構成をバックアップする
  • エンタープライズ構成を復元する
  • Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成をバックアップする
  • Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成を復元する

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


構成をエクスポートする

構成をエクスポートするには

  1. [ISA Server の管理] のコンソール ツリーで、該当するオブジェクトをクリックします。たとえば、ルールをエクスポートする場合は、次の操作を行います。
    1. [ファイアウォール ポリシー] をクリックします。

      場所 :

      • Microsoft Internet Security and Acceleration Server 2004
      • アレイ
      • <アレイ名>
      • ファイアウォール ポリシー
    2. 詳細ウィンドウで、目的のルールを右クリックし、[選択項目をエクスポート] をクリックします。
  2. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • エンタープライズの構成をエクスポートするには、ユーザーはエンタープライズ管理者またはエンタープライズ監査者でなければなりません。機密情報をエクスポートするには、ユーザーはエンタープライズ管理者でなければなりません。アレイ レベルの機密情報をエクスポートするには、ユーザーは ISA Server アレイ管理者でなければなりません。
  • ファイアウォール ポリシーのエクスポートでは、システム ポリシー ルールはエクスポートされません。システム ポリシーをエクスポートするには、[システム ポリシーのエクスポート] タスクを選択します。
  • ユーザー パスワードや証明書などの機密情報をエクスポートするには、[機密情報を暗号化してエクスポートする] をクリックします。この情報は、エクスポート時に暗号化されます。
  • パスワードを指定する必要があるのは、機密情報をエクスポートするときのみです。
  • 暗号化された情報が適切に保護されるよう、強力なパスワードを指定します。許可されていないアクセスを効果的に防御できるものが、強力なパスワードと見なされます。強力なパスワードには、ユーザーのアカウント名の全部または一部を使用しません。大文字、小文字、0 ～ 9 の数字、およびキーボードで使用されている記号 (!、@、# など) の 4 種類の文字の中から、少なくとも 3 種類を使用します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


構成をインポートする

構成をインポートするには

  1. [ISA Server の管理] のコンソール ツリーで、該当するアレイをクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[アレイ構成のインポート (復元)] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ユーザーのアクセス許可をインポートするには、[ユーザー アクセス許可設定をインポートする] をクリックします。このオプションは、ユーザーのアクセス許可がエクスポートされている場合のみ使用できます。
  • キャッシュ ドライブ設定などのサーバー固有の詳細情報をインポートするには、[キャッシュ ドライブの設定と SSL 証明書をインポートする] をクリックします。このオプションは、この情報がエクスポートされている場合のみ使用できます。
  • ファイルと共に機密情報がエクスポートされている場合は、機密情報の解読に必要なパスワードを指定します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズ構成をバックアップする

エンタープライズ構成をバックアップするには

  1. [ISA Server の管理] のコンソール ツリーで、[Microsoft Internet Security and Acceleration Server 2004] をクリックします。
  2. [タスク] タブで、[構成のエクスポート (バックアップ)] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • エンタープライズの構成をエクスポートするには、ユーザーはエンタープライズ管理者またはエンタープライズ監査者でなければなりません。機密情報をエクスポートするには、ユーザーはエンタープライズ管理者でなければなりません。
  • エクスポートされた構成ファイルには機密情報が格納されているので、セキュリティで保護します。暗号化された情報が適切に保護されるよう、強力なパスワードを指定します。許可されていないアクセスを効果的に防御できるものが、強力なパスワードと見なされます。強力なパスワードには、ユーザーのアカウント名の全部または一部を使用しません。大文字、小文字、0 ～ 9 の数字、およびキーボードで使用されている記号 (!、@、# など) の 4 種類の文字の中から、少なくとも 3 種類を使用します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズ構成を復元する

エンタープライズ構成を復元するには

  1. [ISA Server の管理] のコンソール ツリーで、[Microsoft Internet Security and Acceleration Server 2004] をクリックします。
  2. [タスク] タブで、[構成のインポート (復元)] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成をバックアップする

Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成をバックアップするには

  1. [スタート] ボタンをクリックし、[すべてのプログラム]、[アクセサリ]、[システム ツール] の順にポイントし、[バックアップ] をクリックします。
  2. [ようこそ] ページで、[詳細モード] をクリックします。
  3. [バックアップ] タブで、Program files\Microsoft ISA Server の下にある ADAMData フォルダを選択します。
  4. [バックアップを格納するメディア名またはファイル名] に、バックアップ ファイルの名前を入力します。
  5. [バックアップの開始] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成を復元する

Windows バックアップ ユーティリティを使用して大規模なエンタープライズ構成を復元するには

  1. 詳細ウィンドウで、[スタート] ボタンをクリックし、[すべてのプログラム]、[アクセサリ]、[システム ツール] の順にポイントし、[バックアップ] をクリックします。
  2. [ようこそ] ページで、[詳細モード] をクリックします。
  3. [メディアの復元と管理] タブで、復元する項目を選択します。
  4. [ファイルの復元先] で、[元の場所] を選択します。
  5. [ツール] メニューの [オプション] をクリックします。
  6. [常にディスク上のファイルを置き換える] をクリックします。
  7. [復元の開始] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイ管理者の管理ロールを割り当てる

アレイ管理者の管理ロールを割り当てるには

  1. [ISA Server の管理] のコンソール ツリーで、該当するアレイをクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
  2. [タスク] タブで、[管理ロールを割り当てる] をクリックします。
  3. ISA Server サービスを実行しているコンピュータがドメイン内にある場合は、上の [追加] ボタンをクリックします。次の操作を行います。
    1. [グループまたはユーザー] に、構成保管サーバーにアクセス可能なグループまたはユーザーの名前を入力します。
    2. [ロール] で、次のいずれかを選択します。
      • [ISA Server アレイ管理者]。指定したグループまたはユーザーに、アレイに対するフル コントロール アクセス許可を与えます。管理者は、アレイに適用されているエンタープライズ ポリシーを表示することもできます。
      • [ISA Server アレイ監査者]。指定したグループまたはユーザーに、監視アクセス許可を与え、アレイ構成の表示を許可します。
      • [ISA Server アレイ監視監査者]。指定したグループまたはユーザーに、一部の監視アクセス許可を与えます。
  4. ISA Server サービスを実行しているコンピュータがワークグループ内にある場合は、下の [追加] ボタンをクリックします。次の操作を行います。
    1. [グループまたはユーザー] に、構成保管サーバーにアクセス可能なグループまたはユーザーの名前を入力します。
    2. [ロール] で、次のいずれかを選択します。
      • [ISA Server アレイ管理者]。指定したグループまたはユーザーに、アレイに対するフル コントロール アクセス許可を与えます。管理者は、アレイに適用されているエンタープライズ ポリシーを表示することもできます。
      • [ISA Server アレイ監査者]。指定したグループまたはユーザーに、監視アクセス許可を与え、アレイ構成の表示を許可します。
      • [ISA Server アレイ監視監査者]。指定したグループまたはユーザーに、一部の監視アクセス許可を与えます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server サービスを実行しているコンピュータがワークグループ内にある場合は、ここで指定したアカウントと同じ (ミラー化された) アカウントを、各アレイ メンバ上で作成する必要があります。
  • ワークグループのシナリオでは、次の 2 つの場所でユーザーまたはグループの名前を指定します。
    • 上の [追加] ボタンをクリックした場合、[グループまたはユーザー] で、<構成保管サーバー名>\<ユーザー名> という形式でグループまたはユーザーの名前を指定します。
    • 下の [追加] ボタンをクリックした場合、[グループまたはユーザー] で、<ユーザー名> という形式でグループまたはユーザーの名前を指定します。<構成保管サーバー名> は指定しません。
  • 構成保管サーバーがドメイン内にある場合、ドメイン レベルのユーザーを指定する必要があります。ローカル ユーザーは指定しないでください。
  • "Creator Owner" および "Creator Group" というセキュリティ識別子 (SID) に管理ロールを委任しないでください。これは、これらの SID が、ISA Server の構成が格納されている Active Directory Application Mode (ADAM) に存在しないからです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズ管理者の管理ロールを割り当てる

エンタープライズ管理者の管理ロールを割り当てるには

  1. [ISA Server の管理] のコンソール ツリーで、[エンタープライズ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
  2. [タスク] タブで、[管理ロールを割り当てる] をクリックします。
  3. ISA Server サービスを実行しているコンピュータがドメイン内にある場合は、上の [追加] ボタンをクリックします。次の操作を行います。
    1. [グループまたはユーザー] に、構成保管サーバーにアクセス可能なグループまたはユーザーの名前を入力します。
    2. [ロール] で、次のいずれかを選択します。
      • [ISA Server エンタープライズ管理者]。指定したグループまたはユーザーにフル コントロール アクセス許可を与えます。
      • [ISA Server エンタープライズ監査者]。指定したグループまたはユーザーに、エンタープライズおよびアレイの構成の表示を許可します。
  4. ISA Server サービスを実行しているコンピュータがワークグループ内にある場合は、下の [追加] ボタンをクリックします。次の操作を行います。
    1. [グループまたはユーザー] に、構成保管サーバーにアクセス可能なグループまたはユーザーの名前を入力します。
    2. [ロール] で、次のいずれかを選択します。
      • [ISA Server エンタープライズ管理者]。指定したグループまたはユーザーにフル コントロール アクセス許可を与えます。
      • [ISA Server エンタープライズ監査者]。指定したグループまたはユーザーに、エンタープライズおよびアレイの構成の表示を許可します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server サービスを実行しているコンピュータがワークグループ内にある場合は、ここで指定したアカウントと同じ (ミラー化された) アカウントを、各アレイ メンバ上で作成する必要があります。
  • ワークグループのシナリオでは、次の 2 つの場所でグループまたはユーザーの名前を指定します。
    • 上の [追加] ボタンをクリックした場合、[グループまたはユーザー] で、<構成保管サーバー名>\<ユーザー名> という形式でグループまたはユーザーの名前を指定します。
    • 下の [追加] ボタンをクリックした場合、[グループまたはユーザー] で、<ユーザー名> という形式でグループまたはユーザーの名前を指定します。<構成保管サーバー名> は指定しません。
  • "Creator Owner" および "Creator Group" というセキュリティ識別子 (SID) に管理ロールを委任しないでください。これは、これらの SID が、ISA Server の構成が格納されている Active Directory Application Mode (ADAM) に存在しないからです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズ ポリシー管理者に管理ロールを割り当てる

エンタープライズ ポリシー管理者に管理ロールを割り当てるには

  1. [ISA Server の管理] のコンソール ツリーで、該当するエンタープライズ ポリシーをクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
    • <エンタープライズ ポリシー>
  2. [タスク] タブで、[エンタープライズ ポリシーのプロパティの編集] をクリックします。
  3. [ロールの割り当て] タブで、[追加] をクリックします。次の操作を行います。
    • [グループまたはユーザー] に、構成保管サーバーにアクセス可能なグループまたはユーザーの名前を入力します。
    • [ロール] で、[ISA Server エンタープライズ ポリシー編集者] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • "Creator Owner" および "Creator Group" というセキュリティ識別子 (SID) に管理ロールを委任しないでください。これは、これらの SID が、ISA Server の構成が格納されている Active Directory Application Mode (ADAM) に存在しないからです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


管理のトラブルシューティング

どのような問題がありますか?

アレイ メンバから構成保管サーバーに接続できません。

原因 : 構成保管サーバーの名前が正しく指定されていないか、サーバー証明書 (証明書認証を使用する場合) またはサーバー プリンシパル名 (SPN) (ドメイン認証を使用する場合) と一致していません。

解決方法 : 構成保管サーバーの名前が、アレイに正しく指定されていることを確認します。手順については、「このアレイの構成保管サーバーを指定する」を参照してください。

原因 : 構成保管サーバーに指定された名前を解決できません。

解決方法 : 構成保管サーバーの名前が、アレイ メンバ上で解決可能であることを確認します。構成保管サーバーに ping を実行してみてください。また、構成保管サーバーの IP アドレスが、指定した名前に解決されることを確認します。解決されない場合は、必要に応じて Hosts ファイルまたはドメイン ネーム システム (DNS) サーバーを変更します。

このアレイによって使用されるプライマリまたは代替 (存在する場合) 構成保管サーバーが使用できません。

原因 : このアレイで使用するプライマリおよび代替 (存在する場合) 構成保管サーバーが使用できなくなっています。ただし、構成保管サーバーのレプリケートは存在します。

解決方法 : 構成保管サーバーのレプリケートで、ISA Server の管理において、アレイの構成保管サーバーをこの構成保管サーバーのレプリケートに変更します。手順については、「このアレイの構成保管サーバーを指定する」を参照してください。各アレイ メンバで、ISA Server のインストール フォルダにある ChangeStorageServer.vbs スクリプトを実行します。
使用方法については、コマンド プロンプトで「cscript ChangeStorageServer.vbs ?」と入力してください。

アレイ メンバを構成保管サーバーで認証できません。

原因 : アレイ メンバを、ドメイン認証を使用して構成保管サーバーで認証できません。これが原因であることをチェックするには、次の手順を実行します。

  1. コマンド プロンプトで、<now_+1 minute> /interactive ldp.exe と入力します。
    • now は現在の時刻です。
    • ldp.exe は、構成保管サーバーの %windir%\ADAM フォルダにあるユーティリティです。
  2. [Connection] メニューの [Connect] をクリックします。
  3. [Server] に、構成保管サーバーの名前を入力します。[Port] に、「2171」と入力します。[OK] をクリックします。
  4. [Connection] メニューの [Bind] をクリックします。
  5. [Domain] を選択し、[OK] をクリックします (NULL 資格情報をバインドします)。
  6. [View] メニューの [Tree] をクリックします。
  7. [BaseDN] で、[CN=FPCConfiguration] を選択します。名前空間で、構成を読み取れることを確認します。

ツリーを参照できないけれども、ISA Server の管理を開くことができる場合は、認証の問題があることが考えられます。

解決方法 : 必要なサービス プリンシパル名 (SPN) が登録されていることを確認します。手順については、構成保管サーバーにある ADAM ヘルプで、「ADAM サービス プリンシパル名を管理する」を参照してください。

構成保管サーバーでアレイ メンバを認証できません。おそらく、証明書認証の問題のためと思われます。

原因 : 証明機関 (CA) の証明書がアレイ メンバにインストールされていない (または期限が切れている) ため、アレイ メンバを、証明書認証を使用して構成保管サーバーで認証することができません。

解決方法 : CA 証明書をアレイ メンバにインストールします。次の手順を実行します。

  1. 構成保管サーバーで、[スタート] ボタン、[ファイル名を指定して実行] の順にクリックし、「MMC.exe」と入力して、[OK] をクリックします。
  2. [ファイル] メニューの [スナップインの追加と削除]、[追加] の順にクリックします。
  3. [利用できるスタンドアロン スナップイン] で、[証明書]、[追加] の順にクリックします。
  4. [コンピュータ アカウント] を選択し、[次へ]、[完了] の順にクリックします。[閉じる]、[OK] の順にクリックします。
  5. [コンソール ルート]、[証明書]、[信頼されたルート証明機関] の順にクリックし、[証明書] を右クリックします。
  6. [すべてのタスク]、[インポート] の順にクリックし、画面上に表示される指示に従います。

アレイ メンバが構成保管サーバーに接続できません。おそらく、証明書の期限切れの問題のためと思われます。

原因 : サーバー証明書が期限切れであるか、または構成保管サーバーにインストールされていないため、アレイ メンバを、証明書認証を使用して構成保管サーバーで認証することができません。

解決方法 : 構成保管サーバーで有効な証明書が使用可能であるかどうかをチェックします。手順については、「サーバー証明書を取得する」を参照してください。有効な証明書が使用可能でない場合は、構成保管サーバー上の ISA Server インストールを修復して、新しいサーバー証明書をインストールします。

ISA Server コンピュータの IP アドレスを変更したところ、ISA Server がそのローカル ホスト ネットワーク構成を更新しなくなりました。

原因 : ISA Server コンピュータの IP アドレスを変更したときに、アレイ メンバ間の通信に使用されるアレイ内アドレスは自動的に更新されません。

解決方法 : このコンピュータのアレイ内アドレスを、新しい IP アドレスに変更します。手順については、「アレイ内アドレスを構成する」を参照してください。

アレイにアレイ メンバを追加しましたが、そのアレイ メンバが表示されません。

原因 : 新しいサーバーを追加したときに、ISA Server の管理が開いていました。このため、サーバーの一覧は更新されません。

解決方法 : ISA Server の管理を閉じてから、再度開きます。

構成保管サーバー間のレプリケーションをもっと頻繁に行うようスケジュールしたいのですが。

原因 : 構成保管サーバー間のレプリケーションをスケジュールできます。

解決方法 : ADAM ADSI Edit ツールを使用して、レプリケーションの頻度を構成します。手順については、構成保管サーバーの Active Directory Application Mode (ADAM) ヘルプで、「サイト内レプリケーションの頻度を構成する」を参照してください。

ADAM ツール (ADAM ADSI Edit) を使用して、ISA Server 構成のトラブルシューティングを行うにはどうしたらいいですか?

原因 : ISA Server 構成は、Active Directory Application Mode (ADAM) に格納されます。ADAM ADSI Edit を使用して、ISA Server 構成を表示できます。

解決方法 : 次の手順を実行します。

  1. 構成保管サーバーで、[スタート] ボタンをクリックし、[すべてのプログラム]、[ADAM] の順にポイントして、[ADAM ADSI Edit] をクリックします。
  2. ADAM ADSI Edit ツールで、[ADAM ADSI Edit] を右クリックし、[接続] をクリックします。
  3. [サーバー名] で、[localhost] を選択します。
  4. [ポート] に、「2171」と入力します。
  5. [識別名 (DN) または名前付けコンテキスト] をクリックします。テキスト ボックスに、「CN=FPCConfiguration」と入力します。


ネットワーク

Microsoft® Internet Security and Acceleration (ISA) Server 2004 では、マルチネットワーク モデルが採用されています。このモデルを使用すると、ISA Server でセキュリティ保護されるネットワーク間の関係を定義できます。ここでは、マルチネットワーク機能について説明し、ISA Server にネットワークを構成する手順を示します。

  • ネットワーク : 概念
  • ネットワーク : 操作方法
  • ネットワークに関する問題のトラブルシューティング


ネットワーク : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のネットワーク機能について説明します。

  • マルチネットワークの概要
  • ネットワーク
  • ネットワーク テンプレート
  • ネットワーク ルール
  • チェーンとルーティング
  • ネットワーク負荷分散


マルチネットワークの概要

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、マルチネットワークの概念が導入されています。ISA Server のマルチネットワーク機能を使用して、組織の内部、外部に関係なくクライアント間の通信を制限することで、内外のセキュリティ上の脅威からネットワークを保護できます。内部ネットワーク内のコンピュータをネットワーク セットにグループ化し、各ネットワーク セット固有のアクセス ポリシーを構成することができます。また、さまざまなネットワーク間に関係を定義することで、各ネットワーク上のコンピュータが ISA Server 経由でどのように通信を行うかを指定できます。

一般的な公開シナリオでは、境界領域ネットワークなどのサーバー独自のネットワーク上にある公開されたサーバーを分離する場合があります。ISA Server のマルチネットワーク機能はこのようなシナリオに対応しているため、企業ネットワーク上のクライアントが境界領域ネットワークにアクセスする方法、および外部クライアントがこのネットワークにアクセスする方法を構成することができます。さまざまなネットワーク間の関係を構成することで、各ネットワーク間にさまざまなアクセス ポリシーを定義できます。

次の図は、マルチネットワークのシナリオを表しています。

マルチネットワーク

この図では、ISA Server コンピュータがインターネット (外部ネットワーク) と内部ネットワーク、企業ネットワーク、および境界領域ネットワークを接続しています。ISA Server コンピュータ上の各ネットワーク アダプタが、それぞれのネットワークに接続されています。ISA Server を使用して、任意のペアのネットワーク間にさまざまなアクセス ポリシーを構成することができます。各ネットワーク上のコンピュータが互いに通信できるかどうか、およびその通信方法を指定できます。各ネットワークは互いに分離されており、通信を可能にするルールを構成した場合のみアクセスできるようになります。

ISA Server のマルチネットワーク機能を使用して、組織の内部および外部にあるコンピュータ間の接続性と関係を識別、構成、および定義することができます。マルチネットワーク環境を構成するには、ネットワークを識別し、オプションでそれらをネットワーク セットにグループ化し、ネットワーク間の関係を定義します。詳細については、「ネットワークおよびネットワーク セットの構成」を参照してください。

エンタープライズ ネットワーク

アレイ レベル ネットワークと同様に、エンタープライズ ネットワークでもマルチネットワーク モデルがサポートされます。エンタープライズ ネットワークでは、マルチネットワーク モデルが拡張され、1 つのポリシーをマルチネットワーク アレイ全体に適用できます。詳細については、「エンタープライズ ネットワーク」を参照してください。

ビルトイン ネットワーク

ISA Server には、複数のビルトイン ネットワーク要素が含まれています。次にいくつかの例を示します。

  • ビルトイン外部ネットワークには、他のどのネットワークにも属さないアドレスが自動的に取り込まれます。外部ネットワークの詳細については、「外部ネットワーク」を参照してください。
  • ビルトイン VPN クライアント ネットワークには、VPN クライアントに割り当てられたすべてのアドレスが自動的に取り込まれます。VPN クライアント ネットワークの詳細については、「VPN クライアントとファイアウォール ポリシー」を参照してください。
  • ビルトイン ローカル ホスト ネットワークには、ISA Server コンピュータ上のアドレスが取り込まれます。

ネットワーク間のアクセス

ネットワークを定義した後に、ネットワークが接続されるかどうか、およびどのように接続されるかを指定するネットワーク ルールを作成します。ISA Server を使用してネットワーク ルールを定義し、それによってネットワーク間のアクセスを可能にすることができます。その場合、ネットワークが接続されるかどうかだけではなく、その接続方法も定義します。こうして、ネットワーク間にネットワーク アクセス ポリシーを設定します。詳細については、「ネットワーク ルール」を参照してください。


ネットワーク

ここでは、ネットワークについて説明します。

  • ネットワークおよびネットワーク セットの構成
  • エンタープライズ ネットワーク
  • ローカル ホスト ネットワーク
  • 既定の内部ネットワーク
  • 外部ネットワーク
  • スプーフィング検出
  • ネットワーク構成の手順


ネットワークおよびネットワーク セットの構成

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、ネットワークはインターネット プロトコル (IP) アドレスの範囲を 1 つ以上含むことができるルール要素です。ネットワークには、通常、物理ネットワークに対応している 1 台以上のコンピュータが含まれています。1 つ以上のネットワークに対して、あるいは指定したネットワークのアドレスを除いたすべてのアドレスに対して、ルールを適用できます。

アレイ レベル ネットワークとエンタープライズ ネットワークを作成できます。アレイ レベル ネットワークは特定のアレイのスコープ内で使用され、エンタープライズ ネットワークはエンタープライズ内の任意のアレイによって使用されます。エンタープライズ ネットワークの詳細については、「エンタープライズ ネットワーク」を参照してください。

アレイ レベルでは、コンピュータ上の各ネットワーク アダプタを、1 つのネットワークにマップできます。ネットワークには、1 つ以上のネットワーク アダプタと関連付けられているアドレスを含めることができます。また、ネットワークでは、ファイアウォール クライアントと Web プロキシ クライアントがそのネットワーク上でサポートされるかどうかも決定されます。

ISA Server には、次のアレイ レベル ネットワークが事前に構成されています。

  • ローカル ホスト。このネットワークは ISA Server コンピュータに相当します。ローカル ホスト ネットワークは変更および削除できません。詳細については、「ローカル ホスト ネットワーク」を参照してください。
  • 外部。このネットワークには、その他のネットワークに関連付けられていないすべてのコンピュータ (IP アドレス) が含まれます。既定の外部ネットワークは変更および削除できません。詳細については、「外部ネットワーク」を参照してください。
  • 内部。インストール時に、このネットワークには、インストール プロセスで指定されたすべてのコンピュータ (IP アドレス) が含まれます。既定の内部ネットワークは削除できません。詳細については、「既定の内部ネットワーク」を参照してください。
  • VPN クライアント。このネットワークには、現在接続されているクライアントのアドレスが含まれます。使用可能なアドレス範囲は、仮想プライベート ネットワーク (VPN) のプロパティを構成するときに構成されます。VPN クライアント ネットワークは削除できません。詳細については、「VPN クライアントとファイアウォール ポリシー」を参照してください。
  • 検疫 VPN クライアント。このネットワークには、検疫をクリアしていない VPN クライアントのアドレスが含まれます。検疫 VPN クライアント ネットワークは削除できません。詳細については、「検疫 VPN クライアントに対するファイアウォール ポリシー」を参照してください。

アクセス ルールでは、ルールを適用する宛先ネットワークと送信元ネットワークを指定します。アレイ レベルのアクセス ルールは、エンタープライズ ネットワークまたはアレイ レベル ネットワークに適用できます。エンタープライズ レベルのアクセス ルールは、エンタープライズ ネットワークにのみ適用できます。送信元ネットワークは、指定した宛先ネットワークへのアクセスが許可または拒否されるネットワークを示します。詳細については、「アクセス ルール」を参照してください。

サーバー公開ルールでは、特定のコンピュータへのアクセスが許可される送信元ネットワークを指定します。

ネットワークを作成する

プレインストールされているネットワークの他にも、ネットワークを作成できます。アレイ レベル ネットワークおよびエンタープライズ ネットワークには、一定の IP アドレス範囲が含まれます。また、アレイ レベル ネットワークにエンタープライズ ネットワークを含めることができるため、アレイ レベル ネットワークには、必ずしも物理的にはアレイに接続されていない IP アドレスが含まれます。アレイ レベル ネットワークにエンタープライズ ネットワークを含む手順については、「アレイ レベル ネットワークにエンタープライズ ネットワークを含める」を参照してください。

ネットワークを作成する場合は、次のガイドラインに注意してください。

  • ホストには、0 個またはそれ以上のアダプタを搭載できます。
  • アダプタには 0 個またはそれ以上のアドレスを設定できます。各アドレスには、ネットワーク アダプタを 1 つだけ関連付けることができます。
  • 1 つのアドレスは、1 つのネットワークにのみ属しています。
  • 単一ネットワーク アダプタ上のアドレスは、すべて同じネットワークに属していなければなりません。

アレイ レベル ネットワークの種類

アレイ レベルで作成するネットワークとして選択できるのは、内部、外部、または境界領域ネットワークです。手順については、「アレイ レベル ネットワークを作成する」を参照してください。

これらのネットワークのいずれかを選択すると、そのネットワークに含まれる IP アドレスを指定できます。各 IP アドレスは、1 つのネットワークにのみ含まれます。手順については、「ネットワーク アドレスを構成する」を参照してください。

アレイ レベル ネットワークを作成したら、次のプロパティを構成できます。

  • ドメイン (ファイアウォール クライアントのみ)。ネットワークに含めるドメインを指定します。ネットワーク内のドメインの場合、クライアント要求は ISA Server 経由では転送されません。手順については、「ネットワークに含まれるドメインを構成する」を参照してください。
  • Web ブラウザ。Web ブラウザの構成方法を指定します。これらのプロパティにより、構成スクリプトで ISA Server を指定する Web ブラウザの構成方法が決定されます。手順については、「ファイアウォール クライアントで Web ブラウザの構成 URL を指定する」を参照してください。
  • 自動検出。このネットワーク内のクライアントが、自動的に ISA Server コンピュータを検出するかどうか、またその方法を指定します。手順については、「自動検出情報を公開する」を参照してください。
  • ファイアウォール クライアントのサポート。このネットワークが、ファイアウォール クライアントからの要求をポート 1745 でリッスンするかどうかを指定します。手順については、「ファイアウォール クライアント要求をリッスンする」を参照してください。
  • Web プロキシ クライアントのサポート。このネットワークが、Web プロキシ クライアントからの TCP 要求をリッスンするかどうかを指定します。手順については、「Web プロキシ クライアント要求をリッスンする」を参照してください。

アレイ レベルでは、新しいサイト間 VPN を作成することもできます。サイト間ネットワーク (リモート サイト ネットワーク) の詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。

ネットワーク セット

ネットワークを作成したら、1 つ以上のネットワークをネットワーク セットにグループ化できます。ネットワーク セットを使用すると、1 つ以上のネットワークを含めたり、1 つ以上のネットワークを明示的に除外したりできます。ルールは、ネットワークにもネットワーク セットにも適用できます。

アレイ レベル ネットワーク セットとエンタープライズ レベル ネットワーク セットを作成できます。アレイ レベル ネットワーク セットには、そのアレイのアレイ レベル ネットワークのみを含めることができます。同様に、エンタープライズ レベル ネットワーク セットには、エンタープライズ ネットワークのみを含めることができます。エンタープライズ レベル ネットワーク セットは、アレイ レベルおよびエンタープライズ レベルのルールで使用できます。

ISA Server をインストールすると、アレイ レベルとエンタープライズ レベルの 2 つのネットワーク セットが作成されます。これらのネットワーク セットは変更および削除できません。

  • すべてのネットワーク (ローカル ホスト含む)。アレイ レベルでは、このネットワーク セットにはアレイに定義されているすべてのネットワークが含まれます。新しいネットワークを作成すると、自動的にこのネットワーク セットに含まれます。"すべてのネットワーク" は、"任意の場所" と同じです。すべての IP アドレスは、"任意の場所" と "すべてのネットワーク" の両方に含まれます。
  • すべての保護されたネットワーク。このネットワーク セットには、ビルトイン外部ネットワークを除く、すべてのネットワークが含まれます。新しいネットワークを作成すると、自動的にこのネットワーク セットに含まれます。

手順については、「ネットワーク セットを作成する」を参照してください。


エンタープライズ ネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、エンタープライズは、組織のネットワーク内のすべての IP アドレスを表します。ISA Server エンタープライズ管理者は、ネットワーク トポロジ内の IP アドレス範囲を含むエンタープライズ ネットワークを作成できます。エンタープライズ ネットワーク内のトラフィックが、ファイアウォールや仮想プライベート ネットワーク (VPN) 接続などのセキュリティ境界を越えることはありません。

各 IP アドレスは、1 つのエンタープライズ ネットワークにのみ含まれます。エンタープライズ レベルで定義された IP アドレス、つまり同じエンタープライズ ネットワークに含まれている IP アドレスは、エンタープライズのアドレス範囲と見なされます。

エンタープライズ レベルでのエンタープライズ ネットワークの使用

エンタープライズ管理者は、エンタープライズ ネットワークを使用して、エンタープライズ レベルでアクセス ルールを作成します。これにより、エンタープライズ レベルの 1 つの変更を複数のアレイに適用できるので、ポリシーのメンテナンスが容易になります。また、エンタープライズ ネットワークは、エンタープライズ内でアレイが相互参照するための機構を提供します。

エンタープライズ ネットワークには、アレイ ネットワークで定義するようなその他のプロパティがありません。たとえば、エンタープライズ レベル ネットワークにネットワーク負荷分散 (NLB) や CARP (Cache Array Routing Protocol) を構成することはできません。

アレイ レベルでのエンタープライズ ネットワークの使用

アレイ管理者は、エンタープライズ ネットワークを使用してアレイ レベル ネットワークのアドレス範囲を定義することにより、エンタープライズ ネットワークをアレイ レベルで使用できます。

たとえば、2 つのアレイがあるとします。1 つはフロントエンド アレイ、もう 1 つはバックエンド アレイで、両方が接続されているネットワークの IP アドレス範囲は 10.0.0.0 ～ 10.0.0.8 です。また、エンタープライズ管理者が ENT 境界領域というエンタープライズ ネットワークを定義し、その IP アドレス範囲が 10.0.0.0 ～ 10.255.255.255 であるとします。各アレイ管理者は、境界領域というアレイ レベル ネットワークを定義し、このネットワークにエンタープライズ ネットワークの ENT 境界領域の IP 範囲を含めることができます。さらに、ネットワーク境界領域に基づいて、アレイ レベルのファイアウォール ポリシー ルールを作成できます。

アレイ レベルでは、各アレイ レベル ネットワークに複数のエンタープライズ ネットワークを含めることができます。

場合によっては、アレイ管理者がアレイ レベル ネットワークのみを作成し、そのアレイでのみ表示および使用可能なネットワークを作成することがあります。他のエンタープライズは、このネットワークを使用できません。たとえば、アレイ レベル ネットワークは次のシナリオで役立ちます。

  • エンタープライズ レベルで行われた変更が、アレイ レベル ネットワークに影響しないようにする。
  • アレイ レベル ネットワークがエンタープライズ レベルでは使用されず不要である場合に、アレイ レベル ネットワークを作成する。

アレイ レベル ネットワークに含まれていない IP アドレスからのトラフィックは、既定でスプーフィングと見なされます。これは、その IP アドレスがエンタープライズ ネットワークに含まれている場合も同様です。特定の IP アドレスからのトラフィックをスプーフィングと見なすかどうかを ISA Server が判断する方法を構成できます。詳細については、「スプーフィング検出」を参照してください。

定義済みのエンタープライズ ネットワーク

ISA Server には、同じ名前のアレイ レベル ネットワークのプレースホルダとして機能する、定義済みのエンタープライズ ネットワークが含まれています。アレイ レベルのファイアウォール ポリシー ルールを作成する場合は、定義済みのエンタープライズ ネットワークを明示的に使用できません。代わりに、通常、これらのネットワークは、エンタープライズ ポリシーで使用されます。エンタープライズ管理者が定義済みのエンタープライズ ネットワークに適用したすべてのルールは、同じ名前を持つアレイ レベル ネットワークに適用されます。たとえば、ローカル ホストという名前のエンタープライズ ネットワークに適用されるルールは、そのアレイのローカル ホスト ネットワーク内の IP アドレスに適用されます。ISA Server に含まれている定義済みのエンタープライズ ネットワークは次のとおりです。

  • 外部
  • ローカル ホスト
  • 検疫 VPN クライアント
  • VPN クライアント

エンタープライズ レベルのルールがエンタープライズ レベルの VPN クライアント ネットワークに適用される、別のシナリオを検討します。アレイ レベルでは、このルールはそのアレイに対する VPN クライアントにのみ適用されます。たとえば、このエンタープライズ ポリシーがエンタープライズ内の 2 つのアレイに適用されるとします。このシナリオでは、1 つのアレイが境界領域ネットワークのフロントエンドにあり、ローミング クライアントのアクセス (VPN) を許可するよう構成されています。2 つ目のアレイはバックエンドにあり、VPN クライアント アクセスが有効になっていません。VPN クライアントがフロントエンド アレイに接続されている場合、エンタープライズ ルールが VPN クライアントに適用されます。ただし、このクライアントからの要求がバックエンド アレイに渡される場合、クライアントはバックエンド アレイの VPN クライアントと見なされないので、このアレイではエンタープライズ ルールが適用されません。


ローカル ホスト ネットワーク

アレイ レベルでは、ローカル ホスト ネットワークは、Microsoft Internet Security and Acceleration (ISA) Server 2004 を表します。ISA Server に対して送受信されるすべてのトラフィックは、ローカル ホスト ネットワークを通過したものと見なされます。

すべてのネットワークと同様に、ローカル ホスト ネットワークと他のネットワークとの間の関係を定義する必要があります。既定の [ローカル ホスト アクセス] ネットワーク ルールにより、ローカル ホスト ネットワークとその他のすべてのネットワークの間のルート関係が定義されます。

ローカル ホスト ネットワークから通常他のネットワーク上にある基本サービスへのアクセスは、ファイアウォール ポリシーとネットワーク ルールの組み合わせが定義されている場合にのみ許可されます。これらのサービスの大部分は ISA Server の基本機能にとって重要であるため、ISA Server のインストール時に作成される既定のシステム ポリシー ルールのセットにより、これらのサービスへのアクセスが可能になります。システム ポリシーの詳細については、「システム ポリシーの概要」を参照してください。

エンタープライズ レベルのローカル ホスト ネットワーク

インストール時には、定義済みのエンタープライズ レベルのローカル ホスト ネットワークも作成されます。定義済みのエンタープライズ ネットワークでは、対応するアレイ レベルのネットワークと同じインターネット プロトコル (IP) アドレスが暗黙的に定義されます。具体的には、エンタープライズ レベルのローカル ホスト ネットワークでは、ローカル ISA Server コンピュータ上のネットワーク アダプタにバインドされているすべての IP アドレスと 127.0.0.1 を含む IP アドレスのセットが暗黙的に定義されます。このネットワークに実際に含まれる IP アドレスは、アレイ内のサーバーごとに異なります。


既定の内部ネットワーク

既定の内部ネットワークは、Microsoft® Internet Security and Acceleration (ISA) Server 2004 によって使用される、既定の保護されたプライマリ ネットワークです。既定では、システム ポリシー ルールにより、内部ネットワークのリソースがローカル ホスト ネットワーク以外の他のネットワークから保護されます。既定の内部ネットワークから他のネットワークへのトラフィックを許可するアクセス ルールと、内部ネットワークにあるサーバーへのアクセスを許可する公開ルールを作成できます。

内部ネットワークは一般に、信頼された IP アドレスの範囲を含んでいると見なされます。このため、既定のシステム ポリシーでは、ISA Server コンピュータに、内部ネットワークのサービスへのアクセスを許可します。システム ポリシーの詳細については、「システム ポリシー ルール」を参照してください。

構成手順については、「ネットワーク アドレスを構成する」を参照してください。

複数の追加の内部ネットワークを指定できます。インストール時には、既定の内部ネットワークが 1 つ以上構成されます。

既定の内部ネットワークの構成

ISA Server は、Microsoft Windows Server™ 2003 のルーティング テーブルに基づいて、内部ネットワークを構築できます。また、IANA によって RFC 1918 で定義されているプライベート IP アドレス範囲を選択することもできます。これらの 3 つのブロックのアドレスは、プライベート イントラネット専用として予約されており、パブリック インターネットで使用することはできません。

追加の内部ネットワーク

アレイ レベル ネットワークを作成するときに、ネットワークの種類を内部として指定できます。このようなユーザー定義の内部ネットワークには、定義済みのシステム ポリシー ルールが適用されないことに注意してください。追加のネットワーク アダプタを他の内部ネットワークに接続している場合は、ユーザー定義の内部ネットワークを作成することがあります。

エンタープライズ ネットワークと既定の内部ネットワーク

既定の内部ネットワークはアレイ レベルで作成されますが、エンタープライズ レベルでこれに対応する事前に定義された内部ネットワークはありません。代わりに、アレイ管理者は、アレイ レベルの既定の内部ネットワークに 1 つまたは複数のエンタープライズ ネットワークを含めることができます。

たとえば、NetA、NetB、NetC という 3 つのアレイを含んだエンタープライズを想定します。NetA には 10.x アドレス範囲、NetB には 20.x アドレス範囲、NetC には 30.x アドレス範囲がそれぞれ含まれています。エンタープライズ レベルでは、エンタープライズ管理者が次の 3 つのエンタープライズ ネットワークを作成します。

  • 10.x のアドレスを含んだ EntNet_A
  • 20.x のアドレスを含んだ EntNet_B
  • 30.x のアドレスを含んだ EntNet_C

その後に、各アレイに対して、3 つのエンタープライズ ネットワーク EntNet_A、EntNet_B、および EntNet_C を含むよう既定の内部ネットワークを構成します。


外部ネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールすると、5 つのネットワークが構成されます。外部ネットワークはその 1 つです。

外部ネットワークには、他のネットワークに明示的に含まれていないすべてのインターネット プロトコル (IP) アドレスが含まれます。インストールに伴い、外部ネットワークには、内部ネットワークに含まれないすべてのアドレス、ローカル ホスト ネットワークの IP アドレス (127.0.0.1)、および ISA Server コンピュータ上の他のすべてのネットワーク アダプタの IP アドレスが構成されます。

外部ネットワークは一般に、信頼されていないネットワークと見なされます。このため、外部ネットワークに対するネットワーク関係は、通常、ネットワーク アドレス変換 (NAT) として構成されます。これにより、送信元ネットワークのクライアントから宛先となる外部ネットワークへのアクセスは許可し、外部ネットワークから送信元ネットワークへのアクセスは禁止することが可能になります。ネットワーク ルールの詳細については、「ネットワーク ルール」を参照してください。


スプーフィング検出

ネットワーク アダプタがパケットを受信するたびに、そのパケットが特定の IP アドレスから着信したものか、特定の IP アドレス宛てに発信されたものかにかかわらず、Microsoft Internet Security and Acceleration (ISA) Server 2004 はパケットが偽造されていないかどうかをチェックします。ISA Server は、特定のネットワーク アダプタについて、パケットの送信元または宛先の IP アドレスが有効な IP アドレスかどうかをチェックします。アドレスが有効と見なされなかった場合は、ISA Server から IP スプーフィング アタックが発生したという警告が表示されます。

ISA Server は、ネットワーク アダプタのルーティング テーブル、およびアレイ レベル ネットワークをチェックします。この情報に基づいて、ISA Server はパケットを偽造と見なして破棄するかどうかを判断します。

注

  • アレイ内アドレスからのトラフィックには、スプーフィング検出は適用されません。アレイ内アドレスからのすべてのトラフィックは、エンジンに直接渡されて、ポリシー チェックを受けます。

要約すると、ISA Server は次のいずれかが当てはまる場合に、パケットを偽造と見なして破棄します。

  • パケットに含まれている送信元 IP アドレスが、このネットワークに関連付けられているどのネットワーク アダプタからもアクセスできないことがルーティング テーブルから判断された。
  • パケットに含まれている送信元 IP アドレスが、ネットワーク アダプタが属しているアレイ ネットワークのアドレス範囲に含まれていない。

アレイ ネットワークに、範囲 10.x の IP アドレスが含まれているシナリオを想定します。アレイに関連付けられているネットワーク アダプタには、IP アドレス 10.1.1.1 および 140.1.1.1 が割り当てられており、そのルーティング テーブルは次のようになっています。

Network  Destination Netmask   Gateway Interface
10.0.0.0 255.0.0.0   10.0.0.1  10.1.1.1
20.0.0.0 255.0.0.0   20.0.0.1  10.1.1.1
0.0.0.0  0.0.0.0     140.0.0.1 140.1.1.1

インターフェイス 10.1.1.1 で受信され、送信元 IP アドレスが 10.0.0.1 ～ 10.255.255.255 の範囲内にあるパケットは、偽造パケットとして破棄されません。これは、これらのアドレスがこのインターフェイス経由でルーティングされて戻ってくることが可能であり、アレイ ネットワークのアドレス範囲に属しているためです。ところが、送信元 IP アドレスがこの範囲 (インターフェイス 10.1.1.1 経由でルーティング可能な 20.0.0.1 ～ 20.255.255.255 の範囲を含む) にないパケットは、アレイ ネットワークに属していないため、偽造として破棄されます。

その他のアドレス範囲

エンタープライズ ネットワークに属しているが、どのアレイ レベル ネットワークにも属していない IP アドレスは、その他のアドレス範囲の一部と見なされます。ISA Server では、その他のアドレス範囲の IP アドレスに対して送受信されるトラフィックが破棄されるたびに、ログ エントリが作成されます。

ログ エントリの送信元または宛先ネットワーク フィールドは、IP アドレスが属しているエンタープライズ ネットワークの名前の前に "Residual" が付加された値に設定されます。たとえば、IP アドレス 10.1.1.1 が、Ent1 という名前のエンタープライズ ネットワークに属し、アレイ レベル ネットワークには属していないとします。10.1.1.1 からのトラフィックは破棄され、"送信元" が「[Residual] Ent1」に設定されたログ エントリが生成されます。

エンタープライズ ネットワークに属しているが、アレイ レベル ネットワークには属していない IP アドレスは、"その他のネットワーク" の一部と見なされます。ISA Server では、その他のネットワーク上の IP アドレスに対して送受信されるトラフィックが破棄されるたびに、ログ エントリが作成されます。ログ エントリの送信元または宛先ネットワーク フィールドは、「Residual Network」に設定されます。

スプーフィング検出警告

ISA Server では、偽造パケットが検出されると、パケットを偽造と見なした理由を示す警告がトリガされます。この警告を慎重に確認し、次のいずれかの操作を行って問題に対処する必要があります。

  • 潜在的な構成エラーの修正。特定の IP アドレスからのパケットを偽造と見なす必要があることを確認します。そうでない場合は、ISA Server がそれらのパケットを偽造と見なした理由を特定します。
  • IP アドレスからのトラフィックのブロック。特定の IP アドレスからのトラフィックを偽造と見なす場合は、その IP アドレスからのすべてのアクセスをブロックします。


ネットワーク構成の手順

新たに作成したネットワークがトラフィックを送受信するには、追加の構成手順を完了する必要があります。これらの手順は作成したネットワークの種類によって異なります。

エンタープライズ ネットワーク

エンタープライズ ネットワークは、エンタープライズ ルールとアレイ レベルのルールで使用できます。

エンタープライズ ネットワークを、アレイ レベル ネットワークに含めることもできます。この場合は、物理的にそのアレイに接続されていないネットワークであっても、アレイ レベル ネットワークに含めることができます。

エンタープライズ ネットワークの詳細については、「エンタープライズ ネットワーク」を参照してください。

アレイ レベル ネットワーク

これらのネットワーク上のクライアントがトラフィックを送受信するには、次の手順を完了する必要があります。

  1. このネットワークで送受信するトラフィックを許可するネットワーク ルールを作成します。手順については、「ネットワーク ルールを作成する」を参照してください。
  2. このネットワークで送受信するトラフィックを許可するファイアウォール ポリシー ルールを作成します。手順については、「アクセス ルールを作成する」、「Web 公開ルールを作成する」、「サーバー公開ルールを作成する」、または「メール サーバーを公開する」を参照してください。

IPsec を使用したサイト間 VPN

クライアントがインターネット プロトコル セキュリティ (IPsec) を使用して仮想プライベート ネットワーク (VPN) から接続するには、次の手順を完了する必要があります。

  1. このネットワークで送受信するトラフィックを許可するネットワーク ルールを作成します。
  2. このネットワークで送受信するトラフィックを許可するアクセス ルールを作成します。
  3. 新たに作成したネットワークのプロパティを使用して、IPsec プロトコルの設定を検証します。

PPTP または L2TP を使用したサイト間 VPN

クライアントが PPTP (Point-to-Point トンネリング プロトコル) またはレイヤ 2 トンネリング プロトコル (L2TP) を使用して VPN から接続するには、次の手順を完了する必要があります。

  1. 新しいネットワークと同じ名前でユーザーを作成し、リモート アクセスのアクセス許可を [アクセスを許可] に設定します。手順については、「リモート VPN クライアントのユーザーとグループを作成する」を参照してください。
  2. このネットワークで送受信するトラフィックを許可するネットワーク ルールを作成します。
  3. このネットワークで送受信するトラフィックを許可するアクセス ルールを作成します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。ネットワーク テンプレートを使用すると、ネットワーク間のトラフィックのファイアウォール ポリシーを構成できます。ISA Server には、次のネットワーク テンプレートがあります。

  • エッジ ファイアウォール。このテンプレートは、ISA Server がネットワークのエッジに配置されているネットワーク トポロジを想定しています。一方のネットワーク アダプタが内部ネットワークに接続され、もう一方のネットワーク アダプタが外部ネットワーク (インターネット) に接続されています。このテンプレートを選択すると、発信方向のトラフィックをすべて許可したり、Web アクセスのみを許可するように発信方向のトラフィックを制限することができます。詳細については、「エッジ ファイアウォール ネットワーク テンプレート」を参照してください。
  • 三脚境界。このテンプレートは、ISA Server が内部ネットワーク、外部ネットワーク、および境界領域ネットワーク (DMZ、非武装地帯またはスクリーン サブネット) に接続されているネットワーク トポロジを想定しています。詳細については、「三脚境界ネットワーク テンプレート」を参照してください。
  • フロントエンド。このテンプレートは、ISA Server がネットワークのエッジに配置され、別のファイアウォールがバックエンドで構成され、内部ネットワークを保護しているネットワーク トポロジを想定しています。詳細については、「フロントエンド ネットワーク テンプレート」を参照してください。
  • バックエンド。このテンプレートは、ISA Server が境界領域ネットワークと内部ネットワーク間に展開され、別のファイアウォールがバックエンドで構成され、内部ネットワークを保護しているネットワーク トポロジを想定しています。詳細については、「バックエンド ネットワーク テンプレート」を参照してください。
  • 単一ネットワーク アダプタ。このテンプレートは、境界領域ネットワークまたは企業ネットワーク内の単一ネットワーク アダプタ構成を想定しています。この構成では、ISA Server は Web プロキシとキャッシュ サーバーとして使用されます。詳細については、「単一ネットワーク アダプタのネットワーク テンプレート」を参照してください。


エッジ ファイアウォール ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、基本的なシナリオで、ISA Server をファイアウォールとしてネットワークのエッジにセットアップするとします。これにより、ネットワークが外部アクセスから保護されると同時に、企業ネットワーク上のユーザーによる特定のアクセスが許可されます。

エッジ ファイアウォール ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシーを構成します。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、エッジ ファイアウォール ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | ありません。
インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がサービスを提供している場合に役立ちます。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。
制限付き Web アクセスを許可する | HTTP、HTTPS、および FTP のみを使用する限定された Web アクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークから外部ネットワークへの HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
ISP ネットワーク サービスへのアクセスと限定された Web アクセスを許可する | HTTP、HTTPS、および FTP を使用する限定された Web アクセスと、ISP ネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
すべてのプロトコルのアクセスを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) へのすべてのプロトコルを許可します。 VPN クライアント ネットワークを内部ネットワークに許可します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


三脚境界ネットワーク テンプレート

ISA Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、あるシナリオで、3 つのネットワーク アダプタを備えた ISA Server コンピュータをセットアップするとします。ネットワーク アダプタの 1 つ目はインターネット (外部ネットワーク) に接続され、2 つ目は内部ネットワークに接続され、3 つ目は境界領域ネットワークに接続されています。三脚境界ネットワークテンプレートは、このシナリオに適用されます。

三脚境界ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシーを構成します。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、三脚境界ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | ありません。
インターネット アクセスをブロックし、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可する | 境界領域ネットワーク上のネットワーク サービス (DNS) へのアクセスを除き、ISA Server 経由のすべてのネットワーク アクセスをブロックします。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS トラフィックを許可します。
インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がネットワーク サービスを提供している場合に役立ちます。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | 内部ネットワーク、VPN クライアント ネットワーク、および境界領域ネットワークから外部ネットワーク (インターネット) への DNS トラフィックを許可します。
制限付き Web アクセスを許可する | HTTP、HTTPS、および FTP のみを使用する限定された Web アクセスを許可します。このポリシーは、それ以外のすべてのネットワーク アクセスをブロックします。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限された Web アクセスと、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可する | HTTP、HTTPS、および FTP のみを使用する限定された Web アクセスを許可し、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 このオプションは、境界領域ネットワークでネットワーク インフラストラクチャ サービスを利用できる場合に役立ちます。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS トラフィックを許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
ISP ネットワーク サービスへのアクセスと限定された Web アクセスを許可する | 限定されたインターネット アクセスを許可し、ISP が提供する DNS などのネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワーク、VPN クライアント ネットワーク、および境界領域ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
すべてのプロトコルを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。 後から、特定の種類のネットワーク アクセスをブロックするようにアクセス ルールを変更できます。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) へのすべてのプロトコルを許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


フロント ファイアウォール ネットワーク テンプレート

Internet Security and Acceleration (ISA) Server には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、あるシナリオで、ISA Server コンピュータをネットワークのエッジに展開し、別のファイアウォールをバックエンドに構成して、内部ネットワークを保護しているとします。このシナリオでは、ISA Server は、バックツーバック境界領域ネットワーク構成の中で、防衛の第一線として機能します。フロント ファイアウォール ネットワーク テンプレートは、このシナリオに適用されます。

フロント ファイアウォール ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシーを構成します。

構成保管サーバーが別の ISA Server コンピュータの背後に配置されている場合、このアレイから構成保管サーバーへのアクセスを許可するサーバー公開ルールを作成する必要があります。詳細については、「バックエンド構成保管サーバーへのアクセス」を参照してください。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、フロント ファイアウォール ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを定義する場合に使用します。 | ありません。
インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がネットワーク サービスを提供している場合に役立ちます。このオプションは、ファイアウォール ポリシーを定義する場合に使用します。 | VPN クライアント ネットワークおよび境界領域ネットワークから外部ネットワーク (インターネット) への DNS を許可します。
インターネット アクセスをブロックする (ネットワーク サービスは境界領域ネットワーク上に存在) | 境界領域ネットワーク上の DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ファイアウォール ポリシーを定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS を許可します。
制限された Web アクセスを許可する (ネットワーク サービスは境界領域ネットワーク上に存在) | 限定された Web アクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | VPN クライアント ネットワークおよび境界領域ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから境界領域ネットワークへのすべてのプロトコルを許可します。
ISP ネットワーク サービスへのアクセスと限定された Web アクセスを許可する | 限定された Web アクセスを許可し、ISP が提供する DNS などのネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 境界領域ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワーク、VPN クライアント ネットワーク、および境界領域ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから境界領域ネットワークへのすべてのプロトコルを許可します。
制限なしアクセスを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。 後から、特定の種類のネットワーク アクセスをブロックするようにアクセス ルールを変更できます。 | 境界領域ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) へのすべてのプロトコルを許可します。 VPN クライアント ネットワークから境界領域ネットワークへのすべてのプロトコルを許可します。


バック ファイアウォール ネットワーク テンプレート

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、一般的なネットワーク トポロジに対応するネットワーク テンプレートが用意されています。たとえば、あるシナリオで、ISA Server コンピュータを境界領域ネットワークと内部ネットワークの間に展開し、別のファイアウォールをバックエンドに構成して、内部ネットワークを保護しているとします。このシナリオでは、ISA Server は、バックツーバック境界領域ネットワーク構成の中で、後方の防衛線として機能します。バック ファイアウォール ネットワーク テンプレートは、このシナリオに適用されます。

バック ファイアウォール ネットワーク テンプレートを適用して ISA Server を構成すると、ISA Server は、選択された特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシーを構成します。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

ファイアウォール ポリシー

ネットワーク テンプレートを適用する際は、企業のセキュリティ ガイドラインに最も適したファイアウォール ポリシーを選択します。次の表では、バック ファイアウォール ネットワーク テンプレートを選択した場合に使用できるファイアウォール ポリシーの一覧を示し、ポリシーを選択すると作成されるルールについて説明します。

ポリシー名 | 説明 | 作成されるルール
アクセスなし : すべてブロックする | ISA Server を経由するすべてのネットワーク アクセスをブロックします。すべてのアクセスをブロックする既定のルールを除き、アクセス ルールは作成されません。このオプションは、ファイアウォール ポリシーを独自に定義する場合に使用します。 | ありません。
アクセスなし : インターネット アクセスをブロックする (ネットワーク サービスは境界領域ネットワーク上に存在) | 境界領域ネットワーク上のネットワーク サービス (DNS) へのアクセスを除き、ISA Server 経由のすべてのネットワーク アクセスをブロックします。 このオプションは、独自のファイアウォール ポリシーを定義する場合に使用します。 | 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS を許可します。
アクセスなし : インターネット アクセスをブロックし、ISP ネットワーク サービスへのアクセスを許可する | DNS などの外部ネットワーク サービスへのアクセスを除き、ISA Server を経由するすべてのネットワーク アクセスをブロックします。このオプションは、ISP がネットワーク サービスを提供している場合に役立ちます。 このオプションは、独自のファイアウォール ポリシーを定義する場合に使用します。 | 境界領域のアドレス範囲を除いて、内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。
制限されたアクセス : 制限付き Web アクセスを許可する | 限定された Web アクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限されたアクセス : 制限付き Web アクセスを許可する (ネットワーク サービスは境界領域ネットワーク上に存在) | 限定された Web アクセスを許可し、境界領域ネットワーク上のネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから、境界領域ネットワークおよび外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 内部ネットワークおよび VPN クライアント ネットワークから境界領域ネットワークへの DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限されたアクセス : ISP ネットワーク サービスへのアクセスと限定された Web アクセスを許可する | 限定された Web アクセスを許可し、ISP が提供する DNS などのネットワーク サービスへのアクセスを許可します。それ以外のネットワーク アクセスはすべてブロックされます。 | 内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への HTTP、HTTPS、および FTP を許可します。 境界領域のアドレス範囲を除き、内部ネットワークおよび VPN クライアント ネットワークから外部ネットワーク (インターネット) への DNS を許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。
制限なしインターネット アクセス : すべてのプロトコルを許可する | ISA Server を経由するインターネットへのアクセスを無制限に許可します。ISA Server は、インターネットから保護されたネットワークにアクセスできないようにします。後から、特定の種類のネットワーク アクセスをブロックするようにアクセス ルールを変更できます。 | 内部ネットワークおよび VPN クライアント ネットワークから、外部ネットワーク (インターネット) および境界領域のアドレス範囲へのすべてのプロトコルを許可します。 VPN クライアント ネットワークから内部ネットワークへのすべてのプロトコルを許可します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


単一ネットワーク アダプタのネットワーク テンプレート

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、単一ネットワーク アダプタを使用するコンピュータにインストールできます。一般に、別のファイアウォールをネットワークのエッジに配置して、企業のリソースをインターネットに接続している場合、このようなシナリオになります。この単一アダプタのシナリオでは、通常 ISA Server はキャッシュ サーバーとして機能します。これは、インターネットのコンテンツを、企業ネットワークのクライアントで使用するためにキャッシュするサーバーです。

単一ネットワーク アダプタのネットワーク テンプレートを適用する場合には、すべての IP アドレスが含まれるように内部ネットワークを構成します。"Web プロキシ機能とキャッシュ機能の既定の構成を許可する" というファイアウォール ポリシーが適用されます。このポリシーを使用すると、Web プロキシ クライアントはインターネット上の Web コンテンツにアクセスできるようになり、キャッシュにより Web パフォーマンスが高速化します。ルールは作成されません。

手順については、「ネットワーク テンプレートを適用する」を参照してください。

内部ネットワーク

ISA Server の基本的な機能の 1 つに、複数のネットワークに接続できる機能があります。ただし、単一アダプタ コンピュータに ISA Server をインストールしている場合は、ISA Server は 1 つのネットワーク、つまり内部ネットワークしか認識しません。内部ネットワークは、0.0.0.0、255.255.255.255、および 127.0.0.0 ～ 127.255.255.255 のアドレス範囲を除く、すべての IP アドレスを含んでいます。

単一アダプタ コンピュータに ISA Server をインストールする

セットアップ プロセスでは、内部ネットワークのアドレスを指定します。ネットワーク アダプタを 1 つ搭載したコンピュータに ISA Server をインストールする場合は、0.0.0.0、255.255.255.255、および 127.0.0.0 ～ 127.255.255.255 のアドレス範囲を除く、すべてのアドレスを含めます。

単一ネットワーク アダプタのネットワーク テンプレートを使用すると、単一アダプタの ISA Server コンピュータを構成できます。このテンプレートを使用するには、ISA Server の管理で [構成] ノードを展開し、[ネットワーク] をクリックします。作業ウィンドウの [テンプレート] タブで、[単一ネットワーク アダプタ] を選択して [ネットワーク テンプレート ウィザード] を起動します。ウィザードの指示に従って構成を行います。

[ネットワーク テンプレート ウィザード] の既定の設定を使用することをお勧めします。

Web プロキシおよびキャッシュを転送する

単一アダプタ コンピュータ上の ISA Server を、転送プロキシおよびキャッシュ サーバーとして展開して、クライアントからインターネットへのアクセスを最適化できます。このシナリオでは、すべての Web ブラウザ クライアントからアクセスが可能で、頻繁に要求されるインターネット オブジェクトのキャッシュを集中管理し、キャッシュ ルールを使用してこのキャッシュを管理できます。

このシナリオでは、既定のファイアウォール ポリシーを変更して、内部クライアントにインターネットへのアクセスを許可します。すべての IP アドレスは同一の内部ネットワーク上にあるものと見なされますが、ISA Server では、既定のルールはすべてを拒否する設定のため、Web トラフィックを拒否してしまうことがあります。そこで、ネットワーク間の通過をトラフィックに許可するルールを作成する必要があります。

このシナリオでは、ISA Server はすべての IP アドレスが内部ネットワーク上にあると見なします。ただし、既定では ISA Server を経由するトラフィックは拒否されます。このキャッシュ シナリオを有効にするには、すべてのクライアントに HTTP (ハイパーテキスト転送プロトコル) の使用と、可能であれば HTTPS と FTP (ファイル転送プロトコル) の使用も許可するアクセス ルールを作成します。内部ネットワークはすべてのアドレスを含むように一意に定義されるため、このルールの送信元ネットワークと宛先ネットワークは内部ネットワークとなるはずです。

Web プロキシ、Web、および Outlook Web Access の公開

単一アダプタ コンピュータ上の ISA Server をリバース Web プロキシとして展開して、Web 公開シナリオと Outlook Web Access 公開シナリオを有効にできます。

単一アダプタ モードの機能

ISA Server を単一アダプタ コンピュータにインストールする場合、次の ISA Server 機能は使用できません。

  • ファイアウォール クライアント
  • 仮想プライベート ネットワーク
  • マルチネットワーク ファイアウォール ポリシー
  • サーバー公開
  • Web プロキシがサポートするプロトコル (HTTP、HTTPS、および FTP over HTTP) を除くアプリケーション レベルのフィルタ
  • ステートフル パケット フィルタ
  • IP パケット フィルタ

この結果、ネットワークでの ISA Server のセキュリティ ロールが制限されます。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク ルール

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用してネットワーク ルールを構成することで、ネットワーク トポロジを定義し、記述することができます。ネットワーク ルールによって、2 つのネットワーク エンティティ間に関係があるかどうか、および定義される関係の種類が決まります。ネットワークの関係は、次のように構成することができます。

  • [ルート]。この種類の接続を指定すると、送信元ネットワークからのクライアント要求が、宛先ネットワークに直接中継されます。要求には、送信元クライアントのアドレスが含まれています。
  • [ネットワーク アドレス変換 (NAT)]。この種類の接続を指定すると、ISA Server によって、送信元ネットワークでのクライアントのインターネット プロトコル (IP) アドレスが ISA Server 独自の IP アドレスで置き換えられます。

ネットワーク間に関係が構成されていないときは、ISA Server によってその 2 つのネットワーク間のすべてのトラフィックが破棄されます。

ルート ネットワーク関係では、各ネットワークがその実際の IP アドレスを公開します。ルート ネットワーク関係は、ネットワーク間で双方向のトラフィックが必要である場合にのみ構成するようにしてください。

手順については、「ネットワーク ルールを作成する」を参照してください。

エンタープライズ レベルのネットワーク ルール

ネットワーク ルールは、エンタープライズ レベルとアレイ レベルで作成できます。アレイ レベルのネットワーク ルールを適用できるのは、アレイ レベル ネットワーク オブジェクト、エンタープライズ ネットワーク、およびその他のエンタープライズ レベル ネットワーク オブジェクトです。エンタープライズ レベルのネットワーク ルールは、エンタープライズ ネットワーク オブジェクトのみに適用されます。

エンタープライズ レベルのネットワーク ルールは、すべてのアレイに適用されるルールを作成する場合に便利です。たとえば、エンタープライズ内のすべてのアレイに対して、内部から外部への NAT 関係を定義する場合です。

ネットワーク ルールの作成

ルート関係は、アドレス変換が実行されないことを意味します。ルート ネットワークは双方向です。たとえば、ネットワーク A からネットワーク B の方向にルート関係が定義されている場合は、ネットワーク B からネットワーク A の方向にもルート関係が存在します。一方、NAT 関係は一意かつ一方向です。ネットワーク A からネットワーク B の方向に NAT 関係が定義されている場合は、ネットワーク B からネットワーク A の方向にネットワークの関係を定義できません。

NAT 関係には方向性があります。これは、送信元ネットワークのアドレスが ISA Server を通過する際に必ず変換されることを意味します。たとえば、送信元ネットワーク A から宛先ネットワーク B の方向に NAT ネットワーク関係が存在するとします。送信元ネットワーク A での IP アドレスは、宛先ネットワーク B 上のコンピュータに要求が渡される前に、ISA Server コンピュータでのアドレスに置換されます。ネットワーク B からネットワーク A 上のコンピュータにパケットが返されるときは、ネットワーク B 上のコンピュータのアドレスは変換されません。ネットワーク A 上のコンピュータには、ネットワーク B 上のコンピュータのアドレスがわかります。NAT 関係によって、ネットワーク A の内部アドレス構造は非公開となり、ネットワーク B からはアクセスできなくなります。

次の図は、ネットワーク アクセス ポリシーの概念を示しています。

マルチネットワーク : ネットワーク ビュー
  1. 支社と本社の間に、ルート ネットワーク関係が定義されています。ルート関係は相互の関係です。
  2. 企業ネットワークから境界領域ネットワークの方向に、NAT ネットワーク関係が定義されています。NAT 関係は一方向かつ一意です。境界領域ネットワークから企業ネットワークの方向には関係が存在しません。
  3. 企業ネットワークからインターネットの方向に、NAT ネットワーク関係が定義されています。インターネットから企業ネットワークの方向には関係が存在しません。
  4. 境界領域ネットワークからインターネットの方向に、NAT ネットワーク関係が定義されています。

ネットワーク ルールを作成する場合、同一のネットワークの間でネットワーク ルールを定義することはできません。同じネットワーク上にあるコンピュータ間のトラフィックは、ルート関係として定義されます。このトラフィックに対して NAT はサポートされません。

NAT 関係とルート関係については、アクセス ルールを構成することでトラフィックが可能となります。宛先ネットワークから送信元ネットワークへのトラフィックが可能となるように公開ルールを構成することができます。

手順については、「ネットワーク ルールを編集する」を参照してください。

既定のルール

新しいアレイを作成するときに、次に示す既定のアレイ レベル ネットワーク ルールが作成されます。

  • [ローカル ホスト アクセス]。このルールは、ローカル ホスト ネットワークとその他すべてのネットワークの間のルート関係を定義します。これによって、ISA Server コンピュータとそのコンピュータに接続されているすべてのネットワークの間に接続が定義されます。
  • [VPN クライアントから内部ネットワーク]。このルールは、内部ネットワークと検疫 VPN クライアントおよび VPN クライアント ネットワークの間のルート関係を定義します。
  • [インターネット アクセス]。このルールは、内部ネットワークと外部ネットワークの間の NAT 関係を定義します。

処理の順序

ネットワーク ルールには順序があります。2 つのアドレス A と B の間のアドレス関係を特定するために、ISA Server は優先順位に従ってネットワーク ルールを処理し、これらのアドレスと一致するルールを探します。最初に一致したルールによって、アドレス関係が定義されます。

2 つのネットワーク間のルート関係でネットワーク ルールを定義しておいて、その後でより高い順位のネットワークルールを作成して、特定のアドレスに対してこの関係を上書きすることができます。

ISA Server は、アレイ レベルのネットワーク ルールを処理してから、エンタープライズ レベルのネットワーク ルールを処理します。アレイ管理者は、アレイ レベルのネットワーク ルールを作成することで、エンタープライズ レベルのネットワーク ルールを上書きできます。


チェーンとルーティング

ここでは、チェーンとルーティングについて説明します。

  • Web チェーン ルール
  • ファイアウォール チェーン
  • ダイヤルアップ接続
  • 自動ダイヤルのネットワーク
  • ダイヤルアップ接続構成の手順
  • PPTP または L2TP ダイヤルアップ接続

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web チェーン ルール

Web チェーン ルールを使用すると、宛先に応じた条件を使用して要求をルーティングできます。たとえば、本社が米国にあり、支社が英国にある組織が、支社で Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータをセットアップするとします。支社のサーバーは英国内のインターネット サービス プロバイダ (ISP) に接続されています。支社の ISA Server コンピュータ上の Web チェーン ルールによって、英国内のインターネット ホストに対する要求をローカルの ISP に送信し、その他の要求は本社の ISA Server コンピュータに送信することができます。

英国の支社にある下位の ISA Server コンピュータは、本社の ISA Server キャッシュを利用できます。この利点は、ローカルの ISP から取得したローカルのオブジェクトを支社の ISA Server コンピュータ上でさらにキャッシュすることで拡大されます。

次の図は、要求された宛先に応じて Web プロキシの要求を異なるサーバーにルーティングする方法を示しています。

ルーティング

この図では、支社の ISA Server コンピュータは、英国内のサイトに対するクライアント要求を英国内の ISA Server にルーティングします。他のすべての要求 ("海外の Web サイトに対する要求" とマークされているもの) は、インターネットに直接ルーティングされます。

手順については、「Web チェーン ルールを作成する」を参照してください。

Web 要求をルーティングする

Web チェーン ルールの構成の一部として、Web プロキシ クライアント要求がルーティングされる方法を次のように指定できます。

  • 指定された宛先から直接オブジェクトを取得する。
  • 特定の上位 ISA Server コンピュータに要求をルーティングする。この場合、1 次ルートが使用不可能な場合のバックアップ ルートを指定することもできます。
  • ホストされたサイトに要求をリダイレクトする。この場合、要求は指定された Web サイトにルーティングされます。

上位 ISA Server コンピュータへのトラフィックは、SSL (Secure Sockets Layer) ブリッジを使用して暗号化することをお勧めします。

手順については、「Web チェーン ルールが要求を取得する方法を構成する」を参照してください。

ISA Server は、1 次ルートが使用不可能な場合に、バックアップ ルートを使用します。ISA Server コンピュータは、1 次ルートとして指定されている上位サーバーを定期的にポールし、そのサーバーが使用可能であるかどうかを判断します。1 次ルートが使用可能になると、要求はバックアップ ルートのサーバーではなく、1 次ルートのサーバーに送信されるようになります。手順については、「Web 要求の 1 次ルートを構成する」および「Web 要求のバックアップ ルートを構成する」を参照してください。

認証

場合によっては、上位サーバーが下位プロキシに対して認証を渡すように要求することがあります。このような場合は、資格情報を渡す必要があります。これらの資格情報は、上位サーバーが下位サーバーを認証するために使用されます。

認証が必要な場合、要求のリダイレクト先の Web サーバーがクライアントを認証できるかどうかを構成できます。手順については、「資格情報の委任を許可する」を参照してください。

重要

  • テキスト形式の資格情報を上位サーバーに渡すときは、上位サーバーとネットワークがこれらの資格情報にアクセスできる可能性があることに注意してください。標準の HTTP (ハイパーテキスト転送プロトコル) 接続では、すべての情報がテキスト形式で渡されます。

Web プロキシ チェーン シナリオでは、ユーザー名およびパスワードの指定に使用できるのは、7 ビット文字のみです。それ以外の場合、下位プロキシ サーバーでの統合 Windows 認証は失敗します。

上位サーバーを自動的にポールし、構成情報を取得するオプション

チェーン構成のシナリオでは、複数のメンバで構成される上位アレイが、ダイジェスト認証を必要とする場合があります。パケットが常に同じアレイ メンバに転送されるときは、トラフィックが正常に認証されます。

上位サーバーを自動的にポールして構成情報を取得するよう Web チェーン ルールが設定され、上位サーバーがダイジェスト認証を必要としているシナリオを想定します。通常、クライアント要求が上位アレイにチェーンされるときは、要求を処理するアレイ メンバが ISA Server によって自動的に決定され、要求が常に同じアレイ メンバによって処理されます。ただし、クライアントが HTTPS 要求を送信した場合は、要求を処理する上位アレイ メンバを ISA Server が無作為に決定するため、それが同じアレイ メンバであるとは限りません。この場合、SSL を使用して要求が別の上位アレイ メンバ経由でトンネリングされると、ダイジェスト認証が失敗することがあります。

ブリッジ

発信方向の Web 要求の場合、ISA Server によって、標準のルーティング機能が SSL ブリッジ機能で拡張されます。これによって、トラフィックを上位サーバーにルーティングする方法を構成できます。

Web チェーン ルールを作成するときは、HTTP 要求および SSL 要求を、HTTP 要求としてリダイレクトするか、SSL 要求としてリダイレクトするかを構成できます。要求が SSL 要求としてリダイレクトされる場合、ISA Server コンピュータでは要求を渡す前に、パケットを再暗号化します。上位サーバーとの通信には、セキュリティで保護された新しいチャネルが確立されます。

上位 Web サーバーがクライアント証明書を必要とする場合があります。その場合、特定のクライアント側証明書を使用して認証するように ISA Server を構成してください。

手順については、「HTTP 要求をリダイレクトする方法を構成する」および「SSL 要求をリダイレクトする方法を構成する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール チェーン

ファイアウォール クライアントにファイアウォール チェーンを使用すると、要求がルーティングされる方法を構成できます。要求は、ファイアウォール クライアントから次のいずれかにルーティングされるように選択できます。

  • ダイヤルアップ接続を使用するかどうかに関係なく、直接インターネットにルーティングする。
  • ダイヤルアップ接続を使用するかどうかに関係なく、上位のプロキシ サーバーにルーティングする。

注

  • クライアント要求がルーティングされるとき、オブジェクトはキャッシュされません。

上位のプロキシ サーバー

クライアント要求は、上位の ISA Server コンピュータまたは Microsoft Proxy Server 2.0 コンピュータにルーティングできます。この場合、1 次ルートを指定できます。

認証

ファイアウォール クライアント要求が上位のプロキシ サーバーに送信される場合は、パスワード認証を有効にすることができます。これによって、ISA Server と上位サーバー間で使用される認証パラメータが指定されます。

手順については、「ファイアウォール チェーンを構成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ダイヤルアップ接続

ISA Server は、ルーティングとチェーンの構成内容に基づき、ダイヤルアップ エントリを使用してインターネットにダイヤルアウトします。ISA Server がダイヤルアップ接続を使用するタイミングを設定するには、ダイヤルアップ接続を使用してアクセス可能なネットワークを指定します。

ISA Server は、次のオプションでダイヤルアウトするように構成できます。

  • [ファイアウォール チェーン]。既存のネットワーク以外のネットワークにアクセスするようファイアウォール チェーンを構成し、さらにチェーン ネットワークへのアクセスにダイヤルアウトが必要な場合は、このオプションを使用します。
  • [Web チェーン ルール]。クライアントがオブジェクトを要求し、クライアント要求のルートでダイヤルアップ接続の確立が必要とされ、さらにアクセス ポリシーによってクライアント要求が許可される場合は、このオプションを使用します。ISA Server ではアクティブなダイヤルアップ エントリを使用してインターネットにダイヤルアウトします。

さらに、ISA Server では、クライアントがオブジェクトを要求し、その要求がアクセス ポリシーによって許可されるかどうかを ISA Server が明確に判断できない場合 (たとえば、要求に適用される Web チェーン ルールによって、ダイヤルアップ接続を確立すべきであることが示される場合) にも、インターネットにダイヤルアウトします。これは、アクセス ポリシー ルールが宛先を名前で指定していて、クライアントがコンピュータをインターネット プロトコル (IP) アドレスで指定しているときに発生します。

ISA Server では、クライアント要求に適用される Web チェーン ルールがダイヤルアップ接続の確立を必要とするかどうかがチェックされます。このような Web チェーン ルールが存在する場合、ISA Server ではインターネットにダイヤルアウトし、クライアントが要求しているコンピュータの名前を解決するか、逆引き参照を行います。次に、ISA Server はアクセス ポリシー ルールを再びチェックし、要求が許可されるかどうかを判断します。ルールの処理方法については、「ファイアウォール ポリシーの動作」を参照してください。

ISA Server のダイヤルアウトのタイミングを制限する

ISA Server からインターネットへのダイヤルアウトのタイミングを制限するには、次の操作を行います (複数可)。

  • すべての内部コンピュータの名前が含まれるように、ローカル ドメイン テーブル (LDT) を構成します。こうすると、ISA Server は要求されたコンピュータが実際は内部コンピュータであることを判断するためだけに、外部 DNS サーバーにダイヤルアウトする必要がなくなります。LDT は、ファイアウォール クライアントからの要求に関してのみチェックされます。
  • 特定のネットワークへのアクセス時にのみダイヤルアウトを許可します。

ダイヤルアップ接続を閉じる

ISA Server がインターネットにダイヤルアウトした後は、次のいずれかの状態が発生するまで接続が維持されます。

  • ISA Server が接続にダイヤルし、Microsoft ファイアウォール サービスがその後停止した場合。
  • ISA Server が接続にダイヤルし、その接続中に、ISA Server が使用するインターネット サービス プロバイダ (ISP) がユーザーによって変更された場合。
  • ダイヤルアップ エントリが定義済みのアイドル時間に達したため、接続が終了した場合。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


自動ダイヤルのネットワーク

自動ダイヤルは、ネットワークごとに構成します。Microsoft Internet Security and Acceleration (ISA) Server 2004 は、選択されているネットワークに対する要求を受け取ると、そのネットワーク用に構成されているダイヤルアップ接続を使用します。

自動ダイヤルは、1 つのネットワークに対してのみ使用できます。

インターネットへの接続に自動ダイヤルが使用される場合は、自動ダイヤル接続用の外部ネットワークを選択する必要があります。自動ダイヤルは、インターネット以外のネットワークに使用することもできます。たとえば、支社または組織内の特定の場所に接続するために自動ダイヤルを構成できます。

手順については、「自動ダイヤルを構成する」を参照してください。ネットワークを作成する手順については、「アレイ レベル ネットワークを作成する」を参照してください。


ダイヤルアップ接続構成の手順

ダイヤルアップ接続では、インターネット サービス プロバイダ (ISP)、ISP の電話番号、モデムなどのダイヤルアップ プロパティを指定します。

ダイヤルアップ接続は、Microsoft Windows Server の [新しい接続ウィザード] で作成します。

ダイヤルアップ接続を選択したら、ISP で必要とするダイヤルアップ アカウントの詳細を指定する必要があります。これらはダイヤルアップ接続の作成時に使用されるアカウント詳細と同じです。ダイヤルアップ アカウントの詳細は、ISP への接続時に ISA Server で使用されます。

ダイヤル オン デマンドを有効にするには、次の手順を実行します。

  1. オペレーティング システムでネットワーク接続を作成します。ネットワーク ダイヤルアップ接続の作成手順については、Windows ヘルプを参照してください。
  2. ISA Server が自動ダイヤルアウトするネットワークを選択します。
  3. ISA Server コンピュータの内部ネットワーク アダプタで、デフォルト ゲートウェイが構成されていないことを確認します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


PPTP または L2TP ダイヤルアップ接続

一部のケーブル モデム接続については、インターネット サービス プロバイダ (ISP) が PPTP (Point-to-Point トンネリング プロトコル) または レイヤ 2 トンネリング プロトコル (L2TP) のみをサポートしている場合があります。この場合は、次の手順を実行して ISA Server からのダイヤルアップ接続を有効にする必要があります。

  1. [新しい接続ウィザード] を使用して、ダイヤルアップ接続を作成します。[ネットワーク接続の種類] で、[職場のネットワークへ接続する] を指定します。[ネットワーク接続] で、[仮想プライベート ネットワーク接続] を選択します。
  2. PPTP または L2TP を許可するアクセス ルール (ローカル ホストから ISP の IP アドレスまたは外部ネットワークへのクライアント プロトコル) を作成します。手順については、「アクセス ルールを作成する」を参照してください。
  3. ネットワーク接続を使用するように、ISA Server のダイヤルアップの基本設定を構成します。手順については、「自動ダイヤルを構成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク負荷分散

ここでは、Internet Security and Acceleration (ISA) Server 2004 のネットワーク負荷分散機能について説明します。

  • ネットワーク負荷分散について
  • NLB 統合モード
  • NLB 構成
  • 統合 NLB モードの動作
  • NLB 展開
  • NLB のヒント集


NLB の概要

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、マルチネットワーク モデルが採用されています。このモデルを使用すると、複数のネットワーク間でのポリシーの適用方法を構成できます。ISA Server では、このマルチネットワーク モデルを使用して、ネットワーク負荷分散 (NLB) 機能を統合し、1 つ以上のネットワーク上にあるすべてのアレイ メンバ間で負荷を分散することができます。

ISA Server を使用して、ISA Server アレイ上で実行されている Microsoft Windows Server 2003 の NLB 機能を構成および管理することができます。ISA Server を使用して NLB を構成すると、NLB は ISA Server 機能と統合されます。これにより、Windows NLB 単独では使用できない重要な機能を利用できるようになります。

さらに、ISA Server は NLB 構成を監視し、特定のコンピュータ上の NLB をそのコンピュータの状態に応じて停止します。これによって、コンピュータがトラフィックの通過を許可しない状態の場合に、NLB が継続して機能することを防ぎます。たとえば、コンピュータのネットワーク アダプタで障害が発生した場合、またはユーザーが Microsoft ファイアウォール サービスを停止した場合、ISA Server は、NLB に向けられるトラフィックがそのコンピュータを通過しないようにします。問題が解決されると、ISA Server は再びトラフィックがそのコンピュータを通過できるようにします。

ISA Server の NLB は、Windows Server 2003 の NLB 機能に基づいています。ISA Server の NLB を展開する場合は、Windows Server 2003 の容量に関するガイドラインに従ってください。詳細については、ネットワーク負荷分散クラスタの容量設計についてのページ (英語情報) (http://www.microsoft.com/) を参照してください。

ネットワーク負荷分散の利点

NLB は、最大 31 台のホスト コンピュータが連携して機能するクラスタを使用することで、サーバーの高い可用性とスケーラビリティを実現します。クライアントは、1 つの IP アドレスまたは一連のアドレスを使用してクラスタにアクセスします。クライアントは、クラスタと単一のサーバーを区別できません。サーバー アプリケーションは、クラスタ内で実行されていることを判断できません。ただし、NLB クラスタは、クラスタ ホストに障害が発生しても、中断することなくサービスを提供できる点で、単一のサーバー アプリケーションを実行する単一のホストとは明確に異なります。また、クラスタは単一のホストよりも迅速にクライアント要求に応答できます。

NLB は、ホストに障害が発生したり、ホストがオフライン状態になったりした場合でも、着信方向のネットワーク トラフィックを動作中のクラスタ ホストにリダイレクトすることによって、高い可用性を実現します。オフライン状態になったホストへの既存の接続は失われますが、サービスは引き続き提供されます。ほとんどの場合、障害が発生した接続はクライアント ソフトウェアによって自動的に再試行され、クライアント側ではわずか数秒の遅延で応答を得ることができます。

NLB は、着信方向のネットワーク トラフィックを、NLB クラスタに割り当てられた 1 つ以上の仮想 IP アドレス (クラスタ IP アドレス) 間に分散することによって、パフォーマンスのスケーラビリティを実現します。クラスタ内のホストは、複数の異なるクライアント要求に同時に応答します。

NLB は、完全分散アルゴリズムを採用して、受信クライアントをその IP アドレスに基づいて統計的にクラスタ ホストにマッピングします。着信したパケットを検査する際に、すべてのホストがこのマッピングを同時に実行して、パケットを処理するホストをすばやく決定します。ホストの数が変わるとマッピングも変更されますが、NLB は引き続き既存の TCP 接続を維持します。

また、NLB は既存の PPTP (Point-to-Point トンネリング プロトコル) およびインターネット プロトコル セキュリティ (IPsec) のトンネル接続も維持します。つまり、仮想プライベート ネットワーク (VPN) のシナリオでは、ホスト数が変わってマッピングが変更された場合でも、NLB によって引き続きトンネルが維持されます。

ISA Server には、NLB の利点が統合されます。統合 NLB が有効である場合は、アレイ内の各ネットワークを NLB クラスタとして構成できます。NLB アルゴリズムがネットワークに適用されるため、NLB が有効なネットワーク全体で負荷が分散されます。NLB はネットワークごとに有効化されるため、アレイ管理者は、展開シナリオに応じて、特定のネットワークの負荷分散方法を機能に応じて構成できます。NLB の統合の詳細については、「NLB 統合モード」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


NLB 統合モード

ネットワーク負荷分散 (NLB) 構成は、アレイ単位で有効にします。各アレイは、次のいずれかのモードで構成できます。

  • 統合 NLB。このモードでは、ISA Server の管理を使用して NLB を構成します。このモードでは、特定のネットワークを負荷分散の対象とするかどうかを構成できます。このモードには、統合された管理しやすい構成、アレイの整合性メンテナンス、マルチネットワーク、VPN サポート、およびトラブルシューティング情報を使用できる利点があります。ユニキャスト モードおよび単方向アフィニティの NLB 構成がサポートされています。
  • 非統合 NLB。このモードでは、Windows ベースの NLB ツールを使用して NLB を構成します。

NLB の統合は、Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールしたときに既定で有効にはなりません。NLB の統合を有効にする手順については、「ネットワーク負荷分散の統合を有効にする」を参照してください。

アレイに対して NLB を有効にしたら、アレイ レベルのネットワークで NLB を構成できます。NLB は、あらゆる物理イーサネット ネットワークで有効にすることができます。反対に、アレイに物理的に接続されていないネットワークでは NLB を有効にしないでください。具体的には、アレイ内ネットワークを除き、物理的にアレイに接続しているすべてのネットワークに対して NLB を有効にすることをお勧めします。手順については、「ネットワークに対してネットワーク負荷分散を有効にする」を参照してください。

ネットワークで NLB を有効にする際に、そのネットワークの仮想 IP アドレスを指定します。手順については、「ネットワークの仮想 IP アドレスを構成する」を参照してください。

ISA Server は、すべてのトラフィックでステートフル インスペクションを実行します。このため、ISA Server は Windows NLB と連携して、各セッションの着信方向および発信方向のトラフィックが同じアレイ メンバによって処理されるようにします。これによって ISA Server がトラフィックでステートフル インスペクションを実行できるようになるため、このしくみは重要です。

NLB の統合の無効化

統合 NLB モードを無効にしても、各アレイ メンバでは既存の Windows NLB 設定が構成されたままとなります。これらの NLB 構成設定を変更するには、各アレイ メンバ コンピュータで Windows NLB ツールを使用します。

NLB を完全に無効にするには、次の操作を行います。

  1. 各ネットワークの NLB を無効にします。手順については、「ネットワークに対してネットワーク負荷分散を有効にする」を参照してください。
  2. 変更を適用します。[サービス] タブで、各サーバーのネットワーク負荷分散の状態が [未構成] になっていることを確認します。また、すべてのアレイ メンバが実行中であることを確認します。
  3. NLB の統合を無効にします。手順については、「ネットワーク負荷分散の統合を無効にする」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


NLB 構成

アレイが複数のメンバで構成され、各アレイ メンバ上に複数のネットワーク アダプタがある場合は、Microsoft Internet Security and Acceleration (ISA) Server 2004 を統合ネットワーク負荷分散 (NLB) モードで動作するように構成できます。または、統合 NLB モードが無効である場合は、オペレーティング システムに対して NLB を構成できます。このモードでは、ISA Server の負荷分散に特有の利点は得られません。

アレイで NLB の統合を有効にした後に、アレイ内ネットワークを除くアレイの各ネットワークに対して NLB を構成し、有効にすることをお勧めします。アレイ内ネットワークは、アレイ メンバ間の通信に使用されるもので、負荷を分散しないようにする必要があります。

ネットワークで NLB を有効にするときは、そのネットワークの仮想 IP アドレスを指定します。各アレイ メンバの NLB を監視し、必要に応じて特定のアレイ メンバで NLB をドレインまたは停止できます。

仮想 IP アドレスと専用 IP アドレス

ネットワークに NLB を構成する際に、ネットワークの仮想 IP アドレスを 1 つ指定する必要があります。NLB の統合が有効になっている場合は、ISA Server によってネットワーク プロパティおよびネットワーク アダプタの TCP/IP プロパティの両方が変更されます。

各アレイ メンバ上の各ネットワーク アダプタには、専用 IP アドレスが割り当てられています。専用 IP アドレスは実際には、NLB が有効なネットワークのネットワーク アダプタ上の元のプライマリ IP アドレスです。統合 NLB モードでは、各ネットワーク アダプタに独自の専用 IP アドレスが必要です。

仮想 IP アドレスを指定する際、ISA Server によって、この IP アドレスは、アレイ内の該当するネットワークに接続されたすべてのネットワーク アダプタの 2 つ目の IP アドレスとして設定されます。ISA Server は、また、これらのネットワーク アダプタの TCP/IP プロパティにおける最初の IP アドレスが仮想 IP アドレスと同一でない場合、その IP アドレスを専用 IP アドレスとして設定します。

NLB で使用されるネットワーク アダプタは、専用 IP アドレスを持っていることが必要です。この専用 IP アドレスがない場合、このネットワーク アダプタを介したアレイ メンバと他のホスト間の通信は、正常に機能しない可能性があります。専用 IP アドレスと仮想 IP アドレスは、同じサブネットに属し、同じサブネット マスクを使用する必要があります。

手順については、「ネットワークの仮想 IP アドレスを構成する」を参照してください。

複数の仮想 IP アドレス

ISA Server の管理を使用すると、負荷分散されたネットワークごとに 1 つの仮想 IP アドレスを構成できます。シナリオによっては、複数の仮想 IP アドレスが必要となる場合があります。たとえば、メール公開シナリオで、あるメール サーバーに対して外部ネットワーク上に 1 つの仮想 IP アドレスを構成し、追加のメール サーバーに対して 2 つ目の仮想 IP アドレスを構成するとします。複数の仮想 IP アドレスを構成するには、Windows ベースの IP プロパティを使用します。

仮想 IP アドレスの構成は、そのネットワークに対して NLB を完全に構成してから行う必要があります。同様に、そのネットワークで NLB を無効にする場合は、必ず事前に仮想 IP アドレスを削除します。そうしないと、IP アドレスが競合する可能性があります。

注

  • 追加の仮想 IP アドレスは、ネットワーク アダプタ上の最初の専用 IP アドレスまたは 2 つ目の仮想 IP アドレスとは別のアドレスにする必要があります。

NLB の停止と開始

統合 NLB モードでは、ISA Server によって、NLB クラスタ内のすべてのサーバーが完全に動作していること、およびトラフィックがさまざまなネットワークを適切に経由できることが確認されます。さらに、統合 NLB モードでは、すべての NLB クラスタが動作している、またはどの NLB クラスタも動作していない状態であることが ISA Server によって確認されます。

サーバー上のいずれかのネットワークで NLB が機能していない場合は、ISA Server によってこのサーバー上のすべてのネットワークの NLB が停止されます。サーバーが使用可能になれば、ISA Server はそのサーバーをアレイに戻します。具体的には、以下の条件が満たされていれば、ISA Server はアレイ メンバが NLB クラスタ化に対応できると判断します。

  • ISA Server コンピュータが使用可能である。
  • Microsoft ファイアウォール サービスが実行されている。
  • NLB が有効なすべてのネットワークのすべてのネットワーク アダプタで NLB が実行されている。
  • NLB が有効なネットワークごとにネットワーク アダプタを割り当てられる。

各サーバーでは、NLB は、そのサーバーでファイアウォール サービスが実行されている場合のみ開始するように構成されます。

統合 NLB モードでは、NLB が次のいずれかの状態になります。

  • 実行中。この状態は、NLB が特定のアレイ メンバ サーバー上で実行されていることを示します。サーバーには、負荷を分散するための NLB アルゴリズムが適用されます。
  • ドレインおよび停止中。この状態は、アクティブな接続のみが、このアレイ メンバによって処理されることを示します。これ以降にアレイへの接続を負荷分散する場合に、このサーバーが NLB アルゴリズムに組み込まれることはありません。
  • 停止中。この状態は、このアレイ メンバによってどの接続も処理されないことを示します。
  • 一時停止。この状態は、NLB が停止されていて、ISA Server または ISA Server コンピュータが再起動された後も開始されないことを示します。

NLB サービスは、アレイ内のサーバーごとに手動で一時停止、停止、ドレイン、または開始することができます。たとえば、NLB クラスタからサーバーを削除するには、そのサーバー上で NLB サービスを停止します。メンバ サーバー上で何らかのメンテナンス作業を行う間 NLB を一時停止させる場合は、そのサーバー上で NLB サービスを一時停止します。メンテナンスが完了したら、NLB を再開します。これで、負荷を分散する際に再びそのメンバ サーバーが考慮されるようになります。

手順については、「ネットワーク負荷分散をドレインおよび停止する」および「サービスを開始または停止する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


統合 NLB モードの動作

ネットワーク負荷分散 (NLB) を使用すると、単一サブネット上のすべてのクラスタ ホストで、クラスタの IP アドレスに対して着信方向のネットワーク トラフィックを同時に検出できます。各クラスタ ホストでは、NLB ドライバが、ネットワーク アダプタ ドライバと TCP/IP スタックの間のフィルタとして機能し、ホスト間でトラフィックを分散します。Microsoft Internet Security and Acceleration (ISA) Server 2004 は、この時点で処理を引き継ぎ、仮想プライベート ネットワーク、CARP (Cache Array Routing Protocol)、ファイアウォール クライアントなどを含む複雑な展開シナリオで NLB を有効にします。

Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータのアレイで統合 NLB モードを有効にすることによって、NLB 構成のフレームワークをネットワーク レベルで確立できます。つまり、ISA Server ではネットワーク単位でトラフィックの負荷が分散されます。負荷を分散する特定のネットワークで NLB を有効にすると、ISA Server によってそのネットワークに使用するアダプタが決定されます。ネットワークごとに 1 つのアダプタが選択されます。

ネットワーク アダプタの選択

統合 NLB モードを構成すると、ISA Server によって、指定したネットワーク上でトラフィックの負荷が分散されます。特定のネットワークで NLB を有効にすると、NLB に使用するネットワーク内のアダプタが、ISA Server によって自動的に決定されます。決定されるアダプタは、ネットワークごとに 1 つのみです。

ISA Server では、次のアルゴリズムを使用して、NLB に使用するネットワーク アダプタが選択されます。

  1. 負荷を分散するネットワークで、静的 IP アドレス構成を持つすべてのネットワーク アダプタ、つまり DHCP によって割り当てられないネットワーク アダプタが特定されます。
  2. NLB の候補一覧から、アレイ内通信向けに構成されたネットワーク アダプタが削除されます。
  3. ネットワーク アダプタが名前のアルファベット順に並べ替えられます。
  4. 指定した仮想 IP アドレスと同じサブネット上にある IP アドレスが割り当てられている最初のネットワーク アダプタが選択されます。

つまり、アダプタの名前を変更し、Microsoft ファイアウォール サービスを再起動することによって、選択されるネットワーク アダプタを制御できます。

ネットワーク ルールと NLB

ネットワーク ルールでは、ネットワーク間の関係が、ネットワーク アドレス変換 (NAT) またはルートとして定義されます。

トラフィックが、あるネットワークから別のネットワークへの NAT として構成されている場合は、発信方向の通信に専用 IP アドレスが使用されます。このトラフィックは、常に同じアレイ メンバに戻ってきます。

トラフィックがルーティングされるように構成されている場合、宛先コンピュータでは送信元コンピュータの IP アドレスが認識されます。このため、宛先コンピュータでは、通信時に仮想 IP アドレスをそのデフォルト ゲートウェイとして使用する必要があります。NLB は、ISA Server と統合されるため、適切なアレイ メンバの選択方法を判断できます。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


NLB 展開

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、個別の展開シナリオに応じて、ネットワーク負荷分散 (NLB) が異なる方法で実行されます。

公開と NLB

公開されたサーバーに NLB を構成する場合は、サーバーのアドレスではなく、クライアントのアドレスに従ってネットワークの負荷が分散されます。

たとえば、NLB が有効なネットワーク上のサーバーを、NLB が有効な別のネットワーク上のクライアントに公開するとします。公開されたサーバーにクライアントがアクセスすると、サーバーのアドレスではなく、クライアントのアドレスに従って負荷が分散されます。

NLB とリモート アクセス VPN

リモート アクセス クライアントがアレイとの VPN 接続を開始すると、いずれかのアレイ メンバによって VPN 接続が確立され、このクライアントの IP アドレスが割り当てられます。これ以降は、このリモート クライアントに対するすべてのトラフィックがこのアレイ メンバを経由するようになります。

NLB とサイト間 VPN

リモート サイト ネットワークで NLB が有効になっているときは、VPN トンネルを処理する 1 つのアレイ メンバが ISA Server によって自動的に割り当てられます。このため、2 つのサイト間に並行するトンネルが作成されることはありません。割り当てられたサーバーに何らかの理由で障害が発生した場合は、別のサーバーにトンネルが再作成されます。

2 つのアレイが、サイト間 VPN トンネルを使用して通信する場合があります。ただし、各サイトが他方のサイトの専用 IP アドレスを認識している必要があります。PPTP (Point-to-Point トンネリング プロトコル) および レイヤ 2 トンネリング プロトコル (L2TP) を使用するリモート サイト ネットワークの場合は、リモート サイトの専用 IP アドレスを、追加のリモート ゲートウェイとして指定する必要があります。手順については、「リモート サイトに追加のトンネル エンドポイントを構成する」を参照してください。

ISA Server の NLB 機能を使用して、ISA Server アレイ上で実行されている Microsoft Windows Server 2003 の NLB 機能を構成および管理することができます。

さらに、サイト間 VPN 展開の統合 NLB モードでは、次の機能がサポートされています。

  • VPN 接続をホストしているアレイ メンバに、クライアント要求が自動的にルーティングされます。
  • サイト間 VPN 接続を所有するサーバーで障害が発生した場合は、ISA Server が接続を自動的に別の ISA Server アレイ メンバにシフトします。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


NLB のヒント集

Microsoft Internet Security and Acceleration (ISA) Server 2004 でネットワーク負荷分散 (NLB) が有効なネットワークを構成および展開する場合は、次のガイドラインに従ってください。

  • アレイ メンバとの接続にはレイヤ 2 スイッチを使用しないことを強くお勧めします。代わりに、ハブを使用し、そのハブをネットワーク スイッチにアップリンクしてください。
  • セキュリティ上の理由から、NLB クラスタをルーターで保護することをお勧めします。詳細については、Windows 2000 および Windows Server 2003 でのネットワーク負荷分散のセキュリティに関するヒント集 (英語情報) (http://www.microsoft.com/) を参照してください。
  • アレイ内のすべてのネットワークで負荷分散を有効にする場合は、ネットワーク アダプタを追加する必要があります。このネットワーク アダプタは、別のネットワーク サブネットに配置することをお勧めします。こうすると、他のアレイ メンバに発信されるすべてのトラフィックが、負荷分散されたネットワークを通過せずに、このネットワーク アダプタのみを通過するようになります。
  • アレイ メンバ (ISA Server サービスが提供されているコンピュータ) に構成保管サーバーがインストールされている場合は、構成保管サーバーの名前をこのアレイ メンバのアレイ内アドレスに解決されるように構成します。
  • NLB が有効な場合、NLB ではイーサネット プロトコル通信のみを使用してアレイ メンバが同期されます。この低レベルのトラフィックは、ISA Server によって保護されません。このトラフィックがセキュリティで保護されるようにするには、インターネットと NLB が有効なアレイとの間にレイヤ 3 ルーターを配置することをお勧めします。このレイヤ 3 ルーターでは、低レベルのイーサネット プロトコルの通過が許可されないので、NLB の動作を妨害するおそれのある、インターネットからの悪意のある可能性があるイーサネット トラフィックからアレイを保護することができます。
  • NLB が有効なネットワーク アダプタのフレンドリ名を変更した場合は、Microsoft ファイアウォール サービスを再起動する必要があります。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク : 操作方法

ここでは、ネットワーク ポリシーを設定する手順について説明します。

  • ネットワーク テンプレートを適用する
  • ネットワークを構成する
  • ネットワーク負荷分散を構成する
  • ネットワーク セットを構成する
  • ネットワーク ルールを構成する
  • Web チェーン ルールを構成する
  • ファイアウォール チェーンを構成する
  • 自動ダイヤルを構成する


ネットワーク テンプレートを適用する

ネットワーク テンプレートを適用するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [テンプレート] タブで、適切なネットワーク テンプレートをクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク テンプレートを適用すると、ISA Server によって既存のすべてのルールが上書きされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワークを構成する

ここでは、ネットワークを構成する手順について説明します。

  • エンタープライズ ネットワークを作成する
  • アレイ レベル ネットワークを作成する
  • アレイ レベル ネットワークにエンタープライズ ネットワークを含める
  • ネットワーク アドレスを構成する
  • ネットワークに含まれるドメインを構成する
  • ネットワークを削除する


エンタープライズ ネットワークを作成する

エンタープライズ ネットワークを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[エンタープライズ ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックします。
  3. [タスク] タブで、[新しいネットワークの作成] をクリックします。
  4. [新しいネットワーク ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 各 IP アドレスは、1 つのエンタープライズ ネットワークにのみ含まれます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイ レベル ネットワークを作成する

アレイ レベル ネットワークを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックします。
  3. [タスク] タブで、[新しいネットワークの作成] をクリックします。
  4. [新しいネットワーク ルール ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アレイ レベル ネットワークにエンタープライズ ネットワークを含める

アレイ レベル ネットワークにエンタープライズ ネットワークを含めるには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [アドレス] タブで、[ネットワークの追加] をクリックします。
  5. [このアレイ ネットワークに含まれるエンタープライズ ネットワークを選択してください] で、エンタープライズ ネットワークを選択します。
    定義済みのエンタープライズ ネットワークをすべて選択するには、[すべて選択] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 内部ネットワークを除き、ISA Server のインストール時に作成される既定のネットワークについては、いずれもアドレスを変更できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク アドレスを構成する

ネットワーク アドレスを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [アドレス] タブで、次のいずれかの操作を行います。
    • IP アドレスの特定の範囲を追加するには、[範囲の追加] をクリックします。次に、ネットワーク アドレス範囲の最初のアドレスを [開始アドレス] に入力し、ネットワーク アドレス範囲の最後のアドレスを [終了アドレス] に入力します。
    • アレイ レベル ネットワークの場合、特定のアダプタに割り当てられている IP アドレスを追加するには、[アダプタの追加] をクリックし、[ネットワーク アダプタの詳細] でアダプタを選択します (複数可)。
    • アレイ レベル ネットワークの場合、プライベート アドレス範囲を追加するには、[プライベートの追加] をクリックし、一覧から範囲を選択します。
    • アレイ レベル ネットワークの場合、エンタープライズ ネットワークを追加するには、[ネットワークの選択] をクリックし、一覧からエンタープライズ ネットワークを選択します (複数可)。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 内部ネットワークを除き、ISA Server のインストール時に作成される既定のネットワークについては、いずれもアドレスを変更できません。
  • アレイ レベル ネットワークに、既定のエンタープライズ ネットワークである外部、ローカル ホスト、検疫 VPN クライアント、および VPN クライアントを含めることはできません。
  • エンタープライズ ネットワークを削除するには、[ネットワーク] タブで [ネットワークの選択] をクリックします。次に、該当するエンタープライズ ネットワークの選択をオフにします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワークに含まれるドメインを構成する

ネットワークに含まれるドメインを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [ドメイン] タブで、[追加] をクリックします。[ネットワークに含めるドメイン名] に、ドメイン名を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 1 つのコンピュータを追加するには、そのコンピュータの完全修飾ドメイン名 (FQDN) を入力します。サーバー名は一意であることが必要です。FQDN を使用すると、重複したサーバー名による競合を回避できます。
  • エンタープライズ ネットワークまたは既定のアレイ レベル ネットワークにドメインを構成することはできません。ただし、既定の内部ネットワークは例外です。
  • ドメイン名全体を追加するには、「*.<ドメイン名>」と入力します。
  • すべてのドメインを追加するには、「*」と入力します。
  • ネットワークからドメインを削除するには、[ドメイン] タブで該当するドメインを選択し、[削除] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワークを削除する

ネットワークを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの削除]、[はい] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server のインストール時に作成された既定のネットワークは削除できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク負荷分散を構成する

ここでは、ネットワーク負荷分散 (NLB) を構成する手順について説明します。

  • ネットワーク負荷分散の統合を有効にする
  • ネットワークに対してネットワーク負荷分散を有効にする
  • ネットワークの仮想 IP アドレスを構成する
  • ネットワーク負荷分散の統合を無効にする
  • ネットワーク負荷分散をドレインおよび停止する


ネットワーク負荷分散の統合を有効にする

ネットワーク負荷分散の統合を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[ネットワーク負荷分散の統合の有効化] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 外部ネットワークが対象のネットワークに物理的に接続されている場合にのみ、その外部ネットワークに対してネットワーク負荷分散 (NLB) を有効にする必要があります。
  • ネットワークに対して仮想 IP アドレスが構成されると、指定した IP アドレスが ISA Server によって各サーバーのネットワーク アダプタに追加され、それに応じてそのネットワーク アダプタのルーティング テーブルが更新されます。
  • 仮想 IP アドレスとマスクの組み合わせは、ネットワークのアダプタの IP アドレスとマスクの組み合わせと同じサブネットである必要があります。つまり、仮想 IP アドレスは、ネットワークに属している必要があります。
  • 統合 NLB モードを有効または無効にしたときは、すべてのアレイ メンバを再起動する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワークに対してネットワーク負荷分散を有効にする

ネットワークに対してネットワーク負荷分散を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [NLB] タブで、[このネットワークで負荷分散を有効にする] をクリックします。
  5. [仮想 IP] に、このネットワークに使用する仮想 IP アドレスを入力します。
  6. [マスク] に、指定した仮想 IP アドレスのサブネット マスクの 32 ビット値を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワークに NLB を構成するには、統合ネットワーク負荷分散 (NLB) モードを有効にする必要があります。手順については、「ネットワーク負荷分散の統合を有効にする」を参照してください。
  • エンタープライズ レベルのネットワークおよびアレイ レベルの既定のネットワークであるローカル ホスト、検疫 VPN クライアント、および VPN クライアントに、ネットワーク負荷分散を構成することはできません。
  • 外部ネットワークが対象のネットワークに物理的に接続されている場合にのみ、その外部ネットワークに対してネットワーク負荷分散を有効にする必要があります。
  • ネットワークに仮想 IP アドレスが構成されると、指定した IP アドレスが ISA Server によって各サーバーのネットワーク アダプタに追加され、それに応じてそのネットワーク アダプタのルーティング テーブルが更新されます。
  • 仮想 IP アドレスとマスクの組み合わせは、ネットワークのアダプタの IP アドレスとマスクの組み合わせと同じサブネットである必要があります。つまり、仮想 IP アドレスは、ネットワークに属している必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワークの仮想 IP アドレスを構成する

ネットワークの仮想 IP アドレスを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [NLB] タブで、[仮想 IP] にこのネットワークに使用する仮想 IP アドレスを入力します。
  5. [マスク] に、指定した仮想 IP アドレスのサブネット マスクの 32 ビット値を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • エンタープライズ レベル ネットワークまたは既定のアレイ レベル ネットワークであるローカル ホスト、検疫 VPN クライアント、および VPN クライアントに対して、ネットワーク負荷分散 (NLB) を構成することはできません。
  • ネットワークに対して仮想 IP アドレスが構成されると、指定した IP アドレスが ISA Server によって各サーバーのネットワーク アダプタに追加され、それに応じてそのネットワーク アダプタのルーティング テーブルが更新されます。
  • 仮想 IP アドレスとマスクの組み合わせは、ネットワークのアダプタの IP アドレスとマスクの組み合わせと同じサブネットである必要があります。つまり、仮想 IP アドレスは、ネットワークに属している必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク負荷分散の統合を無効にする

ネットワーク負荷分散の統合を無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[ネットワーク負荷分散の統合の無効化] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 統合ネットワーク負荷分散 (NLB) モードを有効または無効にしたときは、すべてのアレイ メンバを再起動する必要があります。
  • NLB を完全に無効にするには、まず各ネットワークの NLB を無効にします。手順については、「ネットワークに対してネットワーク負荷分散を有効にする」を参照してください。次に、変更を適用し、その変更が各アレイ メンバに適用されていることを確認します。最後に、NLB の統合を無効にします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク負荷分散をドレインおよび停止する

ネットワーク負荷分散をドレインおよび停止するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[サービス] タブをクリックします。
  3. 詳細ウィンドウで、該当するアレイ メンバ (サーバー) の [ネットワーク負荷分散] を選択します。
  4. [タスク] タブで、選択したサービスを開始する場合は [選択されたサービスのドレインおよび停止] をクリックし、停止する場合は [指定されたサービスの停止] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この作業は、NLB の状態が実行中である場合のみ実行できます。
  • サーバー上で NLB をドレインすると、アクティブな接続のみがこのアレイ メンバによって処理されるようになります。これ以後のアレイへの接続について、このサーバーが NLB アルゴリズムに組み込まれることはありません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク セットを構成する

ここでは、ネットワーク セットを構成する手順について説明します。

  • ネットワーク セットを作成する
  • ネットワーク セットを編集する
  • ネットワーク セットを削除する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク セットを作成する

ネットワーク セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク セット] タブをクリックします。
  3. [タスク] タブで、[新しいネットワーク セットの作成] をクリックします。
  4. [新しいネットワーク セット ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アレイ レベルのネットワーク セットに含める (または除外する) ことができるのは、アレイ レベル ネットワークのみです。エンタープライズ レベルのネットワーク セットに含める (または除外する) ことができるのは、エンタープライズ ネットワークのみです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク セットを編集する

ネットワーク セットを編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク セット] タブをクリックし、該当するネットワーク セットを選択します。
  3. [タスク] タブで、[選択したネットワーク セットの編集] をクリックします。
  4. [ネットワーク] タブで、ネットワーク セットに含める 1 つまたは複数のネットワークを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アレイ レベルのネットワーク セットに含める (または除外する) ことができるのは、アレイ レベル ネットワークのみです。エンタープライズ レベルのネットワーク セットに含める (または除外する) ことができるのは、エンタープライズ ネットワークのみです。
  • エンタープライズ ネットワーク セットは、エンタープライズ レベルでのみ変更することができます。
  • 既定のエンタープライズ レベルまたはアレイ レベルのネットワーク セットである [すべての保護されたネットワーク] および [すべてのネットワーク (ローカル ホスト含む)] を変更することはできません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク セットを削除する

ネットワーク セットを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク セット] タブをクリックし、該当するネットワーク セットを選択します。
  3. [タスク] タブで、[選択したネットワーク セットの削除]、[はい] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server のインストール時に作成された既定のネットワーク セットは削除できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク ルールを構成する

ここでは、ネットワーク ルールを構成する手順について説明します。

  • ネットワーク ルールを作成する
  • ネットワーク ルールを編集する
  • ネットワーク ルールを無効にする
  • ネットワーク ルールを削除する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク ルールを作成する

ネットワーク ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブを選択します。
  3. [タスク] タブで、[ネットワーク ルールの作成] をクリックします。
  4. [新しいネットワーク ルール ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを作成したら、詳細ウィンドウで [適用] ボタンをクリックして、変更内容を保存し、構成を更新する必要があります。
  • NAT 関係には方向性があるので、実際に双方向の NAT 関係を定義するネットワーク ルールを作成しないでください。
  • ISA Server は、アレイ レベルのネットワーク ルールを処理してから、エンタープライズ レベルのネットワーク ルールを処理します。アレイ管理者は、アレイ レベルのネットワーク ルールを作成することで、エンタープライズ レベルのネットワーク ルールを上書きできます。
  • エンタープライズ レベルのネットワーク ルールは、エンタープライズ ネットワーク オブジェクトにのみ適用できます。アレイ レベルのネットワーク ルールは、アレイ レベル ネットワークとエンタープライズ レベル ネットワークの両方に適用できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク ルールを編集する

ネットワーク ルールを編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブをクリックし、該当するネットワーク ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [送信元ネットワーク] タブで、[このルールを次の送信元からのトラフィックに適用する] の横にある [追加] をクリックし、次の操作を行います。
    1. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    2. 複数のネットワーク オブジェクトを追加する場合は、手順 a を繰り返します。その後、[閉じる] をクリックします。
    3. 特定のネットワーク オブジェクトを除外して、ルールを適用しないようにするには、[例外] の横にある [追加] をクリックします。
    4. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    5. 複数のネットワーク オブジェクトを追加する場合は、手順 d を繰り返します。その後、[閉じる] をクリックします。
  5. [宛先ネットワーク] タブで、[このルールを次の送信元からのトラフィックに適用する] の横にある [追加] をクリックし、次の操作を行います。
    1. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    2. 複数のネットワーク オブジェクトを追加する場合は、手順 a を繰り返します。その後、[閉じる] をクリックします。
    3. 特定のネットワーク オブジェクトを除外して、ルールを適用しないようにするには、[例外] の横にある [追加] をクリックします。
    4. [ネットワーク エンティティの追加] で、ネットワーク オブジェクトを選択し、[追加] をクリックします。
    5. 複数のネットワーク オブジェクトを追加する場合は、手順 d を繰り返します。その後、[閉じる] をクリックします。
  6. [ネットワークの関係] タブで、次のいずれかを選択します。
    • [ネットワーク アドレス変換 (NAT)]。送信元ネットワークから宛先ネットワークまで、NAT 関係が使用されるようにします。
    • [ルート]。送信元ネットワークと宛先ネットワークの間で、ルート関係が使用されるようにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを編集したら、詳細ウィンドウの [適用] ボタンをクリックして変更を保存し、構成を更新する必要があります。
  • NAT 関係では、送信元ネットワークにあるコンピュータの IP アドレスが、宛先ネットワークに接続された ISA Server コンピュータ上のアダプタの IP アドレスで置き換えられます。NAT 関係は一意かつ一方向です。NAT 関係がネットワーク A (送信元ネットワーク) とネットワーク B (宛先ネットワーク) の間で定義されている場合、ネットワーク B を送信元とし、ネットワーク A を宛先としてネットワークの関係を定義しないでください。
  • ルート関係では、ISA Server が送信元ネットワーク上のコンピュータと宛先ネットワーク上のコンピュータの間でトラフィックをルーティングします。両方のネットワーク上のコンピュータの IP アドレスは公開されます。ルーティングされた関係は双方向です。ルーティングされた関係がネットワーク A (送信元) からネットワーク B (宛先) へのトラフィックに定義されている場合、ネットワーク B からネットワーク A へのトラフィックにもルーティングされた関係が存在します。
  • NAT 関係には方向性があるので、実際に双方向の NAT 関係を定義するネットワーク ルールを作成しないでください。
  • ISA Server は、アレイ レベルのネットワーク ルールを処理してから、エンタープライズ レベルのネットワーク ルールを処理します。アレイ管理者は、アレイ レベルのネットワーク ルールを作成することで、エンタープライズ レベルのネットワーク ルールを上書きできます。
  • エンタープライズ レベルのネットワーク ルールは、エンタープライズ ネットワーク オブジェクトにのみ適用できます。アレイ レベルのネットワーク ルールは、アレイ レベル ネットワークとエンタープライズ レベル ネットワークの両方に適用できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク ルールを無効にする

ネットワーク ルールを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブを選択します。
  3. [タスク] タブで、[選択したルールの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを無効にしたら、詳細ウィンドウの [適用] ボタンをクリックして変更を保存し、構成を更新する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク ルールを削除する

ネットワーク ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 (アレイ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ レベル ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、[ネットワーク ルール] タブをクリックし、該当するネットワーク ルールを選択します。
  3. [タスク] タブで、[選択したネットワーク ルールの削除]、[はい] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク ルールを削除したら、詳細ウィンドウの [適用] ボタンをクリックして変更を保存し、構成を更新する必要があります。
  • ローカル ホスト ネットワークと他のすべてのネットワーク間のルーティング関係を定義するアレイ レベルのローカル ホスト アクセス ルールは、削除できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web チェーン ルールを構成する

ここでは、Web チェーン ルールを構成する手順について説明します。

  • Web チェーン ルールを作成する
  • Web チェーン ルールが要求を取得する方法を構成する
  • Web 要求の 1 次ルートを構成する
  • Web 要求のバックアップ ルートを構成する
  • 資格情報の委任を許可する
  • HTTP 要求をリダイレクトする方法を構成する
  • SSL 要求をリダイレクトする方法を構成する
  • Web チェーン ルールを削除する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web チェーン ルールを作成する

Web チェーン ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックします。
  3. [タスク] タブで、[新しい Web チェーン ルールの作成] をクリックします。
  4. [新しい Web チェーン ルール ウィザード] が開始されたら、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web チェーン ルールが要求を取得する方法を構成する

Web チェーン ルールが要求を取得する方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、次のオプションのいずれかを選択します。
    • 要求されたオブジェクトをインターネットから直接取得するには、[指定された宛先から直接要求を取得する] をクリックします。
    • 上位サーバーが要求を処理する場合は、[指定された上位サーバーにリダイレクトする] をクリックします。次の操作を行います。
      • 要求のリダイレクト先である Web サーバーにクライアントの認証を許可するには、[基本認証の資格情報の委任を許可する] を選択します。
      • バックアップ ルートを構成します。
  5. 要求を別のコンピュータにリダイレクトする場合は、[ホストされたサイトにダイレクトする] をクリックし、サイト、ポート、および SSL (Secure Sockets Layer) ポートを構成します。
  6. (省略可能) 要求を指定の宛先または上位サーバーに直接ルーティングする場合は、[1 次ルートに自動ダイヤルアップを使う] チェック ボックスをオンにします。
  7. (省略可能) 要求を上位サーバーに直接ルーティングし、バックアップ ルートを指定する場合は、[バックアップ ルートに自動ダイヤルアップを使う] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web 要求の 1 次ルートを構成する

Web 要求の 1 次ルートを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[指定された上位サーバーに要求をリダイレクトする]、[設定] の順にクリックします。
  5. [サーバー] に、ISA Server コンピュータの名前またはインターネット プロトコル (IP) アドレスを入力します。
  6. [ポート] に、上位サーバーが HTTP (ハイパーテキスト転送プロトコル) 要求をリッスンするポート番号を入力します。通常、これはポート 8080 です。
  7. [SSL ポート] に、上位サーバーが SSL (Secure Sockets Layer) 要求をリッスンするポート番号を入力します。通常、これはポート 8443 です。
  8. (省略可能) ISA Server が上位サーバーの構成を決定する場合は、上位サーバーからオブジェクトを取得するために、[上位サーバーを自動的にポールし、構成情報を取得する] をクリックし、サーバーの URL (Uniform Resource Locator) を入力します。
  9. (省略可能) 上位サーバーが資格情報を提供する場合のみそのサーバーにアクセスできる場合は、[このアカウントを使う]、[アカウントの設定] の順にクリックして、ユーザー名、パスワード、および認証の種類を入力します。
  10. (省略可能) ISA Server が 1 次接続の際にダイヤル アウトする場合は、[動作] タブの [自動ダイヤルアップ] で、[1 次ルートに自動ダイヤルアップを使う] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [上位サーバーを自動的にポールし、構成情報を取得する] を選択すると、ISA Server によって上位サーバーの構成が決定されます。ローカルの ISA Server コンピュータは、この情報を使用して上位サーバーからオブジェクトを取得します。
  • ISA Server ではパススルー認証がサポートされているので、オブジェクトを要求しているクライアントの認証情報は上位サーバーに渡されます。ただし、上位サーバーでクライアントを識別できない場合は、[このアカウントを使う] をクリックし、上位サーバーに渡す資格情報を入力できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web 要求のバックアップ ルートを構成する

Web 要求のバックアップ ルートを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[指定された上位サーバーに要求をリダイレクトする]、[設定] の順にクリックします。
  5. [サーバー] に上位サーバーの名前を入力して、[OK] をクリックします。
  6. [バックアップ ルート] で、[上位のプロキシ サーバー] を選択して、[設定] をクリックします。
  7. [サーバー] に上位サーバーの名前を入力して、[OK] をクリックします。
  8. (省略可能) ISA Server でバックアップ接続の際にダイヤルアウトする場合は、[バックアップ ルートに自動ダイヤルアップを使う] を選択します。
  9. [設定] をクリックします。
  10. [サーバー] に、ISA Server コンピュータの名前を入力します。
  11. [ポート] に、上位サーバーのポート番号を入力します。通常、これはポート 8080 です。
  12. [SSL ポート] に、上位サーバーの SSL ポート番号を入力します。通常、これはポート 8443 です。
  13. (省略可能) 上位サーバーから構成情報を取得する場合は、[上位サーバーを自動的にポールし、構成情報を取得する] をクリックし、サーバーの URL を入力します。
  14. (省略可能) 上位サーバーが資格情報を提供する場合にのみそのサーバーにアクセスできる場合は、[このアカウントを使う]、[アカウントの設定] の順にクリックします。次に、[ユーザー] にユーザー名を入力し、[パスワード] にパスワードを入力して、[OK] をクリックします。[認証] に、認証方法を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • バックアップ ルートに対して自動ダイヤルアップ エントリを使用するには、ダイヤルアップ接続を構成する必要があります。手順については、「自動ダイヤルを構成する」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


資格情報の委任を許可する

資格情報の委任を許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[指定された上位サーバーにリダイレクトする] をクリックします。
  5. 要求のリダイレクト先である Web サーバーがクライアントを認証できる場合は、[基本認証の資格情報の委任を許可する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


HTTP 要求をリダイレクトする方法を構成する

HTTP 要求をリダイレクトする方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ブリッジ] タブの [HTTP 要求のリダイレクト] で、次のオプションのいずれかを選択します。
    • HTTP (ハイパーテキスト転送プロトコル) を使用して HTTP 要求を上位サーバーにルーティングする場合は、[HTTP 要求として処理] をクリックします。
    • Secure HTTP (HTTPS) を使用して HTTP 要求を上位サーバーにルーティングする場合は、[SSL 要求として処理 (サイトへの保護されたチャネルを確立)] をクリックします。
  5. (省略可能) [SSL 要求として処理] を選択した場合は、[SSL Web サーバーへの認証には証明書を使う] を選択し、[選択] をクリックして、使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [HTTP 要求として処理] を選択した場合は、ISA Server により、セキュリティで保護された制御チャネルが終了します。
  • [SSL 要求として処理] を選択した場合は、ISA Server により、上位サーバーに対してセキュリティで保護された新たな制御チャネルが開きます。
  • 証明書を使用する必要があるのは、Web サーバーがクライアント証明書の認証を必要とする場合だけです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


SSL 要求をリダイレクトする方法を構成する

SSL 要求をリダイレクトする方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ブリッジ] タブの [SSL 要求のリダイレクト] で、次のオプションのいずれかを選択します。
    • HTTP (ハイパーテキスト転送プロトコル) を使用して SSL (Secure Sockets Layer) 要求を上位サーバーにルーティングする場合は、[HTTP 要求として処理] をクリックします。
    • Secure HTTP (HTTPS) を使用して SSL 要求を上位サーバーにルーティングする場合は、[SSL 要求として処理] をクリックします。
  5. (省略可能) [SSL 要求として処理] を選択した場合は、[SSL Web サーバーへの認証には証明書を使う] を選択し、[選択] をクリックして、使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [HTTP 要求として処理] を選択した場合は、ISA Server により、セキュリティで保護された制御チャネルが終了します。
  • [SSL 要求として処理] を選択した場合は、ISA Server により、上位サーバーに対してセキュリティで保護された新たな制御チャネルが開きます。
  • 証明書を使用する必要があるのは、Web サーバーがクライアント証明書の認証を必要とする場合だけです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web チェーン ルールを削除する

Web チェーン ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[Web チェーン] タブをクリックし、該当する Web チェーン ルールを選択します。
  3. [タスク] タブで、[選択したルールの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール チェーンを構成する

ファイアウォール チェーンを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ファイアウォール チェーンの構成] をクリックします。
  3. [ファイアウォール チェーン] タブで、次の操作を行います。
    • ISA Server の 1 次接続方法を使用してインターネットにアクセスする場合は、[1 次接続を使う] をクリックします。
    • 上位 ISA Server コンピュータに要求を転送する場合は、[このコンピュータにチェーン接続する] をクリックして、テキスト ボックスにコンピュータ名を入力します。
  4. [このコンピュータにチェーン接続する] をクリックした場合は、次の操作を行います。
    • 要求したアプリケーションで認証が必要な場合は、[このアカウントを使う] チェックボックスをオンにして、[アカウントの設定] をクリックします。
    • [ユーザー] に、ドメイン名とユーザ名を次の形式で入力します。
      <ドメイン名>\<ユーザー名>
    • [パスワード] および [パスワードの確認入力] テキスト ボックスに、パスワードを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web プロキシ チェーン シナリオでは、ユーザー名およびパスワードの指定に使用できるのは、7 ビット文字のみです。それ以外の場合、下位プロキシ サーバーでの統合 Windows 認証は失敗します。
  • 上位コンピュータの名前ではなく IP アドレスを指定することをお勧めします。
    また、上位コンピュータで、ISA Server コンピュータを手動で選択するようにファイアウォール クライアントの設定を構成してください。次に、ISA Server コンピュータの完全修飾ドメイン名ではなく、IP アドレスを指定します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


自動ダイヤルを構成する

自動ダイヤルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ダイヤルアップの基本設定の指定] をクリックします。
  3. 自動ダイヤルを許可するには、[このネットワークへの自動ダイヤルを許可する] を選択します。
  4. ドロップダウン リスト ボックスから、該当するネットワークを選択します。
  5. ダイヤルアップ接続がデフォルト ゲートウェイの場合は、[このダイヤルアップ接続を既定のゲートウェイとして構成する] を選択します。
  6. [使用するダイヤルアップ接続] に、ダイヤルアップ接続の名前を入力します。または、[選択] を選択して、接続を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ダイヤルアップ接続を作成するには、Windows Server 2003 または Windows 2000 Server の [新しい接続ウィザード] を使用します。
  • VPN 接続のダイヤルアップ エントリを選択すると、接続障害が発生します。これは、VPN 接続の確立に使用される PPTP プロトコルおよび L2TP over IPsec プロトコルが、ISA Server の既定の設定によってブロックされるためです。この問題を回避するには、PPTP トラフィックおよび L2TP over IPsec トラフィックを許可するアクセス ルールを作成します。手順については、「アクセス ルールを作成する」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワークに関する問題のトラブルシューティング

ネットワークの問題のトラブルシューティング

どのような問題がありますか?

ファイアウォール クライアントが通信できません。

原因 : 次の条件のすべてに当てはまる場合、ファイアウォール クライアントは通信できません。

  • ネットワーク間にルート関係が構成されている。
  • ネットワーク上で、ファイアウォール クライアントのサポートが有効になっている。
  • ネットワーク上で、ネットワーク負荷分散 (NLB) 統合が有効になっている。

解決方法 : 次のいずれかの操作を行います。

  • ネットワーク間にネットワーク アドレス変換 (NAT) 関係を構成します。手順については、「ネットワーク ルールを編集する」を参照してください。
  • ネットワーク上で、ファイアウォール クライアントのサポートを有効にしません。手順については、「ファイアウォール クライアント要求をリッスンする」を参照してください。
  • 両方のネットワーク上で、NLB の統合を無効にします。手順については、「ネットワークに対してネットワーク負荷分散を有効にする」を参照してください。

ルーティング ルールでの指定に従って上位 ISA Server アレイにルーティングできない要求があります。

原因 : 下位 ISA Server コンピュータで、上位 ISA Server アレイに要求をルーティングするようルーティング ルールを構成したときに、上位サーバー アレイのノードのいずれかが使用できない場合は、一部の要求が確立されないことがあります。これは、上位サーバーの設定で [上位サーバーを自動的にポールし、構成情報を取得する] を選択して、下位サーバーと上位サーバー アレイ間にフェールオーバーを構成した場合でも発生します。この設定によってフェールオーバーが実装されます。これは、下位サーバーが上位サーバー アレイに対して、アレイ メンバシップ (http://upstream_server/array.dll?get.info.v2) の情報や上位アレイのノードの状態と可用性に関する情報の要求を、自動的に継続して送信するためです。
この問題は、自動要求 (array.dll?get.info.v2) に、認証用に提示する資格情報がないために発生します。資格情報が必要となるのは、[すべてのユーザーに認証を要求する] が有効になっているためです。

解決方法 : ネットワークの [すべてのユーザーに認証を要求する] オプションを無効にします。手順については、「Web プロキシ クライアントの認証方法を構成する」を参照してください。

手動によるダイヤルアウトは機能しますが、インターネットへのダイヤルアウトが失敗しました。

原因 : ネットワーク ダイヤルアップ接続の資格情報は正しく指定されていると思われますが、ダイヤルアップ エントリの資格情報が正しく指定されていません。

解決方法 : ダイヤルアップ エントリの資格情報を再構成します。

原因 : ISA Server コンピュータにダイヤルアップ接続を使用するためのアクセス許可が設定されていません。

解決方法 : ダイヤルアップ接続を再構成して、全員が接続を使用できるようにします。詳細については、Windows ヘルプを参照してください。

接続が既にダイヤルされているために、インターネットへのダイヤルアウトが失敗しました。

原因 : コンピュータ上の別のサービスがこのダイヤルアップ接続を使って接続しています。

解決方法 : 接続操作が完了するまで待ちます。ISA Server は、要求が行われた時点で再び接続を試みます。問題が続くようであれば、ISA Server サービスを再起動します。構成の手順については、「サービスを開始または停止する」を参照してください。

ダイヤルアップ接続が破棄されました。

原因 : 誰かが誤ってダイヤルアップ接続を切断したと思われます。

解決方法 : ISA Server サービスを再起動します。サービスによって自動的に接続が再確立されます。構成の手順については、「サービスを開始または停止する」を参照してください。

ダイヤル動作が行われていないのに、ダイヤルアップ接続が切断されません。

原因 : クライアント要求が行われるたびに、その対象がローカル ネットワーク上のコンピュータであっても、ISA Server は内部 DNS サーバーと外部 DNS サーバーの両方に名前解決要求を送信します。

解決方法 : 内部 DNS サーバーのみを使用するように ISA Server を構成します。内部 DNS サーバーは ISA Server のクライアントとして構成する必要があります。さらに、未解決の要求を外部 DNS サーバーに転送するように内部 DNS サーバーを構成します。

"NLB を初期化できませんでした" という警告がトリガされました。

原因 : ネットワーク負荷分散 (NLB) 統合が有効な場合、ネットワーク アダプタ (接続) の [プロパティ] ページが任意のアレイ メンバ上で開かれていると、この警告がトリガされます。

解決方法 : ネットワーク アダプタのプロパティ ページをすべて閉じます。その後、NLB サービスを再起動します。

原因 : NLB がオペレーティング システムに対して正しく構成されていません。

解決方法 : NLB 構成を完全に削除します。その後、NLB サービスを再起動します。


ファイアウォール ポリシー

Microsoft® Internet Security and Acceleration (ISA) Server 2004 では、次のパケット レベル、サーキット レベル、およびアプリケーション レベルのトラフィック フィルタを使用して、最大限のセキュリティを確保できます。

  • ステートフル パケット フィルタ。セキュリティで保護されたネットワーク回線とアプリケーション レイヤのプロキシ サービスに渡すことのできるパケットを判別します。ステートフル フィルタ処理は、必要に応じてポートを自動的に開き、通信が終了するとポートを閉じます。
  • サーキット フィルタ。多数のインターネット プロトコルおよびインターネット サービスに対するマルチプラットフォーム アクセスをサポートする、アプリケーション透過なサーキット ゲートウェイを提供します。他のサーキット レイヤのプロキシと異なり、ISA Server のサーキット レイヤのセキュリティは、ダイナミック パケット フィルタと組み合わせることで、より強力なセキュリティと使いやすさを実現します。
  • アプリケーション フィルタとステートフル インスペクション。クライアント コンピュータからのアプリケーション プロトコル (HTTP や FTP など) に含まれるコマンドを制御します。ISA Server はクライアント コンピュータの代わりとして機能し、外部ネットワークからネットワーク トポロジと IP アドレスを隠します。

着信および発信方向のアクセスは、ユーザー、グループ、アプリケーション、発信元、宛先、およびスケジュールごとに制御できます。ファイアウォール ポリシーは、どのサイトとコンテンツをアクセス可能にするか、特定のプロトコルを着信方向と発信方向のどちらの通信でアクセス可能にするか、また、指定した IP アドレス間の通信を、指定したプロトコルとポートを使用して許可するかどうかを制御します。ここでは、ファイアウォール ポリシーについて説明します。

  • ファイアウォール ポリシー : 概念
  • ファイアウォール ポリシー : 操作方法


ファイアウォール ポリシー : 概念

ここでは、ファイアウォール ポリシーの基本的な情報、および Microsoft Internet Security and Acceleration (ISA) Server 2004 でのファイアウォール ポリシーの動作について説明します。

  • エンタープライズ ポリシー
  • 有効なアレイ ポリシー
  • ファイアウォール ポリシーの動作
  • ファイアウォール ポリシー ルール
  • 公開ルール構成
  • システム ポリシー
  • ツールボックス
  • カスタム HTML エラー メッセージ
  • 認証
  • ネットワーク保護


エンタープライズ ポリシー

エンタープライズ管理者は、さまざまなエンタープライズ ポリシーを定義できます。たとえば、最初に作成するエンタープライズ ポリシーでは既知の脆弱性をブロックし、2 番目のエンタープライズ ポリシーでは HTTP などのベースライン トラフィックを許可し、3 番目として VPN サーバー向けのエンタープライズ ポリシーを作成します。次に、定義したエンタープライズ ポリシーを、関連するアレイに割り当てます。

エンタープライズ ポリシーにはアクセス ルールが含まれます。アクセス ルールとは、トラフィックを許可するかどうかを指定するものです。各エンタープライズ ポリシーは、次の 3 つのカテゴリのエンタープライズ ポリシー ルールから構成されています。

  • アレイ レベルのルールより前に処理されるエンタープライズ ポリシー ルール
  • アレイ レベルのルールより後に処理されるエンタープライズ ポリシー ルール
  • 他のエンタープライズ レベルのルールとアレイ レベルのルールがすべて処理された後に処理される既定の拒否ルール

エンタープライズ ポリシーには、エンタープライズ レベルのアクセス ルールのみが含まれます。アレイ レベルのファイアウォール ポリシー ルールは、アレイ レベルのみで作成できます。詳細については、「ファイアウォール ポリシー ルール」を参照してください。

エンタープライズ ポリシーを構成するときに、エンタープライズ ルールがアレイ ルールの前または後に処理されるように、順序を変更することができます。既定のルールだけは順序を変更できません。これは、常に最後に処理されます。手順については、「エンタープライズ ポリシー ルールの順序を変更する」を参照してください。

既定のエンタープライズ ポリシー

エンタープライズ内の最初の構成保管サーバーをインストールするときに、"既定" という名前の既定のエンタープライズ ポリシーが作成されます。このポリシーには、"すべてを拒否" という名前の既定のルールのみが含まれます。既定のルールでは、すべてのトラフィックが拒否されます。このため、既定では、Internet Security and Acceleration (ISA) Server コンピュータを通過してエンタープライズに到達するトラフィックはありません。

既定のエンタープライズ ポリシーを変更または削除することはできません。


有効なアレイ ポリシー

アレイが作成されると、エンタープライズ ポリシーがアレイに適用されます。エンタープライズ管理者が他にエンタープライズ ポリシーを作成していない場合は、既定のエンタープライズ ポリシーが適用されます。

アレイに適用されるエンタープライズ ポリシー ルールに加えて、エンタープライズ管理者は、アレイ管理者がエンタープライズ ポリシーを使用する方法を決定することもできます。制約が非常に厳しいポリシーに決める場合があります。この場合、アレイ レベルでファイアウォール ポリシー ルールを構成することはできません。一方、非常に自由なポリシーに決める場合は、アレイ管理者がルールを定義できます。

具体的には、次の種類のルールをアレイ レベルで作成可能にするかどうかを構成できます。

  • アクセスを拒否するアクセス ルール ("拒否" アクセス ルール)
  • アクセスを許可するアクセス ルール ("許可" アクセス ルール)
  • 公開ルール

手順については、「エンタープライズ ポリシーを適用する」を参照してください。

たとえば、エンタープライズ ポリシーで HTTP (ハイパーテキスト転送プロトコル) アドレスへのアクセスのみが許可され、他のすべてのプロトコルの定義を使用した通信は拒否されるとします。このエンタープライズ ポリシーを使用するアレイは、HTTP プロトコルを使用できるユーザーを制限するルールを追加できます。ただし、アレイ ポリシーで、他のプロトコルを使用した通信を許可することはできません。

有効なアレイ ポリシーの動作

有効なアレイ ポリシーは、アレイ レベルのポリシー ルールとエンタープライズ レベルのポリシー ルールの組み合わせである、順序付けられた一連のルールによって生じるファイアウォールの動作です。ルールは、次の順序で処理されます。

  • アレイ システム ポリシー
  • アレイ ファイアウォール ポリシーの前に適用するエンタープライズ ルール
  • アレイ ファイアウォール ポリシー ルール
  • アレイ ファイアウォール ポリシーの後に適用するエンタープライズ ルール

たとえば、エンタープライズ管理者がエンタープライズ全体で例外なく FTP (ファイル転送プロトコル) アクセスを許可する場合、FTP を許可する、アレイ ファイアウォール ポリシーの前に適用するエンタープライズ アクセス ルールを作成する必要があります。ただし、FTP アクセスを許可しても、アレイ管理者が FTP アクセスを拒否できるようにすることが必要な場合は、FTP を許可する、アレイ ファイアウォール ポリシーの後に適用するエンタープライズ アクセス ルールを作成する必要があります。このとき、アレイ管理者が FTP を拒否するアレイ アクセス ルールを作成した場合、有効なポリシーは FTP の拒否になります。アレイ管理者が FTP を拒否するルールを作成しない場合、有効なポリシーは FTP の許可になります。

システム ポリシー ルールは、アレイ レベルのみで構成されます。Internet Security and Acceleration (ISA) Server 2004 では最初にシステム ポリシー ルールが処理されるため、アレイ管理者はシステム ポリシーを構成することで、アレイ ファイアウォール ポリシーの前に適用するエンタープライズ ポリシー ルールも上書きできます。


ファイアウォール ポリシーの動作

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用して、ファイアウォール ポリシーを作成できます。ファイアウォール ポリシーには、一連の公開ルールとアクセス ルールが含まれます。これらのルールとネットワーク ルールによって、クライアントがネットワーク間でどのようにリソースにアクセスするかが決まります。詳細については、「ファイアウォール ポリシー ルール」を参照してください。

発信方向の要求

ISA Server の主な機能の 1 つは、送信元ネットワークと宛先ネットワークを、悪意のあるアクセスから保護しながら接続することです。この接続を容易にするために、ISA Server を使用して、送信元ネットワーク上のクライアントが宛先ネットワーク上の特定のコンピュータにアクセスすることを許可するアクセス ポリシーを作成します。アクセス ポリシーによって、クライアントが他のネットワークにどのようにアクセスするかが決まります。

ISA Server は、発信方向の要求を処理する際に、ネットワーク ルールとファイアウォール ポリシー ルールを確認して、アクセスが可能かどうかを判断します。Web プロキシ クライアント要求または HTTP の場合は、ネットワーク ルールは無視されます。Web プロキシが無効な場合は、ネットワーク ルールが必要になります。

一部のルールを、特定のクライアントに適用するように構成することができます。この場合、IP アドレスまたはユーザー名でクライアントを指定できます。ISA Server は、オブジェクトを要求するクライアントの種類および ISA Server の構成に応じて、要求の処理方法を変更します。

まず、ISA Server はネットワーク ルールをチェックして、2 つのネットワークが接続されていることを確認します。ネットワーク ルールで送信元ネットワークと宛先ネットワーク間の接続が定義されていれば、ISA Server はアクセス ポリシー ルールを処理します。詳細については、「ネットワーク ルール」を参照してください。

次に、ISA Server はアクセス ルールを順番に確認します。要求に許可ルールが適用されていれば、ISA Server は要求を許可します。具体的には、要求が次のルールの条件に一致する場合、ISA Server はルールを適用します。ルールの要素はこの順序でチェックされます。

  1. プロトコル
  2. 送信元のアドレスとポート
  3. スケジュール
  4. 宛先のアドレス、名前、URL
  5. ユーザー
  6. コンテンツ グループ

ルールを適用しても、要求が他のすべてのルールに一致しない場合、ISA Server はルールの評価を停止します。その後、ISA Server は、ルールに適用されるその他のプロトコル フィルタに基づいて、要求を拒否する場合もあります。

最後に、ISA Server はネットワーク ルールを再び確認して、ネットワークがどのように接続されているかを判断します。ISA Server は、Web プロキシ クライアントがオブジェクトを要求した場合は Web チェーン ルールを、SecureNAT クライアントまたはファイアウォール クライアントがオブジェクトを要求した場合はファイアウォール チェーン構成を確認して、要求がどのように処理されるかを判断します。

たとえば、2 つのネットワーク カードを搭載したコンピュータに ISA Server をインストールしたとします。一方はインターネットに接続され、もう一方はローカル ネットワークに接続されています。社内のガイドラインは緩やかで、すべてのユーザーがすべてのサイトへのアクセスを許可されています。この場合、ポリシーは以下のアクセス ポリシー ルールで構成されます。

  • 送信元ネットワーク (ローカル ネットワーク) と宛先ネットワーク (インターネット) 間の接続を確立するネットワーク ルール。
  • すべての内部クライアントが、任意のプロトコルを使用してすべてのサイトにいつでもアクセスできるようにするアクセス ルール。

トラフィックを拒否するアクセス ルールは、公開ルールより前に処理されます。要求がアクセス ルールに一致する場合は、この要求は、公開ルールによって許可されている場合でも拒否されます。

着信方向の要求

ISA Server によって、サーバーを、別のネットワーク上のクライアントからセキュリティで保護されたアクセスを行えるサーバーにすることができます。ISA Server を使用して、サーバーを安全に公開するための公開ポリシーを作成します。公開ポリシーは、Web 公開ルール、サーバー公開ルール、セキュリティで保護された Web 公開ルール、およびメール サーバー公開ルールで構成され、Web チェーン ルールと共に、公開されたサーバーへのアクセス方法を決定します。

次に示す ISA Server ルールのいずれかを使用して、サーバーを公開することができます。

  • Web 公開ルール。Web サーバーのコンテンツを公開するためのものです。
  • サーバー公開ルール。その他すべてのコンテンツを公開するためのものです。
  • セキュリティで保護された Web 公開サーバー。SSL (Secure Sockets Layer) コンテンツを公開するためのものです。

ISA Server は、クライアントからの HTTP 要求または HTTPS 要求を処理する際に、公開ルールと Web チェーン ルールを確認して、要求が許可されるかどうか、およびどのサーバーが要求を処理するかを判断します。

HTTP 要求以外については、ISA Server はネットワーク ルールを確認した後に公開ルールを確認して、要求が許可されるかどうかを判断します。

着信方向の Web 要求については、次の順序でルールが処理されます。

  1. Web 公開ルール。
  2. Web チェーン ルール。詳細については、「Web チェーン ルール」を参照してください。

たとえば、2 つのネットワーク アダプタを搭載したコンピュータに ISA Server をインストールしたというシナリオを想定します。一方はインターネットに接続され、もう一方はローカル ネットワークに接続されています。次のように処理が行われます。

  1. Web 公開ルールで要求が拒否されている場合は、要求が拒否されます。
  2. Web チェーン ルールで、要求を特定の上位サーバーまたはホストされた代理サイトにルーティングするように指定されている場合は、指定されたサーバーが要求を処理します。
  3. Web チェーン ルールで、要求を特定のサーバーにルーティングするように指定されている場合は、内部 Web サーバーがオブジェクトを返します。

Web 公開ルールと Web チェーン ルール

Web 公開ルールは順番に処理されますが、既定の Web 公開ルールは最後に処理されます。Web チェーン ルールも順番に処理されます。

外部クライアントが内部 Web サーバーのオブジェクトを要求すると、ルールが次の順序で処理されます。

  1. Web 公開ルール
  2. Web チェーン ルール

たとえば、以下のルールが設定されているとします。

  • widgets.microsoft.com に対するすべてのクライアントからの要求を、msweb として指定された、ホストされたサイト (Web サーバー) にリダイレクトする Web 公開ルール。
  • msweb を含む送信先に対する要求を、直接処理することでルーティングする Web チェーン ルール。

外部のインターネット ユーザーが widgets.microsoft.com のオブジェクトを要求すると、ISA Server がその要求を傍受します。ISA Server は、最初に Web 公開ルールを処理して、要求が msweb コンピュータにリダイレクトされることを判断します。次に、Web チェーン ルールを処理して、要求が指定されたサーバー (msweb) によって直接処理されることを判断します。

次の例は、適切な Web チェーンを作成せずに Web 公開ルールを作成した場合を示しています。

  • example.microsoft.com を含む宛先セットに対するすべてのクライアントからの要求を、myinternalms として指定された、ホストされたサイトにリダイレクトする Web 公開ルール。
  • すべての宛先に対する要求を上位サーバーにルーティングする Web チェーン ルール。

この場合、Web 公開ルールが最初に処理されます。example.microsoft.com に対するすべての要求が、myinternalms にリダイレクトされます。ただし、Web チェーン ルールでは、要求を上位サーバーにルーティングし、送信先サーバーには直接送信しないように指定されています。要求は、常に上位サーバーにルーティングされます。

認証

認証が必要なルールを処理する場合は、ISA Server はクライアントに資格情報の提示を要求します。クライアントが資格情報を提示できない場合、要求はルールが評価される前に破棄されます。つまり、一致するルールに認証が必要である場合は、SecureNAT クライアントからの要求は破棄されます。

エンタープライズ レベルのルールも認証を要求するよう構成できます。このようなルールを含むエンタープライズ ポリシーをアレイに適用する場合は、すべてのファイアウォール クライアントが資格情報を提示する必要があります。

詳細については、「認証」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール ポリシー ルール

ここでは、ファイアウォール ポリシー ルールについて説明します。

  • アクセス ルール
  • Web 公開ルール
  • セキュリティで保護された Web 公開ルール
  • サーバー公開ルール
  • メール サーバー公開ルール
  • Outlook Web Access サーバーの公開

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アクセス ルール

アクセス ルールは、送信元ネットワーク上のクライアントが宛先ネットワーク上のリソースにアクセスする方法を決定します。エンタープライズ管理者は、アクセス ルールをエンタープライズ ポリシーに追加できます。アレイ管理者は、特定のアレイに対してアクセス ルールを作成できます。

すべての IP トラフィック、特定のプロトコル定義のセット、または選択したプロトコルを除くすべての IP トラフィックに適用するようにアクセス ルールを構成できます。

手順については、「アクセス ルールを作成する」を参照してください。

注

  • 新しいルールは、新しい接続にのみ適用されます。

トラフィック

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、最も一般的に使用されているインターネット プロトコルを含む、既知のプロトコルの定義があらかじめ構成されています。新しいプロトコルを追加したり、既存のプロトコルを変更することもできます。

クライアントが特定のプロトコルを使用してオブジェクトを要求すると、ISA Server はアクセス ルールをチェックします。要求が処理されるのは、クライアントによる特定のプロトコルを使用した通信と、要求されたオブジェクトへのアクセスが、アクセス ルールで明確に許可されている場合のみです。

アクセス ルールは、発信方向の 1 次接続のコンテキストで処理されます。このコンテキストは、トラフィックに対してさらに処理を実行する可能性のあるアプリケーション フィルタと Web フィルタにとって重要です。アクセス ルールを作成するときは、着信方向が設定されたプロトコルを使用しないでください。代わりに、公開ルールを使用します。

手順については、「アクセス ルールのプロトコルを構成する」を参照してください。

アクセス ルールとアプリケーション フィルタ

アプリケーション フィルタの中には、新しいプロトコル定義を作成し、インストールするものがあります。アプリケーション フィルタが無効になっている場合、そのプロトコル定義もすべて無効です。そのプロトコル定義を使用するトラフィックはブロックされます。たとえば、ストリーミング メディア フィルタを無効にすると、Windows Media® および RealNetworks のプロトコル定義を使用するすべてのトラフィックがブロックされます。

ユーザによって定義された、または ISA Server によって構成された既存のプロトコル定義を処理するアプリケーション フィルタもあります。このようなアプリケーション フィルタが無効になっていても、これらによってフィルタ処理されるプロトコル定義は無効になりません。たとえば、SMTP (簡易メール転送プロトコル) フィルタを無効にしても、SMTP プロトコル定義はフィルタ処理なしで通過が許可されます。

アクセス ルールですべての IP トラフィックが許可されている場合、ISA Server は、ルールに一致するすべてのトラフィックを該当するアプリケーション フィルタに渡します。トラフィックがアプリケーション フィルタの条件に一致しない場合、ISA Server はトラフィックを拒否し、接続が終了します。

プロトコルがアプリケーション フィルタによって定義されている場合、または HTTP (ハイパーテキスト転送プロトコル) など、1 次接続しかないプロトコルにアクセス ルールが適用される場合、アクセス ルールはファイアウォール クライアントと SecureNAT クライアントに適用されます。

プロトコルに 2 次接続がある場合でも、そのプロトコルがアプリケーション フィルタによって定義されていなければ、アクセス ルールが適用されるのは 1 次接続に対してだけです。2 次接続があるプロトコルを使用するアプリケーションは、ファイアウォール クライアント上でのみ動作します。

SecureNAT クライアントでは、すべての IP トラフィックに適用するようにアクセス ルールを構成した場合、そのルールは定義されているプロトコルにのみ適用されます。

ルールごとのフィルタ

アプリケーション フィルタは、ルールごとに適用されます。セキュリティの要件に最も適したファイアウォール ポリシーを適用できます。たとえば、すべての内部ユーザーがすべてのプロトコルを使用してインターネットにアクセスすることを許可しているとします。この場合、最も効果的なフィルタを有効にすることができます。しかし、同時に、内部ネットワークから特定の信頼されているネットワークへのリモート プロシージャ コール (RPC) アクセスの制限は緩和する必要があるとします。この場合は、ネットワーク間の DCOM トラフィックを許可して、RPC フィルタの厳密な条件が適用されないようにします。

アクセス ルールでは、次のアプリケーション フィルタをルールごとに使用できます。

  • HTTP フィルタ
  • RPC フィルタ

手順については、「ルールごとのフィルタを構成する」を参照してください。

ルールに一致する要求のログ

特定のトラフィックを拒否または許可するルールを効率的に監視するには、各ルールのログを有効にします。ただし、ログによって ISA Server コンピュータの負荷が増加し、パフォーマンスに悪影響を及ぼす可能性があります。引き続きセキュリティを維持しながらこのパフォーマンスの問題に対処する 1 つの方法として、ログに記録されるルールを特定します。特定のプロトコルまたはソースから大量のデータがログに記録される場合は、要求をログに記録しないようにする新しいルールを作成し、このルールをそのタイプのトラフィックに適用できます。たとえば、ポリシーで DHCP 要求を許可していないため、多数の DHCP 要求が拒否されているとします。DHCP 要求を拒否しても、その要求をログに記録しないという新しいアクセス ルールを作成できます。

特定のルールのログを無効にすると、ISA Server コンピュータがアタックされた場合に、そのコンピュータの負荷を軽減できます。ただし、既定の拒否ルールのログを無効にすると、ISA Server でポート スキャン アタックを検出できなくなることに注意してください。

既定のルール

ISA Server のインストール時に作成される既定のルールでは、すべてのネットワーク間のすべてのアクセスが拒否されます。この既定のルールは変更および削除できません。

注

  • ISA Server ではシステム ポリシー ルールが最初に処理されるので、外部ネットワークへのローカル ホスト アクセスを許可するシステム ポリシー ルールの方が、そのようなアクセスを拒否するように構成されたアクセス ポリシー ルールよりも優先されます。


Web 公開ルール

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、Web 公開ルールを使用することで、ネットワークのセキュリティを損なうことなく、Web コンテンツの公開に関連する問題を解消できます。Web 公開ルールは、ISA Server が Web サーバー上の HTTP (ハイパーテキスト転送プロトコル) オブジェクトに対する着信方向の要求を傍受する方法、および ISA Server が Web サーバーに代わって応答する方法を決定します。要求は、ISA Server コンピュータの背後に配置された Web サーバーに転送されます。可能な場合、その要求は ISA Server のキャッシュから処理されます。

Web 公開ルールは基本的に、着信方向の要求を適切な Web サーバーにマップします。また、Web 公開ルールを使用すると高度なフィルタ機能を構成できるので、悪意のあるアクセスから保護しながら Web ベースの情報を公開することが可能です。

手順については、「Web 公開ルールを作成する」を参照してください。

注

  • 新しいルールは、新しい接続にのみ適用されます。

Web 公開ルールを構成するときは、以下を指定します。

  • Web サーバーの名前または IP アドレス。ルールをサーバー上のすべての Web サイトに適用するか、特定の Web サイトに適用するかを選択できます。
  • パス マッピング。要求を転送する前に、ISA Server は要求で指定された外部パスを変更し、対応する内部パスにマップできます。詳細については、「パス マッピング」を参照してください。
  • 公開された Web サーバーにアクセス可能なユーザーまたはコンピュータ。手順については、「ファイアウォール ポリシー ルールのユーザーを構成する」を参照してください。
  • 送信元。公開された Web サーバーにアクセス可能なネットワーク オブジェクトです。詳細については、「ネットワーク オブジェクト」を参照してください。指定するネットワーク オブジェクトは、その Web 公開ルールで指定する Web リスナ内になければなりません。手順については、「ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成する」を参照してください。
  • Web リスナ。クライアントからの要求をリッスンする ISA Server コンピュータ上の IP アドレスです。詳細については、「Web リスナの概要」を参照してください。
  • ブリッジ。ブリッジでは、公開されたサーバーに HTTP 要求が転送される方法を構成します。詳細については、「ブリッジ」を参照してください。
  • リンクの変換。リンクの変換では、ISA Server が Web ページをスキャンしてリンクを調べ、外部名と外部パスでそのリンクを更新する方法を構成します。リンクの変換の詳細については、「リンクの変換」を参照してください。リンクの変換での作業手順については、「Web ページ内の絶対リンクを置換する」および「Web 公開ルールのリンク変換辞書エントリを追加する」を参照してください。

HTTP フィルタを構成することで、Web サーバーへの要求をさらにフィルタ処理できます。HTTP フィルタの詳細については、「HTTP フィルタ」を参照してください。

重要

  • ISA Server によって公開されている Web サーバーでは、ディレクトリの参照を無効にすることをお勧めします。また、このような Web サーバーは、ダイジェスト認証や基本認証を要求することはできません。要求した場合、Web サーバーの内部名または IP アドレスがインターネット上に公開されるおそれがあります。

動作

Web 公開ルールは、要求されたオブジェクトを返すサーバーが存在する場合、そのサーバーを特定します。要求は、破棄することも、代替サイトにリダイレクトすることもできます。代替サイトは通常、企業ネットワーク上の Web サーバーです。

ホストされたサイトに要求をリダイレクトするようにルールを構成している場合、ISA Server は、要求で指定されたホスト コンピュータ上のパスからオブジェクトを取得します。たとえば、ISA Server によって example.microsoft.com/development に対する要求が Dev というホスト コンピュータにリダイレクトされるように指定しているとします。クライアントが example.microsoft.com/development にオブジェクトを要求した場合、ISA Server は Dev 上の development フォルダからオブジェクトを取得します。

Web 公開ルールは、ホスト ヘッダーを参照して、要求された宛先を特定します。

手順については、「ファイアウォール ポリシー ルールの動作を構成する」を参照してください。

ルールに一致する要求のログ

特定のトラフィックを拒否または許可するルールを効率的に監視するには、各ルールのログを有効にします。ただし、ログによって ISA Server コンピュータの負荷が増加し、パフォーマンスに悪影響を及ぼす可能性があります。引き続きセキュリティを維持しながらこのパフォーマンスの問題に対処する 1 つの方法として、ログに記録されるルールを特定します。特定のプロトコルまたはソースから大量のデータがログに記録される場合は、要求をログに記録しないようにする新しいルールを作成し、このルールをそのタイプのトラフィックに適用できます。たとえば、ポリシーで DHCP 要求を許可していないため、多数の DHCP 要求が拒否されているとします。DHCP 要求を拒否しても、その要求をログに記録しないという新しいアクセス ルールを作成できます。

特定のルールのログを無効にすると、ISA Server コンピュータがアタックされた場合に、そのコンピュータの負荷を軽減できます。ただし、既定の拒否ルールのログを無効にすると、ISA Server でポート スキャン アタックを検出できなくなることに注意してください。

パス マッピング

公開された Web サーバーに要求を転送する前に、ISA Server は、要求で指定された外部パスをチェックします。パス マッピングを構成すると、ISA Server は、要求で指定されたパスを対応するパス名に置き換えます。それぞれに異なる一意のパスを指定する必要があります。

パス マッピングを指定するときは、次のガイドラインに従ってください。

  • 要求のマッピング先となる内部パスを指定するときは、「/mypath/*」という形式を使用します。
  • パスにはワイルドカード文字を使用できません。たとえば、「mypath*/」や「/mypath*」は指定できません。
  • パス マッピングを構成する際、ファイル名を指定することは避けてください。そうでないと、まったく同じパスに対する要求しか処理されなくなります。

手順については、「パス マッピングを構成する」を参照してください。

ブリッジ

Web 公開ルールを作成すると、HTTP 通信のセキュリティを強化できます。最初の通信で HTTP が使用されていても、ISA Server が要求を受け取った後は、SSL (Secure Sockets Layer) を使用して通信をリダイレクトできます。要求が SSL 要求としてリダイレクトされる場合、パケットは暗号化されます。このリダイレクトをブリッジと呼びます。

HTTP 要求または SSL 要求が FTP (ファイル転送プロトコル) 要求として Web サーバーに渡されるように設定できます。外部クライアントが HTTP または SSL を使用してオブジェクトを要求したとき、ISA Server は FTP を使用して、その要求を内部 Web サーバーにリダイレクトできます。ブリッジをこのように構成する場合、FTP 要求をブリッジする際に使用されるポートを指定できます。

上位 Web サーバーがクライアント証明書を必要とする場合があります。その場合、特定のクライアント側証明書を使用して認証するように ISA Server を構成してください。

セキュリティで保護されたチャネルを要求するように Web 公開ルールを構成した場合、指定された宛先に対するすべてのクライアント要求が、SSL 接続について指定されたポート上になければなりません。

手順については、「Web 公開ルールの HTTP 要求をリダイレクトする方法を構成する」を参照してください。

同じドメイン名での Web サイトの公開

クライアントは、ISA Server によって公開された完全修飾ドメイン名 (FQDN) で、公開された Web サイトを識別します。Web サイトの FQDN は、Web 公開ルールで構成した FQDN です。同じ FQDN を使用して複数の Web サーバーを公開すると、クライアントは公開された両方のサイトが実際は同じであると想定します。Web クライアントは、一方の Web サーバーに宛てた情報を他方の Web サーバーに送信することがあります。

ルールの順序

Web 公開ルールは、すべてのファイアウォール ポリシー ルールと共に処理されます。これらのルールは、それぞれの着信方向の Web 要求について順番に処理されます。ルールが要求に一致すると、要求はルールに従ってルーティングされ、キャッシュされます。要求に一致するルールがない場合、ISA Server は既定のルールを処理し、要求を破棄します。


セキュリティで保護された Web 公開ルール

ISA Server を使用すると、セキュリティで保護された Web 公開ルールを作成し、HTTPS コンテンツをホストする Web サイトを公開できます。セキュリティで保護された Web 公開ルールでは、ISA Server が内部 Web サーバーの HTTPS オブジェクトに対する着信方向の要求を傍受する方法、および ISA Server が Web サーバーの代わりに応答する方法を指定します。要求は、ISA Server コンピュータの背後に配置されている内部 Web サーバーに転送されます。

手順については、「セキュリティで保護された Web 公開ルールを作成する」を参照してください。

注

  • 新しいルールは、新しい接続にのみ適用されます。

ブリッジ

ブリッジを使用すると、Web サーバーにトラフィックを渡す方法を構成できます。たとえば、クライアントが SSL (Secure Sockets Layer) を使用して ISA Server コンピュータと通信を行い、Web 公開ルールで要求を内部 Web サーバーにマップするとします。最初の通信では SSL が使用されます。しかし、既定では、これ以降のすべての通信で、HTTP などのセキュリティで保護されていないプロトコルが使用されます。

セキュリティで保護された Web 公開ルールを作成すれば、SSL 要求を HTTP 要求として、または SSL 要求としてリダイレクトする方法を構成できます。要求を SSL 要求としてリダイレクトする場合には、ISA Server はそのパケットを再暗号化してから、Web サーバーに渡します。これにより、SSL Web サーバーとの通信に、セキュリティで保護された新しいチャネルが確立されます。このリダイレクトを SSL ブリッジとも呼びます。

詳細については、「SSL ブリッジ」を参照してください。

トンネリング

トンネリング モードを使用するよう、セキュリティで保護された Web 公開ルールを構成すると、ISA Server は未変更の暗号化トラフィックを公開された Web サーバーに中継します。つまり、ISA Server ではトラフィックに対してこれ以上のフィルタ処理を行いません。

ブリッジ モードではなく、トンネリング モードを使用するセキュリティで保護された Web 公開ルールは、Web 公開ルールよりもサーバー公開ルールに似ています。リンクの変換やパス マッピングをはじめとする、多くの Web 公開機能はこれらのルールには適用できません。ルールを適用できるのはネットワーク オブジェクトのみであり、特定のユーザーには適用できません。

詳細については、「SSL トンネリング」を参照してください。

リスナ

セキュリティで保護された Web 公開ルールを構成するとき、公開された Web サーバーの HTTPS コンテンツへのアクセス方法を定義します。セキュリティで保護された Web 公開ルールでは、適切なリスナを指定して、このリスナを HTTPS ポートでリッスンするように構成する必要があります。

詳細については、「Web リスナ」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


サーバー公開ルール

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、サーバーを公開して、FTP (ファイル転送プロトコル) サーバーや SQL Server などの内部サーバーへの着信方向の要求を処理します。要求は、ISA Server コンピュータの背後に配置された内部サーバーにダウンストリームで転送されます。

サーバーを公開すると、内部ネットワーク上のコンピュータを実質的にインターネットに公開できます。着信方向の要求および発信方向の応答すべてが ISA Server を経由するので、セキュリティは保証されます。サーバーが ISA Server コンピュータによって公開される場合、公開される IP アドレスは、実際は ISA Server コンピュータの IP アドレスになります。オブジェクトを要求したユーザーは、オブジェクトの要求時に指定した名前または IP アドレスの ISA Server コンピュータと通信しているように思いますが、実際は公開サーバーに情報を要求しています。これは、公開されたサーバーが配置されているネットワークと、公開されたサーバーにアクセスしているクライアントが配置されているネットワークとの間にネットワーク アドレス変換 (NAT) 関係が設定されている場合の動作です。ルート ネットワーク関係が構成されている場合、クライアントは、公開されたサーバーの実際の IP アドレスを使用してアクセスします。ネットワーク関係の詳細については、「ネットワーク ルール」を参照してください。

サーバー公開ルールは、サーバーをどのように公開するかを決定し、基本的に ISA Server コンピュータを経由するすべての着信方向および発信方向の要求をフィルタ処理します。サーバー公開ルールは、着信方向の要求を ISA Server コンピュータの背後にある適切なサーバーにマップします。これらのルールによって、インターネット ユーザーから特定の公開サーバーへのアクセスが指定どおりに動的に許可されます。

公開されたサーバーは、SecureNAT クライアントです。したがって、ISA Server コンピュータ上にサーバー公開ルールを作成すると、公開されたサーバーでは特別な構成を行う必要はありません。ISA Server は、公開されたサーバーでデフォルト ゲートウェイとして構成する必要があります。

注

  • IP レベルおよびインターネット制御メッセージ プロトコル (ICMP) のプライマリ プロトコルの公開はサポートされていません。この例外として、TCP 接続と GRE (Generic Routing Encapsulation) パケットの組み合わせである PPTP (Point-to-Point トンネリング プロトコル) はサポートされています。
  • 新しいルールは、新しい接続にのみ適用されます。

手順については、「サーバー公開ルールを作成する」を参照してください。

サーバー公開ルールは、1 つのプロトコルに適用されます。手順については、「サーバー公開ルールのプロトコルを構成する」を参照してください。

ルールに一致する要求のログ

特定のトラフィックを拒否または許可するルールを効率的に監視するには、各ルールのログを有効にします。ただし、ログによって ISA Server コンピュータの負荷が増加し、パフォーマンスに悪影響を及ぼす可能性があります。引き続きセキュリティを維持しながらこのパフォーマンスの問題に対処する 1 つの方法として、ログに記録されるルールを特定します。特定のプロトコルまたはソースから大量のデータがログに記録される場合は、要求をログに記録しないようにする新しいルールを作成し、このルールをそのタイプのトラフィックに適用できます。たとえば、ポリシーで DHCP 要求を許可していないため、多数の DHCP 要求が拒否されているとします。DHCP 要求を拒否しても、その要求をログに記録しないという新しいアクセス ルールを作成できます。

特定のルールのログを無効にすると、ISA Server コンピュータがアタックされた場合に、そのコンピュータの負荷を効率的に軽減できます。ただし、既定の拒否ルールのログを無効にすると、ISA Server でポート スキャン アタックを検出できなくなることに注意してください。

ルールごとのフィルタ

アプリケーション フィルタは、ルールごとに適用されます。そのため、セキュリティの要件に最も適したファイアウォール ポリシーを適用できます。サーバー公開ルールでは、Exchange RPC フィルタをルールごとに使用できます。

既定のポートの上書き

ISA Server を使用してサーバーを公開する場合、既定では、ファイアウォールは個々のプロトコルの標準ポートで着信方向の要求をリッスンし、公開サーバー上の同じ標準ポートに着信方向の接続を渡します。たとえば、FTP サーバーを公開すると、ISA Server は、FTP プロトコルと関連するポート 21 で着信方向の要求をリッスンし、公開サーバーのポート 21 に着信接続を渡します。標準ポートを上書きするには、公開ルールで別のポートを指定します。

注

  • ネットワーク間にルート ネットワーク関係が設定されているリモート プロシージャ コール (RPC) インターフェイスを公開する場合、ポートの上書きは無視されます。公開ルールでは、元の IP アドレスとポートが使用されます。

手順については、「サーバー公開ルールの既定のポートを上書きする」を参照してください。

サーバー公開の動作

ISA Server は、サーバーの公開時に次の手順を実行します。

  1. インターネット上のクライアント コンピュータは、公開サーバーとして認識されている IP アドレスにオブジェクトを要求します。IP アドレスは、実際は ISA Server コンピュータと関連付けられています。これは、ISA Server コンピュータに属する外部ネットワーク アダプタの IP アドレスです。
  2. ISA Server コンピュータは要求を処理し、IP アドレスを内部サーバーの内部 IP アドレスにマップします。
  3. 内部サーバーはオブジェクトを ISA Server コンピュータに返し、ISA Server コンピュータはそれを要求元クライアントに渡します。

サーバー公開ルールの使用方法

多くの場合、サーバー公開ルールの代わりにアクセス ルールを使用して、クライアントがサーバーを使用するようにできます。次の点を考慮してください。

  • 公開されたサーバーのネットワークとクライアントのネットワークとの間に NAT ネットワーク関係が設定されている場合は、サーバー公開ルールを使用する必要があります。
  • サーバー公開ルールで公開できるのは、指定した 1 つのサーバーのみです。複数のサーバーを公開する場合は、複数のルールが必要です。
  • サーバー公開ルールでは、ポートの上書きを構成できます。詳細については、「既定のポートを上書きする」を参照してください。

DNS サーバーの公開

ISA Server では、DNS サーバーの IP アドレスは変換されません。DNS サーバーを公開する場合は、ローカル ホスト ネットワークと、DNS サーバーが配置されているネットワークとの間にルート ネットワーク関係を構成します。また、ISA Server で DNS サーバーの IP アドレスが認識されている必要があります。

ルールの無効化

サーバー公開ルールを無効にすると、サーバーへの接続が拒否されます。ただし、ISA Server が使用中の接続を閉じることはありません。手順については、「ファイアウォール ポリシー ルールを無効にする」を参照してください。

アクティブな接続を終了するには、関連するセッションを切断します。手順については、「セッションを切断する」を参照してください。


メール サーバー公開ルール

メール サーバー公開ルールを作成すると、Microsoft Internet Security and Acceleration (ISA) Server 2004 によって、クライアントにそれぞれのメール サーバーへのアクセスを許可するために必要な公開ルールが作成されます。指定したメール サーバーの種類に応じて、指定したプロトコルを使用したメール サーバーへのアクセスを許可する Web 公開ルールまたはサーバー公開ルールが構成されます。

手順については、「メール サーバーを公開する」を参照してください。

公開されたメール サーバーが提供するアクセスの種類を、次の中から 1 つ選択できます。

  • [Web クライアント アクセス]。Microsoft Outlook® Web Access、Outlook Mobile Access、または Exchange Application Services の各サーバーにクライアントがアクセスできるようにします。このオプションを選択すると、ISA Server によって適切な Web 公開ルールが構成されます。詳細については、「Outlook Web Access サーバーの公開」を参照してください。
  • [クライアント アクセス]。クライアントが、リモート プロシージャ コール (RPC)、IMAP4 (Internet Message Access Protocol 4rev1)、POP3 (Post Office Protocol 3)、または SMTP (簡易メール転送プロトコル) を使用してそれぞれのメールにアクセスできるようにします。このオプションを選択すると、選択したプロトコルごとにサーバー公開ルールが作成されます。サーバー公開ルールの詳細については、「サーバー公開ルール」を参照してください。
  • [サーバー間の通信]。SMTP メール サーバーおよび NNTP ニュース サーバーのアクセスを可能にします。

メール サーバーを公開する際は、メール サーバーの完全修飾ドメイン名 (FQDN) を、ISA Server コンピュータの外部ドメイン ネーム システム (DNS) 名に構成することをお勧めします。こうすると、メール サーバーの内部名が公開されないため、アタックを受けにくくなります。

そのためには、インターネット インフォメーション サービス (IIS) で、SMTP 仮想サーバーのドメイン名を構成します。

SMTP フィルタ

SMTP フィルタがインストールされて有効になっている場合は、SMTP フィルタを適用できます。詳細については、「SMTP フィルタ」を参照してください。

RPC フィルタ

RPC タイプのメール サーバーを公開すると、RPC フィルタを適用できるようになります。詳細については、「RPC フィルタ」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Outlook Web Access サーバーの公開

Microsoft Internet Security and Acceleration (ISA) Server 2004 と Microsoft Outlook® Web Access は、連携して動作し、電子メール メッセージのセキュリティを強化します。メール サーバー公開ルールを使用して、Outlook Web Access サーバーを安全に公開できます。

ISA Server を使用して Outlook Web Access サーバーを公開する場合、ユーザーは Outlook Web Access サーバーの名前と IP アドレスにアクセスできないため、Outlook Web Access サーバーは直接的な外部アクセスから保護されます。ユーザーが ISA Server コンピュータにアクセスすると、メール サーバー公開ルールの条件に従って、要求が Outlook Web Access サーバーに転送されます。

手順については、「メール サーバーを公開する」を参照してください。

[新しいメール サーバー公開ルール ウィザード] を使用すると、Outlook Web Access サーバーを安全に公開するために必要な手順を実行できます。Outlook Web Access サーバーでは、クライアントから要求された完全修飾ドメイン名 (FQDN) が必要なため、ウィザードでは、ISA Server が元のホスト ヘッダーを公開された Outlook Web Access サーバーに転送するよう構成されます。

ウィザードが完了すると、作成された Web 公開ルールには次のパスが指定されます。

  • /exchange/*
  • /exchweb/*
  • /public/*

Outlook Web Access サーバーを公開する

メール サーバー公開ルールを作成するときは、次の点に注意してください。

  • ISA Server と Outlook Web Access サーバーでは、標準ポートのみを指定する必要があります。HTTP の標準ポートは 80 です。HTTPS の標準ポートは 443 です。
  • Outlook Web Access サーバーを公開する場合、HTTP 要求が HTTPS 要求として転送されるようブリッジを構成することはできません。
  • HTTPS 要求が HTTP 要求として Outlook Web Access サーバーに転送されるように指定してブリッジを構成する場合、リンクの変換は有効にしないでください。

Outlook Mobile Access と Exchange Application Services を公開する

[新しいメール サーバー公開ルール ウィザード] では、Outlook Web Access と Exchange Application Services の公開を構成するよう選択できます。Exchange Application Services は、Outlook Web Access 同様、Web ベースのメール サーバーです。Outlook Mobile Access および Exchange Application Services を公開すると、作成された公開ルールでは次のパスが指定されます。

  • /OMA/*
  • /Microsoft-Server-ActiveSync/*

Outlook Web Access の公開の Web リスナ

Outlook Web Access の公開で構成する Web リスナは、フォームベース認証を使用するよう構成できます。クライアントへのセキュリティで保護された接続を構成する場合は、リスナが HTTPS ポートで要求をリッスンするようにしてください。

この場合、ISA Server コンピュータから認証フォームが提供され、Exchange 2000 Server および Exchange Server バージョン 5.5 を公開する際、フォームベース認証が有効になります。

Web リスナの詳細については、「Web リスナ」を参照してください。

重要

  • セキュリティ上の理由により、Outlook Web Access の公開用に構成した Web リスナは他の公開シナリオに使用しないことをお勧めします。

フォームベース認証

ウィザードの中で、着信方向の Outlook Web Access 要求用のリスナを指定します。

Outlook Web Access の公開を構成する場合は、フォームベース認証を使用することをお勧めします。フォームベース認証を使用すると、クライアント コンピュータ上で、クライアントの資格情報をキャッシュする際につきもののリスクを回避できます。キオスク シナリオでは、資格情報のキャッシュにリスクが伴います。資格情報はキャッシュされているため、ユーザーがログオフした後であっても、ブラウザ ウィンドウを開いたままにすると、悪意のあるユーザーによって元の Outlook Web Access セッションにアクセスされることがあります。

フォームベース認証を有効にするには、この認証を使用するように構成されたリスナを指定する必要があります。詳細については、「フォームベース認証」を参照してください。

ISA Server は、Exchange Server 2003、Exchange 2000 Server、および Exchange Server バージョン 5.5 を公開する際、フォームベース認証をサポートします。

注

  • Outlook Mobile Access クライアントではフォームベース認証を使用できません。

ブリッジ モード

Outlook Web Access の [公開ルール ウィザード] では、使用するブリッジ モードを指定できます。

  • [クライアント接続をセキュリティで保護する]。このオプションを選択すると、ISA Server は、クライアント コンピュータとセキュリティで保護された接続を確立し、メール サーバーと標準の接続を確立します。
  • [クライアントとメール サーバーの接続をセキュリティで保護する]。このオプションを選択すると、ISA Server は、メール サーバーおよびクライアント コンピュータとセキュリティで保護された接続を確立します。
  • [標準接続のみ]。このオプションを選択すると、ISA Server はメール サーバーおよびクライアント コンピュータと標準の接続を確立します。

Outlook Web Access の公開で推奨される構成は、外部クライアントから ISA Server コンピュータまでと、ISA Server コンピュータから Outlook Web Access サーバーまでの両方の通信に、SSL 暗号化通信 (HTTPS) を使用する構成です。これは、認証プロセスで使用する資格情報は保護しなければならず、内部ネットワーク内であっても公開してはならないためです。このため、ISA Server コンピュータと Outlook Web Access サーバーの両方に、デジタル証明書をインストールする必要があります。

パブリック (共有) とプライベートのコンピュータ

Outlook Web Access を使用すると、ユーザーは任意のコンピュータから自分の Exchange ベースのメールボックスにアクセスできます。コンピュータは、プライベート コンピュータでも、パブリック (共有) コンピュータでもかまいません。どこででも電子メール メッセージにアクセスできるという便利さは、パブリック コンピュータにデータが残されるというリスクもはらんでいます。

こういった脅威に対抗するため、ISA Server のフォームベース認証では、ユーザーがパブリック コンピュータ上にキャッシュされたパスワードを残さないようにできます。

さらに、ユーザーが再認証を要求されてからの最大アイドル タイムアウトを構成することもできます。手順については、「Outlook Web Access クライアントのアイドル セッション タイムアウトを構成する」を参照してください。

ユーザー パスワードを変更する

Outlook Web Access には、ユーザーにパスワードの変更を許可するオプションの機能もあります。Outlook Web Access セッション中にユーザーがパスワードを変更すると、ユーザーが最初にログオンした後で書き込まれた Cookie は有効でなくなります。ISA Server にフォームベース認証が構成されている場合は、Outlook Web Access セッション中にパスワードを変更したユーザーが次回要求を送信するときに、ログオン ページが表示されます。

ユーザーにパスワードの変更を許可するときは、必ず Outlook Web Access メール サーバー公開ルールに /IISADMPWD/* フォルダを追加してください。追加していない場合、Outlook Web Access で [パスワードの変更] ボタンをクリックするたびにエラー メッセージが表示されます。

添付ファイルをブロックする

ISA Server では、ユーザーが添付ファイルを開いたり、保存することをブロックできます。パブリック コンピュータ、プライベート コンピュータ、あるいはその両方で、Outlook Web Access クライアントに対してブロックを構成できます。

ISA Server で行う添付ファイルのブロックは、Exchange Server での添付ファイルのブロックとは異なります。ユーザーはメッセージに添付ファイルが付いていることはわかりますが、その添付ファイルを開くことも保存することもできません。

手順については、「Outlook Web Access クライアントからの添付ファイルをブロックする」を参照してください。

ページのプリフェッチ

Exchange の Outlook Web Access サーバーにはプリフェッチ機能が含まれています。これは、クライアント コンピュータが資格情報を渡すと、クライアント コンピュータにファイルをダウンロードできる機能です。ISA Server のフォームベース認証を使用している場合に、この機能を有効にするには、通常は ISA Server のインストール フォルダの CookieAuthFilter サブフォルダにある、logoff_msierich.htm ファイルの次の行からコメント記号を削除します。

"<IFRAME src="/exchweb/controls/preload.htm" style="display:none"></IFRAME>"

このプリフェッチ機能では、Outlook Web Access サーバーの /exchweb/* フォルダへの認証されていないアクセスが必要になります。そのため、Web ベースのメール クライアントを ISA Server で認証する必要がある場合は、Outlook Web Access サーバー上の /exchweb/* フォルダへの匿名アクセスを許可する Web 公開ルールを作成する必要があります。また、Web リスナで認証を要求するよう構成されている場合は、プリフェッチ機能を有効にしないでください。

RADIUS 認証と Outlook Web Access

RADIUS 認証されたユーザーのログオン中に RADIUS サーバー ポリシーを変更すると、新しいポリシーは現在ログオンしているユーザーには適用されません。ポリシーをすぐに適用するには、セッションを切断します。これは、公開された Outlook Web Access サーバーにアクセスするユーザーが RADIUS 認証を使用して認証すると、ログオンしたユーザーの資格情報を ISA Server がキャッシュするためです。


公開ルール構成

ここでは、Internet Security and Acceleration (ISA) Server 2004 で構成可能なすべての公開ルールに共通の構成について基本的な情報を提供します。

  • ネットワーク リスナ
  • 既定のポートの上書き
  • 要求の転送
  • DNS Web サイトの登録
  • ホスト ヘッダー
  • SSL ブリッジとトンネリング

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク リスナ

サーバー公開用にサーバー公開ルールを作成するとき、実際にはそのサーバーの代わりにクライアントからの要求をリッスンする ISA Server を構成することになります。つまり、クライアントからの要求を待機する ISA Server コンピュータ上でネットワーク リスナを構成する必要があります。ネットワーク リスナを構成するときは、ISA Server コンピュータ上のネットワーク アダプタに対応するネットワークを指定します。ISA Server コンピュータは、公開されたサービスの着信方向の要求をリッスンします。リスナは、ネットワークに関連付けられているすべての IP アドレス、または特定の IP アドレス上でリッスンできます。

ISA Server は、サーバーが公開しているプロトコルに関連付けられているポート番号を使用して、指定されているネットワーク アダプタ上でリッスンします。

手順については、「サーバー公開ルールのネットワーク リスナを構成する」を参照してください。

リスナのネットワーク (IP アドレス) の選択

選択するリスナのネットワークは、公開されたサーバーに接続するクライアントを含むネットワークによって異なります。たとえば、公開しているサービスがインターネット (外部ネットワーク) からのクライアント要求を受け入れる場合は、リスナに外部ネットワークを選択します。外部ネットワークを選択することで、外部ネットワーク アダプタに関連付けられている ISA Server コンピュータ上の IP アドレスを選択することになります。IP アドレスを制限しない場合は、選択したネットワーク アダプタに関連付けられているすべての IP アドレスがリスナの構成に含められます。

また、ルールが機能するには、公開ルールのプロパティの [送信元] タブに指定されているトラフィックの送信元 (ネットワーク エンティティ) が、選択されているネットワークにネットワーク リスナとして含まれている必要があります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


既定のポートの上書き

既定では、ファイアウォール ポリシー ルールを作成すると、ISA Server は、指定されているポート上で要求をリッスンしますが、任意のポート上でクライアントからの要求を受け付けます。アクセス ルールとサーバー公開ルールでは、指定した送信元ポートのみからの要求を受け付けるようにルールを制限できます。

さらに、サーバー公開ルールでは、公開されたサーバーへの着信方向のクライアント要求を受け付けるために ISA Server が使用するポートを指定できます。既定のポート以外のポートで公開することを選択すると、ISA Server は、公開されたサービスに対するクライアント要求を標準ではないポートで受信し、公開されたサーバー上の指定のポートに転送します。たとえば、サーバー公開ルールでは、FTP (ファイル転送プロトコル) サービスのクライアント要求は、公開されたサーバーのポート 21 にリダイレクトされる前に、ISA Server コンピュータのポート 22 を経由して接続するように指定できます。

また、サーバー公開ルールでは、公開されたサーバーが、既定のポート以外のポート上で、公開されたサービスに対するクライアント要求を受け付けるように指定できます。たとえば、2 つの FTP サーバーを公開する場合、1 つのユーザー セットに対して既定のポート上で 1 つの FTP サーバーを公開し、別のユーザー セットに対して標準以外の別のポート上でもう 1 つの FTP サーバーを公開できます。

手順については、「サーバー公開ルールの既定のポートを上書きする」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


要求の転送

ISA Server は、公開されたサーバーに対する要求を受信すると、その要求が許可されるかどうかを判断し、公開されたサーバーに要求をルーティングします。Web サーバーの場合、ISA Server は既定では要求元クライアントの IP アドレスを、公開されたサーバーに渡すことはありません。その代わりに、ISA Server はパケットに指定されている元の IP アドレスを独自の IP アドレスに置換します。その結果、公開されたサーバーにルーティングされるすべての要求は、同じ IP アドレス、つまり ISA Server コンピュータのアドレスから要求されたかのように見えます。

サーバー公開ルールでは、ISA Server は要求元クライアントの IP アドレスを、公開されたサーバーに渡します。

アプリケーションの一部は、要求している本当のクライアントによる実際の識別を必要とします。これらのアプリケーションを公開するときは、要求しているクライアント (送信元クライアント) の IP アドレスで要求が転送されるように、ISA Server を構成できます。

ISA Server がクライアントの IP アドレスを渡す方法を構成できます。手順については、「ファイアウォール ポリシー ルールのプロキシ要求を構成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


DNS Web サイトの登録

DNS (ドメイン ネーム システム) は、インターネットなどの複雑なネットワーク内のホストに接続するプロセスを簡略化するための TCP/IP 名前解決プロトコルです。DNS サーバーは、ユーザーにとって記憶しやすい英数字の DNS 名を、クライアント コンピュータが IP アドレスに変換するための情報を格納します。コンピュータは、IP アドレスを使用して互いに通信します。

たとえばほとんどのユーザーは、ネットワーク上のメール サーバーや Web サーバーなどのコンピュータにアクセスする場合に、example.microsoft.com などのフレンドリ名を使用することを好みます。フレンドリ名は、簡単に理解し、記憶することができます。DNS は、コンピュータやサービスのユーザーフレンドリ名を数値の IP アドレスにマップする手段を備えています。

サイトのドメイン名を登録すると、ユーザーはブラウザにサイトのドメイン名を入力してこの Web サイトにアクセスできるようになります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ホスト ヘッダー

既定では、ISA Server は着信方向の Web 要求を受信すると、要求が許可されるかどうかを判断し、Web 公開ルールに定義されている Web サーバー上の適切な場所にその要求をルーティングします。ISA Server は、クライアント要求に含まれているホスト ヘッダー (たとえば Host: example.microsoft.com) を公開されたサーバーに渡しません。その代わりに、ISA Server は要求内の元のホスト ヘッダーを、Web 公開ルールに指定されているサーバー名に置換します。その結果、特定の Web サーバーにルーティングされるすべての要求は、その Web サーバー上の同じ (既定) Web サイトに送信されます。

元のホスト ヘッダー情報を渡すように ISA Server を構成すると、Web サーバー上の特定のサイトにクライアント要求をルーティングできます。たとえば、同じ Web サーバー上の複数の Web サイトを公開する場合、要求を目的の Web サイトにルーティングするには、元のホスト ヘッダーが必要になります。

手順については、「公開する Web サーバーの名前を構成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SSL ブリッジとトンネリング

SSL (Secure Sockets Layer) ブリッジとは、クライアント要求を暗号化または解読し、要求を宛先の Web サーバーに渡す ISA Server の機能です。SSL トンネリングとは、ISA Server による一切の介入なしに、クライアントから Web サーバーに直接トンネルを確立することです。

  • SSL ブリッジは、ISA Server が SSL 接続を終了または開始するときに使用されます。詳細については、「SSL ブリッジ」を参照してください。
  • SSL トンネリングは、クライアント ブラウザがポート 8080 上の HTTPS を使用し、ISA Server コンピュータを経由して、ローカルの内部ネットワークからオブジェクトを要求するときに使用されます。詳細については、「SSL トンネリング」を参照してください。

注

  • 可能な限り、SSL 要求用のブリッジを構成することをお勧めします。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SSL ブリッジ

セキュリティで保護された Web 公開ルールを作成するときに、公開モードとしてトンネリングまたはブリッジを指定します。詳細については、「セキュリティで保護された Web 公開ルール」を参照してください。

どちらのモードでも、ISA Server 2004 は HTTP (ハイパーテキスト転送プロトコル) パケット がファイアウォールを通過する際にそのパケットのコンテンツを読み取ることができます。リモート ユーザーが SSL (Secure Sockets Layer) で保護された HTTP 接続を使用して ISA Server に接続すると、問題が発生します。SSL は HTTP アプリケーション レイヤ情報を暗号化し、ファイアウォールがそれらのパケットに対してステートフル インスペクションを実行できないようにします。

ISA Server の SSL-to-SSL ブリッジ機能は、SSL 接続のステートフル インスペクションを可能にして、攻撃者が SSL チャネル内にセキュリティ上の弱点を突く手段を隠すことができないようにします。ISA Server は、パケットを解読し、攻撃コードの有無を調査した後に、再びそれらを暗号化します。再び暗号化されたパケットは、企業ネットワーク上のセキュリティで保護された SSL Web サーバーに転送されます。

たとえば、公開またはリバース プロキシのシナリオでは、ISA Server がクライアントの SSL 要求を処理するために、クライアントとの SSL 接続を終了し、新たに Web サーバーとの接続を開きます。

SSL ブリッジは、ISA Server が SSL 接続を終了または開始するときに使用されます。具体的には、以下のシナリオで SSL ブリッジが機能します。

  • クライアントが HTTP オブジェクトを要求します。ISA Server が要求を暗号化して Web サーバーに転送します。Web サーバーが暗号化されたオブジェクトを ISA Server に返します。ISA Server は、オブジェクトを解読し、クライアントに送信します。つまり、HTTP 要求が SSL 要求として転送されます。
  • クライアントが SSL オブジェクトを要求します。ISA Server が要求を解読し、再び暗号化して Web サーバーに転送します。Web サーバーが暗号化されたオブジェクトを ISA Server に返します。ISA Server がオブジェクトを解読し、再び暗号化してクライアントに送信します。つまり、SSL 要求が SSL 要求として転送されます。
  • クライアントが SSL オブジェクトを要求します。ISA Server が要求を解読し、Web サーバーに転送します。Web サーバーが HTTP オブジェクトを ISA Server に返します。ISA Server は、オブジェクトを暗号化し、クライアントに送信します。つまり、SSL 要求が HTTP 要求として転送されます。

着信方向の Web 要求の場合は、外部クライアントが HTTPS を使用して内部ネットワーク上にある Web サーバーのオブジェクトを要求します。クライアントはポート (既定ではポート 443) 上の ISA Server に接続します。この場合、ISA Server はサーバー側の SSL 証明書を使用してクライアントに応答します。

このシナリオでは、ポート 443 で SSL 要求をリッスンするように ISA Server を構成し、サーバー証明書を指定する必要があります。

クライアントの要求を受け取った ISA Server は、その要求を解読して SSL 接続を終了します。Web 公開ルールによって、ISA Server がオブジェクトに対する要求を公開 Web サーバーに FTP、HTTP、または SSL のどの方法で送信するかが決まります。

セキュリティで保護された Web 公開ルールが、HTTPS を使用して要求を転送するように構成されている場合は、ISA Server が公開サーバーとの間に新しい SSL 接続を開始し、要求をポート 443 に送信します。これで ISA Server コンピュータが SSL クライアントとなったため、公開 Web サーバーはサーバー側証明書を使用して応答する必要があります。Web サーバーがクライアント証明書を必要とする場合は、ISA Server が適切な証明書を使用して応答する必要があります。

ブリッジ モード

ブリッジを選択する場合は、セキュリティで保護された Web 公開ルールで使用するブリッジ モードを構成します。

  • [クライアント接続をセキュリティで保護する]。このモードを選択すると、ISA Server はクライアントとの間にセキュリティで保護された HTTPS 接続を確立しますが、要求は標準の HTTP として公開された Web サーバーに転送されます。
  • [Web サーバー接続をセキュリティで保護する]。このモードを選択すると、ISA Server はクライアントとの間に標準の HTTP 接続を確立しますが、要求はセキュリティで保護された HTTPS として公開された Web サーバーに転送されます。
  • [クライアントと Web サーバーの接続をセキュリティで保護する]。このモードを選択すると、ISA Server はクライアントとの間にセキュリティで保護された HTTPS 接続を確立し、要求もセキュリティで保護された HTTPS として公開された Web サーバーに転送されます。

次の図は、SSL ブリッジのシナリオを示しています。

SSL ブリッジ

この図は、リバース公開のシナリオを示しています。このシナリオでは、クライアントが ISA Server のオブジェクトを要求し、ISA Server は要求を公開された Web サーバーに転送します。図の中では、Web プロキシ クライアントであるブラウザが ISA Server に接続されています。ISA Server はサーバー側証明書を返すことで、クライアントに対して自らを認証します。クライアントと ISA Server の SSL ネゴシエーションが完了すると、クライアントから ISA Server に暗号化された HTTP 要求が送信されます。ISA Server は要求を解読し、要求されたオブジェクトがキャッシュ内にあるかを確認します。

オブジェクトがキャッシュ内にある場合は、ISA Server からクライアントにオブジェクトが返されます。

オブジェクトがキャッシュ内にない場合は、ISA Server が要求を暗号化し、Web サーバーに送信します。Web サーバーはサーバー側証明書を ISA Server に返します。ISA Server と Web サーバーの SSL ネゴシエーションが完了すると、ISA Server から Web サーバーに暗号化された HTTP 要求が送信されます。Web サーバーは、要求を解読して ISA Server に返します。

ISA Server はオブジェクトを受け取って暗号化し、要求元のクライアントに渡します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SSL トンネリング

セキュリティで保護された Web 公開ルールを作成する場合、SSL (Secure Sockets Layer) 公開モード (SSL ブリッジまたは SSL トンネリング) を指定します。詳細については、「セキュリティで保護された Web 公開ルール」を参照してください。

トンネリング モードでは、クライアントは ISA Server コンピュータ経由で、要求された Secure HTTP (HTTPS) オブジェクトがある Web サーバーに直接つながるトンネルを確立できます。クライアント ブラウザが ISA Server 経由で Secure HTTP オブジェクトを要求するときは、常に SSL トンネリングが使用されます。

トンネリング モードでは、クライアントとサーバー間の通信が暗号化されている場合、ISA Server は通信のコンテンツを検査しません。これらのコンテンツにポリシーやフィルタは適用されません。

次の図は、SSL トンネリングのプロセスを示しています。

SSL トンネリング
  1. クライアントは Web ブラウザのアドレス バーに次の URL を入力して、インターネット上の Web サーバーの SSL オブジェクトを要求します。
    https://<URL 名>
  2. 次の要求が、ISA Server コンピュータ上のポート 8080 に送信されます。

    CONNECT <URL 名>:443 HTTP/1.1

  3. ISA Server は宛先 Web サーバーのポート 443 に接続します。
  4. TCP 接続が確立されると、ISA Server は次の文字列を返します。

    HTTP/1.0 200 connection established

これ以降、クライアントは外部 Web サーバーと直接通信できるようになります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


システム ポリシー

ここでは、Internet Security and Acceleration (ISA) Server 2004 で定義するシステム ポリシーについて基本的な情報を提供します。

  • システム ポリシーの概要
  • システム ポリシー ルール
  • システム ポリシーの既定値

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


システム ポリシーの概要

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ネットワーク リソースを保護しながら、明示的に定義されている要件を満たすためにこれらのリソースをセキュリティで保護された方法で接続します。ISA Server は、セキュリティと接続の必要性との間でバランスを保ちます。これには特定のファイアウォール ポリシー ルールの定義が必要になることがあります。また、基本機能の実行を可能にするネットワーク インフラストラクチャも必要になります。認証、ネットワークの診断とログ、およびリモート管理は、ネットワークの動作とセキュリティを効果的に管理および監視するために利用できるサービスの例です。詳細については、「システム ポリシー ルール」を参照してください。

ISA Server ではシステム ポリシーが採用されています。これは、一連のファイアウォール ポリシー ルールで、ネットワークのセキュリティと接続を管理するために必要なインフラストラクチャを ISA Server コンピュータが有効にする方法を制御するものです。ISA Server は、既定のシステム ポリシーと共にインストールされます。このポリシーは、セキュリティと接続との間でバランスを保つように設計されています。

一部のシステム ポリシー ルールはインストール時に有効になります。これらは、ISA Server 環境を効果的に管理するための、最も基本的で必要なルールと見なされています。ユーザーは、自分のネットワークを管理するために必要なサービスやタスクを後から識別し、適切なシステム ポリシー ルールを有効にすることができます。詳細については、「システム ポリシーの既定値」を参照してください。

システム ポリシーを制限する

ISA Server をインストールしたら、システム ポリシーを構成できます。ユーザーは、自分のネットワークの管理方法にとって重要でないサービスやタスクを識別し、関連するシステム ポリシー ルールを無効にすることができます。

一般的に、セキュリティの観点からは、ネットワークの管理に必要でないシステム ポリシー ルールはすべて無効にすることを強くお勧めします。インストール後は、構成されているシステム ポリシー ルールを注意深く確認してください。主な管理作業を実行した後で、再びシステム ポリシーの構成を確認してください。

手順については、「システム ポリシー構成グループを有効にする」を参照してください。

不要なシステム ポリシー ルールを無効にするほかに、ルールは必要なネットワーク エンティティのみに適用されるように制限してください。たとえば、既定により有効になる Active Directory システム ポリシー構成グループは、内部ネットワーク上のすべてのコンピュータに適用されます。これを、内部ネットワーク上の特定の Active Directory グループのみに適用されるように制限できます。

手順については、「システム ポリシー ルールの宛先を編集する」を参照してください。

注

  • 多くのシステム ポリシー ルールはローカル ホスト ネットワークに適用されます。ただし、システム ポリシー ルールに関連するローカル ホスト ネットワークは、ISA Server コンピュータとの通信ではなく、Microsoft ファイアウォール サービスとの通信に相当します。中には、リモート管理構成グループなどの例外もあります。

システム ポリシーの処理の順序

ISA Server では、システム ポリシー ルールは、他のアレイ レベルのルールおよびアレイ ファイアウォール ポリシーの前に適用するエンタープライズ ルールの前に処理されます。つまり、アレイ管理者は、システム ポリシーを構成して、アレイ ファイアウォール ポリシーの前に適用するエンタープライズ ポリシー ルールを上書きできます。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


システム ポリシー ルール

システム ポリシー構成グループを有効にすると、1 つ以上のシステム ポリシー ルールが有効になります。インストール時に、以下の表に示すルールが特定のネットワークに適用されます。ルールが適用されるネットワークを後で変更することができます。

システム ポリシー構成グループを無効にしても、必ずしも特定のプロトコルの使用を禁止していることにはなりません。同じプロトコルが別のルールで指定されていて、そのルールが別の構成グループで有効になっていることがあるからです。

ファイアウォール ポリシーの詳細ウィンドウで、システム ポリシー ルールを表示または非表示にすることができます。手順については、「システム ポリシー ルールを表示する」を参照してください。

次の表は、システム ポリシーのシナリオ グループ、構成グループ、各分類に関連するルール名、および各ルールの簡単な説明です。

シナリオ グループ | 構成グループ | ルール名 | ルールの説明
ネットワーク サービス | DHCP | ISA Server からすべてのネットワークへの DHCP 要求を許可する DHCP サーバーから ISA Server への DHCP 応答を許可する | ISA Server コンピュータに、DHCP (返信) および DHCP (要求) プロトコルを使用した内部ネットワークへのアクセスを許可します。
ネットワーク サービス (DNS を使用した名前解決) | DNS | ISA Server から選択したサーバーまで、DNS を許可する | ISA Server コンピュータに、DNS プロトコルを使用したすべてのネットワークへのアクセスを許可します。
ネットワーク サービス (時刻構成) | NTP | ISA Server から信頼された NTP サーバーへの NTP を許可する | ISA Server コンピュータに、ネットワーク タイム プロトコル (UDP) を使用した内部ネットワークへのアクセスを許可します。
認証 (Windows ユーザー認証) | Active Directory | 認証目的のディレクトリ サービスへのアクセスを許可する ISA Server から信頼されたサーバーへの RPC を許可する ISA Server から信頼されたサーバーへの Microsoft CIFS を許可する ISA Server から信頼されたサーバーへの Kerberos 認証を許可する | ISA Server コンピュータに、Active Directory® ディレクトリ サービスによる、各種 LDAP プロトコル、RPC (すべてのインターフェイス) プロトコル、各種 Microsoft CIFS プロトコル、および各種 Kerberos プロトコルを使用した内部ネットワークへのアクセスを許可します。
認証サービス | RSA SecurID | ISA Server から信頼されたサーバーへの SecurID 認証を許可する | ISA Server コンピュータに、RSA SecurID® プロトコルを使用した内部ネットワークへのアクセスを許可します。
認証サービス | RADIUS | ISA Server から信頼された RADIUS サーバーへの RADIUS 認証を許可する | ISA Server コンピュータに、各種 RADIUS プロトコルを使用した内部ネットワークへのアクセスを許可します。
認証サービス | 証明書失効リスト | CRL ダウンロード ジョブに、ISA Server からすべてのネットワークへの HTTP を許可する | 認証サービス : 更新された証明書失効リスト (CRL) のダウンロード ジョブに、ISA Server から選択されたネットワークへの HTTP を許可します。
リモート管理 | Microsoft 管理コンソール | MMC を使用した、選択されたコンピュータからのリモート管理を許可する 選択したコンピュータに対する MS ファイアウォール制御通信を許可する | "アレイ サーバー"、"エンタープライズ リモート管理コンピュータ"、および "リモート管理コンピュータ" コンピュータ セットのコンピュータからの、MS ファイアウォール制御、NetBIOS データグラム、NetBIOS ネーム サービス、NetBIOS セッション、および RPC (すべてのインターフェイス) プロトコルを使用した、ISA Server コンピュータへのアクセスを許可します。
リモート管理 | ターミナル サーバー | ターミナル サーバーを使用した、選択されたコンピュータからのリモート管理を許可する | "エンタープライズ リモート管理コンピュータ" および "リモート管理コンピュータ" コンピュータ セットのコンピュータからの、RDP (ターミナル サービス) プロトコルを使用した、ISA Server コンピュータへのアクセスを許可します。
リモート管理 | ICMP (Ping) | 選択されたコンピュータから ISA Server への ICMP (PING) 要求を許可する | "エンタープライズ リモート管理コンピュータ" および "リモート管理コンピュータ" コンピュータ セットのコンピュータからの、ICMP プロトコルを 、ISA Server コンピュータへのアクセスを許可し、その逆方向のアクセスも許可します。
ファイアウォール クライアント (ファイアウォール クライアント共有へのアクセス) | ファイアウォール クライアントのセットアップ | 信頼されたコンピュータから ISA Server 上のファイアウォール クライアントのインストール共有へのアクセスを許可する | 内部ネットワーク コンピュータに、各種 Microsoft CIFS プロトコルおよび NetBIOS プロトコルを使用した ISA Server コンピュータへのアクセスを許可します。このルールを有効にすると、任意のネットワークまたはここで指定したコンピュータからサーバー メッセージ ブロック (SMB) を使用して ISA Server コンピュータにアクセスできるようになります。ファイアウォール クライアント インストール共有フォルダへのアクセスのみが制限されなくなります。
診断サービス | ICMP | ISA Server から選択したサーバーまで、ICMP 要求を許可する | ISA Server コンピュータに、各種インターネット制御メッセージ プロトコル (ICMP) および Ping プロトコルを使用したすべてのネットワークへのアクセスを許可します。
診断サービス | Windows ネットワーク | ISA Server から信頼されたサーバーへの NetBIOS を許可する | ISA Server コンピュータに、各種 NetBIOS プロトコルを使用したすべてのネットワークへのアクセスを許可します。
診断サービス (Microsoft エラー報告) | Microsoft への通信 | ISA Server から Microsoft エラー レポート サイトへの HTTP/HTTPS を許可する | ISA Server コンピュータに、HTTP プロトコルまたは HTTPS プロトコルを使用した Microsoft エラー報告サイトのメンバへのアクセスを許可します。
ログ | リモート ログ (NetBios) | NetBios を使用した、信頼されたサーバーへのリモート ログを許可する | ISA Server コンピュータに、各種 NetBIOS プロトコルを使用した内部ネットワークへのアクセスを許可します。
ログ | リモート ログ (SQL) | ISA Server から選択されたサーバーへのリモート SQL ログを許可する | ISA Server コンピュータに、Microsoft (SQL) プロトコルを使用した内部ネットワークへのアクセスを許可します。
リモート監視 | リモート パフォーマンス モニタ | 信頼されたサーバーからの ISA Server へのリモート パフォーマンス監視を許可する | 内部ネットワーク コンピュータに、各種 NetBIOS プロトコルを使用した ISA Server コンピュータへのアクセスを許可します。
リモート監視 | Microsoft Operations Manager | Microsoft Operations Manager (MOM) Agent を使用する、ISA Server から信頼されたサーバーへのリモート監視を許可する | ISA Server コンピュータに、Microsoft Operations Manager Agent を使用した内部ネットワークへのアクセスを許可します。
リモート監視 (メール警告) | SMTP | ISA Server から信頼されたサーバーへの SMTP を許可する | ISA Server コンピュータに、SMTP プロトコルを使用した内部ネットワークへのアクセスを許可します。
各種 (キャッシュ) | 予定されたダウンロード ジョブ | コンテンツ ダウンロード ジョブに、ISA Server から選択されたコンピュータへの HTTP を許可する | ISA Server コンピュータに、HTTP プロトコルを使用したすべてのネットワークへのアクセスを許可します。
各種 (Microsoft サイトへのアクセス) | 許可されたサイト | ISA Server から指定されたサイトへの HTTP/HTTPS 要求を許可する | ISA Server コンピュータに、HTTP プロトコルおよび HTTPS プロトコルを使用した、システム ポリシーの許可サイトの URL セット メンバへのアクセスを許可します。
構成保管サーバー | リモート構成保管サーバー アクセス | 構成保管サーバーへのリモート アクセスを許可する | ローカル ホストから "エンタープライズ構成保管サーバー" コンピュータ セットへの、MS ファイアウォール記憶域プロトコルを使用したアクセスを許可します。
構成保管サーバー | ローカルの構成保管サーバーへのアクセス | 信頼されたサーバーからローカル構成保管サーバーへのアクセスを許可する | CIFS (TCP と UDP) および MS ファイアウォール記憶域プロトコルを使用した、"アレイ サーバー"、"エンタープライズ リモート管理コンピュータ"、"管理された ISA Server コンピュータ"、"リモート管理コンピュータ"、および "構成保管サーバーのレプリケート" のコンピュータ セットからローカル ホストへのアクセスを許可します。
構成保管サーバー | 構成保管サーバーのレプリケーション | 構成保管サーバー間でのレプリケーションを許可する | MS ファイアウォール制御および RPC プロトコルを使用した、"構成保管サーバーのレプリケート" コンピュータ セット間の通信を許可します。
アレイ内通信 | アレイ メンバ通信 | アレイ内通信の許可 | MS ファイアウォール制御および RPC プロトコルを使用した、"アレイ サーバー" コンピュータ セット間のアレイ内通信を許可します。

上記の表に示すルールの他に、システム ポリシーには、仮想プライベート ネットワーク (VPN) 構成に適用される次のルールがあります。

  • ISA Server への VPN サイト間トラフィックを許可する
  • ISA Server からの VPN サイト間トラフィックを許可する
  • ISA Server への VPN クライアント トラフィックを許可する

仮想プライベート ネットワークを有効にすると、これらのルールが有効になります。手順については、「リモート VPN クライアント アクセスを有効にする」を参照してください。

HTTP 接続検証方法を作成すると、ISA Server では指定されたコンピュータに HTTP GET 要求を送信して、接続を確認します。これらの要求を許可するには、必要に応じて "接続検証方法に、ISA Server から選択されたサーバーへの HTTP/HTTPS 要求を許可する" という名前のシステム ポリシー ルールを構成します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


システム ポリシーの既定値

ここでは、インストール時のシステム ポリシーの既定の設定について説明します。システム ポリシーの基本的な情報については、「システム ポリシーの概要」を参照してください。

ネットワーク サービス

Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールすると、基本ネットワーク サービスが有効になります。インストール後、ISA Server は内部ネットワークの名前解決サーバーと時刻の同期サービスにアクセスできるようになります。

ネットワーク サービスが別のネットワークで使用可能な場合、該当する構成グループのソースを特定のネットワークに適用するよう変更する必要があります。たとえば、DHCP サーバーが内部ネットワークではなく、境界領域ネットワークに存在するとします。DHCP 構成グループのソースをその境界領域ネットワークに適用するよう変更してください。

内部ネットワークの特定のコンピュータにのみアクセスできるように、システム ポリシーを変更できます。また、他のネットワークでサービスが検出された場合には、そのネットワークを追加することもできます。手順については、「システム ポリシー ルールの宛先を編集する」を参照してください。

認証サービス

ISA Server の基本的な機能の 1 つに、特定のユーザーにファイアウォール ポリシーを適用する機能があります。ただし、ユーザーを認証するために、ISA Server は認証サーバーと通信できる必要があります。このため、既定では、ISA Server は Windows 認証用の Active Directory® サーバーと、内部ネットワークにある RADIUS サーバーと通信できるようになっています。

RSA SecurID® 認証サーバーとの通信は、既定では有効になっていません。ファイアウォール ポリシーで RSA SecurID 認証を必要とする場合は、この構成グループを有効にしてください。RSA SecurID 認証の詳細については、「RSA SecurID の認証サポート」を参照してください。

これらのシステム ポリシー構成グループが、該当するネットワークの特定のコンピュータに対してのみ適用されるように、その宛先を制限することを検討する必要があります。

リモート管理

既定では、ISA Server のリモート管理を許可するシステム ポリシー ルールは有効になっています。リモートの Microsoft 管理コンソール (MMC) スナップインを実行するか、またはターミナル サービスを使用すると、ISA Server を管理できます。

既定では、これらのルールは、ビルトイン リモート管理コンピュータのコンピュータ セットに適用されます。ISA Server をインストールすると、この空のコンピュータ セットが作成されます。リモートで ISA Server を管理するすべてのコンピュータを、この空のコンピュータ セットに追加してください。これを実行するまでは、どのコンピュータからもリモート管理を利用できません。リモート管理の詳細については、「リモート管理」を参照してください。

ファイアウォール クライアント

ISA Server のインストール時にファイアウォール クライアント共有コンポーネントをインストールした場合は、ファイアウォール クライアント インストール共有の構成グループが既定で有効になります。内部ネットワークのすべてのコンピュータが、共有フォルダにアクセスできます。

ファイアウォール クライアント共有コンポーネントをインストールしなかった場合は、この構成グループは有効になりません。

診断サービス

既定では、診断サービスへのアクセスを許可するシステム ポリシー ルールは、次のアクセス許可で有効になっています。

  • すべてのネットワークに対して ICMP を許可する。他のコンピュータへの接続を決定するための重要なサービスです。
  • Windows ネットワーク。内部ネットワークのコンピュータへの NetBIOS 通信を既定で許可します。
  • Microsoft エラー報告。Microsoft エラー報告サイトの URL セットへの HTTP アクセスを許可し、エラー情報をレポートできるようにします。既定では、この URL セットに特定の Microsoft サイトが含まれています。

ログと監視

既定では、リモート ログとリモート監視は無効になっています。次の構成グループは既定では無効です。

  • リモート ログ (NetBios)
  • リモート ログ (SQL)
  • リモート パフォーマンス モニタ
  • Microsoft Operations Manager

SMTP

既定では、SMTP 構成グループは有効になっており、ISA Server から内部ネットワークのコンピュータに SMTP 通信することができます。たとえば、電子メール メッセージで警告情報を送信するときに、この通信が必要になります。

予定されたダウンロード ジョブ

既定では、予定されたダウンロード ジョブ機能は無効になっています。コンテンツ ダウンロード ジョブを作成すると、このシステム ポリシー ルールを有効にするよう要求されます。ISA Server がコンテンツ ダウンロード ジョブで指定されているサイトにアクセスできるようになります。

許可されたサイト

既定では、許可されたサイトの構成グループは有効になっており、ISA Server はシステム ポリシーの許可サイトの URL セットに含まれる特定のサイトのコンテンツにアクセスできます。この URL セットには、さまざまな Microsoft Web サイトが既定で含まれています。この URL セットを変更して、ISA Server からのアクセスを許可する他の Web サイトを追加することができます。

構成保管サーバー

既定では、構成保管サーバーの構成グループが有効になっています。この構成グループは、アレイが正しく機能するために重要であるので、無効にすることはできません。構成グループには、次の 3 つのルール セットが含まれています。

  • リモート構成保管サーバー アクセス。これには、エンタープライズ構成保管サーバーのドメイン名セットが含まれます。ルールの適用先を変更することはできません。
  • ローカルの構成保管サーバーへのアクセス。このルールは構成保管サーバーで有効になり、アレイ サーバー、管理された ISA Server コンピュータ、エンタープライズ リモート管理コンピュータ、および構成保管サーバーのレプリケートからのアクセスを許可します。つまり、すべてのエンタープライズ コンポーネントからのアクセスが許可されます。
  • 構成保管サーバーのレプリケーション。このルールは構成保管サーバーで有効になり、構成保管サーバーのレプリケートへのアクセスを許可します。

アレイ内通信

既定では、アレイ内通信の構成グループが有効になり、アレイ サーバー コンピュータ セットであるすべてのアレイ メンバ間のアクセスが許可されます。アレイ メンバの通信方法の詳細については、「アレイ通信」を参照してください。


ツールボックス

Microsoft Internet Security and Acceleration (ISA) Server 2004 にはツールボックスが含まれています。これは、ファイアウォール ポリシー ルールを作成するときに使用できるルールの要素のセットです。ツールボックスに含まれるルールの要素の種類は、次のとおりです。

  • プロトコル
  • ユーザー セット
  • コンテンツの種類
  • スケジュール
  • ネットワーク オブジェクト
  • ドメイン名セットと URL セット
  • Web リスナ

ルールの要素は、エンタープライズ レベルとアレイ レベルで作成できます。アレイ レベルで定義されているルールの要素は、アレイ レベルのルールでのみ使用できます。エンタープライズ レベルのルール要素は、エンタープライズ ポリシーとアレイ レベル ポリシーで使用できます。エンタープライズ管理者のみが、エンタープライズ レベルのルールの要素を作成および変更できます。

ここでは、ツールボックスの要素について基本的な情報を提供します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


プロトコル

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、さまざまな構成済みのプロトコルが用意されています。これらはアクセス ルールやサーバー公開ルールの作成時に使用できます。

ISA Server の管理を使用して独自のプロトコルを作成し、プロトコルのセットをさらに拡大することもできます。ユーザー定義のプロトコルは、編集または削除が可能です。ISA Server に含まれているプロトコルは、変更または削除できません。アプリケーション フィルタと共にインストールされるプロトコルは変更できませんが、削除は可能です。ただし、アプリケーション フィルタがプロトコルに適用されないように、プロトコルを構成することができます。詳細については、「アプリケーション フィルタとプロトコル」を参照してください。

プロトコルを作成するときは、以下を指定します。

  • [プロトコルの種類]。[TCP]、[UDP]、[ICMP]、または [IP レベル] があります。
  • [方向]。[UDP] の場合、[送信]、[受信]、[送信後、受信許可]、または [受信後、送信許可] があります。[TCP] の場合、[着信] と [発信] があります。[ICMP] と [IP レベル] の場合、[送信] と [送信後、受信許可] があります。
  • [ポートの範囲]。TCP および UDP 用。1 次接続に使用される 1 ～ 65535 の範囲のポートです。
  • [プロトコル番号]。IP レベルのプロトコル用。0 ～ 254 の数値です。
  • [ICMP のプロパティ]。ICMP 用。ICMP のコードおよび種類です。
  • (省略可能) [2 次接続]。1 次接続の後の追加の接続またはパケットに使用されるポートの範囲、プロトコルの種類、および方向です。2 次接続は 1 つ以上構成できます。

注

  • IP レベルの 1 次プロトコルに 2 次接続を定義することはできません。

手順については、「プロトコルを作成する」を参照してください。

エンタープライズ レベルのプロトコル

エンタープライズ管理者は、エンタープライズ レベルのプロトコルを作成および変更できます。エンタープライズ レベルのプロトコルは、アレイ レベルのアクセス ルールおよびエンタープライズ レベルのアクセス ルールで使用できます。アレイ レベルのプロトコルは、そのアレイのアクセス ルールでのみ使用できます。

ISA Server は、エンタープライズ レベルのプロトコルの大規模なセットを使用して事前に構成されています。

ポート

同じポートに複数のプロトコルを関連付けることができます。

特定のプロトコルへのアクセスを拒否するルールを作成する場合は、例外一覧で同じポートを使用するすべてのプロトコルを含めてください。代わりに、そのポートを使用するプロトコルのいずれかを拒否するルールを作成し、ルールの順序において拒否ルールをアクセス ルールの前にすることもできます。

たとえば、次のシナリオがあります。ウイルスへのアクセスを拒否するルール内で使用するプロトコルを作成する場合は、新しいプロトコル以外のすべてのプロトコルへのアクセスを許可するアクセス ルールを作成しないでください。代わりに、新しいプロトコルへのアクセスを拒否するルールを作成します。このルールを、新しいプロトコルと同じポート上のプロトコルを許可するその他すべてのアクセス ルールの前に配置します。

方向

ISA Server は、プロトコルの方向を使用して、トラフィックが発信または着信のどちらであるかを指定します。

アクセス ルールの場合、プロトコルの方向は通常は発信として定義します。これにより、ルールの送信元 ([送信元]) として指定されたネットワーク エンティティから、ルールの宛先 ([宛先]) として指定されたネットワーク エンティティまでのトラフィックが許可されます。通常これは、ISA Server の背後にあるクライアントが他のネットワーク オブジェクト、または外部ネットワーク (インターネット) などのネットワークにトラフィックを送信できることを意味します。

サーバー公開ルールの場合、プロトコルは着信として定義する必要があります。これにより、ネットワークの送信元として指定されたネットワーク エンティティから、サーバー上の公開されたサービスまでのトラフィックが許可されます。

サーバー公開ルールの場合、定義済みのプロトコルは常に Server サフィックスで識別されます。たとえば DNS サーバー プロトコルは、DNS サービスに対する要求が、公開された DNS サーバーに送信されることを許可します。サーバー公開用のプロトコルを定義するときに、サフィックスを追加する必要はありません。ただし、プロトコルは着信として定義する必要があります。

詳細については、「アクセス ルール」と「サーバー公開ルール」を参照してください。

アプリケーション フィルタとプロトコル

アプリケーション フィルタが指定されたプロトコルの定義には、通常は定義済みの 2 次接続は含まれていません。プロセスは次のようになります。

  1. クライアントは、インターネット上のサーバーへの 1 次接続を開きます。
  2. ISA Server コンピュータは、接続をフィルタに通知します。
  3. フィルタは、1 次接続を経由して流れているデータを検査し、クライアントがどの 2 次接続を使用するかを判断します。
  4. フィルタは、特定の 2 次接続を許可することを ISA Server コンピュータに通知します。
  5. ISA Server コンピュータは、アプリケーション フィルタによって指定された特定のポートを開きます。

アプリケーション フィルタの中には、新しいプロトコルを作成し、インストールするものがあります。これらのプロトコルは、複雑なプロトコルです。つまり、2 次接続が含まれています。これらの複雑なプロトコルが使用するポートを変換することで、アプリケーション フィルタはポートを有効にし、これらのプロトコルを使用するトラフィックが通過することを許可します。これらのプロトコルの 1 次接続は、アプリケーション フィルタが有効になっているかいないかにかかわらず、機能します。

他のアプリケーション フィルタは、ユーザー定義の既存のプロトコルまたは ISA Server によって構成されている既存のプロトコルのトラフィックをフィルタ処理します。このようなアプリケーション フィルタが無効になっていても、これらによってフィルタ処理されるプロトコルは無効になりません。たとえば、SMTP (簡易メール転送プロトコル) フィルタを無効にしても、SMTP プロトコルによってフィルタ処理なしでトラフィックが通過することがあります。

プロトコルには 1 つ以上のアプリケーション フィルタを適用し、このプロトコルの使用方法を制御できます。たとえば、Web プロキシ アプリケーション フィルタは HTTP プロトコルに適用されます。Web プロキシ アプリケーション フィルタを無効にすると、Web フィルタはこのルールに一致するトラフィックに適用されなくなります。

詳細については、「アプリケーション フィルタ」を参照してください。手順については、「プロトコルにアプリケーション フィルタを適用する」を参照してください。

RPC プロトコル

ISA Server をインストールすると、発信リモート プロシージャ コール (RPC) プロトコルが定義されます。このプロトコルの定義にはすべてのユニバーサル一意識別子 (UUID) インターフェイスが使用されます。

この発信 RPC プロトコルの定義の使用を許可するアクセス ルールを作成できます。これによって、内部クライアントは RPC プロトコルを使用して外部リソースにアクセスできるようになります。たとえば、内部ネットワーク上のクライアントから外部の Exchange サーバーへのアクセスを許可できます。同様に、発信方向の RPC プロトコルの定義を作成し、それをアクセス ルールの中で使用して、内部クライアントから外部リソースへのアクセスを許可できます。

発信 RPC プロトコルは、厳密に RPC 準拠となるように、ルールごとに構成できます。既定では、厳密に準拠することが RPC プロトコルに強制されています。厳密に準拠することにより、DCOM などの RPC タイプのプロトコルは、ISA Server 経由が許可されなくなります。

ISA Server をインストールすると、2 つの既定の RPC プロトコル定義が着信方向の要求に対して指定されます。

  • [RPC Server (すべてのインタフェース)]。このプロトコルの定義がサーバー公開ルールで許可されている場合、ISA Server はすべての着信 RPC 要求を、公開された RPC サーバーにマップします。UUID が RPC サーバーで登録されている場合は、プロシージャへのアクセスが与えられます。UUID が RPC サーバーで登録されていない場合、要求は破棄されます。
  • [Exchange RPC サーバー]。Exchange に使用される UUID インターフェイスの一覧が、RPC プロトコルの定義として定義されます。このプロトコルの定義をサーバー公開ルールで使用すると、特定の Exchange の機能へのアクセスを拒否または許可できます。

RPC (任意のインターフェイス) プロトコルは、発信方向の要求に対して定義されています。

追加の RPC プロトコルの定義を作成することもできます。ウィザードを使用すると、RPC サーバーで使用可能なインターフェイスの一覧から UUID インターフェイスを選択できます。または、インターフェイスを手動で定義できます。着信方向の RPC プロトコルの定義にインターフェイスを指定しない場合、このプロトコルの定義を許可するサーバー公開ルールでは、トラフィックを許可しなくなります。

着信方向の RPC プロトコルの定義を作成したら、それをサーバー公開ルールで使用できます。

プロトコル カテゴリ

ツールボックスでは、プロトコルは機能別のグループに分類されています。これらのカテゴリは、特定のシナリオに適したプロトコルを選択できるように作成されています。一部のプロトコルは複数のカテゴリに含まれています。すべてのプロトコルは "すべてのプロトコル" カテゴリに含まれています。ユーザーが定義するプロトコルは、"ユーザー定義" カテゴリに含まれます。

プロトコル カテゴリ | 説明
インフラストラクチャ | アドレスの割り当て (DHCP)、Active Directory (LDAP)、および名前解決 (DNS) などの一般的なネットワーク インフラストラクチャの要件を満たすために使用されるプロトコルが含まれています。
メール | SMTP、IMAP4、POP3 など、メール サーバーが使用するプロトコルが含まれています。
インスタント メッセージ | MSN メッセンジャー プロトコル、ICQ、H.323 など、インスタント メッセージに必要なプロトコルが含まれています。
リモート端末 | RDP、Telnet など、リモート管理を可能にするために必要なプロトコルが含まれています。
ストリーミング メディア | MMS、RTSP など、ストリーミング メディアに必要なプロトコルが含まれています。
VPN と IPsec | IKE クライアント、IKE サーバー、レイヤ 2 トンネリング プロトコル (L2TP) など、VPN 接続に必要なプロトコルが含まれています。
Web | HTTP、HTTPS、FTP など、Web サイトへのアクセスに使用されるプロトコルが含まれています。Web 公開ルールを作成するときは、このカテゴリのプロトコルのみを選択できます。
認証 | リモート認証ダイヤルイン ユーザー サービス (RADIUS)、RSA SecurID、Kerberos など、認証に必要なプロトコルが含まれています。
サーバー プロトコル | RPC サーバー、Microsoft SQL Server、FTP サーバーなど、サーバー公開ルールで使用されるサーバー プロトコルが含まれています。

Microsoft Windows 製品およびサブコンポーネントで使用されるプロトコルの完全な一覧については、「Microsoft Windows サーバー システムのポート要件」(http://www.microsoft.com/) を参照してください。


ユーザー セット

ファイアウォール ポリシー ルールを作成すると、特定のインターネット プロトコル (IP) アドレスまたはユーザーにそのルールを適用できます。ルールをユーザーに適用する場合、特定のルールの要求に応じて、ユーザーは認証の資格情報を提示して、認証を行う必要があります。

多くの場合、ユーザー グループにルールを適用して、ルールの構成プロセスを簡略化します。

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用すると、ユーザーをユーザー セットにグループ化できます。ユーザー セットには、任意の認証スキーム (機構) から 1 人以上のユーザーを含めることができます。たとえば、Windows ユーザー、RADIUS 名前空間のユーザー、SecurID 名前空間のユーザーを 1 つのユーザー セットに含めることができます。

ISA Server には、次のエンタープライズ レベルのユーザー セットが事前に構成されています。

  • 認証されたすべてのユーザー。認証されたすべてのユーザーを示す事前定義されたユーザー セットです。このセットを使用して定義したルールは、認証されたユーザーに適用されます。SecureNAT クライアントは、仮想プライベート ネットワーク (VPN) クライアントでもある場合に限り認証されます。この場合、VPN の資格情報が承認に使用されます。
  • すべてのユーザー。すべてのユーザーを示す事前定義されたユーザー セットです。このセットを使用して定義したルールは、認証されたユーザーと認証されていないユーザーの両方に適用されます。
  • システムおよびネットワーク サービス。ISA Server コンピュータのローカル システム サービスとネットワーク サービスを示す事前定義されたユーザー セットです。このユーザー セットは、一部のシステム ポリシー ルールで使用されます。

手順については、「ユーザー セットを作成する」を参照してください。


コンテンツの種類

コンテンツの種類では、Multipurpose Internet Mail Extensions (MIME) の種類とファイル名拡張子を指定します。アクセス ルールを作成する場合、特定のコンテンツの種類のみに適用されるようにルールを制限できます。セキュリティ ポリシーを構成するときは、さらに具体的な指定が可能です。つまり、アクセスを特定の宛先のみに制限できるだけでなく、特定のコンテンツのみにも制限できます。

コンテンツの種類は、HTTP (ハイパーテキスト転送プロトコル) とトンネル モードの FTP (ファイル転送プロトコル) トラフィックのみに適用されます。これらのトラフィックは、Internet Security and Acceleration (ISA) Server 2004 を経由して渡されます。

クライアントが FTP コンテンツを要求すると、ISA Server は要求されたオブジェクトのファイル名拡張子をチェックします。ISA Server では、要求されたファイル名拡張子を含むコンテンツの種類にルールが適用されるかどうかを確認し、それに応じてルールを処理します。

クライアントが HTTP コンテンツを要求すると、ISA Server はその要求を Web サーバーに送信します。Web サーバーがオブジェクトを返すと、ISA Server では Web サーバーが返したヘッダー情報に応じて、オブジェクトの MIME の種類またはそのファイル名拡張子をチェックします。ISA Server では、要求されたファイル名拡張子を含むコンテンツの種類にルールが適用されるかどうかを確認し、それに応じてルールを処理します。

コンテンツの種類は、HTTPS などの他のプロトコルには適用されません。

コンテンツの種類を作成する場合、コンテンツの MIME の種類とファイル名拡張子を指定することをお勧めします。たとえば、すべての director ファイルをコンテンツの種類に含めるには、次のファイル名拡張子と MIME の種類を選択します。

  • .dir
  • .dxr
  • .dcr
  • application/x-director

コンテンツの種類を構成する際、MIME の種類を指定するときに、アスタリスク (*) をワイルドカード文字として使用できます。たとえば、すべてのアプリケーションの種類を含めるには、「application/*」と入力します。アスタリスク ワイルドカード文字は、MIME の種類でのみ使用できます。ファイル拡張子では使用できません。アスタリスクは、MIME の種類の最後の部分でスラッシュ (/) の後に 1 回だけ指定できます。

構成手順については、「コンテンツの種類を作成する」を参照してください。

エンタープライズ レベルのコンテンツの種類

エンタープライズ管理者は、エンタープライズ レベルのコンテンツの種類を作成および変更できます。エンタープライズ レベルのコンテンツの種類は、アレイ レベルのアクセス ルールおよびエンタープライズ レベルのアクセス ルールで使用できます。アレイ レベルのコンテンツの種類は、そのアレイのアクセス ルールでのみ使用できます。

ISA Server には、エンタープライズ レベルのコンテンツの種類として、アプリケーション、アプリケーション データ ファイル、オーディオ、圧縮ファイル、ドキュメント、HTML ドキュメント、イメージ、マクロ ドキュメント、テキスト、ビデオ、および VRML があらかじめ構成されています。

MIME の種類とファイル名拡張子

Web サーバーに応じて、異なる MIME の種類が各ファイル名拡張子に関連付けられています。次の表は、インターネット インフォメーション サービス (IIS) の既定の関連付けの一覧です。

ファイル名拡張子 | MIME の種類
.hta | application/hta
.isp | application/x-internet-signup
.crd | application/x-mscardfile
.pmc | application/x-perfmon
.spc | application/x-pkcs7-certificates
.sv4crc | application/x-sv4crc
.bin | application/octet-stream
.clp | application/x-msclip
.mny | application/x-msmoney
.p7r | application/x-pkcs7-certreqresp
.evy | application/envoy
.p7s | application/pkcs7-signature
.eps | application/postscript
.setreg | application/set-registration-initiation
.xlm | application/vnd.ms-excel
.cpio | application/x-cpio
.dvi | application/x-dvi
.p7b | application/x-pkcs7-certificates
.doc | application/msword
.dot | application/msword
.p7c | application/pkcs7-mime
.ps | application/postscript
.wps | application/vnd.ms-works
.csh | application/x-csh
.iii | application/x-iphone
.pmw | application/x-perfmon
.man | application/x-troff-man
.hdf | application/x-hdf
.mvb | application/x-msmediaview
.texi | application/x-texinfo
.setpay | application/set-payment-initiation
.stl | application/vndms-pkistl
.mdb | application/x-msaccess
.oda | application/oda
.hlp | application/winhlp
.nc | application/x-netcdf
.sh | application/x-sh
.shar | application/x-shar
.tcl | application/x-tcl
.ms | application/x-troff-ms
.ods | application/oleobject
.axs | application/olescript
.xla | application/vnd.ms-excel
.mpp | application/vnd.ms-project
.dir | application/x-director
.sit | application/x-stuffit
.* | application/octet-stream
.crl | application/pkix-crl
.ai | application/postscript
.xls | application/vnd.ms-excel
.wks | application/vnd.ms-works
.ins | application/x-internet-signup
.pub | application/x-mspublisher
.wri | application/x-mswrite
.spl | application/futuresplash
.hqx | application/mac-binhex40
.p10 | application/pkcs10
.xlc | application/vnd.ms-excel
.xlt | application/vnd.ms-excel
.dxr | application/x-director
.js | application/x-javascript
.m13 | application/x-msmediaview
.trm | application/x-msterminal
.pml | application/x-perfmon
.me | application/x-troff-me
.wcm | application/vnd.ms-works
.latex | application/x-latex
.m14 | application/x-msmediaview
.wmf | application/x-msmetafile
.cer | application/x-x509-ca-cert
.zip | application/x-zip-compressed
.p12 | application/x-pkcs12
.pfx | application/x-pkcs12
.der | application/x-x509-ca-cert
.pdf | application/pdf
.xlw | application/vnd.ms-excel
.texinfo | application/x-texinfo
.p7m | application/pkcs7-mime
.pps | application/vnd.ms-powerpoint
.dcr | application/x-director
.gtar | application/x-gtar
.sct | text/scriptlet
.fif | application/fractals
.exe | application/octet-stream
.ppt | application/vnd.ms-powerpoint
.sst | application/vndms-pkicertstore
.pko | application/vndms-pkipko
.scd | application/x-msschedule
.tar | application/x-tar
.roff | application/x-troff
.t | application/x-troff
.prf | application/pics-rules
.rtf | application/rtf
.pot | application/vnd.ms-powerpoint
.wdb | application/vnd.ms-works
.bcpio | application/x-bcpio
.dll | application/x-msdownload
.pma | application/x-perfmon
.pmr | application/x-perfmon
.tr | application/x-troff
.src | application/x-wais-source
.acx | application/internet-property-stream
.cat | application/vndms-pkiseccat
.cdf | application/x-cdf
.tgz | application/x-compressed
.sv4cpio | application/x-sv4cpio
.tex | application/x-tex
.ustar | application/x-ustar
.crt | application/x-x509-ca-cert
.ra | audio/x-pn-realaudio
.mid | audio/mid
.au | audio/basic
.snd | audio/basic
.wav | audio/wav
.aifc | audio/aiff
.m3u | audio/x-mpegurl
.ram | audio/x-pn-realaudio
.aiff | audio/aiff
.rmi | audio/mid
.aif | audio/x-aiff
.mp3 | audio/mpeg
.gz | application/x-gzip
.z | application/x-compress
.tsv | text/tab-separated-values
.xml | text/xml
.323 | text/h323
.htt | text/webviewhtml
.stm | text/html
.html | text/html
.xsl | text/xml
.htm | text/html
.cod | image/cis-cod
.ief | image/ief
.pbm | image/x-portable-bitmap
.tiff | image/tiff
.ppm | image/x-portable-pixmap
.rgb | image/x-rgb
.dib | image/bmp
.jpeg | image/jpeg
.cmx | image/x-cmx
.pnm | image/x-portable-anymap
.jpe | image/jpeg
.jfif | image/pjpeg
.tif | image/tiff
.jpg | image/jpeg
.xbm | image/x-xbitmap
.ras | image/x-cmu-raster
.gif | image/gif


スケジュール

ルールを作成する際に、ルールにスケジュールを適用して、そのルールが有効になるタイミングを指定することができます。

ISA Server 2004 では、次の 2 つのスケジュールがあらかじめ構成されています。

  • 週末。土曜と日曜の全日、アクセスを許可します。
  • 就業時間。月曜から金曜の 09:00 (9:00 A.M.) から 17:00 (5:00 P.M.) までアクセスを許可します。

手順については、「スケジュールを作成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク オブジェクト

ルールを作成したら、そのルールを適用する送信元と宛先を指定します。送信元と宛先はネットワーク オブジェクトです。より柔軟性を確保するために、コンピュータを異なる種類のネットワーク オブジェクトに分類できます。アレイ レベルでは、次の種類のネットワーク オブジェクトを作成できます。

  • ネットワーク。ネットワークはインターネット プロトコル (IP) アドレスの範囲です。ネットワークの詳細については、「ネットワークおよびネットワーク セットの構成」を参照してください。
  • ネットワーク セット。ネットワーク セットには、1 つ以上のネットワークが含まれます。
  • コンピュータ。コンピュータは 1 つの IP アドレスに相当します。
  • アドレス範囲、サブネット、およびコンピュータ セット。アドレス範囲とサブネットは、IP アドレスの範囲に相当します。
  • Web リスナ。Web リスナは、指定したネットワークで Web 要求をリッスンする IP アドレスとポートを特定します。詳細については、「Web リスナ」を参照してください。

エンタープライズ レベルでは、次のネットワーク オブジェクトを作成できます。エンタープライズ ネットワーク、ネットワーク セット、コンピュータ、アドレス範囲、サブネット、コンピュータ セット、URL セット、およびドメイン名セットです。詳細については、「エンタープライズ ネットワーク」を参照してください。

ネットワーク

すべてのネットワーク オブジェクトは、IP アドレスの範囲を記述します。ただし、ネットワークは、その他のネットワーク オブジェクトとは異なり、物理的な境界も記述します。ネットワークが記述する物理的な境界内では、トラフィックが自由に流れます。ISA Server ポリシーは、ISA Server ネットワーク内には適用されません。

定義済みのアレイ レベル ネットワーク オブジェクト

ISA Server をインストールすると、次のコンピュータ セットが作成されます。

  • 任意の場所。すべての IP アドレス範囲が含まれた定義済みのコンピュータ セットです。
  • リモート管理コンピュータ。ISA Server をリモート管理するコンピュータが含まれるコンピュータ セットです。このコンピュータ セットには、最初は何も設定されていません。ISA Server をリモート管理できるすべてのコンピュータの IP アドレスを含めるように構成する必要があります。詳細については、「リモート管理」を参照してください。
  • IPsec リモート ゲートウェイ。構成すると、インターネット プロトコル セキュリティ (IPsec) リモート仮想プライベート ネットワーク (VPN) ゲートウェイの IP アドレスが含まれるコンピュータ セットです。詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。

定義済みのエンタープライズ レベル ネットワーク オブジェクト

ISA Server をインストールすると、次のエンタープライズ レベル コンピュータ セットが作成されます。

  • 任意の場所。すべての IP アドレス範囲が含まれた定義済みのコンピュータ セットです。
  • エンタープライズ リモート管理コンピュータ。エンタープライズ内のすべての ISA Server コンピュータをリモート管理できるコンピュータが含まれるコンピュータ セットです。
  • 構成保管サーバーのレプリケート。ローカル構成保管サーバーでレプリケートされるすべての構成保管サーバーが含まれるコンピュータ セットです。


ドメイン名セットと URL セット

ドメイン名セットは、1 つ以上のドメイン名を 1 つのセットとして定義するため、指定した複数のドメインにファイアウォール ポリシーを適用することができます。

URL (Uniform Resource Locator) セットは、1 つ以上の URL をグループ化して 1 つのセットを構成します。URL セットをアクセス ルールで使用すると、指定した Web サイトへのアクセスを許可または拒否できます。

ドメイン名セットおよび URL セットに適用されるルールは、DNS (ドメイン ネーム システム) に格納されているドメイン情報に従って実施されます。DNS が正しく構成されていないと、ルールは予想どおりには適用されないことがあります。

ドメイン名の指定

ドメイン名を指定するときは、アスタリスク (*) を使用してコンピュータのセットを指定できます。たとえば、microsoft.com ドメイン内のすべてのコンピュータを指定するには、ドメイン名として「*.microsoft.com」と入力します。アスタリスクはドメイン名の先頭に 1 つしか使用できません。

ドメイン名を指定するときは、完全修飾ドメイン名 (FQDN) を使用してコンピュータ名を指定します。たとえば、「\\<コンピュータ名>」ではなく、「<コンピュータ名>.microsoft.com」と入力します。

ルールをドメイン名セットに適用すると、Microsoft Internet Security and Acceleration (ISA) Server 2004 では、指定したドメイン名セットと要求が一致するかどうかがチェックされます。ISA Server では、ポート番号も含めて、指定した名前と完全に一致するかどうかがチェックされます。たとえば、fabrikam.put:1111 を含むドメイン名セットへのアクセスを許可する Web 公開ルールがあるとします。fabrikam.put に対する要求は拒否されます。fabrikam.put に対する要求は、fabrikam.put を含むようにこのドメイン名セットを変更した場合にのみ許可されるようになります。このため、ドメイン名セットにはポート番号を指定しないでください。

URL の指定

URL セットを作成するときは、1 つ以上の URL を URL 形式で指定できます。また、プロトコルとポートも次のように指定できます。

<プロトコル>:address/path:<ポート>

指定できるプロトコルは、HTTP (ハイパーテキスト転送プロトコル)、HTTPS、および FTP (ファイル転送プロトコル) です。ただし、ISA Server では、URL セットに適用するルールが処理されるとき、指定したプロトコルは無視されます。つまり、ホスト名とパスのみが考慮されます。

URL には特定のポート番号も指定できますが、ISA Server におけるルールの処理では、ポート番号は無視されます。

パスも指定できます。パスにはワイルドカードを使用できます。ただし、使用できるのは末尾のみです。たとえば、「www.microsoft.com/*」のように入力します。「www.microsoft.com/*/sales」とは入力できません。

ISA Server では、ルールに構成された URL セットを確認する際、疑問符 (?) の後のテキストは無視されます。URL セットに疑問符付きの URL が含まれる場合、その URL は無視されます。

ISA Server は、Web トラフィック (HTTP または FTP over HTTP に対するクライアント要求) に限り、URL セットに適用するルールを処理します。クライアントが他のプロトコルを使用している場合、URL セットにのみ適用するルールは ISA Server で処理されません。

定義済みの URL セット

ISA Server 2004 では、次の URL セットがあらかじめ定義されています。

  • Microsoft エラー報告サイト。エラー報告を行うことができる定義済みの URL セットです。
  • システム ポリシーの許可サイト。メンテナンスおよび管理の目的で信頼できるサイトにアクセスできる定義済みの URL セットです。

手順については、「URL セットを作成する」および「ドメイン名セットを作成する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web リスナ

ここでは、Web リスナについて基本的な情報を提供します。

  • Web リスナの概要
  • ポートの指定

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web リスナの概要

Web 公開ルールを作成するときは、ルールの適用時に使用される Web リスナを指定します。Web リスナのプロパティによって、次の構成が決定されます。

  • 指定されているネットワーク上で Web 要求をリッスンするインターネット プロトコル (IP) アドレスとポート。
  • 必要な場合に使用される認証方法。
  • 許可される接続の数。

Web リスナは複数の Web 公開ルールで使用できます。

Web リスナのネットワーク (IP アドレス) の選択

選択する Web リスナのネットワークは、公開された Web サーバーへの接続で使用するネットワーク クライアントによって異なります。たとえば、公開している Web サイトがインターネット (外部ネットワーク) からのクライアント要求を許可する場合は、Web リスナに外部ネットワークを選択します。外部ネットワークを選択することで、外部ネットワーク アダプタに関連付けられている Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータ上の IP アドレスを選択することになります。IP アドレスを制限しない場合は、選択したネットワーク アダプタに関連付けられているすべての IP アドレスがリスナの構成に含められます。

Web リスナは Web 公開ルールで使用されます。このルールは、Web リスナのほかに、送信元ネットワーク オブジェクトも指定します。Web 公開ルールに対して指定するネットワーク オブジェクトは、Web リスナに対しても指定する必要があります。

認証

コンピュータ セットまたはユーザー グループへのアクセスを許可または拒否するように、Web 公開ルールを作成できます。ルールがユーザーに適用される場合、ISA Server では着信方向の Web 要求プロパティをチェックして、ユーザーの認証方法を決定します。たとえば、Web 公開ルールでは特定のユーザーのみへのアクセスを許可する場合があります。ISA Server はオブジェクトを要求しているユーザーを認証し、Web 公開ルールで要求元のユーザーのアクセスが許可されるかどうかを確認します。ユーザーは、着信方向の Web 要求に対して指定されている認証方法のいずれかを使用して、認証する必要があります。

ISA Server は、Microsoft® Windows NT® チャレンジ/応答認証をサポートしているブラウザ、および基本認証を使用する他のブラウザのために、セキュリティで保護され、暗号化されたログオン環境を提供します。認証方法は、サーバー上のすべての IP アドレスに対して、または IP アドレスごとに個別に設定できます。

詳細については、「認証」を参照してください。

同時接続を制限する

ISA Server コンピュータへの許可する同時接続数を制限することで、システムのリソースに打撃を与えるアタックを防ぐことができます。これはサーバーを公開するときに特に役立ちます。接続するコンピュータの数を制限する一方で、制限を超えている場合でも、特定のクライアントに対しては引き続き接続を許可することができます。

手順については、「許可する同時接続の最大数を構成する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ポートの指定

既定では、ISA Server はポート 80 で HTTP (ハイパーテキスト転送プロトコル) 要求をリッスンします。ただし、接続元クライアントが別のポートを使用する場合は、それに合わせてポート番号を変更する必要があります。Web リスナが既定のポート 443 で SSL (Secure Sockets Layer) 要求をリッスンするように構成することもできます。SSL を選択する場合は、最初に適切な証明書を ISA Server コンピュータにインストールする必要があります。Web リスナが使用するサーバー証明書を選択し、ISA Server コンピュータがそのコンピュータ自身をクライアントに対して認証できるようにする必要があります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


カスタム HTML エラー メッセージ

ISA Server には、必要に応じて Web ブラウザ クライアントに返される、一連の HTML (ハイパーテキスト マークアップ言語) エラー メッセージが用意されています。

ISA Server では、外部クライアント要求と内部クライアント要求が区別されます。内部クライアントの場合、ファイルの名前は <エラー番号>.htm となります。外部クライアントの場合、ファイルの名前は <エラー番号>R.htm となります。ここでの R は reverse (逆) を意味します。

次の表は、ISA Server に含まれるエラー メッセージの一覧です。

ファイル名 | 説明
10060.htm および 10060R.htm | 指定された Web サーバーにアクセスできませんでした。
11001.htm および 11001R.htm | 指定されたホストが見つかりませんでした。
11002.htm および 11002R.htm | 指定されたホストの DNS ネーム サーバーにアクセスできませんでした。
11004.htm および 11004R.htm | ホストが見つかりませんでした。

各自の組織向けにカスタマイズされた HTML エラー メッセージを追加で作成できます。追加の HTML エラー メッセージ ページを作成する際に、既定の HTML エラー ファイルを土台として使用できます。内部クライアント エラーのファイルは Default.htm という名前で、外部クライアント エラーのファイルは DefaultR.htm という名前で、それぞれ \ErrorHtmls フォルダに配置されています。エラー メッセージ ページは、Errorcode.htm という名前になります。

Default.htm ファイルは、あらゆる HTML ページと同様に編集できます。

  • [ERRORNUM] を適切なエラー コードで置き換えます。
  • [ERRORTEXT] を適切なエラー メッセージ テキストで置き換えます。
  • [SERVERNAME] を、HTML ページを返すサーバーの名前で置き換えます。
  • [VIAHEADER] を、ISA Server コンピュータが受け取る Via ヘッダー メッセージ文字列で置き換えます。

カスタム HTML エラー メッセージでは、.gif または .jpg ファイル形式のインライン グラフィックを使用できます。ただし、これらのファイルは、ISA Server コンピュータ上の独立した共有ディレクトリに格納する必要があり、HTML エラー メッセージ ファイルでは、完全修飾 URL を使用してインライン グラフィックを指す必要があります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


認証

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の認証サポートに関する基本的な情報を提供します。

  • Web 要求の認証方法
  • 認証プロセス

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web 要求の認証方法

Microsoft Internet Security and Acceleration (ISA) Server 2004 のアクセス ポリシーと公開ルールは、コンピュータのセットまたはユーザーのグループが、特定のサーバーにアクセスすることを許可または拒否するように構成できます。ルールがユーザーに適用される場合、ISA Server ではリスナの Web 要求プロパティをチェックして、ユーザーの認証方法を決定します。

使用する認証方法を構成できます。着信方向の Web 要求と発信方向の Web 要求には別々の認証方法を構成できます。

ISA Server でサポートする認証方法は次のとおりです。基本認証、ダイジェスト認証、統合 Windows 認証、クライアント証明書、およびサーバー証明書です。

注意

  • Microsoft® Internet Explorer 5 以降では、すべての認証方法がサポートされます。他の Web ブラウザでは、基本認証方法のみがサポートされる場合があります。着信方向の Web 要求と発信方向の Web 要求のプロパティに対して指定した認証方法のうち、少なくとも 1 つがクライアント Web ブラウザによって使用可能であることを確認してください。そうしないと、クライアントは要求されたオブジェクトにアクセスできません。

ここでは、Web 要求の認証方法について説明します。

  • 基本認証
  • ダイジェスト認証
  • 統合 Windows 認証
  • RADIUS 認証
  • RSA SecurID の認証サポート
  • RSA SecurID の認証を有効にするための ISA Server コンピュータの構成
  • フォームベース認証
  • デジタル証明書
  • 証明書の失効

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


基本認証

基本認証方法は、ユーザー名とパスワード情報を収集するために広く使用されている業界標準の方法です。

標準の HTTP (ハイパーテキスト転送プロトコル) による認証方法が基本認証です。基本認証では、ユーザー情報が読み取り可能なテキスト文字として送受信されます。パスワードとユーザー名はエンコードされますが、基本認証では暗号化は使用されません。

重要

  • 基本認証を使用して転送されるパスワードは、セキュリティで保護されていないため、転送中に読み取られる可能性があります。できる限り、統合 Windows 認証を使用してください。

クライアント認証プロセス

次の手順は、基本認証を使用したクライアントの認証方法の概略です。

  1. ユーザーは、資格情報とも呼ばれる Windows アカウントのユーザー名とパスワードを入力するように要求されます。
  2. ISA Server は、ユーザーの資格情報を使用して接続を確立しようとします。クリア テキストのパスワードが、Base64 でエンコードされてネットワーク上に送信されます。

    重要

    • Base64 エンコードは暗号化ではありません。Base64 でエンコードされたパスワードがネットワーク スニッファによってネットワーク上で傍受されると、許可されていないユーザーがパスワードをデコードして再利用する恐れがあります。
  3. ISA Server によってユーザー名とパスワードが有効な Microsoft Windows ユーザー アカウントに対応していることが確認されると、接続が確立されます。

基本認証のメリットは、HTTP 仕様に組み込まれているためにほとんどのブラウザでサポートされていることです。デメリットは、基本認証を使用する Web ブラウザが、暗号化されていない形式のパスワードを転送することです。攻撃者や悪意のあるユーザーは、ネットワーク上の通信を監視することで、一般に入手可能なツールを使用してこれらのパスワードを傍受し、デコードできます。このため、専用線や SSL (Secure Sockets Layer) などで接続がセキュリティで保護されていることが確実でない限り、基本認証はお勧めしません。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ダイジェスト認証

ダイジェスト認証の機能は基本認証と同じですが、認証の資格情報の転送方法が異なります。認証の資格情報は、一般にハッシュと呼ばれる一方向プロセスを介して渡されます。このプロセスの結果はハッシュまたはメッセージ ダイジェストと呼ばれ、復号化できません。つまり、ハッシュから元のテキストを解読することはできません。

何者かがパスワードのハッシュを取得し、それを使用して本当のユーザーを偽装することができないよう、ハッシュする前に、パスワードに補足情報が追加されます。追加される値は、ユーザー、ユーザーのコンピュータ、およびユーザーが属しているドメインを識別するための役に立ちます。ユーザーが失効したパスワードを使用できないよう、タイム スタンプも追加されます。これは、許可されていない人物がパスワードを傍受して使用することが不可能であるため、基本認証より明らかに優れています。

ダイジェスト認証は、World Wide Web コンソーシアム (W3C) の Web サイト (英語情報) で RFC 2617 仕様に定義されている HTTP 1.1 プロトコルに基づいています。ダイジェスト認証では HTTP 1.1 に準拠していることが要求されるため、この方法をサポートしていないブラウザもあります。HTTP 1.1 に準拠していないコンピュータのブラウザで、ダイジェスト認証を使用するファイルを要求すると、クライアントがダイジェスト認証をサポートしていないため、要求は拒否されます。

ダイジェスト認証は、Windows ドメインでのみ使用できます。

重要

  • ダイジェスト認証は、ドメイン コントローラに、Active Directory に格納された要求側ユーザー パスワードの復号可能な暗号化コピー (プレーンテキスト) が存在する場合のみ実行されます。パスワードをプレーンテキストとして保存するには、Active Directory で、そのユーザーの [アカウント] タブの [暗号化を元に戻せる状態でパスワードを保存する] 設定を有効にする必要があります。または、グループ ポリシーを設定してこの機能を有効にすることもできます。この設定を行うと、古いパスワードが識別できなくなるため、この機能を有効にするには、新しいパスワードの設定が必要になります。
    WDigest 認証を使用する場合は、この操作は必要ありません。

WDigest

WDigest は、新しいバージョンのダイジェスト認証として ISA Server でサポートされています。標準のダイジェスト認証と異なり、WDigest では、パスワードを復号可能な暗号化形式で格納する必要がありません。WDigest は、Windows Server 2003 上で実行される ISA Server コンピュータでのみサポートされます。

WDigest の場合、ユーザー名とドメイン名では大文字と小文字が区別されます。ユーザーは、Active Directory に書き込まれているとおりにユーザー名とドメイン名を入力する必要があります。この点が、ダイジェスト認証、基本認証、および統合 Windows 認証と異なります。これらの認証では、パスワードでのみ大文字と小文字が区別されます。

ISA Server とドメインの両方が Windows Server 2003 をベースとしている場合、既定の認証は WDigest になります。つまり、Windows Server 2003 環境でダイジェスト認証を選択しても、実際には WDigest を選択したことになります。

ダイジェスト認証は、Windows Server 2003 および Windows 2000 のドメイン アカウントでのみ機能します。また、アカウントのパスワードを暗号化されたプレーンテキストとして保存することが要求される場合もあります。

ダイジェスト認証のバージョンの選択

Windows Server 2003 上で実行される ISA Server は常に、WDigest 認証を使用しようとします。ただし、ISA Server が Windows 2000 ドメイン内の Windows Server 2003 コンピュータにインストールされている場合は、WDigest 認証は Windows 2000 ドメインでサポートされないので失敗します。別の認証方法を選択するか、ISA Server を Windows Server 2003 ドメインにインストールすることをお勧めします。または、次の操作を行います。

  1. FPCWebProxy.UseDigestSSP プロパティを [False] に設定します。詳細については、ISA Server SDK のヘルプを参照してください。
  2. 各アレイ メンバで、次の操作を行います。
    1. コマンド プロンプトで、次のように入力します。
      rundll32 systemroot\system32\iissuba.dll,RegisterIISSUBA
    2. ローカル システム アカウントを使用して動作するように Microsoft ファイアウォール サービスを構成します。
    3. ファイアウォール サービスを再起動します。

クライアント認証プロセス

ダイジェスト認証を使用してクライアントが認証される手順は、次のようになります。

  1. クライアントが要求を送信します。
  2. ISA Server はその要求を拒否し、クライアントに認証情報を求めます。
  3. ドメイン コントローラが認証結果を ISA Server に通知します。
  4. クライアントが認証されると、ISA Server はファイアウォール ポリシーを確認し、それに従ってオブジェクトを取得するかどうかを決定します。


統合 Windows 認証

統合 Windows 認証とは、NTLM、Kerberos、および Negotiate 認証機構のことです。統合 Windows 認証は、ユーザー名とパスワードがハッシュされてからネットワーク上で送信される安全な認証形式です。統合 Windows 認証を有効にすると、ユーザーのブラウザは、ハッシュを使用して Web サーバーと暗号化された情報を交換し、パスワードの正当性を証明します。統合 Windows 認証は、Windows 2000 および Windows Server 2003 ファミリのメンバで使用される既定の認証方法です。

クライアント認証プロセス

以下は、統合 Windows 認証を使用したクライアント認証の概要を示しています。

  1. ブラウザの構成によっては、統合 Windows 認証では、最初にユーザー名とパスワードの入力を要求しません。統合 Windows 認証では、クライアント コンピュータ上にある最新の Windows ユーザー情報が使用されます。
  2. 最初に認証交換でユーザーの識別に失敗した場合、ブラウザでは、ユーザーに対して Windows アカウントのユーザー名とパスワードの入力を要求します。入力された情報は、統合 Windows 認証を使用して処理されます。
  3. Web ブラウザは、ユーザーが有効なユーザー名とパスワードを入力するか、ダイアログ ボックスを閉じるまで、ユーザー名とパスワードの入力を要求し続けます。

セキュリティに関する考慮事項

統合 Windows 認証は、Active Directory サーバーに依存して、クライアントの資格情報を検証します。つまり、ISA Server では、クライアント認証が要求されるたびに Active Directory サーバーと通信を行います。そのため、外部および内部のユーザーがこの通信にアクセスしないように、Active Directory と ISA Server 用に保護されたネットワークを作成することをお勧めします。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


RADIUS 認証

リモート認証ダイヤルイン ユーザー サービス (RADIUS) は、RFC 2865『Remote Authentication Dial-in User Service (RADIUS)』に記載されている業界標準のプロトコルです。RADIUS を使用して、認証が提供されます。RADIUS クライアントは、通常、ダイヤルアップ サーバー、仮想プライベート ネットワーク (VPN) サーバー、またはワイヤレス アクセス ポイントであり、ユーザー資格情報と接続パラメータ情報を RADIUS メッセージ形式で RADIUS サーバーに送信します。RADIUS サーバーは RADIUS クライアント要求を認証して、RADIUS メッセージ応答を返送します。

RADIUS サーバーはクライアントの資格情報を認証するだけでなく承認も行うため、ISA Server が RADIUS サーバーから受信した応答が、クライアントの資格情報が承認されなかったことを示している場合、実際に RADIUS サーバーがクライアントを承認していないことを示している可能性があります。資格情報が認証された場合であっても、ISA Server は RADIUS サーバーの承認ポリシーに基づいて、クライアント要求を拒否することがあります。

注

  • RADIUS ユーザーが ISA Server に資格情報を提示するときには、その資格情報を <ユーザー名>\<ドメイン名> として渡す必要があります。<ユーザー名>@<ドメイン名> ではありません。

特定の RADIUS サーバーを使用するように ISA Server を構成し、その RADIUS サーバーで RADIUS ユーザー認証を行うことができます。

発信方向の要求に対する RADIUS 認証

インターネット認証サービス (IAS) を RADIUS サーバーとして使用する場合は、IAS リモート アクセス ポリシーのダイヤルイン プロファイルで、暗号化されていない認証を有効にしてください。これは、パスワード認証プロトコル (PAP) または Shiva パスワード認証プロトコル (SPAP) です。PAP または SPAP に対して IAS を有効にするのは、プロファイルごとの IAS 設定です。ポリシー条件に一致するすべての RADIUS クライアントが、PAP または SPAP を使用して IAS サーバーに接続できるようになります。

RADIUS 認証用に ISA Server を構成する

ISA Server を構成する場合は、RADIUS 認証を認証プロバイダとして選択します。RADIUS サーバーを追加する場合、次の構成を行う必要があります。

  • サーバー名。RADIUS サーバーのホスト名または IP アドレスです。
  • 共有シークレット。ルーティングとリモート アクセスを実行するサーバーと RADIUS サーバーは、両者間で送信されるメッセージの暗号化に使用されるシークレットを共有します。リモート アクセス サーバーと RADIUS サーバーのどちらも同じ共有シークレットを使用するように構成する必要があります。
  • ポート。リモート アクセス サーバーは、RADIUS サーバーがリッスンしているユーザー データグラム プロトコル (UDP) ポートに認証要求を送信する必要があります。RADIUS サーバーを使用している場合、既定値 1812 を変更する必要はありません。

注

  • RADIUS 認証用に ISA Server を構成する場合、RADIUS サーバーの構成は、RADIUS 認証を使用するすべてのルールまたはネットワーク オブジェクトに適用されます。

手順については、「RADIUS サーバーを構成する」を参照してください。

セキュリティに関する考慮事項

RADIUS 認証には、次のセキュリティに関する考慮事項があります。

  • RADIUS の User-Password 隠蔽機構では、パスワードのセキュリティを十分に確保できない可能性があります。RADIUS の隠蔽機構は、RADIUS 共有シークレット、要求認証システム、および MD5 ハッシュ アルゴリズムを使用して、User-Password と共に、Tunnel-Password、MS-CHAP-MPPE-Keys などのその他の属性を暗号化します。RFC 2865 には、脅威のある環境を評価し、追加セキュリティを使用すべきかどうかを判断する必要性について記載されています。
    カプセル化セキュリティ ペイロード (ESP) を使用するインターネット プロトコル セキュリティ (IPsec) や、トリプル DES (3DES) などの暗号化アルゴリズムを使用して、隠されている属性の保護を強化し、RADIUS メッセージ全体のデータの機密性を確保できます。次の推奨ガイドラインに従ってください。
    1. IPsec を使用して、RADIUS クライアントとサーバーのセキュリティを強化します。
    2. 強力なユーザー パスワードの使用を要求します。
    3. 認証カウントとアカウント ロックアウトを使用して、ユーザー パスワードに対する辞書攻撃を防ぎます。
    4. 文字、数字、句読点のランダムなシーケンスで構成される長い共有シークレットを使用します。IAS サーバーを保護するために、この共有シークレットを頻繁に変更してください。
  • パスワードベースの認証を使用する場合は、ネットワークに強力なパスワード ポリシーを適用して、辞書攻撃を防ぐようにします。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


RSA SecurID の認証サポート

Internet Security and Acceleration (ISA) Server 2004 には、RSA Security, Inc. 製の RSA SecurID® 製品の認証資格情報に基づいたユーザー認証機能が導入されています。ISA Server は、RSA SecurID の認証資格情報を必要とする Web サイトをセキュリティで保護できます。

RSA の SecurID 製品では、保護されたリソースにリモート ユーザーがアクセスするには、認証の 2 つの要素が必要です。この 2 つの要素とは、ユーザーが認識している個人識別番号 (PIN) と、ユーザーが所有している物理トークンです。PIN もトークンも、単独ではアクセスを許可できません。両方が必要です。

RSA SecurID で保護された Web ページにユーザーがアクセスしようとすると、ISA Server コンピュータは、インターネット インフォメーション サービス (IIS) を実行中のセキュリティで保護されたサーバーに代わって Cookie をチェックします。この Cookie は、ユーザーが最近認証された場合にのみ存在し、永続的ではありません。ユーザーの Cookie が見つからなかった場合は、ユーザー名と SecurID のパスコードの入力が要求されます。このチャレンジは、ブラウザの種類に合わせて表示されます。ユーザーが Internet Explorer を使用している場合、チャレンジのコンテンツの種類は HTML (ハイパーテキスト マークアップ言語) です。パスコードは、ユーザーの PIN とトークンコードの組み合わせで構成されます。トークンコードはユーザーのトークンに表示され、1 分ごとに変わります。ISA Server コンピュータ上の RSA ACE/Agent® は、検証のためにこれらの資格情報を RSA ACE/Server® コンピュータに渡します。資格情報の検証に成功すると、セッション中のそれ以降のアクティビティのためにユーザーのブラウザに Cookie が配布され、ユーザーはコンテンツへのアクセスが許可されます。

ISA Server が複数のネットワーク アダプタで構成されている場合に、RSA SecurID 認証に対応する Web リスナを作成するときは、ISA Server が認証のために RSA ACE/Server に接続する際に経由するネットワーク アダプタ アドレスを明示的に構成する必要があります。そうしないと、ISA Server が SecurID 認証に失敗する場合があります。この IP アドレスは、レジストリ キー HKEY_LOCAL_MACHINE\SOFTWARE\SDTI\AceClient\PrimaryInterfaceIP に文字列値として指定します。

RSA ACE/Server のインストール、構成、および認証の概念の詳細については、RSA の Web サイト (http://www.microsoft.com/) を参照してください。

重要

  • クライアントと ISA Server 間の通信の暗号化には、SSL (Secure Sockets Layer) を使用することをお勧めします。

注

  • RSA SecurID は、RSA Security Inc. の技術に基づいています。

RSA SecurID の認証の動作

RSA SecurID プロトコルは、標準の HTTP (ハイパーテキスト転送プロトコル) メッセージを使用してクライアントを認証します。このプロトコルは要求ベースのプロトコルの一種で、クライアントが各要求に関連付けられた特別なデータを送信します。

次の用語が使用されます。

  • RSA ACE/Server。ユーザー、グループ、ホスト、およびトークンに関する情報を保持するコンピュータです。RSA ACE/Server は、ユーザーごとに、ユーザーがログオンできるホストの一覧とログオン名を管理します。ログオン名は、ホストごとに異なる場合があります。
  • RSA ACE/Agent。Web コンテンツを提供するコンピュータです。このコンピュータによって、ユーザーは RSA SecurID の資格情報を指定するよう要求されます。
  • クライアント。通常は、Web コンテンツを受け取る Web ブラウザです。

クライアントが GET /x 要求を ISA Server に送信すると、次のプロセスが発生します。

  1. RSA SecurID ISAPI 認証の Web フィルタは要求を傍受し、RSA SecurID 認証フォームをクライアントに返します。
  2. クライアントは、ログオン名とパスコードをフォームに入力するように要求されます。
  3. ブラウザは、HTTP POST メソッドを使用して Web フィルタにフォームを返します。
  4. RSA SecurID 認証の Web フィルタはこれらの詳細を RSA ACE/Server に伝達し、ISA Server コンピュータを使用したアクセスがユーザーに許可されるかどうかを検証します。許可された場合、Web フィルタは Set-Cookie ヘッダーを含む応答をクライアントに返します。
  5. Set-Cookie ヘッダーは、ブラウザのメモリに Cookie を書き込みます。ブラウザが閉じると、Cookie は失われます。Cookie には、ユーザーに関する情報が格納されます。この情報は、ISA Server にのみ認識されるシークレットによって署名されます。そのため、他のユーザーは Cookie を変更できません。
  6. 応答には Refresh ヘッダーが含まれます。このヘッダーは、元の GET /x 要求をサーバーに再送信するようブラウザに指示します。
  7. Web フィルタが Cookie と共に要求を受け取ると、Cookie が有効であるかどうかを検証します。その際、次の項目をチェックします。
    • 有効期限
    • IP アドレス (指定されている場合)
    • 署名 (データが変更されていないことを確認するため)

    すべてが有効である場合、ISA Server にインストールされている他の Web フィルタに要求が渡され、その後、ISA Server に渡されます。

  8. ISA Server はオブジェクトを要求し、オブジェクトはクライアントに返されます。


RSA SecurID の認証を有効にするための ISA Server コンピュータの構成

ネットワーク上に RSA ACE/Server® をセットアップしたら、次の手順を実行して ISA Server の構成を設定する必要があります。

  1. ISA Server コンピュータを RSA ACE/Agent® としてセットアップします。詳細については、「ISA Server コンピュータを RSA ACE/Agent としてセットアップする」を参照してください。
  2. ISA Server コンピュータで RSA SecurID® の認証資格情報を検証する場合は、RSA SecurID との通信を許可するシステム ポリシー ルールが有効になっていることを確認します。構成グループに指定した宛先に RSA ACE/Server が含まれていることを確認してください。既定では、内部ネットワークが宛先として構成されています。詳細については、「システム ポリシーの概要」および「システム ポリシー ルールの宛先を編集する」を参照してください。
  3. RSA ACE/Server と ISA Server コンピュータ間の接続をテストします。詳細については、「ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認する」を参照してください。

Windows Server 2003 を実行しているコンピュータ上で SecurID 認証を有効にすると、ネットワーク サービス アカウントでは、レジストリ キー HKLM\Software\SDTI\ACECLIENT への読み取り/書き込みのアクセス許可が必要になります。さらに、ネットワーク サービス アカウントは、%SystemRoot%\system32\ にある Sdconf.rec ファイルに対する読み取りアクセス許可も持っている必要があります。

SecurID Web フィルタは、インストール時には有効になっています。詳細については、「RSA SecurID 認証用の Web フィルタを有効または無効にする」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


フォームベース認証

フォームベース認証は、Outlook Web Access サーバーを発行するときに使用します。

ユーザーが資格情報を入力すると、システムはユーザーを識別する Cookie を発行します。続いて要求が送信されると、システムはまず Cookie をチェックして、ユーザーが既に認証されているかどうかを確認します。したがって、ユーザーは資格情報を再び入力する必要はありません。

資格情報はクライアント コンピュータのキャッシュには格納されません。また、資格情報が有効なのは現在のセッション中のみです。このことは特に、ユーザーがパブリック コンピュータから Outlook Web Access サーバーに接続するシナリオで、ユーザー資格情報をキャッシュしない場合に重要になります。ユーザーは、ブラウザを終了したり、セッションからログオフしたり、別の Web サイトに移動したりすると、再認証を求められます。また、ユーザーが長時間にわたって操作を行わなかった場合に再認証が要求されるよう、最大アイドル セッション タイムアウトを構成することもできます。

Outlook Web Access サーバーの公開には、HTTPS を使用することをお勧めします。

注

  • ISA Server は、Exchange Server 5.5、Exchange 2000 Server、および Exchange Server 2003 のフォームベース認証をサポートしています。

Outlook Web Access には、ユーザーが各自のパスワードを変更できるオプション機能があります。ユーザーが Outlook Web Access のセッション中にパスワードを変更した場合、最初のログオン時に発行された Cookie はその時点で失効します。ISA Server にフォームベース認証を構成すると、Outlook Web Access のセッション中にパスワードを変更したユーザーには、次に要求を行うときにログオン ページが表示されます。

発信方向の要求のフォームベース認証を構成する手順については、「Web プロキシ クライアント (発信方向の要求) の認証方法を構成する」を参照してください。Web 公開のフォームベース認証を構成する手順については、「Web リスナの認証方法を構成する」を参照してください。

Exchange 2000 とフォームベース認証

ユーザーが <ユーザー名>@<ドメイン> (非修飾ユーザー名) 形式と <ドメイン>\<ユーザー名> (非修飾ドメイン名) 形式の両方を使用してログインできるよう、Exchange Manager でユーザー プリンシパル名 (UPN) を構成します。次の操作を行います。

  1. Exchange Manager で、[サーバー]、[<サーバー名>]、[プロトコル]、[Exchange 仮想サーバー] の順にクリックします。次に [Exchange] を右クリックして、[プロパティ] をクリックします。
  2. [アクセス] タブで、[認証] をクリックします。
  3. [既定のドメイン] に「\」(円記号) を入力し、ユーザーの電子メール アドレスおよびドメイン名を受け入れます。ユーザーが資格情報を入力するときは、常に <ドメイン>\<ユーザー名> 形式を使用する必要があります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


デジタル証明書

デジタル証明書は、機密データをネットワーク内またはネットワーク間で送信する際の業界標準の暗号化手段です。デジタル証明書の一般的な使用例としては、インターネット上のコンピュータと Web サーバー間での通信で、クレジット カードまたは銀行口座、およびパスワードの情報を転送する場合があります。この情報がインターネットに接続されているルーターを通過する際に読み取られないようにするために、デジタル証明書が必要となる HTTPS プロトコルが使用されます。Microsoft Internet Security and Acceleration (ISA) Server 2004 では、Web 公開ルール、サーバー公開ルール、およびサイト間仮想プライベート ネットワーク (VPN) 接続でデジタル証明書を使用できます。

デジタル証明書は、証明機関 (CA) から発行されます。CA は、手数料を徴収して証明書を発行する民間企業であることも、Microsoft Windows Server™ 2003 または Windows® 2000 Server を実行する、証明書サービスがインストールされた組織内のコンピュータであることもあります。

デジタル証明書は信頼を要求します。証明書が信頼できるかどうかは、証明書を発行した CA からのルート証明書が存在するかどうかによって決まります。民間の CA が発行した証明書をインストールする場合は、ルート証明書は Windows と共にインストールされるので、ルート証明書を配布する必要はありません。Windows を実行している組織のコンピュータのいずれかに証明書サービスをインストールし、独自の証明書を発行する場合は、デジタル証明書によってセキュリティで保護された接続を許可するすべてのコンピュータに、CA のルート証明書を転送するように設定する必要があります。証明書サービス コンピュータに直接接続されていない場合は、ディスクや CD を使用したり、電子メール メッセージによって情報を交換できます。実行する前に、電子メール システムがセキュリティで保護されていることを確認してください。また、CA は、インターネット インフォメーション サービス (IIS) および Active Server Pages を使用して公開することもできます。

デジタル証明書はさまざまなシナリオで使用されます。ISA Server 2004 を使用する場合には、デジタル証明書のインストールが必要となることがある一般的な公開のシナリオが 2 つあります。

  • Outlook® Web Access サーバーの公開を含む、Web 公開ルールを使用した公開。
  • サーバー公開ルールを使用した公開。

詳細なシナリオについては、ISA Server の Web サイト (http://www.microsoft.com/) にある『ISA Server 2004 のデジタル証明書』を参照してください。


証明書の失効

既に失効して証明書失効リスト (CRL) に載っている証明書をクライアントが提示した場合に、Microsoft Internet Security and Acceleration (ISA) Server 2004 がそのクライアント要求をどのように処理するか構成できます。CRL に証明書が載っているクライアントからの要求を拒否するように ISA Server を構成することができます。手順については、「クライアント証明書の検証を構成する」を参照してください。

同様に、サーバーからの証明書が CRL に載っているかどうかを調べるように ISA Server を構成することもできます。サーバーが CRL に載っている証明書を提示した場合に、その要求を拒否するように ISA Server を構成できます。これは、ISA Server が上位サーバーに対する SSL (Secure Sockets Layer) 要求を生成する場合、または公開されたサーバーへの SSL 要求を生成する場合に適切な構成です。手順については、「クライアント証明書の検証を構成する」を参照してください。

ISA Server とのセキュリティで保護された接続が確立されると、ISA Server は CRL を確認します。ISA Server が SSL を使用して上位 Web プロキシまたは Web サーバーに接続するように構成されている場合は、CRL の確認が既定で有効になります。証明書失効要求がセキュリティで保護された接続を経由してルーティングされず、CRL の確認をトリガしないことを確認します。

証明書の失効と Web チェーン ルール

ISA Server は、証明書を検証する際に、HTTP (ハイパーテキスト転送プロトコル) を使用して CRL をダウンロードする必要があります。CRL をダウンロードする要求には、構成済みの Web チェーン ルールが適用されます。Web チェーン ルールがトラフィックを代替の宛先にリダイレクトする場合、ISA Server は CRL を持たない代替の宛先から CRL を取得しようとします。この結果、証明書検証エラーが発生します。

このようなエラーを防止するには、CRL に適用する Web チェーン ルールを作成します。CRL およびインターネットに直接接続する動作を含んだ URL セットに宛先を設定します。このルールを、Web チェーン ルールの一覧の先頭に配置します。

たとえば、CRL がイントラネット上の Web サイトに配置されているときなど、CRL の場所を簡単に特定できる場合があります。これよりも複雑なシナリオで、CRL の場所を特定できない場合は、Microsoft、VeriSign®、Thawte などの一般に使用される証明機関の特定の URL を追加します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


認証プロセス

ここでは、ISA Server が認証を処理する方法について説明します。

  • ファイアウォール ポリシーと認証
  • パススルー認証
  • チェーン認証
  • 基本認証の委任
  • 証明書

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール ポリシーと認証

認証は、すべてのファイアウォール ポリシーにおいて不可欠な部分です。IP アドレスにはルールを適用できますが、多くの場合、明示的に構成された認証機構を使用して認証を行う特定ユーザーにのみ、アクセスを許可します。

認証は、宛先からの要求である着信方向の要求、および発信方向の要求の両方にとって重要です。

発信方向の要求

ファイアウォール クライアントが HTTP 以外のコンテンツを要求すると、ISA Server は特定のユーザーまたはグループに適用するルールが構成されているかどうかを確認します。ルールが構成されている場合、ISA Server は、そのクライアントにクライアント自体の認証を要求します。これにより ISA Server は、オブジェクトを要求しているクライアントにルールを適用するかどうかを決定できます。

発信方向の Web 要求の場合、ユーザーが配置されている特定のネットワークに対して認証が構成されます。Web プロキシ クライアント アクセスを有効にすると、Web プロキシ クライアントの認証に使用する認証機構を構成できます。手順については、「Web プロキシ クライアントの認証方法を構成する」を参照してください。

Web プロキシ クライアントまたはファイアウォール クライアントが HTTP コンテンツ (または公開シナリオでの HTTPS) を要求した場合、発信方向の要求のネットワークまたは着信方向の要求のリスナに対して [すべてのユーザーに認証を要求する] が選択されていると、ISA Server はファイアウォール ポリシーをチェックする前に必ずユーザー資格情報を要求します。

それ以外の場合、ISA Server は順序付けられたファイアウォール ポリシーのうち、最初のルールがクライアント要求に一致するかどうかを確認します。ルールが一致するように見えても、ISA Server が一致を検証するためにクライアント認証を必要とする場合は、ISA Server はクライアント認証を要求します。

それ以外の場合、ルールが [すべてのユーザー] ユーザー セットに適用されるか、またはルールが特定のクライアントの IP アドレスに適用される場合は、ISA Server はユーザー資格情報を要求せず、ファイアウォール ポリシーを適用します。

要求を拒否し、ユーザーに適用する Web 公開ルールの場合、既定では、ISA Server がルールとの一致に失敗するたびにクライアントに再認証が要求されます。

ファイアウォール クライアントの場合、ISA Server は、セッション確立時に資格情報を要求します。その後、ファイアウォール クライアントがオブジェクトを要求すると、セッションは既に ID を持っているため、ISA Server はクライアントの再認証を要求しません。

IP アドレスには適用せず、ユーザーに適用するアクセス ルールを構成する場合、要求を行っているユーザーが実際に認証を行うことができるように、少なくとも 1 つの認証機構を指定する必要があります。指定しないと、すべての要求が拒否されます。

着信方向の要求

Web 公開ルール、セキュリティで保護された Web 公開ルール、または Outlook Web Access のメール公開ルールを作成する場合、Web リスナを指定する必要があります。Web リスナは、どのネットワーク (またはネットワーク上のどの IP アドレス) が着信方向の要求を受け付けるかを示します。また、使用可能な認証機構も示します。詳細については、「Web リスナの概要」を参照してください。

指定された認証機構に応じて、公開された Web サーバーのオブジェクトを要求するクライアントを認証する必要があります。

複数の認証機構を使用する

Web リスナでは、基本認証、ダイジェスト認証、統合認証、およびクライアント証明書認証の各機構を同時に使用することができます。RADIUS、SecurID、またはフォームベース認証方法を選択した場合、構成する認証機構は選択したもののみにする必要があります。

HTTPS を使用する場合は、クライアント証明書認証が、選択した他のすべての認証機構よりも優先されます。他の認証機構は、クライアントがクライアント証明書での認証に失敗したときにのみ使用されます。


パススルー認証

パススルー認証は、クライアントの認証情報を宛先サーバーに渡す ISA Server の機能です。ISA Server は、発信と着信の両方向の Web 要求に対してパススルー認証をサポートします。

次の図は、公開のためのパススルー認証シナリオを示しています。

パススルー認証

クライアントが Web サーバー上のオブジェクトに対する Get 要求を ISA Server に送信します。ISA Server は要求を Web サーバーに渡します。その時点から、パススルー認証が次のように機能します。

  1. Web サーバーが Get 要求を受け取り、認証が必要であることを応答します (401 エラー)。また、Web サーバーはサポートしている認証の種類も通知します。
  2. ISA Server は、認証が必要であることを示す応答をクライアントに渡します。
  3. クライアントは、認証情報を ISA Server に返します。
  4. ISA Server は、クライアント認証情報を Web サーバーに渡します。
  5. 認証が成功すると、クライアントは直接 Web サーバーと通信を行います。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


チェーン認証

チェーン認証は、上位サーバーに要求をルーティングするときに Internet Security and Acceleration (ISA) Server が行う認証です。ISA Server の Web チェーン ルールで上位サーバーにルーティングするように構成されている場合、要求は上位サーバーにチェーン接続されます。チェーン認証は、ISA Server を実行する上位サーバーへのチェーン接続でのみサポートされます。Web チェーン ルールを作成して、クライアント要求を上位サーバーにルーティングするように ISA Server を構成できます。

下位の ISA Server コンピュータでは資格情報は必要ないが、上位サーバーで必要な場合、ISA Server は上位サーバーにクライアントの資格情報を渡します。

下位の ISA Server コンピュータおよび上位サーバーの両方で認証が必要な場合は、クライアントは下位の ISA Server コンピュータに対して認証を行います。要求がルーティングされると、クライアントは上位サーバーに対する再認証を求められます。これは、基本認証の資格情報が要求され、ユーザーが基本認証の委任を使用しているシナリオ以外での動作です。この場合、下位の ISA Server コンピュータが上位サーバーに資格情報を渡します。詳細については、「基本認証の委任」を参照してください。

上位サーバーが、オブジェクトを要求しているクライアントを識別できない場合があります。この場合、次のように処理されます。

  • 上位サーバーに接続する際にアカウントを使用するように Web チェーン ルールで指定されている場合、下位の ISA Server コンピュータはそのアカウントの認証情報を渡します。
  • Web チェーン ルールでアカウントを使用するように指定されていない場合、下位の ISA Server コンピュータはクライアントの認証情報を上位サーバーに渡します。

ファイアウォール チェーンの構成手順については、「ファイアウォール チェーンを構成する」を参照してください。

クライアント証明書

Web 公開シナリオでは、上位サーバーでクライアント証明書認証が必要になることがあります。この場合、クライアントの代わりに上位サーバーへの認証に使用できる有効なクライアント証明書を、ISA Server コンピュータ上で構成する必要があります。

Web プロキシ クライアントの場合、クライアント証明書は Web チェーン ルールで構成されます。

証明書の使用方法の詳細については、「証明書」を参照してください。


基本認証の委任

基本認証を使用しているクライアントが、公開されているコンピュータに対してではなく ISA Server コンピュータに対して認証を行えるよう Microsoft Internet Security and Acceleration (ISA) Server 2004 を構成できます。Web サイトにアクセスしているユーザーは一度サインインするだけでよく、インターネット インフォメーション サービス (IIS) を実行しているサーバーに代わって ISA Server が認証を行うので便利です。ISA Server は、ユーザーの認証を行って識別し、その動作をログに記録します。また、ISA Server から IIS を実行しているサーバーにユーザーの資格情報が転送されるので、IIS は資格情報を再度要求しなくてもユーザーを認証できます。

認証の委任を使用すると、要求のリダイレクト先である Web サーバーがクライアントの認証を行います。認証の委任はルールごとに構成可能なので、シングル サインオンを必要とするサイトを決定できます。

重要

  • 基本認証データは、ISA Server コンピュータから公開された内部サーバーにテキスト形式で渡されます。このトラフィックのセキュリティを強化するために、SSL (Secure Sockets Layer) を使用して、クライアントと ISA Server 間のトラフィックを暗号化できます。

Web プロキシ クライアントの基本認証の委任は、Web チェーン ルールで構成されます。詳細については、「Web チェーン ルール」を参照してください。

公開シナリオの基本認証は、Web 公開ルールで構成されます。手順については、「公開されたサーバーに資格情報を転送する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


証明書

Web 公開ルールを使用してサーバーを公開し、外部クライアントからの SSL (Secure Sockets Layer) 通信が必要とされる場合は、Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータにサーバー証明書をインストールする必要があります。さらに、内部 Web サーバーにも証明書をインストールできます。Web 公開ルール用のリスナは、サーバー証明書を使用するように構成する必要があります。

Web 公開シナリオで SSL 証明書をインストールするには、次の手順に従います。

  1. ISA Server コンピュータの SSL クライアントになるコンピュータに、信頼されたルート証明書をインストールします。証明機関 (CA) の Internet Explorer データベースに含まれている民間証明機関の証明書を使用する場合、この手順を実行する必要はありません。
  2. ISA Server コンピュータ用の証明書要求を生成します。証明書の一般名を指定するときは、完全修飾ホスト名か、外部クライアントが Web サイトにアクセスするために Web ブラウザに入力する URL (Uniform Resource Locator)、たとえば「news.adatum.com」などを入力します。これは、Web 公開ルールのパブリック名と同じになります。
  3. 証明書要求ファイルを処理します。
  4. 公開された Web サーバーに証明書をインストールします。
  5. 証明書をファイルにエクスポートし、ISA Server コンピュータにコピーします。
  6. ISA Server コンピュータに証明書をインストールします。

注

  • 証明書には一般に有効期間がありますが、通常は 1 年以内です。ISA Server は有効期限が切れた証明書を使用できません。ISA Server が引き続き機能できるようにするために、有効期限が切れる前に証明書を更新してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ネットワーク保護

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のセキュリティと監視のサポートを行う方法について基本的な情報を提供します。

  • 接続の制限
  • IP の基本設定
  • ブロードキャスト
  • アタックの検出
  • DHCP 保護
  • DNS キャッシュ侵害の防止


接続の制限

ISA Server では、一度に可能な接続の数を制限します。同時接続の最大数を指定することによって、制限を構成できます。最大接続数に達すると、その Web リスナに対する新しいクライアント要求は拒否されます。

サーバー公開ルールまたはアクセス ルールで 1 秒間に作成が許可される UDP 接続、ICMP 接続、および他の Raw IP 接続の総数を制限できます。これらの制限は、TCP 接続には適用されません。指定した接続数を超えると、新しい接続は作成されなくなります。既存の接続は切断されません。既定では、各ルールで 1 秒間に最大 1000 の接続を作成できます。指定した制限を超えると、警告がトリガされます。次のパラメータを持つログ エントリが記録されます。

  • [動作] : [接続を拒否しました。]
  • [結果コード] : [FWX_E_RULE_QUOTA_EXCEEDED_DROPPED]

フラッド アタックを回避できるように、接続数を制限することをお勧めします。UDP または Raw IP フラッド アタックが発生すると、偽造された送信元 IP アドレスから多くの要求が送信され、結果的にサービス拒否の状態に陥ります。

警告が発生した場合、ネットワークへのアタックが発生したのか、有効なトラフィックが単に過負荷状態にあるのかを判断してください。悪意のあるトラフィックによって制限を超えた場合は、以下を試みてください。

  • 悪意のあるトラフィックの送信元が内部ネットワークであると考えられる場合は、内部ネットワーク上にウイルスが存在する可能性があります。送信元 IP アドレスを特定し、直ちにネットワークからそのコンピュータを切断します。
  • 悪意のあるトラフィックの送信元が外部ネットワークの IP アドレスの小規模な範囲であると考えられる場合は、送信元 IP アドレスを含むコンピュータ セットへのアクセスを拒否するルールを作成します。
  • トラフィックの送信元が IP アドレスの大規模な範囲であると考えられる場合は、ネットワークの全体的な状態を評価します。ISA Server でネットワークの保護を強化できるように、接続制限を低く設定することを検討してください。

過負荷によって制限を超えた場合は、ルールごとの接続制限を高く設定することを検討してください。

ファイアウォール チェーン シナリオおよびバックツーバックのシナリオの一部では、チェーン サーバーまたはバック ファイアウォールの IP アドレスにカスタマイズされた接続制限を指定します。また、外部ネットワークに複数の UDP ベースまたは Raw IP ベースのサービスを公開する場合は、制限を低く構成して、フラッド アタックからネットワークをセキュリティで保護する必要があります。

クライアント接続の制限

同様に、各クライアントで許可される UDP 接続、ICMP 接続、および他の Raw IP 接続の総数を制限できます。カスタム制限を指定して、特定の IP アドレスに適用できます。たとえば、特定のサーバーに、他のクライアントに許可された以上の接続の確立を許可する場合に、この方法は便利です。

TCP 接続の場合、接続の制限を超えると、新しい接続は許可されなくなります。Raw IP や UDP などの他の接続の場合、接続の制限を超えると、古い接続が終了し、新しい接続を作成できるようになります。

手順については、「接続数を制限する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


IP の基本設定

ISA Server 2004 によるインターネット プロトコル (IP) パケットの処理方法については、以下を構成します。

  • IP フラグメント
  • IP ルーティング
  • IP オプション

IP フラグメント

1 つの IP データグラムは、IP フラグメントと呼ばれるさらに小さいサイズの複数のデータグラムに分割できます。これらのフラグメントは ISA Server でフィルタ処理できます。

フラグメント化されたすべてのパケットは、ISA Server がパケットのフラグメントをフィルタ処理するときに破棄されます。Teardrop アタックとその亜種では、フラグメント化されたパケットが送信され、システムに障害を発生させるような方法でこれらのパケットが再び組み立てられます。Teardrop アタックは、Ping of death アタックとは若干異なる動作をしますが、同じような結果を生み出します。Teardrop プログラムは IP フラグメントを作成します。IP フラグメントとは、元の 1 つのパケットがインターネットを経由して転送されるときに分割可能な単位です。問題となるのは、フラグメントに含まれている元のパケットの 1 部分をバイトで示すこれらのフラグメント上のオフセット フィールドが重複してしまうことです。

たとえば、通常 2 つのフラグメント オフセット フィールドは次のようになります。

フラグメント 1 : (オフセット) 100 ～ 300
フラグメント 2 : (オフセット) 301 ～ 600

これは、最初のフラグメントに元のパケットのバイト 100 ～ 300 が含まれており、2 番目のフラグメントにバイト 301 ～ 600 が含まれていることを示します。

重複しているオフセット フィールドは次のようになります。

フラグメント 1 : (オフセット) 100 ～ 300
フラグメント 2 : (オフセット) 200 ～ 400

宛先コンピュータがこれらのパケットを再び組み立てようとしても、不可能です。そのため、エラー、応答の停止、または再起動が発生する場合があります。

フラグメントのフィルタは、ストリーミング オーディオやビデオを妨害する可能性があります。さらに、証明書の交換中にパケットのフラグメント化が実行されるために、L2TP over IPsec 接続が確立されない場合があります。ストリーミング メディアや IPsec ベースの VPN 接続で問題が発生している場合は、フラグメントのフィルタを無効にしてください。

手順については、「IP フラグメント フィルタを有効にする」を参照してください。

IP ルーティング

IP ルーティングを無効にすると、ISA Server からは、元のネットワーク パケットではなくデータだけが宛先に送信されます。また、無効にした場合、ISA Server は各パケットをコピーした後、ドライバを経由してユーザー モードでパケットを再送信します。

IP ルーティングを有効にすると、ISA Server はルーターとして動作します。ISA Server を経由して通過するトラフィックに対しては、ユーザー モードのドライバによってフィルタが実行されます。

手順については、「IP ルーティングを有効にする」を参照してください。

IP オプション

ヘッダーに IP オプションのフラグを含むパケットはすべて拒否するように ISA Server を構成できます。最も問題の多いオプションは、ソース ルーティング オプションです。TCP/IP は、ソース ルーティングをサポートしています。これは、ネットワーク データの送信者がネットワーク上の特定のポイントを経由してパケットをルーティングすることを許可する手段です。ソース ルーティングには、次の 2 種類があります。

  • 厳密なソース ルーティング。データの送信者は特定のルートを指定できます。このオプションはほとんど使用されません。
  • 非厳密なソース レコード ルート (LSRR)。送信者は、パケットが通過する必要のある特定のルーター (ホップ) を指定できます。

IP ヘッダー内のソース ルート オプションを使用すると、送信者は送信元と宛先のコンピュータ間のルーターで通常行われるルーティングの決定を上書きできます。ソース ルーティングを使用すると、ネットワークのマッピングや、ルーティングおよび通信に関する問題のトラブルシューティングができます。ソース ルーティングは、最高のパフォーマンスを提供するルートを経由するようにトラフィックを強制するために使用することもできます。ただし、ソース ルーティングは攻撃者によって悪用される場合があります。

たとえば、侵入者は、ソース ルーティングを使用して、他のネットワークからは通常アクセスできない内部ネットワーク上のアドレスにアクセスすることができます。これは、他のネットワークと内部ネットワークの両方からアクセスできる別のコンピュータを経由するようにトラフィックをルーティングすることで行われます。

手順については、「IP オプション フィルタを有効にする」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ブロードキャスト

ブロードキャストでは、ユーザー データグラム ダイアグラム (UDP) などのコネクションレス型プロトコルを使用して、1 つのメッセージ (データグラム) が複数の受信者に送信されます。ブロードキャスト アドレスには、次の 3 種類があります。

  • 制限されたブロードキャスト アドレス。制限されたブロードキャスト アドレスは、255.255.255.255 です。
  • ネットワーク ブロードキャスト アドレス。ネットワーク ブロードキャスト アドレスは、すべて 1 ビットの IP アドレスと特定のネットワーク ID で構成されます。たとえば、クラス A のネットワーク 22.0.0.0 があるとします。そのネットワーク ブロードキャスト アドレスは、22.255.255.255 となります。
  • サブネット ブロードキャスト アドレス。サブネット ブロードキャスト アドレスは、すべて 1 ビットの IP アドレスと特定のサブネット ID で構成されます。たとえば、クラス A のネットワーク 22.0.0.0 でサブネット マスク 255.255.0.0 が使用されるとします。アドレス 22.0.255.255 がサブネット ブロードキャストとなります。

ISA Server とブロードキャスト

ISA Server では、ISA Server コンピュータ上のネットワーク アダプタ間でブロードキャスト メッセージを送信することは許可されていません。ISA Server は、ブロードキャスト アドレスにルールを適用するかどうかを決定します。

  • 宛先アドレスがサブネット ブロードキャスト アドレスでない場合、ISA Server はそのアドレスがパケットを受信した ISA Server コンピュータ上のネットワーク アダプタのサブネット ブロードキャスト アドレスであると見なします。
  • パケットがローカル ホスト ネットワークへの着信方向のブロードキャストである場合、ISA Server は宛先を ISA Server コンピュータ (ローカル ホスト) 上のネットワーク アダプタと見なします。
  • これがローカル ホスト ネットワークからの発信方向のブロードキャストである場合、ISA Server は発信元を ISA Server コンピュータ (ローカル ホスト) 上のネットワーク アダプタと見なします。

たとえば、サブネット アドレスが 22.0.1.1 であるネットワーク アダプタ上のローカル ホスト ネットワーク (ISA Server コンピュータ) の UDP ポート 1500 でサービスがリッスンしているとします。内部ネットワークなどからこのサービスへのブロードキャスト トラフィックを可能にするには、UDP ポート 1500 で内部ネットワークからサブネット ブロードキャスト アドレス (22.0.255.255) へのトラフィックを許可するアクセス ルールを作成する必要があります。あるいは、内部ネットワークからローカル ホストへの UDP ポート 1500 トラフィックを許可するアクセス ルールを作成することもできます。

手順については、「アクセス ルールを作成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アタックの検出

あらゆるネットワーク管理者が共通して懸念するのは、アタックの蔓延です。一般的なアタックには次のものが挙げられます。

  • DNS キャッシュ侵害
  • IP エラー。詳細については、「スプーフィング検出」を参照してください。
  • SYN フラッド アタック
  • DHCP 侵害および無効な DHCP 提供メッセージ。詳細については、「DHCP 保護」を参照してください。

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、定義済みの警告を構成して、このようなアタックが発生した場合に警告を表示させることができます。警告の詳細については、「警告」を参照してください。

DNS キャッシュ侵害

DNS (ドメイン ネーム システム) キャッシュ侵害は、DNS サーバーで信頼できない情報を受け取ったことが認識されない場合に発生します。DNS キャッシュ侵害では、攻撃者が DNS サーバーのキャッシュを改ざんすることで、DNS サーバーが、実際の IP アドレスではなく攻撃者が指定した IP アドレスを含んだ正しくない応答を返すようにします。たとえば、攻撃者が DNS キャッシュ侵害を使用して、DNS サーバー内で www.microsoft.com に対して汚染された Web サイトを挿入したとします。Microsoft の Web サイトにアクセスして Internet Explorer の最新の更新プログラムをダウンロードしようとするユーザーは、知らないうちに攻撃者の Web サイトにリダイレクトされてワーム ウイルスをダウンロードすることになります。

SYN フラッド アタック

SYN フラッド アタックは、間違った TCP 接続要求によってネットワークを意図的に過負荷にすることで正当なユーザーへのサービスを拒否しようとする行為が試みられると発生します。

通常の TCP 接続では、コンピュータから SYN パケットが送信されます。SYN は synchronize の略で、あるコンピュータが TCP を使用して別のコンピュータへの接続を試みる際に、最初のパケットの送信後に発生します。宛先コンピュータは、接続の試行を認識し、SYN パケットを返します。SYN パケットを受け取った送信元コンピュータは、ACK で応答します。ACK は acknowledge の略です。

SYN フラッド アタックでは、送信元コンピュータから ACK が送信されません。宛先コンピュータは、接続がタイムアウトになって破棄されるまで待機します。ACK パケットが送信されないというこのような現象が数多く発生すると、コンピュータは常にビジーになり、サービス拒否攻撃が引き起こされます。

警告

アタックの試行を検出できるように、ISA Server では以下の警告があらかじめ構成されて有効になっています。

  • 無効な DHCP 提供メッセージ。DHCP 提供メッセージの IP アドレスが無効です。
  • IP エラー。IP パケットの発信元アドレスが無効です。
  • UDP パケット サイズのエラー。ユーザー データグラム プロトコル (UDP) パケットは、レジストリ キーで指定されている最大 UDP パケット サイズを超えたので破棄されました。
  • SYN アタック。ISA Server が SYN アタックを検出しました。

侵入検出

侵入検出フィルタを構成して、特定のアタックを検出することができます。詳細については、「侵入検出フィルタ」を参照してください。

次の警告が構成されています。

  • DNS 侵入。ホスト名のバッファ オーバーフロー、リソース データ長オーバーフロー、またはゾーン転送のアタックが発生しました。
  • DNS ゾーン転送侵入。ゾーン転送アタックが発生しました。
  • 侵入の検出。外部ユーザーによって侵入が試みられました。
  • POP 侵入。POP (Post Office Protocol) バッファ オーバーフローが検出されました。

一般的なアタックの検出

次の一般的なアタックも検出することができます。

  • Windows out-of-band (WinNuke)
  • Land
  • Ping of death
  • IP half scan
  • UDP bomb
  • Port scan

詳細については、「侵入検出フィルタ」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


DHCP 保護

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、ネットワークが動的ホスト構成プロトコル (DHCP) アタックを受けていることを特定するための警告が組み込まれています。

DHCP 侵害は、悪意のあるユーザーがファイアウォール上のネットワーク アダプタに間違ったアドレスを割り当てて、インターネット プロトコル (IP) スプーフィングを検出する機構が正常に機能しなくなるようにすると発生します。

DHCP 提供メッセージ保護

ISA Server は、無効な DHCP 提供メッセージを検出できます。DHCP 提供メッセージは、IP アドレスが割り当てられているネットワーク アダプタに関連付けられているネットワーク オブジェクトの範囲に含まれている場合のみ、有効と見なされます。ISA Server は、無効な DHCP 提供メッセージを検出すると、"無効な DHCP 提供メッセージ" 警告をトリガし、無効な DHCP 提供メッセージを無視します。

DHCP サーバーから受け取ったアドレスを使用して、あるネットワークから別のネットワークにネットワーク アダプタを移動する必要がある場合があります。ISA Server が通常は無効と見なす提供メッセージも、受け付ける必要があります。この提供メッセージを受け付けるには、次の操作を行います。

  1. コマンド プロンプトで、「ipconfig /renew」と入力します。エラー メッセージが表示されます。
  2. ISA Server の管理で、無効な DHCP 提供メッセージ警告を構成します。手順については、「無効な DHCP 提供メッセージ警告を構成する」を参照してください。
  3. ネットワーク アダプタの IP アドレスが、適切に割り当てられていることを確認します。
  4. ネットワーク アダプタに関連付けられているネットワーク オブジェクトが、新しい IP アドレスを反映していることを確認します。

この警告の受信を確認した後も、ISA Server によって引き続き DHCP 提供メッセージ アタックから保護されます。

注

  • 内部ネットワークの新しい IP アドレスを受け付ける場合は、その IP アドレスを介して構成保管サーバーにアクセスできることを確認してください。

ISA Server が DHCP 侵害アタックに対処する方法

ISA Server では、各 DHCP ネットワーク アダプタに対して許可されている IP アドレスの一覧が管理されます。許可されているアドレスとは、アダプタのアドレスを含むネットワークのアドレス セットです。ISA Server は、DHCP 提供メッセージ パケットを受信すると、その提供メッセージが、許可されているアドレスの範囲内にあるかどうかを確認します。検証に失敗した場合は、パケットが破棄され、"無効な DHCP 提供メッセージ" 警告がトリガされます。

提供されたアドレスをネットワーク アダプタで受信すると、DHCP アドレスを更新できます。これについては、「無効な DHCP 提供メッセージ警告を構成する」で説明されています。この操作を行うと、実施機構が一時的に無効になり、新しい ipconfig /renew が発行されます。この間は、提供されたアドレスが ISA Server によって破棄されることはありません。アダプタがそれぞれのアドレスを受信すると、ISA Server は再びこの機構を有効にします。

DHCP 提供メッセージが破棄されるシナリオには、次のものがあります。

  • 2 つの DHCP アダプタ間を切り替える場合。たとえば、内部ネットワークに接続されたアダプタと外部ネットワークに接続されたアダプタを切り替える場合です。
  • DHCP アダプタが、別のネットワークに移動された場合。たとえば、ISA Server 外部ネットワーク アダプタがホーム ネットワークに接続されていて、別のルーターがインターネットに接続されている場合があります。このルーターを ISA Server 外部ネットワーク アダプタに置き換える場合は、DHCP アドレスを更新して、DHCP 割り当てを可能にする必要があります。

割り当ては、一度可能にすれば、再度可能にする必要はありません。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


DNS キャッシュ侵害の防止

ドメイン ネーム システム (DNS) は、インターネットなどの IP ネットワークの名前解決プロトコルです。DNS サーバーは、クライアント コンピュータが、覚えやすい英数字の DNS 名を、コンピュータ間通信で使用される IP アドレスに解決するための情報を提供します。

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、DNS サーバー名解決機構に似た名前解決機構が組み込まれています。これによって、クライアントが別のネットワーク上のホストにホスト コンピュータの URL を指定して要求を行った場合に、ISA Server によってホスト コンピュータ名が解決されます。ISA Server は、名前解決要求を、専用に構成された DNS サーバーに送信します。

DNS キャッシュ侵害を防止するために、キャッシュ侵害を防止するオプションを有効にして、信頼された DNS サーバー (Windows DNS サーバーなど) を使用するように ISA Server を構成することを強くお勧めします。この DNS サーバーは、内部ネットワーク上に配置されている必要があります。

DNS サーバーを、信頼されていないネットワーク (外部ネットワークなど) 上に展開する場合は、信頼されたネットワーク (境界領域ネットワークなど) にも DNS サーバーをインストールすることをお勧めします。その後に、信頼されていないネットワーク上の DNS サーバーに要求を転送するように、信頼されたネットワーク上の DNS サーバーを構成します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール ポリシー : 操作方法

ここでは、ファイアウォール ポリシーを構成する手順について説明します。

  • エンタープライズ ポリシーを構成する
  • アクセス ルールを構成する
  • Web 公開ルールを構成する
  • サーバー公開ルールを構成する
  • ファイアウォール ポリシー ルールを構成する
  • ルールごとのフィルタを構成する
  • システム ポリシーを構成する
  • ツールボックスの要素を構成する
  • 認証を構成する
  • ネットワーク保護を構成する

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


エンタープライズ ポリシーを構成する

ここでは、エンタープライズ ポリシーを構成する手順について説明します。

  • エンタープライズ ポリシーを作成する
  • エンタープライズ ポリシー ルールを作成する
  • エンタープライズ ポリシー ルールの順序を変更する

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


エンタープライズ ポリシーを作成する

エンタープライズ ポリシーを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[エンタープライズ ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
  2. [タスク] タブで、[新しいエンタープライズ ポリシーの作成] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 新規作成したエンタープライズ ポリシーには、既定の拒否ルールのみが含まれています。このルールは、このエンタープライズ ポリシーが適用されるアレイ レベルのファイアウォール ポリシー ルールの後で処理されます。エンタープライズ ルールの作成手順については、「エンタープライズ ポリシー ルールを作成する」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズ ポリシー ルールを作成する

エンタープライズ ポリシー ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、該当するエンタープライズ ポリシーをクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
    • <エンタープライズ ポリシー>
  2. [タスク] タブで、[エンタープライズ アクセス ルールの作成] をクリックします。
  3. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定では、最初に作成したエンタープライズ ポリシー ルールは、アレイ ルールの後に適用されます。他のエンタープライズ ポリシー ルールと同様に、このルールの処理順序を変更できます。手順については、「エンタープライズ ポリシー ルールの順序を変更する」を参照してください。
  • 既定のエンタープライズ ポリシー内には、エンタープライズ ルールを作成できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


エンタープライズ ポリシー ルールの順序を変更する

エンタープライズ ポリシー ルールの順序を変更するには

  1. [ISA Server の管理] のコンソール ツリーで、該当するエンタープライズ ポリシーをクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
    • <エンタープライズ ポリシー>
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールを上に移動] または [選択したルールを下に移動] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • エンタープライズ ポリシー ルールは、2 つのグループに分類されます。エンタープライズ ポリシーが適用されるアレイで構成されたファイアウォール ポリシー ルールの前に処理されるルールと、アレイ レベルのファイアウォール ポリシー ルールの後に処理されるルールです。エンタープライズ ポリシー ルールを別のグループに移して、アレイ レベルで有効なポリシーを変更できます。
  • エンタープライズ ルールは、エンタープライズ レベルでのみ作成および変更できます。アレイ レベルでは、アレイ レベルのファイアウォール ポリシー ルールのみを作成できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アクセス ルールを構成する

ここでは、アクセス ルールを構成する手順について説明します。ファイアウォール ポリシー ルールの一般的なプロパティの構成手順については、「ファイアウォール ポリシー ルールを構成する」を参照してください。

  • アクセス ルールを作成する
  • アクセス ルールの宛先ネットワーク オブジェクトを構成する
  • アクセス ルールのプロトコルを構成する
  • アクセス ルールのコンテンツを構成する
  • アクセス ルールの指定された送信元ポートを許可する


アクセス ルールを作成する

アクセス ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] (アレイ レベルのファイアウォール ポリシーの場合) または特定のエンタープライズ ポリシーをクリックします。

    場所 (アレイ レベルのファイアウォール ポリシーの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー

    場所 (エンタープライズ ポリシーの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
    • <エンタープライズ ポリシー>
  2. 次のいずれかの操作を行います。
    • アレイ レベルのファイアウォール ポリシーの場合は、[タスク] タブで、[アレイ アクセス ルールの作成] をクリックします。
    • 特定のエンタープライズ ポリシーの場合は、[タスク] タブで、[エンタープライズ アクセス ルールの作成] をクリックします。
  3. [新しいアクセス ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更の適用バーで [適用] をクリックすると、ポリシーが更新されます。新しいポリシーは、新しい接続にのみ適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アクセス ルールの宛先ネットワーク オブジェクトを構成する

アクセス ルールの宛先ネットワーク オブジェクトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク

    場所 (エンタープライズ ネットワークの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ネットワーク
  2. 詳細ウィンドウで、該当するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [宛先] タブで、[追加] をクリックします。
  5. [ネットワーク エンティティ] で、適切なネットワーク オブジェクトを選択し、[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 指定したネットワーク オブジェクトを除くすべてのネットワーク オブジェクトにルールを適用するには、下部にある [追加] ボタンをクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アクセス ルールのプロトコルを構成する

アクセス ルールのプロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] (アレイ レベルのファイアウォール ポリシーの場合) または特定のエンタープライズ ポリシーをクリックします。

    2. 場所 (アレイ レベルのファイアウォール ポリシーの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー

    場所 (エンタープライズ ポリシーの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
    • <エンタープライズ ポリシー>
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [プロトコル] タブで、次のいずれかの操作を行います。
    • ISA Server で明示的に定義されていないプロトコルがあっても、すべてのプロトコルにルールを適用する場合は、[すべての送信トラフィック] をクリックします。
    • 特定のプロトコルにのみルールを適用する場合は、[選択されたプロトコル] をクリックします。
    • 特定のプロトコル以外のすべての IP トラフィックにルールを適用する場合は、[選択された送信トラフィック以外のすべての送信トラフィック] をクリックします。
  5. [選択されたプロトコル] または [選択された送信トラフィック以外のすべての送信トラフィック] をクリックした場合は、[追加] をクリックし、1 つ以上のプロトコルを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アクセス ルールのコンテンツを構成する

アクセス ルールのコンテンツを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] (アレイ レベルのファイアウォール ポリシーの場合) または特定のエンタープライズ ポリシーをクリックします。

    場所 (アレイ レベルのファイアウォール ポリシーの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー

    場所 (エンタープライズ ポリシーの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
    • <エンタープライズ ポリシー>
  2. 詳細ウィンドウで、該当するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [コンテンツの種類] タブで、次のいずれかの操作を行います。
    • すべてのコンテンツにルールを適用するように指定する場合は、[すべてのコンテンツの種類] をクリックします。
    • 特定のコンテンツにのみルールを適用するように指定する場合は、[選択されたコンテンツの種類 (このオプションを選択すると、ルールが適用可能になるのは HTTP トラフィックのみです)] をクリックし、1 つ以上のコンテンツ グループをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [選択されたコンテンツの種類 (このオプションを選択すると、ルールが適用可能になるのは HTTP トラフィックのみです)] オプションを指定した場合、ルールは HTTP トラフィックにのみ適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アクセス ルールの指定された送信元ポートを許可する

アクセス ルールの指定された送信元ポートを許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [プロトコル] タブで、[ポート] をクリックします。
  5. 次のいずれかを選択します。
    • [送信元] ページで指定した、許可された送信元クライアント上の任意のポートからのトラフィックを許可する場合は、[許可された任意の送信元ポートからのトラフィックを許可する] をクリックします。
    • [送信元] ページで指定した、許可された送信元クライアント上のポートからのトラフィックのみを許可する場合は、[次の送信元ポートの範囲からのトラフィックに対してアクセスを制限する] をクリックします。次に、[開始] および [終了] に、許可される送信元ポートの範囲を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 制限できるのは、1 次接続の特定のポートからのアクセスのみです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web 公開ルールを構成する

ここでは、Web 公開ルールを構成する手順について説明します。ファイアウォール ポリシー ルールの一般的なプロパティの構成手順については、「ファイアウォール ポリシー ルールを構成する」を参照してください。

  • Web 公開ルールを作成する
  • セキュリティで保護された Web 公開ルールを作成する
  • 公開する Web サーバーの名前を構成する
  • Web 公開ルールのパブリック名を構成する
  • パス マッピングを構成する
  • Web 公開ルールの HTTP 要求をリダイレクトする方法を構成する
  • Web 公開ルールのリスナを構成する
  • 公開されたサーバーに資格情報を転送する
  • Web ページ内の絶対リンクを置換する
  • Web 公開ルールのリンク変換辞書エントリを追加する
  • リンク変換のコンテンツの種類を指定する

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web 公開ルールを作成する

Web 公開ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[Web サーバーの公開] をクリックします。
  3. [新しい Web 公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更の適用バーで [適用] をクリックすると、ポリシーが更新されます。新しいポリシーは、新しい接続にのみ適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


セキュリティで保護された Web 公開ルールを作成する

セキュリティで保護された Web 公開ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[セキュリティで保護された Web サーバーの公開] をクリックします。
  3. [新しい SSL Web 公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


公開する Web サーバーの名前を構成する

公開する Web サーバーの名前を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [公開先] タブの [サーバー] に、Web サイトが置かれているコンピュータ (Web サーバー) の名前または IP アドレスを入力します。
  5. 元のホストのヘッダー情報を転送する場合は、[元のホスト ヘッダーを、上で指定したサーバーに転送する] を選択します。ISA Server がホスト ヘッダー情報を転送すると、クライアント要求は公開されたコンピュータ上の特定のサイトにルーティングされます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web 公開ルールのパブリック名を構成する

Web 公開ルールのパブリック名を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [パブリック名] タブの [このルールの適用先] で、次のいずれかをクリックします。
    • [すべての要求]。指定した Web サーバーに対するすべての要求にルールを適用するときは、このオプションを選択します。
    • [以下の Web サイトへの要求]。サーバー上の特定の Web サイトにルールを適用するときは、このオプションを選択します。
  5. [以下の Web サイトへの要求] を選択した場合は、[追加] をクリックし、アクセスできる Web サイトの名前を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 1 つのルールでは 1 つの Web サイトのみを公開することをお勧めします。ある Web サイトに属する個人データが、同じパブリック名を使用して公開されている別の Web サイトにアクセスしたときに表示される可能性があるためです。
  • パブリック Web サイトは、ドメイン ネーム システム (DNS) に登録する必要があります。詳細については、「DNS Web サイトの登録」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


パス マッピングを構成する

パス マッピングを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [パス] タブで、[追加] をクリックします。
  5. テキスト ボックスに、公開された Web サーバー上のパスを入力します。
  6. 次のいずれかを選択します。
    • [公開されたフォルダと同じフォルダ]。要求内に指定されたパスが、公開された Web サーバー上のパスと同じになるようにします。
    • [次のフォルダ]。要求内に指定されたパスが、テキスト ボックスに指定したパスにマッピングされます。公開された Web サーバー上の要求のマッピング先となるパスを入力してください。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 要求のマッピング先となる内部パスを指定するときは、「/mypath/*」という形式を使用します。
  • パスにはワイルドカード文字を使用できません。たとえば、「mypath*/」や「/mypath*」は指定できません。
  • パス マッピングを構成する際、ファイル名を指定することは避けてください。ファイル名を指定すると、完全なパスに対する要求のみが処理されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web 公開ルールの HTTP 要求をリダイレクトする方法を構成する

Web 公開ルールの HTTP 要求をリダイレクトする方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ブリッジ] タブで、要求を FTP サーバーと Web サーバーのどちらに転送するかを選択します。次のいずれかを選択します。
    • [FTP サーバー]。このオプションを選択する場合は、テキスト ボックスに、要求のリダイレクト先となる FTP サーバー上のポートを入力します。
    • [Web サーバー]。
  5. [Web サーバー] を選択する場合は、次の操作を行います。
    • HTTP プロトコルを使用して HTTP 要求を Web サーバーに渡す場合は、[HTTP ポートに要求をリダイレクトする] をクリックします。
    • HTTPS を使用して HTTP 要求を Web サーバーに渡す場合は、[SSL ポートに要求をリダイレクトする] をクリックします。
  6. (省略可能) [SSL ポートに要求をリダイレクトする] をクリックした場合は、[SSL Web サーバーへの認証には証明書を使う]、[選択] の順にクリックして、使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [SSL ポートに要求をリダイレクトする] を選択した場合は、ISA Server コンピュータにより、公開された Web サーバーに対してセキュリティで保護された新たな制御チャネルが開きます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web 公開ルールのリスナを構成する

Web 公開ルールのリスナを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [リスナ] タブで、ドロップダウン リスト ボックスから該当するリスナを選択します。または、このルールに新しい Web リスナを作成する場合は、[新規作成] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セキュリティ上の理由により、Outlook Web Access の公開用に構成した Web リスナは他の公開シナリオに使用しないことをお勧めします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


公開されたサーバーに資格情報を転送する

公開されたサーバーに資格情報を転送するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ユーザー] タブで、[基本認証の資格情報を転送する (基本委任)] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web ページ内の絶対リンクを置換する

Web ページ内の絶対リンクを置換するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [リンクの変換] タブで、[Web ページ内の絶対リンクを置換する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、リンクの変換辞書が自動的に作成されます。ほとんどの場合、既定の辞書にエントリを追加する必要はありません。
  • ISA Server は、内部コンピュータ名などの HTML ドキュメントの文字列に対してのみリンクの変換を行います。HTML ドキュメントの文字列は、UCS Transformation Format 8 (UTF-8) 形式で指定されています。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web 公開ルールのリンク変換辞書エントリを追加する

Web 公開ルールのリンク変換辞書エントリを追加するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [リンクの変換] タブで、[Web ページ内の絶対リンクを置換する] をクリックします。
  5. [追加] をクリックします。
  6. [検索する文字列] に、文字列を入力します。リンク変換 Web フィルタは、公開された内部 Web サイトでこの文字列を検索します。
  7. [置換する文字列] に、クライアントに返す応答ページで対象の文字列を置換するためにリンク変換 Web フィルタが使用する文字列を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 通常、[検索する文字列] に指定する名前には、外部クライアントがアクセスできない内部サイトおよび内部サーバーの名前を使用します。
  • 通常、[置換する文字列] に指定する名前には、ISA Server の完全修飾ドメイン名 (FQDN) など、外部クライアントがアクセスできる名前を使用します。
  • クライアントが変換可能な HTML ページの範囲を要求した場合、URL は変換されません。そのため、クライアントへの応答は、元のサーバーの応答の範囲となります。
  • リンク変換辞書で指定されるすべてのエントリは明示的でなければなりません。たとえば、http://myInternal を http://www.microsoft.com にマップするエントリでは、http://myInternal:8080 は http://www.microsoft.com:8080 にマップされません。
  • 多数のエントリがあり、変換を必要とする多数のリンクを含む Web サイトに適用される辞書は、ISA Server のパフォーマンスに悪影響を及ぼすおそれがあります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


リンク変換のコンテンツの種類を指定する

リンク変換のコンテンツの種類を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [リンクの変換] タブで、[Web ページ内の絶対リンクを置換する] をクリックします。
  5. [コンテンツの種類] をクリックします。
  6. [コンテンツの種類] タブの [選択されたコンテンツの種類] で、コンテンツの種類をクリックします (複数可)。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定では、リンク変換は HTML コンテンツ、つまり text/html、text/css、および text/webviewhtml にのみ適用されます。
  • コンテンツ グループに含まれている MIME の種類およびファイルの種類を参照するには、コンテンツ グループのプロパティを参照します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー公開ルールを構成する

ここでは、サーバー公開ルールを構成する手順について説明します。ファイアウォール ポリシー ルールの一般的なプロパティの構成手順については、「ファイアウォール ポリシー ルールを構成する」を参照してください。

  • サーバー公開ルールを作成する
  • メール サーバーを公開する
  • サーバー公開ルールのプロトコルを構成する
  • サーバー公開ルールのネットワーク リスナを構成する
  • サーバー公開ルールの既定のポートを上書きする

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


サーバー公開ルールを作成する

サーバー公開ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[新しいサーバー公開ルールの作成] をクリックします。
  3. [新しいサーバー公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 詳細ウィンドウの [適用] をクリックすると、ポリシーが更新されます。新しいポリシーは、新しい接続にのみ適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


メール サーバーを公開する

メール サーバーを公開するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[メール サーバーの公開] をクリックします。
  3. [新しいメール サーバー公開ルール ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー公開ルールのプロトコルを構成する

サーバー公開ルールのプロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するサーバー公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [トラフィック] タブで、サーバー公開ルールを適用するプロトコル (ネットワーク トラフィック) を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー公開ルールのネットワーク リスナを構成する

サーバー公開ルールのネットワーク リスナを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するサーバー公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ネットワーク] タブで、ISA Server がクライアント要求をリッスンするネットワーク アダプタを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ルールが機能するためには、公開ルール プロパティの [送信元] タブで指定したトラフィックの送信元 (ネットワーク エンティティ) が、ネットワーク リスナとして選択したネットワークに含まれている必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー公開ルールの既定のポートを上書きする

サーバー公開ルールの既定のポートを上書きするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [トラフィック] タブで、[ポート] をクリックします。
  5. [ファイアウォールのポート] で、次のいずれかを選択します。
    • [プロトコル定義で定義されている既定のポートを使って公開する]。このオプションを選択すると、ISA Server は既定のポートで着信方向のクライアント要求を受け付けます。
    • [既定のポートではなく、次のポートで公開する]。このオプションを選択すると、ISA Server は既定のポート以外のポートで着信方向のクライアント要求を受け付けます。代替のポートを選択すると、ISA Server は、公開されたサービスに対するクライアント要求を標準ではないポートで受信し、公開されたサーバー上の指定のポートに転送します。
  6. [公開されたサーバーのポート] で、次のいずれかを選択します。
    • [公開されたサーバーの既定のポートに要求を送信する]。このオプションを選択すると、ISA Server はプロトコル定義に従って、公開されたサービスへの要求を既定のポートで受け付けます。
    • [公開されたサーバーの次のポートに要求を送信する]。このオプションを選択すると、ISA Server は既定のポート以外のポートで公開されたサービスへの要求を受け付けます。
  7. [送信元ポート] で、次のいずれかを選択します。
    • [許可された任意の送信元ポートからのトラフィックを許可する]。このオプションを選択すると、ISA Server は許可されたクライアント コンピュータ上の任意のポートからの要求を受け付けます。
    • [次の送信元ポートの範囲からのトラフィックに対してアクセスを制限する]。このオプションを選択すると、ISA Server は指定したポートからの要求のみを受け付けます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のすべてのファイアウォール ポリシー ルールに共通するプロパティの構成手順について説明します。

  • ファイアウォール ポリシー ルールの動作を構成する
  • ファイアウォール ポリシー ルールのユーザーを構成する
  • ファイアウォール ポリシー ルールのスケジュールを構成する
  • ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成する
  • ファイアウォール ポリシー ルールのプロキシ要求を構成する
  • ファイアウォール ポリシー ルールのアプリケーション フィルタを構成する
  • ファイアウォール ポリシー ルールの順序を変更する
  • ファイアウォール ポリシー ルールを削除する
  • ファイアウォール ポリシー ルールを無効にする


ファイアウォール ポリシー ルールの動作を構成する

ファイアウォール ポリシー ルールの動作を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、次のいずれかの操作を行います。
    • クライアント アクセスを許可するには、[許可する] をクリックします。
    • クライアント アクセスを拒否するには、[拒否する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アクセス ルールについては、サイトへのアクセスを拒否するように選択した場合、[この Web ページへの HTTP 要求のリダイレクト] チェック ボックスをオンにして、クライアント要求をリダイレクトする代替 URL を指定することもできます。次の点に注意してください。
    • 指定する URL は、クライアントまたはユーザーからアクセス可能でなければなりません。または、その URL は内部コンピュータ上のものでなければなりません。そうでない場合は、ルールで URL へのアクセスを明示的に許可する必要があります。
    • 要求のリダイレクト先を指定する場合に、別の場所を指定するには、「http://<URL>」と入力します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールのユーザーを構成する

ファイアウォール ポリシー ルールのユーザーを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールまたはアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [ユーザー] タブで、[追加] をクリックします。
  5. [ユーザー セット] で、該当するユーザー セットを選択し、[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 指定したユーザー セットを除くすべてのユーザーにルールを適用するには、下部にある [追加] ボタンをクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールのスケジュールを構成する

ファイアウォール ポリシー ルールのスケジュールを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する Web 公開ルールまたはアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [スケジュール] タブの [スケジュール] で、適用するスケジュールを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • スケジュールを構成して、特定の時間に限って適用されるようルールを変更した場合、そのルールが適用されるのは新しい接続のみです。既存の接続からのトラフィックは、許可された時間外でも引き続き通過します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成する

ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [送信元] タブで、[追加] をクリックします。
  5. [ネットワーク エンティティ] で、適切なネットワーク オブジェクトを選択し、[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 指定したネットワーク オブジェクトを除くすべてのネットワーク オブジェクトにルールを適用するには、下部にある [追加] ボタンをクリックします。
  • Web 公開ルールの場合、ルールが適用されるのは、指定したネットワーク オブジェクトのうち、ルールに適用した Web リスナに指定されているネットワークに属するものだけです。詳細については、「Web リスナ」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールのプロキシ要求を構成する

ファイアウォール ポリシー ルールのプロキシ要求を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当する公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [公開先] タブで、次のいずれかを選択します。
    • [ISA Server コンピュータからの要求にする]。このオプションを選択すると、要求を行っている IP アドレスが、ISA Server コンピュータとして見えるようになります。要求を行っているクライアントのアドレスを隠します。
    • [元のクライアントからの要求にする]。このオプションを選択すると、要求を行っている IP アドレスが、クライアントとして見えるようになります。アプリケーションの一部は、要求している本当のクライアントによる実際の識別を必要とします。これらのアプリケーションを公開するときは、要求しているクライアント (送信元クライアント) の IP アドレスで要求が転送されるように、ISA Server を構成できます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [元のクライアントからの要求にする] オプションを選択した場合、ISA Server を、公開された Web サーバーに対するゲートウェイとして構成する必要があります。または、元のクライアントの IP アドレスに対するデフォルト ゲートウェイとして ISA Server を構成することもできます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールのアプリケーション フィルタを構成する

ファイアウォール ポリシー ルールのアプリケーション フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [プロトコル] タブで、[フィルタ] をクリックし、次のいずれかを選択します。
    • HTTP フィルタを構成する場合は、[HTTP の構成] をクリックします。
    • RPC フィルタを構成する場合は、[RPC プロトコルの構成] をクリックします。これはアクセス ルールにのみ適用されます。
    • FTP フィルタを構成する場合は、[FTP の構成] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ルールが特定のプロトコルに適用される場合は、アプリケーション フィルタのみを構成できます。
    • HTTP フィルタ。このルールは HTTP に適用します。
    • RPC フィルタ。このルールは RPC プロトコルに適用します。
    • FTP フィルタ。このルールは FTP に適用します。
  • トラフィックを拒否するファイアウォール ポリシー ルールのアプリケーション フィルタを構成することはできません。これは、[プロトコル] タブの [例外] 一覧で指定されているプロトコルにも該当します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールの順序を変更する

ファイアウォール ポリシー ルールの順序を変更するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールを上に移動] または [選択したルールを下に移動] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定のファイアウォール ポリシー ルールは、常にファイアウォール ポリシー ルールの最下位になります。
  • システム ポリシー ルールは、すべてのファイアウォール ポリシー ルールより先に処理されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールを削除する

ファイアウォール ポリシー ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールをクリックします。
  3. [タスク] タブで、[選択したルールの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定のファイアウォール ポリシー ルール ([既定のルール]) は削除できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール ポリシー ルールを無効にする

ファイアウォール ポリシー ルールを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するルールを選択します。
  3. [タスク] タブで、[選択したルールの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 隣接する複数のルールを選択するには、選択範囲の最初のルールをクリックし、Shift キーを押しながら最後の項目をクリックします。
  • 隣接しない複数のルールを選択するには、いずれかのルールをクリックし、Ctrl キーを押しながら他の項目をクリックします。
  • ルールを無効にすると、接続の試行はすべて拒否されます。ただし、ISA Server が使用中の接続を閉じることはありません。アクティブな接続を終了するには、関連するセッションを切断します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ルールごとのフィルタを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 でファイアウォール ポリシー ルールのルールごとのフィルタを構成する手順について説明します。

  • FTP フィルタを構成する
  • HTTP フィルタを構成する
  • RPC フィルタを構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


FTP フィルタを構成する

FTP フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、FTP トラフィックに適用するサーバー公開ルールまたはアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. サーバー公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[FTP の構成] の順にクリックします。
  5. FTP のアップロードをブロックする場合は、[プロトコル] タブで、[読み取り専用] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


HTTP フィルタを構成する

ここでは、HTTP を使用するファイアウォール ポリシー ルールの HTTP (ハイパーテキスト転送プロトコル) フィルタを構成する手順について説明します。

  • HTTP 要求におけるヘッダーの最大サイズを制限する
  • 要求のペイロード長を制限する
  • 要求で指定できる URL を制限する
  • Windows 実行可能ファイルを含む応答をブロックする
  • 指定した HTTP メソッドをブロックする
  • 指定した HTTP 拡張子をブロックする
  • 指定した HTTP ヘッダーをブロックする
  • HTTP ヘッダーが返される方法を指定する
  • HTTP VIA ヘッダーが転送または返される方法を指定する
  • 指定した HTTP 署名をブロックする

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


HTTP 要求におけるヘッダーの最大サイズを制限する

HTTP 要求におけるヘッダーの最大サイズを制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブの [ヘッダーの最大長] に、ブロックされるまでに要求のヘッダー (URL およびヘッダー) に含めることができる最大バイト数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この設定は、HTTP フィルタが適用されるすべてのルールに共通です。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


要求のペイロード長を制限する

要求のペイロード長を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブで、[すべてのペイロード長を許可する] が選択されていないことを確認します。
  6. [ペイロードの最大長 (バイト)] に、要求で許可する最大ペイロード長を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ペイロード長に関係なく要求を許可するには、[すべてのペイロード長を許可する] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


要求で指定できる URL を制限する

要求で指定できる URL を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブで、次の操作を行います。
    • [URL の最大長] に、許可する最大 URL 長を入力します。この値を超える URL が含まれている要求はブロックされます。
    • [クエリの最大長] に、要求で許可するクエリの最大長を入力します。この値を超えるクエリが含まれている要求はブロックされます。
    • 正規化後エスケープ文字を含む URL をブロックするよう指定するには、[正規化を検証する] を選択します。
    • ハイビット文字を含む URL をブロックするよう指定するには、[ハイビット文字をブロックする] を選択します。

重要

  • [ハイビット文字をブロックする] を選択した場合、DBCS または Latin 1 文字を含む URL はブロックされます。これは、Outlook Web Access の公開、SharePoint Portal Server の公開、および GET 要求が 2 バイト文字セットの文字を含むパラメータを渡す場合などに影響する可能性があります。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Windows 実行可能ファイルを含む応答をブロックする

Windows 実行可能ファイルを含む応答をブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [全般] タブで、[Windows 上で実行可能なコンテンツを含む応答をブロックする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、ダウンロードしたバイナリ ファイルの先頭に "MZ" という語が含まれる応答がブロックされます。たとえば、.exe ファイルはすべてブロックされますが、.com ファイルや .pif ファイルはブロックされません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


指定した HTTP メソッドをブロックする

指定した HTTP メソッドをブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [メソッド] タブで、次のいずれかを選択します。
    • [すべての方法を許可する]。メソッドをブロックしない場合に選択します。
    • [指定された方法のみを許可する]。特定のメソッドの要求のみを許可する場合に選択します。
    • [指定された方法をブロックする (その他すべてを許可する)]。指定したメソッドの要求を除くすべての要求を許可する場合に選択します。
  6. [指定された方法のみを許可する] または [指定された方法をブロックする (その他すべてを許可する)] を選択した場合は、[追加] をクリックし、[メソッド] に HTTP メソッドを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


指定した HTTP 拡張子をブロックする

指定した HTTP 拡張子をブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [拡張子] タブで、次のいずれかを選択します。
    • [すべての拡張子を許可する]。拡張子をブロックしない場合に選択します。
    • [指定した拡張子のみを許可する]。特定の拡張子の要求のみを許可する場合に選択します。
    • [指定した拡張子をブロックする (他はすべて許可する)]。指定した拡張子の要求を除くすべての要求を許可する場合に選択します。
  6. [指定した拡張子のみを許可する] または [指定した拡張子をブロックする (他はすべて許可する)] を選択した場合は、[追加] をクリックし、[拡張子] に HTTP 拡張子を入力します。
  7. ファイル拡張子を特定できない要求もブロックする必要がある場合は、[あいまいな拡張子を含む要求をブロックする] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


指定した HTTP ヘッダーをブロックする

指定した HTTP ヘッダーをブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [ヘッダー] タブで、[追加] をクリックします。
  6. [検索対象] で、[要求ヘッダー] または [応答ヘッダー] を選択します。
  7. [HTTP ヘッダー] に、ブロックするヘッダーを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • : (コロン) から最後の改行文字 (CRLF) までが、ヘッダー長としてカウントされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


HTTP ヘッダーが返される方法を指定する

HTTP ヘッダーが返される方法を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [ヘッダー] タブの [サーバー ヘッダー] で、次のいずれかを選択します。
    • [元のヘッダーを送信する]。ISA Server は、応答に元のヘッダーを入れて返します。
    • [応答からヘッダーを削除する]。ISA Server は、応答にヘッダーを入れずに返します。
    • [応答のヘッダーを変更する]。ISA Server は、応答に変更したヘッダーを入れて返します。
      このオプションを選択した場合は、応答で返す値を [変更後のヘッダー] に入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web サーバーを公開するときは、[応答からヘッダーを削除する] を選択することをお勧めします。Windows Media サーバーを公開するときは、このオプションは選択しないようにしてください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


HTTP VIA ヘッダーが転送または返される方法を指定する

HTTP VIA ヘッダーが転送または返される方法を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [ヘッダー] タブの [ヘッダー経由] で、次のいずれかを選択して、要求での Via ヘッダーの転送方法、または応答での Via ヘッダーの返送方法を構成します。
    • [既定のヘッダーを送信する]。既定のヘッダーを使用します。
    • [要求と応答のヘッダーを変更する]。ISA Server が Via ヘッダーを変更されたヘッダーに置き換えます。このオプションを選択した場合は、Via ヘッダーの代わりに表示するヘッダーを [変更後のヘッダー] に入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


指定した HTTP 署名をブロックする

指定した HTTP 署名をブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、該当するアクセス ルールまたは Web 公開ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. Web 公開ルールの場合は [トラフィック] タブで、アクセス ルールの場合は [プロトコル] タブで、それぞれ [フィルタ]、[HTTP の構成] の順にクリックします。
  5. [署名] タブで、[追加] をクリックします。
  6. [署名] ページで、次の操作を行います。
    • [名前] に、署名の識別に使用する名前を入力します。
    • [検索対象] で、[要求 URL]、[要求ヘッダー]、[要求本文]、[応答ヘッダー]、または [応答本文] を選択します。
    • [署名] に、選択した要求ヘッダー、要求本文、応答ヘッダー、または応答本文で検出されたときにブロックする署名の文字列を入力します。
    • [要求本文] または [応答本文] を選択した場合は、[開始] および [終了] に、検索する本文の範囲を入力します。
    • [要求本文] または [応答本文] を選択した場合は、[形式] で [テキスト] または [バイナリ] を選択して、検索文字列の形式を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 要求本文または応答本文で署名を検索するよう指定した場合は、パフォーマンス上の理由から、検索するバイト範囲 ([開始] および [終了] で指定する範囲) を小さくすることをお勧めします。
  • 特定の署名をブロックすると、HTTP 上のトラフィックをトンネリングし、かつ要求ヘッダー、要求本文、応答ヘッダー、および応答本文の特定のパターン (Windows Messenger など) によって特徴付けることのできるアプリケーションを基本的にブロックすることになります。HTTP 署名のブロックでは、種類の異なるコンテンツエンコードまたは範囲要求を使用するアプリケーションはブロックされません。
  • テキスト形式の署名のブロックを実行するには、すべての HTTP 要求と応答が UTF-8 方式でエンコードされている必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


RPC フィルタを構成する手順

RPC フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、リモート プロシージャ コール (RPC) トラフィックに適用するアクセス ルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. アクセス ルールの [プロトコル] タブで、[フィルタ]、[RPC プロトコルの構成] の順にクリックします。
  5. RPCプロトコルが許可されていない場合は、[プロトコル] タブで [厳密な RPC 互換性を適用] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク間にルート ネットワーク関係が設定されている RPC インターフェイスを公開する場合、ポートの上書きは無視されます。公開ルールでは、元の IP アドレスまたはポートが使用されます。
  • [厳密な RPC 互換性を適用] オプションを無効にすると、DCOM トラフィックおよびその他の RPC プロトコルが許可されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


システム ポリシーを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のシステム ポリシーを構成する手順について説明します。

  • システム ポリシー構成グループを有効にする
  • システム ポリシー ルールの宛先を編集する
  • システム ポリシー ルールを表示する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


システム ポリシー構成グループを有効にする

システム ポリシー構成グループを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[システム ポリシーの編集] をクリックします。
  3. [構成グループ] で、該当する構成グループを選択します。
  4. [全般] タブで、[有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


システム ポリシー ルールの宛先を編集する

システム ポリシー ルールの宛先を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[システム ポリシーの編集] をクリックします。
  3. システム ポリシー エディタの [送信元] タブで [追加] をクリックします。
  4. [ネットワーク エンティティ] で、ネットワーク オブジェクトを選択します。[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 宛先を変更するには、一覧で宛先をクリックし、[編集] をクリックします。
  • 宛先を削除するには、一覧で宛先をクリックし、[削除] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


システム ポリシー ルールを表示する

システム ポリシー ルールを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [タスク] タブで、[システム ポリシー ルールの表示] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ツールボックスの要素を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のツールボックスの要素を作成および構成する手順について説明します。

  • コンテンツの種類を作成する
  • プロトコルを作成する
  • プロトコルにアプリケーション フィルタを適用する
  • スケジュールを作成する
  • URL セットを作成する
  • ドメイン名セットを作成する
  • ユーザー セットを作成する
  • Web リスナを構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


コンテンツの種類を作成する

コンテンツの種類を作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] (アレイ レベルのコンテンツの種類の場合) または [エンタープライズ ポリシー] (エンタープライズ レベルのコンテンツの種類の場合) をクリックします。

    場所 (エンタープライズ レベルのコンテンツの種類の場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー

    場所 (アレイ レベルのコンテンツの種類の場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[コンテンツの種類] をクリックします。
  3. [コンテンツの種類] の下のツール バーで、[新規作成] をクリックします。
  4. [名前] に、コンテンツの種類の名前を入力します。
  5. (省略可能) [説明] に、コンテンツの種類の説明を入力します。
  6. [利用できる種類] で、次のいずれかの操作を行います。
    • 既存のコンテンツの種類を選択するには、ファイル名拡張子または Multipurpose Internet Mail Extensions (MIME) の種類をクリックします。
    • 新しいコンテンツの種類を追加するには、新しいファイル名拡張子または MIME の種類を入力します。
  7. [追加] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツの種類を作成する場合、コンテンツの MIME の種類とファイル名拡張子を指定することをお勧めします。
  • コンテンツの種類を構成する際、MIME の種類を指定するときに、アスタリスク (*) をワイルドカード文字として使用できます。たとえば、すべてのアプリケーションの種類を含めるには、「application/*」と入力します。アスタリスク ワイルドカード文字は、MIME の種類でのみ使用できます。ファイル拡張子では使用できません。アスタリスクは、MIME の種類の最後の部分でスラッシュ (/) の後に 1 回だけ指定できます。
  • コンテンツの種類からファイル名拡張子または MIME の種類を削除するには、[選択された種類] でファイル名拡張子または MIME の種類をクリックし、[削除] をクリックします。
  • アレイ レベルのコンテンツの種類は、アレイ レベルのアクセス ルールにのみ使用できます。
  • エンタープライズ レベルのコンテンツの種類は、アレイ レベルでは変更できません。また、これらを変更するには、エンタープライズ管理者のアクセス許可が必要です。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


プロトコルを作成する

プロトコルを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] (アレイ レベルのプロトコルの場合) または [エンタープライズ ポリシー] (エンタープライズ レベルのプロトコルの場合) をクリックします。

    場所 (エンタープライズ レベルのプロトコルの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー

    場所 (アレイ レベルのプロトコルの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[プロトコル] をクリックします。
  3. [プロトコル] の下のツール バーで、[新規作成]、[プロトコル] の順にクリックします。
  4. [新しいプロトコルの定義ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • プロトコルを作成したら、1 つまたは複数のアプリケーション フィルタをプロトコルに適用できます。アプリケーション フィルタを適用すると、フィルタによって別のフィルタ機能が実行されます。
  • エンタープライズ レベルで定義または変更したプロトコルは、アレイ レベルのルールで使用できます。ただし、これらのエンタープライズ レベルのプロトコルは、アレイ レベルでは変更できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


プロトコルにアプリケーション フィルタを適用する

プロトコルにアプリケーション フィルタを適用するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[プロトコル] をクリックします。
  3. 該当するフォルダを展開し、該当するプロトコルを選択します。[プロトコル] の下のツール バーで、[編集] をクリックします。
  4. [パラメータ] タブの [アプリケーション フィルタ] で、プロトコルに適用するフィルタを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アプリケーション フィルタを適用すると、フィルタによって別のフィルタ機能が実行されます。
  • 通常プロトコルに適用するアプリケーション フィルタを無効にすると、すべてのアプリケーション フィルタ機能が無効になります。たとえば、HTTP プロトコルの Web プロキシ フィルタを無効にすると、そのプロトコルのすべてのキャッシュおよびプロキシが無効になります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


スケジュールを作成する

スケジュールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[スケジュール] をクリックします。
  3. [スケジュール] の下のツール バーで、[新規作成] をクリックします。
  4. [名前] に、スケジュールの名前を入力します。
  5. (省略可能) [説明] に、スケジュールの説明を入力します。
  6. スケジュール テーブルを使用してスケジュールを設定します。
    • 特定の日の特定の時間を選択するには、セルをクリックします。
    • 1 日全体を選択するには、左側の列で対象の日をクリックします。
    • すべての日の同じ時間を選択するには、1 行目で対象の時間をクリックします。
  7. 選択した時間帯にルールを有効にするには、[アクティブ] をクリックします。選択した時間を無効にするには、[非アクティブ] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • テーブル内の暗いセルは、その日のその時間帯にルールが有効であることを示します。白いセルは、ルールが無効であることを示します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


URL セットを作成する

URL セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [ネットワーク オブジェクト] の下のツール バーで、[新規作成]、[URL セット] の順にクリックします。
  4. [名前] に、URL セットの名前を入力します。
  5. [新規作成] をクリックして、URL セットに含める URL を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server では、ルールに構成された URL セットを確認する際、疑問符 (?) の後のテキストは無視されます。URL セットに疑問符付きの URL が含まれる場合、その URL は無視されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ドメイン名セットを作成する

ドメイン名セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [ネットワーク オブジェクト] の下のツール バーで、[新規作成]、[ドメイン名セット] の順にクリックします。
  4. [名前] に、ドメイン名セットの名前を入力します。
  5. [新規作成] をクリックして、ドメイン名セットに含めるドメインを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ドメイン名を指定するときは、アスタリスク (*) を使用してコンピュータのセットを指定できます。たとえば、microsoft.com ドメイン内のすべてのコンピュータを指定するには、ドメイン名として「*.microsoft.com」と入力します。アスタリスクはドメイン名の先頭に 1 つしか使用できません。
  • ドメイン名を指定するときは、完全修飾ドメイン名 (FQDN) を使用してコンピュータ名を指定します。たとえば、「//<コンピュータ名>」ではなく「<コンピュータ名>.microsoft.com」と入力します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ユーザー セットを作成する

ユーザー セットを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ユーザー] をクリックします。
  3. [ユーザー] の下のツール バーで、[新規作成] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • RADIUS 認証または SecurID 認証を使用する場合、ISA Server は、ユーザーから渡された資格情報と [ユーザー] タブで指定された文字列を比較します。
    たとえば、<ドメイン>\<ユーザー> のみを含むユーザー セットにルールを適用する場合、ユーザーが <ユーザー>@<ドメイン> として資格情報を渡したときは、ISA Server はこのルールをユーザーに適用しません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ドメイン名セットを変更する

ドメイン名セットを変更するには

  1. [ISA Server の管理] のコンソール ツリーで、エンタープライズ レベルのドメイン名セットの場合は [エンタープライズ ポリシー] を、アレイ レベルのドメイン名セットの場合は [ファイアウォール ポリシー] をクリックします。

    場所 (エンタープライズ レベルのドメイン名セットの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー

    場所 (アレイ レベルのドメイン名セットの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. 該当するドメイン名セットを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [新規作成] をクリックし、ドメイン名を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ドメイン名セットにルールを適用すると、指定されたドメイン名セットと要求が一致するかどうかが ISA Server によってチェックされます。ISA Server では、ポート番号も含めて、指定した名前と完全に一致するかどうかがチェックされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


コンピュータ セットを変更する

コンピュータ セットを変更するには

  1. [ISA Server の管理] のコンソール ツリーで、エンタープライズ レベルのコンピュータ セットの場合は [エンタープライズ ポリシー] を、アレイ レベルのコンピュータ セットの場合は [ファイアウォール ポリシー] をクリックします。

    場所 (エンタープライズ レベルのコンピュータ セットの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー

    場所 (アレイ レベルのコンピュータ セットの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. 該当するコンピュータ セットを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. このセットに新しいコンピュータを追加するには、[追加]、[コンピュータ] の順にクリックします。
  6. [名前] に、コンピュータ セットの名前を入力します。
  7. [コンピュータの IP アドレス] に、このセットに含めるコンピュータの IP アドレスを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web リスナを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 の Web リスナを構成する手順について説明します。

  • Web リスナを作成する
  • Web リスナが HTTP または SSL をリッスンするよう構成する
  • 許可する同時接続の最大数を構成する
  • RSA SecurID を構成する
  • Outlook Web Access のフォームベース認証を構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web リスナを作成する

Web リスナを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [ネットワーク オブジェクト] の下のツール バーで、[新規作成]、[Web リスナ] の順にクリックします。
  4. [新しい Web リスナの定義ウィザード] で、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web リスナが HTTP または SSL をリッスンするよう構成する

Web リスナが HTTP または SSL をリッスンするよう構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] を展開し、該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. ISA Server が HTTP 要求をリッスンするように構成する場合は、[基本設定] タブで [HTTP を有効にする] を選択します。
    [HTTP ポート] に、ISA Server が要求をリッスンするポートの番号を入力します。
  6. ISA Server が SSL (Secure Sockets Layer) をリッスンするように構成する場合は、[SSL を有効にする] を選択します。
    [SSL ポート] に、ISA Server が SSL 要求をリッスンするポートの番号を入力します。
  7. [SSL を有効にする] を選択した場合は、[選択] をクリックして、SSL 要求に使用する証明書を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 着信方向の Web 要求に対する既定の HTTP ポート番号は 80 です。発信方向の Web 要求に対する既定のポート番号は 8080 です。
  • ほとんどの Web ブラウザは、ポート 443 だけを SSL 要求に使用できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


許可する同時接続の最大数を構成する

許可する同時接続の最大数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] を展開し、該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[詳細設定] を選択します。
  6. [詳細設定] で、次のいずれかを選択します。
    • [無制限]。サーバーに同時接続するクライアントの数を無制限に許可します。
    • [サーバーごとの最大数]。サーバーに同時接続できるクライアントの最大数を制限します。
      接続の最大数を入力してください。
  7. [詳細設定] の [接続タイムアウト] に、サーバーが非アクティブ ユーザーを切断するまでの秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


RSA SecurID を構成する

ここでは、RSA SecurID 認証を構成する手順について説明します。

  • RSA SecurID の認証を使用するよう Web リスナを構成する
  • RSA SecurID の認証でドメイン Cookie を有効にする
  • ドメイン シークレットをエクスポートする
  • タイムアウト期間の経過後アイドル Cookie を有効期限切れにする
  • 検証時にブラウザの IP アドレスを無視する
  • 保護されたページをキャッシュしない
  • 名前のロックを有効にする


RSA SecurID の認証を使用するよう Web リスナを構成する

RSA SecurID の認証を使用するよう Web リスナを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. [メソッド] で、[SecurID] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • RSA SecurID 認証を選択した場合、他の認証方法は選択できません。
  • RSA SecurID® 認証を使用すると、ユーザー要求すべてが、Web プロキシ ログの cs-username フィールドの SecurID ログオン名で記録されます。
  • RSA SecurID 認証で認証されたユーザーからの要求は、クライアントのユーザー名フィールドで、プレフィックス "(SecurID)" によって識別できます。たとえば、(SecurID)Eitan のように表示されます。
  • ISA Server が複数のネットワーク アダプタで構成されている場合に、RSA SecurID 認証に対応する Web リスナを作成するときは、ISA Server が認証のために RSA ACE/Server に接続する際に経由するネットワーク アダプタ アドレスを明示的に構成する必要があります。そうしないと、認証が必要な要求が、このリスナを使用する Web 公開ルールで予期したとおりに処理されない可能性があります。この IP アドレスは、レジストリ キー HKEY_LOCAL_MACHINE\SOFTWARE\SDTI\AceClient\PrimaryInterfaceIP に文字列値として指定します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


RSA SecurID の認証でドメイン Cookie を有効にする

RSA SecurID の認証でドメイン Cookie を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[ドメイン構成の管理] をクリックします。
  6. [ドメイン Cookie 有効にする] をクリックします。
  7. [ドメイン名] に、Cookie を有効にするドメインの完全修飾 DNS 名を入力します。
  8. [Cookie 名] に、mscookie など、ドメインの Cookie の名前を入力します。
  9. [ドメイン シークレットの管理] をクリックして、ドメイン シークレットを作成、インポート、またはエクスポートします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 手順 7 でドメイン名を指定する際には、少なくとも 2 つのレベルを指定します。たとえば、「.Microsoft.com」および「.sales.Microsoft.com」は有効なエントリです。しかし、「.com」は有効なエントリではありません。
  • Cookie 名は、最大 30 文字です。文字、数字、ハイフン、およびアンダースコアを自由に組み合わせて使用できます。空白スペースや特殊文字は使用しないでください。
  • 既定では、SecurID Web フィルタによって配布される Cookie は、発行対象の Web リスナでのみ有効です。複数の公開ルールで有効な Cookie を発行するには、ドメイン Cookie を有効にします。
  • ドメイン Cookie を有効にした場合、WWW DNS ドメイン内の他のサーバーへのリンクを参照する際にショートカットを使用しないでください。ドメイン Cookie が正常に機能するには、URL で完全修飾ドメイン名 (FQDN) を使用する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ドメイン シークレットをエクスポートする

ドメイン シークレットをエクスポートするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[ドメイン構成の管理] をクリックします。
  6. [ドメイン Cookie を有効にする] をクリックします。
  7. [ドメイン シークレットの管理] をクリックします。
  8. [他のサーバーまたはリスナへドメイン シークレットをエクスポートする]、[OK] の順にクリックします。
  9. リムーバブル メディアが配置されている対象のドライブを選択し、[保存] をクリックしてドメイン シークレット ファイル (Domain.sdi) をメディアに保存します。
  10. [パスワード] と [確認入力] に、ドメイン シークレット ファイルを保護するパスワードを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ドメイン シークレットをインポートするには、[他のサーバーまたはリスナからドメイン シークレットをインポートする] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


タイムアウト期間の経過後アイドル Cookie を有効期限切れにする

タイムアウト期間の経過後アイドル Cookie を有効期限切れにするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[指定された時間が経過すると、Cookie は必ず期限切れとなる] をクリックします。
  6. [有効期限] に、アイドル Cookie を有効期限切れにするまでの時間を分単位で入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 使用されていない Cookie を有効期限切れにするには、[指定された時間内に使用されなかった Cookie は期限切れとなる] をクリックします。
  • 最小有効期限は 1 分です。有効期限の上限は 1440 分 (1 日) です。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


検証時にブラウザの IP アドレスを無視する

検証時にブラウザの IP アドレスを無視するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[Cookie の検証時にブラウザの IP アドレスを無視する] が選択されていないことを確認します。

重要

  • Cookie の保護を強化する別の方法として、Cookie の有効期限を最小限に設定する方法があります。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを有効にすると、Cookie がクライアントの IP アドレスを保持して署名するので、1 人のユーザーが別の IP アドレスから同じ Cookie を使用できなくなります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


保護されたページをキャッシュしない

保護されたページをキャッシュしないようにするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[クライアントで保護されたページをキャッシュしない] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 3.01 より前のバージョンの Microsoft Internet Explorer では、キャッシュ サイズを 0 に設定しても、この機能はサポートされません。保護されたページをキャッシュしない Internet Explorer Web ブラウザでは、ユーザーがこの設定を有効にしないようにしてください。保護されたリソースからユーザーがファイルをダウンロードした場合や、それらのファイルのアプリケーションを実行しようとした場合、ユーザーのコンピュータ上のキャッシュにファイルがダウンロードされます。ただし、それらのファイルは、ユーザーが開く前にキャッシュから削除されます。次善策として、ブラウザでキャッシュを消去する設定を有効にするようにユーザーに指示してください。
  • このオプションを有効にした場合にキャッシュされなくなるのは、ブラウザ上の保護されたデータのみです。ISA Server コンピュータ上の保護されたページはキャッシュされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


RSA SecurID Cookie を上位サーバーに転送する

RSA SecurID Cookie を上位サーバーに転送するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[SecurID Cookie を上位サーバーに転送する] が選択されていることを確認します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


名前のロックを有効にする

名前のロックを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [RSA SecurID] タブで、[RSA ACE/Server 5.0 の名前ロック機能を使う] をクリックします。
  6. ISA Server (RSA ACE/Agent) が最初にユーザー名の入力を要求し、ユーザーがユーザー名を入力した後にパスコードの入力を要求するようにする場合は、[別のユーザー名および PASSCODE ページを使う] をクリックします。

注意

  • サーバーが RSA ACE/Server データベースのエージェント ホスト レコードで名前のロックを必要とする場合は、エージェント ホストで名前のロックを有効にする必要があります。サーバーが名前のロックを必要とする場合に、エージェント ホストで名前のロック機能が使用されていないと、エージェント ホストからのすべての認証要求が拒否されます。サーバーが名前のロックを必要としない場合は、エージェント ホストでこの機能が有効になっていても、サーバーは名前のロックを使用しないで要求を処理できます。
  • 悪意のあるユーザーが、ログオン試行を繰り返すことで、ユーザーを永続的にロックするおそれがあります。

注

  • この機能を使用するには、RSA ACE/Server に RSA ACE/Server 5.0 Patch 0.3 がインストールされている必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Outlook Web Access のフォームベース認証を構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 で Outlook Web Access のフォームベース認証を構成する手順について説明します。

  • Outlook Web Access クライアントからの添付ファイルをブロックする
  • Outlook Web Access クライアントのアイドル セッション タイムアウトを構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Outlook Web Access クライアントからの添付ファイルをブロックする

Outlook Web Access クライアントからの添付ファイルをブロックするには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] を展開し、該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. Outlook Web Access のフォームベース認証が選択されていることを確認し、[構成] をクリックします。
  7. [ブロックする電子メールの添付ファイル] で、次の操作を行います。
    • Outlook Web Access クライアントにパブリック コンピュータでの添付ファイルの受信を許可しない場合は、[パブリック コンピュータのクライアント] を選択します。
    • Outlook Web Access クライアントにプライベート コンピュータでの添付ファイルの受信を許可しない場合は、[プライベート コンピュータのクライアント] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この手順で構成した設定は、Outlook Web Access のフォームベース認証を使用するすべての Web リスナに適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Outlook Web Access クライアントのアイドル セッション タイムアウトを構成する

Outlook Web Access クライアントのアイドル セッション タイムアウトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] を展開し、該当する Web リスナを選択します。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. [OWA フォームベース認証] が選択されていることを確認し、[構成] をクリックします。
  7. [アイドル セッション タイムアウト] で、次の操作を行います。
    • [パブリック コンピュータのクライアント] に、パブリック コンピュータでクライアント セッションがタイムアウトするまでのアイドル状態の時間を入力します。
    • [プライベート コンピュータのクライアント] に、プライベート コンピュータでクライアント セッションがタイムアウトするまでのアイドル状態の時間を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 構成した設定は、Outlook Web Access フォームベース認証を使用するすべての Web リスナに適用されます。
  • セッションがタイムアウトのしきい値に達すると、クライアントはユーザー資格情報を使用してセッションにログオンすることを求められます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


認証を構成する

ここでは、認証を構成する手順について説明します。

  • RADIUS サーバーを構成する
  • Web リスナの認証方法を構成する
  • Web プロキシ クライアント (発信方向の要求) の認証方法を構成する
  • クライアント証明書の検証を構成する
  • サーバー証明書の検証を構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


RADIUS サーバーを構成する

RADIUS サーバーを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[RADIUS サーバーの定義] をクリックします。
  3. [RADIUS サーバー] タブで、[追加] をクリックします。
  4. [サーバー名] に、認証に使用する RADIUS サーバーの名前を入力します。
  5. [変更] をクリックして、ISA Server と RADIUS サーバー間でセキュリティ保護された通信に使用される、共有シークレットを [新しいシークレット] に入力します。RADIUS 通信を成功させるには、ISA Server と RADIUS サーバーの両方に同じ共有シークレットを構成する必要があります。
  6. [ポート] に、着信方向の RADIUS 認証要求として RADIUS サーバーが使用するユーザー データグラム プロトコル (UDP) ポートを入力します。既定値の 1812 は、RFC 2138 に基づいています。RADIUS サーバーが古い場合は、ポートの値を 1645 に設定します。
  7. [タイムアウト (秒)] に、ISA Server が、別の RADIUS サーバーを試す前に、1 台の RADIUS サーバーからの応答を待機する時間を秒単位で入力します。
  8. 各 RADIUS メッセージと共に共有シークレットに基づくメッセージ認証システムを送信する場合は、[メッセージ認証システムを常に使用する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • RADIUS 認証用に ISA Server を構成する場合、RADIUS サーバーの構成は、RADIUS 認証を使用するすべてのルールまたはネットワーク オブジェクトに適用されます。
  • 共有シークレットを使用すると、Access-Request メッセージ以外の RADIUS メッセージが、同じ共有シークレットで構成された RADIUS 対応デバイスによって送信されることを確認できます。
  • RADIUS サーバーの既定の事前共有キーを変更してください。
  • 辞書攻撃を防ぐために、強力な共有シークレットを構成し、頻繁に変更してください。強力な共有シークレットとは、ランダムな文字、数字、および句読点を含む、23 文字以上の長いシーケンスです。
  • [メッセージ認証システムを常に使用する] をクリックした場合は、RADIUS サーバーでメッセージ認証システムの受信が可能であることを確認し、メッセージ認証システムを受信するように構成してください。
  • VPN クライアントの場合、メッセージ認証システムと共に、常に拡張認証プロトコル (EAP) メッセージが送信されます。Web プロキシ クライアントの場合、パスワード認証プロトコル (PAP) のみが使用されます。
  • RADIUS サーバーでインターネット認証サービス (IAS) を実行しており、そのサーバーに対して構成されている RADIUS クライアントで [要求はメッセージ認証属性を含んでいる必要がある] オプションが選択されている場合は、[メッセージ認証システムを常に使用する] を選択する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web リスナの認証方法を構成する

Web リスナの認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. [ツールボックス] タブで、[ネットワーク オブジェクト] をクリックします。
  3. [Web リスナ] をクリックし、該当する Web リスナをクリックします。
  4. [ネットワーク オブジェクト] の下のツール バーで、[編集] をクリックします。
  5. [基本設定] タブで、[認証] をクリックします。
  6. [メソッド] で、適切な認証方法を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web リスナでは、基本認証、ダイジェスト認証、統合 Windows 認証、およびクライアント証明書認証の各機構を同時に使用することができます。RADIUS 認証、SecurID 認証、またはフォームベース認証を選択する場合は、他の認証機構と併用するよう構成することはできません。
  • Windows Server 2003 を実行しているコンピュータ上で SecurID 認証を有効にすると、ネットワーク サービス アカウントでは、レジストリ キー HKLM\Software\SDTI\ACECLIENT への読み取り/書き込みのアクセス許可が必要になります。さらに、ネットワーク サービス アカウントは、%SystemRoot%\system32\ にある Sdconf.rec ファイルに対する読み取りアクセス許可も持っている必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web プロキシ クライアント (発信方向の要求) の認証方法を構成する

Web プロキシ クライアント (発信方向の要求) の認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[認証] をクリックします。
  5. [メソッド] で、適切な認証方法を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web リスナでは、基本認証、ダイジェスト認証、統合 Windows 認証、およびクライアント証明書認証の各機構を同時に使用することができます。RADIUS 認証、SecurID 認証、またはフォームベース認証を選択する場合は、他の認証機構と併用するよう構成することはできません。
  • Windows Server 2003 を実行しているコンピュータ上で SecurID 認証を有効にすると、ネットワーク サービス アカウントでは、レジストリ キー HKLM\Software\SDTI\ACECLIENT への読み取り/書き込みのアクセス許可が必要になります。さらに、ネットワーク サービス アカウントは、%SystemRoot%\system32\ にある Sdconf.rec ファイルに対する読み取りアクセス許可も持っている必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


クライアント証明書の検証を構成する

クライアント証明書の検証を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[証明書失効の指定] をクリックします。
  3. [着信クライアント証明書が失効していないことを検証する] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、ISA Server では、着信方向のクライアント証明書が証明書失効リスト (CRL) にあるかどうかが自動的に確認されます。証明書が証明書失効リストにある場合、そのクライアント要求は拒否されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サーバー証明書の検証を構成する

サーバー証明書の検証を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[証明書失効の指定] をクリックします。
  3. 上位サーバーからのサーバー証明書が証明書失効リスト (CRL) にあるかどうかを ISA Server でチェックするには、[着信サーバー証明書が転送シナリオで失効していないことを検証する] をクリックします。
  4. 公開されたサーバーからのサーバー証明書が CRL にあるかどうかを ISA Server でチェックするには、[着信サーバー証明書がリバース シナリオで失効していないことを検証する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • これらのオプションを選択した場合、証明書が CRL にあれば、要求は拒否されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネットワーク保護を構成する

ここでは、ネットワーク保護機能を構成する手順について説明します。

  • 接続数を制限する
  • IP フラグメント フィルタを有効にする
  • IP オプション フィルタを有効にする
  • IP ルーティングを有効にする


接続数を制限する

接続数を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[接続の制限の定義] をクリックします。
  3. [接続の制限] タブで、[接続数を制限する] をクリックします。次の操作を行います。
    • [1 秒ごと、ルールごとに作成された接続数 (TCP 以外)] に、各ルールで 1 秒間に許可する接続数を入力します。
    • [クライアントごとの接続制限 (TCP と TCP 以外)] に、各クライアントで許可する接続数を入力します。
  4. 特定の IP アドレスに対する既定の接続制限を上書きするには、[カスタム接続制限] に、特定のユーザーに許可する最大接続数を入力します。
  5. [追加] をクリックして、これらの制限を適用するコンピュータ セットを追加します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • TCP 接続の場合、接続の制限を超えると、新しい接続は許可されなくなります。Raw IP や UDP などの他の接続の場合、接続の制限を超えると、古い接続が終了し、新しい接続を作成できるようになります。
  • ファイアウォール チェーン シナリオおよびバックツーバックのシナリオの一部では、チェーン サーバーまたはバック ファイアウォールの IP アドレスにカスタマイズされた接続制限を指定します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


IP フラグメント フィルタを有効にする

IP フラグメント フィルタを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[IP 基本設定の定義] をクリックします。
  3. [IP フラグメント] タブで、[IP フラグメントをブロックする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


IP オプション フィルタを有効にする

IP オプション フィルタを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[IP 基本設定の定義] をクリックします。
  3. [IP オプション] タブで、[IP オプションのフィルタを有効にする] をクリックします。
  4. 次のいずれかを選択します。
    • [任意の IP オプションを含む、すべてのパケットを拒否する]
    • [選択した IP オプションを含むパケットを拒否する]
    • [選択した IP オプションを除く、すべてのパケットを拒否する]
  5. [選択した IP オプションを含むパケットを拒否する] または [選択した IP オプションを除く、すべてのパケットを拒否する] を選択した場合は、IP オプションを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


IP ルーティングを有効にする

IP ルーティングを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[IP 基本設定の定義] をクリックします。
  3. [IP ルーティング] タブで、[IP ルーティングを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • IP ルーティングによりパフォーマンスは向上しますが、IP ルーティングを無効にする方がより安全であると考えられています。IP ルーティングを無効にすると、ISA Server からは、パケット全体ではなくデータだけが宛先に送信されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール ポリシーのトラブルシューティング

どのような問題がありますか?

ドメイン名セットへのアクセスを許可するルールが作成されているにもかかわらず、この特定のドメインにクライアントからアクセスできません。

原因 : ドメイン名セットにルールを適用すると、指定されたドメイン名セットに要求が一致するかどうかが ISA Server によってチェックされます。ISA Server では、ポート番号も含めて、指定した名前と完全に一致するかどうかがチェックされます。たとえば、fabrikam.put:1111 を含むドメイン名セットへのアクセスを許可する Web 公開ルールがあるとします。fabrikam.put に対する要求は拒否されます。fabrikam.put に対する要求が許可されるのは、ドメイン名セットに fabrikam.put:1111 が含まれている場合だけになります。

解決方法 : ドメインの正確な名前を含むようにドメイン名セットを修正します。手順については、「ドメイン名セットを変更する」を参照してください。

アレイ メンバが互いに通信できません。この問題は、リモート プロシージャ コール (RPC) プロトコルを使用する公開ルールを作成した後に発生することがあります。

原因 : RPC プロトコルを公開するルールがある場合、アレイ メンバに送信された要求は、公開された RPC サーバーに転送されます。

解決方法 : アレイ メンバが、RPC 公開ルールの送信元または宛先として含まれていないことを確認します。

ISA Server をリモート管理する際に、ISA Server サービスを実行するコンピュータに接続できません。この問題は、RPC プロトコルを使用する公開ルールを作成した後に発生することがあります。

原因 : RPC プロトコルを公開するルールがある場合、アレイ メンバに送信された要求は、公開された RPC サーバーに転送されます。

解決方法 : 公開ルールを、リモート管理コンピュータおよびアレイ サーバーのコンピュータ セット以外の、該当するすべての宛先に適用します。手順については、「ファイアウォール ポリシー ルールの送信元ネットワーク オブジェクトを構成する」を参照してください。

最近、新しい構成を適用して保存しました。アレイが予期したとおりに機能しません。

原因 : [適用] をクリックして変更を保存し、構成を更新すると、構成は構成保管サーバーに保存されます。ただし、アレイ メンバがこの構成で更新されるのは、数分後になります。すべてのアレイ メンバが更新されるまでは、アレイが予期したとおりに機能しない場合があります。

解決方法 : 構成の状態ビューで、すべてのアレイ メンバの状態が [同期済み] に設定される時点を確認します。手順については、「構成の状態を表示する」を参照してください。


クライアント

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ファイアウォール クライアント、SecureNAT クライアント、および Web プロキシ クライアントという複数の種類のクライアントをサポートしています。ここでは、ISA Server がサポートしているクライアントについて、およびそれらのクライアントを構成する手順について説明します。

  • クライアント : 概念
  • クライアント : 操作方法
  • ファイアウォール クライアントのトラブルシューティング

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


クライアント : 概念

ここでは、Internet Security and Acceleration (ISA) Server 2004 のクライアントについて説明します。

  • クライアントの概要
  • クライアント要件の評価
  • ファイアウォール クライアント
  • SecureNAT クライアント
  • Web プロキシ クライアント
  • 自動検出

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


クライアントの概要

ISA Server は、さまざまな通信レイヤを使用して企業ネットワークを保護します。パケット レイヤでは、ISA Server はファイアウォール ポリシーを実装しています。このようにして、ISA Server は、リソースに到達する前のトラフィックを評価しながら、ネットワーク インターフェイス上のデータを制御します。データは、Microsoft ファイアウォール サービスによってルールが適用され、要求を処理するかどうかが決定された後のみ、通過が許可されます。

ISA Server のアーキテクチャ

図に示すように、ISA Server は、ファイアウォール クライアント、SecureNAT クライアント、Web プロキシ クライアントの 3 種類のクライアントを保護します。

ファイアウォール クライアント。ファイアウォール クライアント ソフトウェアがインストールされ、有効になっているコンピュータです。ファイアウォール クライアントからの要求は、ISA Server コンピュータ上のファイアウォール サービスに送信され、アクセスを許可するかどうかが決定されます。その後、要求は、アプリケーション フィルタや他のアドインによってフィルタ処理されます。ファイアウォール サービスは、要求されたオブジェクトをキャッシュしたり、ISA Server キャッシュからオブジェクトを提供することもできます。

SecureNAT クライアント。ファイアウォール クライアント ソフトウェアがインストールされていないコンピュータです。SecureNAT クライアントからの要求は、まず、ネットワーク アドレス変換 (NAT) ドライバに送信され、そこで SecureNAT クライアントの内部 IP アドレスがインターネット上で有効なグローバル IP アドレスに置換されます。次に、クライアント要求はファイアウォール サービスに転送され、アクセスを許可するかどうかが決定されます。最後に、要求は、アプリケーション フィルタや他の拡張機能によってフィルタ処理されます。ファイウォール サービスは、要求されたオブジェクトをキャッシュしたり、ISA Server キャッシュからオブジェクトを配信することもできます。

Web プロキシ クライアント。CERN 互換の Web アプリケーションです。Web プロキシ クライアントからの要求は、ISA Server コンピュータ上のファイアウォール サービスに送信され、アクセスを許可するかどうかが決定されます。ファイアウォール サービスは、要求されたオブジェクトをキャッシュしたり、ISA Server キャッシュからオブジェクトを提供することもできます。

クライアントの種類にかかわらず、ISA Server が HTTP 要求を受信した場合、そのクライアントは Web プロキシ クライアントとして処理されます。ファイアウォール クライアントや SecureNAT クライアントが HTTP 要求を送信した場合も、そのクライアントは Web プロキシ クライアントと見なされます。これは、クライアントの認証方法に特殊な意味を持ちます。

ファイアウォール クライアント コンピュータおよび SecureNAT クライアント コンピュータは、どちらも Web プロキシ クライアントになることができます。コンピュータ上の Web アプリケーションが ISA Server を使用するように明示的に構成されている場合は、HTTP、FTP、および Secure HTTP (HTTPS) を含むすべての Web 要求がファイアウォール サービスに直接送信されます。他のすべての要求は、最初にファイアウォール サービスによって処理されます。

次の表は、ISA Server クライアントの比較の一覧です。

機能 | SecureNAT クライアント | ファイアウォール クライアント | Web プロキシ クライアント
インストールの必要性 | はい。一部のネットワーク構成の変更が必要です。 | はい。 | いいえ。Web ブラウザ構成が必要です。
オペレーティング システムのサポート | TCP/IP をサポートするオペレーティング システム。 | Windows プラットフォームのみ。 | すべてのプラットフォーム。ただし、Web アプリケーションを使用します。
プロトコルのサポート | 複数接続プロトコルには、アプリケーション フィルタが必要です。 | すべての Winsock アプリケーション。 | HTTP、Secure HTTP (HTTPS)、FTP。
ユーザー レベルの認証のサポート | はい。VPN クライアントのみ。 | はい。 | はい。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


クライアント要件の評価

クライアント ソフトウェアを展開または構成する前に、組織のニーズを評価します。内部クライアントが必要とするアプリケーションおよびサービスを確認します。サーバーの公開方法を評価します。その上で、それぞれのニーズを ISA Server がサポートする次のクライアントの種類に割り当てます。

  • SecureNAT クライアント
  • ファイアウォール クライアント
  • Web プロキシ クライアント

詳細については、「クライアントの概要」を参照してください。

ユーザーのニーズから組織に展開するクライアントの種類を判断するには、以下の項目を検討します。

クライアント ソフトウェアの展開またはクライアント コンピュータの構成を行わずに済ませますか。

推奨 : SecureNAT クライアント

SecureNAT クライアントは、ソフトウェアや特定の構成を必要としません。ファイアウォール クライアントの場合は、ファイアウォール クライアント ソフトウェアを展開する必要があり、Web プロキシ クライアントの場合は、クライアント コンピュータで Web アプリケーションを構成する必要があります。

ISA Server を Web オブジェクトのフォワード キャッシュのみに使用しますか。

推奨 : SecureNAT または Web プロキシ クライアント

このシナリオで SecureNAT クライアントを使用する場合は、特別なソフトウェアを展開したり、クライアント コンピュータを構成する必要はありません。クライアント要求は、ISA Server に透過的に転送されてキャッシュされます。

認証済みクライアントのみにアクセスを許可しますか。

推奨 : ファイアウォール クライアント

ファイアウォール クライアントには、ユーザーベースのファイアウォール ポリシー ルールを構成できます。Web プロキシ クライアントにもユーザーベースのルールを構成できますが、そのルールが有効になるのは、Web アプリケーションが認証情報を送受信できる場合に限られます。

内部ネットワーク上にあるサーバーを公開しますか。

推奨 : SecureNAT クライアント

内部サーバーを SecureNAT クライアントとして公開できます。これにより、公開するサーバーに特別な構成ファイルを作成する必要がなくなります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアント

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のファイアウォール クライアントについて説明します。

  • ファイアウォール クライアントの概要
  • ファイアウォール クライアントの構成
  • ファイアウォール クライアントのローカル アドレス
  • ファイアウォール クライアントの詳細設定
  • ファイアウォール クライアント構成ファイルの詳細設定
  • 詳細のファイアウォール クライアント構成ファイルのサンプル
  • ファイアウォール クライアントの配布

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントの概要

ファイアウォール クライアントとは、ファイアウォール クライアント ソフトウェアがインストールされ、有効になっているコンピュータです。ファイアウォール クライアント コンピュータは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の Microsoft ファイアウォール サービスを使用する Winsock アプリケーションを実行します。ファイアウォール クライアントの設定では、個々の Winsock アプリケーションは構成されません。代わりに、他のアプリケーションが使用する共通の Winsock サービス プロバイダが使用されます。そして、ファイアウォール クライアントは、アプリケーションの呼び出しを傍受して、要求を ISA Server コンピュータにルーティングするかどうかを決定します。

ファイアウォール クライアントのサポートを特定のネットワークに対して有効にするかどうかを指定できます。ファイアウォール クライアントのサポートを有効にすると、ISA Server は、ポート 1745 で着信方向の要求を受け付けます。ファイアウォール クライアントは、Winsock アプリケーションを使用してコンピュータのオブジェクトを要求する場合、指定したコンピュータがローカルと見なされるかどうかを確認します。アドレスが特定のネットワークのアドレスの範囲内にあれば、ローカルと見なされます。手順については、「ネットワーク アドレスを構成する」を参照してください。

コンピュータがローカルと見なされなかった場合、要求はファイアウォール サービスに送信されます。ファイアウォール サービスは、要求を処理し、許可されたものとして適切な宛先に転送します。ファイアウォール クライアント ソフトウェアは、認証に必要な Windows ユーザーの情報を ISA Server コンピュータに送信できます。

ファイアウォール クライアントのインストール

ファイアウォール クライアント共有がインストールされている場合は、クライアント コンピュータから共有に接続して、ファイアウォール クライアント ソフトウェアをインストールできます。ファイアウォール クライアント共有のインストール手順については、「ファイアウォール クライアント インストールの共有フォルダを作成する」を参照してください。ファイアウォール クライアント ソフトウェアをインストールするには、共有に接続してセットアップ プログラムを実行します。または、無人セットアップを実行することもできます。手順については、「ファイアウォール クライアントの無人セットアップを実行する」を参照してください。

クライアント ソフトウェアをインストールしたら、クライアントの接続先のサーバー名を変更できます。これは、クライアントが現在接続している ISA Server コンピュータで別の名前を指定するか、またはファイアウォール クライアント ソフトウェアで名前を変更することによって行います。構成の変更は、ファイアウォール構成を最新の情報に更新した後で有効になります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントの構成

ファイアウォール クライアント ソフトウェアは、ISA Server の管理を使用して構成します。ISA Server の管理を使用すると、クライアント コンピュータで定期的に更新されるファイアウォール クライアントの設定を構成できます。構成できる設定は次のとおりです。

  • アプリケーションの設定。ファイアウォール クライアントが特定のアプリケーションでどのように Microsoft Internet Security and Acceleration (ISA) Server 2004 に接続するかを指定します。詳細については、「ファイアウォール クライアント構成ファイルの詳細設定」を参照してください。
  • 内部ネットワークとローカル ドメイン。ファイアウォール クライアントが、ISA Server コンピュータを必要とせずに、ローカルとして認識する IP アドレスとドメインのセットです。ファイアウォール クライアントは、ネットワークに構成されているアドレスとドメインをローカルと見なします。手順については、「ネットワーク アドレスを構成する」および「ネットワークに含まれるドメインを構成する」を参照してください。
  • 自動検出。自動検出を有効にすると、ファイアウォール クライアントは適切な ISA Server コンピュータを自動的に検出するようになります。詳細については、「ファイアウォール クライアント用の自動検出」を参照してください。
  • ファイアウォール クライアントの Web ブラウザ設定。ファイアウォール クライアント アプリケーションでは、ファイアウォール クライアント コンピュータ上の Web ブラウザ設定を自動的に更新できます。これらの設定は、ファイアウォール クライアントの設定が更新されるときに ISA Server から取得されます。ファイアウォール クライアント コンピュータで Web ブラウザをどのように設定するかを構成できます。これらの設定は、ダイヤルアップ接続や VPN 接続には適用されないことに注意してください。詳細については、「ファイアウォール クライアントの Web ブラウザ設定を構成する」を参照してください。

古いバージョンのファイアウォール クライアント ソフトウェアの使用を許可する

ISA Server は、ISA Server 2000 のファイアウォール クライアントや、Microsoft Proxy Server 2.0 の Winsock プロキシ クライアントなど、古いバージョンのファイアウォール クライアント ソフトウェアをサポートしています。また、ISA Server は、Microsoft Windows NT® Server 4.0、Windows® Millennium Edition、または Windows 98 など古いバージョンのオペレーティング システムを実行するファイアウォール クライアントもサポートします。ただし、古いバージョンのファイアウォール クライアント ソフトウェアおよび古いバージョンの Windows オペレーティング システムを実行するクライアントを、お使いの ISA Server コンピュータに接続しないようにすることもできます。なぜなら、これらのクライアントは、ISA Server への接続時に暗号化を使用できないためです。手順については、「以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可する」を参照してください。

暗号化されたファイアウォール クライアントの接続

ISA Server は、ファイアウォール クライアントと ISA Server 間の通信に関して、TCP 制御チャネルによる暗号化を使用した、より強力なセキュリティで保護された方法をサポートしています。ISA Server は、このセキュリティで保護された方法で通信を行うクライアントからの接続のみを受け付けるように構成することができます。ただし、その場合、古いバージョンのファイアウォール クライアント ソフトウェアを使用して接続することはできません。また、Windows NT Server 4.0、Windows Millennium Edition、または Windows 98 を実行するファイアウォール クライアントを接続することもできません。


ファイアウォール クライアントのローカル アドレス

既定では、ファイアウォール クライアントは、コンピュータ上のローカル ルーティング テーブルに指定されているアドレスのほかに、自身が構成されているネットワーク上のすべてのアドレスがローカルとして指定されているものと見なします。たとえば、ファイアウォール クライアントが内部ネットワークのネットワーク アダプタに接続する場合は、その内部ネットワークに構成されているすべての IP アドレスがローカルと見なされます。クライアント上の Winsock アプリケーションが IP アドレスとの接続を確立しようとすると、その都度、その IP アドレスが内部ネットワーク上のものかどうかを判断するために Locallat.txt ファイルが使用されます。アドレスがローカルと見なされた場合、接続は直接確立されます。アドレスがローカルと見なされなかった場合、接続は ISA Server の Microsoft ファイアウォール サービスを介して確立されます。

この情報のローカル バージョンも作成することができます。テキスト エディタを使用して Locallat.txt という名前のカスタム クライアント ローカル アドレス テーブル (LAT) ファイルを作成し、ファイアウォール クライアント コンピュータの \Documents and Settings\All Users\Application Data\Microsoft\Firewall Client 2004 フォルダに保存します。クライアントがローカル ネットワークの一部として認識する他の IP アドレス範囲も追加できます。クライアントは独自のルーティング テーブル、サーバー固有の設定、および Locallat.txt ファイルを使用して、ローカル ネットワークに属する IP アドレスを特定します。

Locallat.txt ファイルを作成するときは、IP アドレスのペアをファイルに入力します。各アドレスのペアでは、IP アドレス範囲または単一の IP アドレスを定義します。次の例は、2 つのエントリを持つ Locallat.txt ファイルを示しています。最初のエントリは IP アドレス範囲、2 つ目のエントリは単一の IP アドレスです。2 つ目のエントリがサブネット マスクではなく、IP アドレスであることに注意してください。

10.51.0.0      10.51.255.255
10.52.144.103  10.52.144.103


ファイアウォール クライアントの詳細設定

インストールが完了すると、ファイアウォール クライアント ソフトウェアは、ファイアウォール クライアント アプリケーションのインストール元である ISA Server 2004 コンピュータで構成された設定を採用します。これらのサーバー設定は、自動 Web プロキシ構成、ISA Server 名、ISA Server の自動検出などを機能的に確定します。ファイアウォール クライアント ソフトウェアがインストールされると、クライアント設定は、クライアント コンピュータが再起動されるたびに、また最初の更新が行われてから 6 時間ごとに、ISA Server で更新されます。

これらの設定のほかにも、クライアントは、ローカル (クライアントが ISA Server を介さずに接続するコンピュータ) と見なす必要がある IP アドレス情報と共に、ISA Server で定期的に更新されます。

ほとんどの Winsock アプリケーションでは、既定のファイアウォール クライアント構成を変更する必要はありません。ただし、場合によっては、クライアント構成情報の追加が必要になることもあります。ファイアウォール クライアントは、ファイアウォール クライアント コンピュータ上で、ユーザーごとまたはコンピュータごとにローカルに構成できます。この構成は、ファイアウォール クライアント コンピュータにインストールされる .ini ファイルを変更することによって行います。

インストール後、すべてのコンポーネントの既定の設定を変更することができます。新しい構成の設定は、クライアント構成が最新の情報に更新された後でのみ有効になります。

.ini ファイル

構成情報は、ファイアウォール クライアント コンピュータにインストールされる一連のファイルに保存されます。具体的には、ファイアウォール クライアントをコンピュータにインストールするときに、次のファイルがファイアウォール クライアント コンピュータに作成されます。

  • Common.ini。すべてのアプリケーションで共通の構成を指定します。
  • Management.ini。ファイアウォール クライアント管理の構成設定を指定します。

これらのファイルは、コンピュータにログオンするすべてのユーザー用にオペレーティング システム レベルで作成されることも、コンピュータ上の特定のユーザーごとに作成されることもあります。ユーザーごとの設定は、全般的な構成設定よりも優先されます。これらのファイルが作成される場所は、オペレーティング システムによって異なります。たとえば、Windows XP コンピュータでは、ファイルは次の 2 つの場所にコピーされます。

  • \Documents and Settings\All Users\Application Data\Microsoft\Firewall Client 2004 フォルダ
  • \Documents and Settings\<ユーザー名>\Local Settings\Application Data\Microsoft\Firewall Client 2004 フォルダ

これらのファイルのほかに、ユーザーは、特定のアプリケーションの構成情報を指定する Application.ini という別のファイルを作成することもできます。

Common.ini および Application.ini の設定の詳細については、「ファイアウォール クライアント構成ファイルの詳細設定」を参照してください。

これらのファイル内の設定は、次の手順で適用されます。

  1. ユーザーのフォルダにある .ini ファイルが優先されます。ファイアウォール クライアントは、ここに保存される構成の設定を使用して、アプリケーションがどのように機能するかを判断します。
  2. ファイアウォール クライアントは、次に All Users フォルダを参照します。追加の構成の設定があれば、適用されます。ユーザー固有の設定と矛盾している構成の設定は、無視されます。
  3. ファイアウォール クライアント アプリケーションは、ファイアウォール クライアント管理で指定された設定に従って、接続すべき ISA Server コンピュータを検出します。
  4. 最後に、ファイアウォール クライアントはサーバーレベルの設定を調べます。ISA Server に指定されている構成の設定があれば、適用されます。ユーザー固有の設定またはコンピュータ固有の設定と矛盾している構成の設定は、無視されます。


ファイアウォール クライアント構成ファイルの詳細設定

ファイアウォール クライアント コンピュータのユーザーは、ファイアウォール クライアントの構成設定を決定するファイルを作成および変更することができます。ファイアウォール クライアントのインストール時に作成される Common.ini ファイルは、すべてのアプリケーションに共通な構成を指定します。Application.ini ファイルは、特定のアプリケーションの構成設定を指定します。これらのファイルの詳細については、「ファイアウォール クライアントの詳細設定」を参照してください。

これらのファイルは、コンピュータにログオンするすべてのユーザー用にオペレーティング システム レベルで作成することも、コンピュータ上の特定のユーザーごとに作成することもできます。ユーザーごとの設定は、全般的な構成設定よりも優先されます。これらのファイルが作成される場所は、オペレーティング システムによって異なります。たとえば、Microsoft® Windows® XP を実行しているコンピュータでは、ファイルは次の 2 つのフォルダにコピーされます。

  • \Documents and Settings\All Users\Application Data\Microsoft\Firewall Client 2004
  • \Documents and Settings\<ユーザー名>\Local Settings\Application Data\Microsoft\Firewall Client 2004

ISA Server の管理を使用して、ファイアウォール クライアントの構成設定を変更することができます。手順については、「ファイアウォール クライアントのアプリケーション設定を構成する」を参照してください。

ファイアウォール クライアントの構成を手動で変更したときは、FWCAgent サービスを再起動する必要があります。

ファイアウォール クライアントのセットアップで指定した設定は、クライアント コンピュータ上のすべてのユーザー アカウントに適用されます。その後クライアント コンピュータ上でファイアウォール クライアント アプレットを使用して行った変更は、ログオンしたアカウントで実行されているアプリケーションにのみ適用されます。変更は、他のユーザーに対して実行されているアプリケーションまたはシステム アカウントで実行されているアプリケーションには適用されません。

ファイアウォール クライアントの設定は、ファイアウォール クライアント ツール (英語情報) (http://www.microsoft.com/) を使用して変更することもできます。

以下の表は、ファイアウォール クライアント ソフトウェアのアプリケーション設定を構成する際に、含めることのできる項目の一覧です。最初の列は、構成ファイルに含めることのできるキーを示しています。2 番目の列は、キーを設定できる値を示しています。一部の設定は、ファイアウォール クライアント コンピュータ上でのみ構成可能です。ISA Server の管理を使用してこれらを構成することはできません。

項目 | 説明
ServerName | ファイアウォール クライアントが接続する ISA Server コンピュータの名前を指定します (ファイアウォール クライアント コンピュータでのみ設定可能)。
Disable | 使用可能な値 : 0 または 1。値を 1 に設定すると、ファイアウォール クライアント アプリケーションは、特定のクライアント アプリケーションに対して無効になります。
DisableEx | 使用可能な値 : 0 または 1。値を 1 に設定すると、ファイアウォール クライアント アプリケーションは、特定のクライアント アプリケーションに対して無効になります。ISA Server 2004 ファイアウォール クライアントにのみ適用されます。設定すると、Disable 設定が上書きされます。
Autodetection | (ファイアウォール クライアント コンピュータでのみ設定可能) 使用可能な値 : 0 または 1。値を 1 に設定すると、ファイアウォール クライアント アプリケーションは、接続先となる ISA Server コンピュータを自動的に検索します。
NameResolution | 使用可能な値 : L または R。既定では、ドット形式の 10 進表記法で示されたものやインターネット ドメイン名は ISA Server コンピュータにリダイレクトされて名前解決が行われ、他のすべての名前はローカル コンピュータ上で解決されます。値を R に設定すると、すべての名前が ISA Server コンピュータにリダイレクトされて、解決されます。値を L に設定すると、すべての名前がローカル コンピュータ上で解決されます。
LocalBindTcpPorts | ローカルでバインドされる伝送制御プロトコル (TCP) ポート、一覧、または範囲を指定します。
LocalBindUdpPorts | ローカルでバインドされるユーザー データグラム プロトコル (UDP) ポート、一覧、または範囲を指定します。
DontRemoteOutboundTcpPorts | ローカルでバインドされる発信 TCP ポート、一覧、または範囲を指定します。
DontRemoteOutboundUdpPorts | ローカルでバインドされる発信 UDP ポート、一覧、または範囲を指定します。
RemoteBindTcpPorts | リモートでバインドされる TCP ポート、一覧、または範囲を指定します。
RemoteBindUdpPorts | リモートでバインドされる UDP ポート、一覧、または範囲を指定します。
ServerBindTcpPorts | 複数の接続を受け付ける TCP ポート、一覧、または全ポートの範囲を指定します。
Persistent | 使用可能な値 : 0 または 1。値を 1 に設定すると、サービスが停止して再起動された場合やサーバーが応答しない場合に、ISA Server コンピュータ上でサーバーの特定の状態を維持することができます。クライアントは、アクティブ セッションの間、定期的にサーバーにキープアライブ メッセージを送信します。サーバーが応答しない場合、クライアントはバインドの状態の復元を試行し、サーバーの再起動時にソケットをリッスンします。
ForceCredentials | (ファイアウォール クライアント コンピュータでのみ設定可能) Windows サービスまたはファイアウォール クライアント アプリケーションなどのサーバー アプリケーションを、実行している場合に使用します。値を 1 に設定すると、サービスが実行されているコンピュータにローカルに格納されている、代替ユーザー認証資格情報の使用が強制されます。ユーザー資格情報は、ファイアウォール クライアント ソフトウェアで提供される FwcCreds.exe アプリケーションを使用して、クライアント コンピュータに格納されます。ユーザー資格情報は、ISA Server が認証可能なユーザー アカウントを参照する必要があります。ユーザー アカウントは、ISA Server に対してローカルなものでも、ISA Server が信頼するドメイン内にあるものでもかまいません。ユーザー アカウントは、通常、有効期限が切れないように設定されます。そうしないと、アカウントの有効期限が切れるたびに、ユーザー資格情報を更新しなければなりません。
NameResolutionForLocalHost | 使用可能な値は L (既定)、P、または E です。gethostbyname API が呼び出されたときに、ローカル (クライアント) コンピュータの名前を解決する方法を指定します。 LocalHost コンピュータ名は、LocalHost 文字列、空の文字列、または NULL 文字列ポインタを使用して、Winsock API 関数 gethostbyname() を呼び出すことによって解決されます。Winsock アプリケーションは、gethostbyname(LocalHost) を呼び出してローカル IP アドレスを検索し、それをインターネット サーバーに送信します。 このオプションを L に設定すると、gethostbyname() は、ローカル ホスト コンピュータの IP アドレスを返します。このオプションを P に設定すると、gethostbyname() は、ISA Server コンピュータの IP アドレスを返します。このオプションを E に設定すると、gethostbyname() は、ISA Server コンピュータの外部 IP アドレスだけを返します。これらの IP アドレスは、ローカル アドレス テーブルにはありません。
ControlChannel | 使用可能な値 : Wsp.udp または Wsp.tcp (既定)。使用する制御チャネルの種類を指定します。
EnableRouteMode | 可能な値には、0 と 1 (既定) があります。EnableRouteMode を 1 に設定し、ファイアウォール クライアント コンピュータと要求された宛先の間にルート関係を構成すると、ファイアウォール クライアントの IP アドレスが送信元アドレスとして使用されます。値を 0 に設定すると、ISA Server コンピュータの IP アドレスが使用されます。 このフラグは、古いバージョンのファイアウォール クライアントには適用されません。


詳細のファイアウォール クライアント構成ファイルのサンプル

ここでは、ローカル ファイアウォール クライアント コンピュータで使用されるファイアウォール クライアント構成のサンプル ファイルを示します。これらの設定の詳細については、「ファイアウォール クライアント構成ファイルの詳細設定」を参照してください。

Common.ini の設定

Common.ini ファイルは、すべてのアプリケーションに共通する構成を指定します。次の例は、一般的な Common.ini ファイルを示しています。

[Common]
ServerName=ISA_1
Disable=0
Autodetection=0

Application.ini の設定

Application.ini ファイルは、特定のアプリケーションの構成設定を指定します。次の例は、FW_Client_App.exe セクションのクライアント構成ファイルに定義された、サンプルの [FW_Client_App] セクションを示しています。

[FW_Client_App]
Disable=0
NameResolution=R
LocalBindTcpPorts=7777
LocalBindUdpPorts=7000-7022, 7100-7170
RemoteBindTcpPorts=30
RemoteBindUdpPorts=3000-3050
ServerBindTcpPorts=100-300
ProxyBindIp=80:110.52.144.103, 82:110.51.0.0
Persistent=1
ForceCredentials=1
NameResolutionForLocalHost=L

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントの配布

ファイアウォール クライアント ソフトウェアの配布は、[Windows ソフトウェアのインストール] スナップインを使用して一元管理できます。ISA Server のクライアント ソフトウェアをコンピュータのグループに配布して構成することで、アプリケーションを必要とするすべてのユーザーのデスクトップにアプリケーションを自動的に配置できます。こうすると、個々のデスクトップでクライアント ソフトウェアをセットアップする必要はありません。

アプリケーションをコンピュータに割り当てると、そのアプリケーションは、次にコンピュータを再起動するときにインストールされます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SecureNAT クライアント

ファイアウォール クライアント ソフトウェアがインストールされていないクライアント コンピュータは、SecureNAT クライアントです。SecureNAT クライアントは、ISA Server の多くの機能を利用することができます。これには、上位レベル プロトコルのサポートとユーザーレベルの認証を除く、ほとんどのアクセス制御機能が含まれます。

SecureNAT クライアントに特別なソフトウェアは必要ありませんが、インターネットへのすべてのトラフィックがルーターを経由して直接または間接的に ISA Server を使用して送信されるように、デフォルト ゲートウェイを構成する必要があります。クライアントは、動的ホスト構成プロトコル (DHCP) サービスを使用して構成することも、手動で構成することもできます。

SecureNAT クライアントからの要求は、Microsoft ファイアウォール サービスで処理されるため、SecureNAT クライアントは、ファイアウォール サービスのセキュリティ機能を利用することができます。アプリケーション フィルタは、プロトコル ストリームを変更して、複雑なプロトコルの処理を可能にします。Microsoft® Windows® のネットワーク アドレス変換 (NAT) では、この機構は、カーネルモード NAT エディタ ドライバとして作成されている NAT エディタを使用することで実現されます。

ISA Server アプリケーション フィルタは、Windows ベースの NAT エディタを使用して、一般的に使用可能な機能を置き換えます。SecureNAT クライアントで特定のアプリケーションまたはプロトコルを使用するためには、アプリケーション フィルタが使用可能であることが必要です。詳細については、「アプリケーション フィルタ」を参照してください。

SecureNAT とネットワーク アドレス変換

ISA Server は、SecureNAT クライアントに ISA Server ポリシーを強制することで、ネットワーク アドレス変換 (NAT) 機能を拡張します。NAT に固有の認証機構がなくても、すべての ISA Server ルールを SecureNAT クライアントに適用することができます。プロトコルの使用、宛先、およびコンテンツの種類に関するポリシーも SecureNAT クライアントに適用されます。

SecureNAT クライアントとサーバーの公開

SecureNAT クライアントは、ファイアウォール クライアントと同様、インターネットに情報を公開するサーバー (メール サーバーなど) にすることができます。サーバーを SecureNAT クライアントとして公開するには、サーバー公開ルールを構成します。

SecureNAT クライアントの構成

SecureNAT クライアントでは、クライアント コンピュータに特定のソフトウェアを展開する必要はありませんが、ネットワークを適切に構成する必要があります。ここでは、SecureNAT クライアントに対するネットワークの考慮事項について説明します。

SecureNAT クライアントに対するデフォルト ゲートウェイの設定

SecureNAT クライアントでは、クライアント コンピュータ上に特定のソフトウェアを展開する必要がありません。ただし、ISA Server コンピュータのネットワーク トポロジを構成する際に、SecureNAT クライアントを保護し、SecureNAT クライアント要求が確実に処理されるようにする必要があります。

SecureNAT クライアントのデフォルト ゲートウェイを適切に構成する必要があります。デフォルト ゲートウェイのプロパティを設定する場合は、構成するネットワーク トポロジの種類を確認します。

  • 単純なネットワーク。単純なネットワーク トポロジでは、SecureNAT クライアントと ISA Server コンピュータの間にルーターは配置されません。
  • 複雑なネットワーク。複雑なネットワーク トポロジでは、SecureNAT クライアントと ISA Server コンピュータの間に構成された複数のサブネットが、1 台以上のルーターでブリッジされます。

単純なネットワーク上の SecureNAT クライアントの構成

単純なネットワーク上の SecureNAT クライアントを構成するには、SecureNAT クライアントの IP デフォルト ゲートウェイを、ISA Server コンピュータの内部ネットワーク アドレス カードの IP アドレスに設定します。この設定は、クライアント上の TCP/IP 設定を使用して、手動で行うことができます (これらは、[コントロール パネル] の [ネットワーク] アイコンをクリックして設定します)。または、DHCP サービスを使用して、これらの設定をクライアントに対して自動的に構成することもできます。

複雑なネットワーク上の SecureNAT クライアントの構成

複雑なネットワーク上の SecureNAT クライアントを構成するには、デフォルト ゲートウェイを、SecureNAT クライアントと ISA Server コンピュータを結ぶチェーンの最後のルーターに設定します。この場合、SecureNAT クライアントのデフォルト ゲートウェイの設定を変更する必要はありません。

最適な処理を行うには、ルーターが、ISA Server コンピュータに最短経路でルーティングするデフォルト ゲートウェイを使用する必要があります。また、企業ネットワークの外部のアドレスに宛てられたパケットを破棄しないようにルーターを構成します。ISA Server は、このようなパケットをどのようにルーティングするかを決定します。

SecureNAT クライアントの名前解決

SecureNAT クライアントは、ローカル ネットワーク内のコンピュータおよびインターネットの両方からオブジェクトを要求します。したがって SecureNAT クライアントは、外部と内部の両方のコンピュータの名前を解決する DNS サーバーを必要とします。

インターネット アクセスのみ

インターネット アクセスのみの場合、SecureNAT クライアントは、インターネット上の DNS サーバーを使用するように TCP/IP 設定を構成します。SecureNAT クライアントが DNS プロトコルを使用できるようにするアクセス ルールを作成し、SecureNAT クライアントに対して DNS フィルタを構成する必要があります。

内部ネットワーク アクセスとインターネット アクセス

SecureNAT クライアントが、インターネットと内部ネットワーク サーバーの両方からデータを要求する場合、そのクライアントは、内部ネットワーク上の DNS サーバーを使用します。内部アドレスとインターネット アドレスの両方を解決する DNS サーバーを構成する必要があります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web プロキシ クライアント

Web プロキシ クライアントは、HTTP 1.1 以下に準拠する Web ブラウザ アプリケーションが搭載されたクライアント コンピュータで、プロキシを使用でき、ISA Server を使用するように構成されています。いずれの Web プロキシ クライアントも、独自のユーザー インターフェイスを使用して構成されます。Web ブラウザは Web プロキシ クライアントです。

ファイアウォール クライアント ソフトウェアでは、ファイアウォール クライアント コンピュータ上の Web ブラウザの設定を構成できます。これらの設定は、自動的に構成することも、まとめて無効にすることもできます。ISA Server の管理を使用すると、次の Web ブラウザのプロパティを構成できます。

  • クライアントが接続する ISA Server コンピュータとポート
  • 自動検出の設定
  • ファイアウォール クライアントの Web ブラウザが直接アクセスするコンピュータ
  • ISA Server コンピュータが使用できない場合のバックアップ ルート

ファイアウォール クライアント ソフトウェアがインストールされ、すべてのユーザーがログオンすると、クライアント コンピュータの Web ブラウザにこれらの設定が構成されます。この自動構成は、無効にすることもできます。

ファイアウォール クライアントがインストールされていない場合は、Web ブラウザを手動で構成できます。

Web プロキシ クライアントの構成

Web プロキシ クライアントを構成するには、ソフトウェアのインストールは必要ありません。ただし、ISA Server コンピュータがプロキシ サーバーとして使用されるように、クライアント コンピュータの Web アプリケーションを構成する必要があります。

既定の構成用 URL は、次のとおりです。

http://<ISA Server>/array.dll?Get.Routing.Script

<ISA Server> は、ISA Server コンピュータの名前または IP アドレスです。この URL には構成スクリプトが配置されています。ISA Server は、直接アクセスとバックアップ ルート オプションに基づいて、この構成スクリプトを自動的に生成します。

Web ブラウザが開くたびに、ISA Server が自身のコンピュータに存在するクライアント構成スクリプトを自動的にダウンロードするよう、オプションを設定することができます。このスクリプトからは、URL で指定されているオブジェクトをブラウザが取得するために使用する一連の ISA Server コンピュータが、順番に出力されます。

スクリプトは、ISA Server コンピュータの特定の URL からアクセスできます (そこに実際に格納されているわけではありません)。Web ブラウザの設定はすべて、個々の Web ブラウザを再構成しなくても、簡単に更新できます。Microsoft® Internet Explorer バージョン 3.02 以降、および Netscape 2.0 以降では、この機能がサポートされています。

ファイアウォール クライアントの Web ブラウザの自動構成

ファイアウォール クライアントの Web ブラウザがセットアップ中に構成されるよう、ISA Server を構成することができます。これにより、クライアントの Web ブラウザは、指定された自動構成スクリプトを使用するようになります。スクリプトは、[Web ブラウザ] で設定されたオプションに基づいて動作します。手順については、「ファイアウォール クライアントの Web ブラウザ設定を構成する」を参照してください。

ISA Server コンピュータのブラウザ構成

ISA Server コンピュータで Web ブラウザを使用する場合は、内部ネットワークに接続されたサーバー ネットワーク アダプタの IP アドレスを使用するようにブラウザを構成する必要があります。サーバー コンピュータ名や DNS 名は使用しないでください。

コンピュータ名または DNS 名を使用するようにサーバーのブラウザを構成すると、インターネットに接続された外部ネットワーク インターフェイスの IP アドレスに名前が解決されます。したがって、サーバー上のブラウザは、ISA Server を介して接続するよう構成する必要があります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


自動検出

ここでは、ISA Server 2004 の自動検出機能について説明します。

  • 自動検出の概要
  • ファイアウォール クライアント用の自動検出
  • Web プロキシ クライアント用の自動検出

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


自動検出の概要

ファイアウォール クライアントと Web プロキシ クライアントの接続先の Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータを構成することは、最初は単純な作業のように思えます。ただし、その後行う変更は、時間のかかる面倒な作業になることがあります。特に、常に調整の必要なローミング クライアントに対してはこれが当てはまります。ISA Server の自動検出機能を使用すると、適切な ISA Server コンピュータを自動的に検出できるようにクライアントを構成できます。こうすると、ローミング クライアントは、必要に応じて ISA Server コンピュータに接続できます。自動検出を有効にすると、Web プロキシおよびファイアウォール クライアントはいずれも適切な ISA Server コンピュータを自動的に検出するようになります。

WPAD および WSPAD を DNS サーバーまたは DHCP サーバー上に構成する

自動検出が有効な場合、ファイアウォール クライアントまたは Web プロキシ クライアントは、Web プロキシ自動検出 (WPAD) サーバーにオブジェクトを要求します。この場合、WPAD サーバーは、要求を処理するように構成されている ISA Server コンピュータです。これは、自動検出プロセスをトリガします。

たとえば、これは ISA Server コンピュータが応答しない場合やローカル ネットワーク アダプタが有効または無効な場合に発生します。

手順については、「ISA Server の自動検出用 DNS を構成する」および「ISA Server の自動検出用 DHCP を構成する」を参照してください。

自動検出の仕組み

自動検出は、動的ホスト構成プロトコル (DHCP) サーバーまたはドメイン ネーム システム (DNS) サーバーに格納されている情報に基づいています。まず、クライアントは DNS サーバーまたは DHCP サーバーから WPAD サーバーの名前を取得します。次に、クライアントはサーバー (WPAD 要求と Winsock プロキシ自動検出 (WSPAD) 要求の両方を処理するサーバー) に照会し、対象となる実際の ISA Server コンピュータを決定します。

自動検出を使用してクライアント用 ISA Server を変更する

クライアントが使用する ISA Server コンピュータを変更するには、DHCP サーバーまたは DNS サーバーのエントリを変更します。ただし、情報は DNS サーバーまたは DHCP サーバーにキャッシュされるため、クライアントは実際には以前の ISA Server コンピュータの名前を受け取る場合があります。

自動的にサーバーを検出するときにクライアントが正しい情報を受け取るようにするには、次の手順を実行します。

  1. DHCP サーバーまたは DNS サーバーで、WPAD サーバーとして動作するインターネット インフォメーション サービス (IIS) を実行するコンピュータをポイントするよう自動検出を設定します。IIS を実行するコンピュータには Wspad.dat および Wspad.dat ファイルが含まれているため、DHCP または DNS の自動検出情報を更新する必要はありません。
  2. 専用のリダイレクタとして機能する IIS を実行するコンピュータ上の、Wspad.dat ファイルに含まれている自動検出情報を変更します。IIS を実行するコンピュータは、リダイレクタとして機能する専用のコンピュータです。

次の例は、IIS を実行するコンピュータ上の Wspad.dat ファイルを示しています。

[Common]
Port=1745
[Servers Ip Addresses]
Name=ISAServer.microsoft.com

Wspad.dat リダイレクタ ファイル内の変更は、DNS キャッシュに関係なく、即座に適用されます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアント用の自動検出

ファイアウォール クライアントを構成するときは、クライアントの接続先となる特定の ISA Server コンピュータを指定します。自動検出機能を構成して、ファイアウォール クライアントがどの ISA Server コンピュータを使用するのかを自動的に検出できるようにすることも可能です。

自動検出機能を構成すると、次の手順が実行されます。

  1. クライアントが Winsock 要求を行い、DNS サーバーまたは DHCP サーバーに接続します。
  2. DNS サーバーまたは DHCP サーバーには Web プロキシ自動検出 (WPAD) エントリがあります。このエントリは、ISA Server コンピュータを示す WPAD サーバーを指します。
  3. Wspad.dat ファイルは、WPAD サーバー上に存在している必要があります。このファイルにより、ISA Server コンピュータに要求がリダイレクトされます。
  4. クライアント要求が、DNS サーバーまたは DHCP サーバーの Winsock プロキシ自動検出 (WSPAD) エントリで指定された ISA Server コンピュータによって実行されます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web プロキシ クライアント用の自動検出

ISA Server は Web プロキシ クライアントをサポートしています。ローミング Web プロキシ クライアントがインターネットにログオンしたとき、常に適切な ISA Server コンピュータに接続されるように、自動検出機能を構成できます。

自動検出は、Microsoft Internet Explorer 5 以降のバージョンでサポートされています。

自動検出を構成すると、ISA Server では次の手順が実行されます。

  1. クライアントが Web 要求を行い、DNS サーバーまたは DHCP サーバーに接続します。
  2. DNS サーバーまたは DHCP サーバーには Web プロキシ自動検出 (WPAD) エントリがあります。このエントリは、プロキシ サーバー (ここでは ISA Server コンピュータ) を示す WPAD サーバーを指します。
  3. クライアント要求が、DNS サーバーまたは DHCP サーバーの WPAD エントリで指定された ISA Server コンピュータによって実行されます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


クライアント : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のクライアントをインストールおよび構成する手順について説明します。

  • ファイアウォール クライアントをインストールする
  • ファイアウォール クライアントを構成する
  • Web プロキシ クライアントを構成する
  • 自動検出を構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントをインストールする

ここでは、クライアント コンピュータにファイアウォール クライアント ソフトウェアをインストールする手順について説明します。

  • ファイアウォール クライアント ソフトウェアをインストールする
  • ファイアウォール クライアントの無人セットアップを実行する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアント ソフトウェアをインストールする

ファイアウォール クライアント ソフトウェアをインストールするには

  1. ファイアウォール クライアント コンピュータのコマンド プロンプトで、次のように入力します。

    <パス>\Setup

    <パス> は、共有 ISA Server クライアントのインストール ファイルへのパスです。
  2. 画面上に表示される指示に従います。

注

  • ISA Server クライアントのインストール ファイルは、通常、<ISA Server 名>/MSPClnt という共有名で ISA Server コンピュータのフォルダに配置されます。
  • この手順を実行するには、クライアント コンピュータの Administrators グループのメンバである必要があります。
  • ファイアウォール クライアント ソフトウェアは、ISA Server のいずれのバージョンを実行するコンピュータにもインストールすることはできません。
  • インストールすると、ファイアウォール クライアント アプリケーションが有効になります。
  • ファイアウォール クライアント ソフトウェアは、Microsoft® Windows Server™ 2003、Windows 2000 Server、Windows XP、Windows Millennium Edition、または Windows NT® 4.0 を実行するクライアント コンピュータにインストールできます。Microsoft Internet Explorer 5 以降がインストールされている Windows 98 Second Edition を実行するコンピュータにも、ファイアウォール クライアント ソフトウェアをインストールできます。
  • クライアント コンピュータからファイアウォール クライアント共有へのアクセスを許可するには、"ファイアウォール クライアントのインストール" システム ポリシー構成グループが有効になっている必要があります。ファイアウォール クライアント共有をインストールすると、この構成グループが既定で有効になります。

関連項目

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントの無人セットアップを実行する

ファイアウォール クライアントの無人セットアップを実行するには

  • ファイアウォール クライアント コンピュータのコマンド プロンプトで、次のように入力します。

    Path\Setup /v"[SERVER_NAME_OR_IP=ISA_Server_Name] [ENABLE_AUTO_DETECT={1|0}] [REFRESH_WEB_PROXY={1|0}] /qn"

    パラメータの意味は次のとおりです。

    • Path は、ISA Server 2004 クライアントの共有インストール ファイルへのパスです。これらのファイルは、通常、ISA\MSPclnt という共有名で ISA Server コンピュータのフォルダに配置されます。
    • ISA_Server_Name は、ファイアウォール クライアントの接続先となる ISA Server コンピュータの名前です。
    • ENABLE_AUTO_DETECT=1 は、接続先となる ISA Server コンピュータをファイアウォール クライアントが自動的に検出することを指定します。
    • REFRESH_WEB_PROXY=1 は、ファイアウォール クライアントの構成が、ISA Server コンピュータで指定されている Web プロキシ構成で更新されることを示します。

注

  • 無人アンインストールを実行するには、コマンド プロンプトで次のように入力します。

    MsiExec.exe /X {199B7F78-69B7-47C5-8D4B-A3ED1391FB6B} /qn

  • この手順を実行するには、クライアント コンピュータの Administrators グループのメンバである必要があります。
  • ISA Server クライアントのインストール ファイルは、通常、<ISA Server 名>/MSPClnt という共有名で ISA Server コンピュータのフォルダに配置されます。
  • ファイアウォール クライアント ソフトウェアを ISA Server コンピュータにインストールすることはできません。
  • インストールすると、ファイアウォール クライアント アプリケーションが有効になります。
  • ファイアウォール クライアント ソフトウェアは、Microsoft® Windows Server™ 2003、Windows 2000 Server、Windows XP、Windows Millennium Edition、または Windows NT® 4.0 を実行するクライアント コンピュータにインストールできます。Microsoft Internet Explorer 5 以降がインストールされている Windows 98 Second Edition を実行するコンピュータにも、ファイアウォール クライアント ソフトウェアをインストールできます。
  • クライアント コンピュータからファイアウォール クライアント共有へのアクセスを許可するには、"ファイアウォール クライアントのインストール" システム ポリシー構成グループが有効になっている必要があります。ファイアウォール クライアント共有をインストールすると、この構成グループが既定で有効になります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のファイアウォール クライアントを構成する手順について説明します。

  • ファイアウォール クライアント要求をリッスンする
  • ファイアウォール クライアントで Web ブラウザの構成 URL を指定する
  • ファイアウォール クライアントの Web ブラウザ設定を構成する
  • ファイアウォール クライアントのアプリケーション設定を構成する
  • 以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可する


ファイアウォール クライアント要求をリッスンする

ファイアウォール クライアント要求をリッスンするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [ファイアウォール クライアント] タブで、[このネットワークのファイアウォール クライアント サポートを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ファイアウォール クライアントのプロパティは、外部、検疫 VPN クライアント、VPN クライアントのビルトイン ネットワークでは構成できません。
  • ネットワークでインターネット プロトコル セキュリティ (IPsec) のトランスポート モードが有効になっている場合、そのネットワーク内のファイアウォール クライアントの機能が損なわれることがあります。ネットワーク内のファイアウォール クライアントが期待どおりに動作しない場合は、IP ルーティングを無効にしてください。手順については、「IP ルーティングを有効にする」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール クライアントで Web ブラウザの構成 URL を指定する

ファイアウォール クライアントで Web ブラウザの構成 URL を指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web ブラウザ] タブで、必要に応じて次のオプションを選択します。
    • [このネットワーク内の Web サーバーにはプロキシを使用しない]。ローカル Web サーバーにアクセスするとき、ファイアウォール クライアント コンピュータ上の Web ブラウザが ISA Server コンピュータを使用しない場合は、このオプションを選択します。
    • [[ドメイン] タブに指定されているコンピュータに直接アクセスする]。ファイアウォール クライアント コンピュータ上の Web ブラウザが、ローカル ドメインで定義されているコンピュータへ直接アクセスする場合に、このオプションを選択します。
    • [ISA Server が利用できない場合、バックアップ ルートを使ってインターネットに接続する]。ISA Server コンピュータを利用できないときに、ファイアウォール クライアント上の Web ブラウザがバックアップ ルートを使用して要求を処理する場合に、このオプションを選択します。このオプションを選択した場合は、[直接アクセス] または [代替 ISA Server] を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更内容を保存し、ISA Server の構成を更新するには、詳細ウィンドウで [適用] ボタンをクリックします。
  • 指定したオプションは、Web ブラウザが使用する構成スクリプトに反映されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイアウォール クライアントの Web ブラウザ設定を構成する

ファイアウォール クライアントの Web ブラウザ設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. ファイアウォール クライアント上の Web ブラウザが、指定した自動構成スクリプトに記述されている構成情報を使用する場合は、[ファイアウォール クライアント] タブで [このネットワークのファイアウォール クライアント サポートを有効にする] をクリックします。
  5. クライアント コンピュータが ISA Server コンピュータを自動的に検出する場合は、[設定を自動的に検出する] をクリックします。
  6. ファイアウォール クライアント コンピュータ上の Web ブラウザが、指定した自動構成スクリプトに記述されている構成情報を使用する場合は、[自動構成スクリプトを使用する] をクリックします。このオプションを選択した場合、次のいずれかを指定します。
    • [既定の URL を使う]。既定のクライアント構成スクリプトを使用するよう指定します。セットアップ中に、自動構成スクリプトの場所を指す既定の URL が ISA Server によって作成されます。この既定の構成スクリプトは、自動的に Web ブラウザで使用可能になります。したがって、Web ブラウザを個別に再構成せずに、すべてのクライアントの Web ブラウザ設定を更新することができます。
    • [カスタム URL を使う]。カスタム クライアント構成スクリプトを使用するよう指定します。既定の構成スクリプトの代わりに、独自の構成スクリプトを手動で作成できます。Web ブラウザが構成スクリプトを検出する際、カスタム スクリプトがブラウザに返されます。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更内容を保存し、ISA Server の構成を更新するには、詳細ウィンドウで [適用] ボタンをクリックします。
  • 構成スクリプトは、[Web ブラウザ] タブで指定したオプションに基づいて作成されます。この構成スクリプトは、自動的にファイアウォール クライアント上の Web ブラウザで使用できるようになります。したがって、Web ブラウザを個別に再構成せずに、すべての Web ブラウザ設定を更新することができます。
  • [設定を自動的に検出する] を有効にすると、Web プロキシ自動検出 (WPAD) を組み込むよう DNS サーバーまたは DHCP サーバーを構成することができます。Web プロキシ クライアントは、WPAD 機能を利用して、Web 要求で使用する ISA Server コンピュータを自動的に検出します。これにより、ローミング クライアントがインターネットにログオンするときは、必ず適切な ISA Server コンピュータに接続するようになり、時間のかかる調整作業を減らすことができます。この機能は、Internet Explorer 5 以降のブラウザにのみ適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントのアプリケーション設定を構成する

ファイアウォール クライアントのアプリケーション設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ファイアウォール クライアント設定の定義] をクリックします。
  3. [アプリケーションの設定] タブで、[新規作成] をクリックします。
  4. [アプリケーション] に、新しいアプリケーションの名前を入力します。
  5. [キー] で、キー名を選択します。
  6. [値] に、キーに設定する値を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既存のアプリケーション設定を削除するには、[アプリケーションの設定] タブで削除する設定を選択し、[削除] をクリックします。
  • 既存のアプリケーション設定を変更するには、[アプリケーションの設定] タブで変更する設定を選択し、[編集] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可する

以前のバージョンのファイアウォール クライアントを実行するクライアントからの接続を許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[ファイアウォール クライアント設定の定義] をクリックします。
  3. [接続] タブで、[暗号化されていないファイアウォール クライアント接続を許可する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択すると、古いバージョンのファイアウォール クライアント ソフトウェアを実行しているコンピュータは接続を許可されます。また、Microsoft Windows NT Server 4.0、Windows Millennium Edition、または Windows 98 を実行しているファイアウォール クライアントでも接続できます。
  • このオプションを選択すると、認証されたユーザーからの非暗号化トラフィックはブロックされます。ファイアウォール ポリシー ルールで明示的に認証を要求している場合のみ、ユーザーの認証が行われます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web プロキシ クライアントを構成する

ここでは、Web プロキシ クライアントを構成する手順について説明します。

  • Web プロキシ クライアント要求をリッスンする
  • Web プロキシ クライアントの認証方法を構成する
  • Web プロキシ クライアント接続の最大数を構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web プロキシ クライアント要求をリッスンする

Web プロキシ クライアント要求をリッスンするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[Web プロキシ クライアントを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web プロキシ クライアントのプロパティは、外部、検疫 VPN クライアント、VPN クライアントのビルトイン ネットワークでは構成できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web プロキシ クライアントの認証方法を構成する

Web プロキシ クライアントの認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[認証] をクリックします。
  5. 選択したネットワークに接続するクライアントの認証に使用できる認証方法を選択します。
  6. このネットワークからのクライアントに対して、選択した認証方法のいずれかを使用して認証するよう強制するには、[すべてのユーザーに認証を要求する] を選択します。
  7. RADIUS、ダイジェスト、または基本認証を選択した場合は、[ドメインの選択] をクリックして、クライアントの認証時に使用するドメインの名前を入力します。
  8. RADIUS 認証を選択した場合は、[認証サービス] 分類で、システム ポリシーの [RADIUS] 構成グループを有効にする必要があります。
  9. RADIUS 認証を選択した場合は、[RADIUS サーバー] をクリックし、RADIUS 認証で使用するサーバーを構成します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 基本認証方法でネットワークにログオンするユーザーは、特定のドメインに属している必要があります。通常、基本認証に使用される Windows ドメインは、Web サーバーがアクティブであるローカル ドメインです。必要に応じて、別のドメインを指定できます。
  • ドメインを明示的に指定しない場合は、ISA Server 独自のドメインが使用されます。
  • RADIUS 認証を選択した場合は、その他の認証方法を選択できません。
  • 認証方法を選択しておらず、ユーザーに対して認証を要求するルールがファイアウォール ポリシーに含まれている場合は、認証に失敗し、要求が拒否されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web プロキシ クライアント接続の最大数を構成する

Web プロキシ クライアント接続の最大数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [Web プロキシ] タブで、[詳細設定] をクリックします。
  5. 次のいずれかを選択します。
    • [無制限]。ISA Server に同時接続できる Web プロキシ クライアント数を制限しない場合に、このオプションを使用します。
    • [サーバーごとの最大数]。ISA Server に同時接続できる Web プロキシ接続の最大数を制限する場合に、このオプションを使用します。ボックスに、最大接続数を入力します。
  6. [接続タイムアウト] に、ISA Server が非アクティブ ユーザーを切断するまでの秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Web プロキシ クライアントのプロパティは、外部、検疫 VPN クライアント、VPN クライアントのビルトイン ネットワークでは構成できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


自動検出を構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の自動検出機能を構成する手順について説明します。

  • 自動検出情報を公開する
  • ISA Server の自動検出用 DNS を構成する
  • ISA Server の自動検出用 DHCP を構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


自動検出情報を公開する

自動検出情報を公開するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワーク (通常は [内部]) をクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [自動検出] タブで、[自動検出情報を公開する] チェック ボックスをオンにします。
  5. [自動検出要求に使うポート] に、ISA Server コンピュータが Web プロキシ自動検出 (WPAD) および Winsock プロキシ自動検出 (WSPAD) 要求をリッスンするポート番号を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 変更内容を保存し、ISA Server の構成を更新するには、詳細ウィンドウで [適用] ボタンをクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server の自動検出用 DNS を構成する

ISA Server の自動検出用 DNS を構成するには

  1. [スタート] ボタンをクリックし、[すべてのプログラム]、[管理ツール] の順にポイントし、[DNS] をクリックします。
  2. コンソール ツリーで、該当する前方参照ゾーンを右クリックし、[新しいエイリアス] をクリックします。

    場所 :

    • DNS
    • <DNS サーバー>
    • 前方参照ゾーン
    • <該当するゾーン>
  3. [エイリアス名] に、「WPAD」と入力します。
  4. [ターゲット ホスト用の完全修飾名] に、ISA Server コンピュータまたはアレイの完全修飾ドメイン名を入力します。

注

  • [管理ツール] に [DNS] という項目がない場合、DNS はインストールされていません。
  • ISA Server コンピュータまたはアレイにホスト (A) レコードが既に定義されている場合は、[参照] をクリックして、ISA Server またはアレイ名の DNS 名前空間を検索することができます。
  • DNS を使用して WPAD を公開する場合は、ポート 80 を使用するように自動検出を構成する必要があります。または、発信方向の Web 要求をポート 80 でリッスンするように構成する必要があります。

関連項目

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server の自動検出用 DHCP を構成する

ISA Server の自動検出用 DHCP を構成するには

  1. [スタート] ボタンをクリックし、[すべてのプログラム]、[管理ツール] の順にポイントし、[DHCP] をクリックします。
  2. コンソール ツリーで、適切な DHCP サーバーを右クリックし、[既定のオプションの設定]、[追加] の順にクリックします。
  3. [名前] に、「WPAD」と入力します。
  4. [コード] に、「252」と入力します。
  5. [データ型] で、[文字列] を選択し、[OK] をクリックします。
  6. [文字列] に、次のように入力します。

    http://<コンピュータ名>:<自動検出ポート番号>/Wpad.dat

    <コンピュータ名> は、ISA Server コンピュータまたはアレイの完全修飾ドメイン名で、<自動検出ポート番号> は、自動検出情報が公開されるポート番号です。このポートは、発信方向の Web 要求ポート番号、または自動検出の公開に使用される追加のポートのいずれかです。

  7. [サーバー オプション] を右クリックし、[オプションの構成] をクリックします。
  8. [オプション 252] チェック ボックスがオンになっていることを確認します。

関連項目

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ファイアウォール クライアントのトラブルシューティング

どのような問題がありますか?

ファイアウォール クライアント ソフトウェアが正しくインストールされません。

原因 : ファイアウォール クライアントが適切にインストールされない原因はいくつか考えられます。ファイアウォール クライアント ソフトウェアのセットアップ プログラムは、クライアント ソフトウェアをインストールするたびにクライアント コンピュータ上にログ ファイルを作成します。ログ ファイルには、インストールされたクライアント アプリケーションや開始されたサービスに関する情報など、セットアップに関する情報が含まれています。

解決方法 : ログ ファイルを使用して、セットアップに関する問題のトラブルシューティングを行うことができます。ログ ファイル名は Firewallc.log です。これは、ファイアウォール クライアント ソフトウェアのインストール ディレクトリにあります。ISA Server は、ファイアウォール クライアント ソフトウェアがインストールされるたびにこのログ ファイルを上書きします。

ファイアウォール クライアントが外部ネットワークにアクセスできません。.

原因 : ネットワークでインターネット プロトコル セキュリティ (IPsec) のトランスポート モードが有効になっている場合、そのネットワーク内のファイアウォール クライアントの機能が損なわれることがあります。

解決方法 : IP ルーティングを無効にします。手順については、「IP ルーティングを有効にする」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


仮想プライベート ネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、リモート アクセス クライアントおよびサイト間ネットワーク用の仮想プライベート ネットワークをサポートしています。リモート アクセス クライアントは、仮想プライベート ネットワーク (VPN) クライアントとも呼ばれます。ここでは、ISA Server の VPN 機能について、および VPN を構成する手順について説明します。

  • VPN のセキュリティに関する推奨事項
  • VPN : 概念
  • VPN : 操作方法
  • VPN のトラブルシューティング

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN のセキュリティに関する推奨事項

Microsoft Internet Security and Acceleration (ISA) Server 2004 を仮想プライベート ネットワーク (VPN) サーバーとして使用する場合、セキュリティに関する運用方法に従う必要があります。次の一覧は、VPN サーバーとして使用する ISA Server コンピュータをセキュリティで保護するための推奨事項です。

  • 有効にする認証方法を決定する際は、これらのガイドラインに従ってください。認証方法の詳細については、「VPN 認証」を参照してください。
    • 十分なセキュリティを提供する認証方法を使用します。スマート カードと共に使用した場合に最も安全な認証方法は、EAP-TLS (Extensible Authentication Protocol-Transport Level Security) です。EAP-TLS とスマート カードを使用した場合には、公開キー基盤 (PKI) を必要とする複雑な展開となるにもかかわらず、これは最も安全な認証方法であると考えられています。
    • パスワードベースの認証を使用する場合は、ネットワークに強力なパスワード ポリシーを適用して、辞書攻撃を防ぐようにします。
    • パスワード認証プロトコル (PAP)、Shiva パスワード認証プロトコル (SPAP)、チャレンジ ハンドシェイク認証プロトコル (CHAP) などのプロトコルの使用を許可するのではなく、Microsoft チャレンジ ハンドシェイク認証プロトコル バージョン 2 (MS-CHAP v2) または拡張認証プロトコル (EAP) などのより安全な認証プロトコルを使用して認証されるようにリモート VPN クライアントに要求することを検討します。
    • PAP、SPAP、および CHAP を無効にすることを強くお勧めします。既定では、PAP、SPAP、および CHAP は無効になっています。
    • リモート アクセス ポリシーのプロファイルで既定により無効になっている EAP-TLS を有効にします。EAP-TLS 認証プロトコルを使用する場合は、インターネット認証サービス (IAS) サーバーにコンピュータ証明書をインストールする必要があります。クライアントとユーザーの認証では、クライアント コンピュータに証明書をインストールするか、スマート カードを使用できます。証明書を展開する前に、正しい要件を使用して証明書を設計する必要があります。
  • 最強の暗号化を実現するには、レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPsec) 接続をお勧めします。
  • 強力なパスワード ポリシーを実装して適用し、辞書攻撃を防ぐことをお勧めします。このようなポリシーを実装する場合は、アカウントのロックアウトを無効にできます。こうすると、攻撃者がアカウントのロックアウトをトリガしにくくなります。
  • 特定のオペレーティング システム (Microsoft® Windows Server™ 2003、Windows® 2000 Server、または Windows XP など) を実行することをリモート VPN クライアントに要求するよう検討します。必ずしもすべてのオペレーティング システムで、ファイル システムのセキュリティ レベルとユーザー アカウンティングのセキュリティ レベルが同じとは限りません。また、必ずしもすべてのリモート アクセス機能を、すべてのオペレーティング システムで利用できるとは限りません。
  • ISA Server の検疫の制御機能を使用して、リモート VPN クライアントに段階別のネットワーク アクセスを提供します。検疫の制御を使用すると、クライアントはネットワークへのアクセスが許可されるまで、検疫モードに制限されます。検疫の制御は攻撃者に対する防御は行いませんが、許可されているユーザーのコンピュータ構成を確認し、必要に応じて、ユーザーがネットワークにアクセスする前にそれを修正できます。詳細については、「VPN と検疫」を参照してください。
  • 検疫機能は、VPN クライアント ネットワーク上の悪意のあるユーザーに対する防御は行いません。
  • ウイルスに感染した VPN クライアント コンピュータは自動的にブロックされず、ISA Server コンピュータやその保護下のネットワークに要求を送信し続けます。これを防ぐには、監視機能を実装して警告の発生やトラフィック負荷の異例なピークなどの異常を検出できるようにすると共に、電子メール メッセージを使用して警告を通知するよう構成します。感染した VPN クライアント コンピュータが識別された場合は、次のいずれかを行います。
    • リモート アクセス ポリシーを使用して VPN アクセスをユーザー名によって制限し、接続を許可されている VPN クライアントからユーザーを除外します。
    • IP アドレスによって VPN アクセスを制限します。これを行うには、ブロックされる外部 IP アドレスを含む新しいネットワークを作成し、クライアントの IP アドレスを外部ネットワークから新しいネットワークに移動します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN : 概念

ここでは、Internet Security and Acceleration (ISA) Server 2004 の仮想プライベート ネットワーク (VPN) 機能について説明します。

  • VPN の概要
  • VPN の動作
  • ISA Server とルーティングおよびリモート アクセスの相互運用性
  • リモート VPN クライアント
  • サイト間 VPN
  • 一般的な VPN 構成
  • VPN 接続の監視

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN の概要

仮想プライベート ネットワーク (VPN) は、インターネットをはじめとする共有またはパブリック ネットワークにリンクしているプライベート ネットワークを拡張したものです。VPN を使用すると、ポイント ツー ポイント プライベート リンクをエミュレートすることにより、共有またはパブリック ネットワークに接続された 2 台のコンピュータ間でデータを送受信できます。仮想プライベート ネットワークを作成し、構成することを仮想プライベート ネットワーキングと言います。

VPN 接続により、自宅または外出先で作業するユーザーは、インターネットなどのパブリック インターネットワークのインフラストラクチャを使用して、組織のサーバーにリモート アクセスすることができます。ユーザー側では、VPN は、コンピュータ、VPN クライアント、および組織内のサーバー (VPN サーバー) 間に確立されたポイント ツー ポイント接続と認識されます。データが専用のプライベート リンクを介して送信されているかのように見えるため、共有またはパブリック ネットワークの実際のインフラストラクチャは重要ではありません。

さらに、VPN 接続を使用すると、インターネットなどのパブリック インターネットワークを介して、他の組織との間に経路指定された接続を確保し、その一方で地理的に離れたオフィスなどとの通信をセキュリティで保護することもできます。インターネット上で経路指定された VPN 接続は、論理的には専用広域ネットワーク (WAN) リンクとして機能します。

ISA Server 2004 では、仕様に応じて、リモート アクセス クライアントやリモート サイトからアクセス可能な、セキュリティで保護された VPN を構成できます。ISA Server コンピュータを VPN サーバーとして使用すると、企業ネットワークを悪意のある VPN 接続から保護できるという利点もあります。VPN サーバーはファイアウォール機能に統合されるため、VPN ユーザーにも ISA Server のファイアウォール ポリシーが適用されます。また、ISA Server コンピュータを VPN サーバーとして使用すると、サイト間 VPN 接続、および企業ネットワークへの VPN クライアントのアクセスを管理することができます。

ISA Server は、次の 2 種類の VPN 接続をサポートしています。

  • リモート アクセス VPN 接続。リモート アクセス クライアントは、プライベート ネットワークに接続するリモート アクセス VPN 接続を確立します。ISA Server は、VPN サーバーが接続されているネットワーク全体へのアクセスを提供します。詳細については、「リモート VPN クライアント」を参照してください。
  • サイト間 VPN 接続。ルーターは、プライベート ネットワークの 2 地点を結ぶサイト間 VPN 接続を確立します。ISA Server は、ISA Server コンピュータが接続されているネットワークへの接続を提供します。詳細については、「サイト間 VPN」を参照してください。

ISA Server の場合は、VPN 接続の種類ごとに構成が若干異なります。単一のリモート VPN クライアントにアクセスが要求される場合は、その単一ユーザーに対して構成を行います。サイト間ネットワーク構成では、リモート ユーザーのネットワーク全体にアクセスを許可する必要があります。つまり、VPN ユーザーのネットワークに対して構成を行います。

しかし、ほとんどの VPN 構成は、どちらのシナリオにも共通しています。たとえば、ISA Server は、リモート サイト ネットワークからの最初の接続要求を、単一のリモート VPN クライアントからの要求として認識します。トンネリング プロトコル、認証方法、ネットワーク アクセス、および初期接続へのアドレスの割り当ては、リモート アクセス クライアントに関するものとして構成される必要があります。一般的な VPN 構成の詳細については、「一般的な VPN 構成」を参照してください。

web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN の動作

ポイント ツー ポイント リンクをエミュレートするため、データは、ルーティング情報の入ったヘッダーが付けられて、カプセル化 (ラップ) されます。このルーティング情報により、データが、共有またはパブリック ネットワーク経由でエンドポイントに到達することが可能になります。プライベート リンクをエミュレートするため、データが機密性を保持する目的で暗号化されます。共有またはパブリック ネットワークでパケットが傍受されても、暗号化キーがなければ解読できません。機密データのカプセル化と暗号化が行われるリンクは、仮想プライベート ネットワーク (VPN) 接続と位置付けられます。

リモート VPN クライアントまたはリモート サイト ゲートウェイが ISA Server 2004 を呼び出す際には、以下の手順が実行されます。

  1. リモート アクセス クライアントまたはリモート サイト ゲートウェイが ISA Server コンピュータにダイヤルします。
  2. ISA Server は、チャレンジをクライアントに送信します。
  3. クライアントまたはリモート サイト ゲートウェイは、ユーザー名、ドメイン名、パスワードで構成された応答を暗号化し、サーバーに送信します。
  4. サーバーは、該当するユーザー アカウント データベースに照らして、応答を確認します。
  5. アカウントが有効で、認証の資格情報が正しければ、サーバーは、そのユーザー アカウントのダイヤルイン プロパティとリモート アクセス ポリシーを使用して接続を許可します。

注

  • 手順 2 と手順 3 は、リモート アクセス クライアントと ISA Server が、MS-CHAP v1 または CHAP 認証プロトコルを使用していることを前提としています。他の認証プロトコルを使用している場合は、クライアントの資格情報の送信手順が異なる可能性があります。
  • ISA Server がドメインのメンバで、ユーザーの応答にドメイン名が含まれていない場合は、ISA Server コンピュータのドメイン名が使用されます。

接続が確立されてからのセキュリティ

リモート アクセスで使用される資格情報は、目的のネットワークへの通信チャネルを提供するだけです。リモート アクセス接続の結果、クライアントがネットワークにログオンすることはありません。クライアントがネットワーク リソースへのアクセスを試みるたびに、資格情報が要求されます。このチャレンジに対して適切な資格情報が返されない場合、その試行は失敗します。

Microsoft® Windows Server™ 2003 および Windows® XP には、リモート アクセスを簡略化するための機能が追加されています。接続に成功すると、Windows Server 2003 および Windows XP のリモート アクセス クライアントは、これらの資格情報を、リモート アクセス接続時の既定の資格情報としてキャッシュします。ネットワーク リソースがリモート アクセス クライアントに資格情報を要求すると、クライアントはキャッシュされた資格情報を返します。ユーザーは、資格情報を何度も入力する必要がありません。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server とルーティングおよびリモート アクセスの相互運用性

ISA Server 2004 は、Microsoft® Windows Server™ 2003 および Windows® 2000 で使用可能なルーティングとリモート アクセスによって有効になる基本的な仮想プライベート ネットワーク (VPN) 機能に基づいていて、これを拡張します。ほとんどの VPN 構成は ISA Server の管理を使用して行われますが、ルーティングとリモート アクセスを使用して一部の詳細設定を構成することもできます。実際にルーティングとリモート アクセスを使用して VPN を構成するときは、ISA Server でのみ構成する必要がある特定の設定を上書きしないように注意してください。特に、以下の点に注意する必要があります。

  • ルーティングとリモート アクセスを使用してネットワーク アドレス変換 (NAT) を有効にしている場合、ISA Server 機能の一部が適切に機能しないことがあります。
  • IP ルーティングの有効化または無効化には、ルーティングとリモート アクセスを使用しないでください。ISA Server は、常にルーティングとリモート アクセス設定を同期化しますが、ISA Server がこの機能をどのように構成しているかを、ルーティングとリモート アクセスが確認することはありません。ただし、ルーティングとリモート アクセスを使用してルーティング テーブルを構成することは可能です。
  • ルーティングとリモート アクセスを使用して構成したパケット フィルタは、適用されません。
  • ルーティングとリモート アクセスのパケット フィルタは、ISA Server の実行中は適用されません。ルーティングとリモート アクセスの検疫に使用されるパケット フィルタによって定義される機能を、ISA Server にコピーすることをお勧めします。
  • ISA Server は、ルーティングとリモート アクセスで指定された RADIUS サーバーおよび RADIUS サーバー スコアをすべて上書きします。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート VPN クライアント

ここでは、リモート VPN クライアント用の Internet Security and Acceleration (ISA) Server の仮想プライベート ネットワーク (VPN) 機能について説明します。

  • リモート VPN クライアント アクセス
  • VPN クライアント コンピュータ
  • リモート VPN クライアント アクセスのユーザー
  • リモート VPN クライアントの RADIUS 認証
  • VPN クライアントのユーザー マッピング
  • VPN クライアントとファイアウォール ポリシー
  • L2TP 接続の証明書
  • VPN と検疫


リモート VPN クライアント アクセス

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用すると、ローカル インターネット接続を使用して、世界中のどこからでも内部ネットワークに接続できます。たとえば、会社がニューヨーク市にあり、営業員がシカゴで営業活動をしているとします。この場合、ニューヨーク市に電話をかけ、ルーティングとリモート アクセスを使用して内部ネットワークに直接接続するのではなく、インターネットにローカルに接続し、仮想プライベート ネットワーク (VPN) 接続を使用して内部ネットワークにアクセスする方法があります。これが、リモート アクセス VPN シナリオです。

ISA Server では、PPTP (Point-to-Point トンネリング プロトコル) またはレイヤ 2 トンネリング プロトコル (L2TP) を使用して、リモート クライアント アクセス ソリューションを実装できます。トンネリング プロトコルの詳細については、「VPN トンネリング プロトコル」を参照してください。

たとえば、次の図のような、ローミング VPN クライアントの一般的なネットワーク トポロジについて考えてみます。この図では、3 つのネットワークが示されています。

  • インターネット。VPN クライアントが配置されています。
  • VPN ゲートウェイ。ISA Server コンピュータです。
  • 内部ネットワーク。IP アドレスを動的に割り当てるための DHCP サーバーを配置できます。L2TP を構成する場合は、証明機関も配置できます。
リモート クライアント アクセス

VPN クライアント

ISA Server に接続するリモート VPN クライアントには、Microsoft® Windows Server™ 2003、Windows® XP、Windows 2000、Windows NT® 4.0、Windows 98、Windows 95、または Windows Millennium Edition を実行しているコンピュータを使用できます。クライアントは、インターネット経由で TCP/IP パケットをリモート アクセス サーバーに送信する機能を持っていなければなりません。したがって、ネットワーク アダプタかアナログ電話回線に接続されたモデムのいずれか、またはインターネットへのその他の WAN 接続が必要になります。詳細については、「VPN クライアント コンピュータ」を参照してください。

リモート VPN クライアント アクセスを有効にする

ISA Server によって保護されたネットワークへのリモート VPN クライアント アクセスを有効にするには、次の手順を実行する必要があります。

  1. ISA Server にリモート VPN クライアントとして接続できるようにするユーザー アカウントを特定して構成します。ユーザーは、RADIUS ユーザーまたは Windows ユーザーとして識別されます。詳細については、「リモート VPN クライアント アクセスのユーザー」を参照してください。
  2. ISA Server コンピュータで、VPN クライアント アクセスを有効にします。手順については、「VPN クライアントとファイアウォール ポリシー」を参照してください。
  3. ISA Server への接続時に使用する VPN トンネリング プロトコル (PPTP または L2TP) を選択します。詳細については、「VPN トンネリング プロトコル」を参照してください。
  4. オプションで、検疫の制御を有効にします。接続するすべての VPN クライアントを検疫して、確実にセキュリティ ポリシーに準拠させることができます。準拠していない VPN クライアントは、内部ネットワーク上のリソースに接続して、ポリシー準拠に必要なソフトウェアや更新を取得できます。ただし、企業リソースへの一般のアクセスは許可されません。詳細については、「VPN と検疫」を参照してください。

注

  • 一部のプロパティは、ルーティングとリモート アクセスおよび ISA Server の両方で構成できます。このケースでは、これらは ISA Server でのみ構成してください。ルーティングとリモート アクセスに固有のプロパティは、ルーティングとリモート アクセスを使用して構成できます。詳細については、「ISA Server とルーティングおよびリモート アクセスの相互運用性」を参照してください。


VPN クライアント コンピュータ

ISA Server 2004 に接続する仮想プライベート ネットワーク (VPN) クライアント コンピュータには、Microsoft® Windows Server™ 2003、Windows® 2000、Windows XP、Windows NT® 4.0、Windows 98、Windows 95、または Windows Millennium Edition を実行しているコンピュータを使用できます。クライアントは、インターネット経由で TCP/IP パケットをリモート アクセス サーバーに送信する機能を持っていなければなりません。ネットワーク アダプタ、アナログ電話回線に接続されたモデム、またはインターネットへのその他の広域ネットワーク (WAN) 接続が必要とされます。

注

  • ISA Server では、ダイヤルアップ接続を可能にするルーティングとリモート アクセスの構成はサポートしていません。

VPN クライアントのトンネリング プロトコル

次の表は、Microsoft VPN クライアントでサポートされているトンネリング プロトコルの概要を示しています。トンネリング プロトコルの詳細については、「VPN トンネリング プロトコル」を参照してください。

VPN クライアント | サポートされているトンネリング プロトコル | サポートされていないトンネリング プロトコル
Windows Server 2003 ファミリ、Windows 2000、および Windows XP | PPTP (Point-to-Point トンネリング プロトコル) およびレイヤ 2 トンネリング プロトコル (L2TP) | なし
Windows NT Version 4.0 | PPTP | L2TP
Windows Millennium Edition および Windows 98 | PPTP | L2TP
Windows Dial-Up Networking 1.3 Performance and Security Upgrade for Windows 95 がインストールされた Windows 95 | PPTP | L2TP
Microsoft L2TP/IPsec VPN クライアントがインストールされた Windows Millennium Edition、Windows 98、Windows NT 4.0 Workstation、および Windows 95 | L2TP | PPTP

リモート VPN クライアントの認証方法

次の表は、リモート VPN クライアントでサポートされている認証プロトコルの概要を示しています。認証方法の詳細については、「VPN 認証」を参照してください。

リモート VPN クライアント | サポートされている認証方法 | サポートされていない認証方法
Windows Server 2003 ファミリ、Windows XP、および Windows 2000 | Microsoft チャレンジ ハンドシェイク認証プロトコル (MS-CHAP)、チャレンジ ハンドシェイク認証プロトコル (CHAP)、Shiva パスワード認証プロトコル (SPAP)、パスワード認証プロトコル (PAP)、MS-CHAP バージョン 2 (MS-CHAP v2)、拡張認証プロトコル (EAP) | なし
Windows NT Version 4.0 | MS-CHAP、CHAP、SPAP、PAP、MS-CHAP v2 (Windows NT 4.0 Service Pack 4 以降が必要) | EAP
Windows 98 | MS-CHAP、CHAP、SPAP、PAP、MS-CHAP v2 (Windows 98 Service Pack 1 以降が必要) | EAP
Windows 95 | MS-CHAP、CHAP、SPAP、PAP、MS-CHAP v2 (ダイヤルアップ ネットワーク 1.4 アップグレードが必要) | EAP

注

  • Windows 95 をダイヤルアップ ネットワーク 1.4 アップグレードと共に使用する場合、VPN 接続では MS-CHAP v2 はサポートされますが、ダイヤルアップ接続ではサポートされません。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート VPN クライアント アクセスのユーザー

ISA Server 2004 に接続するためのリモート仮想プライベート ネットワーク (VPN) クライアント アクセス機能を使用できるユーザーおよびグループを作成できます。VPN ユーザーは、ドメイン コントローラ コンピュータで作成できます。このコンピュータには、リモート ユーザーの認証に必要なユーザー グループおよびユーザー情報が含まれています。

または、RADIUS サーバーで VPN ユーザーを作成することもできます。詳細については、「リモート VPN クライアントの RADIUS 認証」を参照してください。

ユーザー アカウントのダイヤルイン プロパティ

Microsoft® Windows Server™ 2003 では、ユーザーによる接続試行を許可または拒否する際に使用されるダイヤルイン プロパティがユーザー アカウントに含まれています。ダイヤルイン プロパティは、[ローカル ユーザーとグループ] または [Active Directory ユーザーとコンピュータ] のユーザー アカウントの [ダイヤルイン] タブで設定することができます。リモート アクセス ポリシーで、[リモート アクセス許可 (ダイヤルインまたは VPN)] を [アクセスを許可] または [アクセスの制御] に設定する必要があります。

手順については、「リモート VPN クライアントのユーザーとグループを作成する」および「リモート サイト ゲートウェイのダイヤルイン アカウントを作成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート VPN クライアントの RADIUS 認証

ISA Server 2004 では、仮想プライベート ネットワーク (VPN) クライアント用に、リモート認証ダイヤルイン ユーザー サービス (RADIUS) 認証をサポートしています。RADIUS 認証が有効になっていると、VPN クライアントは RADIUS サーバーに対して認証されます。RADIUS サーバーは、集中管理されたリモート アクセス認証、承認、アカウンティング、および監査を行います。

RADIUS 認証用に ISA Server を構成する

ISA Server を構成する場合は、RADIUS 認証を認証プロバイダとして選択します。RADIUS サーバーを追加する場合、次の構成を行う必要があります。

  • サーバー名。インターネット認証サービス (IAS) サーバーのホスト名または IP アドレスです。
  • シークレット。ルーティングとリモート アクセスを実行するサーバーと IAS サーバーは、両者の間で送信されるメッセージの暗号化に使用するシークレットを共有します。リモート アクセス サーバーと IAS サーバーの両方を、同じ共有シークレットを使用するように構成する必要があります。
  • ポート。リモート アクセス サーバーは、IAS サーバーがリッスンしている UDP ポートに認証要求を送信する必要があります。IAS サーバーを使用している場合、既定値 1812 を変更する必要はありません。

手順については、「RADIUS サーバーを構成する」を参照してください。

RADIUS 認証システム ポリシー ルール

ISA Server をインストールすると、ISA Server コンピュータ (ローカル ホスト ネットワーク) から内部ネットワークへの RADIUS 認証を許可する既定のシステム ポリシー ルールが有効になります。このルールが有効になると、ISA Server は RADIUS 認証を使用して VPN クライアントを検証できるようになります。システム ポリシー ルールの詳細については、「システム ポリシーの概要」を参照してください。

ユーザー マッピング

クライアントが Windows 以外のオペレーティング システムを実行していて、リモート VPN アクセス クライアントとして接続している場合は、認証に使用する RADIUS サーバーを指定する必要があります。ISA Server のユーザー マッピング機能を使用すると、Windows を使用していないユーザーを Windows アカウントにマップできます。このため、ユーザー セットに適用されるファイアウォール ポリシー ルールを作成した場合は、Windows を使用していない VPN リモート アクセス クライアントにこれらのルールを適用することもできます。

ユーザー マッピングが有効になっている場合に RADIUS ユーザーが資格情報を提示すると、ユーザー名とドメインが同じユーザー名とドメインにマップされ、このユーザーは Windows の資格情報が提示された場合と同じように認証されます。

ユーザー マッピングを使用できるのは、ISA Server がドメインにインストールされている場合のみです。ワークグループ環境ではユーザー マッピングを有効にしないでください。

手順については、「ユーザー マッピングを有効にする」を参照してください。

RADIUS アカウンティング用に ISA Server を構成する

ルーティングとリモート アクセスを実行しているサーバーのプロパティを構成する場合は、アカウンティング プロバイダとして RADIUS アカウンティングを選択します。

RADIUS サーバーを追加する場合、次の構成を行う必要があります。

  • サーバー名。IAS サーバーのホスト名または IP アドレスです。
  • シークレット。ルーティングとリモート アクセスを実行するサーバーと IAS サーバーは、両者の間で送信されるメッセージの暗号化に使用するシークレットを共有します。リモート アクセス サーバーと IAS サーバーの両方を、同じ共有シークレットを使用するように構成する必要があります。
  • ポート。リモート アクセス サーバーは、IAS サーバーがリッスンしている UDP ポートにアカウンティング要求を送信する必要があります。既定値 1813 は、RFC 2866 の "RADIUS アカウンティング" に基づいており、IAS サーバーを使用する場合は変更する必要がありません。

手順については、「アカウンティングに RADIUS を使用する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN クライアントのユーザー マッピング

ユーザー マッピングは、Microsoft Windows に基づいていない認証方法 (RADIUS または EAP) を使用して Microsoft Internet Security and Acceleration (ISA) Server 2004 に接続している仮想プライベート ネットワーク (VPN) クライアントを Windows 名前空間にマップするために使用します。その結果、Windows ユーザーとグループ用のユーザー セットを指定しているファイアウォール ポリシー アクセス ルールが、Windows を使用していない認証済みのユーザーにも適用されます。Windows に基づいていない名前空間からのユーザーのユーザー マッピングを定義しない場合、これらのユーザーに既定のファイアウォール ポリシー アクセス ルールが適用されることはありません。

RADIUS サーバーおよび ISA Server が信頼されていないドメイン内にあるかワークグループ内にある場合、ユーザー マッピングは PAP および SPAP 認証方法のみでサポートされます。他の認証方法が構成されている場合は、ユーザー マッピングを使用しないでください。

ISA Server のアレイ メンバに、ミラー化されたアカウントを作成する必要があります。これらのアカウントは、RADIUS アカウントが ISA Server アカウントにマップされる際に使用されます。

手順については、「ユーザー マッピングを有効にする」を参照してください。

注

  • Windows を使用していないユーザーに対してユーザー マッピングを有効にしない場合は、これらのユーザー用のユーザー セットを作成し、ファイアウォール ポリシー ルールを適用できるようにする必要があります。使用する認証方法 (RADIUS または EAP) にかかわらず、RADIUS 名前空間にはユーザー セットを定義する必要があります。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN クライアントとファイアウォール ポリシー

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用してリモートの仮想プライベート ネットワーク (VPN) クライアントへのアクセスを許可するには、VPN クライアント アクセスを有効にする必要があります。手順については、「リモート VPN クライアント アクセスを有効にする」を参照してください。VPN クライアント アクセスを有効にすると、ISA Server によって適切なネットワークおよびファイアウォール ポリシー ルールが有効になり、最初のアクセスが許可されます。

リモート VPN クライアントの接続が許可されると、ISA Server 2004 は、これらのクライアントを VPN クライアント ネットワークのメンバにします。既定のシステム ポリシー ルールにより、ISA Server コンピュータ (ローカル ホスト ネットワーク) へのこれらのクライアント アクセスが許可されます。

システム ポリシー ルール

VPN クライアント アクセスを有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。リモート クライアント アクセスにどのプロトコルを構成したかに応じて、システム ポリシー ルールでは、VPN クライアントが存在する外部ネットワークから ISA Server コンピュータ (ローカル ホスト) へのアクセスに、PPTP (Point-to-Point トンネリング プロトコル)、レイヤ 2 トンネリング プロトコル (L2TP) のいずれか、または両方を使用することを許可します。以下のリモート VPN クライアント アクセス プロパティを構成すると、このルールは変更されます。

  • VPN アクセス ネットワーク。最初は外部ネットワークに設定されていますが、このプロパティは変更できます。ISA Server に接続するための VPN クライアントの接続元のネットワークを 1 つ以上指定できます。このプロパティを変更すると、システム ポリシー ルールが自動的に変更され、追加のネットワークまたは変更されたネットワークに適用されるようになります。
  • VPN プロトコル。リモート VPN クライアント アクセスに使用される VPN コントロールは、PPTP、L2TP のいずれか、または両方です。この設定を変更すると、システム ポリシー ルールが更新され、該当するプロトコルが許可されます。

ネットワーク ルール

ISA Server をインストールしたときに作成される既定のネットワーク ルールは、内部ネットワークと VPN クライアント ネットワーク間のルート関係を定義します。ISA Server をインストールすると、VPN クライアント ネットワークから外部ネットワークへのアクセスを許可するもう 1 つの既定のルールも作成されます。新しいネットワーク ルールを作成すると、VPN クライアント ネットワークから他のネットワークへのトラフィックを許可できるようになります。ネットワーク ルールの詳細については、「ネットワーク ルール」を参照してください。

ファイアウォール、VPN、または SOCKS クライアントがリモート サイト ネットワークまたは VPN クライアントにアクセスするシナリオを考えます。このシナリオでは、クライアントが、リモート サイト ネットワークとネットワーク アドレス変換 (NAT) 関係があるネットワークに配置されている場合は、次のように構成する必要があります。

  • アレイ内アドレスに対して、ネットワークにアクセスするクライアントと同じアクセス許可を指定できるルールを構成します。
  • アレイ内アドレスと宛先ネットワークとの間にネットワーク ルールを作成します。構成される関係は重要ではありません。ルート関係を構成する場合は、リモート サイト ネットワークに ISA Server のアレイ内アドレスを含める必要があります。

VPN クライアント ネットワークのサブネットを内部ネットワークから分離する必要はありません。

ISA Server と ARP

ISA Server は、VPN クライアントのアドレス解決プロトコル (ARP) プロキシとして機能します。たとえば、VPN クライアント ネットワークに割り当てられているアドレスが内部ネットワーク セグメントの一部である場合は、アドレスが静的プールから割り当てられているか、DHCP サーバーによって割り当てられているかにかかわらず、内部ネットワークのコンピュータが ARP クエリを VPN クライアントに送信します。ISA Server は、このクエリを傍受し、接続されている VPN クライアントの代わりに返信します。

ファイアウォール ポリシー ルール

内部ネットワーク上のリソースへのリモート VPN クライアント アクセスを許可するには、適切なアクセスを許可するためのアクセス ルールを作成する必要があります。ファイアウォール ポリシーの観点から見て VPN クライアント ネットワークを内部ネットワークと等しいと見なす場合は、内部ネットワークから VPN クライアント ネットワークへのすべてのトラフィックを許可するアクセス ルールを作成することもできます。ファイアウォール ポリシーの詳細については、「ファイアウォール ポリシー ルール」を参照してください。

検疫を有効にして構成する場合は、検疫 VPN クライアント ネットワーク用のアクセス ルールを作成して、適切なアクセス許可を与える必要があります。検疫の詳細については、「VPN と検疫」を参照してください。

ISA Server がルールを処理し、VPN クライアントからの要求を許可するかどうかを判断する際、VPN の資格情報が使用されます。

既定では、VPN クライアント ネットワークから内部ネットワークへのアクセスを許可するルールを定義すると、すべてのポートへのアクセスが許可されます。ただし、ポートを制限する場合は、ファイアウォール クライアント用のポート 1745 と Web プロキシ クライアント用のポート 8080 へのアクセスを許可する必要があります。

ファイアウォール クライアント

ISA Server が VPN サーバーとして構成されており、ファイアウォール クライアントのファイアウォール サーバーとして機能している場合、ファイアウォール クライアントがインストールされている VPN クライアント コンピュータは、ISA Server 内部ネットワーク インターフェイスのポート 1745 を使用します。ファイアウォール クライアントの詳細については、「ファイアウォール クライアント」を参照してください。

ファイアウォール クライアントとして構成されている VPN クライアント コンピュータは、認証を受けるにあたって、VPN セッションの資格情報ではなく、ログオンしているユーザーからのファイアウォール クライアントの資格情報を提示します。VPN 資格情報に基づいたアクセス ルールが有効になります。

ISA Server に接続しているファイアウォール クライアントは、別の VPN サーバーに接続することはできません。ファイアウォール クライアント アプリケーションは、ISA Server を経由して、VPN トラフィックを含むすべてのトラフィックを送信するためです。このため、VPN サーバーに接続しているときは、ファイアウォール クライアントを無効にしてください。または、ファイアウォール クライアント用に構成されているネットワークに、リモート ネットワークのすべてのアドレスを含めてください。

ファイアウォール クライアントが VPN クライアント ネットワークまたはリモート サイト ネットワークに接続するときに、宛先ネットワークにファイアウォール クライアントのアドレスとのルート関係があると、クライアントは SecureNAT クライアントとして処理されます。アレイ メンバが 1 つのみである場合は、ファイアウォール クライアント アプリケーションは通常どおり機能します。

Web プロキシ クライアント

ISA Server が VPN サーバーとして構成されていて、Web プロキシ クライアントのプロキシ サーバーとして機能している場合、ISA Server コンピュータをプロキシとして使用している VPN クライアント コンピュータは、ISA Server 内部ネットワーク インターフェイスのポート 8080 を使用します。Web プロキシ クライアントの詳細については、「Web プロキシ クライアント」を参照してください。


L2TP 接続の証明書

リモート仮想プライベート ネットワーク (VPN) クライアントがレイヤ 2 トンネリング プロトコル (L2TP) を使用して ISA Server 2004 に接続できるようにする場合、証明書を要求することになります。

インターネット プロトコル セキュリティ (IPsec) の証明書を発行する証明機関 (CA) が必要です。証明書は、内部のサーバーとリモート VPN クライアントでの内部使用のみを目的としているので、ローカル CA を作成することをお勧めします。そのための手順は、Windows を実行している内部ネットワークのコンピュータで行います。スタンドアロンのルート CA は、Windows を実行している内部ネットワークのコンピュータであれば、どのコンピュータ上にでも作成できます。エンタープライズ ルート CA は、ドメイン コントローラにインストールする必要があります。

L2TP over IPsec の場合は、IPsec 証明書を CA からインストールする必要があります。したがって、コンピュータが Web ページを介して証明書を取得できるようにするためのサービスもインストールしなければなりません。コンピュータが他の方法で証明書を取得できるようにする場合は、インターネット インフォメーション サービス (IIS) および Active Server Pages (ASP) をインストールする必要はありません。

証明書を作成したら、その証明書を ISA Server コンピュータにインストールする必要があります。次に、証明書をリモート VPN クライアント コンピュータにインストールします。

証明書の作成およびインストール方法の詳細については、「ISA Server のガイダンス」の Web サイトにある『ISA Server 2004 用デジタル証明書』シナリオ ドキュメントを参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN と検疫

ここでは、Internet Security and Acceleration (ISA) Server 2004 の検疫ポリシー機能ついて説明します。

  • 検疫の制御の概要
  • 検疫の制御の要件
  • 検疫の制御の動作
  • 検疫の制御構成の手順
  • 検疫 VPN クライアントに対するファイアウォール ポリシー

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


検疫の制御の概要

検疫の制御では、仮想プライベート ネットワーク (VPN) クライアントとしても知られるリモート クライアントに対して、段階別のネットワーク アクセスを提供します。これは、これらのクライアントにネットワークへのアクセスを許可するまで、これらのクライアントを検疫モードに制限することで行います。クライアント コンピュータの構成が受け入れられるか、または組織の特定の検疫制限に準拠していると判定されると、指定した検疫の種類に従って、標準の VPN ポリシーが接続に適用されます。たとえば、検疫の制限では、特定のウイルス対策ソフトウェアがインストールされ、ネットワークへの接続中にそれが有効になることが指定されます。検疫の制御は攻撃者に対する防御は行いませんが、許可されているユーザーのコンピュータ構成を確認し、必要に応じて、ユーザーがネットワークにアクセスする前にそれを修正できます。タイマ設定も利用できます。タイマ設定を使用して、クライアントが構成要件を満たさないときに接続が切断される間隔を指定することができます。

ISA Server では、検疫モードを有効にする方法を選択できます。

  • [RADIUS サーバーのポリシーに従って検疫する]。このオプションは、Microsoft® Windows Server™ 2003 ファミリのメンバを実行しているコンピュータに ISA Server がインストールされている場合にのみ選択できます。[RADIUS サーバーのポリシーに従って検疫する] オプションを選択すると、VPN クライアントが接続を試みるときに、クライアントが検疫の対象となるかどうかが ISA Server で判断されます。クライアントは、検疫をクリアすると、VPN クライアント ネットワークに無条件で接続されます。
  • [ISA Server のポリシーに従って検疫する]。このオプションは、検疫 VPN クライアント ネットワークを使用できるようにします。このネットワークに対しては、ファイアウォール ポリシーを設定できます。このオプションにはルーティングとリモート アクセス機能は必要ないため、Windows® 2000 Server を実行しているコンピュータに ISA Server がインストールされている場合に利用できます。

検疫モードを無効にすることもできます。

手順については、「検疫の制御を有効にする」を参照してください。

検疫の制御は、企業のセキュリティ要件に対する VPN クライアントの準拠を制御するために使用できるオプションです。検疫モードが無効になっている場合は、適切な認証アクセス許可を持つすべてのリモート VPN クライアントが VPN クライアント ネットワークに配置され、ファイアウォール ポリシー内で VPN クライアント ネットワークに許可しているアクセス権が与えられることに注意してください。

ISA Server に対する検疫の制御は、ルーティングとリモート アクセスと共に機能して、企業ネットワークに対する VPN クライアント アクセスを制限する手段となります。ISA Server では、新たに接続された VPN クライアントの接続マネージャによって、クライアントが企業の接続ポリシーに準拠していることが示されるまで、そのクライアントが制限付きのファイアウォール ポリシーを使用して、検疫 VPN クライアント ネットワークに割り当てられるように要求できます。

検疫の制御は、VPN クライアントに対して作成する接続マネージャ (CM) プロファイルに依存しています。CM プロファイルは、Windows Server 2003 および Windows 2000 Server に付属の接続マネージャ管理キット (CMAK) を使用して作成します。CM プロファイルには、次の情報が含まれています。

  • ネットワーク ポリシー要件スクリプトを実行する接続後操作。このスクリプトは CMAK を使用して CM プロファイルを作成したときに構成します。
  • リモート アクセス クライアント コンピュータで検証チェックを実行し、ネットワーク ポリシーに準拠していることを確認するためのネットワーク ポリシー要件スクリプト。これにはカスタムの実行ファイル、またはバッチ ファイルとも呼ばれる単純なコマンド ファイルを使用できます。スクリプトが正常に実行され、スクリプトの検証によって、接続元のコンピュータがネットワーク ポリシー要件をすべて満たしていることが確認された場合は、スクリプトによって適切なパラメータを使用した通知コンポーネント (実行ファイル) が実行されます。スクリプトが正常に実行されない場合は、内部 Web ページなどの検疫リソースにリモート アクセス ユーザーを誘導する必要があります。この Web ページには、ネットワーク ポリシーに準拠するために必要なコンポーネントをインストールする方法が説明されています。
  • スクリプトが正常に実行されたことを示すメッセージを検疫対応 ISA Server コンピュータに送信する通知コンポーネント。独自の通知コンポーネントを使用することも、Rqc.exe を使用することもできます。Rqc.exe は、Windows Server 2003 リソース キットに付属のサンプルです。これらのコンポーネントがインストールされている場合、リモート アクセス クライアント コンピュータは接続セットアップ作業の一環として、CM プロファイルを使用してネットワーク ポリシー要件テストを実行し、テストに成功したことを ISA Server コンピュータに通知します。

注

  • ISA Server ポリシーを使用して VPN 接続を確立するには、リモート認証ダイヤルイン ユーザー サービス (RADIUS) サーバーまたは Windows 認証プロバイダに格納されているリモート アクセス ポリシー (RAP) 内の検疫機能を無効にする必要があります。次の操作を行います。
    1. [コンピュータの管理] を開き、[ルーティングとリモート アクセス] ノードを展開します。
    2. [リモート アクセス ポリシー] を選択します。
    3. 詳細ウィンドウで、各ポリシーをダブルクリックしてそのプロパティを開き、[プロファイルの編集] をクリックします。
    4. [詳細設定] タブで、属性一覧から MS-Quarantine-IPFilter と MS-Quarantine-Session-Timeout を削除します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


検疫の制御の要件

ここでは、ISA Server の検疫の制御を実行するための要件について説明します。

ISA Server コンピュータ

検疫対応 ISA Server コンピュータには、以下のコンポーネントが含まれています。

  • Microsoft® Windows Server™ 2003 または Windows® 2000 Server ファミリのメンバを実行しているコンピュータ (ISA Server ポリシーではなく RADIUS 検疫ポリシーを実装する場合に必要)、および ISA Server。
  • リスナ コンポーネント。このコンポーネントは、検疫対応リモート アクセス クライアントからのメッセージをリッスンします。これは、クライアントのスクリプトが正常に実行されていることを示します。独自のカスタム通知コンポーネントに合わせて独自のカスタム リスナ コンポーネントを作成することも、Windows Server 2003 リソース キットのリモート アクセス検疫エージェント サービス (Rqs.exe) のサンプルをインストールすることもできます。

独自のリスナ コンポーネントを作成する場合は、通知コンポーネントからのメッセージをリッスンするように設計し、リモート アクセス接続の検疫の制限を解除するために MprAdminConnectionRemoveQuarantine() (英語情報) (http://www.microsoft.com/) アプリケーション プログラミング インターフェイス (API) を使用する必要があります。API は、API のドキュメントで示されている Mprapi.dll ではなく、ISA Server インストール ディレクトリにある Vpnplgin.dll を呼び出す必要があります。その後、ISA Server は呼び出しをルーティングとリモート アクセスにチェーンします。

これらのコンポーネントをインストールすることで、ISA Server コンピュータは、接続しようとするリモート アクセス クライアントに検疫モードを使用します。そして、クライアントがネットワーク ポリシー要件を満たしていること、および検疫 VPN クライアント ネットワークから VPN クライアント ネットワークに移動可能であることを示す通知メッセージをリッスンします。

Rqc.exe と Rqs.exe を使用している場合、Rqc.exe が送信する通知メッセージには、実行される検疫スクリプトのバージョンを示すテキスト文字列が含まれています。この文字列は、検疫スクリプトから実行するときに、コマンド ライン パラメータの一部として Rqc.exe 用に構成されます。Rqs.exe は、このテキスト文字列を、ISA Server コンピュータのレジストリに格納されているテキスト文字列セットと比較します。一致した場合は、接続の検疫状態が解除されます。ISA Server の Web サイト (http://www.microsoft.com/) で入手可能な ConfigureRQSForISA.vbs スクリプトは、RQS (リスナ コンポーネント) のインストールに役立ちます。

注

  • Rqc.exe が送信する通知は暗号化または認証されていないため、悪意のあるクライアントがスプーフィングを行う可能性があります。
  • RQS.exe エージェントは、ルーティングとリモート アクセスに基づいている必要があります。

ルーティングとリモート アクセスは、Windows または RADIUS 認証プロバイダのいずれかを使用して構成することができます。

検疫対応 RADIUS サーバー (省略可能)

ISA Server コンピュータのルーティングとリモート アクセスを RADIUS 認証プロバイダで構成した場合、検疫対応 RADIUS サーバーには、MS-Quarantine-IPFilter および MS-Quarantine-Session-Timeout RADIUS のベンダ固有属性 (VSA) の構成をサポートしている、Windows Server 2003 および Internet Authentication Service (IAS) を実行しているコンピュータが必要です。MS-Quarantine-IPFilter 属性は、検疫フィルタ用です。MS-Quarantine-Session-Timeout 属性は、検疫セッション タイマ用です。

検疫のリソース

検疫のリソースは、検疫モードのリモート アクセス クライアントが名前解決を実行するためにアクセスできるサーバー (DNS サーバーなど)、最新バージョンの CM プロファイルを取得できるサーバー (匿名アクセスが許可されているファイル サーバー)、またはリモート アクセス クライアントをネットワーク ポリシーに準拠させるために必要な手順やコンポーネントにアクセスできるサーバー (匿名アクセスが許可されている Web サーバー) で構成されています。リモート アクセス ユーザーはリモート アクセス接続を作成するための正しい資格情報を持っていても、保護されているファイルおよび Web リソースにアクセスするための正しいドメインの資格情報を使用していないことがあるため、ファイルおよび Web リソースへの匿名アクセスが必要です。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


検疫の制御の動作

ここでは、Rqc.exe、Rqs.exe、および ISA Server ポリシーが使用されている場合の、ISA Server の検疫の制御の動作について説明します。

  1. 検疫対応リモート アクセス クライアントのユーザーは、インストールされている検疫接続マネージャ (CM) プロファイルを使用して、検疫対応 ISA Server コンピュータに接続します。
  2. リモート アクセス クライアントは、認証資格情報を ISA Server コンピュータに渡します。
  3. ISA Server コンピュータはリモート アクセス クライアントの認証資格情報を検証し、資格情報が有効であると見なす場合は、リモート アクセス ポリシーを確認します。接続の試行は、検疫ポリシーに従います。
  4. 検疫の制限を適用した接続が許可され、クライアントは、IP アドレスが割り当てられて、検疫 VPN クライアント ネットワークに配置されます。この時点で、リモート アクセス クライアントは、検疫 VPN クライアント ネットワークのファイアウォール ポリシーに一致するトラフィックのみを送信することができ、ISA Server の検疫プロパティで指定された秒数が経過するまでに、スクリプトが正常に実行されたことを ISA Server コンピュータに通知することができます。
  5. CM プロファイルは、接続後の動作として検疫スクリプトを実行します。
  6. 検疫スクリプトが実行され、リモート アクセス クライアント コンピュータの構成がネットワーク ポリシー要件を満たしているかどうかが確認されます。ネットワーク ポリシー準拠に関するすべてのテストで問題がない場合、スクリプトはコマンド ライン パラメータを使用して Rqc.exe を実行します。パラメータの 1 つは、CM プロファイル内に含まれる検疫スクリプトのバージョンを表すテキスト文字列です。
  7. Rqc.exe は、スクリプトが正常に実行されたことを示す通知を ISA Server コンピュータに送信します。通知には、検疫スクリプトのバージョン文字列が含まれています。
  8. リスナ コンポーネント (Rqs.exe) が通知を受信します。通知トラフィックは、ファイアウォール ポリシーによる指定で許可されたトラフィックと一致しているため、許可されます。このファイアウォール ポリシーは、VPN クライアントおよび検疫 VPN クライアント ネットワークが RQS ポート 7250 でローカル ホスト ネットワークとの通信を行うことを許可する ISA Server アクセス ルール内で指定されています。
  9. リスナ コンポーネントは、通知メッセージ内のスクリプト バージョン文字列を、レジストリに構成済みの文字列で確認し、スクリプト バージョンが有効であることを示すメッセージまたはスクリプト バージョンが無効であることを示すメッセージを送信します。
  10. スクリプト バージョンが有効な場合、リスナ コンポーネントは、MprAdminConnectionRemoveQuarantine() API を呼び出します。この API により、ISA Server は、検疫 VPN クライアント ネットワークから VPN クライアント ネットワークにクライアントを移動します。
  11. リスナ コンポーネントは、検疫された接続の詳細を示すイベントをシステム イベント ログに作成します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


検疫の制御構成の手順

ここでは、ISA Server の検疫の制御を構成する方法について説明します。検疫モードを有効にする前に、次の手順を行う必要があります。

  1. クライアントの構成情報を検証するクライアント側のスクリプトを作成します。
  2. スクリプトが正常に実行されたことを ISA Server コンピュータに伝える検証用の通知コンポーネントを作成します。通知コンポーネントを作成しない場合は、Rqc.exe を使用できます。
    通知コンポーネントは接続マネージャ (CM) プロファイルに含まれており、クライアント コンピュータにインストールされます。通知コンポーネントは、管理者の提供したスクリプトがクライアントで正常に実行されたときに ISA Server コンピュータに通知を送信します。
  3. リスナ コンポーネントを作成して、通知コンポーネントから情報を受信できる ISA Server コンピュータにインストールし、次にクライアントの検疫モードを解除して、フル アクセス ポリシーを適用します。リスナ コンポーネントを作成しない場合は、サンプルの Rqs.exe を使用できます。リスナ コンポーネントは ISA Server コンピュータにインストールされ、クライアントのスクリプトが構成のチェックをすべて正常に実行したときに、通知コンポーネントから通知を受信します。リスナ コンポーネントは通知を受信した後、クライアントの検疫モードを解除します。そして、ISA Server コンピュータが標準のファイアウォール ポリシー ルールをクライアントに適用します。
  4. サンプルの Rqs.exe を使用している場合は、ISA Server の Web サイト (http://www.microsoft.com/) で入手可能なスクリプト ConfigureRQSForISA.vbs を実行します。このスクリプトは、以下の操作を実行します。
    1. RQS をサービスとしてインストールし、ローカル システム アカウントで実行するように設定します。
    2. VPN クライアントおよび検疫 VPN クライアント ネットワークからローカル ホスト ネットワークへの RQS ポート (7250) での通信を許可する ISA Server アクセス ルールを作成します。クライアントが接続要件を満たしていることを知らせる通知を ISA Server コンピュータが受け取るには、これが必要です。
    3. RQS が ISA Server で機能するように ISA Server コンピュータのレジストリ キーを変更します。
    4. RQS サービスを開始します。
    スクリプトには 1 つのスイッチ (インストールまたは削除) および 2 つのパラメータがあります。これらのパラメータは、許可された RQS 共有キーと RQS.exe へのパスです。
    共有キーは、VPN クライアントが検疫 VPN クライアント ネットワークを終了する前に、RQS が RQC.exe から取得します。許可された共有キー セットに含まれていない共有キーをクライアントが提供した場合、クライアントは切断されます。ConfigureRQSForISA.vbs スクリプトに引数を渡すとき、"\0" で区切ることで複数の共有キーを使用することができます。スクリプトは、ISA Server の Web サイト (http://www.microsoft.com/) から入手できます。

    注

    • ConfigureRQSForISA.vbs スクリプトを使用するには、ファイル Reg.exe および Sc.exe をシステム パスに含める必要があります。Microsoft® Windows Server™ 2003 では、これらのファイルは、既定で %windir%\system32 にあります。Windows® 2000 Server では、ConfigureRQSForISA.vbs を実行する前に、ファイルをシステム パスにインストールする必要があります。Reg.exe は Windows 2000 CD の support\tools にあります。Sc.exe は Microsoft Windows 2000 リソース キットに含まれています。リソース キットは、無料のツールをダウンロードするための Web サイト (http://www.microsoft.com/) から入手できます。
  5. CM プロファイルを接続マネージャ管理キット (CMAK) で作成します。CMAK の詳細については、「Windows Server 2003 ヘルプの接続マネージャ管理キット」(http://www.microsoft.com/) を参照してください。
  6. インストール用の CM プロファイルをリモート アクセス クライアントのコンピュータに配布します。

検疫の通知コンポーネントおよびリスナ コンポーネント

独自の通知コンポーネントおよびリスナ コンポーネントを作成することも、Rqs.exe (リスナ コンポーネント) および Rqc.exe (通知コンポーネント) を使用することもできます。詳細については、Windows リソース キット ツールのヘルプを参照してください。リモート アクセス検疫エージェント サービスは、Rqs.exe が ISA Server コンピュータにインストールされるときに含まれるものです。CM プロファイルを作成するときは、管理者が提供したスクリプトおよび Rqc.exe を含めることができます。これらはリモート アクセス クライアントのコンピュータに配布され、インストールされます。このプロファイルをインストールできるクライアント オペレーティング システムは、Windows XP Professional、Windows XP Home Edition、Windows 2000 Professional、Windows Millennium Edition、および Windows 98 Second Edition です。

検疫の設定

検疫を設定するための準備が終わったら、ISA Server コンピュータで検疫設定を構成します。検疫モードを有効にしてから、次のいずれかを選択して、検疫 VPN クライアント ネットワークのプロパティを構成します。

  • [RADIUS サーバーのポリシーに従って検疫する]。検疫を有効にしている場合、このオプションでは RADIUS サーバー ポリシーを検疫に使用します。
  • [ISA Server のポリシーに従って検疫する]。検疫を有効にしている場合、このオプションでは ISA Server ポリシーを検疫に使用します。検疫モードを適用してから切断するまでの時間を指定することもできます。

検疫が有効になっている場合でも、検疫の制御から特定のユーザーを除外することができます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


検疫 VPN クライアントに対するファイアウォール ポリシー

ファイアウォール ポリシーは、検疫 VPN クライアント ネットワークからネットワーク リソースへのアクセスを制御します。これらのリソースには、ユーザーを認証するための RADIUS サーバーまたはドメイン コントローラ、ウイルス対策ソフトウェアや最新の署名情報がインストールされたサーバー、VPN クライアントに IP アドレスを割り当てる DHCP サーバーなどが含まれます。

リソースへのアクセスを許可するには、検疫 VPN クライアント ネットワークを送信元とし、アクセス対象のサーバーを宛先としたアクセス ルールを作成します。そのためには、アクセス ルールで使用するコンピュータ ルール要素をサーバーごとに作成する必要があります。または、検疫されたクライアントがアクセスするコンピュータをすべて含むコンピュータ セットを作成し、検疫 VPN クライアント ネットワークが送信元であり、作成したコンピュータ セットが宛先であるアクセス ルールを作成します。アクセス対象のすべてのサーバーをサブネットに配置するようネットワークを設計し、アクセス ルールで使用するためのサブネット ルール要素を定義する方法もあります。

ファイアウォール ポリシーの詳細については、「ファイアウォール ポリシー ルールの概要」を参照してください。

以下は、検疫 VPN クライアント ネットワークに許可するアクセスの種類の例です。最初の 3 つのアクセスは、クライアントを VPN クライアント ネットワークに公開するためのネットワーク ポリシー要件スクリプトで必要となります。使用しているクライアントの接続マネージャで、特定のプロトコルの特定のサーバーへのアクセスが必要になる場合もあります。接続マネージャの作成者に問い合わせて、必要なアクセス ルールを確認してください。

  • 内部ネットワークに配置されている LDAP サーバーへの照会を許可する。
  • ドメイン コントローラへのトラフィックを許可する。
  • 検疫 VPN クライアントから DNS サーバーへの DNS 照会を許可する。
  • 検疫 VPN クライアントから WINS サーバーへの WINS トラフィックを許可する。

注

  • ISA Server の Web サイトから入手可能な ConfigureRQSForISA.vbs スクリプトは、RQS ポート (7250) 上で、VPN クライアントおよび検疫 VPN クライアント ネットワークからローカル ホスト ネットワークへの通信を許可する ISA Server アクセス ルールを作成します。クライアントが接続要件を満たしていることを知らせる通知を ISA Server コンピュータが受け取るには、これが必要です。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


サイト間 VPN

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のサイト間仮想プライベート ネットワーク (VPN) 機能について説明します。

  • サイト間 VPN の概要
  • L2TP over IPsec と PPTP ネットワーク
  • IPsec トンネリング プロトコル ネットワーク
  • リモート サイト接続のダイヤルイン アカウント
  • NLB が有効なリモート サイトのアドレス
  • VPN 接続所有者
  • PPTP および L2TP のサイト間 VPN 接続
  • サイト間 VPN とファイアウォール ポリシー


サイト間 VPN の概要

大規模な企業の場合、ニューヨークの本社、ワシントンの支社などのように、通信が必要なサイトを複数持つ場合が多くあります。この 2 つのオフィスは、サイト間仮想プライベート ネットワーク (VPN) を使用することにより、インターネット上でセキュリティで保護された接続を行うことができます。

ISA Server 2004 は、サイト間接続を実現するために、次の 3 種類の VPN プロトコルを用意しています。

  • PPTP (Point-to-Point トンネリング プロトコル)
  • レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPsec)
  • インターネット プロトコル セキュリティ (IPsec) トンネル モード

VPN トンネリング プロトコルの詳細については、「VPN トンネリング プロトコル」を参照してください。

リモート VPN ネットワークの構成プロセスは、選択するトンネリング プロトコルによって異なります。すべてのリモート サイト ネットワークに必要なプロセスは、ネットワークの構成、リモート ネットワーク用のネットワークとファイアウォール ポリシーの設定、およびリモート サイト ゲートウェイ (VPN サーバー) の構成です。

このほかに、IPsec ネットワークの場合は、ISA Server コンピュータにもセキュリティ 設定を構成することができます。また、リモート サイト ゲートウェイに IPsec ポリシーを構成する必要もあります。

L2TP over IPsec および PPTP リモート ネットワークの構成の詳細については、「L2TP over IPsec と PPTP ネットワーク」を参照してください。IPsec リモート ネットワークの構成の詳細については、「IPsec トンネリング プロトコル ネットワーク」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


L2TP over IPsec と PPTP ネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、PPTP (Point-to-Point トンネリング プロトコル) およびレイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPsec) を使用するサイト間仮想プライベート ネットワーク (VPN) をサポートしています。たとえば、ISA Server 2004 を VPN サーバーとして使用し、接続先のサイトで Microsoft® Windows Server™ 2003、Windows® 2000 Server、ISA Server 2004、または ISA Server 2000 を VPN サーバーとして使用している場合は、これらのトンネリング プロトコルを使用することができます。ISA Server 2004 では、L2TP over IPsec VPN 接続の確立にルーティングとリモート アクセスを使用します。

次の図は、L2TP over IPsec ソリューションで可能なネットワーク トポロジを示しています。

L2TP over IPsec を使用した VPN サイト間接続

PPTP または L2TP over IPsec を使用したリモート ネットワークをセットアップするには、次の一般的な手順を行う必要があります。

  1. リモート サイト ネットワークを作成し、トンネリング プロトコルとして PPTP または L2TP over IPsec を選択します。手順については、「リモート サイト ネットワークを追加する」を参照してください。
  2. PPTP または L2TP over IPsec をトンネリング プロトコルとして指定します。手順については、「リモート サイト ネットワークのトンネリング プロトコルを構成する」を参照してください。
  3. ISA Server ネットワーク ルールおよびアクセス ポリシーを構成します。詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。
  4. リモート VPN サイトによって開始された接続の一般的な VPN プロパティを構成します。ISA Server はこれらのサイトを VPN クライアントとして見るためです。詳細については、「PPTP および L2TP のサイト間 VPN 接続」を参照してください。
  5. ISA Server コンピュータがダイヤルアップ接続経由でインターネットに接続する場合は、自動ダイヤルを構成します。手順については、「自動ダイヤルを構成する」を参照してください。
  6. リモート VPN サーバーを構成します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


IPsec トンネリング プロトコル ネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、インターネット プロトコル セキュリティ (IPsec) トンネリング プロトコルを使用したサイト間仮想プライベート ネットワーク (VPN) をサポートしています。たとえば、ISA Server 2004 を VPN サーバーとして使用し、接続先のサイトでサード パーティ製品または ISA Server 2004 を VPN サーバーとして使用している場合、IPsec トンネリング プロトコルを使用することができます。次の図は、IPsec トンネル ソリューションで可能なネットワーク トポロジを示しています。

IPsec を使用した VPN サイト間接続

図に示されているように、本社では ISA Server 2004 を VPN サーバーとして使用しています。ISA Server 2004 は、Microsoft® Windows Server™ 2003 または Windows® 2000 Server のいずれかを実行しているコンピュータ上にあります。

支社では、複数のサード パーティ VPN サーバーのいずれかを実行することができます。あるいは、支社の VPN サーバーとして、ISA Server 2004、Windows Server 2003、または Windows 2000 Server を使用することもできます。

IPsec を使用したリモート ネットワークをセットアップするには、次の一般的な手順を行う必要があります。

  1. リモート サイト ネットワークを作成します。IPsec をトンネリング プロトコルとして指定します。手順については、「リモート サイト ネットワークを追加する」を参照してください。
  2. ISA Server ネットワーク ルールおよびアクセス ポリシーを構成します。詳細については、「サイト間 VPN とファイアウォール ポリシー」を参照してください。
  3. ISA Server コンピュータがダイヤルアップ接続経由でインターネットに接続する場合は、自動ダイヤルを構成します。手順については、「自動ダイヤルを構成する」を参照してください。
  4. リモート VPN サーバーを構成します。リモート VPN サーバーは、製造元の指示に従って、IPsec トンネル モードで ISA Server コンピュータに接続するよう構成する必要があります。ISA Server は、リモート サーバーの構成に必要な情報のサマリーを提供します。サマリー情報を表示するための手順については、「IPsec ポリシーを表示する」を参照してください。
  5. IPsec の詳細設定を構成します。手順については、「フェーズ 1 の IPsec の詳細設定を構成する」および「フェーズ 2 の IPsec の詳細設定を構成する」を参照してください。

IPsecPol ツール

Windows 2000 を実行しているコンピュータ上で IPsec プロトコル トンネリング モードを使用するリモート サイト ネットワークを作成するには、IPsecPol ツールをインストールする必要があります。Microsoft の Web サイト (英語情報) (http://www.microsoft.com/) から入手可能です。ツールは、ISA Server のインストール フォルダにインストールします。

IPsec トンネリング プロトコルを使用するリモート サイト ネットワークを作成する際、Microsoft ファイアウォール サービスの再起動時に、ファイアウォール サービスによってコンピュータの IPsec フィルタが変更されます。ネットワークのアドレス範囲に含まれているサブネットの数によっては、この処理に数分かかることがあります。効率的に行うために、サブネット境界で揃えた IP アドレス範囲を定義することをお勧めします。

PolicyAgent サービス

IPsec PolicyAgent サービスを停止または再起動すると、ISA Server の VPN サイト間 IPsec 構成設定を含め、動的なすべての IPsec 構成情報が失われ、クライアントが切断されます。さらに、PolicyAgent サービスを停止すると、IPsec ポリシーが消去され、クライアントからのすべてのトラフィックは暗号化されずにインターネットに転送されます。

設定を復元するには、PolicyAgent サービスを開始し、ファイアウォール サービスを再起動します。または、コンピュータを再起動します。

ドメイン メンバに対する IPsec ポリシー

通常、ISA Server コンピュータはドメインのメンバではありません。このような場合は、ローカル IPsec ポリシーを使用します。ただし、ISA Server が、すべてのメンバに IPsec ポリシーを適用したドメインのメンバである場合は、ローカルの IPsec ポリシーはドメインの IPsec ポリシーによって上書きされます。ドメイン管理者と共に作業して、ドメインの IPsec ポリシーが、リモート サイト ネットワークに対して構成されている IPsec ポリシーと競合しないようにしてください。リモート サイト ネットワークの IPsec ポリシーを表示するには、次の手順を実行します。

  1. ISA Server の管理で、[仮想プライベート ネットワーク (VPN)] をクリックします。
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [タスク] タブで、[IPsec ポリシーの表示] をクリックします。

複数の IP アドレスに対する IPsec のサポート

IPsec リモート サイト ネットワークでは、ローカル エンドポイントとしてプライマリ IP アドレス以外のアドレスを使用した場合、以下はサポートされません。

  • 内部ネットワークから開始されたリモート サイト ネットワークへのトラフィックの場合、任意の内部ネットワークからリモート サイト ネットワークへの NAT 関係を構成することはできません。
  • 任意の内部ネットワークからリモート サイト ネットワークへの Web プロキシ トラフィックはサポートされません。Web プロキシ アプリケーション フィルタに対して構成されていない新しいプロトコル (HTTP1 など) を定義すると、HTTP トラフィックを許可できます。特定のリモート サイト ネットワークへの HTTP トラフィックを許可するルールで、このプロトコルを使用します。

複数の IPsec リモート サイト ネットワークから Windows Server 2003 を実行する同一の ISA Server コンピュータに接続する場合、各リモート サイト ネットワークのローカル エンドポイントに一意の IP アドレスを定義することをお勧めします。

複数の IPsec リモート サイト ネットワークで NAT または HTTP 機能 (内部ネットワークからリモート サイト ネットワーク) が必要な場合、ローカル エンドポイントとしてネットワーク アダプタ上にプライマリ IP アドレスを使用して、各リモート サイト ネットワークに専用のネットワーク アダプタを使用することをお勧めします。プライマリ IP アドレスを識別するには、次の手順を実行します。

  1. 該当するネットワーク アダプタを選択し、[プロパティ] を右クリックします。
  2. [TCP/IP] プロトコル、[プロパティ] の順にクリックします。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート サイト接続のダイヤルイン アカウント

リモート アクセス用のサイト間ネットワークを作成する場合は、リモート アクセス ダイヤルアップ接続を開始するためのユーザー アカウントも作成する必要があります。接続を確立するには、次の設定が必要です。

  • ユーザー アカウント名とサイト間ネットワーク名は同じである必要があります。
  • リモート アクセス ユーザーのダイヤルイン プロパティが、リモート アクセスを許可するように設定されている必要があります。

この情報は、レイヤ 2 トンネリング プロトコル (L2TP) または PPTP (Point-to-Point トンネリング プロトコル) を使用するサイト間接続に当てはまります。インターネット プロトコル セキュリティ (IPsec) を使用する接続には当てはまりません。

手順については、「リモート サイト ゲートウェイのダイヤルイン アカウントを作成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


NLB が有効なリモート サイトのアドレス

接続先のリモート サイト ネットワークが、ネットワーク負荷分散 (NLB) が有効なアレイである場合は、リモート トンネル エンドポイントに指定するアドレスは、NLB が有効なアレイの仮想 IP アドレスである必要があります。手順については、「リモート トンネル エンドポイントを構成する」を参照してください。

アドレス

リモート サイト ネットワークを作成する場合は、リモート サイト内のすべてのアドレスを指定します。

また、サイト間の IPsec ネットワーク、HTTP (ハイパーテキスト転送プロトコル) プロキシ、またはネットワーク アドレス変換 (NAT) トラフィックの場合に、リモート サイト ネットワークに関連付けられているネットワーク アダプタの専用 IP アドレスをすべて含める必要があります。これは、リモート サイトからの HTTP プロキシまたは NAT トラフィックの送信元 IP アドレスに、リモート側でアドレス変換が適用されるためです。このため、ローカル サイトは、トラフィックをリモート サイトのプライマリ IP アドレスから、つまりサイトの専用 IP アドレスから到着したものと見なします。手順については、「リモート サイト ネットワークのアドレスを構成する」を参照してください。

リモート NLB

リモート サイト ネットワークが NLB が有効なアレイである場合は、Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータのこのアレイからの最初の接続が、そのコンピュータの仮想 IP アドレスに対して実行されます。リモート アレイのいずれかの専用 IP アドレスから、トンネルが確立されます。このため、すべての専用 IP アドレスを追加のリモート トンネル エンドポイントとして指定する必要があります。手順については、「リモート サイトに追加のトンネル エンドポイントを構成する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN 接続所有者

Microsoft Internet Security and Acceleration (ISA) Server 2004 コンピュータのアレイとのサイト間接続が確立された場合は、1 つのアレイ メンバのみが実際に接続所有者となります。接続所有者は、仮想プライベート ネットワーク (VPN) トンネル エンドポイントです。

ネットワーク負荷分散 (NLB) が有効な場合、接続所有者は ISA Server によって自動的に割り当てられます。追加の構成は必要ありません。ISA Server は、接続所有者の割り当てを最適化するアルゴリズムを使用して、可能な限り負荷が分散されたネットワークを作成します。トンネルが確立されたら、たとえ他のサーバーが追加または削除された場合でも、接続所有者として割り当てられているサーバーは変わりません。割り当てられた接続所有者が利用不可になった場合は、ISA Server によって自動的に接続が別のアレイ メンバに渡されます。こうして ISA Server は、VPN サイト間接続のフェールオーバーをサポートします。

NLB が有効でない場合は、リモート サイト ネットワークに接続所有者を割り当てる必要があります。接続所有者が利用不可になった場合は、リモート サイトとの接続は失われます。

手順については、「接続所有者を割り当てる」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


サイト間 VPN 接続

PPTP および L2TP のサイト間 VPN 接続

サイト間ネットワークでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 またはリモート サイト ゲートウェイが仮想プライベート ネットワーク (VPN) 接続を開始できます。

リモート サイト ゲートウェイが開始する接続

ISA Server は、PPTP (Point-to-Point トンネリング プロトコル) またはレイヤ 2 トンネリング プロトコル (L2TP) を使用しているリモート サイト ゲートウェイをリモート アクセス クライアントと見なします。このため、リモート サイト ゲートウェイには次のことが要求されます。

  • 所属先の VPN アクセス ネットワークを構成して、接続を開始できるようにします。手順については、「VPN アクセス ネットワークを構成する」を参照してください。
  • ISA Server コンピュータでダイヤルイン アカウントを持つユーザーを構成します。ユーザーは、Windows ユーザーでも RADIUS ユーザーでもかまいません。同じことが、リモート VPN クライアントに関しても、リモート サイト ネットワークに適用されます。手順については、「リモート サイト ゲートウェイのダイヤルイン アカウントを作成する」を参照してください。
  • ISA Server から割り当てられた IP アドレスを持ちます。アドレスは内部ネットワーク上に存在する必要があります。手順については、「VPN アドレスの割り当てを構成する」を参照してください。
  • 認証プロトコルを構成します。これは、ISA Server に対してユーザー アカウント情報を認証するときに使用されます。手順については、「VPN 認証方法を構成する」を参照してください。

リモート サイトで開始された接続を特定の時間の経過後に終了するかどうかを構成することもできます。手順については、「アクティブでない VPN 接続を自動的に終了する」を参照してください。

ISA Server が開始する接続

PPTP または L2TP を使用しているリモート サイト ネットワークごとに、ISA Server が VPN 接続も開始できるかどうかを構成できます。ISA Server が接続を開始できる場合は、リモート サイト ゲートウェイに対する認証に使用する適切な資格情報を構成する必要があります。

ISA Server がリモート サイト ゲートウェイへの接続を開始するときに使用される認証方法を構成することもできます。構成する認証プロトコルは、リモート サイト ゲートウェイで必要とするプロトコルにしなければなりません。たとえば、リモート サイト ゲートウェイで IPsec を使用している場合は、証明書または事前共有キーのどちらかを使用した認証を構成する必要があります。手順については、「ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する」を参照してください。


サイト間 VPN とファイアウォール ポリシー

ISA Server でサイト間仮想プライベート ネットワーク (VPN) を構成する場合は、新しいネットワークを確立することになります。これは、リモート VPN として ISA Server コンピュータに認識されるリモート サイトです。リモート サイト ネットワークには、リモート サイトのすべてのアドレスを含める必要があります。リモート サイト ネットワークの作成手順については、「リモート サイト ネットワークを追加する」を参照してください。

リモート ネットワークを作成すると、VPN サイト間接続が有効になります。ISA Server は、システム ポリシー ルールを有効にします。これによって、すべての外部ネットワークから ISA Server コンピュータ (ローカル ホスト ネットワーク) への、VPN トンネリング プロトコルを使用したアクセスが許可されます。VPN アクセス ネットワークを変更すると、このルールが変更されます。このルールは最初は外部ネットワークに設定されています。ISA Server に接続するための VPN クライアントの接続元のネットワークを 1 つ以上指定できます。これを変更すると、システム ポリシー ルールが自動的に変更され、追加のネットワークまたは変更されたネットワークに適用されるようになります。システム ポリシー ルールの詳細については、「システム ポリシーの概要」を参照してください。

既定のシステム ポリシー ルールは、IPsec リモート ゲートウェイという名前のコンピュータ セットからのアクセスも許可します。IPsec リモート ゲートウェイは定義済みのコンピュータ セットで、変更できません。IPsec サイト間ネットワークを追加すると、リモート トンネル エンドポイントとして構成されている IP アドレスが IPsec リモート ゲートウェイのコンピュータ セットに追加されます。

内部ネットワーク上のリソースへのリモート ネットワーク アクセスを許可するには、適切なアクセスを許可するためのアクセス ルールを作成する必要があります。ファイアウォール ポリシーの観点から見て、リモート ネットワークを内部ネットワークと等しいと見なす場合は、内部ネットワークからリモート ネットワークへのすべてのトラフィックを許可するアクセス ルールを作成することもできます。

リモート ネットワークに対して送受信されるトラフィックを制御するアクセス ルールを作成する場合、ユーザー認証は必要ありません。つまり、アクセス ルールの [ユーザー] プロパティ ページで、既定の [すべてのユーザー] 設定を変更しないでください。

ファイアウォール ポリシーの詳細については、「ファイアウォール ポリシー ルールの概要」を参照してください。


一般的な VPN 構成

ここでは、一般的な仮想プライベート ネットワーク (VPN) 構成での Internet Security and Acceleration (ISA) Server 2004 の機能について説明します。

  • VPN アクセス ネットワーク
  • VPN トンネリング プロトコル
  • VPN 認証
  • VPN クライアント アドレスの割り当てと名前解決


VPN アクセス ネットワーク

仮想プライベート ネットワーク (VPN) クライアント接続では、VPN が有効になっている ISA Server 2004 コンピュータにクライアントが接続できるネットワークは、アクセス ネットワークと呼ばれます。

サイト間 (リモート) 接続では、アクセス ネットワークはリモート VPN サーバーが存在するネットワークになります。

既定では、サイト間接続とクライアント接続のどちらに対しても、VPN アクセス ネットワークは外部ネットワークにのみ設定されます。このため、VPN アクセスを有効にすると、外部ネットワーク上のコンピュータに対して VPN 接続を確立できます。

手順については、「VPN アクセス ネットワークを構成する」を参照してください。

リモート VPN クライアント アクセス

ISA Server 上で VPN クライアント アクセスを初めて有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。これによって、外部ネットワークは既定でアクセス ネットワークとして構成されるため、外部ネットワークからローカル ホストへのアクセスが可能になります。その後追加のアクセス ネットワークを構成するには、追加の VPN アクセス ネットワークを指定します。システム ポリシー ルールは自動的に更新され、追加のアクセス ネットワークに適用されます。

サイト間アクセス

サイト間アクセスでは、新しいリモート サイト ネットワークを作成すると、[すべての保護されたネットワーク] ネットワーク セットに含まれているネットワーク一覧にリモート ネットワークが追加されます。さらに、ISA Server によって、次のシステム ポリシー ルールが有効になります。

  • ISA Server からの VPN サイト間トラフィックを許可する。このルールは、選択された VPN プロトコルを使用して、ISA Server コンピュータが外部ネットワーク上のクライアントにアクセスできるようにします。
  • ISA Server への VPN サイト間トラフィックを許可する。このルールは、選択された VPN プロトコルを使用して、外部ネットワーク上のクライアントが ISA Server コンピュータにアクセスできるようにします。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN トンネリング プロトコル

ISA Server 2004 は、リモート クライアント アクセス接続用として、次の 2 つの仮想プライベート ネットワーク (VPN) プロトコルをサポートしています。

  • PPTP (Point-to-Point トンネリング プロトコル)
  • レイヤ 2 トンネリング プロトコル (L2TP)

さらに、サイト間 VPN 接続では、インターネット プロトコル セキュリティ (IPsec) トンネル モードもサポートされています。

リモート クライアント アクセスのプロトコルを構成する手順については、「リモート クライアント アクセスのトンネリング プロトコルを構成する」を参照してください。

PPTP

PPTP (Point-to-Point トンネリング プロトコル) は、TCP/IP ベースのデータ ネットワーク上に VPN を構築することによって、リモート クライアントからプライベート エンタープライズ サーバーへのセキュリティで保護されたデータ転送を可能にするネットワーク プロトコルです。PPTP は、インターネットなどのパブリック ネットワーク上に、マルチプロトコル対応のオンデマンド仮想プライベート ネットワークを実現します。PPTP を使用すると、IP トラフィックを暗号化し、IP ヘッダーにカプセル化して、企業の IP ネットワークやインターネットなどのパブリック IP ネットワーク上で送信できます。

L2TP

レイヤ 2 トンネリング プロトコル (L2TP) は、パケットをカプセル化することにより、パケット対応のメディア経由で PPP (Point-to-Point プロトコル) フレームを送信する業界標準のインターネット トンネリング プロトコルです。L2TP を使用すると、IP トラフィックを暗号化し、IP など、ポイント ツー ポイント データグラム配信をサポートしているメディア経由で送信できます。Microsoft が実装する L2TP では、インターネット プロトコル セキュリティ (IPsec) の暗号化を使用して、VPN クライアントから VPN サーバーへのデータ ストリームを保護します。IPsec トンネル モードを使用すると、IP パケットを暗号化し、IP ヘッダーにカプセル化して、企業の IP ネットワークまたはインターネットなどのパブリック IP ネットワーク上で送信できます。

PPTP 接続に必要なのは、PPP ベースの認証プロトコルを使用したユーザーレベルの認証のみです。L2TP over IPsec 接続を行うには、同じユーザーレベルの認証に加え、コンピュータ証明書を使用したコンピュータレベルの認証が必要になります。

IPsec トンネル モード

トンネリングとは、カプセル化、ルーティング、カプセル化解除のプロセス全体のことです。トンネリングでは、元のパケットが新しいパケット内にカプセル化 (ラップ) されます。この新しいパケットには必要に応じて新しいアドレスとルーティング情報が与えられ、ネットワーク経由で転送できるようになります。トンネリングとデータの機密性機能を組み合わせた場合、ネットワーク トラフィックが傍受されても、元のパケットのデータ、およびその発信元と宛先が知られることはありません。カプセル化されたパケットが宛先に到着すると、カプセル化が解除され、元のパケット ヘッダーの情報に基づいて最終的な宛先にパケットがルーティングされます。

トンネル自体は、カプセル化されたパケットを送信するための論理的なデータ パスです。通常、元の発信元ピアと宛先ピアにとってトンネルは透過的であり、ネットワーク パス上の通常のポイント ツー ポイント接続のように見えます。トンネルの始点と終点の間にあるルーター、スイッチ、プロキシ サーバー、およびその他のセキュリティ ゲートウェイは、これらのピアからは見えません。トンネリングとデータの機密性を組み合わせると、VPN を実現できます。

カプセル化されたパケットは、トンネル内を通ってネットワーク上を転送されます。たとえば、このネットワークがインターネットであるとします。外部インターネットとプライベート ネットワークの間に配置されたゲートウェイは、エッジ ゲートウェイとなります。エッジ ゲートウェイとしては、ルーター、ファイアウォール、プロキシ サーバー、またはその他のセキュリティ ゲートウェイを使用できます。さらに、ネットワークの信頼できない部分を経由するトラフィックを保護するため、プライベート ネットワーク内に 2 つのゲートウェイを配置できます。

IPsec をトンネル モードで使用する場合、IPsec が行うのは IP トラフィックのカプセル化のみです。IPsec トンネル モードを使用する主な理由は、L2TP over IPsec や PPTP VPN トンネリングをサポートしていない他のルーター、ゲートウェイ、またはエンド システムとの相互運用性を確保することです。

注

  • IPsec PolicyAgent サービスを停止または再起動すると、ISA Server の VPN サイト間 IPsec 構成設定を含め、動的なすべての IPsec 構成情報が失われ、VPN クライアントが切断されます。設定を復元するには、PolicyAgent サービスを起動して Microsoft ファイアウォール サービスを再起動するか、コンピュータを再起動します。

VPN プロトコルの比較

次の表は、VPN プロトコルの比較一覧です。

プロトコル | 目的 | セキュリティのレベル | コメント
IPsec トンネル モード | サード パーティの VPN サーバーに接続 | 高 | これは、Microsoft VPN サーバー以外への接続で使用できる唯一のオプションです。
L2TP over IPsec | ISA Server 2004 コンピュータ、ISA Server 2000 コンピュータ、または Windows VPN サーバーに接続 | 高 | ルーティングとリモート アクセスを使用します。IPsec トンネル ソリューションほど複雑ではありませんが、リモート VPN サーバーとして ISA Server コンピュータまたは Windows VPN サーバーを使用する必要があります。
PPTP | ISA Server 2004 コンピュータ、ISA Server 2000 コンピュータ、または Windows VPN サーバーに接続 | 中 | ルーティングとリモート アクセスを使用します。L2TP と同様の制約がありますが、構成はやや簡単です。IPsec 暗号化を使用することから、L2TP の方がより安全といえます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN 認証

仮想プライベート ネットワーク (VPN) クライアントの認証は、セキュリティにかかわる重要な問題です。通常、認証方法では、接続確立の処理中にネゴシエーションが行われる認証プロトコルが使用されます。ここでは、ISA Server 2004 がサポートする次の認証方法について説明します。

  • EAP 認証方法
  • EAP 認証構成
  • MS-CHAP 認証方法
  • CHAP、SPAP、および PAP 認証方法
  • 事前共有キー (L2TP 接続のカスタム IPsec ポリシー)

リモート サイト ゲートウェイの認証方法

リモート サイト ゲートウェイは、ISA Server との接続を開始すると、まず、リモート VPN クライアントとして認証されます。リモート VPN クライアントに適用する認証方法は、リモート サイト ゲートウェイにも適用されます。リモート サイト ゲートウェイが ISA Server に接続する方法については、「VPN サイト間接続」を参照してください。

ISA Server がリモート サイトとの接続を開始するときの認証方法

ISA Server コンピュータがリモート サイト ゲートウェイとの接続を開始できるように、ISA Server を構成することができます。この場合は、使用する認証方法も構成する必要があります。手順については、「ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


EAP 認証方法

拡張認証プロトコル (EAP) では、任意の認証機構によってリモート アクセス接続が認証されます。実際に使用される認証スキームは、リモート VPN クライアントと認証実行サーバー (ISA Server または RADIUS サーバー) によって取り決められます。ISA Server は、既定で、MD5-Challenge (Message Digest 5 Challenge) および EAP-TLS (Extensible Authentication Protocol-Transport Level Security) をサポートしています。

EAP では、リモート VPN クライアントと認証実行サーバー間の対話に制限はありません。この対話は、認証実行サーバーからの認証情報要求と、それに対するリモート VPN クライアントの応答で構成されます。たとえば、EAP をセキュリティ トークン カードと共に使用すると、認証実行サーバーは、名前、PIN、およびカード トークンの値をリモート アクセス クライアントに対して個別に照会できます。照会の要求と応答が行われると、リモート アクセス クライアントに対してさらに次のレベルの認証が行われます。すべての照会に適切な応答があると、そのリモート アクセス クライアントは認証されます。

特定の EAP 認証スキームは、EAP の種類として知られています。認証を正常に行うには、リモート アクセス クライアントと認証実行サーバーの両方が同じ種類の EAP をサポートしていなければなりません。

認証方法の構成手順については、「VPN 認証方法を構成する」を参照してください。

EAP 基盤

EAP は、任意の種類の EAP をプラグイン モジュール形式で構造的にサポートする、内部コンポーネントのセットです。認証を正常に行うには、リモート アクセス クライアントと認証実行サーバーの両方に同じ EAP 認証モジュールがインストールされていなければなりません。ISA Server は、MD5-Challenge と EAP-TLS という 2 種類の EAP をサポートしています。

MD5-Challenge

メッセージ ダイジェスト 5 チャレンジ (MD5-Challenge) は、PPP ベースの CHAP と同じチャレンジ/ハンドシェイク プロトコルを使用する、必須の EAP の種類です。ただし、チャレンジと応答は EAP メッセージとして送信されます。一般に MD5-Challenge は、ユーザー名とパスワードによるセキュリティ システムに基づいて、リモート VPN クライアントの資格情報を認証する場合に使用します。EAP の相互運用性をテストする場合にも MD5-Challenge を使用できます。

EAP-TLS

EAP-TLS (Extensible Authentication Protocol-Transport Level Security) は、証明書ベースのセキュリティ環境で使用する EAP の種類です。スマート カードを使用してリモート アクセス認証を行う場合は、EAP-TLS 認証方法を使用する必要があります。リモート VPN クライアントと認証実行サーバーは、EAP-TLS メッセージを交換することによって、相互認証、暗号化方法のネゴシエーション、暗号化キーの決定を行います。EAP-TLS は、最も強力な認証方法とキー決定方法です。

EAP-RADIUS

EAP-RADIUS は EAP の種類ではありませんが、任意の EAP の種類の EAP メッセージを認証実行サーバーから RADIUS サーバーに渡すことによって認証を行います。たとえば、ISA Server が RADIUS 認証用として構成されている場合、リモート VPN クライアントと ISA Server の間で送受信される EAP メッセージがカプセル化され、リモート アクセス サーバーと RADIUS サーバー間の RADIUS メッセージとしてフォーマットされます。

EAP-RADIUS は、RADIUS が認証プロバイダである環境で使用します。EAP-RADIUS を使用する利点は、EAP の種類を RADIUS サーバーにのみインストールするだけで済み、すべてのリモート アクセス サーバーにインストールする必要がないことです。インターネット認証サービス (IAS) の場合、EAP の種類を IAS サーバーにのみインストールする必要があります。

RADIUS 認証の詳細については、「リモート VPN クライアントの RADIUS 認証」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


EAP 認証構成

PPTP (Point-to-Point トンネリング プロトコル) 接続を使用する仮想プライベート ネットワーク (VPN) リモート サイト ネットワークを作成し、その認証プロトコルとして拡張認証プロトコル (EAP) を選択した場合は、EAP 構成を完了する必要があります。EAP 構成は、ルーティングとリモート アクセスの管理を使用して定義します。

EAP 構成を完了するには、次の操作を行います。

  1. ルーティングとリモート アクセスの管理コンソールで、[ネットワーク インターフェイス] ノードをクリックします。
  2. 変更を ISA Server の構成に適用すると、ネットワークと同じ名前のデマンド ダイヤル インターフェイスが作成されます。このデマンド ダイヤル インターフェイスを選択し、[プロパティ] をクリックします。
  3. [セキュリティ] タブでは、詳細カスタム設定オプションが選択されている必要があります。[設定] をクリックし、[セキュリティの詳細設定] を開きます。
  4. 使用する EAP を選択して [プロパティ] をクリックし、EAP プロバイダに応じて EAP を構成します。

注

  • ルーティングとリモート アクセスの管理コンソールを開くには、[スタート] ボタン、[管理ツール]、[ルーティングとリモート アクセス] の順にクリックします。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


MS-CHAP 認証方法

ISA Server 2004 では、Microsoft チャレンジ ハンドシェイク認証プロトコル (MS-CHAP) がサポートされています。このプロトコルは MS-CHAP バージョン 1 とも呼ばれる、復号不可能な暗号化されたパスワード認証プロトコルです。チャレンジ ハンドシェイク処理は、次のように行われます。

  1. ユーザー認証システム (リモート アクセス サーバーまたはインターネット認証サービス (IAS) サーバー) は、リモート アクセス クライアントにチャレンジを送信します。チャレンジは、セッション識別子と任意のチャレンジ文字列で構成されます。
  2. リモート アクセス クライアントは、チャレンジ文字列のユーザー名と、セッション ID およびパスワードの復号不可能な暗号を含む応答を送信します。
  3. ユーザー認証システムは応答を確認し、有効であれば、ユーザーの資格情報が認証されます。

認証プロトコルとして MS-CHAP を使用すると、Microsoft Point-to-Point 暗号化 (MPPE) を使用して、PPP または PPTP 接続で送信されるデータを暗号化することができます。

ISA Server は、MS-CHAP バージョン 2 もサポートしています。MS-CHAP バージョン 2 は、リモート アクセス接続用に MS-CHAP よりも強力なセキュリティを提供します。MS-CHAP の代わりに、MS-CHAP バージョン 2 を使用することを検討してください。

注

  • MS-CHAP (バージョン 1 およびバージョン 2) は、認証処理中のパスワード変更をサポートする Microsoft® Windows Server™ 2003 ファミリで提供される唯一の認証プロトコルです。
  • 認証プロトコルとして MS-CHAP v1 を使用する場合、ユーザーのパスワードが 14 文字を超えると、40 ビットで暗号化された接続は確立できません。これは、ダイヤルアップおよび仮想プライベート ネットワーク (VPN) のリモート アクセス、およびデマンド ダイヤル接続の両方に影響を与えます。

認証方法を設定する手順については、「VPN 認証方法を構成する」を参照してください。

MS-CHAP バージョン 2

ISA Server は、リモート アクセス接続用の強力なセキュリティを提供する Microsoft チャレンジ ハンドシェイク認証プロトコル バージョン 2 (MS-CHAP v2) をサポートしています。

MS-CHAP v2 では、次のように、一方向暗号化パスワードを使用して相互認証を行います。

  1. ユーザー認証システム (リモート アクセス サーバーまたはインターネット認証サービス (IAS) サーバー) は、リモート アクセス クライアントにチャレンジを送信します。チャレンジは、セッション識別子と任意のチャレンジ文字列で構成されます。
  2. リモート アクセス クライアントは、次の項目が含まれた応答を送ります。
    • ユーザーの名前。
    • 任意のピア チャレンジ文字列。
    • 受信したチャレンジ文字列、ピア チャレンジ文字列、セッション識別子、ユーザーのパスワードを一方向に暗号化したもの。
  3. ユーザー認証システムはクライアントからの応答を確認し、次の項目が含まれた応答を送り返します。
    • 接続の試行の成功または失敗を示す情報。
    • 送信されたチャレンジ文字列、ピア チャレンジ文字列、暗号化されたクライアントの応答、およびユーザーのパスワードに基づく認証済み応答。
  4. リモート アクセス クライアントは、認証済み応答を確認し、その応答が正しければ、接続を使用します。認証済み応答が正しくない場合、リモート アクセス クライアントは接続を終了します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


CHAP、SPAP、および PAP 認証方法

ISA Server 2004 では、チャレンジ ハンドシェイク認証プロトコル (CHAP)、Shiva パスワード認証プロトコル (SPAP)、およびパスワード認証プロトコル (PAP) がサポートされています。

CHAP

チャレンジ ハンドシェイク認証プロトコル (CHAP) は、応答の暗号化に業界標準の Message Digest 5 (MD5) ハッシング方式が使用される、チャレンジ/応答認証プロトコルです。CHAP は、ネットワーク アクセス サーバーおよびクライアントのさまざまなベンダで使用されています。ルーティングとリモート アクセスを実行するサーバーは CHAP をサポートしており、CHAP を要求するリモート アクセス クライアントを認証できます。CHAP には、復号可能な暗号化パスワードが必要なため、Microsoft チャレンジ ハンドシェイク認証プロトコル (MS-CHAP) バージョン 2 など、他の認証方法を検討する必要があります。

注

  • 使用しているパスワードの有効期限が切れていると、CHAP は認証の処理中にパスワードを変更できません。
  • Microsoft Point-to-Point 暗号化 (MPPE) は、CHAP と共には使用できません。

認証方法を設定する手順については、「VPN 認証方法を構成する」を参照してください。

SPAP

Shiva パスワード認証プロトコル (SPAP) は、Shiva で使用されている復号可能な暗号化機構です。Windows XP Professional を実行しているコンピュータは、Shiva LAN Rover に接続するとき、ルーティングとリモート アクセスを実行しているサーバーに Shiva クライアントが接続する場合と同様に、SPAP を使用します。この認証形式は、プレーンテキストよりも安全ですが、CHAP または MS-CHAP よりは安全性が低くなります。

重要

  • SPAP を認証プロトコルとして有効にすると、同じユーザー パスワードが常に同じ復号可能な暗号化形式で送信されます。そのため、SPAP 認証は再現によるアタックを受けやすくなり、悪意のあるユーザーが認証プロセスのパケットをキャプチャし、応答を再現してイントラネットへのアクセスの認証を通過してしまいます。SPAP は使用しないことをお勧めします。特に仮想プライベート ネットワーク接続の場合は、使用しないでください。

注

  • 使用しているパスワードの有効期限が切れていると、SPAP は認証の処理中にパスワードを変更できません。
  • インターネット認証サービス (IAS) サーバーのリモート アクセス ポリシーで SPAP を有効にする前に、使用しているネットワーク アクセス サーバー (NAS) で SPAP がサポートされていることを確認してください。
  • Microsoft Point-to-Point 暗号化 (MPPE) は、SPAP と共には使用できません。

PAP

パスワード認証プロトコル (PAP) は、プレーンテキスト パスワード (暗号化されていないテキスト) を使用する、最も安全性の低い認証プロトコルです。通常、リモート アクセス クライアントとリモート アクセス サーバーが、より安全性の高い認証のネゴシエーションを行うことができない場合に行われます。

PAP ベースの認証を有効にするには、次の操作を行います。

  1. リモート アクセス サーバーで、認証プロトコルとして PAP を有効にします。PAP は既定で無効になっています。
  2. 適切なリモート アクセス ポリシーで PAP を有効にします。PAP は既定で無効になっています。
  3. リモート アクセス クライアントの PAP を有効にします。

注

  • ISA Server で PAP を無効にすることで、プレーンテキスト パスワードはダイヤルアップ クライアントによって送信されることはありません。PAP のサポートを無効にすると、認証の安全性が向上しますが、PAP のみをサポートするリモート VPN クライアントは接続できなくなります。
  • 使用しているパスワードの有効期限が切れていると、PAP は認証の処理中にパスワードを変更できません。
  • Microsoft Point-to-Point 暗号化 (MPPE) は、PAP と共には使用できません。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


事前共有キー (L2TP 接続のカスタム IPsec ポリシー)

事前共有キーとは、レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPsec) 接続を認証するために使用される Unicode 文字列です。事前共有キーの使用は、Microsoft® Windows Server™ 2003 および Windows® XP も含めた、多くのオペレーティング システムでサポートされています。事前共有キーを使用して他のルーターからの接続を認証するように、Microsoft Internet Security and Acceleration (ISA) Server 2004 を構成することもできます。

手順については、「VPN 接続の事前共有キーを構成する」を参照してください。

事前共有キーの長所と短所

事前共有キー認証では、L2TP over IPsec 認証でコンピュータ証明書を使用するときに必要となる公開キー基盤 (PKI) のハードウェアおよび構成に対する投資が必要ありません。事前共有キーはリモート アクセス サーバーで簡単に構成でき、リモート アクセス クライアントでも比較的簡単に構成できます。事前共有キーが接続マネージャ プロファイル内で発行されている場合には、ユーザーに対して透過的になります。PKI の確立処理中であるか、Active Directory® ドメインを管理する場合には、コンピュータ証明書または事前共有キーを使用して L2TP over IPsec 接続を受け付けるようにルーティングとリモート アクセスを構成できます。

しかし、単一のリモート アクセス サーバーで利用できる事前共有キーは、認証に事前共有キーを必要とするすべての L2TP over IPsec 接続に対して 1 つだけです。事前共有キーを使用してリモート アクセス サーバーに接続するすべての L2TP over IPsec VPN クライアントに対して、同じ事前共有キーを発行する必要があります。接続マネージャ プロファイル内で事前共有キーを配布しない限り、各ユーザーが手動で事前共有キーを入力する必要があります。この制限により、展開でのセキュリティが低下し、エラーの発生する可能性が増大します。リモート アクセス サーバーで事前共有キーが変更された場合、手動で事前共有キーを構成したクライアントは、そのクライアントで事前共有キーが変更されるまで、変更されたサーバーにアクセスできなくなります。事前共有キーが接続マネージャ プロファイル内でクライアントに配布された場合には、新しい事前共有キーを使用してそのプロファイルを再発行し、クライアント コンピュータに再インストールする必要があります。証明書と異なり、事前共有キーの出所と履歴は特定できません。これらの理由から、L2TP over IPsec 接続の認証で事前共有キーを使用する方法は、比較的脆弱な認証方法と考えられます。長期にわたる強い認証方法を必要とする場合は、PKI の使用を検討してください。

事前共有キーを選択したときの考慮事項

事前共有キーは、リモート アクセス サーバーと L2TP over IPsec クライアントの両方に構成される文字のシーケンスです。事前共有キーは、NULL 以外の最長 256 の Unicode 文字であれば、どのような組み合わせの文字列でもかまいません。事前共有キーを選択する場合、[新しい接続ウィザード] を利用して VPN クライアント接続を作成するユーザーは、手動で事前共有キーを入力する必要があることを考慮してください。適切なセキュリティの確保に十分な長さと複雑さを持ったキーは、大多数のユーザーにとって正確に入力することが難しい可能性があります。VPN クライアントから提示された事前共有キーが、リモート アクセス サーバーで構成された事前共有キーと違っていると、クライアント認証は失敗します。

注

  • ISA Server では、事前共有キーに使用できるのは英語の文字だけです。

事前共有キーが格納されると、リモート アクセス サーバーと VPN クライアントは Unicode 文字列から ASCII 文字列への変換を試みます。変換に成功すると、ASCII バージョンの文字列が認証に使用されます。この方法では、他社製のルーターなど、Unicode 標準に準拠していないデバイスによる伝送時に、事前共有キーが壊れていないことが保証されます。事前共有キーを ASCII 文字列として格納できない場合は、Unicode 文字列が使用されます。Unicode の事前共有キーを Unicode 標準に準拠していないデバイスで処理しなければならない場合には、接続を試みてもおそらく失敗します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN クライアント アドレスの割り当てと名前解決

仮想プライベート ネットワーク (VPN) を許可するように Microsoft Internet Security and Acceleration (ISA) Server 2004 を構成する場合は、リモート クライアントにアドレスを割り当てる方法 (動的アドレスか静的アドレスか) を構成する必要があります。VPN クライアントにアドレスが割り当てられると、そのアドレスは VPN クライアント ネットワークの一部になります。

認証方法の設定手順については、「VPN アドレスの割り当てを構成する」を参照してください。

注

  • ISA Server は、VPN クライアントのアドレス解決プロトコル (ARP) プロキシとして機能します。たとえば、静的プールまたは DHCP サーバーから VPN クライアントに割り当てられたアドレスが内部ネットワーク セグメントに属する場合、内部ネットワークに接続されているコンピュータは、VPN クライアントに ARP クエリを送信します。ISA Server は、このクエリを傍受し、接続されている VPN クライアントの代わりに返信します。

動的アドレスの割り当て

リモート クライアントのアドレスを動的に割り当てる場合は、動的ホスト構成プロトコル (DHCP) サーバーが必要です。DHCP サーバーは、VPN クライアントとの接続時に、これらのクライアントに IP アドレスを動的に割り当てます。VPN クライアントに IP アドレスを割り当てるには、この方法を使用することをお勧めします。

内部ネットワークで Windows Server 2003 を実行しているコンピュータは、DHCP サーバーの機能を担うことができます。内部ネットワークの既存の DHCP サーバーによって、VPN クライアントのニーズに対応します。

アドレスの割り当てに DHCP サーバーを使用すると、VPN クライアントが接続を確立したときに、VPN クライアントのアドレスが内部ネットワークから VPN クライアント ネットワークまたは検疫 VPN クライアント ネットワーク (検疫が有効で、クライアントが検疫される場合) に自動的に移動します。アドレスは、クライアントとの接続が切断されると、内部ネットワークに戻されます。このアドレス割り当ては、ISA Server の管理には表示されません。

内部ネットワーク上の IP アドレスの割り当てには DHCP サーバーを使用しても、内部ネットワークからの IP アドレス グループの割り当てには VPN クライアントの静的プールを使用する場合は、DHCP サーバーがこれらのアドレスを割り当てないよう構成する必要があります。

動的なアドレスの割り当てを使用すると、VPN クライアントに割り当てられるアドレスは、実際には内部ネットワークからのアドレスになります。VPN クライアントが接続を確立すると、VPN クライアントのアドレスは内部ネットワークから VPN クライアント ネットワークに動的に移動します。その後、クライアントが接続を切断すると、アドレスは再び内部ネットワークに戻ります。このような IP アドレス メンバシップの変動は、ISA Server の管理には表示されません。

複数のメンバを持つアレイには、静的アドレスのみを割り当てることができます。静的アドレス プールを使用すると、アレイ メンバはクライアントが接続する前にルーティング テーブルを更新できます。動的アドレスの割り当てを使用すると、クライアントはサーバーに接続する場合にのみアドレスが割り当てられます。この場合は、各サーバーがルーティング テーブルを更新しなければならないので、アレイ内トラフィックが必要になります。

注

  • 内部ネットワークに DHCP サーバーが構成されていない場合は、VPN クライアント ネットワークに IP アドレスの静的プールを構成する必要があります。

静的アドレスの割り当て

IP アドレスは、アドレスの静的プールから割り当てることもできます。この方法は、内部ネットワークの IP アドレスが静的に割り当てられている場合などに使用できます。

アドレスの割り当てに静的アドレス プールを使用する場合は、まず、プールに割り当てるアドレスを他の定義済みネットワークから削除する必要があります。なぜなら、IP アドレスは、ネットワーク間で重複することができないからです。静的アドレス プールには、必要なリモート VPN 接続数 (リモート サイト接続とローミング クライアント接続を含む) より 1 つ多い IP アドレスを指定する必要があります。

VPN クライアントのブロードキャスト名前解決

ISA Server に対する VPN 接続のブロードキャスト名前解決を有効にすると、クライアントがコンピュータの名前解決に使用する DNS サーバーまたは Windows インターネット ネーム サービス (WINS) サーバーを指定できます。この場合、リモート アクセス クライアントは、コンピュータのフル ネームと NetBIOS 名、および構成済み DNS または WINS サーバーを持たないリモート ネットワーク上のその他のリソースを解決できます。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN 接続の監視

仮想プライベート ネットワーク (VPN) セッションを監視し、VPN 接続のみを表示するように [セッション] ビューをフィルタ処理することができます。VPN クライアントを監視するには、[セッションの種類] が [VPN クライアント] に設定されるようにフィルタを構成します。リモート サイト ネットワークからの接続を監視するには、[送信元ネットワーク] が [VPN サイト間ネットワーク] に設定されるように [セッション] ビューのフィルタを構成します。

ログ

ISA Server 2004 は、VPN 接続に対して次の種類のログをサポートしています。

  • イベント ログ。イベント ログとは、システム イベント ログにイベントが記録されることです。通常、イベント ログは、トラブルシューティングに使用したり、異常なイベントをネットワーク管理者に通知するために使用します。
  • ISA Server ログ。ISA Server は、リモート VPN 接続の認証およびアクセス情報のログもサポートしています。このログは、システム イベントのログに記録されるイベントとは別のものです。ログに収集された情報を使用して、リモート アクセスの使用状況および認証試行を追跡することができます。詳細については、「ログの保存形式」を参照してください。
  • RADIUS ベースの認証とアカウンティングのログ。ルーティングとリモート アクセスを実行するサーバーでは、RADIUS 認証とアカウンティングが有効である場合に、リモート アクセス接続のアカウンティング情報のログを、リモート認証ダイヤルイン ユーザー サービス (RADIUS) サーバーで収集できます。このログは、システム イベントのログに記録されるイベントとは別のものです。RADIUS サーバーでログに収集された情報を使用して、リモート アクセスの使用状況を追跡することができます。手順については、「RADIUS 認証を使用する」および「アカウンティングに RADIUS を使用する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN : 操作方法

ここでは、リモート VPN クライアント、サイト間 VPN、および一般的な VPN 構成設定を構成する手順について説明します。

  • リモート VPN クライアント アクセスを構成する
  • サイト間 VPN 接続を構成する
  • 一般的な VPN 設定を構成する


リモート VPN クライアント アクセスを構成する

ここでは、リモート仮想プライベート ネットワーク (VPN) クライアント アクセスを構成する手順について説明します。

  • リモート VPN クライアント アクセスを有効にする
  • リモート クライアントの同時接続の最大数を構成する
  • ドメイン グループのリモート アクセスを許可する
  • リモート クライアント アクセスのトンネリング プロトコルを構成する
  • ユーザー マッピングを有効にする
  • リモート VPN クライアントのユーザーとグループを作成する
  • 検疫の制御を有効にする
  • 検疫の制御からユーザーを除外する
  • VPN クライアントを監視する


リモート VPN クライアント アクセスを有効にする

リモート VPN クライアント アクセスを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスを有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • VPN クライアント アクセスを有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート クライアントの同時接続の最大数を構成する

リモート クライアントの同時接続の最大数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [VPN クライアント アクセスを有効にする] が選択されていることを確認します。
  5. [VPN クライアントの最大許容数] に、同時に接続可能な VPN クライアントの最大数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • VPN クライアント アクセスを有効にすると、"ISA Server への VPN クライアント トラフィックを許可する" というシステム ポリシー ルールが有効になります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ドメイン グループのリモート アクセスを許可する

ドメイン グループのリモート アクセスを許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [グループ] タブで、[追加] をクリックします。
  5. ISA Server コンピュータへのリモート アクセスを許可するユーザーまたはグループの名前を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Windows ビルトイン ユーザー グループを VPN ユーザーとして追加することはできません。ISA Server コンピュータがドメイン コントローラでもある場合でも、ビルトイン ドメイン グループを使用してください。
  • これらのドメイン グループに属するユーザーに対して、ダイヤルイン プロパティを [リモート アクセス ポリシーでアクセスを制御] に設定する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


リモート クライアント アクセスのトンネリング プロトコルを構成する

リモート クライアント アクセスのトンネリング プロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [プロトコル] タブで、次のオプションを選択します (複数可)。
    • [PPTP を有効にする]
    • [L2TP/IPsec を有効にする]

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート VPN クライアントがL2TP トンネリング プロトコルを使用して ISA Server 2004 に接続できるようにする場合、証明書を要求することになります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ユーザー マッピングを有効にする

ユーザー マッピングを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアント アクセスの構成] をクリックします。
  4. [ユーザー マッピング] タブで、[ユーザー マッピングを有効にする] をクリックします。
  5. マップするユーザー名にドメイン名が含まれていない場合は、[ユーザー名にドメインが含まれていないときは、このドメインを使用する] をクリックします。次に、[ドメイン名] に、使用するドメインの名前を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • RADIUS サーバーと ISA Server が異なるドメインに配置されている場合、またはどちらかがワークグループ内にある場合、ユーザー マッピングは PAP および SPAP 認証方法のみでサポートされます。他の認証方法が構成されている場合は、ユーザー マッピングを使用しないでください。
  • ユーザー マッピングを使用できるのは、ISA Server がドメインにインストールされている場合のみです。ワークグループ環境ではユーザー マッピングを有効にしないでください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


リモート VPN クライアントのユーザーとグループを作成する

リモート VPN クライアントのユーザーとグループを作成するには

  1. [コンピュータの管理] で、[ローカル ユーザーとグループ] をクリックし、[グループ] を右クリックして、[新しいグループ] をクリックします。
  2. [新しいグループ] にグループの名前を入力し、[作成] をクリックします。
  3. [ユーザー] をクリックします。リモート VPN アクセスを許可するユーザーごとに、次の操作を実行します。
    1. ユーザーをダブルクリックして、そのプロパティを表示します。
    2. [所属するグループ] タブで、[追加] をクリックします。
    3. [選択するオブジェクト名を入力してください] にグループ名を入力し、[OK] をクリックします。
    4. [ダイヤルイン] タブで [リモート アクセス ポリシーでアクセスを制御]、[OK] の順にクリックします。

注

  • リモート VPN クライアント アクセスで ISA Server を使用できるのは、ダイヤルイン プロパティが構成されているユーザーのみです。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


検疫の制御を有効にする

検疫の制御を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、[検疫 VPN クライアント] ネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [検疫] タブで、[検疫の制御を有効にする] を選択します。
  5. 次のオプションのいずれかを選択します。
    • [RADIUS サーバーのポリシーに従って検疫する]。VPN クライアントが接続を試みるときに、ルーティングとリモート アクセス ポリシーは、接続要求を ISA Server に渡すかどうかを決定します。ルーティングとリモート アクセス ポリシーが確認されると、クライアントは無条件に VPN クライアント ネットワークに接続されます。
    • [ISA Server のポリシーに従って VPN クライアントを検疫する]。VPN クライアントが ISA Server コンピュータに接続しようとすると、ルーティングとリモート アクセスにより、要求が無条件に ISA Server に渡されます。ISA Server は、接続しようとしているクライアントを検疫 VPN クライアント ネットワークに置いて、そのネットワークに定義されたファイアウォール ポリシーをクライアントに適用します。クライアントは、検疫がクリアされると、VPN クライアント ネットワークに移動します。このオプションを選択するときは、ルーティングとリモート アクセスの検疫機能を無効にし、VPN 接続を確立できるようにしてください。
  6. 検疫中のクライアントを指定した時間後に切断する必要がある場合は、[検疫中のユーザーとの接続を切断するまでの秒数] を選択して、クライアントが検疫 VPN クライアント ネットワークから削除されて、ISA Server から切断されるまでの秒数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このオプションを選択する場合は、ISA Server コンピュータと、接続を試みるリモート VPN クライアント上で、検疫の制御を構成する必要があります。そうしないと、リモート VPN クライアントは、指定した時間が経過して ISA Server から切断されるまで、検疫モードのままになります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


検疫の制御からユーザーを除外する

検疫の制御からユーザーを除外するには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、[検疫 VPN クライアント] ネットワークを選択します。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [検疫] タブで、[検疫の制御を有効にする] を選択します。
  5. [追加] をクリックします。
  6. [利用可能なユーザー セット] で、検疫の制御から除外するユーザーを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 検疫の制御を有効にする場合は、ISA Server コンピュータと、接続を試みるリモート VPN クライアント上で、検疫の制御を構成する必要があります。そうしないと、リモート VPN クライアントは、指定した時間が経過して ISA Server から切断されるまで、検疫モードのままになります。
  • 検疫の制御から除外されたユーザーは、自動的に VPN クライアント ネットワークのメンバになります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


VPN クライアントを監視する

VPN クライアントを監視するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[VPN クライアントの監視] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッション ビューアには、このアレイに接続している VPN クライアントのデータが表示されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サイト間 VPN 接続を構成する

ここでは、サイト間仮想プライベート ネットワーク (VPN) 接続を構成する手順について説明します。

  • リモート サイト ネットワークを追加する
  • リモート サイト ネットワークのトンネリング プロトコルを構成する
  • リモート トンネル エンドポイントを構成する
  • ローカル トンネル エンドポイントを構成する
  • 接続所有者を割り当てる
  • リモート サイト ネットワークのアドレスを構成する
  • リモート サイトに追加のトンネル エンドポイントを構成する
  • ISA Server がリモート VPN ゲートウェイへの接続を開始することを許可する
  • ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する
  • リモート サイト ネットワークを無効にする
  • リモート サイト ネットワーク セッションを監視する
  • PPTP および L2TP ネットワークを構成する
  • IPsec ネットワークを構成する


リモート サイト ネットワークを追加する

リモート サイト ネットワークを追加するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. [タスク] タブで、[リモート サイト ネットワークの追加] をクリックします。
  4. ウィザードで、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • インターネット プロトコル セキュリティ (IPsec) トンネリング プロトコルを使用するリモート サイト ネットワークを作成する際、Microsoft ファイアウォール サービスの再起動時に、ファイアウォール サービスによってコンピュータの IPsec フィルタが変更されます。ネットワークのアドレス範囲に含まれているサブネットの数によっては、この処理に数分かかることがあります。効率的に行うために、サブネット境界で揃えた IP アドレス範囲を定義することをお勧めします。
  • IPsec PolicyAgent サービスを停止または再起動すると、ISA Server の VPN サイト間 IPsec 構成設定を含め、動的なすべての IPsec 構成情報が失われ、VPN クライアントが切断されます。設定を復元するには、PolicyAgent サービスを開始するか、ファイアウォール サービスを再起動します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート サイト ネットワークのトンネリング プロトコルを構成する

リモート サイト ネットワークのトンネリング プロトコルを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックし、該当するリモート ネットワークを選択します。
  3. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  4. [プロトコル] タブで、次のいずれかを選択します。
    • [L2TP/IPsec]。レイヤ 2 トンネリング プロトコル (L2TP) over インターネット プロトコル セキュリティ (IPsec) の認証および暗号化プロトコルを有効にして、ISA Server コンピュータを通過できるようにします。
      このオプションを選択した場合、必要に応じて [証明書認証の代わりに事前共有キー IPsec 認証を使用する] をクリックし、2 次認証に使用する事前共有キーを入力できます。この事前共有キーは、このポリシーを使用して接続する各クライアント コンピュータで構成する必要があります。
    • [PPTP]。PPTP (Point-to-Point トンネリング プロトコル) を有効にして、ISA Server コンピュータを通過できるようにします。PPTP は、トンネルの管理とデータのカプセル化に使用するトンネリング プロトコルです。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • このタスクは、PPTP ネットワークおよび L2TP ネットワークでのみ実行できます。IPsec トンネル モードのトンネリング プロトコルを指定するには、新しいリモート ネットワークを作成する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート トンネル エンドポイントを構成する

リモート トンネル エンドポイントを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] を選択します。
  5. [接続] タブで、次の操作を行います。
    • IPsec ネットワークの場合は、[リモート トンネル エンドポイントを入力してください] に IP アドレスを入力します。
    • PPTP および L2TP ネットワークの場合は、[リモート ゲートウェイの名前または IP アドレス] に、リモート VPN ゲートウェイの名前または IP アドレスを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ここで指定するユーザー名は、リモート VPN ゲートウェイで構成されている必要があります。
  • 接続先のリモート サイト ネットワークが、ネットワーク負荷分散 (NLB) が有効なアレイである場合は、リモート トンネル エンドポイントに指定するアドレスは、NLB が有効なアレイの仮想 IP アドレスである必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ローカル トンネル エンドポイントを構成する

ローカル トンネル エンドポイントを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート IPsec ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] を選択します。
  5. [接続] タブで、次の操作を行います。
    • IPsec ネットワークの場合、[ローカル トンネル エンドポイントを入力してください] にローカル VPN ゲートウェイの IP アドレスを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート サイトへの接続に使用されるネットワーク アダプタでネットワーク負荷分散 (NLB) が有効である場合は、その仮想 IP アドレスをローカル トンネル エンドポイントとして使用してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


接続所有者を割り当てる

接続所有者を割り当てるには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  5. [サーバー] タブの [接続所有者を選択してください] ボックスで、接続所有者を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • アレイに対してネットワーク負荷分散 (NLB) が有効になっている場合は、接続所有者を指定する必要はありません。このページで接続所有者を指定するかどうかに関係なく、自動的に割り当てられます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート サイト ネットワークのアドレスを構成する

リモート サイト ネットワークのアドレスを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックし、該当するリモート サイト ネットワークを選択します。
  3. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  4. [アドレス] タブで、[範囲の追加] をクリックします。
  5. [開始アドレス] に、ネットワーク アドレス範囲の最初のアドレスを入力します。
  6. [終了アドレス] に、ネットワーク アドレス範囲の最後のアドレスを入力します。
  7. エンタープライズ ネットワークを追加するには、[ネットワークの追加] をクリックします。
  8. 該当するエンタープライズ ネットワークを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • インターネット プロトコル セキュリティ (IPsec) トンネリング プロトコルを使用するリモート サイト ネットワークを作成する際、Microsoft ファイアウォール サービスの再起動時に、ファイアウォール サービスによってコンピュータの IPsec フィルタが変更されます。ネットワークのアドレス範囲に含まれているサブネットの数によっては、この処理に数分かかることがあります。効率的に行うために、サブネット境界で揃えた IP アドレス範囲を定義することをお勧めします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート サイトに追加のトンネル エンドポイントを構成する

リモート サイトに追加のトンネル エンドポイントを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] を選択します。
  5. [リモート NLB] タブで、[範囲の追加] をクリックします。
  6. [開始アドレス] に範囲の最初のアドレスを入力し、[終了アドレス] に範囲の最後のアドレスを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート ゲートウェイが、ネットワーク負荷分散 (NLB) が有効になっているアレイである場合は、ここですべての専用 IP アドレスを指定する必要があります。仮想 IP アドレスを指定しないでください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ISA Server がリモート VPN ゲートウェイへの接続を開始することを許可する

ISA Server がリモート VPN ゲートウェイへの接続を開始することを許可するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] を選択します。
  5. [接続] タブの [リモート ゲートウェイの名前または IP アドレス] に、リモート VPN ゲートウェイの名前または IP アドレスを入力します。
  6. [ローカル サイトがリモート サイトとの接続を開始できるようにする] をクリックします。次に、[ユーザー名]、[ドメイン]、[パスワード]、[パスワードの確認入力] に、ISA Server が接続を開始するときに使用するユーザー名を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ここで指定するユーザー名は、リモート VPN ゲートウェイで構成されている必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ISA Server によって開始されたサイト間接続の VPN 認証方法を構成する

ISA Server によって開始されたサイト間接続の VPN 認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワークをダブルクリックします。
  4. [認証] タブで、リモート VPN ゲートウェイが ISA Server によって開始された接続の認証に使用する適切な認証プロトコルのオプションを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


リモート サイト ネットワークを無効にする

リモート サイト ネットワークを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックし、該当するリモート サイト ネットワークを選択します。
  3. [タスク] タブで、[リモート サイトの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート サイト ネットワーク セッションを監視する

リモート サイト ネットワーク セッションを監視するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックし、該当するリモート サイト ネットワークをクリックします。
  3. [タスク] タブで、[サイト セッションの監視] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [セッション] タブには、監視対象として選択した特定のネットワークのデータが表示されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


PPTP および L2TP ネットワークを構成する

ここでは、PPTP ネットワークと L2TP ネットワークを構成する手順について説明します。

  • リモート サイト ゲートウェイのダイヤルイン アカウントを作成する
  • アクティブでない VPN 接続を自動的に終了する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リモート サイト ゲートウェイのダイヤルイン アカウントを作成する

リモート サイト ゲートウェイのダイヤルイン アカウントを作成するには

  1. ISA Server コンピュータで、[スタート] ボタンをクリックし、[管理ツール] をポイントして、[コンピュータの管理] をクリックします。
  2. コンピュータの管理で、[コンピュータの管理]、[システム ツール]、[ローカル ユーザーとグループ]、[ユーザー] の順にクリックします。
  3. 詳細ウィンドウで、目的のユーザーを右クリックし、[プロパティ] をクリックします。
  4. [ダイヤルイン] タブの [リモート アクセス許可 (ダイヤルインまたは VPN)] で、[アクセスを許可] を選択します。

注

  • PPTP および L2TP ネットワークの場合にのみ、ダイヤルイン アカウントを作成する必要があります。IPsec ネットワークの場合は、ダイヤルイン アカウントを作成する必要はありません。

関連項目

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アクティブでない VPN 接続を自動的に終了する

アクティブでない VPN 接続を自動的に終了するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当するリモート ネットワーク (PPTP ネットワークと L2TP ネットワークのみ) をダブルクリックします。
  4. [接続] タブで、[アクティブでない接続を終了するまでの時間] をクリックします。次に、セッションが終了するまでアクティブでない状態を維持する時間を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


IPsec ネットワークを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 でインターネット プロトコル セキュリティ (IPsec) を構成する手順について説明します。

  • IPsec ポリシーを表示する
  • フェーズ 1 の IPsec の詳細設定を構成する
  • フェーズ 2 の IPsec の詳細設定を構成する


IPsec ポリシーを表示する

IPsec ポリシーを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックし、該当するインターネット プロトコル セキュリティ (IPsec) リモート サイト ネットワークを選択します。
  3. [タスク] タブで、[IPsec ポリシーの表示] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


フェーズ 1 の IPsec の詳細設定を構成する

フェーズ 1 の IPsec の詳細設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックします。
  3. 詳細ウィンドウで、該当する IPsec リモート サイト ネットワークを選択します。
  4. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  5. [接続] タブで、[IPsec の設定] をクリックします。
  6. [フェーズ 1] タブの [整合性アルゴリズム] で、次のいずれかを選択します。
    • [DES]。DES アルゴリズムと 1 つの 56 ビット キーを使用します。
    • [3DES]。トリプル データ暗号化標準アルゴリズムと 3 つの一意な 56 ビット キーを使用します。このオプションは、より強力なセキュリティを提供します。
  7. [暗号化アルゴリズム] で、次のいずれかを選択します。
    • [SHA1]。160 ビット キー (強力) を使用します。
    • [MD5]。128 ビット キー (高速) を使用します。
  8. [Diffie-Hellman グループ] で、次のいずれかを選択します。
    • [グループ 1 (768 ビット)]。768 ビットのマスタ キーのキー生成情報を生成します。
    • [グループ 2 (1024 ビット)]。1024 ビットのマスタ キーのキー生成情報を生成します (より強力なセキュリティ)。
    • [グループ 2048 (2048 ビット)]。2048 ビットのマスタ キーのキー生成情報を生成します (最も強力なセキュリティ)。
  9. [新しいキーを認証して生成する間隔] に、マスタ キーを生成し、再認証をトリガする時間間隔を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [Diffie-Hellman グループ] 設定でより強力なグループを使用すると、Diffie-Hellman 交換から派生するシークレット キーがさらに強力になります。Windows Server 2003、Windows 2000、および Windows XP との相互運用性が要求される場合は、グループ 2 を使用してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


フェーズ 2 の IPsec の詳細設定を構成する

フェーズ 2 の IPsec の詳細設定を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[リモート サイト] タブをクリックし、該当するリモート IPsec サイト ネットワークを選択します。
  3. [タスク] タブで、[リモート サイト ネットワークの構成] をクリックします。
  4. [接続] タブで、[IPsec の設定] をクリックします。
  5. [フェーズ 2] タブの [整合性アルゴリズム] で、次のいずれかを選択します。
    • [3DES]。トリプル データ暗号化標準アルゴリズムと 3 つの一意な 56 ビット キーを使用します。このオプションは、より強力なセキュリティを提供します。
    • [DES]。DES アルゴリズムと 1 つの 56 ビット キーを使用します。
  6. [暗号化アルゴリズム] で、次のいずれかを選択します。
    • [MD5]。128 ビット キー (高速) を使用します。
    • [SHA1]。160 ビット キー (強力) を使用します。
  7. [次の間隔で新しいキーを生成する] をクリックして、再認証が要求されるまでキーを再使用する時間を制限します。[キロバイト] または [秒]、あるいは両方のフィールドに値を入力して、制限時間を指定します。
  8. 複数のセッション キーの生成にマスタ キー情報を使用しない場合は、[PFS (Perfect Forward Secrecy) を使用する] をクリックします。PFS を有効にすると認証が要求されるため、パフォーマンスに影響を与えることがあります。次に、[Diffie-Hellman グループ] で、次のいずれかを選択します。
    • [グループ 1 (768 ビット)]。768 ビットのマスタ キーのキー生成情報を生成します。
    • [グループ 2 (1024 ビット)]。1024 ビットのマスタ キーのキー生成情報を生成します (より強力なセキュリティ)。
    • [グループ 2048 (2048 ビット)]。2048 ビットのマスタ キーのキー生成情報を生成します (最も強力なセキュリティ)。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッション キーの設定で [キロバイト] または [秒] の制限を設定した場合は、最初に到達した間隔がいずれであっても、新しいキーが開始されます。
  • [Diffie-Hellman グループ] 設定でより強力なグループを使用すると、Diffie-Hellman 交換から派生するシークレット キーがさらに強力になります。Windows Server 2003、Windows 2000、および Windows XP との相互運用性が要求される場合は、グループ 2 を使用してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


一般的な VPN 設定を構成する

ここでは、一般的な VPN 設定を構成する手順について説明します。

  • VPN アクセス ネットワークを構成する
  • VPN アドレスの割り当てを構成する
  • VPN 認証方法を構成する
  • VPN 接続の事前共有キーを構成する
  • RADIUS 認証を使用する
  • アカウンティングに RADIUS を使用する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


VPN アクセス ネットワークを構成する

VPN アクセス ネットワークを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. 詳細ウィンドウで、[VPN クライアント] タブをクリックします。
  3. [タスク] タブで、[アクセス ネットワークの選択] をクリックします。
  4. [アクセス ネットワーク] タブで、次の操作を行います。
    • リモート VPN クライアント アクセスを構成する場合は、リモート VPN クライアントが接続する必要があるネットワークを選択します。
    • サイト間 VPN アクセスを構成する場合は、リモート サイト ゲートウェイが接続する必要があるネットワークを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ここで構成するアクセス ネットワークは、リモート VPN クライアント アクセスおよびサイト間ネットワーク アクセスの両方に使用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


VPN アドレスの割り当てを構成する

VPN のアドレスの割り当てを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[アドレスの割り当ての定義] をクリックします。
  3. [アドレスの割り当て] タブで、次のオプションのいずれかを選択します。
    • [静的アドレス プール]。リモート VPN ゲートウェイまたはリモート VPN クライアントに静的アドレスを割り当てます。
    • [動的ホスト構成プロトコル (DHCP)]。リモート VPN ゲートウェイまたはリモート VPN クライアントに動的にアドレスを割り当てます。
  4. [静的アドレス プール] を選択した場合は、以下の操作を実行します。
    1. [追加] をクリックします。
    2. [サーバーの選択] で、静的アドレス プールを定義するアレイ メンバを選択します。
    3. [開始アドレス] に、VPN クライアントに割り当てるアドレス範囲の最初のアドレスを入力します。
    4. [終了アドレス] に、VPN クライアントに割り当てるアドレス範囲の最後のアドレスを入力します。
  5. [DHCP、DNS および WINS サービスの取得に使用するネットワーク] で、名前解決サーバーが配置されているネットワークを選択します。
  6. [詳細設定] をクリックします。次の操作を行います。
    1. [名前解決] で、次のいずれかを選択します。
      • [DHCP の構成を使って DNS サーバーのアドレスを取得する]。VPN クライアントが、DHCP の構成を使用して DNS サーバーを取得する必要のある場合。
      • [次の DNS サーバーのアドレスを使用する]。VPN クライアントが名前解決に使用する、DNS サーバーの静的 IP アドレスを提供する場合。
    2. [次の DNS サーバーのアドレスを使用する] を選択した場合は、[プライマリ] に、VPN クライアントが内部ネットワークでの名前解決に使用できる、内部ネットワーク上の DNS サーバーの IP アドレスを入力します。[バックアップ] に、内部ネットワーク上の DNS サーバーの IP アドレスを入力します。これは、プライマリ DNS サーバーが使用できない場合に、VPN クライアントが内部ネットワークでの名前解決に使用できるアドレスです。
    3. 次のいずれかを選択します。
      • [DHCP の構成を使って WINS サーバーのアドレスを取得する]。VPN クライアントが、DHCP の構成を使用して WINS サーバーを取得する必要のある場合。
      • [次の WINS サーバーのアドレスを使用する]。VPN クライアントが名前解決に使用する、WINS サーバーの静的 IP アドレスを提供する場合。
    4. [次の WINS サーバーのアドレスを使用する] を選択した場合は、[プライマリ] に、VPN クライアントが内部ネットワークでの名前解決に使用できる、内部ネットワーク上の WINS サーバーの IP アドレスを入力します。[バックアップ] に、内部ネットワーク上の WINS サーバーの IP アドレスを入力します。これは、プライマリ DNS サーバーが使用できない場合に、VPN クライアントが内部ネットワークでの名前解決に使用できるアドレスです。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ルーティングとリモート アクセス ユーザーはサポートされていません。
  • リモート サイト ネットワークに対して [静的アドレス プール] を選択する場合は、各アレイ メンバ上で静的アドレス プールを作成する必要があります。
  • 複数のメンバ サーバーで構成されるアレイでは、DHCP を使用できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


VPN 認証方法を構成する

VPN 認証方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[認証方法の選択] をクリックします。
  3. [認証] タブで、ISA Server がリモート VPN クライアントおよびリモート VPN ゲートウェイ (構成した場合) の認証に使用する適切な認証プロトコルのチェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート ネットワークの場合、選択した認証方法は、リモート VPN ゲートウェイが ISA Server コンピュータへの接続を開始するときに使用されます。
  • EAP で認証されたユーザーは、RADIUS サーバーによって認証されます。ユーザー マッピング機能も構成している場合、ユーザーに適用されるファイアウォール ポリシー ルールは、これらのユーザーにのみ適用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


VPN 接続の事前共有キーを構成する

VPN 接続の事前共有キーを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[認証方法の選択] をクリックします。
  3. レイヤ 2 トンネリング プロトコル (L2TP) VPN 接続でカスタムのインターネット プロトコル セキュリティ (IPsec) ポリシーが使用可能な場合、[認証] タブで、[L2TP 接続でカスタム IPsec ポリシーを許可する] を選択します。
  4. [事前共有キー] に、このカスタムの IPsec ポリシーを使用するすべての接続で使用する事前共有キーを入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • リモート ネットワークの場合、選択した認証方法は、リモート VPN ゲートウェイが ISA Server コンピュータへの接続を開始するときに使用されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


RADIUS 認証を使用する

RADIUS 認証を使用するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[RADIUS 構成の指定] をクリックします。
  3. [RADIUS] タブで、[認証に RADIUS を使用する] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


アカウンティングに RADIUS を使用する

アカウンティングに RADIUS を使用するには

  1. [ISA Server の管理] のコンソール ツリーで、[仮想プライベート ネットワーク (VPN)] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 仮想プライベート ネットワーク (VPN)
  2. [タスク] タブで、[RADIUS 構成の指定] をクリックします。
  3. [RADIUS] タブで、[アカウンティング (ログ) に RADIUS を使用する] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


VPN のトラブルシューティング

どのような問題がありますか?

VPN クライアント接続に失敗することがあります。

原因 : これは、ISA Server がドメインのメンバであり、ドメイン コントローラに内部ネットワークに含まれる複数の IP アドレスがある場合に発生します。

解決方法 : ドメイン コントローラに、1 つのアドレスのみを割り当てます。

リモート VPN クライアントが ISA Server に接続できません。

原因 : ユーザーが ISA Server にアクセスできない場合、さまざまな理由が考えられますが、たとえば次のような理由があります。

  • ユーザー アカウントが正しく構成されていない。
  • ユーザーが ISA Server コンピュータへのアクセスに適切なアクセス権を持っていない。

解決方法 : アカウントが正しく構成されていないことが原因と思われる場合は、次の操作を実行します。

  • 各ユーザーのダイヤルイン特権が有効になっているかどうか、またはリモート アクセス ポリシー構成で設定されたグループにユーザー アカウントが属しているかどうかを確認します。詳細については、「リモート VPN クライアント アクセスのユーザー」を参照してください。
  • リモート VPN クライアントが適切な認証方法およびトンネリング プロトコルで正しく構成されているかどうかを確認します。これらは、ISA Server の構成設定と一致する必要があります。

関連項目 : 「リモート VPN クライアント アクセスのユーザー」および「VPN トンネリング プロトコル」

リモート サイト ゲートウェイの IP アドレスから送られたトラフィックが拒否されます (IP スプーフィングの可能性)。

原因 : PPTP (Point-to-Point トンネリング プロトコル) またはレイヤ 2 トンネリング プロトコル (L2TP) を使用するリモート サイト ネットワーク シナリオでは、ISA Server コンピュータにデフォルト ゲートウェイが構成されていない場合があります。デフォルト ゲートウェイが定義されていない場合、ISA Server とリモート サイト ゲートウェイ間の静的ルートは追加されません。ルートがないため、リモート サイト ゲートウェイからのトラフィックはスプーフィングと見なされ、トラフィックは拒否されます。

解決方法 : デフォルト ゲートウェイを追加します。ダミーのデフォルト ゲートウェイを指定することができます。

L2TP サイト間接続を切断すると、ISA Server が応答しなくなります。

原因 : ルーティングとリモート アクセスまたは ISA Server の管理からレイヤ 2 トンネリング プロトコル (L2TP) VPN サイト間接続を切断した場合、ISA Server は応答を停止する場合があります。

解決方法 : ISA Server コンピュータを再起動します。

IPsec リモート サイト間接続を確立できません。

原因 : サイト間接続を確立できない場合、さまざまな理由が考えられますが、たとえば次のような理由があります。

  • インターネット プロトコル セキュリティ (IPsec) 接続が失敗した。
  • リモート サイト ゲートウェイにアクセスできない。
  • ローカル ISA Server コンピュータのアドレスが、リモート サイト ゲートウェイで正しく構成されていない。
  • リモート サイト ゲートウェイまたは ISA Server のいずれかで、リモート サイト ネットワークのアドレス範囲が正しく構成されていない。
  • 事前共有キーを使用している場合、事前共有キーが正しく構成されていない。
  • 証明書の認証が使用されている場合、正しい証明書を使用できない。

解決方法 : 次の操作を実行します。

  • 原因がネットワーク アドレス変更時の構成の誤りに関係があると思われる場合は、構成を確認します。手順については、「リモート サイト ネットワークのアドレスを構成する」を参照してください。
  • 証明書が正しく構成されているかどうかを確認します。
  • 原因がセキュリティ監査に関係があると思われる場合は、イベント ビューアで最新のセキュリティ エラーを確認します。
  • 原因が認証のネゴシエーションに関係があると思われる場合は、次のインターネット キー交換 (IKE) イベントが発生していないかどうかを確認します。
    • Event 541 (成功)。IKE が、メイン モード セキュリティ アソシエーション (SA) または IPsec SA のいずれかと正常にネゴシエートすると、記録されます。SA パラメータは、イベントのテキストに示されます。
    • Event 542 (成功)。IKE が IPsec SA を正常に削除すると、記録されます。SA のライフタイムの有効期限切れ、クイック モードのキー更新中の新しい SA の生成、IPsec ピアによる削除メッセージの送信、IPsec ポリシーの変更、または IPsec サービスの停止が原因で、IPsec SA が削除される場合があります。
    • Event 543 (成功)。IKE がメイン モード SA を正常に削除すると、記録されます。SA のライフタイムの有効期限切れ、IPsec ピアによる削除メッセージの送信、IPsec ポリシーの変更、または IPsec サービスの停止が原因で、IKE メイン モード SA が削除される場合があります。
    • Event 544 (失敗)。証明書の信頼エラーおよびその後の認証エラーが原因で、IKE ネゴシエーションが終了すると、記録されます。このエラーは、IPsec ピアで有効な証明書チェーンが見つからなかったか、見つかった証明書チェーンを信頼されたルート証明機関 (CA) に送信できなかったことが原因で発生します。
    • Event 545 (失敗)。コンピュータ証明書の署名の検証エラーが原因で、IKE ネゴシエーションが終了すると、記録されます。このイベントは、IPsec ピアのコンピュータ証明書で RSA タイプの公開キーと秘密キーのペアが一致しないことを示すため、ほとんど発生しません。
    • Event 546 (失敗)。IPsec ピアから提示された IKE が無効であることが原因で SA を確立できないと、記録されます。このエラーは通常、IPsec ポリシーが正しく構成されていない場合に発生します。
    • Event 547 (失敗)。IKE ネゴシエーションが失敗すると、記録されます。失敗の原因はイベントのテキストに示されません。

PPTP または L2TP リモート サイト間接続を確立できません。

原因 : サイト間接続を確立できない場合、さまざまな理由が考えられますが、たとえば次のような理由があります。

  • リモート サイト ゲートウェイにアクセスできない。
  • ローカル ISA Server コンピュータのアドレスが、リモート サイト ゲートウェイで正しく構成されていない。
  • サイト間接続のユーザー アカウントが適切に構成されていない。
  • 事前共有キーを使用している場合、L2TP 接続で、事前共有キーが一致しないことがある。
  • 証明書の認証が使用されている場合、正しい証明書を使用できない。


キャッシュ

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、ネットワーク パフォーマンスを向上させるために、頻繁に要求されるオブジェクトのキャッシュが実装されています。最も頻繁に使用されるデータが必ず格納されるようにキャッシュを構成することができます。

  • キャッシュ : 概念
  • キャッシュ : 操作方法
  • キャッシュのトラブルシューティング

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュ : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のキャッシュ機能について説明します。

  • キャッシュの概要
  • キャッシュの動作
  • キャッシュの構成
  • キャッシュ ルール
  • コンテンツ ダウンロード ジョブ
  • CARP


キャッシュの概要

ISA Server は、頻繁に要求されるオブジェクトのキャッシュを実装してネットワーク パフォーマンスを向上させます。最も頻繁に使用されるデータが必ず格納されるようにキャッシュを構成することができます。

ISA Server をインストールすると、既定により、キャッシュは無効になります。これは、ISA Server コンピュータのどのディスク ドライブにも、キャッシュ用に指定されているディスク領域がないためです。キャッシュ用のドライブを構成する場合、ドライブ上で使用するディスク領域を指定して、キャッシュを有効にします。キャッシュ可能なコンテンツを指定して、キャッシュを詳細に構成できます。

キャッシュが有効な場合、キャッシュ ルールを構成して、指定したサイトのコンテンツを ISA Server キャッシュに保存するかどうか、または ISA Server キャッシュから取得するかどうかを指定できます。キャッシュ ルールは、送信元ネットワークに関係なく、要求されたサイトに適用されます。

キャッシュが有効な場合、コンテンツ ダウンロード ジョブを構成することもできます。コンテンツ ダウンロード ジョブを使用すると、指定時刻にコンテンツを自動的にダウンロードするように ISA Server を構成できます。この方法の場合、頻繁に要求されるコンテンツにオフピーク時にアクセスするように ISA Server を構成できるため、ネットワーク パフォーマンスが向上します。

キャッシュを使用する

ISA Server は、クライアントが要求されたコンテンツに素早くアクセスできるフォワード キャッシュ サーバーとして展開できます。ISA Server は、任意の Web ブラウザ クライアントがアクセス可能な頻繁に要求されるオブジェクトのキャッシュを集中管理します。ディスク キャッシュから提供されるオブジェクトは、他のネットワークからのオブジェクトに比べて必要な処理がきわめて少なくなります。このため、クライアント ブラウザのパフォーマンスが向上し、ユーザーの応答時間が短縮され、またインターネット接続での帯域幅の使用量も削減されます。

次の図では、内部ネットワーク上のクライアントが、外部ネットワーク上のサーバーのオブジェクトを要求しています。この図では、ユーザーがオブジェクトを要求した場合の ISA Server の応答方法を示しています。

キャッシュの動作

この図では、ISA Server がオブジェクトをキャッシュする場合のユーザーの利点も示しています。図ではフォワード キャッシュ シナリオに焦点を当てていますが、インターネット ユーザーが企業の Web サーバーにアクセスするリバース キャッシュの場合もプロセスは同じです。図には次の処理が示されています。

  1. 最初のユーザー (クライアント 1) が Web オブジェクトを要求します。
  2. ISA Server は、オブジェクトがキャッシュにあるかどうかをチェックします。オブジェクトが ISA Server キャッシュにないため、ISA Server はインターネット上のサーバーのオブジェクトを要求します。
  3. インターネット上のサーバーがオブジェクトを ISA Server コンピュータに返します。
  4. ISA Server は、オブジェクトのコピーをキャッシュに保持し、オブジェクトをクライアント 1 に返します。
  5. クライアント 2 が同じオブジェクトを要求します。
  6. ISA Server はインターネットからオブジェクトを取得するのではなく、キャッシュからオブジェクトを返します。

商用 Web ビジネスをホストしたり、ビジネス パートナーへのアクセスを提供する組織の Web サーバーの前面に ISA Server を展開できます。着信方向の Web 要求があると、ISA Server は、外部に対して Web サーバーを偽装し、Web コンテンツに対するクライアント要求をキャッシュから処理します。要求がキャッシュから処理できない場合にのみ、ISA Server は Web サーバーに要求を転送します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュの動作

ISA Server は Web オブジェクトのキャッシュを維持し、キャッシュを使用して Web 要求を処理します。キャッシュを使用して要求を処理できない場合、ISA Server コンピュータはクライアントに代わって新しい要求を開始します。リモート Web サーバーが ISA Server コンピュータに応答すると、ISA Server コンピュータは元のクライアント要求に対する応答をキャッシュし、クライアントに応答を送信します。

ISA Server は、発信方向の要求に使用されるフォワード キャッシュ、および着信方向の要求に使用されるリバース キャッシュをサポートしています。フォワード キャッシュおよびリバース キャッシュの両方を使用するクライアントでは、ISA Server キャッシュ機能の利点を最大限に利用できます。詳細については、「キャッシュの概要」を参照してください。

ISA Server には、キャッシュ機能を処理する Web プロキシ フィルタが組み込まれています。特定のネットワークでは、ファイアウォール クライアントが有効な場合、または ISA Server が SecureNAT クライアントのデフォルト ゲートウェイとして構成されている場合、Web プロキシ フィルタはファイアウォール クライアントおよび SecureNAT クライアントによって要求されたオブジェクトをキャッシュします。

ISA Server は、キャッシュ プロパティとキャッシュ ルールの構成を調べて、オブジェクトをキャッシュから取得するか、または別のサーバーから取得するかを決定します。ISA Server はキャッシュ構成、キャッシュ ルール、および既存のキャッシュ コンテンツを分析して、オブジェクトをキャッシュから取得するかどうかを決定します。

ユーザー要求が許可される場合、ISA Server はキャッシュから応答を返そうとします。

  1. ISA Server は、要求された宛先に対して HTTP キャッシュが有効かどうかをチェックします。有効でない場合、ISA Server は Web チェーン ルールをチェックして、要求のルーティング方法を決定します。
  2. HTTP キャッシュが有効な場合、ISA Server はキャッシュ内で要求されたオブジェクトを検索します。有効なオブジェクトがキャッシュ内にある場合、ISA Server はそれをキャッシュから取得して、ユーザーに返します。
    オブジェクトまたはクライアント要求ディレクティブに指定された有効期限が切れている場合、そのオブジェクトは無効と見なされます。
  3. 要求をルーティングするように Web チェーン ルールが構成されている場合、ISA Server は要求を上位サーバーにルーティングするか、または要求された Web サーバーにルーティングするかを決定します。
  4. 要求を Web サーバーにルーティングするように Web チェーン ルールが構成されている場合、ISA Server は Web サーバーに要求を送信します。
  5. Web サーバーにアクセスできない場合、ISA Server は有効期限切れのオブジェクトをキャッシュから返すようにサーバーが構成されているかどうかをチェックします。特定の有効期限が過ぎていない限り、サーバーから有効期限切れのオブジェクトを返すように指定した場合、オブジェクトはキャッシュからユーザーに返されます。
  6. Web サーバーが使用可能な場合、ISA Server は、オブジェクトをキャッシュできるかどうか、およびキャッシュ ルールのプロパティが応答をキャッシュするように構成されているかどうかを確認します。可能な場合、ISA Server はオブジェクトをキャッシュしてユーザーにオブジェクトを返します。

キャッシュ ルールの詳細については、「キャッシュ ルール」を参照してください。Web チェーン ルールの詳細については、「Web チェーン ルール」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュの構成

既定では、Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールすると、キャッシュは無効に設定されます。キャッシュを有効にするには、ISA Server コンピュータの任意のキャッシュ ドライブに領域を構成する必要があります。手順については、「キャッシュを有効にする」を参照してください。

キャッシュにはフォーマット済みの NTFS パーティションを使用し、ドライブはローカル ドライブにする必要があります。一般に、最適なパフォーマンスを得るには、メインの ISA Server システムおよび Microsoft Windows® オペレーティング システムがインストールされているドライブとは別のドライブを使用します。キャッシュに使用するドライブは、事前にフォーマットすることをお勧めします。

ISA Server のキャッシュ機能を使用する場合は、NTFS ボリュームとしてフォーマットされているパーティションが少なくとも 1 つはあるコンピュータに ISA Server をインストールする必要があります。現在のサーバーのディスク ボリュームで FAT パーティションが使用されている場合は、Windows の Convert を使用してパーティションを NTFS に変換できます。Convert によってディスク上のデータが上書きされることはありません。Convert の使用方法については、コマンド プロンプトで「convert /?」と入力してください。

ISA Server が使用するキャッシュのサイズと場所は、サーバーごとに構成できます。キャッシュ容量がいっぱいになるとキャッシュ内のオブジェクトが削除されるため、大きめのキャッシュを割り当てることをお勧めします。手順については、「キャッシュ サイズを構成する」を参照してください。

キャッシュ コンテンツ ファイル

キャッシュ用のドライブを構成すると、ISA Server は、そのドライブに .cdat という拡張子の 1 つのキャッシュ コンテンツ ファイルを作成します。このファイルは、Dir1.cdat という名前で、<ドライブ>:\urlcache フォルダに作成されます。

オブジェクトがキャッシュされると、ISA Server は、それらをキャッシュ コンテンツ ファイルに追加します。キャッシュ コンテンツ ファイルがいっぱいで新しいオブジェクトを追加できない場合、ISA Server は、オブジェクトの存続期間、アクセス頻度、およびサイズを評価する式を使用して、キャッシュ内の古いオブジェクトから順に削除します。

キャッシュするコンテンツの構成

ISA Server が次の HTTP (ハイパーテキスト転送プロトコル) オブジェクトをキャッシュする必要があるかどうかを構成できます。

  • 最終更新日が指定されていないオブジェクト
  • 200 応答を持たないオブジェクト

メモリ キャッシュに格納するオブジェクトの最大サイズも構成できます。

手順については、「キャッシュするコンテンツを構成する」、「キャッシュ内のオブジェクトの最大サイズを構成する」、および「ネガティブ キャッシュを構成する」を参照してください。

オブジェクトの Time-to-Live (TTL) が過ぎると、そのオブジェクトは有効期限切れと見なされます。要求された Web サイトが使用できない場合に、有効期限の切れたコンテンツをキャッシュから返す必要があるかどうかを構成できます。手順については、「有効期限切れのオブジェクトをキャッシュから返すかどうかを構成する」を参照してください。

重要

  • Web サイトに、キャッシュしてはならないコンテンツのキャッシュ制御ディレクティブが適切に構成されていない場合、ISA Server は、悪意のあるユーザーにユーザー コンテンツを返す場合があります。

RAM キャッシュ

ISA Server では、ランダム アクセス メモリ (RAM) およびディスクにオブジェクトがキャッシュされます。メモリにキャッシュされたオブジェクトは、ディスクにキャッシュされたオブジェクトより高速に取得できます。既定では、RAM の 10 パーセントがオブジェクトのキャッシュに使用されます。そこに入りきらないオブジェクトはすべて、ディスクにのみキャッシュされます。手順については、「キャッシュに使用できるメモリの割合を構成する」を参照してください。

ヘッダー

ISA Server は、次の HTTP 応答ヘッダーが含まれる要求への応答はキャッシュしません。

  • cache-control: no-cache
  • cache-control: private
  • pragma: no-cache
  • www-authenticate
  • set-cookie

また、ISA Server コンピュータは、次の HTTP 要求ヘッダーが含まれる要求への応答もキャッシュしません。

  • authorization (元のサーバーが、応答に cache-control: public ヘッダーを含めることによって、明示的にこれを許可している場合を除く)
  • cache-control: no-store


キャッシュ ルール

キャッシュ ルールを使用すると、キャッシュに格納するコンテンツの種類、およびキャッシュからオブジェクトを提供する方法を指定できます。キャッシュ ルールは、組織のニーズに応じて、すべてのサイトから取得するコンテンツまたは指定したサイト (宛先セット) に送信するコンテンツに、およびすべてのコンテンツ グループまたは指定したコンテンツの種類に適用できます。さらに、オブジェクトを有効と見なす期間や、キャッシュ ルールが有効期限の切れたオブジェクトを処理する方法も制限できます。

手順については、「キャッシュ ルールを作成する」を参照してください。

キャッシュの記憶域の構成

ルールごとに、キャッシュにどのオブジェクトを格納するかを構成できます。任意の宛先に対して、コンテンツをキャッシュするかどうか、およびキャッシュするコンテンツの種類を指定できます。

  • [ダイナミック コンテンツ]。取得したオブジェクトがキャッシュ可能としてマークされていない場合でも、キャッシュするよう指定します。
  • [オフライン参照用コンテンツ]。すべての要求をキャッシュ内のコンテンツから処理するよう指定します。したがって、応答コード 302 および 307 のキャッシュ不可能なコンテンツも、キャッシュに格納する必要があります。
  • [取得時にユーザー認証が必要なコンテンツ]。アクセス用の認証が必要なコンテンツをキャッシュするよう指定します。
  • [キャッシュするオブジェクトの最大サイズ]。キャッシュするオブジェクトの最大サイズを指定します。手順については、「キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限する」を参照してください。

キャッシュからのオブジェクトの取得

キャッシュ ルール構成の一部として、キャッシュ内のオブジェクトを取得する方法、およびキャッシュからオブジェクトを提供する方法を定義できます。

ISA Server は、キャッシュからオブジェクトを提供する前に、そのオブジェクトの有効なコピーがキャッシュにあるかどうかを確認します。HTTP (ハイパーテキスト転送プロトコル) キャッシュ プロパティ、FTP (ファイル転送プロトコル) キャッシュ プロパティ、またはオブジェクト自体に指定されている Time-to-Live (TTL) の有効期限が切れていなければ、オブジェクトは有効と見なされます。ルールのキャッシュ プロパティの構成方法に従って、ISA Server はキャッシュからオブジェクトを取得します。ISA Server は、次の操作のいずれかを実行するように構成できます。

  • オブジェクトが有効な場合のみ、キャッシュからオブジェクトを取得します。オブジェクトが無効な場合、要求はサーバーにルーティングされてから取得されます。
  • オブジェクトが有効かどうかに関係なく、キャッシュからオブジェクトを取得します。オブジェクトがキャッシュ内に見つからない場合、要求はサーバーにルーティングされます。このオプションは、予定されたコンテンツ ダウンロード ジョブによって生成される要求と連携して動作させることができます。
  • 要求をルーティングしません。どちらのバージョンのオブジェクトもキャッシュにない場合、エラー ページを返します。

要求されたオブジェクトをキャッシュに保存しないようにキャッシュ ルールを構成することもできます。

HTTP および FTP コンテンツのキャッシュ

指定の宛先に対して、HTTP コンテンツと FTP コンテンツのどちらをキャッシュするかを構成できます。HTTP コンテンツをキャッシュする場合は、HTTP オブジェクトの有効期限ポリシーも構成できます。同様に、FTP オブジェクトにも有効期限ポリシーを構成できます。

キャッシュ ルールの構成では、HTTP、FTP、および SSL (Secure Sockets Layer) のいずれの応答に対してキャッシュを有効にするかを定義できます。また、キャッシュするコンテンツをファイル サイズに応じて制限するようにキャッシュ ルールを構成することもできます。

HTTP オブジェクトのキャッシュ

キャッシュした HTTP オブジェクトは、TTL 設定に従って有効期限が切れます。HTTP オブジェクトの場合、応答ヘッダーに定義されている TTL と、キャッシュ ルールに定義されている TTL 境界に基づいて有効期限が構成されます。TTL 境界は、コンテンツの生存期間、すなわちオブジェクが作成または変更された後の経過時間に対する割合として計算されます。HTTP オブジェクトは、キャッシュ ルールで HTTP オブジェクトに定義されている TTL に従って有効期限が切れます。手順については、「キャッシュ ルールの HTTP キャッシュを構成する」を参照してください。

FTP オブジェクトのキャッシュ

ISA Server のキャッシュ内で FTP オブジェクトを管理する方法を構成できます。FTP オブジェクトの場合、すべてのオブジェクトに TTL 期間を構成できます。

既定では、すべての FTP オブジェクトの TTL は 1 日に設定されています。

構成の手順については、「キャッシュ ルールの FTP キャッシュを構成する」を参照してください。

SSL オブジェクトのキャッシュ

ISA Server のキャッシュ内で SSL オブジェクトを管理するかどうかを構成できます。構成の手順については、「キャッシュ ルールの SSL キャッシュを構成する」を参照してください。

ルールの順序

キャッシュ ルールには順番が付けられ、既定のキャッシュ ルールは最後に処理されます。新しい接続に対して、ISA Server コンピュータは順番にキャッシュ ルールを処理します。つまり、1 つ目のルールが最初に処理されます。要求は、ルールで指定されている条件に一致すると、それに従ってキャッシュされます。それ以外の場合は、次のルールが適用されます。この手順は、最後のルール (既定のルール) が処理されるまで、その要求に適用されます。

既定のキャッシュ ルール

ISA Server をインストールすると、既定のキャッシュ ルールが構成されます。既定のルールはまず、要求された有効なオブジェクトのみを ISA Server のキャッシュから取得するように構成されます。キャッシュ内のオブジェクトが無効な場合、そのオブジェクトはインターネットから直接取得されます。

既定のキャッシュ ルールのオブジェクトの取得方法は変更できません。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


コンテンツ ダウンロード ジョブ

Microsoft Internet Security and Acceleration (ISA) Server 2004 のキャッシュ コンテンツ ダウンロード ジョブ機能を使用すると、インターネットから ISA Server のキャッシュへの直接的なコンテンツ ダウンロードをスケジュールできます。バックグラウンド プロセスによって、定義済みのスケジュールに基づいてコンテンツがダウンロードされます。

キャッシュ コンテンツ ダウンロード ジョブを使用すると、Web プロキシ クライアントによって今後まもなく要求される可能性のある、HTTP (ハイパーテキスト転送プロトコル) コンテンツで ISA Server のキャッシュを更新できます。予定されたキャッシュ コンテンツ ダウンロードによって、スループットに影響を及ぼすことなく、貴重なネットワーク帯域幅を節約し、全体的なキャッシュ パフォーマンスを改善できます。

ISA Server がコンテンツ ダウンロード ジョブに指定されているコンテンツをダウンロードするには、予定されたダウンロード ジョブのシステム ポリシー構成グループを有効にする必要があります。手順については、「システム ポリシー構成グループを有効にする」を参照してください。このシステム ポリシー構成グループを有効にすると、ISA Server コンピュータからの認証されていない HTTP トラフィックが ISA Server によってブロックされることに注意してください。これは、他のポリシー ルールによってトラフィックが許可されている場合でも、適用されます。

このようなトラフィックを許可する場合、システム ポリシー構成グループを有効にするのではなく、すべてのネットワークへの HTTP アクセスを許可するアクセス ルールを作成できます。このルールは、コンテンツ ダウンロード ジョブを効果的に実行するために必要です。また、ローカル ホスト ネットワークからの認証されていない HTTP アクセスを許可する、さらに優先順位の高いアクセス ルールを追加します。

Web チェーン ルールに指定されているルーティング構成は、コンテンツ ダウンロード ジョブに指定されているルーティング構成よりも常に優先されます。コンテンツ ダウンロード ジョブで、要求をルーティングしないように指定されていても、またオブジェクトがキャッシュに存在する場合でも、Web チェーン ルールで要求をルーティングするよう指定されている場合は、要求がルーティングされます。Web チェーン ルールの詳細については、「Web チェーン ルール」を参照してください。

手順については、「予定されたキャッシュ コンテンツ ダウンロード ジョブを作成する」を参照してください。

注

  • キャッシュ コンテンツ ダウンロード ジョブに失敗した場合は、イベントが Windows のイベント ビューアに記録されます。

キャッシュ コンテンツ ダウンロードを自動化する

ISA Server は、カスタマイズされたキャッシュ ダウンロードによってキャッシュ パフォーマンスを拡張します。インターネットのアクセスを監視し、分析すると、どの HTTP コンテンツがいつ必要になるかを判断できます。次に、予定されたキャッシュ コンテンツ ダウンロード機能を使用して、要求が行われたとき、またはスケジュールに従って、HTTP コンテンツを直接 ISA Server のキャッシュにダウンロードできます。これによって、組織内のクライアントによって要求されることが予想される HTTP コンテンツで ISA Server のキャッシュを更新できるようになります。このコンテンツはインターネットではなく、ISA Server のキャッシュを使用して直接アクセスできるようになります。

ダウンロードは、単一の URL (Uniform Resource Locator)、複数の URL、または Web サイト全体を対象にすることができます。予定されたキャッシュ コンテンツ ダウンロード ジョブを作成するときに、ダウンロードされるコンテンツを制限できます。たとえば、ダウンロードを単一のドメインに制限できます。同様に、たどるリンクの数を制限することもできます。

キャッシュ コンテンツ ダウンロードをスケジュールするときは、オブジェクトを格納するように ISA Server のキャッシュを構成することにより、ダイナミック コンテンツのキャッシュを構成できます。これは、HTTP キャッシュ制御ヘッダーによって、オブジェクトをキャッシュできない場合があることが示されている場合でも、有効になります。手順については、「キャッシュ コンテンツのダウンロード元となる場所を構成する」を参照してください。

警告

  • オブジェクトのダウンロード元の Web サーバーが、クライアント認証を要求した場合、予定されたコンテンツ ダウンロード ジョブは失敗します。

ダウンロードは構成済みのスケジュールに従って実行されます。スケジュールを定期的に繰り返すかどうかを指定することもできます。手順については、「キャッシュ コンテンツ ダウンロード ジョブのスケジュールを構成する」を参照してください。


CARP

ここでは、CARP (Cache Array Routing Protocol) について説明します。

  • CARP の概要
  • CARP の動作
  • CARP の展開
  • CARP の構成
  • CARP と予定されたコンテンツ ダウンロード ジョブ

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


CARP の概要

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、CARP (Cache Array Routing Protocol) を使用して、単一の論理キャッシュとしてアレイに配列される複数の ISA Server コンピュータを使用する際に、シームレスな拡張性と効率性を実現します。CARP によって、ISA Server コンピュータのアレイは、Web ベースのクライアントの負荷分散およびキャッシュされたコンテンツの分割を効率的に実行できます。CARP は、アレイ内で要求の処理に最適なサーバーを決定するために必要な情報とアルゴリズムをクライアント コンピュータに提供します。これにより、アレイ メンバ間で要求を転送する必要がなくなります。また CARP は、サーバー自体およびチェーン構成されたプロキシによるアレイ サーバーの選択もサポートします。

CARP はハッシュベースのルーティングを使用して、アレイを介した最適なパスを決定し、要求を解決します。要求解決パスは、アレイ メンバ ID と URL (Uniform Resource Locator) のハッシュに基づいています。ブラウザや下位プロキシ サーバーは、任意の URL 要求に対して、アレイ内で情報が格納される場所や、以前の要求によって情報が既にキャッシュされているかどうかを正確に把握したり、インターネット上に配信されている情報を検出したり、初めての情報をキャッシュしたりできます。

CARP には次のような強力な利点があります。

  • CARP によって最適な要求解決パスが決定されるため、従来の Internet Cache Protocol (ICP) ネットワークのようにプロキシ サーバー間でクエリ メッセージ処理が発生することはありません。これによって、CARP はサーバー数が多い場合に通常発生するクエリの混雑を回避します。
  • CARP では、プロキシ サーバーのアレイでコンテンツの重複が発生しません。ICP ネットワークでは、アレイに 5 つのプロキシ サーバーを配列すると、最も要求頻度の高い URL が重複してキャッシュされる可能性があります。CARP のハッシュベースのルーティングでは、5 つの ISA Server コンピュータを単一の論理キャッシュとして存在させることにより、これを防止します。その結果、クエリへの応答速度が向上し、サーバー リソースをさらに効率的に利用できます。
  • CARP は拡張性に優れています。ハッシュベースのルーティングを採用しているので、ピア ツー ピアの ping に依存しません。このため、CARP ではプロキシ サーバーを追加するほど速度と効率性が向上します。ICP アレイは、キャッシュされた情報の場所を決定するためにクエリを実行する必要があり、関係のないネットワーク トラフィックを生成するので非効率的です。ICP アレイは、アレイにサーバーを追加するほど、場所を決定するために必要なサーバー間のクエリ処理が増えるので、"拡張性が低い" といえます。
  • CARP は、アレイ内のサーバーの追加および削除に対して自動的に対応します。ハッシュベースのルーティングでは、サーバーがオフラインになるときや追加されるときに、URL キャッシュの再配置が最小限で済みます。
  • CARP では、キャッシュ オブジェクトが、アレイ内のすべてのサーバー間で均等に分散されるか、各サーバーに構成した負荷係数に基づいて分散されます。


CARP の動作

CARP (Cache Array Routing Protocol) 処理により、クライアント側およびサーバー側で、要求を効率的にルーティングできます。

クライアント側の CARP

クライアント側の CARP は、個々の URL (Uniform Resource Locator) を処理するアレイ メンバをクライアントに選択させることで動作します。クライアント側では、Microsoft Internet Security and Acceleration (ISA) Server 2004 によって、CARP アルゴリズムが次のように処理されます。

  1. クライアント ブラウザがスクリプトで使用するアレイを選択します。このスクリプトは、自動検出および特定のクエリに対応して ISA Server が Wpad.dat および Array.dll?Get.Routing.Script 用に生成し、アレイから取得されたものです。
  2. ユーザーが Web ブラウザに URL を入力すると、その URL がスクリプトに渡され、ページを提供するアレイ サーバーを優先順に並べた一覧がスクリプトによって処理されます。
  3. ブラウザは、一覧の先頭のサーバーに接続し、ページを取得するようそのサーバーに要求します。先頭のサーバーが応答しない場合は、一覧の次のサーバーがアクセスされます。この処理は、オブジェクトが取得されるまで続けられます。
  4. スクリプトは、特定の URL に対して常に同じサーバー一覧を返します。これによって、各 URL が 1 つのアレイ サーバーにのみキャッシュされます。

ISA Server が生成したスクリプトは、CARP アルゴリズムを実装します。スクリプトには、アレイの構成および現在の状態に関する情報が含まれています。スクリプトによって、URL 空間がアレイ メンバ間で均等に、または構成可能な負荷係数に従って分割されます。

サーバー側の CARP

クライアント ブラウザは、事前に決定された方法、循環的な方法、またはランダムな方法で、使用するアレイ メンバを選択します。要求がアレイ メンバに到達すると、サーバーが要求された URL を引数として CARP アルゴリズムを実行し、要求の処理に最適なアレイ メンバを決定します。要求は、このサーバーに転送されます。

サーバー側の CARP は、主に、未構成のクライアントや正しく構成されていないクライアントの代替として使用されます。

CARP の例外

一部の Web サイトでは、セッション中は同じ IP アドレスを使用する必要があります。このような Web サイトに対しては、CARP を無効にする必要があります。CARP の例外機能を使用することで、これらのサイトを CARP の適用対象から除外し、ネットワーク上のその他すべての要求は CARP を使用して分散するよう指定できます。手順については、「特定の Web サイトに対して CARP を無効にする」を参照してください。

負荷係数

アレイ内の ISA Server コンピュータ間で使用するハードウェアや性能が異なる場合は、キャッシュ負荷の分散方法を変えることができます。このため、アレイ内の特定のサーバーに対して負荷係数を指定して、CARP 機能を構成できます。手順については、「負荷係数を構成する」を参照してください。

CARP 要求

CARP ベースの要求は、アレイ内アドレス上で転送されます。サーバーのアレイ内 IP アドレスの詳細については、「アレイ通信」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


CARP の展開

以下の項では、さまざまな展開シナリオにおける CARP の動作について説明します。

CARP とマルチネットワーク

Microsoft Internet Security and Acceleration (ISA) Server 2004 のアレイは、さまざまなネットワーク上のクライアントにネットワーク固有のスクリプトを提供します。各スクリプトは、クライアントが配置されているネットワーク上のアレイ メンバのアドレスを返します。たとえば、Net_A というネットワーク上のクライアントに提供されるスクリプトは、常に Net_A 上のアレイ メンバのアドレスを返します。

Web チェーン

チェーン構成のシナリオでは、ある ISA Server アレイが Web 要求を別のアレイにチェーン接続します。

チェーン ネットワーク内のブラウザにユーザーが URL を入力すると、そのブラウザからチェーン サーバーに要求が送信されます。チェーン サーバーは、一覧を参照して、そのページを提供するアレイ サーバーを順番に並べた一覧を生成します。チェーン サーバーは、一覧の先頭のサーバーに接続し、ページを取得するようそのサーバーに要求します。

このサーバーが応答しない場合は、一覧の次のサーバーに順次アクセスします。この順番に並べられたサーバーの一覧は、特定の URL に対して常に同じ内容で生成されます。これによって、各 URL が 1 つのアレイ サーバーにのみキャッシュされます。アレイは、さまざまなネットワーク上のクライアントに、ネットワーク固有の一覧を提供します。各一覧には、クライアントが配置されているネットワーク上のアレイ サーバー アドレスが含まれています。たとえば、Net_A というネットワーク上のチェーン接続されたサーバーに提供される一覧は、常に Net_A 上のサーバー アドレスを返します。

公開

公開のシナリオでは CARP を使用できません。

CARP と NLB

ネットワーク負荷分散 (NLB) は、アレイに入ってくるあらゆる種類のネットワーク トラフィックの負荷分散を可能にします。CARP とは異なり、その対象は Web 要求に限定されません。

NLB では、すべてのアレイ サーバーが共有する仮想 IP アドレスが使用されます。各アレイ メンバは、NLB アルゴリズムに従って、仮想 IP アドレスに送信されたパケットを選択します。特定のアレイ メンバに送信するには、専用の非仮想 IP アドレスを宛先として使用する必要があります。

CARP では、クライアントに送信されるスクリプト、またはサーバー側の要求が他のアレイ メンバに転送されるときに送信されるスクリプトに、仮想 IP アドレスが組み込まれません。代わりに、ネットワーク上で次に利用可能な専用 IP アドレスが使用されます。

NLB の詳細については、「ネットワーク負荷分散の概要」を参照してください。


CARP の構成

CARP を有効にすると、アレイ内のすべてのサーバーのキャッシュ ドライブが 1 つの論理キャッシュ ドライブとして扱われます。これにより、キャッシュされたオブジェクトをメンバ サーバー間で効率的に配布できます。

CARP を有効にするには、次の操作を行います。

  1. 1 つ以上のメンバ サーバーでキャッシュを有効にします。手順については、「キャッシュを有効にする」を参照してください。
  2. アレイ レベル ネットワークの CARP を有効にします。CARP は、このネットワーク上の要求についてキャッシュされるオブジェクトに適用されます。手順については、「CARP を有効にする」を参照してください。
  3. (省略可能) アレイ メンバの負荷係数を構成します。既定では、各サーバーの負荷係数は 100 に設定されています。特定の 1 台のサーバーにより多くのオブジェクトをキャッシュする場合、負荷係数をこれより高い値に構成することができます。または、特定の 1 台のサーバーにより少ないオブジェクトをキャッシュする場合は、負荷係数をこれより低い値に構成します。
    手順については、「負荷係数を構成する」を参照してください。
  4. CARP が機能するには、このアレイのアレイ内アドレスを持つネットワークが Web プロキシ クライアント要求をリッスンすることが必要です。Web プロキシ クライアント要求をリッスンするようにこのネットワークを構成する手順については、「Web プロキシ クライアント要求をリッスンする」を参照してください。


CARP と予定されたコンテンツ ダウンロード ジョブ

予定されたコンテンツ ダウンロード ジョブは、ローカル ホスト ネットワーク上の CARP (Cache Array Routing Protocol) の設定に影響されます。ローカル ホスト ネットワークで CARP が有効になっている場合、予定されたコンテンツ ダウンロード ジョブは 1 つのアレイ メンバのみで処理されます。ダウンロードされたコンテンツは、CARP アルゴリズムに従って、アレイ メンバ間で配布されます。

ローカル ホスト ネットワークで CARP が無効になっている場合、予定されたコンテンツ ダウンロード ジョブは各アレイ メンバで処理されます。ダウンロードされたコンテンツは、各アレイ メンバ上に複製されます。

ローカル ホスト ネットワークで CARP が有効になっている場合は、既定の内部ネットワークでも CARP を有効にすることをお勧めします。そうしないと、Microsoft Internet Security and Acceleration (ISA) Server 2004 は、予定されたコンテンツ ダウンロード ジョブが処理されたときにキャッシュされた、内部ネットワーク上のクライアントから要求されたオブジェクトをキャッシュから取得できません。

手順については、「CARP を有効にする」を参照してください。


キャッシュ : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のキャッシュ機能を構成する手順について説明します。

  • 全般的なキャッシュプロパティを構成する
  • キャッシュ ルールを構成する
  • コンテンツ ダウンロード ジョブを構成する
  • CARP を構成する

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


全般的なキャッシュプロパティを構成する

ここでは、全般的なキャッシュ プロパティを構成する手順について説明します。

  • キャッシュを有効にする
  • キャッシュ サイズを構成する
  • キャッシュするコンテンツを構成する
  • キャッシュ内のオブジェクトの最大サイズを構成する
  • ネガティブ キャッシュを構成する
  • 有効期限切れのオブジェクトをキャッシュから返すかどうかを構成する
  • キャッシュに使用できるメモリの割合を構成する


キャッシュを有効にする

キャッシュを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ドライブ] タブをクリックし、該当するドライブを選択します。
  3. [タスク] タブで、[キャッシュ ドライブ (キャッシュの有効) の定義] をクリックします。
  4. 表示されるいずれかのドライブを選択します。
  5. [キャッシュの最大サイズ (MB)] に、選択したドライブからキャッシュに割り当てる容量を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • キャッシュは、少なくとも 1 つのキャッシュ ドライブのサイズがゼロより大きい場合のみ有効になります。
  • Microsoft ファイアウォール サービスが停止している場合、キャッシュ ドライブ情報は ISA Server の管理に表示されません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ サイズを構成する

キャッシュ サイズを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ドライブ] タブをクリックし、該当するドライブを選択します。
  3. [タスク] タブで、[キャッシュ ドライブ (キャッシュの有効) の定義] をクリックします。
  4. 表示されるいずれかのドライブを選択します。
  5. [キャッシュの最大サイズ (MB)] に、選択したドライブからキャッシュに割り当てる容量を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • キャッシュは、少なくとも 1 つのキャッシュ ドライブのサイズがゼロより大きい場合のみ有効になります。
  • Microsoft ファイアウォール サービスが停止している場合、キャッシュ ドライブ情報は ISA Server の管理に表示されません。
  • フォーマットされていないドライブが一覧に表示されていても、これらをキャッシュに使用することはできません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュするコンテンツを構成する

キャッシュするコンテンツを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブまたは [コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  4. 最終更新日が指定されていないオブジェクトをキャッシュするには、[詳細設定] タブで [最終更新日が指定されていないオブジェクトをキャッシュする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ内のオブジェクトの最大サイズを構成する

キャッシュ内のオブジェクトの最大サイズを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブまたは [コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  4. メモリにキャッシュされる URL の最大サイズを制限するには、[詳細設定] タブの [メモリにキャッシュする URL のサイズの上限 (バイト)] に、最大バイト数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ネガティブ キャッシュを構成する

ネガティブ キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブまたは [コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  4. [詳細設定] タブで、[HTTP ステータス コード 200 を持たないオブジェクトもキャッシュする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


有効期限切れのオブジェクトをキャッシュから返すかどうかを構成する

有効期限切れのオブジェクトをキャッシュから返すかどうかを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブまたは [コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  4. [詳細設定] タブで、次のいずれかを選択します。
    • [期限切れオブジェクトを返さない]。このオプションを選択した場合、エラー ページが返されます。
    • [以下の条件を満たす期限切れオブジェクトのみを返す]。このオプションを選択した場合、有効期限切れのオブジェクトが ISA Server キャッシュから返されます。
  5. 有効期限切れのオブジェクトを返すことを選択した場合は、オブジェクトの Time to Live (TTL) の限界値を指定します。
    • [元の Time-to-Live (TTL) が指定した割合以下の場合 (%)] で、TTL の最大の割合 (パーセント) を指定します。有効期限がこの上限を超える場合は、オブジェクトは返されません。
    • [時間制限 (分)] で、オブジェクトの有効期限切れ以降の最大経過時間 (分) を指定します。有効期限がこの上限を超える場合は、オブジェクトは返されません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュに使用できるメモリの割合を構成する

キャッシュに使用できるメモリの割合を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブまたは [コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[キャッシュ設定の構成] をクリックします。
  4. [詳細設定] タブの [キャッシュに利用する空きメモリの割合 (%)] に、1 ～ 100 の数値を入力し、キャッシュに割り当てるメモリの最大割合を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ ルールを構成する

ここでは、キャッシュ ルールを構成する手順について説明します。

  • キャッシュ ルールを作成する
  • キャッシュ ルールのネットワーク エンティティを構成する
  • Web オブジェクトのキャッシュ方法を構成する
  • キャッシュ ルールの HTTP キャッシュを構成する
  • キャッシュ ルールの FTP キャッシュを構成する
  • キャッシュ ルールの SSL キャッシュを構成する
  • キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限する
  • キャッシュ ルールを無効にする
  • キャッシュ ルールを削除する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュ ルールを作成する

キャッシュ ルールを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックします。
  3. [タスク] タブで、[キャッシュ ルールの作成] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ ルールのネットワーク エンティティを構成する

キャッシュ ルールのネットワーク エンティティを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [宛先] タブで、次の操作を行います。
    • 特定のネットワーク エンティティにルールを適用するには、上の [追加] ボタンをクリックし、ルールを適用するネットワーク エンティティを選択します。
    • ルールを適用しないネットワーク エンティティを指定するには、下の [追加] ボタンをクリックし、ルールを適用しないネットワーク エンティティを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ネットワーク オブジェクトが [このルールを次のネットワーク エンティティから要求されたコンテンツに適用する] の一覧にあっても、[例外] の一覧にもある場合は、ルールが適用されません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


Web オブジェクトのキャッシュ方法を構成する

Web オブジェクトのキャッシュ方法を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [キャッシュの保存と取得] タブで、次のいずれかのオプションをクリックします。
    • 有効期限が切れていないオブジェクトのみをキャッシュから取得する場合は、[有効期限内のオブジェクトがキャッシュにある場合のみ。有効期限内のオブジェクトがない場合は、要求をルーティングします。] をクリックします。
    • 使用可能なオブジェクトがあるときはキャッシュから取得し、使用可能なオブジェクトがないときは指定したルートを使用する場合は、[有効期限に関係になくオブジェクトがキャッシュにある場合。ない場合は、要求をルーティングします。] をクリックします。
    • キャッシュに存在するときのみオブジェクトを取得する場合は、[すべてのオブジェクト。ない場合は、要求を破棄します。] をクリックします。
  5. [コンテンツのキャッシュ] で、次のいずれかのオプションをクリックします。
    • 取得したオブジェクトをキャッシュする必要がない場合は、[どのような場合でもキャッシュしない] をクリックします。
    • ソース ヘッダーおよび要求ヘッダーでオブジェクトをキャッシュするように指示しているときのみコンテンツをキャッシュする場合は、[ソースと要求ヘッダーに指示してある場合] をクリックします。次の中から 1 つまたは複数を選択します。
      • [ダイナミック コンテンツ] (ISA Server は、取得したオブジェクトがキャッシュ可能としてマークされていない場合でも、キャッシュします)
      • [オフライン参照用コンテンツ (302、307 応答)]
      • [取得時にユーザー認証が必要なコンテンツ]

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [有効期限に関係なくオブジェクトがキャッシュにある場合。ない場合は、要求をルーティングします。] オプションを選択しても、予定されたコンテンツ ダウンロード ジョブによって生成される要求を取得できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ ルールの HTTP キャッシュを構成する

キャッシュ ルールの HTTP キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [HTTP] タブで、[HTTP キャッシュを有効にする] チェックボックスをオンにします。
  5. HTTP オブジェクトをキャッシュ内に残す期間をコンテンツの有効期間に対する割合で指定する場合、[オブジェクトの TTL を設定する] ボックスに数値を入力します。
  6. HTTP オブジェクトをキャッシュ内に残す期間を時間で指定する場合、[最短時間] ボックスおよび [最長時間] ボックスに最短時間および最長時間を入力します。
  7. 構成した設定に従って、有効期限が切れた後もオブジェクトをキャッシュに残す場合、[有効期限が指定されているソースにも、この TTL 境界を適用する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [オブジェクトの TTL を設定する] ボックスに指定した割合が高いほど、キャッシュが更新される頻度は少なくなります。
  • [有効期限が指定されているソースにも、この TTL 境界を適用する] オプションを指定して、Time to Live (TTL) を短くすると、キャッシュのオブジェクトはさらに最新の状態になります。ただし、オブジェクトが頻繁にインターネットから取得されるため、ネットワークのパフォーマンスに影響を与える可能性があります。
  • TTL を既定の設定に戻すには、[既定値を復元] をクリックします。
  • すべてのキャッシュ ルールに対して HTTP キャッシュを無効にした場合でも、ISA Server はキャッシュ メモリを割り当てます。ISA Server でキャッシュ メモリが割り当てられないようにするには、キャッシュ サイズをゼロに設定します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュ ルールの FTP キャッシュを構成する

キャッシュ ルールの FTP キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [FTP] タブで、[FTP キャッシュを有効にする] チェックボックスをオンにします。
  5. キャッシュに FTP オブジェクトを維持する期間を指定するには、[FTP オブジェクトの Time-to-Live (TTL)] に数値を入力します。ドロップダウン リスト ボックスから、[秒]、[分]、[時間]、[日]、[週] のいずれかの時間単位を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • FTP 有効期限ポリシーをリセットして重要性を同等にする場合は、[既定値を復元] をクリックします。
  • すべてのキャッシュ ルールの FTP キャッシュを無効にした場合、ISA Server によってキャッシュ メモリが割り当てられます。ISA Server でキャッシュ メモリが割り当てられないようにするには、キャッシュ サイズをゼロに設定します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ ルールの SSL キャッシュを構成する

キャッシュ ルールの SSL キャッシュを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [詳細設定] タブで、[SSL 応答をキャッシュする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限する

キャッシュ ルールのキャッシュされるオブジェクトのサイズを制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するキャッシュ ルールを選択します。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [詳細設定] タブで、[キャッシュするオブジェクトの最大サイズ] チェック ボックスをオンにします。
  5. サイズを入力し、ドロップダウン リスト ボックスから単位を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • オブジェクト サイズを計算するときに、ISA Server はオブジェクトのヘッダーのサイズを含めます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ ルールを無効にする

キャッシュ ルールを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するルールを選択します。
  3. [タスク] タブで、[選択したルールの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • キャッシュ ルールを有効にするには、[タスク] タブで、[選択したルールの有効化] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ ルールを削除する

キャッシュ ルールを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[キャッシュ ルール] タブをクリックし、該当するルールを選択します。
  3. [タスク] タブで、[選択したルールの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


コンテンツ ダウンロード ジョブを構成する

ここでは、コンテンツ ダウンロードジョブを構成する手順について説明します。

  • 予定されたキャッシュ コンテンツ ダウンロード ジョブを作成する
  • キャッシュ コンテンツ ダウンロード ジョブのスケジュールを構成する
  • キャッシュ コンテンツのダウンロード元となる場所を構成する
  • コンテンツ ダウンロード ジョブの作成済み接続の数を制限する
  • ダウンロードされたキャッシュ コンテンツの Time to Live を構成する
  • コンテンツ ダウンロード ジョブに含めるコンテンツを構成する
  • コンテンツ ダウンロード ジョブを直ちに実行する
  • コンテンツ ダウンロード ジョブを無効にする
  • コンテンツ ダウンロード ジョブを削除する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


予定されたキャッシュ コンテンツ ダウンロード ジョブを作成する

予定されたキャッシュ コンテンツ ダウンロード ジョブを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックします。
  3. [タスク] タブで、[コンテンツ ダウンロード ジョブのスケジュール] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツ ダウンロード ジョブを実行できるのは、次の場合に限られます。
    1. ローカル ホスト ネットワークが、Web プロキシ クライアント要求をリッスンするように構成されている。
    2. コンテンツのダウンロードを許可するシステム ポリシー ルールが有効になっている。
    3. Microsoft ISA Server ジョブ スケジューラ サービスが実行されている。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ コンテンツ ダウンロード ジョブのスケジュールを構成する

キャッシュ コンテンツのダウンロード ジョブのスケジュールを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、コンテンツ ダウンロード ジョブを選択します。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [スケジュール] タブにある [日付] および [時刻] で、インターネットからコンテンツをダウンロードする日時を選択します。
  5. [ダウンロードの頻度] で、次のいずれかの操作を行います。
    • 指定時刻に 1 回だけコンテンツをダウンロードするには、[一度のみ] をクリックします。
    • 指定時刻に毎日コンテンツをダウンロードするには、[毎日] をクリックします。
    • 指定日の指定時刻にコンテンツをダウンロードするには、[毎週] をクリックし、コンテンツをダウンロードする曜日に対応するチェック ボックスをオンにします。
  6. [毎日] または [毎週] を選択した場合は、[1 日のうちの頻度] で、次のいずれかの操作を行います。
    • 1 日に 1 回だけコンテンツをダウンロードするには、[ジョブを毎日 1 回実行する] をクリックします。
    • 1 日に複数回コンテンツをダウンロードするには、[次の間隔で繰り返す] をクリックし、ジョブの実行頻度を入力します。
    • [次の時刻以後はジョブの新規実行を開始しない] に、コンテンツのダウンロード ジョブを開始する最終時刻を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


キャッシュ コンテンツのダウンロード元となる場所を構成する

キャッシュ コンテンツのダウンロード元となる場所を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、コンテンツ ダウンロード ジョブを選択します。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [コンテンツ] タブにある [指定した URL からコンテンツをダウンロードする] に、コンテンツのダウンロード元となる URL (Uniform Resource Locator) を入力します。
  5. コンテンツのダウンロード元を [指定した URL からコンテンツをダウンロードする] に指定されたドメインに限定するには、[指定した URL ドメイン名外のリンクを含めない] チェック ボックスをオンにします。
  6. コンテンツのダウンロード時に、単一のページからたどるリンク数を制限するには、[ページあたりの最大リンク深度] チェック ボックスをオンにし、リンク数を入力します。
  7. キャッシュするオブジェクトの総数を制限するには、[このジョブ用に作成する最大同時 TCP 接続数] に接続の数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • URL は、http://widgets.microsoft.com/path という形式で入力します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


コンテンツ ダウンロード ジョブの作成済み接続の数を制限する

コンテンツ ダウンロード ジョブの作成済み接続の数を制限するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、該当するコンテンツ ダウンロード ジョブを選択します。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [コンテンツ] タブの [このジョブ用に作成する最大同時 TCP 接続数] に、このジョブに対して作成できる接続の最大数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ダウンロードされたキャッシュ コンテンツの Time to Live を構成する

ダウンロードされたキャッシュ コンテンツの Time to Live を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、コンテンツ ダウンロード ジョブを選択します。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. オブジェクトの Time to Live (TTL) を上書きするには、[キャッシュ] タブをクリックし、[オブジェクトの TTL を上書きする] チェック ボックスをオンにします。
  5. TTL が定義されていない場合にオブジェクトの TTL を上書きするには、[応答に定義されていない場合、TTL を設定する] チェック ボックスをオンにします。
  6. ダウンロードされたオブジェクトの特定の TTL を構成するには、[ダウンロードされたオブジェクトの新しい TTL (分)] に TTL を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [オブジェクトの TTL を上書きする] をオンにすると、ここで指定した TTL またはキャッシュ構成プロパティで指定されている TTL によって TTL が決定されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


コンテンツ ダウンロード ジョブに含めるコンテンツを構成する

コンテンツ ダウンロード ジョブに含めるコンテンツを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、該当するコンテンツ ダウンロード ジョブを選択します。
  3. [タスク] タブで、[選択したジョブの編集] をクリックします。
  4. [キャッシュ] タブの [コンテンツのキャッシュ] で、次のオプションのいずれかを選択します。
    • 要求または応答のヘッダーでオブジェクトをキャッシュしない指示があっても、すべてのコンテンツを常にキャッシュする場合は、[すべてのコンテンツをキャッシュする] をクリックします。
    • 要求または応答のヘッダーでオブジェクトをキャッシュする指示があるか、またはダイナミック コンテンツであるときにのみコンテンツをキャッシュする場合は、[ソースと要求ヘッダーに指示してある場合、またはダイナミック コンテンツの場合はキャッシュする] をクリックします。
    • 要求または応答のヘッダーでオブジェクトをキャッシュする指示があるときにのみコンテンツをキャッシュする場合は、[ソースと要求ヘッダーに指示してある場合はキャッシュする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [すべてのコンテンツをキャッシュする] を選択した場合、リダイレクト応答 (301、302、および 307) を含め、すべてのコンテンツがキャッシュされます。
  • [ソースと要求ヘッダーに指示してある場合、またはダイナミック コンテンツの場合はキャッシュする] を選択した場合、ヘッダーでコンテンツをキャッシュするよう指示がなくても、ダイナミック コンテンツであれば、コンテンツがキャッシュされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


コンテンツ ダウンロード ジョブを直ちに実行する

コンテンツ ダウンロード ジョブを直ちに実行するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、該当するコンテンツ ダウンロード ジョブを選択します。
  3. [タスク] タブで、[選択したジョブを今すぐ開始] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツ ダウンロード ジョブを実行できるのは、次の場合だけです。
    • ローカル ホスト ネットワークが、Web プロキシ クライアント要求をリッスンするように構成されている。
    • コンテンツのダウンロードを許可するシステム ポリシー ルールが有効になっている。
    • Microsoft ISA Server ジョブ スケジューラ サービスが実行されている。
  • コンテンツ ダウンロード ジョブを停止するには、[タスク] タブで、[選択したジョブの無効化] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


コンテンツ ダウンロード ジョブを無効にする

コンテンツ ダウンロード ジョブを無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、該当するジョブを選択します。
  3. [タスク] タブで、[選択したジョブの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • コンテンツ ダウンロード ジョブを有効にするには、[タスク] タブで、[選択したジョブの有効化] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


コンテンツ ダウンロード ジョブを削除する

コンテンツ ダウンロード ジョブを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[キャッシュ] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • キャッシュ
  2. 詳細ウィンドウで、[コンテンツ ダウンロード ジョブ] タブをクリックし、該当するジョブを選択します。
  3. [タスク] タブで、[選択したジョブの削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


CARP を構成する

ここでは、CARP (Cache Array Routing Protocol) を構成する手順について説明します。

  • CARP を有効にする
  • 特定の Web サイトに対して CARP を無効にする
  • 負荷係数を構成する

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


CARP を有効にする

CARP を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [CARP] タブで、[このネットワークで CARP を有効にする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • CARP (Cache Array Routing Protocol) が有効となるのは、アレイに対してキャッシュが有効になっている場合のみです。キャッシュは、アレイ上の 1 つ以上のキャッシュ ドライブのキャッシュ サイズが 1 つでもゼロ以外に設定されていれば有効になります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


特定の Web サイトに対して CARP を無効にする

特定の Web サイトに対して CARP を無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[ネットワーク] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • ネットワーク
  2. 詳細ウィンドウで、[ネットワーク] タブをクリックし、該当するネットワークをクリックします。
  3. [タスク] タブで、[選択したネットワークの編集] をクリックします。
  4. [CARP] タブで、[このネットワークで CARP を有効にする] をクリックします。
  5. [追加] をクリックします。
  6. 一覧から CARP (Cache Array Routing Protocol) を無効にするドメイン名セットを選択し、[追加]、[閉じる] の順にクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッション全体を通してクライアント IP アドレスが同じである必要がある Web サイトに対して、CARP を無効にします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


負荷係数を構成する

負荷係数を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[サーバー] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • <アレイ名>
    • 構成
    • サーバー
  2. 詳細ウィンドウで、該当するアレイ メンバをクリックします。
  3. [タスク] タブで、[選択されたサーバーの構成] をクリックします。
  4. [CARP] タブで、[負荷係数] に負荷係数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • CARP (Cache Array Routing Protocol) が有効となるのは、アレイに対してキャッシュが有効になっている場合のみです。キャッシュは、アレイ上の 1 つ以上のキャッシュ ドライブのキャッシュ サイズが 1 つでもゼロ以外に設定されていれば有効になります。
  • 負荷係数は、キャッシュに対するこのサーバーの相対可用性です。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュのトラブルシューティング

どのような問題がありますか?

ISA Server キャッシュにすべてのトラフィックが保存されません。

原因 : ISA Server はキャッシュの条件を満たす項目のみをキャッシュします。

解決方法 : キャッシュ可能なオブジェクトにクライアントがアクセスすると、オブジェクトがネットワークからではなく ISA Server キャッシュから取得されるために、ネットワーク パフォーマンスが向上したように見えます。ところが、キャッシュされないオブジェクトにクライアントがよくアクセスしている場合は、パフォーマンスの向上が感じられないことがあります。


監視

ここでは、Internet Security and Acceleration (ISA) Server 2004 の監視機能について説明します。

  • 監視 : 概念
  • 監視 : 操作方法
  • 監視のトラブルシューティング

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


監視 : 概念

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 の監視機能について基本的な情報を提供します。

  • ダッシュボード
  • 警告
  • セッション
  • サービス
  • 構成の状態
  • ログ
  • レポート
  • 接続
  • パフォーマンス モニタ


ダッシュボード

ISA Server のダッシュボード ビューには、セッション、警告、サービス、レポート、接続、および一般的なシステム状態についての監視情報が一覧表示されます。既定のダッシュボード ビューには次の情報が表示されます。

  • [接続]。ISA Server から他のコンピュータまたは URL への接続をチェックします。
  • [警告]。ISA Server コンピュータ上で発生したイベントが一覧表示されます。
  • [サービス]。ISA Server コンピュータ上のサービス、およびその現在の状態が一覧表示されます。
  • [セッション]。クライアント セッションの合計数が表示されます。
  • [レポート]。新しく作成されたレポートが一覧表示されます。
  • [システム パフォーマンス]。ISA Server コンピュータのパフォーマンス情報が表示されます。

ダッシュボードの各領域では、状態情報が視覚的に示されます。赤い円で囲まれた X は、潜在的な問題を示しています。黄色いアイコンは警告を表します。緑の円で囲まれたチェック マークは、すべて正常であることを示しています。

ダッシュボード ビューをカスタマイズして、情報を非表示にすることができます。

ダッシュボードを表示する手順については、「ダッシュボードを表示する」を参照してください。

ダッシュボードを使用した ISA Server 状態の監視

ダッシュボードを使用すると、ISA Server に関する重大な問題をすばやく見つけることができます。日常業務の一環として、重要なサーバーやサービスの状態を確認できます。

たとえば、ISA Server サービスが実行されており、主要サーバーが接続中であることを確認できます。ダッシュボードにざっと目を通すだけで、すべて正常に実行されていることがわかります。動作状態をチェックした後、警告を確認して、すべてのアタックが阻止されているか、即座に対処すべき問題が発生していないかどうかをチェックできます。

ダッシュボードで問題を検出した場合は、詳細情報を簡単に検索できます。関連するウィンドウの見出しをクリックすると、詳細情報が表示されたタブにジャンプします。

ダッシュボード ビューでは、警告の受信確認やリセットを行えます。警告の受信確認とリセットの詳細については、「警告」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


警告

Microsoft Internet Security and Acceleration (ISA) Server 2004 の警告サービスにより、指定されたイベントの発生時に通知が送信されます。イベントが発生したとき、一連の動作をトリガするように警告定義を構成できます。ISA Server の警告サービスは、ディスパッチャおよびイベント フィルタとして機能します。警告サービスは、イベントを検出し、所定の条件を満たしているかどうかを確認して、対応する動作を実行します。

ISA Server の管理には、発生したすべてのイベントが、情報、注意、エラーという警告の種類ごとに表示されます。

警告はすべて警告ビューに表示されます。

警告の受信確認とリセット

イベントが発生すると、ISA Server は、警告定義で構成されている動作をトリガします。警告が警告ビューに表示され、すべてのイベントのサマリーがダッシュボード ビューに一覧表示されます。

警告のインスタンスのグループ全体をリセットするには、警告ヘッダーを選択します。警告ビューでは、警告のインスタンスが [サービスのシャットダウン] などの分類ごとにグループ化されます。グループの見出しを展開したり、折りたたんだりして、その見出しに含まれる項目の表示と非表示を切り替えることができます。

ISA Server の管理では、イベントの受信確認を行うことによって、特定のイベントを処理するか、イベントのグループを処理するかを指定できます。特定のイベントまたはイベントのグループを受信確認済みにすると、警告ビューではそれらのイベントの状態が変更されます。受信確認済みのイベントはダッシュボードに表示されなくなります。手順については、「警告の受信確認を行う」を参照してください。

同様に、警告をリセットすると、その警告が警告ビューから削除されます。手順については、「警告をリセットする」を参照してください。

注

  • ISA Server コンピュータを再起動すると、すべての警告がリセットされます。

多数の警告のトリガ

以下の警告は、頻繁に発生する可能性があります。ただし、ISA Server は、これらの警告に対するイベントを 1 秒間に 1 回だけトリガします。

イベント | 条件
接続の制限超過 | 任意
侵入の検出 | Windows out-of-band アタック
侵入の検出 | IP half scan アタック
侵入の検出 | Land アタック
侵入の検出 | UDP bomb アタック
侵入の検出 | Ping of death アタック
侵入の検出 | すべてのポートへのアタックのスキャン
侵入の検出 | Well-known ポートへのアタックのスキャン
無効な DHCP 提供メッセージ | 任意
IP エラー | 任意
UDP パケット サイズのエラー | 任意

警告定義の作成

ISA Server をインストールすると、すべての種類のイベントについて既定の警告が構成されます。さらに具体的なイベントを定義できます。たとえば、[ネットワーク構成の変更] イベントに対して構成済みの警告定義について考えてみます。ネットワーク管理者は、この汎用的な警告を設定し直して、独自に次のような 2 つの警告定義を作成できます。

  • ネットワークが無効になった場合に適用する警告定義
  • ネットワークが有効になった場合に適用する警告定義

前者の警告定義は、ネットワークが無効になるたびに、負荷分散クラスタからコンピュータを切断するためのバッチ ファイルを実行する動作をトリガします。後者の警告定義によって、電子メール メッセージを送信することができます。

注

  • 具体的なイベントの警告は、具体的でないイベントより優先されます。たとえば、2 つの警告が構成されており、1 つは "すべてのネットワーク構成の変更" を対象とした警告であり、もう 1 つは "ネットワークの接続" に対する警告であるとします。ネットワーク接続が行われると、後者の警告動作が実行されます。

手順については、「警告定義を追加する」を参照してください。

警告定義の構成

警告動作をトリガするイベントとその他の条件を選択できます。

次のしきい値を構成することもできます。これらのしきい値は、警告動作を実行するタイミングを指定します。

  • 警告が発行されるまでの 1 秒間のイベント発生回数 (イベント頻度しきい値とも呼ばれます)。
  • 警告が発行されるまでのイベントの発生回数。
  • 警告が再度発行されるまでの待機時間。

手順については、「警告の条件を編集する」を参照してください。

警告動作

警告条件が一致した場合に、次のいずれかの動作または複数の動作を実行するように設定できます。

  • 電子メール メッセージを送信する。
  • 特定の動作を実行する。
  • Windows イベント ログにイベントを記録する。
  • Microsoft ファイアウォール サービスまたは予定されたコンテンツ ダウンロード サービスを停止または開始する。

アプリケーションの実行時にどの資格情報を使用するかを設定できます。ローカル セキュリティ ポリシーを使用して、ユーザーの権限を構成します。

注

  • 指定したユーザーに "バッチ ジョブとしてログオン" 特権が与えられていることを確認してください。

警告動作がコマンドの実行である場合、そのコマンド動作で指定されているパスが ISA Server コンピュータ上に存在する必要があります。パス名内で、%SystemDrive% などの環境変数を使用することをお勧めします。

手順については、「警告の動作を編集する」を参照してください。

内部ネットワーク上に配置された SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP を使用して内部ネットワークにアクセスできるようにするためのシステム ポリシー ルールを有効にする必要があります。システム ポリシー エディタの [リモート監視] 構成グループで [SMTP] を選択し、[有効にする] をクリックします。"ISA Server から信頼されたサーバーへの SMTP を許可する" ルールが有効になります。

外部 SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP を使用して外部ネットワーク (または SMTP サーバーが配置されているネットワーク) にアクセスできるようにするためのアクセス ルールを作成する必要があります。

イベント

次の表は、イベントの一覧です。必要に応じて、ISA Server によって定義される追加のキーも記載されています。警告を作成するときは、その警告をトリガするイベントとして以下のいずれかを指定します。

イベント | 説明
構成保管サーバーへのアクセスがブロックされました | この構成の変更のため、構成保管サーバーへのアクセスがブロックされました。
アカウント名解決エラー | 構成エージェントで、管理用に指定されたアカウントを解決できませんでした。
警告の動作エラー | この警告に関連する動作が失敗しました。
アプリケーション フィルタは登録されていません | アプリケーション フィルタはこのサーバーで登録されませんでした。
アレイ レベルのポリシー ルールは削除されました | アレイ レベルのポリシー ルールには、エンタープライズ レベルでは許可されないものもあります。
キャッシュ コンテナの初期化エラー | キャッシュ コンテナの初期化に失敗したため、コンテナが無視されました。
キャッシュ コンテナの回復完了 | 単一コンテナの回復が完了しました。
キャッシュ ファイルのサイズ変更エラー | キャッシュ ファイルのサイズを小さくできませんでした。
キャッシュの初期化エラー | グローバル エラーのため、Web キャッシュ プロキシは無効になりました。
キャッシュの復元完了 | キャッシュ コンテンツの復元が完了しました。
キャッシュの書き込みエラー | コンテンツをキャッシュに書き込めませんでした。
キャッシュされたオブジェクトの破棄 | キャッシュの回復中に、競合する情報を持つオブジェクトが検出されました。オブジェクトは無視されました。
コンポーネントの読み込みエラー | 拡張コンポーネントを読み込むことができませんでした。
構成エージェントによる重複する範囲の削除 | ISA Server 構成エージェントで、含まれているエンタープライズ ネットワークから他のアレイ ネットワークと重複する範囲を削除しました。
構成の変更を ISA Server サービスで読み込めません | 新しい構成を読み込めませんでした。新しい構成を保存すると、変更の適用が ISA Server で再試行されます。
過度の構成の変更 | 継続的な、または過度の構成の変更が検出されました。構成保管サーバーへの攻撃を示している可能性があります。
構成エラー | 構成情報を読み取り中にエラーが発生しました。
接続の制限超過 | ユーザーまたは IP アドレスが接続の制限を超えました。
ルールの接続制限を超過 | ルールで許可される 1 秒ごとの接続数を超えました。
DHCP の侵害に対抗する侵入検出が無効 | DHCP の侵害に対抗する侵入検出方法が有効ではありませんでした。
ダイヤル オン デマンド エラー | 応答がないか、通話中なため、ダイヤル オン デマンド接続を作成できませんでした。
DNS 侵入 | ホスト名のバッファ オーバーフロー、リソース データ長オーバーフロー、またはゾーン転送のアタックが発生しました。
DNS ゾーン転送侵入 | ゾーン転送アタックが発生しました。
イベント ログ エラー | システムのイベント ログにイベント情報のログを記録できませんでした。既定では、この警告が無効になります。
空きディスク領域制限を越えました | ログ記憶域の空きディスク領域制限を越えました。
ファイアウォールの通信エラー | ファイアウォール クライアントと ISA Server ファイアウォール サービス間の通信が失敗しました。
FTP フィルタ初期化注意 | FTP フィルタが許可された ftp コマンドの解析に失敗しました。コマンドが正しい形式で格納されていることを確認してください。各コマンドは、4 文字以内の長さで、空白文字で区切られる必要があります。
アレイ内構成エラー | ISA Server アレイ内構成が無効です。
侵入の検出 | 外部ユーザーが侵入しようとしました。
無効な構成の設定 | 構成の設定を適用できません。
無効な CRL の検出 | 証明書失効リスト (CRL) がないか無効なため、クライアント証明書は失効しました。CRL の有効期限が切れているか、有効な CRL をダウンロードできませんでした。CRL ダウンロード システム ポリシーの構成グループが有効で、CRL 配布ポイント (CDP) に接続していることを確認してください。
無効な DHCP 提供メッセージ | DHCP 提供メッセージの IP アドレスが無効です。
ダイヤル オン デマンドの資格情報エラー | ダイヤル オン デマンドの無効な資格情報が検出されました。
無効なネットワーク アダプタの構成 | ネットワーク アダプタは、複数のネットワークに属している複数の IP アドレスを使用して構成されています。この構成は正しくありません。
IP エラー | IP パケットの発信元アドレスが無効です。
ISA Server で構成保管サーバーに接続できません | ISA Server で構成保管サーバーに接続できません。ローカルのコンピュータに現在保存されている構成が引き続き有効です。
ISA Server コンピュータの再起動 | 構成に対する変更は、コンピュータを再起動した後に有効になります。
ISA Server で構成保管サーバーが変更されました | 構成の変更、接続の問題、構成保管サーバーの利用可能性のため、ISA Server で構成保管サーバーを切り替えました。
ISA Server VPN トンネル再配布が推奨されます | 仮想プライベート ネットワーク (VPN) トンネルは、アレイ内の ISA Server コンピュータ間で均等に分散されていません。
ローカル NLB 構成の変更 | Microsoft ファイアウォール サービスが、ローカル ネットワーク負荷分散 (NLB) の構成または状態が変更されたことを確認しました。NLB の構成および状態は、ISA Server 管理者のみが変更できます。ローカルな変更は上書きされます。
ログ削除の失敗 | 構成に基づいたログの削除でエラーが発生しました。
ログ エラー | サービス ログに失敗しました。
ログの保存の制限 | ログの保存の制限値に達しました。
ログの再開 | サーバーの 1 つが、以前のエラーの後で、ログの記録を再開しました。
構成の正しくない警告 | 警告の定義に無効なプロパティが含まれています。
ネットワーク構成の変更 | ISA Server に影響するネットワーク構成の変更が検出されました。
NLB 構成の失敗 | ISA Server と動作するよう、ネットワーク負荷分散を構成できませんでした。
NLB の矛盾した構成の検出 | いくつかのネットワークで、ネットワーク負荷分散の矛盾が見つかりました。トラフィックが正しくルートされない可能性があります。
NLB は、ドレイン、停止中です | ネットワーク負荷分散は、管理者の要求により、ドレイン、停止中です。
NLB による負荷分散パフォーマンス減少の可能性 | Web サービス名を解決できなかったため、ネットワーク負荷分散のパフォーマンスが低下する可能性があります。
NLB シャットダウン - ファイアウォール サービスが応答していません | ファイアウォール サービスが応答を停止しているため、ローカル コンピュータのネットワーク負荷分散が停止しました。
NLB シャットダウン - ファイアウォール サービスが停止しました。 | ファイアウォール サービスが停止したため、ローカル コンピュータのネットワーク負荷分散が停止しました。
NLB の開始 | ローカル コンピュータのネットワーク負荷分散を開始しました。
NLB 停止 - 構成エラー | ファイアウォール サービスに、ネットワーク負荷分散の構成を適用できませんでした。ローカル コンピュータの NLB は無効になります。
NLB 停止 - ネットワーク アダプタの問題 | ネットワークのいくつかには、ネットワーク負荷分散に適したネットワーク アダプタがありません。ローカル コンピュータ上の NLB は停止されます。
NLB は停止しています - NLB 統合は利用不可能です | このサーバー上では、ネットワーク負荷分散の統合を構成できません。
NLB 停止 - RRAS サービスが応答していません | ローカル コンピュータ上のネットワーク負荷分散は停止されました。ルーティングとリモート アクセス サービスで応答がありません。
NLB は停止されました - VPN の静的アドレス プールは空です | このコンピュータ上の VPN の静的アドレス プールが空であるため、ローカル コンピュータ上でネットワーク負荷分散は停止されました。
NLB が手動で停止されました | ローカル コンピュータのネットワーク負荷分散は、管理者により手動で停止されました。
利用可能なポートなし | 利用できるポートがなかったため、ネットワーク ソケットを作成できませんでした。
接続なし | ISA Server は、要求されたサーバーとの接続を確立できませんでした。
OS コンポーネントとの競合 | IP ネットワーク アドレス変換 (NAT) エディタ、インターネット接続共有 (ICS)、ルーティングとリモート アクセスのうち、いずれかのオペレーティング システム コンポーネントと競合しています。
UDP パケット サイズのエラー | ユーザー データグラム プロトコル (UDP) パケットは、レジストリ キーで指定されている最大サイズを超えたので破棄されました。
POP 侵入 | POP (Post Office Protocol) バッファ オーバーフローが検出されました。
構成変更の伝達エラー | 中央記憶域の構成の変更を ISA Server コンピュータに伝達できませんでした。
検疫 VPN クライアント ネットワークの変更 | 検疫 VPN クライアント ネットワークからユーザーが削除されました。既定では、この警告が無効になります。
レポート サマリーの生成エラー | ログ ファイルからレポート サマリーを生成中にエラーが発生しました。
リソースの割り当てエラー | リソースの割り当てエラーが発生しました。たとえば、システムのメモリ不足です。
前回の構成に戻せませんでした | ISA Server 構成エージェントで、前回の構成に戻せませんでした。
前回の構成に戻しました | ISA Server 構成エージェントで、前回の構成に戻しました。
ルーティング (チェーン) エラー | 要求を上位サーバーに転送できませんでした。
ルーティング (チェーン) の回復 | 上位サーバーへのルーティングを再開しました。
RPC フィルタ - バインド エラー | 定義されたポートは既に使用されているため、RPC フィルタでは使用できません。
RPC フィルタ - 接続の変更 | 公開の RPC サービス <サーバー名> への接続が変更されました。<追加のキー>
サーバー公開エラー | サーバー公開ルールが正しく構成されていません。
サーバー公開ルールは適用できません | サーバー公開ルールは適用できません。
サーバー公開の回復 | サーバー公開ルールを適用できます。
サービスの初期化エラー | サービスを初期化できませんでした。
サービスの応答なし | ISA Server サービスが予期せず機能を強制終了または停止しました。
サービスのシャットダウン | サービスが正常に停止しました。<%service name%>
サービスの開始 | サービスが正常に開始されました。<%service name%>
遅い接続 | ISA Server の、要求されたサーバーとの接続が遅くなっています。
SMTP フィルタ イベント | SMTP (簡易メール転送プロトコル) コマンド ルールに違反しました。
SOCKS 構成エラー | SOCKS プロパティで指定されたポートは、別のプロトコルで使用中です。
SYN アタック | SYN アタックが検出されました。
構成エージェントで、構成保管サーバーへの接続が再確立されました | 構成エージェントで、構成保管サーバーへの接続が再確立されました。切断されていた間に行われた変更が、サービスに今すぐ適用されます。
構成が再度読み込まれました | 構成が再度読み込まれました。構成エージェントはエラーから回復し、構成情報は再度読み込まれました。
合計ログ サイズの制限を越えました | ログ記憶域の合計サイズの制限を越えました。
アレイ内認証のためのアカウントが未定義 | アレイ メンバがワークグループにある場合は、アレイ内認証には、アレイ内のアカウントが定義され、有効になっている必要があります。アレイ内アカウントが正しく構成されない限り、VPN、CARP (Cache Array Routing Protocol) やレポートなどのいくつかの機能は機能しません。
未登録のイベント | 登録されていないイベントが発生しました。
VPN ネットワーク上の解決できないリモート ゲートウェイ | VPN サイト間ネットワーク用に指定されたリモート ゲートウェイ アドレスを解決できません。このため、リモート ネットワークへの VPN 接続を確立できません。さらに、リモート サーバーからの VPN 接続に使用するネットワークが NLB のために有効にされた場合、意図したサーバーではなく、正しくないアレイ メンバによって VPN トラフィックが受信される可能性があります。
新しい構成のサービスへのアップロードのエラー | ISA Server 構成エージェントで、構成を ISA Server サービスにアップロードできませんでした。
上位方向へのチェーン構成の資格情報 | 上位方向へのチェーン構成の資格情報が正しくありません。
VPN 接続のエラー | VPN クライアント接続に失敗しました。
Web フィルタは登録されていません | Web フィルタはこのサーバーで登録されませんでした。
Windows NLB がインストールされていません | このコンピュータには、ネットワーク負荷分散がインストールされていません。ネットワーク負荷分散の構成は適用または監視できません。
ワークグループでのユーザー ベースのポリシー | 適用されたポリシーには、Windows ベースのユーザー認証を指定するポリシー ルールが 1 つ以上含まれています。ISA Server アレイはワークグループにあります。Windows ベースのユーザー認証は、ワークグループ内の ISA Server アレイには適用できません。


セッション

Microsoft Internet Security and Acceleration (ISA) Server 2004 のリアルタイム監視機能を使用すると、ISA Server コンピュータの動作を集中的に監視できます。セッション ビューは、ISA Server で新しいセッションが識別されるたびに自動的に最新の情報に更新されます。手順については、「セッションを表示する」を参照してください。

セッションとは、クライアントの IP アドレスとユーザー名の一意な組み合わせです。ISA Server が認証を要求しない場合、同じ IP アドレスからのすべてのトラフィックは単一セッションと見なされます。Web ブラウザで同じ IP アドレスに対して複数の TCP 接続を開くと、ISA Server はこれらの接続を単一セッションと見なします。

ISA Server には、ファイアウォール クライアント、SecureNAT、仮想プライベート ネットワーク (VPN) クライアント、VPN サイト間、および Web プロキシのセッションが一覧表示されます。

クライアントが現在ブラウズを行っていない場合でも、最後の Web ブラウザの動作が Web プロキシ セッションとして表示されます。

公開サーバーが現在公開されている場合、そのサーバーはファイアウォール クライアント セッションとして表示されます。したがって、実際に接続されているクライアントがなくても、いくつかのファイアウォール クライアント セッションが表示される場合があります。

すべてのセッションの詳細は、セッション ビューに一覧表示されます。ファイアウォール クライアント、SecureNAT、および Web プロキシ セッションの合計のサマリーは、ダッシュボードに表示されます。詳細については、「ダッシュボード」を参照してください。

注

  • IP ルーティングが無効になっている場合は、ユーザーおよび IP アドレスからのトラフィックがセッション ビューに一覧表示されます。IP ルーティングが有効になっている場合は、アプリケーション フィルタを使用して送受信されるトラフィックのセッションのみが一覧表示されます。

セッション ビューのフィルタ処理

セッション ビューをフィルタ処理して、特定の問題にフォーカスすることができます。たとえば、あるクライアントで接続上の問題が報告された場合は、そのクライアントによって開始されたセッションのみが表示されるように、セッション ビューをフィルタ処理することができます。セッション ビューには、フィルタに含まれるすべての式に一致するセッションのデータのみが表示されます。フィルタ式は、論理演算子 AND を使用して組み合わせることができます。手順については、「特定のセッションを監視する」を参照してください。

セッション ビューを効果的にフィルタ処理するクエリを作成したら、それを保存しておき、後で使用することができます。異なるセッションの種類にフォーカスする個別のクエリを、1 つのクエリ セットとして保存しておくと便利です。手順については、「フィルタ定義を保存する」および「フィルタ定義を読み込む」を参照してください。

セッションの切断

セッション ビューには、悪意のあるまたは不要である可能性を持つセッションの動作が視覚的に示されます。セッション ビューでは、不要なセッションを即座に停止することができます。手順については、「セッションを切断する」を参照してください。

セッションを停止すると、関連するすべての接続も閉じられます。

セッションを停止しても、クライアントがセッションを再度アクティブにすることを止めることはできません。ファイアウォール ポリシー構成を変更して、不要なクライアントへのアクセスを明確に拒否するルールを作成する必要があります。詳細については、「ファイアウォール ポリシーの動作」を参照してください。

セッションの監視の一時停止と停止

セッションの監視を停止して、ISA Server のセッション ビューを実質的にクリアすることができます。セッションの監視を停止すると、監視していたセッションに関するすべての情報が ISA Server から失われます。セッションの監視を再開すると、アクティブなセッションに関するすべての情報が収集されます。

監視を一時停止することもできます。この場合、セッション ビューに表示されているセッションは削除されません。ただし、新しいセッションがビューに追加されることもありません。セッションの監視を再開すると、セッション ビューは、関連する新しいセッション情報で更新されます。

手順については、「セッションの監視を一時停止する」および「セッションの監視を停止する」を参照してください。


サービス

Microsoft® Internet Security and Acceleration (ISA) Server 2004 をインストールすると、次の Microsoft Windows® オペレーティング システムのサービスもインストールされます。

  • Microsoft ファイアウォール サービス
  • Microsoft ISA Server 制御サービス
  • Microsoft ISA Server ジョブ スケジューラ サービス
  • ISA Server 記憶域サービス
  • Microsoft SQL Server™ 2000 Desktop Engine

Microsoft ファイアウォール サービス、Microsoft ISA Server ジョブ スケジューラ サービス、および Microsoft SQL Server 2000 Desktop Engine サービスは、サービス ビューで停止または開始できます。手順については、「サービスを開始または停止する」を参照してください。

このほか、カーネル モード ドライバであるパケット フィルタ ドライバ (fweng) があります。これは、ファイアウォール上のすべてのトラフィックを取得して、ネットワーク トラフィックに対するパケット フィルタおよびアドレス変換の決定を行います。

Microsoft ファイアウォール サービス

Microsoft ファイアウォール サービス (fwsrv) は、ファイアウォール クライアントおよび SecureNAT クライアントからの要求をサポートする Windows サービスです。

ISA Server の管理を使用して、Microsoft ファイアウォール サービスのステータスを監視できます。同様に、ISA Server の管理では、ファイアウォール サービスの停止または開始も行うことができます。

ファイアウォール サービスは、あらゆる Web ブラウザからの要求をサポートします。これにより、Microsoft Windows Server™ 2003、Windows 2000 Server、Windows NT® Server、Windows XP、Windows Millennium Edition、Windows 98、Windows 95、Macintosh、UNIX など、ほぼすべてのデスクトップ オペレーティング システムへの Web アクセスが可能になります。ファイアウォール サービスは、Web プロキシ プロトコルがサポートする FTP (ファイル転送プロトコル)、HTTP (ハイパーテキスト転送プロトコル)、HTTPS のいずれかを使用して取得可能なインターネット オブジェクトを要求するクライアントの代わりとして、アプリケーション レベルで機能します。

クライアント (通常はブラウザ) は、ISA Server コンピュータを使用するように特別に構成する必要があります。ユーザーが Web サイトを要求すると、ブラウザはその URL を解析します。完全修飾ドメイン名 (FQDN) または IP アドレスとしてドットコム (.com) アドレスが使用されている場合、ブラウザはその宛先をリモートと見なし、HTTP 要求を ISA Server コンピュータに送信して処理されるようにします。

ファイアウォール サービスを停止しても、キャッシュ内の情報は削除されません。ただし、サービスを再起動したときに、キャッシュが完全に有効かつ動作可能な状態になるまで数秒かかる場合があります。サービスに障害が発生すると、ISA Server はキャッシュ内の情報を復元します。これにはしばらく時間がかかります。また、キャッシュが最終的に復元されるまで、最適なパフォーマンスが得られない可能性があります。

Microsoft ISA Server 制御サービス

ISA Server 制御サービス (mspadmin) は、次の機能を実行する Microsoft Windows サービスです。

  • 必要に応じて、他の ISA Server サービスを再起動する。
  • 警告を生成し、アクションを実行する。
  • すべてのアレイ メンバに対して構成を更新する。このサービスの構成エージェントが更新を行います。ISA Server 制御サービスと ISA Server 記憶域サービスが連携して、構成を更新します。

ISA Server 制御サービスは、ISA Server の管理を使用して停止または開始することはできません。このサービスを停止するには、コマンド プロンプトで次のように入力します。

net stop isactrl

ISA Server 制御サービスを停止すると、他のすべての ISA Server サービスも停止します。

Microsoft ISA Server ジョブ スケジューラ サービス

Microsoft ISA Server ジョブ スケジューラ サービス (w3prefch) は、ISA Server の管理で構成されたジョブに応じて Web サーバーからキャッシュ コンテンツをダウンロードする Microsoft Windows サービスです。

Microsoft ISA Server ジョブ スケジューラ サービスは、ISA Server の管理を使用してステータスを監視できます。同様に、ISA Server の管理では、Microsoft ISA Server ジョブ スケジューラ サービスの停止および開始も行うことができます。

このサービスを停止すると、予定されたコンテンツ ダウンロード ジョブは実行できなくなります。

ISA Server 記憶域サービス

ISA Server 記憶域サービスは、ファイル記憶域を持つレジストリ ベースのローカルな ISA Server 構成ストアへの読み取りおよび書き込みアクセス許可を管理するために使用される Windows サービスです。ローカル構成は、アレイ メンバによって使用されます。これは、構成エージェントによって、指定の構成保管サーバーから定期的に更新されます。

このサービスを停止するには、コマンド プロンプトで次のように入力します。

Net stop isastg

ISA Server 記憶域サービスが停止すると、他の ISA Server サービスもすべて停止します。プロセスが正常に停止しなかった場合、アレイ メンバは、最後に正しく機能していたことが確認されている構成を使用します。

ISASTGCTRL サービス (ADAM 向け)

ISASTGCTRL サービスは、構成保管サーバーの情報への読み取りおよび書き込みアクセス許可を管理するために使用される Windows サービスです。構成情報は、Active Directory Application Mode (ADAM) ストアに格納されます。

このサービスは、構成保管サーバー上でのみ使用可能です。

このサービスを停止するには、コマンド プロンプトで次のように入力します。

Net stop isastgctrl

ネットワーク負荷分散

ネットワーク負荷分散 (NLB) 統合を有効にすると、ISA Server が各サーバー上で NLB をどのように構成するかについての情報が ISA Server の管理に表示されます。アレイ内の各サーバーに対して、NLB サービスの停止、開始、一時停止、再開、およびドレインと停止を行うことができます。詳細については、「NLB 構成」を参照してください。

リモート アクセス サービス

VPN クライアント アクセスを有効にしたり、PPTP または L2TP リモート サイト ネットワークを作成したりすると、ISA Server の管理にリモート アクセス サービスが表示されます。他の ISA Server サービスと同様に、ISA Server の管理を使用して、リモート アクセス サービスを開始または停止できます。詳細については、「仮想プライベート ネットワーク」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


構成の状態

構成の状態ビューでは、ISA Server の管理が接続されている構成保管サーバーからの構成情報ですべてのアレイが更新されていることを、管理者が容易に検証できます。構成の状態には、各アレイ メンバで使用中の構成保管サーバーの一覧と、アレイ メンバが前回更新されたときの状態が示されます。

構成の状態は、最初のトラブルシューティング ツールとして、組織内の問題を特定するのに役立ちます。ISA Server の管理が接続されている構成保管サーバーの構成情報と完全には同期化されていないアレイ メンバを一目で判別できます。

更新間隔を [低]、[中]、[高] のいずれかに設定することで、構成の状態の更新間隔を構成できます。

状態

構成の状態には、すべてのアレイ メンバがその状態と共に表示されます。アレイ メンバの状態は、次のいずれかになります。

  • [同期済み]。この状態は、アレイ メンバの構成情報と構成保管サーバー上の構成情報の同期がとれていることを示します。
  • [更新中]。この状態は、アレイ メンバの構成が、そのメンバの構成保管サーバーの情報で更新中であることを示します。
  • [未同期]。この状態は、アレイ メンバの構成情報が、ISA Server の管理が接続されている構成保管サーバー上の構成情報で更新されていないことを示します。
  • [エラー]。この状態は、問題が生じていることを示します。

エラーは、次のいずれかが原因で発生します。

  • アレイ メンバと構成保管サーバーの間の接続に関する問題
  • ISA Server の管理とアレイ メンバの間の接続に関する問題
  • ISA Server の管理と構成保管サーバーの間の接続に関する問題
  • 構成を読み込むときの問題
  • 構成情報をレプリケートするときの問題

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ログ

既定では、Microsoft Internet Security and Acceleration (ISA) Server 2004 をインストールすると、すべてのコンピュータでログ機能が有効になります。Web プロキシ、Microsoft ファイアウォール サービス、SMTP メッセージ スクリーナなど任意のコンポーネントに対してログ機能を無効にすることができます。既定では、Web プロキシおよびファイアウォール サービス ログのログ情報は、ログ ビューアで表示することができる Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) データベースに保存されます。情報をファイル、SQL データベース、または MSDE 2000 データベースに保存することで、ログの保存を構成することができます。

ここでは、ISA Server 2004 のログ機能について説明します。

  • ログの保存形式
  • ログ ビューア
  • Microsoft ファイアウォール サービスのログ フィールド
  • Web プロキシのログ フィールド
  • SMTP メッセージ スクリーナのログ フィールド
  • SQL データベース ログ

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ログの保存形式

Microsoft Internet Security and Acceleration (ISA) Server 2004 のログ情報は、ISA Server の管理から直接ログ ビューアを使用して表示できます。また、ログ情報は、次のいずれかの形式で保存できます。

  • Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) データベース
  • SQL データベース
  • ファイル

MSDE 2000 データベース

MSDE 2000 形式で保存したログ情報は、ログ ビューアに表示することができます。これを使用して、ネットワークの動作に関するオンライン情報にすばやくアクセスできます。ログ ビューアに表示されるデータはエクスポート可能なため、MSDE 2000 形式で表示されているデータも、テキスト ファイルに保存できます。手順については、「MSDE データベースへのログを構成する」を参照してください。

MSDE 2000 ログの最大サイズは 2 GB です。ログ サイズがこの制限を超えると、ISA Server によって新しいデータベースが自動的に作成されます。同様に、1 日の始めには毎日新しいログが作成されます。ただし、ログ ビューアでは、すべてのデータが 1 つのデータベースのものであるかのように表示されます。

注

  • MSDE 2000 データベース ファイルを MSDE 2000 から切断せずに削除すると、オフライン ログ ビューアが適切にクエリを実行しない場合があります。ISA Server は、データベース ファイルの自動クリーンアップをサポートしていますが、ファイルを手動で削除するときは、削除の前に MSDE 2000 からファイルを切断してください。

SQL データベース

ログ情報は、SQL データベースに保存できます。これはリモートでログを記録する場合に便利です。SQL データベースへのログの詳細については、「SQL データベース ログ」を参照してください。

手順については、「SQL データベースへのログを構成する」を参照してください。

SQL データベースにログを記録するには、"NetBios を使用した、信頼されたサーバーへのリモート ログを許可する" というシステム ポリシー ルールを有効にする必要があります。

ファイル

ISA Server のログは、次のいずれかの形式でファイルに保存できます。

  • World Wide Web Consortium (W3C) 形式
  • ISA Server 形式

SMTP メッセージ スクリーナのログ情報は、既定でファイル形式で保存されます。データベースには保存できません。

手順については、「ファイルへのログを構成する」を参照してください。

ログ ファイルの最大サイズは 2 GB です。ファイル サイズがこの制限を超えると、ISA Server によって新しいファイルが自動的に作成されます。同様に、1 日の始めには毎日新しいログ ファイルが作成されます。

W3C ログには、データとディレクティブの両方が記録され、バージョン、日付、およびログされたフィールドが示されます。フィールドはファイル内で指定されるため、選択していないフィールドはログに記録されません。区切り文字にはタブ文字が使用されます。日付および時間は世界協定時刻 (UTC) です。

ISA Server 形式にはデータのみが含まれ、ディレクティブは含まれません。すべてのフィールドが常にログに記録されます。ログでは、選択していないフィールドにはダッシュが付けられ、空であることが示されます。区切り文字にはコンマが使用されます。日付および時刻フィールドはローカル時間で表されます。

オプション

既定では、MSDE 2000 ログおよびログ ファイルの情報は、ISA Server インストール フォルダの下の ISALogs フォルダに格納されます。この場所は変更できます。

相対ディレクトリを指定すると、ログは ISA Server インストール フォルダの下の ISALogs フォルダに保存されます。絶対パスを指定すると、実際のログ フォルダは、各サーバーで異なる場合があります。

重要

  • ログは NTFS ボリュームに記録することをお勧めします。

ログ ファイルを圧縮すると、必要となるディスク領域を削減できます。ファイルは、NTFS パーティションに格納した場合のみ圧縮されます。NTFS 圧縮ファイルで作業すると、パフォーマンスが低下することがあります。圧縮ファイルの読み取り (アクセス) を行うと、Windows がファイルを自動的に展開し、ファイルへの書き込みを行うと、Windows がファイルを圧縮します。この処理が原因で、コンピュータのパフォーマンスが低下することがあります。

ログのメンテナンス

ISA Server には、ログのメンテナンス機能があります。この機能では、ログ ファイルが一定の領域要件を超えないように構成することができます。ログを MSDE 2000 データベースまたはファイルに記録する場合は、ログ情報をローカル ディスクに格納しておく期間と、ログ用に割り当てるディスク領域のサイズを構成できます。手順については、「ログの保存の制限を構成する」および「MSDE データベースへのログを構成する」を参照してください。

ISA Server では、10 分ごとに、ログが指定された制限値を超えていないかどうかが確認されます。これは、その 10 分の間に、ログが制限値を超える可能性があることを意味します。

SMTP フィルタ ログには、ログのメンテナンス機能は適用されません。

ログ エラー

ISA Server はネットワークをセキュリティで保護するために展開されるため、ログへの記録が常に可能で、正確であることが重要です。注意して警告を監視し、その動作が常にログに記録されていることを確認してください。ログの障害を示す警告があるかどうかを調べてください。この障害の理由はさまざまなものがありますが、ディスク空き容量や、SQL Server の接続の問題などが考えられます。

既定の設定では、ISA Server が動作をログに記録できない場合は、Microsoft ファイアウォール サービスが停止します。既定の動作を変更するには、ISA Server サービスを停止しないように、ログ エラーの警告を構成します。

ISA Server コンピュータで障害が発生した場合は、最後のログ レコードが失われることがあります。


ログ ビューア

Microsoft Internet Security and Acceleration (ISA) Server 2004 のログ ビューアを使用して、トラフィックを監視および分析し、ネットワークの動作のトラブルシューティングを行うことができます。ログ ビューアは、発生したログ エントリをライブで表示できます。この場合、イベントがログに記録されるたびに、そのイベントがログ ビューアに表示されます。

ログ ビューア データのフィルタ処理

ログ ビューアに表示されるデータをフィルタ処理すると、特定の条件を満たすデータを表示できます。ログ ビューアには、フィルタに含まれるすべての式に一致するログ データのみが表示されます。フィルタ式は、論理演算子 AND を使用して組み合わせることができます。

たとえば、特定の IP アドレスについて、現在ログに記録されているすべてのログ エントリを表示するとします。この場合、ログ フィルタを次のように編集します。

  • [クライアント IP アドレス] を目的の IP アドレスに設定します。
  • [ログ時刻] を [ライブ] に設定します。

ログをフィルタ処理する場合は、必ず、ログ レコードの種類 (ファイアウォールまたは Web プロキシ) を 1 つとログ時刻を 1 つ選択します。手順については、「ログ ビューア データをフィルタ処理する」を参照してください。

ログ ビューアには、ログ形式に関係なく、ログ情報を表示できます。ただし、Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) 以外のすべてのログ形式では、[ログ時刻] を [ライブ] に設定する必要があります。MSDE 2000 ログでは、ログ時刻をフィルタ処理して、履歴ログ情報を表示できます。ログ形式の詳細については、「ログの保存形式」を参照してください。

注

  • ログ ビューをフィルタ処理した場合、ログ ビューアに表示されるフィルタ結果は最大 10,000 件です。
  • ポリシー ルールまたはアプリケーション フィルタ以外の理由により許可されないトラフィックに対しては、IP データ、Raw IP ヘッダー、インターフェイスなどの一部のログ情報が表示されます。たとえば、偽造されたと見なされたため破棄されたトラフィックの場合、ログ情報は表示されません。

オフライン ログ ビューア

ログ ビューアに表示されるデータをフィルタ処理すると、オフライン データを表示できます。これを行うには、ログ フィルタを編集して、[ログ時刻] を任意の時刻に設定します。[ログ時刻] が [ライブ] に設定されていない限り、ログ ビューアにオフライン データが表示されます。

オフライン データを表示する場合、ログ ビューアによってデータベースが実際に検索されます。オフライン ログ表示は、ログの保存形式が MSDE 2000 の場合にのみ使用できます。

ログ ビューアのフィールド

次の表は、ISA Server の各ログ ファイルのフィールドがログ ビューアにどのように表示されるかを示しています。SMTP メッセージ スクリーナのログ情報は、ログ ビューアには表示されません。

ファイアウォール | Web プロキシ | 説明
動作 | 該当なし | 可能な値の一覧については、「動作ログの値」を参照してください。
該当なし | 認証済みクライアント | クライアントが ISA Server で認証されたかどうかを示します。可能な値には、Y と N があります。
双方向 | 該当なし | トラフィックが送信と受信かどうかを示します。
受信バイト | 受信バイト | 現在の接続の間に、宛先コンピュータから送信され、クライアントによって受信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータから何も受信していないことを示しています。
送信バイト | 送信バイト | 現在の接続の間に、送信元クライアントから宛先サーバーに送信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータに何も送信されなかったことを示しています。
該当なし | キャッシュ情報 | この数値は、オブジェクトのキャッシュ状態を反映しており、オブジェクトがキャッシュされた理由、またはキャッシュされなかった理由を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「キャッシュ情報ログの値」を参照してください。
クライアント エージェント クライアント エージェント HTTP (ハイパーテキスト転送プロトコル) ヘッダーを使用して、クライアントによって送信されたクライアント アプリケーションの種類。
Microsoft ファイアウォール サービスの場合、このフィールドには、クライアントのオペレーティング システムについての情報が含まれます。可能な値の一覧については、「オペレーティング システム ログの値」を参照してください。
クライアント ホスト名 | クライアント ホスト名 | 現在の接続のローカル コンピュータのドメイン名。Web プロキシでは、このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが取得されたことを示します。ファイアウォール ログでは、このフィールドは将来の使用に備えて予約されています。
クライアント IP アドレス | クライアント IP アドレス | 要求元クライアントの IP アドレス。
クライアントのユーザー名 | クライアントのユーザー名 | 要求を行っているユーザーのアカウント。ISA Server のアクセス制御が使用されていない場合、ISA Server は anonymous を使用します。
宛先 IP アドレス | 宛先 IP アドレス | 現在の接続にサービスを提供するリモート コンピュータのネットワーク IP アドレス。Web プロキシでは、このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが提供されたことを示します。唯一の例外はネガティブ キャッシュです。この場合、このフィールドは、ネガティブキャッシュされたオブジェクトが返された宛先 IP アドレスを示します。
宛先ホスト名 | 宛先ホスト名 | 現在の接続にサービスを提供するリモート コンピュータのドメイン名。Web プロキシでは、このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが取得されたことを示します。
宛先ネットワーク | 宛先ネットワーク | 現在の接続にサービスを提供するネットワーク。
宛先ポート | 宛先ポート | 現在の接続にサービスを提供するリモート コンピュータの予約されたポート番号。これは、要求元のクライアント アプリケーションによって使用されます。
宛先プロキシ | 該当なし | 現在の接続にサービスを提供するリモート コンピュータ。
該当なし | エラー情報 | エラー情報。
フィルタ情報 | フィルタ情報 | このフィールドには、Web フィルタがログに記録できる情報が含まれます。たとえば、HTTP フィルタが要求を拒否する場合、拒否の理由がここに格納されます。
該当なし HTTP メソッド 使用されるアプリケーション メソッドを示します。Web プロキシの場合、一般的な値は、GET、PUT、POST、および HEAD です。
ファイアウォール サービスの場合、一般的な値は、CONNECT、BIND、SEND、RECEIVE、GHBN (GetHostByName)、および GHBA (GetHostByAddress) です。
ログ時刻 | ログ時刻 | ログに記録されたイベントが発生した時刻。
該当なし | オブジェクト ソース | 現在のオブジェクトの取得元を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「オブジェクト ソース ログの値」を参照してください。
該当なし | MIME の種類 | 現在のオブジェクトの Multipurpose Internet Mail Extensions (MIME) の種類。このフィールドがハイフン (-) である場合、このフィールドが使用されていないか、有効な MIME の種類がリモート コンピュータで定義またはサポートされていないことを示します。このフィールドは、Web プロキシ ログにのみ適用されます。
ネットワーク インターフェイス | 該当なし | トラフィックを受信したインターフェイスのプライマリ IP アドレス。
元のクライアント IP アドレス | 元のクライアント IP アドレス | 要求を行っているクライアントの IP アドレス。
該当なし 処理時間 ISA Server が現在の接続を処理するために要する合計時間 (ミリ秒単位) を示します。サーバーが最初に要求を受け取ってから、そのサーバーで最後の処理を実行し、その結果がクライアントに返されて接続が閉じられる時点までのサーバーの経過時間が計測されます。

Web プロキシを介して処理されたキャッシュ要求の場合、クライアント要求を完全に処理し、サーバー キャッシュからクライアントにオブジェクトを返すために要したサーバーの経過時間が処理時間となります。
プロトコル プロトコル 接続に使用されるアプリケーション プロトコルを示します。一般的な値は、HTTP、FTP (ファイル転送プロトコル)、および Secure HTTP (HTTPS) です。
ファイアウォール サービスの場合、ポート番号もログに記録されます。
Raw ペイロード | 該当なし
該当なし | 参照しているサーバー | ISA Server がチェーン構成の上位で使用されている場合、これは、要求を送信した下位サーバーのサーバー名を示します。
結果コード | 結果コード | このフィールドは、要求の状態を示します。可能な値の一覧については、「結果コード ログの値」を参照してください。
ルール | ルール | これは、要求へのアクセスを許可または拒否したルールを反映します。
該当なし | サーバー名 | ISA Server を実行しているコンピュータの名前。これは、Microsoft Windows で割り当てられているコンピュータ名です。
該当なし サービス ログに記録されるサービスの名前。
  • w3proxy は、発信方向の Web 要求を示します。
  • fwsrv は、ファイアウォール サービスを示します。
  • w3reverseproxy は、着信方向の Web 要求を示します。
送信元ネットワーク | 送信元ネットワーク | 要求元のネットワーク。
送信元ポート | 該当なし | 要求元クライアントが要求を送信したポート。
送信元プロキシ | 該当なし | クライアント コンピュータを表す IP アドレス。
トランスポート プロトコル | トランスポート プロトコル | 接続に使用されるトランスポート プロトコルを示します。一般的な値は、TCP およびユーザー データグラム プロトコル (UDP) です。
該当なし | URL | このフィールドは、URL 要求の内容を示します。このフィールドは、Web プロキシ ログにのみ適用されます。


Microsoft ファイアウォール サービスのログ フィールド

Microsoft Internet Security and Acceleration (ISA) Server 2004 のログを使用して、Microsoft ファイアウォール サービスの状態を監視および分析することができます。

次の表は、各 ISA Server ログ ファイルに含めることができるフィールドの一覧です。ISA Server のログ形式では、使用できないフィールドにはハイフン (-) が付いてログに表示されます。World Wide Web Consortium (W3C) ログ ファイル形式では、フィールドは表示されません。

フィールド列は、ISA Server ファイル形式内の位置を示しています。

ログに保存するフィールドを制限することができます。手順については、「ログに記録するフィールドを指定する」を参照してください。

フィールド | ファイアウォール (W3C) | ファイアウォール (MSDE 2000) | 説明
1 | computer | servername | ISA Server を実行しているコンピュータの名前。これは、Microsoft Windows で割り当てられているコンピュータ名です。
2 | date | TimeStamp | ログに記録されたイベントが発生した日付で、ISA Server コンピュータで設定された日時に基づきます。Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) 形式では、日付と時刻の両方が入ったタイム スタンプになります。
3 | time | 該当なし | ログに記録されたイベントが発生した時刻で、ISA Server コンピュータで設定された日時に基づきます。W3C 形式では、これは世界協定時刻 (UTC) になります。
4 | IP Protocol | Protocol | 接続に使用されるトランスポート プロトコルを示します。一般的な値は、伝送制御プロトコル (TCP) およびユーザー データグラム プロトコル (UDP) です。
5 | source | SourceIP | 要求元クライアントの IP アドレス。MSDE 2000 以外のすべての形式で、source フィールドには IP アドレスとポートが含まれます。MSDE 2000 では、SourceIP および SourcePort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
5 |  | SourcePort | (MSDE 2000 のみ) ICMP パケットでは、このフィールドは ICMP の種類を示します。MSDE 2000 では、SourceIP および SourcePort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
6 | destination | DestinationIP | 現在の接続にサービスを提供するリモート コンピュータのネットワーク IP アドレス。MSDE 2000 以外のすべての形式で、destination フィールドには IP アドレスとポートが含まれます。MSDE 2000 では、DestinationIP および DestinationPort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
6 |  | DestinationPort | (MSDE 2000 のみ) ICMP パケットでは、このフィールドは ICMP コードを示します。MSDE 2000 では、DestinationIP および DestinationPort フィールドはアドレスとポートに分割されるため、それぞれを番号によって検索できます。
7 | original client IP | OriginalClientIP | 要求を行っているクライアントの IP アドレス。
8 | source network | SourceNetwork | 要求元のネットワークの名前。
9 | destination network | DestinationNetwork | 現在の要求にサービスを提供するネットワークの名前。
10 | action | Action | 使用されるアプリケーション メソッドを示します。一般的な値は、CONNECT、BIND、SEND、RECEIVE、GHBN (GetHostByName)、および GHBA (GetHostByAddress) です。
11 | status | resultcode | このフィールドは、要求の状態を示します。可能な値の一覧については、「結果コード ログの値」を参照してください。
12 | rule | rule | これは、要求へのアクセスを許可または拒否したルールを反映します。
13 | application protocol | ApplicationProtocol | プロトコル定義に基づいてアプリケーション プロトコルの名前を示します。アプリケーション プロトコルを特定できない場合は、"Unidentified IP Traffic" と表示されます。
14 | Bidirectional | Bidirectional | アプリケーション プロトコルが双方向 (送信と受信) かどうかを示します。
15 | bytes sent | bytessent | 現在の接続の間に、送信元クライアントから宛先サーバーに送信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータに何も送信されなかったことを示しています。
16 | bytes sent intermediate | bytessentDelta | 現在の接続の間に、送信元クライアントによって宛先コンピュータに既に送信されたバイト数。
17 | bytes received | bytesrecvd | 現在の接続の間に、宛先コンピュータから送信され、クライアントによって受信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータから何も受信していないことを示しています。
18 | bytes received intermediate | bytesrecvdDelta | 現在の接続の間に、送信元クライアントから送信され、宛先コンピュータによって既に受信されたバイト数。
19 | connection time | connectiontime | 接続時間 (ミリ秒単位)。
20 | connection time intermediate | connectiontimeDelta | これまでの接続時間 (ミリ秒単位)。
21 | source proxy | SourceProxy | 将来の使用に備えて予約されています。
22 | destination proxy | DestinationProxy | 将来の使用に備えて予約されています。
 | Source Name | SourceName | 将来の使用に備えて予約されています。
24 | destination name | DestinationName | 将来の使用に備えて予約されています。
25 | Username | ClientUserName | 要求を行っているユーザーのアカウント。ISA Server のアクセス制御が使用されていない場合、ISA Server は anonymous を使用します。
26 | agent | ClientAgent | ファイアウォール クライアントの場合、<アプリケーション名>:<OS の署名> という形式でオペレーティング システムを指定します。 SecureNAT クライアントの場合、このフィールドは空です。
27 | Session ID | sessionid | セッションの接続を識別します。ファイアウォール クライアントでは、ファイアウォール サービスを介して接続するプロセスごとに、セッションが開始されます。SecureNAT クライアントでは、同じ IP アドレスからのすべての接続に対して 1 つのセッションが開始されます。
28 | Connection ID | connectionid | 同じソケットに属するエントリを識別します。発信 TCP には通常、接続ごとに、接続が確立されたときと終了したときの 2 つのエントリがあります。UDP には通常、リモート アドレスごとに 2 つのエントリがあります。
29 | Interface | Interface | 要求を受信したネットワーク アダプタのプライマリ IP アドレス。
30 | IP header | IPHeader | パケットの IP ヘッダー。
31 | protocol payload | Payload | パケットの IP ペイロード。


Web プロキシのログ フィールド

Microsoft Internet Security and Acceleration (ISA) Server 2004 のログを使用して、Web プロキシ要求の状態を監視および分析することができます。

次の表は、各 ISA Server ログ ファイルに含めることができるフィールドの一覧です。ISA Server のログ形式では、使用できないフィールドにはハイフン (-) が付いてログに表示されます。World Wide Web Consortium (W3C) ログ ファイル形式では、フィールドは表示されません。

フィールド列は、ISA Server ファイル形式内の位置を示しています。

ログに保存するフィールドを制限することができます。手順については、「ログに記録するフィールドを指定する」を参照してください。

注

  • Web プロキシ クライアントの認証プロセスが複数の要求で構成されている場合、それぞれの要求がログに記録されます。
  • Web プロキシ ログでは、宛先 IP アドレスとポート番号は、拒否された要求に対してはログに記録されません。
フィールド | Web プロキシ (W3C) | Web プロキシ (MSDE 2000) | 説明
1 | c-ip | ClientIP | 要求元クライアントの IP アドレス。
2 | cs-username | ClientUserName | 要求を行っているユーザーのアカウント。ISA Server のアクセス制御が使用されていない場合、ISA Server は anonymous を使用します。
3 | c-agent | ClientAgent | クライアント要求で指定されている "User-Agent" ヘッダーを示します。
4 | sc-authenticated | ClientAuthenticate | クライアントが ISA Server で認証されたかどうかを示します。可能な値には、Y と N があります。
5 | date | TimeStamp | ログに記録されたイベントが発生した日付で、ISA Server コンピュータで設定された日時に基づきます。Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) 形式では、日付と時刻の両方が入ったタイム スタンプになります。
6 | time | 該当なし | ログに記録されたイベントが発生した時刻で、ISA Server コンピュータで設定された日時に基づきます。W3C 形式では、これは世界協定時刻 (UTC) になります。
7 s-svcname service ログに記録されるサービスの名前。
  • w3proxy は、発信方向の Web 要求を示します。
  • w3reverseproxy は、着信方向の Web 要求を示します。
8 | s-computername | servername | ISA Server を実行しているコンピュータの名前。これは、Windows で割り当てられているコンピュータ名です。
9 | cs-referred | referredserver | 将来の使用に備えて予約されています。
10 | r-host | DestHost | 現在の接続にサービスを提供するリモート コンピュータのドメイン名。このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが取得されたことを示します。
11 | r-ip | DestHostIP | 現在の接続にサービスを提供するリモート コンピュータのネットワーク IP アドレス。このフィールドがハイフン (-) である場合、宛先サーバーからではなく、Web プロキシ サーバーのキャッシュからオブジェクトが提供されたことを示します。唯一の例外はネガティブ キャッシュです。この場合、このフィールドは、ネガティブキャッシュされたオブジェクトが返された宛先 IP アドレスを示します。
12 | r-port | DestHostPort | 現在の接続にサービスを提供するリモート コンピュータの予約されたポート番号。これは、要求元のクライアント アプリケーションによって使用されます。
13 time-taken processingtime ISA Server が現在の接続を処理するために要する合計時間 (ミリ秒単位) を示します。サーバーが最初に要求を受け取ってから、そのサーバーで最後の処理を実行し、その結果がクライアントに返されて接続が閉じられる時点までのサーバーの経過時間が計測されます。

Web プロキシを介して処理されたキャッシュ要求の場合、クライアント要求を完全に処理し、サーバー キャッシュからクライアントにオブジェクトを返すために要したサーバーの経過時間が処理時間となります。
14 | cs-bytes | bytesrecvd | 現在の接続の間に、宛先コンピュータから送信され、クライアントによって受信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータから何も受信していないことを示しています。
15 | sc-bytes | bytessent | 現在の接続の間に、送信元クライアントから宛先サーバーに送信されたバイト数。このフィールドがハイフン (-)、ゼロ (0)、または負の数である場合、この情報が宛先コンピュータから提供されたものではないか、宛先コンピュータに何も送信されなかったことを示しています。
16 | cs-protocol | protocol | 接続に使用されるアプリケーション プロトコルを示します。一般的な値は、HTTP、FTP (ファイル転送プロトコル)、および Secure HTTP (HTTPS) です。
17 | cs-transport | transport | 接続に使用されるトランスポート プロトコルを示します。値は常に TCP です。
18 | s-operation | operation | 使用されるアプリケーション メソッドを示します。Web プロキシの場合、一般的な値は、GET、PUT、POST、および HEAD です。
19 | cs-uri | uri | このフィールドは、URL 要求の内容を示します。このフィールドは、Web プロキシ ログにのみ適用されます。
20 | cs-mime-type | mimetype | 現在のオブジェクトの Multipurpose Internet Mail Extensions (MIME) の種類。このフィールドがハイフン (-) である場合、このフィールドが使用されていないか、有効な MIME の種類がリモート コンピュータで定義またはサポートされていないことを示します。このフィールドは、Web プロキシ ログにのみ適用されます。
21 | s-object-source | objectsource | 現在のオブジェクトの取得元を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「オブジェクト ソース ログの値」を参照してください。
22 | sc-status | resultcode | このフィールドは、要求の状態を示します。可能な値の一覧については、「結果コード ログの値」を参照してください。
23 | s-cache-info | CacheInfo | この数値は、オブジェクトのキャッシュ状態を反映しており、オブジェクトがキャッシュされた理由、またはキャッシュされなかった理由を示します。このフィールドは、Web プロキシ ログにのみ適用されます。可能な値の一覧については、「キャッシュ情報ログの値」を参照してください。
24 | rule | rule | これは、要求へのアクセスを許可または拒否したルールを反映します。
25 | FilterInfo | FilterInfo | このフィールドには、Web フィルタがログに記録できる情報が含まれます。たとえば、HTTP フィルタが要求を拒否する場合、拒否の理由がここに格納されます。
26 | cs-Network | SrcNetwork | 要求の発行元のネットワーク。
27 | sc-Network | DstNetwork | 要求の転送先のネットワーク。
28 | error-info | ErrorInfo | このフィールドには、要求の処理方法に関する追加情報が含まれます。


SMTP メッセージ スクリーナのログ フィールド

ISA Server ログを使用して、SMTP メッセージ スクリーナの状態を監視および分析することができます。

次の表は、各 ISA Server ログ ファイルに含めることができるフィールドの一覧です。ISA Server のログ形式では、使用できないフィールドにはハイフン (-) が付いてログに表示されます。World Wide Web Consortium (W3C) ログ ファイル形式では、フィールドは表示されません。

フィールド列は、ISA Server ファイル形式内の位置を示しています。

ログに保存するフィールドを制限することができます。手順については、「ログに記録するフィールドを指定する」を参照してください。

フィールド | W3C | 説明
1 | date | ログに記録されたイベントが発生した日付。
2 | time | ログに記録されたイベントが発生した時刻。W3C 形式では、これは世界協定時刻 (UTC) になります。
3 | cs-sender | "MAIL FROM:" SMTP ヘッダーで指定されている差出人の名前。72 文字までに制限されています。
4 | cs-recipient | "RCPT TO:" SMTP ヘッダーで指定されている受信者の名前。72 文字までに制限されています。
5 | cs-subject | メッセージの件名。72 文字までに制限されています。
6 | cs-messageid | メッセージの ID。差出人によって生成された一意なメッセージ ID、または受信時に Windows SMTP サービスによって自動的に割り当てられた ID です。72 文字までに制限されています。
7 x-action ISA Server が実行した動作。次のいずれかになります。
  • Delete。メッセージは削除されます。
  • Hold。メッセージは BadMail キューに保存されます。
  • Forward。元のメッセージで指定されている受信者ではなく、別の受信者にメッセージが転送されます。
  • Pass。cs-recipient で指定されている受信者にメッセージが送信されます。
8 x-reason ISA Server がその動作 (x-action) を実行した理由。次のいずれかになります。
  • Some message properties could not be read. Taking default action.
    既定の動作は Hold です。
  • Policy rule stamp could not be found in the message. Taking default action.
    既定の動作は Hold です。ポリシー ルール スタンプは、ISA Server がメッセージ内に挿入するもので、メッセージにどのルールを適用すべきかをメッセージ スクリーナに知らせるための情報です。これは、メッセージが SMTP メッセージ スクリーナに渡される前に、そのメッセージが SMTP アプリケーション フィルタを通過しなかった場合に生成されます。
  • Logger is not initialized yet. Taking default action.
    既定の動作は Hold です。
  • Policy rule could not be read. Taking default action.
    既定の動作は Hold です。
  • Failed while trying to forward the message.
    該当するエラー コードもここに表示されます。
  • The SMTP Message Screener policy rule does not allow messages from sender.
  • The SMTP Message Screener policy rule does not allow attachment.
  • The SMTP Message Screener policy rule does not allow attachment extension.
  • The SMTP Message Screener policy rule does not allow attachments of specified size.
  • The SMTP Message Screener policy rule does not allow messages with specified subject.
  • The SMTP Message Screener policy rule does not allow messages with specified message body.

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SQL データベース ログ

ログ情報を SQL データベースに保存すると、リモート ログに役立ちます。Microsoft® SQL Server™ のログを構成する手順については、「ISA Server ログ用の SQL Server をセットアップする」を参照してください。最大限のセキュリティと機能性を実現するために、このタスクを実行するときは、SQL Server データベース管理者に問い合わせることを強くお勧めします。

この方法を選択する場合は、次の点に注意してください。

  • Microsoft SQL Server Service Pack 3 (SP3) がインストールされている必要があります。SQL Server SP3 は、SQL Server のダウンロード センター (http://www.microsoft.com/) で入手できます。
  • SQL データベースにログを記録する際、適切なセキュリティを構成することをお勧めします。
  • SQL Server を実行するコンピュータを別なネットワークに展開し、SQL Server ネットワークと Microsoft Internet Security and Acceleration (ISA) Server 2004 間のトラフィックのみを許可する特別なファイアウォール ポリシーを構成することをお勧めします。
  • SQL 認証ではなく、Windows 認証を使用することをお勧めします。
  • リモート データベースにログを記録する場合は、リモート データベースにコピーするログ情報に対して暗号化およびデータ署名を構成することをお勧めします。
  • 最大限のセキュリティを実現するために、ISA Server コンピュータと SQL Server を実行するコンピュータ間の通信に対してインターネット プロトコル セキュリティ (IPsec) を構成することをお勧めします。
  • SQL データベースに対して autogrow および autoshrink パラメータを構成しないことをお勧めします。INF の autogrow と autoshrink を構成する場合の考慮事項についてのページ (英語情報) (http://www.microsoft.com/) のガイドラインに従ってください。

既定では、ISA Server は、SQL Server を実行するコンピュータへの SSL (Secure Sockets Layer) で暗号化された接続を使用して、ログ ファイル内の機密データをセキュリティで保護します。接続で SSL 暗号化を使用するかどうかを構成できます。手順については、「SQL データベースに接続するときに暗号化を使用する」を参照してください。

SQL ログに対する容量設計のガイドライン

ISA Server と SQL Server を実行するコンピュータ間では、次の最小限のネットワーク接続が必要です。

  • アレイ メンバが 3 つまでの場合は 100 MB
  • アレイ メンバが 4 つ以上の場合は 1 GB

アタックの軽減

アタックが発生すると、SQL Server を実行しているコンピュータに多数のイベントが記録されます。多数のイベントがあってもログの記録を継続するには、次のガイドラインに従ってください。

  • 既定では、ログ エラーの警告が発生すると、Microsoft ファイアウォール サービスが停止されるよう構成されます。この警告を再構成して、管理者の電子メール アドレスに電子メール メッセージを送信するようにすることを検討してください。また、ISA Server のソフトウェア開発キット (SDK) を使用して、トラフィックがログに記録されなかった接続を破棄しないようにするスクリプトを作成します。たとえば、「コーディング」 (http://www.microsoft.com/) にあるスクリプトを使用できます。これらのプロパティの使用に関する詳細については、ISA Server CD の SDK フォルダにある ISA Server SDK ヘルプを参照してください。
  • 既定のルールによって拒否されたトラフィックをログに記録しないでください。手順については、「ルールに一致する要求をログに記録する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


レポート

ここでは、Internet Security and Acceleration (ISA) Server 2004 のレポート機能について説明します。

  • レポートの概要
  • レポート機構の動作
  • レポートの表示と公開

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


レポートの概要

Microsoft Internet Security and Acceleration (ISA) Server 2004 のレポート機能を使用して、通信パターンの概要を示し、分析を行うことができます。特に、レポートを作成すると、一般的な使用パターンを知ることができます。次に例を示します。

  • サイトにアクセスしているユーザーとアクセスされているサイト
  • 最も頻繁に使用されるプロトコルとアプリケーション
  • 一般的なトラフィックのパターン
  • キャッシュ率

また、レポートを使用して、ネットワークのセキュリティを監視することもできます。たとえば、内部リソースに対する悪意のあるアクセスの試みを追跡するレポートなどを生成できます。同様に、公開されたサーバーへの接続数やトラフィックを追跡すれば、サービス拒否攻撃の試みを識別することもできます。

定期的なレポート

ISA Server のレポート機構を使用すると、ログ ファイルから収集されたデータに基づく定期的なレポートをスケジュールできます。レポートは、日次、週次、月次、または年次ベースで定期的に生成されるようにスケジュールできます。レポートには、日次、週次、月次、または年次データを出力できます。

レポート ジョブをスケジュールするには、以下を指定します。

  • レポートの対象となる動作期間
  • レポートの生成日時と生成頻度

手順については、「定期的なレポート ジョブを作成する」を参照してください。

レポートの作成

「レポートの表示と公開」の説明に従って、一組のレポートを作成することができます。レポートは、「レポート機構の動作」で説明するように、各アレイ メンバのログ ファイル内の情報を照合することで作成されます。

ワークグループ展開では、アレイのプロパティ ページの [アレイ内の資格情報] タブで [次のアカウントを使用して認証する] を有効にし、すべてのアレイ メンバで定義されているユーザー アカウントを指定する必要があります。手順については、「アレイ内の資格情報を指定する」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


レポート機構の動作

Microsoft Internet Security and Acceleration (ISA) Server 2004 のレポート機構では、ISA Server コンピュータのサマリー ログを、個々の ISA Server コンピュータのデータベースに結合します。データベースは、ISA Server コンピュータ上のフォルダに存在します。既定では ISASummaries フォルダです。レポートが作成されると、関連するすべてのサマリー データベースが結合されて 1 つのレポート データベースになります。レポートは、結合されたサマリーに基づいて作成されます。

ISA Server レポートは、Web プロキシ および Microsoft ファイアウォール サービス ログに基づいて作成されます。次の表は、レポートの生成に使用されるファイアウォール サービス ログ フィールドおよび Web プロキシ ログ フィールドの一覧です。

Web プロキシのログ フィールド | ファイアウォール サービスのログ フィールド
受信バイト | 動作
送信バイト | 受信バイト
クライアント エージェント | 送信バイト
クライアント IP アドレス | バイト送信デルタ
クライアントのユーザー名 | クライアント エージェント
宛先ホスト名 | クライアントのユーザー名
宛先 IP アドレス | クライアント IP アドレス
宛先ポート | クライアント ポート
HTTP の状態コード | 宛先 IP アドレス
ログ時刻 | 宛先ポート
ログの日付 | ログの日付
オブジェクト ソース | ログ時刻
処理時間 | 元のクライアント IP アドレス
プロトコル | 処理時間
トランスポート プロトコル | 処理時間デルタ
URL | プロトコル
 | 結果コード
 | トランスポート プロトコル

ISA Server と共にインストールされる DailySum.exe アプリケーションは、特定の時刻に前述のログ情報のサマリーを作成します。既定では、DailySum.exe はレポートを作成またはスケジュールするかどうかに関係なく、ISA Server コンピュータで常に実行されます。アプリケーションを無効にするための手順については、「レポート サマリー データベースの生成を無効にする」を参照してください。

保存されるログ サマリーには、日ごとと月ごとの 2 種類のサマリーがあります。DailySum.exe は、月初めには月ごとのサマリーを作成します。これは、前月の日ごとのサマリーを集計したものです。少なくとも 35 の日ごとのサマリーと 13 の月ごとのサマリーが保存されます。ISA Server がログ サマリーを保存する方法および場所を構成することができます。手順については、「レポート サマリー データベースを構成する」を参照してください。

レポートを生成するために、ISA Server は、ISARepGen.exe アプリケーションを実行します。このアプリケーションも ISA Server と共にインストールされます。

レポートに含まれないトラフィック

次のトラフィックは、ISA Server が生成するレポートに含まれません。

  • ログの Action フィールドが、「Established」または「Allowed」であるトラフィック。
  • プロキシ認証のクエリ。この種類のトラフィックは、ログの LogType フィールドが「Web Proxy」で、宛先が「ms_proxy_intra_array_auth_query」または「ms_proxy_auth_query」であることから特定できます。
  • VPN セッションの確立と終了。この種類のトラフィックは、ログの ClientAgent フィールドが「VPN remote access」または「VPN remote site」であることから特定できます。
  • ログの Object source フィールドが、「Member」であるトラフィック。CARP (Cache Array Routing Protocol) を構成すると、ログ内で各クライアント Web 要求が 2 回表示されます。最初は、クライアントから 1 台目の ISA Server コンピュータへの要求です。2 番目は、2 台目の ISA Server コンピュータから実際の Web サーバーへの要求です。


レポートの表示と公開

レポートを表示するには、ISA Server の管理でレポート名をダブルクリックします。レポートは Internet Explorer に表示されます。手順については、「レポートを表示する」を参照してください。

レポートは、ISA Server の管理を実行しているコンピュータでのみ表示できます。他のコンピュータのレポートには、空のデータが表示されるか、空のフレームを含むページと "Web サイトを表示できません" というメッセージが表示されます。

レポートに表示されるデータについては、次のことに注意してください。

  • 要求は、接続が終了したときにのみ計算されます。
  • ログ内のすべての行のバイト数がカウントされます。

レポートの公開

レポートをさらに幅広く利用できるようにするために、レポートは共有フォルダに公開できます。レポートにアクセスするには、このフォルダへの読み取りアクセス許可が必要です。こうすると、他のユーザーは、ISA Server コンピュータにアクセスしなくても、また ISA Server の管理を使用しなくても、レポートを表示できるようになります。手順については、「レポートを公開する」を参照してください。

レポートを公開すると、複数のレポート ファイルとそれに関連するグラフィックスが指定の公開フォルダに保存されます。

レポートを公開するための資格情報

レポートを公開するときは、公開フォルダの書き込みアクセス許可が IsaRepGen.exe プロセスに割り当てられている必要があります。IsaRepGen.exe がレポートの作成に使用する資格情報を構成できます。

既定では、ローカル システム アカウントが使用されます。ただし、レポートを別のコンピュータに公開する場合、ローカル システム アカウントの資格情報は実際には (ISA Server) コンピュータ アカウントとして渡されることに注意してください。コンピュータ アカウントには、ネットワーク共有フォルダへの書き込みアクセス許可が割り当てられている必要があります。

ISA Server が Windows NT 4.0 ドメインにインストールされているか、ワークグループ モードでインストールされている場合、IsaRepGen.exe は認証されていないアカウントを使用します。この場合、レポートを別のコンピュータに公開するときは、ユーザーの資格情報を指定することをお勧めします。

レポートの内容

レポートに含める内容を構成することができます。レポートには、次の種類の内容を含めることができます。

  • サマリー。サマリー コンテンツを含めると、ネットワーク トラフィックの使用に関する要約情報が、アプリケーション別にレポートに表示されます。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。
  • Web の使用。Web の使用コンテンツを含めると、上位 Web ユーザー、一般的な応答、およびブラウザに関する情報がレポートに表示されます。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。これには、Web が企業内でどのように使用されているかが示されます。
  • アプリケーションの使用。アプリケーションの使用コンテンツを含めると、上位ユーザー、クライアント アプリケーション、および宛先に関するインターネット アプリケーションの使用情報がレポートに表示されます。
  • トラフィックと使用状況。トラフィックと使用状況のコンテンツを含めると、総合的なインターネットの使用が、アプリケーション、プロトコル、および方向別にレポートに表示されます。これらのレポートには、平均トラフィックと最大同時接続数、キャッシュ ヒット率、エラー、およびその他の統計も示されます。
  • セキュリティ。セキュリティ コンテンツを含めると、ネットワーク セキュリティに違反する試行が一覧に表示されます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


接続

Internet Security and Acceleration (ISA) Server の接続機能を使用すると、ISA Server コンピュータから任意のネットワーク上の特定のコンピュータまたは URL への接続を定期的に監視することにより、接続を検証できます。接続の識別に、次のうちいずれの方法を使用するかを構成できます。

  • Ping。この方法を構成すると、ISA Server は、指定したサーバーに ICMP ECHO_REQUEST を送信し、ICMP ECHO_REPLY を待ちます。この方法は、サーバーが実行されていること、および ISA Server から到達可能であることを検証する場合に使用します。
  • TCP 接続。この方法を構成すると、ISA Server は、指定したサーバーの特定のポートに対する TCP 接続の確立を試みます。この方法は、サーバー上の特定のサービスが実行中であること、および ISA Server から到達可能であることを検証する場合に使用します。
  • HTTP 要求。この方法を構成すると、ISA Server は、HTTP Get 要求を送信し、応答を待ちます。この方法は、Web サーバーが実行されていること、および ISA Server から到達可能であることを検証する場合に使用します。

IP アドレス、コンピュータ名、または URL を指定して、監視対象のサーバーを選択できます。手順については、「接続検証方法を作成する」を参照してください。

サーバーの接続検証方法を構成する際は、Active Directory、DHCP、DNS、公開されたサーバー、Web (インターネット)、その他のいずれかのグループに分類します。サーバー グループのステータスはダッシュボード ビューに表示されるため、特定のサービスに問題があるかどうかを迅速に判断できます。

接続は、既定では 30 秒ごとに検証されます。この間隔は、更新頻度に関するスクリプトを使用して変更できます。このスクリプトは、ISA Server 2004 コーディングについてのページ (英語情報) (http://www.microsoft.com/) で入手可能です。更新間隔は、すべてのアレイ メンバ上のすべての接続検証方法に適用されます。

たとえば、FTP サーバー、SQL サーバー、および Exchange サーバーを公開していて、クライアントがそれらを常時使用できることが必要であるとします。各サーバーに対して接続検証方法を作成し、それらをすべて Published Servers グループに分類することができます。サーバーのいずれかが正常に機能していない場合、それはまず、ダッシュボードで確認できます。[接続] タブで、正常に機能していないサーバーを特定できます。手順については、「接続検証方法グループを構成する」を参照してください。

別のシナリオとして、ISA Server が外部ネットワークの Web サイトに接続していることを検証する必要があるとします。そのためには、通常、使用可能なものとして知られている 3 つの一般的な Web サイトに対する HTTP 接続検証方法を定義します。接続検証方法を、Web (インターネット) グループに分類します。

HTTP 要求を発行して接続を確認する接続検証方法を作成すると、ISA Server では、ローカル ホストからすべてのネットワークへの HTTP および HTTPS トラフィックを許可する、"接続検証方法に、ISA Server から選択されたサーバーへの HTTP/HTTPS 要求を許可する" というシステム ポリシー ルールが有効になります。HTTP を使用する接続検証方法をすべて無効にするか、削除すると、このシステム ポリシー ルールは無効になります。詳細については、「システム ポリシーの概要」を参照してください。

HTTP 応答の分析

HTTP 要求を送信する接続検証方法メソッドを構成した場合は、監視対象のサーバーから HTTP 応答が返されます。その応答に応じて、ISA Server は、次の表に示す接続検証方法ステータスを設定します。

監視対象サーバーからの HTTP 応答 | 接続検証方法のステータス
1xx、2xx、または 3xx | OK。これは応答時間 (ミリ秒単位) です。
401 (Web サーバーの認証が必要) | OK。Web サーバーからメッセージが返されたため、エラーとは見なされません。
407 (プロキシの認証が必要) | エラー (Windows Server 2003)。実際の Web サーバーへの接続が特定できないため、エラーと見なされます。
407 (プロキシの認証が必要) | 認証が必要です (Windows 2000 Server)。
4xx (401 と 407 を除く) または 5xx | エラー。
要求のタイムアウト | タイムアウト。
サーバー名が解決できない | 未解決の名前。
ISA Server がダウン | 検証できません。Microsoft ファイアウォール サービスを使用できません。


パフォーマンス モニタ

パフォーマンス データは、レポートのほか、さまざまなグラフやログ形式で表示できます。パフォーマンス ログは、長期にわたってカウンタを監視する場合に便利です。カウンタが一定の値に達したらイベントを作成するよう、パフォーマンス警告を構成することができます。たとえば、ログ エントリ、ネットワーク メッセージの送信、プログラムの実行などのイベントを作成できます。ISA Server のパフォーマンス データは、ダッシュボードに表示することも、ISA Server パフォーマンス モニタを使用して表示することもできます。ISA Server パフォーマンス モニタを使用すると、Windows システム モニタ内の ISA Server の既定のカウンタが表示されます。ダッシュボードを表示する手順については、「ダッシュボードを表示する」を参照してください。システム モニタを使用する手順については、Windows ヘルプを参照してください。

ISA Server をリモート管理する場合は、[パフォーマンスのログと警告] スナップインを開くことによってパフォーマンス カウンタを表示できます。Windows 2000 を実行しているコンピュータでは、ISA Server コンピュータの管理者のみがパフォーマンス カウンタを表示できます。Windows Server 2003 を実行しているコンピュータでは、Performance Monitoring Users グループのすべてのメンバがパフォーマンス カウンタを表示できます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


監視 : 操作方法

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 を監視する手順について説明します。

  • 監視のビューを更新する
  • 更新間隔を設定する
  • ダッシュボードを表示する
  • 構成の状態を表示する
  • 構成保管サーバーのアクセス許可設定の監査を有効にする
  • 警告を構成する
  • セッションの監視を構成する
  • サービスを開始または停止する
  • ログを構成する
  • レポートを構成する
  • 接続検証方法を構成する


監視のビューを更新する

監視のビューを更新するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、更新するビューのタブをクリックします。使用可能なタブは、[ダッシュボード]、[警告]、[サービス]、[構成の状態]、[レポート]、および [接続] です。
  3. [タスク] タブで、[更新] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [更新] をクリックすると、選択したタブにあるデータのみが更新されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


更新間隔を設定する

更新間隔を設定するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、更新するビューのタブをクリックします。使用可能なタブは、[ダッシュボード]、[警告]、[サービス]、[構成の状態]、[レポート]、および [接続] です。
  3. [タスク] タブの [自動更新間隔] で、[なし]、[低]、[中]、[高] のいずれかをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 更新間隔を [低] に設定すると、データは 120 秒ごとに最新の情報に更新されます。
    更新間隔を [中] に設定すると、データは 60 秒ごとに最新の情報に更新されます。
    更新間隔を [高] に設定すると、データは 30 秒ごとに最新の情報に更新されます。
  • 更新間隔は、接続検証方法に影響しません。接続検証方法に更新間隔を設定するには、「ISA Server 2004 ソリューションドキュメント」(http://www.microsoft.com/) で入手できる更新間隔スクリプトを使用します。更新間隔は、すべてのアレイ メンバ上のすべての接続検証方法に適用されます。詳細については、「接続」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ダッシュボードを表示する

ダッシュボードを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ダッシュボード] タブをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


構成の状態を表示する

構成の状態を表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[構成の状態] タブをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


構成保管サーバーのアクセス許可設定の監査を有効にする

構成保管サーバーのアクセス許可設定の監査を有効にするには

  1. 構成保管サーバーで、[スタート] ボタンをクリックし、[管理ツール] をポイントして、[ローカル セキュリティ ポリシー] をクリックします。
  2. [セキュリティの設定]、[ローカル ポリシー]、[監査ポリシー] の順にクリックします。
  3. 詳細ウィンドウで、[ディレクトリ サービスのアクセスの監査] を右クリックし、[プロパティ] をクリックします。
  4. [成功] および [失敗] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


警告を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 で警告を構成する手順について説明します。

  • 警告定義を有効にする
  • 警告定義を追加する
  • 警告定義を編集する
  • 警告の条件を編集する
  • 警告のしきい値を編集する
  • 警告の動作を編集する
  • 警告の受信確認を行う
  • 警告をリセットする

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


警告定義を有効にする

警告定義を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. [警告定義] タブで、チェック ボックスをオンにして、選択した警告を有効にします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


警告定義を追加する

警告定義を追加するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成]、[追加] の順にクリックします。
  4. [新しい警告ウィザード] の画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義がまだ関連付けられていないイベントにのみ、新しい警告定義を作成できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


警告定義を編集する

警告定義を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. [警告定義] タブで、警告定義を選択し、[編集] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義を無効にするには、警告の名前の横にあるチェック ボックスをオフにします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


警告の条件を編集する

警告の条件を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. 編集する警告定義を選択し、[編集] を選択します。
  5. [イベント] タブで、次の操作を行います。
    • [イベント] で、警告をトリガするイベントをクリックします。イベントで追加の条件を必要とする場合は、[そのほかの条件] で条件をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義に関連付けられているイベントを変更できるのは、そのイベントがまだ他の警告定義に関連付けられていない場合だけです。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


警告のしきい値を編集する

警告のしきい値を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. 編集する警告定義を選択し、[編集] を選択します。
  5. [イベント] タブで、[イベントの発生回数] チェック ボックスをオンにし、警告を発行するまでのイベントの発生回数を入力します。
  6. [イベントの 1 秒あたりの発生回数] チェックボックスをオンにし、警告を発行するまでのイベントの 1 秒あたりの発生回数を入力します。
  7. 次のオプションのいずれかを選択します。
    • イベントが繰り返されたらすぐに警告を再発行する場合は、[警告発生の直後] をクリックします。
    • 警告をリセットした後にのみ警告を再発行する場合は、[警告が手動でリセットされた場合のみ] をクリックします。
    • 指定した時間の経過後に警告を再発行する場合は、[前回の警告から次の時間が経過した場合] をクリックし、動作を実行するまでの経過時間を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告定義に関連付けられているイベントを変更できるのは、そのイベントがまだ他の警告定義に関連付けられていない場合だけです。
  • 指定した数のイベントが発生すると、警告がトリガされます。たとえば、5 と指定した場合、6 番目のイベントが発生すると、警告がトリガされます。同様に、指定した秒数が経過すると、警告がトリガされます。たとえば、5 秒と指定した場合、6 秒経過すると、警告がトリガされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


警告の動作を編集する

警告の動作を編集するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. [タスク] タブで、[警告定義の構成] をクリックします。
  4. 編集する警告定義を選択し、[編集] を選択します。
  5. [動作] タブで、次の動作を変更します (複数可)。
    • 警告条件が発生したときに電子メール メッセージを送信するには、[電子メールを送信する] チェック ボックスをオンにし、SMTP (簡易メール転送プロトコル) サーバー、受信者、および差出人を入力します。
    • 警告条件が発生したときにアプリケーションを実行するには、[プログラムを実行する] チェック ボックスをオンにし、コマンド プロンプトで実行するコマンドを入力します。プログラムの実行元となるアカウントを選択するには、[アカウントの設定] をクリックし、アカウントを選択します。
    • イベントのログを記録するには、[Windows イベント ログに記録する] チェック ボックスをオンにします。
    • ISA Server サービスを停止するには、[指定されたサービスを停止する] チェック ボックスをオンにし、[選択] をクリックして、警告条件が発生したときに停止する ISA Server サービスを選択します。
    • ISA Server サービスを開始するには、[指定されたサービスを開始する] チェック ボックスをオンにし、[選択] をクリックして、警告条件が発生したときに開始する ISA Server サービスを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 複数のアドレスをセミコロン (;) で区切って [宛先] および [CC] フィールドに入力すると、電子メールに複数の受信者を指定できます。
  • 内部ネットワーク上に配置された SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP プロトコルを使用して内部ネットワークにアクセスできるようにするためのシステム ポリシー ルールを有効にする必要があります。システム ポリシー エディタの [リモート監視] 構成グループで [SMTP] を選択し、[有効にする] をクリックします。"ISA Server から信頼されたサーバーへの SMTP を許可する" ルールが有効になります。
  • 外部 SMTP サーバーを使用するように電子メール動作を構成した場合、ローカル ホスト ネットワークが SMTP プロトコルを使用して外部ネットワーク (または SMTP サーバーが配置されているネットワーク) にアクセスできるようにするためのアクセス ルールを作成する必要があります。
  • ISA Server がプログラムを実行する場合は、どのユーザー アカウントを使用するかを指定できます。指定されたユーザーには、"バッチ ジョブとしてログオン" アクセス許可が必要です。
  • [アカウントの設定] をクリックして、[使用するアカウント] にプログラムを実行するユーザー アカウントを指定できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


警告の受信確認を行う

警告の受信確認を行うには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. 詳細ウィンドウで、受信確認を行う警告または警告のグループを選択します。
  4. [タスク] タブで、[指定された警告の受信確認] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告グループ全体の受信確認を行うには、そのグループの見出しを選択します。
  • 警告ビューでは、警告のインスタンスが [サービスのシャットダウン] などの分類ごとにグループ化されます。グループの見出しを展開したり、折りたたんだりして、その見出しに含まれる項目の表示と非表示を切り替えることができます。
  • 隣接する複数の警告を選択するには、選択範囲の最初の警告をクリックし、Shift キーを押しながら最後の項目をクリックします。
  • 隣接しない複数の警告を選択するには、いずれかの警告をクリックし、Ctrl キーを押しながら他の項目をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


無効な DHCP 提供メッセージ警告を構成する

無効な DHCP 提供メッセージ警告を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. 詳細ウィンドウで、[無効な DHCP 提供メッセージ] グループ、[無効な DHCP 提供メッセージ] 警告の順にクリックします。
  4. [タスク] タブで、[DHCP アドレスの更新] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


警告をリセットする

警告をリセットするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[警告] タブをクリックします。
  3. 詳細ウィンドウで、受信確認を行う警告または警告のグループを選択します。
  4. [タスク] タブで、[指定された警告のリセット] をクリックします。
  5. 選択した警告をリセットする場合は、[はい] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 警告グループ全体をリセットするには、そのグループの見出しを選択します。
  • 警告ビューでは、警告のインスタンスが [サービスのシャットダウン] などの分類ごとにグループ化されます。グループの見出しを展開したり、折りたたんだりして、その見出しに含まれる項目の表示と非表示を切り替えることができます。
  • 隣接する複数の警告を選択するには、選択範囲の最初の警告をクリックし、Shift キーを押しながら最後の項目をクリックします。
  • 隣接しない複数の警告を選択するには、いずれかの警告をクリックし、Ctrl キーを押しながら他の項目をクリックします。
  • Microsoft ISA Server 制御サービス (isactrl) を再起動すると、警告はすべて自動的にリセットされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


セッションの監視を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 でセッションの監視を構成する手順について説明します。

  • セッションを表示する
  • セッションを切断する
  • 特定のセッションを監視する
  • フィルタ定義を保存する
  • フィルタ定義を読み込む
  • セッションの監視を一時停止する
  • セッションの監視を停止する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


セッションを表示する

セッションを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッションは、詳細ウィンドウに一覧表示されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


セッションを切断する

セッションを切断するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. 目的のセッションを選択します。
  4. [タスク] タブで、[セッションの切断] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


特定のセッションを監視する

特定のセッションを監視するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[フィルタの編集] をクリックします。
  4. [フィルタ方法] で、次のオプションのいずれかを選択します。
    • [稼働開始]。指定した時刻以降にアクティブになったセッションのみをフィルタ処理します。
    • [アプリケーション名]。アプリケーション名に基づいてフィルタ処理します。
    • [クライアント ホスト名]、[クライアント IP アドレス]、または [クライアントのユーザー名]。特定のクライアントからのセッションをフィルタ処理します。
    • [セッションの種類]。特定の種類のクライアント (ファイアウォール クライアント、SecureNAT、VPN クライアント、VPN サイト間、または Web プロキシ) からのセッションをフィルタ処理します。
    • [サーバー名]。サーバー名に基づいてフィルタ処理します。
    • [送信元ネットワーク]。特定の送信元ネットワークからのセッションをフィルタ処理します。
  5. [条件] と [値] に適切な条件を指定し、[一覧に追加] をクリックします。
  6. フィルタにさらに条件を追加する場合は、手順 4 と 5 を繰り返します。次に、[クエリの開始] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 既定では、すべてのセッションが [セッション] 詳細ウィンドウに一覧表示されます。
  • セッション ビューアには、フィルタに含まれるすべての式に一致するセッションのデータのみが表示されます。フィルタ式は、論理演算子 AND を使用して組み合わせることができます。
  • 既定では、[アプリケーション名] 列と [サーバー名] 列は、[セッション] 詳細ウィンドウに表示されません。これらの列を表示するには、詳細ウィンドウで列見出しを右クリックし、該当する列をクリックします。
  • フィルタ一覧から式を削除するには、[フィルタの編集] をクリックします。次に、式を選択して [削除] をクリックします。
  • フィルタ一覧の式を編集するには、[フィルタの編集] をクリックします。次に、式を選択して適切に編集し、[更新] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


フィルタ定義を保存する

フィルタ定義を保存するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のエクスポート] をクリックします。
  4. [ファイル名] に、フィルタ定義が含まれている .xml ファイルのファイル名を指定します。次に、[保存] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


監視定義を読み込む

フィルタ定義を読み込むには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のインポート] をクリックします。
  4. [ファイル名] に、フィルタ定義が含まれている .xml ファイルのファイル名を指定します。次に、[読み込み] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


セッションの監視を一時停止する

セッションの監視を一時停止するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[セッション監視の一時停止] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッションの監視を再開するには、[タスク] タブで、[セッション監視の再開] をクリックします。
  • セッションの監視を一時停止した場合、セッション ビューに表示されているセッションは削除されません。ただし、新しいセッションがビューに追加されることもありません。セッションの監視を再開すると、セッション ビューは、関連する新しいセッション情報で更新されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


セッションの監視を停止する

セッションの監視を停止するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[セッション] タブをクリックします。
  3. [タスク] タブで、[セッション監視の停止] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • セッションの監視を停止すると、監視していたセッションに関する情報が ISA Server から失われます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


サービスを開始または停止する

サービスを開始または停止するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[サービス] タブをクリックします。
  3. Microsoft Data Engine、Microsoft ファイアウォール サービス、Microsoft ISA Server ジョブ スケジューラ サービスのいずれかを選択します。
  4. 選択したサービスを開始するには、[タスク] タブの [指定されたサービスを開始する] をクリックし、停止するには [指定されたサービスを停止する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • サービスが既に停止している場合、[タスク] タブの [指定されたサービスを停止する] は選択できません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ログを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 のログ機能を構成する手順について説明します。

  • 特定のサービスのログを有効にする
  • ルールに一致する要求をログに記録する
  • ログに記録するフィールドを指定する
  • SQL データベースへのログを構成する
  • SQL データベースに接続するときにデータ暗号化を使用する
  • MSDE データベースへのログを構成する
  • ISA Server ログ用の SQL Server をセットアップする
  • ログの保存の制限を構成する
  • ファイルへのログを構成する
  • ログ ビューア データをフィルタ処理する
  • ログ フィルタ定義を保存する
  • ログ フィルタ定義を読み込む
  • ログ ビューア データを保存する


特定のサービスのログを有効にする

特定のサービスのログを有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
    • [SMTP メッセージ スクリーナ ログの構成]。SMTP メッセージ スクリーナ ログの場所を構成します。
  4. [ログ] タブで、[このサービスのログを有効にする] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 特定のサービスのログを無効にするには、[ログ] タブで [このサービスのログを有効にする] チェック ボックスがオフになっていることを確認します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ルールに一致する要求をログに記録する

ルールに一致する要求をログに記録するには

  1. [ISA Server の管理] のコンソール ツリーで、[ファイアウォール ポリシー] (アレイ レベルの要求の場合) または [エンタープライズ ポリシー] (エンタープライズ レベルの要求の場合) をクリックします。

    場所 (エンタープライズ レベル ルールの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ ポリシー
    • <エンタープライズ ポリシー>

    場所 (アレイ レベル ルールの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • ファイアウォール ポリシー
  2. 詳細ウィンドウで、ログを有効にするルールをクリックします。
  3. [タスク] タブで、[選択したルールの編集] をクリックします。
  4. [動作] タブで、[このルールに一致するログ要求] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 特定のプロトコルまたはソースから大量のデータがログに記録される場合は、要求をログに記録しないようにする新しいルールを作成し、このルールをその種類のトラフィックに適用できます。たとえば、ポリシーで DHCP 要求を許可していないため、多数の DHCP 要求が拒否されているとします。DHCP 要求を拒否しても、その要求をログに記録しないという新しいアクセス ルールを作成できます。
  • 特定のルールのログを無効にすると、ISA Server コンピュータがアタックされた場合に、そのコンピュータの負荷を効率的に軽減できます。ただし、既定の拒否ルールのログを無効にすると、ISA Server でポート スキャン アタックを検出できなくなることに注意してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ログに記録するフィールドを指定する

ログに記録するフィールドを指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
    • [SMTP メッセージ スクリーナ ログの構成]。SMTP メッセージ スクリーナ ログの場所を構成します。
  4. [フィールド] タブで、次のいずれかの操作を行います。
    • 特定のフィールドを選択するには、該当するチェック ボックスをオンにします。
    • フィールド一覧内のチェック ボックスをすべてオフにするには、[すべてクリア] をクリックします。
    • フィールド一覧内のチェック ボックスをすべてオンにするには、[すべて選択] をクリックします。
    • ISA Server ログ ファイルの既定のフィールド セットを選択するには、[既定値を復元] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


SQL データベースへのログを構成する

SQL データベースへのログを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログを構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログを構成します。
  4. [ログ] タブで、[SQL データベース] を選択します。
  5. [オプション] を選択し、次の操作を行います。
    • [サーバー] に、情報のログの記録先となる、SQL Server を実行しているコンピュータの名前を入力します。
    • [ポート] に、使用するポート番号を入力します。SQL Server を実行しているコンピュータの既定のポートは、1433 です。
    • [データベース] に、SQL Server を実行しているコンピュータ上のデータベースの名前を入力します。
    • [Windows 認証を使用する] (推奨) または [SQL Server 認証を使用する] を選択します。
    • [ユーザー] および [パスワード] に、この接続を認証するために使用するアカウントの資格情報を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [リモート ログ (SQL)] システム ポリシー構成グループで、SQL データベースへのログオンが有効になっている必要があります。
  • 適用可能な場合は、Windows 認証を使用することをお勧めします。ワークグループ展開では、Windows 認証の SQL ログを構成する場合、ローカル ユーザー アカウントを指定する必要があります。このアカウントは、すべてのアレイ メンバおよび SQL Server を実行するコンピュータ上に存在しなければなりません。またこのアカウントには、SQL Server セキュリティで適切なログオン アクセス許可を指定する必要があります。
  • 既定の SQL ポートを使用する場合は、[ISA Server から選択されたサーバーへのリモート SQL ログを許可する] システム ポリシー ルールが有効になり、ローカル ホスト ネットワークから内部ネットワーク上のすべてのコンピュータへの SQL アクセスが許可されます。
    このルールが SQL Server を実行している特定のコンピュータのみに適用されるように、システム ポリシーを変更することをお勧めします。手順については、「システム ポリシー ルールの宛先を編集する」を参照してください。
  • 手順 5 で既定のポート以外を指定した場合は、次の操作を行います。
    1. 指定したポートに対し、UDP および TCP プロトコルを作成します。手順については、「プロトコルを作成する」を参照してください。
    2. 作成した 2 つのプロトコルを使用できるように、ローカル ホスト ネットワークから SQL Server を実行しているコンピュータが配置されているネットワークへのアクセス ルールを作成します。手順については、「アクセス ルールを作成する」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


SQL データベースに接続するときにデータ暗号化を使用する

SQL データベースに接続するときにデータ暗号化を使用するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログを構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログを構成します。
  4. [ログ] タブで、[SQL データベース] を選択します。
  5. [オプション] をクリックします。
  6. [データの暗号化を強制する] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [リモート ログ (SQL)] システム ポリシー構成グループで、SQL データベースへのログが有効になっている必要があります。
  • SQL データベースにログを記録するときに暗号化を構成する場合は、SQL Server を実行しているコンピュータに証明書をインストールする必要があります。次に、このサーバー証明書を信頼するように、各アレイ メンバの信頼されたルート機関を更新します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


MSDE データベースへのログを構成する

MSDE データベースへのログを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
  4. [ログ] タブで、[MSDE データベース] をクリックします。
  5. (省略可能) [オプション] をクリックして、次のパラメータを確認または変更します。
    • [ISALogs フォルダ] または [このフォルダ]。ログ ファイルの場所を選択します。
    • [指定した日数を過ぎたファイルを削除する]。ログ ファイルが自動的に削除されるまで保持する日数を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) データベース ファイルを MSDE 2000 から切断せずに削除すると、オフライン ログ ビューアが適切にクエリを実行しない場合があります。ISA Server は、データベース ファイルの自動クリーンアップをサポートしていますが、ファイルを手動で削除するときは、削除の前に MSDE 2000 からファイルを切断してください。
  • ログ ファイルのフォルダの場所を指定するときに、環境変数を指定できます。たとえば、「%logDirectory%」と指定できます。指定した場所が無効であるという警告が表示されます。このメッセージは無視できます。サービスが開始します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server ログ用の SQL Server をセットアップする

ISA Server ログ用の SQL Server をセットアップするには

  1. データベース ファイルを使用して SQL Server をセットアップします。
    1. SQL Server を実行するコンピュータで、Enterprise Manager を起動します。
    2. データベース ファイルをホストする、SQL Server を実行するコンピュータに接続します。
    3. [ツール] メニューの [SQL クエリ アナライザ] をクリックします。
    4. [ファイル] メニューの [開く] をクリックし、"ISA CD":\FPC\Program Files\Microsoft ISA Server を開きます。
    5. SQL データベースへのログ方法に応じて、次の .sql ファイルのいずれかを開きます。
      • Microsoft ファイアウォール サービスの場合は、Fwsrv.sql ファイルを開きます。
      • Web プロキシの場合は、W3proxy.sql ファイルを開きます。
    6. データベースを作成します。
    7. 各スクリプトの 1 番上に次の行を追加します。
      Use <データベース名>
Go
    8. [クエリ] メニューの [実行] をクリックします。
  2. ISA Server コンピュータからデータ接続を受け付けるように SQL Server をセットアップします。ISA Server が同じ Windows Server 2003 ドメインまたは Windows 2000 ドメイン内に配置されていない場合は、SQL Server アカウントを設定する必要があります。
    1. SQL Enterprise Manager を起動し、データベースをホストするようにセットアップする、SQL Server を実行するコンピュータに接続します。
    2. [Microsoft SQL Server]、[SQL Server グループ]、[<サーバー名>]、[セキュリティ] の順にクリックして、[ログイン] を右クリックします。
    3. [新規ログイン] をクリックします。
    4. 使用しているコンピュータが ISA Server と同じドメイン内にある場合は、[Windows 認証] をクリックします。
      1. [名前] に、「<ドメイン名>\<ISA Server名$>」と入力します。
      2. [データベース アクセス] タブで、このログオン方法でアクセスできる作成済みのデータベースをクリックします。
      アレイ構成では、アレイ メンバごとに個別のログオンが作成されます。
    5. 使用しているコンピュータが ISA Server と別のドメインにある場合は、SQL Server 認証を使用する必要があります。
      1. [名前] に、特定の名前を入力します。
      2. ログオン方法を示す名前を使用します。
      3. このログオン方法のパスワードを入力します。
      4. [データベース アクセス] タブで、このログオン方法でアクセスできる作成済みのデータベースをクリックします。
    6. [既定のデータベースを以下のものに変更する] を選択し、ISA Server でデータをログに記録するデータベースを選択します。
    7. テーブルの選択および挿入アクセス許可を構成します。このデータベースへのログに使用する ISA Server サービスの、sp_batch_insert プロシージャの実行アクセス許可を構成します。

注

  • 既定では、ISA Server は、SQL Server を実行するコンピュータへの SSL (Secure Sockets Layer) で暗号化された接続を使用して、ログ ファイル内の機密データをセキュリティで保護します。この接続を有効にするには、アレイ メンバにルート証明機関 (CA) 証明書をインストールする必要があります。詳細については、Certificate Server を使用して SQL Server 2000 の SSL 暗号化を有効にする方法についてのページ (英語情報) (http://www.microsoft.com/) を参照してください。
  • ISA Server のデータ暗号化を構成する手順については、「SQL データベースに接続するときにデータ暗号化を使用する」を参照してください。
  • アレイ メンバと SQL Server を実行するコンピュータ間の通信には、転送率が 100 メガビット/秒である PCI (Peripheral Component Interconnect) バス用のイーサネット カードを使用することをお勧めします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ログの保存の制限を構成する

ログの保存の制限を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの制限を構成する場合に使用します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの制限を構成する場合に使用します。
  4. [ログ] タブで、[ファイル] または [MSDE データベース] を選択します。
  5. [オプション] ボタンをクリックします。
  6. ログのサイズを制限するには、[ログ ファイルの合計サイズを制限する (GB)] をクリックします。次に、最大ログ サイズを入力します。
  7. ログを格納するディスク上に指定した空きディスク領域を維持するには、[空きディスク領域を維持する (MB)] をクリックします。次に、維持する空きディスク領域を入力します。
  8. [ログ ファイルの合計サイズを制限する (GB)] または [空きディスク領域を維持する (MB)] をクリックした場合は、次のいずれかを選択します。
    • [必要であれば古いログ ファイルを削除する]。あらかじめ指定されている制限を超えたら、最も古いログ ファイルから削除する場合に使用します。
    • [新しいログ エントリを破棄する]。ISA Server による新しいログ エントリの追加を停止し、古いログ情報をすべて保持する場合に使用します。
  9. 古いログ情報を削除するには、[指定した日数を過ぎたファイルを削除する] をクリックします。次に、ログ情報を保持する日数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • SQL データベース ログに対しては、ログの制限を設定できません。
  • ISA Server では、10 分ごとに、ログが指定された制限値を超えていないかどうかが確認されます。10 分の間に、ログが制限値を超える可能性があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ファイルへのログを構成する

ファイルへのログを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、目的のタスクを選択します。
    • [ファイアウォール ログの構成]。ファイアウォール ログの場所を構成します。
    • [Web プロキシ ログの構成]。Web プロキシ ログの場所を構成します。
    • [SMTP メッセージ スクリーナ ログの構成]。SMTP メッセージ スクリーナ ログの場所を構成します。
  4. [ログ] タブで、[ファイル] をクリックします。
  5. (省略可能) [オプション] をクリックして、次のパラメータを確認または変更します。
    • [ISALogs フォルダ] または [このフォルダ]。ログ ファイルの場所を選択します。
    • [ログ ファイルを圧縮する]。ログ ファイルを圧縮します。
    • [指定した日数を過ぎたファイルを削除する]。ログ ファイルが自動的に削除されるまで保持する日数を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ログ ファイルのフォルダの場所を指定するときに、環境変数を指定できます。たとえば、「%logDirectory%」と指定できます。指定した場所が無効であるという警告が表示されます。このメッセージは無視できます。サービスが開始します。
  • ログ ファイルを圧縮するとファイルのサイズが小さくなり、ファイルが使用するディスク領域が減少します。
  • NTFS 圧縮ファイルで作業すると、パフォーマンスが低下することがあります。圧縮ファイルの読み取り (アクセス) を行うと、Windows がファイルを自動的に展開し、ファイルへの書き込みを行うと、Windows がファイルを圧縮します。この処理が原因で、コンピュータのパフォーマンスが低下することがあります。

ISA Server コンピュータで SMTP (簡易メール転送プロトコル) メッセージ スクリーナ コンポーネントを実行しておらず、ISA Server コンピュータの ISA Server の管理で、メッセージ スクリーナ コンポーネントを実行しているコンピュータに存在しないメッセージ スクリーナ ログのフォルダの場所を指定している場合、フォルダはそのコンピュータが再起動された後のみそのコンピュータ上に作成されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ログ ビューア データをフィルタ処理する

ログ ビューア データをフィルタ処理するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、[フィルタの編集] をクリックします。
  4. [フィルタ方法] で、いずれかのログ フィールドを選択します。
  5. [条件] と [値] に適切な条件を指定し、[一覧に追加] をクリックします。
  6. フィルタにさらに条件を追加する場合は、手順 4 と 5 を繰り返します。次に、[クエリの開始] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ログ ビューアには、フィルタに含まれるすべての式に一致するログ データのみが表示されます。フィルタ式は、論理演算子 AND を使用して組み合わせることができます。
  • フィルタ一覧の式を編集するには、[フィルタの編集] をクリックします。次に、条件を選択して [更新] をクリックします。
  • フィルタ一覧から式を削除するには、[次の条件に一致するエントリのみ表示する] で式を選択し、[削除] をクリックします。
  • フィルタを作成する場合は、[ログ時刻] と [ログ レコードの種類] を 1 つずつ指定する必要があります。
  • ログ ビューアでは、Microsoft ファイアウォール サービスが実行されているときのみデータが更新されます。ファイアウォール サービスが実行されていないときは、ISA Server でロックダウン モードが適用されます。詳細については、「ロックダウン モード」を参照してください。
  • ログ ビューアには、ファイアウォールと Web プロキシのログに関する情報のみが表示されます。SMTP メッセージ スクリーナのログ情報はログ ビューアに表示されません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ログ フィルタ定義を保存する

ログ フィルタ定義を保存するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のエクスポート] をクリックします。
  4. [ファイル名] に、フィルタ定義が含まれている .xml ファイルのファイル名を指定します。次に、[保存] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ログ フィルタ定義を読み込む

ログ フィルタ定義を読み込むには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、[フィルタの定義のインポート] をクリックします。
  4. [ファイル名] に、フィルタ定義が含まれている .xml ファイルのファイル名を指定します。次に、[読み込み] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ログ ビューア データを保存する

ログ ビューア データを保存するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[ログ] タブをクリックします。
  3. [タスク] タブで、次のいずれかを選択します。
    • [すべての結果をクリップボードにコピー]。ログ ビューアに表示されるすべてのデータをコピーします。
    • [選択された結果をクリップボードにコピー]。選択したデータをログ ビューアからコピーします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 隣接する複数のログ エントリを選択するには、選択範囲の最初のログ エントリをクリックし、Shift キーを押しながら最後の項目をクリックします。
  • 隣接しない複数のログ エントリを選択するには、いずれかのログ エントリをクリックし、Ctrl キーを押しながらその他の項目をクリックします。
  • データをクリップボードにコピーしたら、そのテキストを適切なアプリケーションに貼り付けて分析できます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポートを構成する

ここでは、Microsoft Internet Security and Acceleration (ISA) Server 2004 でレポートを構成する手順について説明します。

  • レポートを作成する
  • 定期的なレポート ジョブを作成する
  • レポート サマリー データベースを構成する
  • レポート サマリー データベースの生成を無効にする
  • 定期的なレポートを構成する
  • レポートを表示および公開する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


レポートを作成する

レポートを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[新しいレポートの生成] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートを作成するには、Microsoft ISA Server ジョブ スケジューラ サービスが実行されている必要があります。
  • レポートを共有フォルダに公開する場合は、レポート エンジンによって使用される公開用の資格情報を必ず指定します。これらの資格情報には、指定フォルダへの書き込みアクセス許可が割り当てられている必要があります。公開したレポートを他のユーザーが表示できるようにするには、対象となるユーザーにそのフォルダの読み取りアクセス許可を与えます。
  • 定期的なレポート ジョブを作成するには、[タスク] タブの [レポート ジョブの作成と構成] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


定期的なレポート ジョブを作成する

定期的なレポート ジョブを作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. [追加] をクリックして定期的なレポート ジョブを新規に作成し、画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートを作成するには、Microsoft ISA Server ジョブ スケジューラ サービスが実行されている必要があります。
  • レポートを共有フォルダに公開する場合は、レポート エンジンによって使用される公開用の資格情報を必ず指定します。これらの資格情報には、指定フォルダへの書き込みアクセス許可が割り当てられている必要があります。公開したレポートを他のユーザーが表示できるようにするには、対象となるユーザーにそのフォルダの読み取りアクセス許可を与えます。
  • ワークグループ展開では、アレイのプロパティ ページの [アレイ内の資格情報] タブで [次のアカウントを使用して認証する] を有効にし、すべてのアレイ メンバで定義されているユーザー アカウントを指定する必要があります。手順については、「アレイ内の資格情報を指定する」を参照してください。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポート サマリー データベースを構成する

レポート サマリー データベースを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[ログのサマリーとレポート設定の構成] をクリックします。
  4. [ログのサマリー] タブで、[日ごとのサマリーと月ごとのサマリーを生成する] チェック ボックスをオンにします。
  5. [生成時刻を指定してください] に、レポート データを生成する時刻を入力します。
  6. 次のいずれかの操作を行います。
    • レポートをこのコンピュータの ISASummaries サブフォルダに保存するには、[ISASummaries フォルダ] を選択します。
    • レポートを他のフォルダに保存するには、[次のフォルダ] を選択し、[参照]、レポートを保存するフォルダの順にクリックします。
  7. 保存するサマリーの数を構成するには、次の操作を行います。
    • [保存するサマリーの数] の [日ごとのサマリー] に、保存する日ごとのサマリー数を入力します。
    • [月ごとのサマリー] に、保存する月ごとのサマリー数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 日ごとのサマリーは、35 以上保存する必要があります。月ごとのサマリーは、13 以上保存する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポート サマリー データベースの生成を無効にする

レポート サマリー データベースの生成を無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[ログのサマリーとレポート設定の構成] をクリックします。
  4. [ログのサマリー] タブで、[日ごとのサマリーと月ごとのサマリーを生成する] チェック ボックスをオフにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポート サマリー データベースの生成が無効な場合にレポートを作成すると、ISA Server は、見つからないログ サマリーを作成して、レポートを生成します。このサマリーが以前に作成され、その後で削除された場合は、再作成されません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


定期的なレポートを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 で定期的なレポートを構成する手順について説明します。

  • レポート ジョブのレポートの内容を構成する
  • レポート ジョブ スケジュールを構成する
  • レポートの基準となる期間を構成する
  • レポート ジョブを実行するタイミングを指定する
  • 予定されたレポート ジョブを直ちに実行する
  • レポートの生成を通知する
  • レポート ジョブを削除する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


レポート ジョブのレポートの内容を構成する

レポート ジョブのレポートの内容を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [コンテンツ] タブで、次のどのレポートを生成するかを選択します。
    • サマリー
    • Web の使用
    • アプリケーションの使用
    • トラフィックと使用状況
    • セキュリティ

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • [新しいレポート ウィザード] を使用してレポートを作成する場合、このウィザードの [レポートのコンテンツ] ページで生成するレポートの種類を指定できます。
  • サマリー レポートは、プロトコルの使用、アクセスされた Web サイト、キャッシュ情報、トラフィック全般に関する一般的な情報が含まれたレポート セットです。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。
  • Web の使用レポートは、上位 Web ユーザー、一般的な応答、およびブラウザが表示されるレポート セットを含みます。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している人にとって役に立ちます。これには、Web が企業内でどのように使用されているかが示されます。
  • アプリケーションの使用レポートは、着信方向および発信方向のトラフィック、上位ユーザー、クライアント アプリケーション、および宛先を含めて、企業におけるインターネット アプリケーションの使用状況を示します。これらのレポートは、ネットワーク管理者や、企業のインターネット接続を管理または計画している担当者が、ネットワーク容量を計画したり、帯域幅ポリシーを決定する際に役立ちます。
  • トラフィックと使用状況のレポートは、アプリケーション別、プロトコル別、および方向別にインターネットの全体的な使用状況を示します。これらのレポートには、平均トラフィックと最大同時接続数、キャッシュ ヒット率、エラー、およびその他の統計も示されます。このレポートは、ネットワーク容量を計画および監視したり、帯域幅ポリシーを決定する場合に役立ちます。
  • セキュリティ レポートには、ネットワーク セキュリティに違反する試行が一覧に表示されます。セキュリティ レポートは、ネットワークへの攻撃やセキュリティ侵害の発生を検出する場合に役立ちます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポート ジョブ スケジュールを構成する

レポート ジョブ スケジュールを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [スケジュール] タブで、次の操作を行います。
    • レポートを毎日生成するには、[毎日] をクリックします。
    • レポートを毎週特定の曜日に生成するには、[指定した曜日] をクリックして、適切な曜日を選択します。
    • レポートを毎月生成するには、[毎月 (指定した日付)] をクリックします。毎月レポートを生成する日を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートに表示される内容には、レポートの期間を構成したときに指定した期間が反映されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポートの基準となる期間を構成する

レポートの基準となる期間を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [コンテンツ] タブの [レポートの基となる期間を選択してください] で、次のいずれかをクリックします。
    • 前日の動作状況を示すレポートを生成するには、[日単位] を選択します。
    • 前週の動作状況を示すレポートを生成するには、[週単位] を選択します。
    • 前月の動作状況を示すレポートを生成するには、[月単位] を選択します。
    • 前年の動作状況を示すレポートを生成するには、[年単位] を選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 定期的なレポート ジョブを作成すると、その期間は、レポート ジョブ スケジュールと同じであると見なされます。たとえば、毎週定期的に実行するレポート ジョブを作成した場合、そのレポートには前週の動作状況が表示されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポート ジョブを実行するタイミングを指定する

レポート ジョブを実行するタイミングを指定するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [スケジュール] タブの [生成時刻] に、レポート ジョブを実行する時刻を指定します。
  6. [開始日] に、レポートの実行を開始する日を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • たとえば 31 日など、月によっては存在しない日を指定すると、該当する月ではレポートは実行されません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


予定されたレポート ジョブを直ちに実行する

予定されたレポート ジョブを直ちに実行するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[直ちに実行] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポートの生成を通知する

レポートの生成を通知するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[編集] をクリックします。
  5. [通知] タブで、[電子メールを送信する] を選択します。
  6. [SMTP サーバー] に、電子メール通知を送信する際に使用するメール サーバーの名前を入力します。
  7. [差出人]、[宛先]、および [CC] に、差出人と受信者の電子メール アドレスを入力します。
  8. [メッセージ] に、電子メールの受信者に送信するメッセージを入力します。
  9. メッセージが正常に送信されることを確認するには、[テスト] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポート ジョブを削除する

レポート ジョブを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、[レポート ジョブの作成と構成] をクリックします。
  4. 目的のレポート ジョブを選択し、[削除] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポートを表示および公開する

ここでは、Internet Security and Acceleration (ISA) Server 2004 のレポートを表示および公開する手順について説明します。

  • レポートを表示する
  • レポート データをカスタマイズする
  • レポート データを並べ替える
  • レポートを公開する
  • レポートを削除する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


レポートを表示する

レポートを表示するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックし、目的のレポートを選択します。
  3. [タスク] タブで、[選択したレポートの表示] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • グラフには、レポートに含まれる上位 10 項目のみが表示されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポート データをカスタマイズする

レポート データをカスタマイズするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、構成するレポートの種類 (次のいずれか) をクリックします。
    • [サマリー コンテンツのカスタマイズ]
    • [Web の使用コンテンツのカスタマイズ]
    • [アプリケーションの使用コンテンツのカスタマイズ]
    • [トラフィックと使用状況のコンテンツのカスタマイズ]
    • [セキュリティ コンテンツのカスタマイズ]
  4. タブをクリックし、"含める数" に、レポートに含める最大データ量を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポート データを並べ替える

レポート データを並べ替えるには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックします。
  3. [タスク] タブで、構成するレポートの種類をクリックします。
    • [サマリー コンテンツのカスタマイズ]
    • [Web の使用コンテンツのカスタマイズ]
    • [アプリケーションの使用コンテンツのカスタマイズ]
    • [トラフィックと使用状況のコンテンツのカスタマイズ]
    • [セキュリティ コンテンツのカスタマイズ]
  4. [並べ替え順] で、レポートのデータの並べ替えに使用するオプションをクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • レポートは、次に表示するときに並べ替えられて表示されます。
  • テーブル内のデータは並べ替えられます。ただし、レポート内のグラフは再生成されません。
  • セキュリティ コンテンツ レポートの並べ替え順を構成することはできません。
    トラフィックと使用状況のコンテンツ レポートおよびサマリー コンテンツ レポートの上位プロトコルの並べ替え順を構成することはできません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポートを公開する

レポートを公開するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックし、目的のレポートを選択します。
  3. [タスク] タブで、[選択したレポートの公開] をクリックします。
  4. [フォルダの参照] で、公開されるレポートのフォルダが作成されるフォルダを選択します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 公開されるレポートは、<レポート ジョブ名>_(<開始日>—<終了日>) という名前のフォルダに格納されます。
    たとえば、2004 年 12 月 1 日から 2004 年 12 月 15 日まで実行するようにスケジュールされている、DailyReports という名前のレポート ジョブを公開する場合、公開されるレポートのフォルダ名は DailyReports_(12.1.2004—12.15.2004) となります。
  • レポートを表示するには、公開されているフォルダ内にある report.htm という名前のファイルをダブルクリックします。これには、生成されたすべてのレポートの種類へのリンクが含まれています。
  • レポートを生成するか、または定期的なレポート ジョブを構成すると、レポートの公開を構成できます。ウィザードの [レポートの公開] ページに、公開されるレポートのフォルダが作成されるフォルダの名前を入力します。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


レポートを削除する

レポートを削除するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[レポート] タブをクリックし、目的のレポートを選択します。
  3. [タスク] タブで、[選択したレポートの削除] をクリックします。次に、[はい] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


接続検証方法を構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 で接続検証方法を作成および構成する方法について説明します。

  • 接続検証方法を作成する
  • 接続検証方法メソッドを構成する
  • 接続検証方法のタイムアウトを構成する
  • 接続検証方法グループを構成する
  • 接続検証方法を無効にする

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


接続検証方法を作成する

接続検証方法を作成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックします。
  3. [タスク] タブで、[新しい接続検証方法の作成] をクリックします。
  4. 画面上に表示される指示に従います。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ダッシュボード ビューには、グループごとの接続状態が一覧表示されます。グループ内のすべてのサーバーが応答可能であり、指定した応答時間のしきい値を超えていない場合、そのグループのすべてのサーバーが応答可能であることがグループの状態に示されます。グループ内のいずれかのサーバーが応答しない場合、[遅い接続] や [接続なし] など、そのグループで最悪の状態がグループの状態として表示されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


接続検証方法メソッドを構成する

接続検証方法メソッドを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の編集] をクリックします。
  4. [プロパティ] タブで、次のメソッドのいずれかを選択します。
    • [HTTP GET 要求の送信]
    • [Ping 要求の送信]
    • [TCP 接続の確立]
  5. [TCP 接続の確立] を選択した場合は、[接続するポート] で、プロトコルを指定してその既定のポートを選択するか、[カスタム] をクリックしてポート番号を指定します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


接続検証方法のタイムアウトを構成する

接続検証方法のタイムアウトを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の編集] をクリックします。
  4. [プロパティ] タブの [タイムアウトの応答しきい値の指定 (ミリ秒)] に、サーバーが応答しないと判断するまでの時間をミリ秒で入力します。
  5. サーバーが応答しないことを知らせる警告を ISA Server がトリガする場合は、[サーバー応答が指定したタイム アウト内になければ警告をトリガする] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


接続検証方法グループを構成する

接続検証方法グループを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の編集] をクリックします。
  4. [プロパティ] タブの [グループの種類] で、次のいずれかを選択します。
    • [Active Directory]
    • [DHCP]
    • [DNS]
    • [その他]
    • [公開されたサーバー]
    • [Web (インターネット)]

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ダッシュボード ビューには、グループごとの接続状態が一覧表示されます。グループ内のすべてのサーバーが応答可能であり、指定した応答時間のしきい値を超えていない場合、そのグループのすべてのサーバーが応答可能であることがグループの状態に示されます。グループ内のいずれかのサーバーが応答しない場合、[遅い接続] や [接続なし] など、そのグループで最悪の状態がグループの状態として表示されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


接続検証方法を無効にする

接続検証方法を無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[監視] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 監視
  2. 詳細ウィンドウで、[接続] タブをクリックし、該当する検証方法を選択します。
  3. [タスク] タブで、[選択した検証方法の無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


監視のトラブルシューティング

どのような問題がありますか?

少なくとも 1 つのデータ サンプルが欠落していることを示すエラー メッセージが表示されます。

原因 : Windows XP を実行するコンピュータから ISA Server をリモート管理する場合に、システム パフォーマンス モニタでこのメッセージが生成されることがあります。

解決方法 : このメッセージは無視できます。

ワークグループ シナリオで、アレイを監視できません。

原因 : 構成管理サーバー上で、ユーザーに対する適切な管理ロールを構成する必要があります。さらに、各アレイ メンバ上で、ミラー化されたアカウントを作成してください。

解決方法 : 各アレイ メンバ上で、ユーザーとロールを指定します。手順については、「アレイ管理者の管理ロールを割り当てる」または「エンタープライズ管理者の管理ロールを割り当てる」を参照してください。

ログのトラブルシューティング

どのような問題がありますか?

匿名アクセスがブロックされるにもかかわらず、匿名ユーザーからの要求がログに記録されます。

原因 : ユーザーの認証が必要な場合、通信は次のように行われます。

  1. ユーザーが匿名要求を送信します。ISA Server はエラー 407 を返し、接続を終了します。匿名要求がログに記録されます。
  2. ユーザーが同じ要求を、キープアライブおよび NTLM 認証情報と共に送信します。ISA Server は認証チャレンジと共に再びエラー 407 を返します。接続は終了しません。もう 1 つの匿名要求がログに記録されます。
  3. ユーザーが同じ要求を認証応答と共に送信します。要求が認証され、処理されます。

解決方法 : 匿名要求の後に、実際の認証済みユーザーから要求が送信されていることを検証します。それ以外の場合は、構成に問題があることが考えられます。

ログ ファイルにクライアント認証 (ユーザー名) 情報が見つかりません。

原因 : ISA Server は、クライアントに常に認証を要求するわけではありません。クライアントが認証されていない場合、それらのクライアントには匿名アクセスが付与され、認証情報はログに記録されません。

解決方法 : 着信方向および発信方向の Web 要求のプロパティを構成することで、Web プロキシ クライアント自身の認証を常に要求するように ISA Server を構成できます。詳細については、「Web プロキシ クライアントの認証方法を構成する」および「ファイアウォール ポリシーと認証」を参照してください。

ログの情報が多すぎます。

原因 : ルールを作成すると、既定で、そのルールに一致するすべての要求がログに記録されます。[既定のルール] はすべてのトラフィックを拒否するので、作成したルールによって明確に許可されていない要求も、すべてログに記録されます。このため、ログがすぐにいっぱいになる可能性があります。

解決方法 : 特定のプロトコルまたはソースから大量のデータがログに記録されている場合は、要求をログに記録しないようにする新しいルールを作成し、このルールをその種類のトラフィックに適用できます。たとえば、ポリシーで DHCP 要求を許可していないため、多数の DHCP 要求が拒否されているとします。DHCP 要求を拒否しても、その要求をログに記録しないという新しいアクセス ルールを作成できます。

SQL Server のタイムアウト エラーで、ログが失敗します。

原因 : SQL Server を実行しているコンピュータへのアクセスが正しく構成されていない可能性があります。

解決方法 : SQL Server を実行しているコンピュータへのアクセスが正しく構成されているかどうかを確認してください。SQL Server のログの [オプション] タブで、[テスト] をクリックします。手順については、「SQL データベースへのログを構成する」を参照してください。テストが失敗した場合は、次の操作を行います。

  • SQL Server を実行しているコンピュータが使用可能であることを確認します。
  • SQL データベース、テーブル、およびユーザーのアクセス許可が正しく設定されていることを確認します。
  • リモート SQL ログ システム ポリシー ルールが有効になっていることを確認します。
  • 既定でない SQL ポート (1433 以外) が指定された場合、そのポート上で SQL Server を実行しているコンピュータへのアクセスを許可するアクセス ルールを作成します。
  • SQL Server のメモリ クォータを超えていないことを確認します。
  • SQL Server を実行しているコンピュータへの DNS 参照が正常に行われることを確認します。データ暗号化を使用しているときは、すべてのアレイ メンバが、SQL Server を実行しているコンピュータ上の逆引き DNS 参照クエリを解決できるようにしてください。

"クエリの実行中にエラーが発生したため、クエリは停止しました" というエラー メッセージが表示されます。

原因 : SQL Server データベース テーブル上でアクセス許可が適切に構成されていません。

解決方法 : SQL Server を実行しているコンピュータ上で、該当するテーブルでの SELECT アクセス許可が、SQL Server を実行しているコンピュータで認証されるユーザーに付与されていることを確認します。

"ログ削除の失敗" イベントが生成されました。

原因 : 構成が原因で、ログ削除が失敗しました。これは、データベース上でのロックに起因するものである可能性があります。

解決方法 : osql ユーティリティを実行します。このユーティリティは、SQL Server を実行しているコンピュータの \Program Files\Microsoft SQL Server\80\Tools\Binn\ フォルダにあります。コマンド プロンプトで、次のように入力します。

OSQL.EXE" -E -S <サーバー名>\msfw
そして、コマンド プロンプトで、次のように入力します。
sp_who2
Go
SQL オブジェクトへのセッションの一覧が表示されます。

セッションのトラブルシューティング

どのような問題がありますか?

Microsoft ファイアウォール サービスのパフォーマンス カウンタにある現在のユーザー数が、セッション ビューに表示されているセッション数より多いように思われます。

原因 : ISA Server におけるセッションとは、IP アドレスとユーザー名の固有の組み合わせです。1 つの接続が特定の IP アドレスの新しいセッションと見なされるのは、そのアドレスに対応する一意のユーザーがログオンした場合のみです。一方、システム モニタでは、ISA Server と異なり、すべての接続がカウントされます。

レポートのトラブルシューティング

どのような問題がありますか?

レポートに空のデータが含まれます。

原因 : レポートを Internet Explorer から保存できるのは、ISA Server の管理が実行されているコンピュータのみです。他のコンピュータのレポートには、空のデータが表示されるか、空のフレームと "Web サイトを表示できません" というメッセージが表示されます。

解決方法 : 他のコンピュータでレポートを表示するには、そのレポートを公開します。手順については、「レポートを公開する」を参照してください。

レポートにはユーザーからの要求は表示されていませんが、このユーザーに対してトラフィックが ISA Server を通過しています。

原因 : ISA Server では、ユーザーからの要求は、完了した場合にのみカウントされます。要求の処理に 1 日以上かかる場合は、要求は完了した日のみにカウントされます。

解決方法 : 翌日のレポートで、要求の詳細を確認してください。

警告のトラブルシューティング

どのような問題がありますか?

ISA Server が、警告定義に構成されている動作を実行しません。

原因 : 警告定義に動作を構成するときは、その動作を実行するアカウントを指定できます。指定したアカウントに "バッチ ジョブとしてログオン" アクセス許可がない場合、動作は実行されません。

解決方法 : 動作を実行するユーザーに、その動作を実行するためのアクセス許可を付与します。"バッチ ジョブとしてログオン" アクセス許可の割り当てについては、Windows ヘルプを参照してください。

イベントが発生したときに電子メールで通知を送信するよう構成されている警告定義が、正しく機能しません。

原因 : どの SMTP サーバーが電子メールによる通知を送信するよう構成されているのかを確認します。それが外部 SMTP サーバーの場合は、ローカル ホストに外部 SMTP サーバーへのアクセスを許可するアクセス ルールを作成する必要があります。

解決方法 : SMTP を使用して、ローカル ホストから外部ネットワークにアクセスできるようにするアクセス ルールを作成します。手順については、「アクセス ルールを作成する」を参照してください。


アドイン

アドインには、Microsoft またはサード パーティ ベンダが開発したアプリケーション フィルタと Web フィルタがあります。これらのアドインを使用することで、Internet Security and Acceleration (ISA) Server 2004 のフィルタ機能はさらに強化されます。ここでは、アドインと、その構成手順について説明します。

  • アドイン : 概念
  • アドイン : 操作方法
  • 展開シナリオ : SMTP フィルタ

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アドイン : 概念

ここでは、Microsoft またはサード パーティ ベンダが開発したアドイン、すなわちアプリケーション フィルタおよび Web フィルタについて説明します。これらのアドインを使用することで、Internet Security and Acceleration (ISA) Server 2004 のフィルタ機能はさらに強化されます。

  • 拡張性の概要
  • アプリケーション フィルタ
  • Web フィルタ

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


拡張性の概要

セキュリティのポリシーと実装は組織によって異なります。また、トラフィックの量やコンテンツの形式によっても、生じる問題はさまざまです。大規模な組織のセキュリティとパフォーマンスの要件すべてを 1 つの製品やベンダで満たすことはできないため、Microsoft Internet Security and Acceleration (ISA) Server 2004 は高い拡張性を備えています。ISA Server には、カスタム開発向けの広範なソフトウェア開発キットがあります。また、多数のベンダから、ISA Server を拡張し、統合する、互換性のある補完ソリューションが提供されています。このようなサード パーティ製品として、ウイルス スキャン、構文分析などのコンテンツ セキュリティ ツールや、リアルタイム監視、リモート管理、サイト ブロック、URL (Uniform Resource Locator) 分類、レポートなどの管理ツールがあります。ISA Server Software Development Kit には、拡張機能やアドイン コンポーネントを開発するための詳細な API ドキュメント、手順説明、およびソース コードのサンプルがあります。

ISA Server では、次の拡張性機構を使用します。

  • 拡張可能な管理。すべての管理オプションにプログラムから読み取り/書き込みアクセスを行うことで、管理コンポーネント オブジェクト モデル (COM) オブジェクトを使用してスクリプトや管理ツールを記述できます。
  • アプリケーション フィルタ。あらゆるデータ ストリームの傍受、分析、または変更を行うアプリケーション フィルタを開発できます。
  • Web フィルタ。Internet Server API (ISAPI) に基づいて、HTTP (ハイパーテキスト転送プロトコル) トラフィックおよび FTP (ファイル転送プロトコル) トラフィックの参照、分析、ブロック、リダイレクト、または変更を行うための Web フィルタを作成できます。
  • 拡張可能なユーザー インターフェイス。Microsoft 管理コンソール (MMC) スナップインを使用して、ISA Server インターフェイスを拡張できます。
  • 拡張可能な警告。イベントに応答して自動的に起動する新しいイベントやスクリプトを定義できます。
  • 拡張可能な記憶域。記憶域に関する追加情報を ISA Server の構成に登録して、アドイン フィルタおよびツールの管理を集中化できます。

アドインのインストール

サード パーティ ベンダが開発したアプリケーション フィルタと Web フィルタを、ISA Server コンピュータにインストールできます。エンタープライズ環境にアドインをインストールするときは、必ずアレイの各メンバにアドインをインストールしてください。インストールの問題を回避するには、複数のアレイ メンバにアドインを同時にインストールしないでください。

アレイ管理者とエンタープライズ管理者は、ISA Server コンピュータにアドインをインストールして登録できます。ISA Server 管理者は、ローカル コンピュータの管理者グループに属している必要はありません。アレイ管理者またはエンタープライズ管理者がアドインを登録すると、ネットワーク サービス アカウントで実行される Microsoft ファイアウォール サービス プロセスに、アドインが読み込まれます。

エンタープライズ レベルのアドイン

アドインは、エンタープライズ レベルおよびアレイ レベルで構成できます。アドインがエンタープライズ レベルで有効になっているときは、各アレイにもそのアドインが適用されます。アドインがエンタープライズ レベルで無効になっているときは、アレイ管理者が各アレイに対してそのアドインを有効にすることができます。エンタープライズ レベルで有効なアドインを、アレイ レベルで無効にすることはできません。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アプリケーション フィルタ

Internet Security and Acceleration (ISA) Server 2004 のアプリケーション フィルタは、Microsoft ファイアウォール サービスに追加のセキュリティ レイヤを提供します。アプリケーション フィルタは、ファイアウォール サービス内のセッションに関連付けられたデータ ストリームやデータグラムにアクセスすることができます。アプリケーション フィルタは、ファイアウォール サービスに登録され、アプリケーション レベルのプロトコル ストリームまたはデータグラムの一部またはすべてを処理します。アプリケーション フィルタは、認証やウイルス チェックといった、プロトコル固有のタスクやシステム固有のタスクを実行することができます。ここでは、ISA Server で提供されているアプリケーション フィルタについて説明します。

  • FTP アクセス フィルタ
  • H.323 フィルタ
  • 侵入検出フィルタ
  • RPC フィルタ
  • SMTP フィルタ
  • SOCKS フィルタ
  • ストリーミング メディア アプリケーション フィルタ
  • Web プロキシ フィルタ

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


FTP アクセス フィルタ

ISA Server の FTP アクセス フィルタは、SecureNAT クライアントから Microsoft ファイアウォール サービスへ FTP (ファイル転送プロトコル) 要求を転送します。このフィルタは、FTP が要求する 2 次ポートを動的に開き、SecureNAT クライアントに必要なアドレス変換を実行します。

FTP のプロトコルは作成できますが、このプロトコルは FTP アクセス フィルタの持つすべての機能を提供しません。次に、ユーザー定義の FTP プロトコルと FTP アクセス フィルタとの相違点を説明します。

  • FTP アクセス フィルタは、2 次接続用の特定のポートを動的に開きます。一方プロトコル定義は、ある範囲の 2 次ポートを開きます。
  • FTP アクセス フィルタは、2 次接続に必要なアドレス変換を実行することにより、クライアントを保護します。
  • FTP アクセス フィルタには読み取り専用の FTP プロトコル定義が含まれ、読み取りアクセス許可と書き込みアクセス許可が区別されるため、アクセス許可の調整が可能になります。

FTP アクセス フィルタは、次のプロトコル定義を使用します。これらは、ISA Server のインストール時に、フィルタと共にインストールされます。

  • FTP クライアント読み取り専用
  • FTP クライアント
  • FTP サーバー

FTP アクセス フィルタを特定のルールに適用する手順については、「FTP フィルタを構成する」を参照してください。

既定では、FTP プロトコルおよび FTP サーバー プロトコルに FTP アクセス フィルタが適用されます。プロトコルの詳細については、「プロトコル」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


H.323 フィルタ

ISA Server には、NetMeeting 3.0 以降などの H.323 対応アプリケーションが ISA Server を通過できるようにする、H.323 フィルタが含まれています。これにより、インターネットを使用している企業間で、リッチ マルチメディアおよびリアルタイム コラボレーション機能を使用できるようになります。部門間ファイアウォールを展開している組織では、このテクノロジを使用してイントラネット上での社員同士のコミュニケーションを促進することもできます。

さらに、H.323 フィルタは、クライアントの IP アドレスを隠し、必要に応じてアクセスを制限することで、内部クライアントとインターネット間の通信を保護します。

H.323 フィルタの構成手順については、「H.323 フィルタを構成する」を参照してください。

H.323 プロトコル

H.323 プロトコルは、サービスの品質 (QoS) が保証されないパケットベース ネットワーク上でのリアルタイム マルチメディア会議および通信を可能にする標準セットです。この標準は、さまざまな用途に対応するよう開発されました。インターネット上では音声の品質が不十分であったため、通信の一部をインターネット上で、もう一部を公衆交換電話網 (PSTN) 上で行えば改善が見られるのではないかという提案がありました。H.323 標準は、標準 PSTN 電話およびコンピュータベースのクライアント間の通信も提供します。

H.323 は、対応するコンポーネント (ターミナル、ゲートウェイ、ゲートキーパー、および Multipoint Control Unit (MCU)) がオーディオ、ビデオ、およびマルチポイント会議通信でどのように使用されるかを定義します。H.323 標準は、ゲートキーパーによって提供される必須およびオプションのサービスを定義します。H.323 プロトコル標準は、ポイントツーポイントおよびマルチポイント会議の両方において、呼の制御および管理に対処します。また、LAN と PSTN デバイス間だけでなく、H.32x ターミナル間でも呼を接続できるようにするゲートウェイの運用性も定義します。

既定では、H.323 フィルタは H.323 プロトコルに適用されます。プロトコルの詳細については、「プロトコル」を参照してください。

H.323 へのアクセスの制限

H.323 プロトコルへのアクセスを制限するアクセス ルールを作成できます。たとえば、クライアントによるビデオ、T120 データ共有、および発信呼への H.323 アクセスを拒否できます。着信呼プロトコルへの H.323 クライアント アクセスのみを許可するアクセス ルールを作成できます。ISA Server は明示的に指定されている場合にのみアクセスを許可するため、このプロトコルのみが許可されます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


侵入検出フィルタ

ISA Server 2004 には次の侵入検出フィルタが含まれています。

  • DNS 侵入検出フィルタは、DNS サーバー公開ルールで機能します。このフィルタは、内部ネットワークへのすべての着信方向の DNS トラフィックを傍受し分析します。
  • POP3 アプリケーション フィルタは、POP3 (Post Office Protocol 3) バッファ オーバーフロー アタックをチェックします。

DNS フィルタ

ISA Server と共にインストールされる DNS アプリケーション フィルタは、内部ネットワークへの DNS トラフィックを傍受し分析します。DNS フィルタは ISA Server の侵入検出機構のバックボーンとなるものです。侵入検出によって、ネットワークに対するアタックの試行が感知され、アタックがあった場合には、構成された一連の動作または警告が実行されます。侵入者を検出するために、ISA Server ではネットワーク トラフィックとログのエントリを一般的なアタック方法と照合します。疑わしい動作を検出すると、警告がトリガされます。動作には、接続の終了、サービスの終了、電子メール警告、ログなどがあります。

手順については、「一般的なアタックの侵入検出を有効にする」および「DNS アタックの侵入検出を有効にする」を参照してください。

侵入検出を有効にすると、次のうちのどの侵入が警告をトリガするかを構成できます。

  • すべてのポートへのアタックのスキャン
  • 列挙されたポートへのアタックのスキャン
  • IP half scan アタック
  • Land アタック
  • Ping of death アタック
  • UDP bomb アタック
  • Windows out-of-band アタック

さらに、次の DNS アタックのうちどの DNS アタックが警告をトリガするかを構成できます。

  • DNS ホスト名のオーバーフロー。ホスト名に対する DNS 応答が一定の長さ (255 バイト) を超えた場合に、DNS ホスト名のオーバーフローが発生します。ホスト名の長さをチェックしないアプリケーションでは、このホスト名をコピーするときにオーバーフロー内部バッファを返す場合があります。そのために、リモート攻撃者による対象のコンピュータでの任意のコマンド実行を許可してしまうおそれがあります。
  • DNS リソース データ長のオーバーフロー。 インターネット プロトコル (IP) アドレスに対する DNS 応答には、長さフィールドが含まれています。このフィールドは、4 バイトにする必要があります。それより大きな値を持つ DNS 応答をフォーマットすると、DNS 参照を実行しているアプリケーションに内部バッファのオーバーフローが発生し、リモート攻撃者による対象のコンピュータでの任意のコマンド実行を許可してしまうおそれがあります。
    ISA Server では、RDLength の値が残りの DNS 応答のサイズを超過しないかどうかもチェックします。
  • DNS ゾーン転送。クライアント システムが DNS クライアント アプリケーションを使用して、任意の送信元ポート上の内部 DNS サーバーからゾーンを転送すると、DNS ゾーン転送が発生します。

すべてのポートへのアタックのスキャン

この警告は、構成済みの数のポートを超えるアクセスが試行されたことを通知します。ユーザーは、アクセス可能なポートの数を示すしきい値を指定できます。

列挙されたポートへのアタックのスキャン

この警告は、各ポートの応答を調べる方法で、コンピュータ上で実行されたサービスのカウントが行われたことを通知します。

この警告が発生した場合は、ポート スキャンの発生元を識別する必要があります。対象のコンピュータで実行しているサービスとこれを比較してください。また、スキャンの発生元と目的も識別します。許可されていないアクセスを示すような記録がないかどうか、アクセス ログを確認してください。許可されていないアクセスを示すような記録を検出した場合は、システムが危害を受けたものと見なし、適切な処置を講じる必要があります。

IP half scan アタック

この警告は、無効なフラグを持つ TCP パケットを送信する試行が繰り返し行われたことを通知します。

通常の TCP 接続時は、送信元は、宛先システム上のポートに SYN パケットを送信することによって、接続を開始します。サービスがそのポートをリッスンしている場合、サービスは SYN/ACK パケットで応答します。すると、接続を開始しているクライアントは ACK パケットで応答し、接続が確立されます。宛先ホストは、指定されたポートで接続を待機していない場合、RST パケットで応答します。ほとんどのシステム ログでは、送信元から最終的な ACK パケットが受信されるまで、接続の完了がログに記録されません。この流れに従わない別の種類のパケットを送信することによって、接続がログに記録されずに、ターゲット ホストから有益な応答を引き出すことが可能です。これは、スキャン対象のホストでログ エントリが生成されないため、TCP half scan またはステルス スキャンとして知られています。

この警告が発生した場合は、スキャンが発生したアドレスをログに記録します。必要に応じて、ISA Server ルールを構成し、スキャンの発生元からのトラフィックをブロックします。

Land アタック

この警告は、宛先 IP アドレスおよびポートと一致する、偽造された送信元 IP アドレスおよびポート番号で TCP SYN パケットが送信されたことを通知します。アタックに成功すると、TCP の実装でループが発生し、コンピュータに障害が発生するおそれがあります。

Ping of death アタック

この警告は、最大 IP パケット サイズを超えるデータを含む IP フラグメントを受信したことを通知します。アタックに成功すると、カーネル バッファがオーバーフローし、コンピュータに障害が発生します。

UDP bomb アタック

この警告は、無効なユーザー データグラム プロトコル (UDP) パケットの送信が試行されたことを通知します。一部の古いオペレーティング システムでは、特定のフィールドに無効な値を含んでいる UDP パケットを受信すると、障害が発生します。対象のコンピュータに障害が発生した場合、原因の特定が困難なことがよくあります。

Windows out-of-band アタック

この警告は、ISA Server が保護しているコンピュータに out-of-band denial-of-service アタック が試行されたことを通知します。このアタックに成功すると、コンピュータに障害が発生するか、またはアタックを受けやすいコンピュータがネットワークに接続できなくなります。

POP フィルタ

POP (Post Office Protocol) フィルタは、内部ネットワークへの POP トラフィックを傍受し分析します。具体的には、アプリケーション フィルタが POP バッファ オーバーフロー アタックをチェックします。

POP バッファ オーバーフロー アタックは、リモート攻撃者が、サーバーの内部バッファをオーバーフローさせる方法で POP サーバーのルートにアクセスしようとする際に発生します。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


RPC フィルタ

Microsoft Internet Security and Acceleration (ISA) Server は、ネットワーク外部にあるクライアントと、ネットワーク内部にあるリモート プロシージャ コール (RPC) サーバー間のすべての RPC のトラフィックを処理します。ISA Server RPC フィルタを使用すると、1 つまたは複数のユニバーサル一意識別子 (UUID) インターフェイスを RPC プロトコルの定義として指定できます。ISA Server 公開ルールでこのプロトコルの定義がそのサーバーに使用されて、外部クライアントが内部 RPC サーバー上の UUID インターフェイスにアクセスできるようになります。

RPC フィルタは、ユーザー定義の RPC プロトコルを含む RPC トラフィックのみに適用されます。別のプロトコルをトンネルで通過する RPC トラフィックには適用されません。たとえば、このフィルタは、HTTP を経由する RPC や XML を経由する RPC には影響しません。プロトコルの詳細については、「プロトコル」を参照してください。

Exchange サーバーの公開と RPC フィルタ

リモート サイトから Exchange サーバーにアクセスする一般的な方法は、完全 Microsoft Outlook® MAPI クライアントを使用する方法です。ユーザーは、企業ネットワークに直接接続するときには、電子メール用と同一の完全 Outlook MAPI クライアントを使用することを好みます。ファイアウォールとセキュリティの管理者の課題は、完全 Outlook MAPI クライアントのリモート アクセス接続をセキュリティで保護する方法です。Outlook MAPI クライアントのアクセスで必要とされる、Microsoft Exchange RPC サービスへのリモート アクセスでは、インターネットのエッジ ファイアウォール上に静的に多数のポートを開くように要求できます。Exchange RPC サービスへのリモート アクセスを許可するために静的に多数のポートを開く必要があることが、リモートの場所から Outlook の改善されたメール機能を有効にする際の障壁になっていました。

従来のファイアウォールでは、このタイプのアクセスを有効にするために、ファイアウォール上に多数のポートを静的に開く必要があったため、セキュリティとファイアウォールの管理者に、完全 Outlook MAPI クライアントにリモート アクセスを許可することを躊躇させていました。重要な問題となるのは、RPC サービスと DCOM サービスを攻撃するように設計されたウイルスとワームの危険性です。RPC アプリケーション レイヤ対応でない従来のファイアウォールを使用している場合、RPC ワームがこのポート番号を使用してネットワークを攻撃する可能性があります。このような攻撃が Exchange サーバーに感染し、さらに企業ネットワーク上の他のコンピュータにも感染する場合があります。

ISA Server RPC フィルタを使用すると、企業の Exchange サーバーとの Outlook MAPI 接続を強制的にセキュリティで保護できます。RPC フィルタは、企業ネットワークからの発信 RPC ワーム接続をブロックします。このフィルタにより、RPC ワーム接続が企業ネットワークからは発信されなくなり、企業ネットワーク上のホストによるインターネット上のコンピュータの感染を防ぐことができます。

また、RPC フィルタを使用して、Outlook MAPI クライアントからの RPC 接続をセキュリティで保護することもできます。この機能を有効にした場合、リモート Outlook MAPI クライアントからの接続要求は、セキュリティで保護された暗号化チャネルを介して送信する必要があります。接続がセキュリティで保護されていない場合、ISA Server はそのクライアント要求を破棄します。これにより、ユーザーではなく ISA Server がセキュリティのレベルを制御できるようになります。

手順については、「RPC フィルタを構成する」を参照してください。

Outlook クライアント用の RPC フィルタ

以下では、最初の RPC エンドポイント マッパー接続を、Outlook MAPI クライアントと ISA Server との間に確立する場合について説明します。

  1. Outlook MAPI クライアントは、ISA Server の外部インターフェイス上に TCP ポート 135 への接続を確立します。
  2. RPC フィルタは、その接続のパケットをステートフルに検査します。無効な RPC 通信が検出された場合、その接続は破棄されます。
  3. Outlook MAPI クライアントからの有効な RPC 接続は、Exchange サーバーに転送されます。Exchange サーバーは、クライアントがその後のデータ接続に使用するポート番号で、要求に応答します。
  4. ISA Server はその応答を傍受し、ポート番号を、Outlook MAPI クライアントが ISA Server の外部インターフェイス上で使用できる有効なポート番号に変更します。
  5. ISA Server は、そのポート番号を Outlook MAPI クライアントに転送します。このポート番号が、その後の Exchange サーバーとの通信に使用されます。

以下は、エンドポイント マッパー 接続が確立された後の Outlook MAPI クライアントと Exchange サーバーとの通信手順です。

  1. Outlook MAPI クライアントは、ISA Server で使用するように指定された MAPI ポートへの接続を確立します。ISA Server は RPC コマンドをスクリーニングし、セキュリティ上の弱点がチャネル内に含まれていないことを確認します。
  2. Outlook MAPI クライアントから送信された情報は、ISA Server によって Exchange サーバーの RPC サービスに転送されます。
  3. Exchange サーバーは Outlook MAPI クライアントに応答し、ISA Server がその応答を傍受します。RPC フィルタはこれらの応答をスクリーニングし、送信元ポート番号を変更します。
  4. ISA Server は、応答を Outlook MAPI クライアントに転送します。

厳密な RPC 準拠

発信 RPC プロトコルは、厳密に RPC 準拠となるように、ルールごとに構成できます。既定では、厳密に準拠することが RPC プロトコルに強制されています。厳密に準拠することにより、DCOM などの RPC タイプのプロトコルは、ISA Server 経由が許可されなくなります。

手順については、「RPC フィルタを構成する」を参照してください。


SMTP フィルタ

ISA Server 2004 は高機能なアプリケーション レイヤ対応ファイアウォールであり、危険なウイルスやワームが含まれている不要な電子メール メッセージを阻止するように構成できます。ISA Server では SMTP メッセージの検査を行い、企業ネットワークへの危険なコードおよび不要な電子メール メッセージの侵入をブロックします。

ISA Server は次の 2 つのコンポーネントを使用して、企業ネットワークを保護します。

  • SMTP フィルタ。詳細については、「SMTP フィルタ」を参照してください。
  • SMTP メッセージ スクリーナ。詳細については、「メッセージ スクリーナ」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SMTP フィルタ

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ISA Server コンピュータのポート 25 に着信するすべての SMTP (簡易メール転送プロトコル) トラフィックを傍受します。SMTP フィルタは、トラフィックを受け付けて検査し、ルールで許可されている場合のみそのトラフィックを通過させます。

SMTP フィルタをメッセージ スクリーナと連動させて、コンテンツをより厳密に検査することができます。メッセージ スクリーナの詳細については、「メッセージ スクリーナ」を参照してください。

既定では、着信トラフィックに関して、SMTP プロトコルと SMTP サーバー プロトコルに SMTP フィルタが適用されます。プロトコルの詳細については、「プロトコル」を参照してください。

ISA Server が Exchange Server コンピュータ間のフォレスト間の通信をサポートするのは、その通信がセキュリティで保護されたチャネル上で TLS を使用して行われる場合に限られます。

ブロックされた電子メール メッセージのログ

SMTP フィルタのいずれかの条件に反しているために SMTP コマンドがブロックされた場合、ブロックされたメッセージは、SMTP フィルタ イベント警告を有効にした場合のみログに記録されます。既定では、この警告が無効になります。手順については、「警告定義を有効にする」を参照してください。

コマンドの処理

SMTP フィルタは、インターネット上の SMTP サーバーおよびクライアントから送信された SMTP コマンドを調査します。フィルタは、SMTP コマンドを傍受し、それらが所定のサイズを超えているかどうかを確認します。設定された上限より大きな SMTP コマンドは、SMTP サーバーに対する攻撃と見なされ、SMTP フィルタによって中断されることがあります。フィルタ処理の対象となるコマンドを構成する手順については、「SMTP フィルタ バッファ オーバーフローのしきい値を構成する」を参照してください。

各 SMTP コマンドには、最大長が関連付けられています。この長さは、各コマンドで使用できるバイト数を表します。攻撃者から送信されたコマンドが、そのコマンドで使用可能なバイト数を超えている場合、ISA Server は接続を破棄し、攻撃者が社内のメール サーバーと通信できないようにします。

定義されていて無効になっているコマンドをクライアントが使用すると、フィルタによってその接続が閉じられます。SMTP フィルタが認識しないコマンドをクライアントが使用すると、そのメッセージに対してフィルタ処理が実行されません。クライアントが TURN コマンドを使用すると、フィルタによってすべての電子メール メッセージが破棄されます。

RFC は、AUTH コマンドを MAIL FROM コマンドの一部と見なします。このため、SMTP フィルタが MAIL FROM コマンドをブロックするのは、そのコマンドの長さが、発行された MAIL FROM コマンドと AUTH コマンド (AUTH が有効である場合) の長さを上回った場合に限られます。たとえば、MAIL FROM の最大長を 266 バイト、AUTH の最大長を 1,024 バイトとして指定すると、MAIL FROM コマンドが 1,290 バイトを超えた場合のみメッセージがブロックされます。

SMTP フィルタは、STARTTLS コマンドや TLS コマンドなど、SSLで 暗号化された SMTP トラフィックを検査しません。


メッセージ スクリーナ

Microsoft Internet Security and Acceleration (ISA) Server 2004 には、メール リレー、ウイルスの侵入、およびネットワーク上で送信される不要な添付ファイルを防止するために役立つ 2 つのコンポーネントが含まれています。これらは SMTP (簡易メール転送プロトコル) フィルタおよびメッセージ スクリーナです。メッセージ スクリーナは、ISA Server のオプションのコンポーネントで、ISA Server や ISA Server の管理とは別にインストールできます。

SMTP メッセージ スクリーナは SMTP フィルタと共に機能し、ISA Server コンピュータの TCP ポート 25 に到着する着信方向の SMTP トラフィックをすべて傍受します。メッセージ スクリーナは、スパムをフィルタ処理するために設計されています。その主な目的は、不要な送信者やドメインから送信されたキーワード、添付ファイル、および電子メール メッセージを仕様に従ってフィルタ処理することです。これはインターネット インフォメーション サービス (IIS) 6.0 または IIS 5.0 を実行している SMTP サーバーにインストールする必要があります。このサーバーが ISA Server コンピュータである必要はありません。たとえば、メッセージ スクリーナは ISA Server コンピュータ、Exchange Server コンピュータ、または IIS 6.0 または IIS 5.0 を実行しているその他の内部 SMTP サーバーにインストールできます。

注

  • ISA Server コンピュータにメッセージ スクリーナをインストールしない場合は、メッセージ スクリーナ コンピュータをリモート管理コンピュータのコンピュータ セットに追加してください。手順については、「コンピュータ セットを変更する」を参照してください。

SMTP メッセージ スクリーナは、以下に基づいて着信方向のメールをフィルタ処理できます。

  • MAIL FROM SMTP コマンドで送信される値。これは送信者とドメイン名のフィルタに使用されます。
  • 各添付ファイルの Content-Disposition ヘッダー フィールド。このフィールドには通常添付ファイル名と拡張子が含まれています。メッセージ スクリーナは、拡張子、名前、またはサイズを使用して添付ファイルをフィルタ処理できます。
  • キーワードのフィルタ。これは、text/plain または text/html のどちらかのコンテンツの種類のメッセージの件名と本文をフィルタ処理するために使用されます。

SMTP メッセージ スクリーナを構成して、電子メール メッセージを削除したり、後で検査するために電子メール メッセージを一時保管したり、または後で調査および分析するために電子メール メッセージをセキュリティ管理者のアカウントに転送することができます。

たとえば、特定のキーワードを含む不要な電子メール メッセージを送信する一般的なウイルスを考えてみてください。このキーワードを含む電子メール メッセージを受信したときに、次の 3 つの動作のいずれかを行うようにメッセージ スクリーナを構成できます。

  • メッセージの削除
  • メッセージの一時保管
  • メッセージの転送

メッセージ スクリーニングを構成する

次の手順に従って、ISA Server のメッセージ スクリーニングをインストールし、有効にします。

  1. メッセージ スクリーナをインストールします。通常、これは ISA Server コンピュータにはインストールしません。手順については、「メッセージ スクリーナをインストールする」を参照してください。
  2. SMTPCred ツールを構成します。手順については、「SMTPCred ツールを構成する」を参照してください。

ブロックされたメッセージのログ

SMTP メッセージ スクリーナによって許可またはブロックされたメッセージは、メッセージ スクリーナを実行しているコンピュータ上のログ ファイルにローカルで記録されます。このファイルは既定では %ProgramFiles%\Microsoft ISA Server\ISALogs にあります。SMTP ログの詳細については、「SMTP メッセージ スクリーナのログ フィールド」を参照してください。

注

  • ISA Server コンピュータでメッセージ スクリーナを実行しておらず、メッセージ スクリーナ コンピュータに存在しないメッセージ スクリーナ ログのフォルダの場所を指定している場合、フォルダはそのコンピュータが再起動された後にのみそのコンピュータ上に作成されます。


SOCKS フィルタ

ISA Server の SOCKS フィルタは、SOCKS アプリケーションからの要求を Microsoft ファイアウォール サービスに転送します。ISA Server は、アクセス ポリシー ルールをチェックして、SOCKS クライアント アプリケーションがインターネットと通信できるかどうかを決定します。

ISA Server をインストールすると、すべてのネットワークに対して SOCKS フィルタが無効になります。SOCKS 要求を任意のポートでリッスンするように ISA Server を構成できます。通常、SOCKS アプリケーションはポート 1080 に要求を送信します。既定のポートは変更できます。

手順については、「SOCKS フィルタを構成する」を参照してください。


ストリーミング メディア アプリケーション フィルタ

ストリーミング メディア アプリケーション フィルタは、ファイアウォール クライアントと SecureNAT クライアントが、以下のストリーミング メディア プロトコルを使用して Microsoft Windows Media® Technologies (WMT) サーバーなどのメディア ストリーミング サーバーにアクセスできるようにします。

Microsoft Internet Security and Acceleration (ISA) Server 2004 には 3 つのアプリケーション フィルタが含まれており、それらによって一般的なストリーミング メディア プロトコルにクライアントがアクセスできるようにしています。

  • RTSP フィルタ。アクセス ルールに使用される RTSP (Real Time Streaming Protocol) およびサーバー公開ルールに使用される RTSP Server に適用されます。有効である場合は、このアプリケーション フィルタを使用して Windows Media Player 9 以降、RealPlayer G2 以降、QuickTime 4、およびその他のクライアント アクセスとサーバーの公開を許可することができます。
  • MMS フィルタ。アクセス ルールに使用される Microsoft Windows Media (MMS) およびサーバー公開ルールに使用される MMS Server プロトコルに適用されます。有効である場合は、このアプリケーション フィルタを使用して Windows Media Player 8 (Windows XP の既定のクライアント) クライアントのアクセスおよびサーバーの公開を許可することができます。
  • PNM フィルタ。アクセス ルールに使用される PNM (Progressive Networks Protocol) およびサーバー公開ルールに使用される PNM Server に適用されます。有効である場合は、このアプリケーション フィルタを使用して RealPlayer クライアントのアクセスおよびサーバーの公開を許可することができます。

プロトコルの定義へのアクセスを制限するアクセス ルールを作成できます。たとえば、クライアントのアクセスを Windows Media に限定することができます。クライアント MMS (Windows Media プロトコル) を許可するプロトコル ルール、およびクライアント PNM (RealNetworks protocol) の使用を拒否する別のプロトコル ルールを作成できます。

ストリーミング メディア フィルタを無効にすると、そのすべてのプロトコル定義も無効になります。Windows Media Technologies、RealNetworks、RTSP の各プロトコル定義を使用するトラフィックがブロックされます。

既定では、ストリーミング メディア フィルタが RTSP、RTSP Server、MMS、MMS Server、PNM、PNM Server の各プロトコルに適用されます。プロトコルの詳細については、「プロトコル」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web プロキシ フィルタ

Web プロキシ フィルタは、Web ベースのトラフィックを要求するクライアントの代わりに、アプリケーション レベルで動作します。このフィルタを無効にすることはできませんが、特定のプロトコルにフィルタが適用されるかどうかを構成することは可能です。既定では、次のように構成されている HTTP (ハイパーテキスト転送プロトコル) に適用されます。

  • 方向が発信方向である。
  • プロトコルの種類が TCP である。
  • ポートが 80 である。

プロトコルの詳細については、「プロトコル」を参照してください。

Web プロキシ フィルタがプロトコルに対して有効であれば、そのプロトコルは、該当する場合に次の機能を使用できます。

  • 認証。詳細については、「認証」を参照してください。
  • HTTP フィルタ。詳細については、「HTTP フィルタ」を参照してください。

Web プロキシ フィルタがプロトコルに対して無効である場合、ISA Server は Web サーバーに接続しているクライアントからの要求を傍受しません。これにより、クライアント要求に対するすべてのキャッシュとその他のプロキシ サービスは無効になります。プロトコルに対してフィルタを無効化 (または適用) する手順については、「プロトコルにアプリケーション フィルタを適用する」を参照してください。

ポート 80 以外のポートでリッスンするカスタム プロトコルを作成して、このプロトコルに Web プロキシ アプリケーション フィルタを適用できます。この方法では、カスタム プロトコルに対して Web プロキシ フィルタ機能を拡張します。


Web フィルタ

外部ベンダによって開発された Web フィルタをインストールして、ISA Server の機能を拡張することができます。Web フィルタを使用すると、内部ネットワークとインターネット間の HTTP (ハイパーテキスト転送プロトコル) 通信の監視、評価、および傍受を行うことができます。

Web フィルタは、Microsoft ファイアウォール サービスが開始されると読み込まれます。Web フィルタは、各 HTTP 要求および応答で発生する多くの特別なフィルタ イベント通知を受信するように構成できます。

ISA Server には、次の Web フィルタがあります。

  • 認証フィルタ
  • HTTP フィルタ
  • リンクの変換

追加のアプリケーション フィルタをインストールおよびアップグレードする

他のベンダが開発した追加のアプリケーション フィルタを ISA Server で使用すると、ISA Server のセキュリティ モデルを拡張できます。

新しいアプリケーション フィルタをインストールするときは、ファイアウォール サービスを再起動する必要があります。

Web フィルタをアップグレードするときは、HTTP プロトコルの使用を拒否するアクセス ルールを作成することをお勧めします。こうすると、フィルタが再び機能するようになるまで HTTP トラフィックがすべてブロックされます。アップグレード プロセスが完了したら、このルールを削除するか無効にできます。手順については、「アクセス ルールを作成する」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


認証フィルタ

ISA Server にはさまざまな認証スキームが含まれています。以下の Web フィルタによって、新しい認証機構のサポートが可能になります。

  • OWA フォームベース認証 Web フィルタ。これによって、フォームベース (Cookie) 認証を使用して Outlook Web Access サーバーを公開できるようになります。
  • RSA SecurID Web フィルタ。これによって、RSA SecurID 認証を使用して Web 要求を認証できるようになります。
  • RADIUS 認証 Web フィルタ。これによって、RADIUS 認証を使用して Web 要求を認証できるようになります。

ISA Server では、RADIUS を使用して Active Directory を照会することにより、Active Directory およびその他認証データベース内のユーザーを認証できます。Web 公開ルールでも、RADIUS を使用してリモート アクセス接続を認証することができます。

ISA Server は、SecurID の 2 要素認証を使用してリモート接続を認証することができます。これによって、ユーザーは公開された Web サーバーにアクセスするために必要な情報を認識し、必要なものを持っていなければならないため、高度な認証セキュリティが実現されます。

ISA Server は、Outlook Web Access のサイトが使用するフォームを生成して、フォームベース認証を行うことができます。これによって、認証されていないユーザーが Outlook Web Access サーバーにアクセスできなくなるため、Outlook Web Access サイトへのリモート アクセスに対するセキュリティが強化されます。

認証の詳細については、「Web 要求の認証方法」を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


HTTP フィルタ

Microsoft Internet Security and Acceleration (ISA) Server 2004 では、ステートフル フィルタ処理だけでなく、ステートフル インスペクションも行うことができます。ステートフル インスペクションによって、ISA Server はアプリケーション レイヤのコマンドおよびデータを調べることができます。ISA Server では、アタック コードがステートフル フィルタ機構を通過しても、その後、パケットがステートフル インスペクション機構に渡されるため、アタック コードをブロックできます。ISA Server のステートフル アプリケーション レイヤ フィルタは、HTTP (ハイパーテキスト転送プロトコル) コマンドおよびデータを調べ、企業ネットワーク上の Web サーバーに渡されるパケットをブロックします。このようにして、境界領域ネットワークへのアタックを防ぎます。

HTTP フィルタは、Content-Type HTTP ヘッダーおよび以下に基づいて HTTP 要求をブロックできる Web フィルタです。

  • 要求のペイロード長。手順については、「要求のペイロード長を制限する」を参照してください。
  • URL の長さ。手順については、「要求で指定できる URL を制限する」を参照してください。
  • HTTP 要求メソッド。たとえば、POST、GET、HEAD などの要求メソッドが使用されます。手順については、「指定した HTTP メソッドをブロックする」を参照してください。
  • HTTP 要求のファイル名拡張子。たとえば、.exe、.asp、.dll などのファイル名拡張子があります。手順については、「指定した HTTP 拡張子をブロックする」を参照してください。
  • HTTP 要求ヘッダーまたは応答ヘッダー。たとえば、要求ヘッダーまたは応答ヘッダーには、Location、Server、Via などがあります。手順については、「指定した HTTP ヘッダーをブロックする」を参照してください。
  • 要求ヘッダー、応答ヘッダー、または本文の署名やパターン。手順については、「指定した HTTP 署名をブロックする」を参照してください。

HTTP フィルタは、セキュリティで保護された HTTP アクセスを実現するために、既定の設定で最初に構成されます。ただし、展開シナリオによっては、これらの既定の設定をカスタマイズする必要があります。たとえば、Web 公開シナリオの場合は、OPTIONS、TRACE、GET、HEAD、および POST メソッドを許可する必要があります。

注

  • 特定の署名をブロックすると、トラフィックを HTTP 上でトンネリングし、要求ヘッダー、応答ヘッダー、および本文に特定のパターンが含まれるアプリケーション (たとえば、Windows Messenger) がブロックされます。HTTP 署名のブロックでは、異なる種類のコンテンツ エンコードや範囲の要求を使用するアプリケーションはブロックされません。
  • すべての HTTP 要求および応答が UTF-8 でエンコードされていることが前提となります。異なるエンコード方法が使用されている場合は、署名ブロックは行われません。

拡張子の構成

HTTP フィルタが、特定のファイル名拡張子を許可または拒否するよう構成されている場合、フィルタは最初に拡張子を調べます。ISA Server では、最後のピリオド (.) の後から、スラッシュ (/) または疑問符 (?) の前まで、あるいは、/ または ? がない場合は URL の最後までを拡張子として見なします。さらに、ISA Server が拡張子と思われる文字 (たとえば、.exe、.dll、.com) をピリオドの後に見つけた場合、HTTP フィルタはこれらを拡張子として使用します。

次の表は、クライアント要求の例と ISA Server が HTTP フィルタに使用するファイル名拡張子の一覧です。

クライアント要求 | 拡張子
http://server/path/file.ext | .ext
http://server/path/file.htm/additional/path/info.asp | .asp
http://MyServer/Path.exe/file.ext | .exe

この表の最後の例で、HTTP フィルタで .exe 拡張子が許可されている場合、フィルタで .ext 拡張子が許可されていなくても要求は許可されます。この問題に対処するには、URL の .ext 署名を拒否します。手順については、「指定した HTTP 署名をブロックする」を参照してください。

ルールごとのフィルタ

HTTP フィルタは、Web 公開ルールおよびアクセス ルールについて、ルールごとに構成できます。各ルールに対して、ブロックするメソッド、拡張子、および署名を構成できます。

ヘッダーの最大の長さは、HTTP に適用されるすべてのルールで構成される HTTP フィルタ プロパティです。既定では、32,768 バイトに設定されています。手順については、「HTTP 要求におけるヘッダーの最大サイズを制限する」を参照してください。

HTTP フィルタが要求を拒否すると、拒否の理由が Web プロキシ ログの "フィルタ情報" フィールドに保存されます。

重要

  • HTTP フィルタを構成する場合、ハイビット文字をブロックするよう指定できます。このオプションを選択した場合、DBCS または Latin 1 文字を含む URL はブロックされます。これは、Outlook® Web Access の公開、SharePoint™ Portal Server の公開、および GET 要求が 2 バイト文字セットの文字を含むパラメータを渡す場合などに影響する可能性があります。手順については、「要求で指定できる URL を制限する」を参照してください。

一般的な構成の詳細については、「ISA Server 2004 の HTTP フィルタ」(http://www.microsoft.com/) を参照してください。


リンクの変換

公開された Web サイトには、コンピュータの内部名への参照が含まれていることがあります。外部クライアントに対しては、ネットワーク全体ではなく、ISA Server のみを使用可能にするため、これらの参照は壊れたリンクとして表示されます。ISA Server にはリンクの変換 Web フィルタが含まれています。これを使用すると、内部コンピュータ名を公開されている既知の名前にマップする定義の辞書を作成できます。

詳細については、次の項目を参照してください。

  • リンクの変換の動作
  • リンクの変換の辞書

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リンクの変換の動作

ISA Server のリンクの変換は、Web フィルタのビルトイン機能およびその既定の辞書によって Web 公開ルールのリンクの変換を可能にし、単純な公開シナリオの問題を解決します。たとえば、内部 Web サーバーのページに独自のサーバー名 (NetBIOS 名) を指す絶対 URL (Uniform Record Locator) が含まれている場合、リンクの変換フィルタは、外部のネットワーク ユーザーがアクセスできる適切なリンクを返します。さらに、これらの URL に http:// が含まれており、外部ユーザーが https:// を使用して Web サイトに接続しても、ISA Server のリンクの変換によって、http:// ではなく https:// を使用するようにリンクが変更されます。詳細については、「Web ページ内の絶対リンクを置換する」を参照してください。

既定のリンク変換辞書は、標準以外のポートへの要求も変換します。たとえば、ユーザーが ISA Server ファイアウォールの標準以外のポートで公開されている Web サイト (http://www.external.net:8181 など) に接続すると、リンクの変換は、外部クライアントに返す URL にポート番号を追加します。

より複雑な公開シナリオや複雑な Active Server Pages (ASP) コードを使用する場合は、内部 Web サイトが返す名前にマップする辞書定義を構成する必要があります。辞書名のマッピングは、ISA Server で Web 公開ルールごとに構成されます。

リンクの変換が有効な場合、ISA Server は応答の Content-Type ヘッダーも調べて、メッセージの本文にリンクの変換を適用する必要があるかどうかを判断します。他のコンテンツ グループを指定することもできますが、既定では、リンクの変換は HTML ドキュメント コンテンツ グループに対してのみ機能します。

注 :

  • リンクの変換フィルタは、まず Content-Type ヘッダーを調べて、変換を行う必要があるかどうかを判断します。Content-Type ヘッダーがない場合は、Content-location ヘッダーで変換が必要かどうかを調べます。どちらのヘッダーもない場合は、要求された URL のファイル名拡張子を調べます。
  • ISA Server は、内部コンピュータ名など、UTF-8 形式で指定された HTML ドキュメント文字列に対してのみリンク変換を行います。
  • Web サイトに変換が必要なリンクが多数含まれている場合は、ISA Server のパフォーマンスが低下する可能性があります。

    Web 公開ルールでリンク変換辞書を使用すると、リンクの変換フィルタは、次のルールに従ってテキスト文字列をマップします。

    1. フィルタは、辞書に追加された順序で文字列を検索します。
    2. フィルタがテキスト文字列に一致する文字列を見つけると、右側の次の文字を調べ、それが終了文字であるかどうかを判断します。以下の文字が、終了文字として見なされます。
    終了文字
    \t \r \n ; ~ < ! " & '
    ( $ ) * + , / > =
    ? [ \ ] ^ ` { | }
  • 文字列のすぐ右側に終了文字がある場合、フィルタは変換を実行します。

たとえば、"http://IntSalesA" という検索文字列があるとします。http://IntSalesA/Sales/ と http://IntSalesAfrica/ の両方にこの文字列が含まれていますが、"f" は終了文字ではないため、リンクの変換 Web フィルタは、"http://IntSalesA/Sales/" のみを置き換えます。

FTP:// リンクは、既定のリンク変換辞書に自動的には追加されないので注意してください。これらのリンクは明示的に辞書に追加できます。

注意

  • リンク変換辞書にマップされない内部リンクは、そのままユーザーに渡されます。この場合、内部コンピュータの名前が公開され、ハッカーがこれらの内部名に気付く可能性があるため、リスクが大きくなります。意味のある名前を持つコンピュータの場合 (\\Firewall など)、特にリスクが大きくなります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


リンクの変換の辞書

Web 公開ルールに対してリンクの変換を有効にすると、リンクの変換の辞書が自動的に作成されます。ほとんどの場合、既定の辞書にエントリを追加する必要はありません。この辞書には必要に応じてエントリを追加できます。

既定の辞書には次のエントリが含まれています。

  • Web 公開ルール プロパティの [公開先] タブに指定されているコンピュータ名が Web サイト上で使用されている場合は、それがすべて Web サイト名または IP アドレスに置換されます。
    たとえば、ルールによって、fttp://www.microsoft.com に対するすべての要求が、msinternal という内部コンピュータにリダイレクトされる場合、クライアントに返される応答ページに含まれている http://msinternal は、すべて http://www.microsoft.com に置換されます。
  • 既定以外のポートが着信方向の Web 要求リスナで指定されている場合は、応答ページ上のリンクを置換するときにそれが使用されます。既定のポートが指定されている場合は、応答ページ上のリンクを置換するときにそのポートが削除されます。
  • クライアントが ISA Server コンピュータへの要求内で HTTPS を指定している場合、ISA Server は、IIS Server コンピュータからの応答で、すべての HTTP を HTTPS に置換します。

例

たとえば、ISA Server が IIS_A.Org という内部名を持つコンピュータ上のサイトを公開することになっていて、IIS_A.Org が既定の HTTP ポート 80 および SSL ポート 443 で使用可能であるというシナリオを想定してください。ISA Server は、同じ既定のポート上で、www.fabrikam.com というパブリック名を使用してこのサイトを公開します。クライアントは次のような要求を行う場合があります。

GET /dirA HTTP/1.1
Host:www.fabrikam.com

要求内のディレクトリ名はスラッシュ (/) で終わっていないことに注目してください。インターネット インフォメーション サービス (IIS) を実行しているサーバーがこの要求を受信すると、http://IIS_A.Org/dirA/ に設定されている場所のヘッダーを含む 302 応答を自動的に返します。http://IIS_A.Org/dirA/ は、サーバーの内部名、ディレクトリ名、および最後のスラッシュで構成されています。

ISA Server は、応答のヘッダー値を http://www.fabrikam.com/dirA/ に変換します。

この例では、次のエントリがリンクの変換の辞書に自動的に追加されます。

  • http://IIS_A.Org は http://www.fabrikam.com にマップする
  • http://IIS_A.Org:80 は http://www.fabrikam.com にマップする
  • https://IIS_A.Org は https://www.fabrikam.com にマップする
  • https://IIS_A.Org:443 は https://www.fabrikam.com にマップする

最初のクライアント要求が、セキュリティで保護された接続上で SSL を使用して送信された場合、セキュリティ上の理由から、同じコンピュータへのリンクはすべて SSL を使用するように変換されます。次のエントリがリンクの変換の辞書に自動的に追加されます。

  • http://IIS_A.Org は https://www.fabrikam.com にマップする
  • http://IIS_A.Org:80 は https://www.fabrikam.com にマップする
  • https://IIS_A.Org は https://www.fabrikam.com にマップする
  • https://IIS_A.Org:443 は https://www.fabrikam.com にマップする

サイトが既定以外のポート (たとえば HTTP に 81、SSL に 444) を使用している場合、リンクにはそのポート番号が含められます。ポート番号も次のように変換されます。

  • http://IIS_A.Org:81 は http://www.fabrikam.com にマップする
  • https://IIS_A.Org:444 は https://www.fabrikam.com にマップする

同様に、ISA Server が既定以外のポート上 (たとえば HTTP に 82、SSL に 445) のサイトを公開する場合、リンクは次のように、公開されているポートに変換されます。

  • http://IIS_A.Org は http://www.fabrikam.com:82 にマップする
  • http://IIS_A.Org:80 は http://www.fabrikam.com:82 にマップする
  • https://IIS_A.Org は https://www.fabrikam.com:445 にマップする
  • https://IIS_A.Org:443 は https://www.fabrikam.com:445 にマップする

エントリを追加する際のヒント

リンクの変換の辞書のエントリを作成するときは、次のガイドラインに従ってください。

  • 検索文字列の最後に終了文字を付けないでください。たとえば、http://IIS_A.Org/ ではなく、http://IIS_A.Org を使用します。
  • サイト名のエントリを追加するときは、サイト名とポートを含むエントリも追加します。たとえば、http://IIS_A.Org という検索文字列を追加するときは、http://IIS_A.Org:80 という検索文字列も追加します。
  • http:// と https:// の両方を使用します。
  • ディレクトリ構造の変更は、十分注意して行います。
  • 多数のエントリがあり、変換を必要とする多数のリンクを含む Web サイトに適用される辞書は、ISA Server のパフォーマンスに悪影響を及ぼすおそれがあります。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


アドイン : 操作方法

ここでは、Microsoft またはサード パーティ ベンダが開発したフィルタ アドインの使用方法について説明します。これらのアドインを使用することで、Internet Security and Acceleration (ISA) Server 2004 のフィルタ機能はさらに強化されます。

  • フィルタを有効または無効にする
  • H.323 フィルタを構成する
  • 侵入検出フィルタを構成する
  • RSA SecurID の Web フィルタを構成する
  • SOCKS フィルタを構成する
  • SMTP フィルタを構成する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


フィルタを有効または無効にする

フィルタを有効または無効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 (エンタープライズ アドインの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ アドイン

    場所 (アレイ レベル アドインの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • アドイン
  2. 詳細ウィンドウで、[アプリケーション フィルタ] タブまたは [Web フィルタ] タブをクリックし、該当するアプリケーション フィルタまたは Web フィルタをクリックします。
  3. [タスク] タブで、次のいずれかの操作を行います。
    • フィルタを有効にするには、[選択したフィルタの有効化] をクリックします。
    • フィルタを無効にするには、[選択したフィルタの無効化] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • フィルタを無効にすると、該当するプロトコルについてアプリケーション フィルタが無効になります。アプリケーション フィルタを無効にする方法としては、特定のプロトコルにフィルタを適用しないことをお勧めします。
  • アドインは、アレイ レベルとエンタープライズ レベルで有効化できます。アドインがエンタープライズ レベルで有効になっているときは、各アレイにもそのアドインが適用されます。エンタープライズ レベルで有効なアドインを、アレイ レベルで無効にすることはできません。アドインがエンタープライズ レベルで無効になっているときは、アレイ管理者が各アレイに対してそのアドインを有効にすることができます。
  • PPTP フィルタ アドインおよび Web プロキシ フィルタ アドインを無効にすることはできません。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


H.323 フィルタを構成する

H.323 フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft ISA Server 2004
    • <サーバー名>
    • 構成
    • アドイン
  2. 詳細ウィンドウで、[H.323 フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [呼の制御] タブで、次の操作を行います (複数可)。
    • H.323 ゲートキーパーを指定するには、[使用するゲートキーパーを指定する] チェック ボックスをオンにして、H.323 ゲートキーパー サーバーの完全修飾ドメイン名 (FQDN) を入力します。
    • 自分の組織内のユーザーを他の組織のユーザーが呼び出すことができるようにするには、[着信呼を許可する] チェック ボックスをオンにします。
    • DNS ゲートキーパー参照を有効にするには、[DNS ゲートキーパー参照と LRQ をエイリアス解決に使う] チェック ボックスをオンにします。
    • 音声呼を許可するには、[音声を許可する] チェック ボックスをオンにします。
    • ビデオ呼を許可するには、[ビデオを許可する] チェック ボックスをオンにします。
    • T.120 データとアプリケーションの共有を許可するには、[T120 とアプリケーションの共有を許可する] チェック ボックスをオンにします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


侵入検出フィルタを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 に含まれる侵入検出フィルタを構成する方法について説明します。

  • 一般的なアタックの侵入検出を有効にする
  • DNS アタックの侵入検出を有効にする
  • 破棄されたパケットをログに記録する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


一般的なアタックの侵入検出を有効にする

一般的なアタックの検出を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[侵入検出と DNS アタック検出の有効化] をクリックします。
  3. [一般的なアタック] タブで、[侵入検出を有効にする] をクリックします。
  4. 次の中から 1 つまたは複数を選択します。
    • [Windows out-of-band (WinNuke)]。このオプションは、ISA Server が保護しているコンピュータに out-of-band denial-of-service アタックが試行された場合、ISA Server でイベントを生成するときに選択します。
    • [Land]。このオプションは、宛先 IP アドレスおよびポート番号と一致する、偽造された送信元 IP アドレスおよびポート番号で TCP SYN パケットが送信された場合、ISA Server でイベントを生成するときに選択します。
    • [Ping of death]。このオプションは、最大 IP パケット サイズを超えるデータと共に IP フラグメントを受信した場合、ISA Server でイベントを生成するときに選択します。
    • [IP half scan]。このオプションは、宛先コンピュータへの接続の試行が繰り返され、応答する ACK パケットが受信されなかった場合、ISA Server でイベントを生成するときに選択します。
    • [UDP bomb]。このオプションは、無効なユーザー データグラム プロトコル (UDP) パケットの送信が試行された場合、ISA Server でイベントを生成する場合に選択します。アタックが発生するとイベントが生成されますが、動作がトリガされるように、明示的に警告を有効にして構成する必要があります。
    • [Port scan]。このオプションは、各ポートの応答を調べる方法で、コンピュータ上で実行されているサービスのカウントが試行された場合、ISA Server でイベントを生成するときに選択します。このオプションを選択した場合は、以下も指定します。
      • [well-known ポート]。ポート スキャン アタックの検出時に、イベントを生成する前にスキャン可能な well-known ポートの最大数を入力します。well-known ポートは、1 ～ 2048 の範囲にある任意のポートです。
      • [ポート]。ポート スキャン アタックの検出時に、イベントを生成する前にスキャン可能なポートの最大数を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


DNS アタックの侵入検出を有効にする

DNS アタックの侵入検出を有効にするには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[侵入検出と DNS アタック検出の有効化] をクリックします。
  3. [DNS アタック] タブで、[DNS アタックの検出とフィルタを有効にする] をクリックします。
  4. 次の中から 1 つまたは複数を選択します。
    • [DNS ホスト名のオーバーフロー]。ISA Server により、DNS ホスト名のオーバーフローによる侵入の試みがチェックされます。DNS 侵入検出フィルタは、内部ネットワークへの DNS トラフィックを傍受し分析します。ホスト名に対する DNS 応答がある一定の長さを超えている場合に、DNS ホスト名のオーバーフローによる侵入が発生します。
    • [DNS リソース データ長のオーバーフロー]。ISA Server により、DNS リソース データ長のオーバーフローによる侵入の試みがチェックされます。IP アドレスに対する DNS 応答が指定した 4 バイト長を超えている場合に、DNS リソース データ長のオーバーフローによる侵入が発生します。
    • [DNS ゾーン転送]。ISA Server により、DNS ゾーン転送による侵入の試みがチェックされます。クライアント システムが DNS クライアント アプリケーションを使用して内部 DNS サーバーからゾーンを転送するときに、DNS ゾーン転送による侵入が発生します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


破棄されたパケットをログに記録する

破棄されたパケットをログに記録するには

  1. [ISA Server の管理] のコンソール ツリーで、[全般] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • 全般
  2. 詳細ウィンドウで、[侵入検出と DNS アタック検出の有効化] をクリックします。
  3. [一般的なアタック] タブで、[破棄されたパケットをログに記録する] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • ISA Server をインストールすると、既定により、破棄されたパケットはすべてログに記録されます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


RSA SecurID の Web フィルタを構成する

ここでは、RSA ACE/Agent および RSA ACE/Server 用に Microsoft Internet Security and Acceleration (ISA) Server 2004 を構成する手順について説明します。

  • ISA Server コンピュータを RSA ACE/Agent としてセットアップする
  • ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server コンピュータを RSA ACE/Agent としてセットアップする

ISA Server コンピュータを RSA ACE/Agent としてセットアップするには

  • RSA ACE/Server コンピュータの ACE\Data フォルダにある Sdconf.rec ファイルを ISA Server コンピュータの %windir%\system32 フォルダにコピーします。

注

  • 5.0 より前のバージョンの RSA ACE/Server を使用している場合は、次の手順を実行してください。
    1. RSA ACE/Server コンピュータで、[スタート] ボタン、[プログラム]、[RSA ACE Server]、[Database Administration - Host Mode] の順にクリックします。
    2. [Agent Host] メニューの [Add Agent Host] をクリックします。
    3. [名前] に、ISA Server コンピュータの名前を入力します。
    4. [Network address] に ISA Server コンピュータの IP アドレスが表示されていない場合は、IP アドレスを入力します。
    5. [Agent Host] で、[Generate Configuration File]、[One Agent Host]、[OK] の順にクリックし、ISA Server コンピュータの名前をダブルクリックして、コンピュータのフォルダに Sdconf.rec ファイルを保存します。
    6. Sdconf.rec ファイルを ISA Server コンピュータの %windir%\system32 フォルダにコピーします。

関連項目

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認する

ISA Server が RSA ACE/Server に対して認証を行えるかどうかを確認するには

  1. CD の \Tools フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダから、Sdtest.exe を ISA Server のインストール フォルダにコピーします。
  2. Sdtest.exe を実行します。
  3. [RSA SecurID の認証情報] で、[RSA ACE/Server のテスト ディレクトリ] をクリックします。
  4. [RSA SecurID 認証] で、[ユーザー名の入力] にユーザー名、[パスコードの入力] にパスコードを入力します。
  5. 認証に成功したというメッセージが表示されたら、[OK] をクリックします。

重要

  • RSA SecurID 認証の Web フィルタは RSA ACE/Server と通信し、認証するので、ISA Server コンピュータは RSA ACE/Server と通信し、RSA ACE/Server に対して認証を行えることが必要です。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


SOCKS フィルタを構成する

SOCKS フィルタを構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 (エンタープライズ アドインの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • エンタープライズ
    • エンタープライズ アドイン

    場所 (アレイ レベル アドインの場合) :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • アドイン
  2. 詳細ウィンドウで、[SOCKS V4 フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [全般] タブで、エンタープライズ レベルの SOCKS フィルタに対して、[このフィルタをすべてのアレイで有効にする] を選択します。アレイ レベルの SOCKS フィルタに対して、[このフィルタを有効にする] を選択します。
  5. アレイ レベルの SOCKS フィルタに対して、[ネットワーク] タブの [ポート] に、ISA Server が SOCKS 要求をリッスンするポート番号を入力します。
  6. アレイ レベルの SOCKS フィルタに対して、ISA Server が SOCKS 要求をリッスンするネットワークを選択します (複数可)。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • エンタープライズ レベルの SOCKS フィルタを無効にすると、アレイ レベルのフィルタをアレイごとに有効にできます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SMTP フィルタを構成する

ここでは、Internet Security and Acceleration (ISA) Server 2004 に含まれる SMTP フィルタを構成する方法について説明します。

  • メッセージ スクリーナをインストールする
  • SMTPCred ツールを構成する
  • SMTP フィルタ バッファ オーバーフローのしきい値を構成する
  • ユーザーが SMTP サーバーにアクセスできないようにする
  • ドメインが SMTP サーバーにアクセスできないようにする
  • 電子メールの添付ファイルをフィルタ処理する
  • 電子メール メッセージをキーワードでフィルタ処理する

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


メッセージ スクリーナをインストールする

メッセージ スクリーナをインストールするには

  1. コマンド プロンプトで、次のように入力します。
    <パス>\ISAAutorun.exe
    <パス> は、ISA Server 2004 インストール ファイルへのパスです。このパスは、ISA Server CD のルート フォルダまたは ISA Server ファイルが格納されているネットワーク上の共有フォルダになります。
  2. [ようこそ] 画面で、[次へ] をクリックします。画面上に表示される指示に従います。
  3. [使用許諾契約] 画面で、[同意します]、[次へ] の順にクリックします。
  4. [所有者情報] 画面で、必要な情報を入力し、[次へ] をクリックします。
  5. [シナリオのセットアップ] 画面で、[ISA Server 管理のインストール] を選択し、[次へ] をクリックします。
  6. [コンポーネントの選択] 画面で、次の操作を行います。
    • [ISA Server の管理]、[インストールしない] の順にクリックします。
    • [メッセージ スクリーナ]、[この機能はローカル ハード ディスクにインストールされます] の順にクリックします。
    次に、[次へ] をクリックします。
  7. [インストール] をクリックします。

注

  • この手順を実行するには、Administrators グループのメンバである必要があります。
  • メッセージ スクリーナは、SMTP サーバーにインストールする必要があります。通常、このサーバーは、ISA Server コンピュータではありません。
  • SMTP メッセージ スクリーナの構成に指定されたユーザー アカウントは、ISA Server コンピュータに対する読み取りアクセス権を持っている必要があります。
  • メッセージ スクリーナを実行する SMTP サーバーは、SMTPCred ツールを使用してこれらの資格情報を渡すことができます。手順については、「SMTPCred ツールを構成する」を参照してください。
  • メッセージ スクリーナを ISA Server コンピュータにインストールしない場合は、MS ファイアウォール制御プロトコルを使用してメッセージ スクリーナからローカル ホスト ネットワークにアクセスできるようにするアクセス ルールを作成する必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SMTPCred ツールを構成する

SMTPCred ツールを構成するには

  1. コマンド プロンプトで「SMTPCred.exe」と入力して、SMTPCred ツールを実行します。
  2. メッセージ ボックスに、ISA Server コンピュータの名前または IP アドレスを入力します。
  3. 該当するテキスト ボックスに、ドメイン名、管理者名、およびパスワードを入力します。
  4. [テスト] をクリックします。

注

  • 既定では、SMTPCred.exe ツールは、ISA Server のインストール フォルダにあります。
  • SMTP メッセージ スクリーナの構成で指定されるユーザー アカウントは、ISA Server コンピュータに関する ISA Server アレイ監査者アクセス許可を持つユーザーである必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SMTP フィルタ バッファ オーバーフローのしきい値を構成する

SMTP フィルタ バッファ オーバーフローのしきい値を構成するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [SMTP コマンド] タブで、該当するコマンドをクリックし、[編集] をクリックします。
  5. [SMTP コマンドのルール] で、[SMTP コマンドを有効にする] をクリックします。
  6. [長さの上限] に、コマンドに対するコマンド行の最大長を入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • 新しいコマンドを追加するには、[追加] をクリックし、[SMTP コマンドのルール] にコマンド名を入力します。
  • 定義されていて無効になっているコマンドをクライアントが使用すると、フィルタによってその接続が閉じられます。
  • SMTP フィルタが認識しないコマンドをクライアントが使用すると、そのメッセージに対してフィルタ処理が実行されません。
  • SMTP フィルタによってフィルタ処理されるのは、着信方向のトラフィックに対するコマンドのみです。
  • 追加できるのは、単純な SMTP コマンドだけです。
  • クライアントが TURN コマンドを使用すると、フィルタによってすべての電子メール メッセージが破棄されます。
  • RFC は、AUTH コマンドを MAIL FROM コマンドの一部と見なします。このため、SMTP フィルタが MAIL FROM コマンドをブロックするのは、そのコマンドの長さが、発行された MAIL FROM コマンドと AUTH コマンド (AUTH が有効である場合) の長さを上回った場合に限られます。たとえば、MAIL FROM の最大長を 266 バイト、AUTH の最大長を 1,024 バイトと指定すると、MAIL FROM コマンドが 1,290 バイトを超えた場合のみメッセージがブロックされます。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ユーザーが SMTP サーバーにアクセスできないようにする

ユーザーが SMTP サーバーにアクセスできないようにするには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [ユーザー/ドメイン] タブにある [差出人の電子メール アドレス] に、SMTP サーバーへのアクセスを拒否する送信者の電子メール アドレスを入力し、[追加] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


ドメインが SMTP サーバーにアクセスできないようにする

ドメインが SMTP サーバーにアクセスできないようにするには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [ユーザー/ドメイン] タブにある [ドメイン名] に、SMTP サーバーへのユーザーのアクセスを拒否するドメイン名を入力し、[追加] をクリックします。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


電子メールの添付ファイルをフィルタ処理する

電子メールの添付ファイルをフィルタ処理するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [添付ファイル] タブで、[追加] をクリックします。
  5. [メールの添付ファイルのルール] で、[このルールを有効にする] チェック ボックスをオンにします。
  6. 次のいずれかを選択し、適切な情報を入力します。
    • [添付ファイル名]。添付ファイルの名前を入力します。
    • [添付ファイルの拡張子]。添付ファイルの拡張子を入力します。
    • [添付ファイルのサイズ制限 (バイト)]。添付ファイルの最大サイズを入力します。
  7. [動作] で、次のいずれかを選択します。
    • [メッセージの削除]
    • [メッセージの一時保管]
    • [メッセージの転送]
  8. [メッセージの転送] を選択した場合は、メッセージの転送先となる 1 つまたは複数のアドレスをセミコロン (;) で区切って入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。
  • 条件に動作を適用する順序を変更するには、上向きまたは下向きの矢印をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


電子メール メッセージをキーワードでフィルタ処理する

電子メール メッセージをキーワードでフィルタ処理するには

  1. [ISA Server の管理] のコンソール ツリーで、[アドイン] をクリックします。

    場所 :

    • Microsoft Internet Security and Acceleration Server 2004
    • アレイ
    • <アレイ名>
    • 構成
    • アドイン
  2. 詳細ウィンドウの [アプリケーション フィルタ] タブで、[SMTP フィルタ] をクリックします。
  3. [タスク] タブで、[選択したフィルタの構成] をクリックします。
  4. [キーワード] タブで、[追加] をクリックします。
  5. [このルールを有効にする] をクリックします。
  6. [キーワード] に、ルールを適用する文字列を入力します。
  7. [キーワードを検索する場所 (見つかった場合、動作を適用します)] で、次のいずれかを選択します。
    • [メッセージの件名または本文]
    • [メッセージの件名]
    • [メッセージ本文]
  8. [動作] で、次のいずれかを選択します。
    • [メッセージの削除]
    • [メッセージの一時保管]
    • [メッセージの転送]。この場合、メッセージの転送先となる 1 つまたは複数のアドレスをセミコロン (;) で区切って入力します。

注

  • ISA Server の管理を開くには、[スタート] ボタンをクリックし、[すべてのプログラム]、[Microsoft ISA Server] の順にポイントし、[ISA Server の管理] をクリックします。
  • この機能を使用するには、メッセージ スクリーナをインストールして有効にする必要があります。
  • 条件に動作を適用する順序を変更するには、上向きまたは下向きの矢印をクリックします。

関連項目

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」(http://www.microsoft.com/) を参照してください。


展開シナリオ : SMTP フィルタ

SMTP フィルタは、必ず ISA Server コンピュータで実行されます。しかし、SMTP メッセージ スクリーナは、ISA Server コンピュータの背後の保護されたネットワークにある別のコンピュータ上に配置することができます。SMTP メッセージ スクリーナをインストールできるのは、次の場所です。

  • ISA Server コンピュータ
  • ISA Server コンピュータの背後にある独立型 SMTP リレー
  • Exchange サーバー

メッセージのフィルタ処理には、かなりの処理能力が必要となります。このため、多くの組織では、ISA Server コンピュータ上、または企業ネットワークのいずれかの場所にある SMTP リレー上に SMTP メッセージ スクリーナを配置して、Exchange サーバーに負荷をかけないようにしています。

SMTP メッセージ スクリーナは、インターネット インフォメーション サービス (IIS) 6.0 または IIS 5.0 SMTP サービスを実行している企業ネットワークの SMTP リレー コンピュータにインストールできます。ISA Server コンピュータでは内部ネットワークの SMTP リレーを公開し、メッセージ スクリーナが SMTP リレー コンピュータで危険な電子メール メッセージをブロックします。SMTP メッセージ スクリーナは SMTP フィルタと通信して、ブロックすべき電子メール メッセージの情報を取得します。

基本的な情報については、「SMTP フィルタ」を参照してください。展開シナリオの詳細については、ISA Server の Web サイトにある『SMTP メッセージ スクリーニング』(http://www.microsoft.com/) を参照してください。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


展開シナリオ

Microsoft Internet Security and Acceleration (ISA) Server 2004 は、ネットワークのセキュリティ、パフォーマンス、管理の容易さ、運用コストに関心をお持ちの、大小さまざまな組織の情報技術 (IT) マネージャ、ネットワーク管理者、および情報セキュリティの専門家に優れた価値を提供します。組織はさまざまなネットワーク シナリオで ISA Server を展開できます。

  • 展開シナリオ : ISA Server を開始する
  • ワークグループ内の ISA Server
  • インターネット エッジ ファイアウォール
  • 支社のファイアウォール
  • 公開のシナリオ : ISA Server と Exchange Server

その他のシナリオ

インターネットが発展し続け、新たなアプリケーションが導入されるに伴って、ISA Server のネットワーク保護機能の有効性も立証されていくことでしょう。新しいドキュメントや更新されたドキュメントについては、「ISA Server のガイダンス」(http://www.microsoft.com/) の Web サイトを参照してください。


アレイの管理の概要

アレイ管理者は、次の手順を実行してアレイを管理できます。

  1. 追加のアレイ メンバをインストールします。このアレイにアレイ メンバを追加できます。詳細については、「ISA Server サービスを実行するコンピュータをインストールする」を参照してください。
  2. 構成保管サーバーを指定します。このアレイで使用する構成保管サーバーを指定します。フォールト トレランス用に、別の構成保管サーバーも指定します。手順については、「このアレイの構成保管サーバーを指定する」を参照してください。
  3. ファイアウォール クライアント ソフトウェアを展開します。このシナリオでは、Web サイトへのアクセスを許可することに焦点を当てていますが、ファイアウォール クライアント ソフトウェアを展開することにより、数多くのセキュリティ上の利点が生じます。詳細については、「クライアント要件の評価」を参照してください。
  4. Microsoft Internet Security and Acceleration (ISA) Server 2004 ネットワーク構成を適用します。ISA Server には、いくつかのネットワーク テンプレートがあらかじめ定義されています。実際のネットワークに最も即したネットワーク テンプレートを選択します。このシナリオでは、企業ネットワーク上のすべてのユーザーにインターネットへのアクセスを許可するため、エッジ ファイアウォール ネットワーク テンプレートを選択してから、[制限なしインターネット アクセス] ファイアウォール ポリシーを選択します。ネットワーク テンプレートの構成手順については、「ネットワーク テンプレート」を参照してください。
  5. ISA Server での Web コンテンツのキャッシュ方法を定義します。企業ネットワークに接続するクライアントは、よく似た Web サイトにアクセスする傾向があるため、キャッシュ ポリシーを実装して、ネットワーク パフォーマンスを高めます。詳細については、「キャッシュの概要」を参照してください。
  6. クライアントがリモート アクセスを必要とする場合は、VPN アクセスを構成します。詳細については、「リモート VPN クライアント アクセス」を参照してください。

一般的な展開シナリオの詳細については、ISA Server の Web サイト (http://www.microsoft.com/) にあるドキュメントを参照してください。


ワークグループ内の ISA Server

ワークグループはコンピュータを単純にグループ化したもので、その主な目的は、グループで共有するプリンタとフォルダをユーザーが見つけやすくすることです。ワークグループからは、ドメインによって提供される集中管理されたユーザー アカウントおよび認証が提示されません。ワークグループはドメインから切り離されているからという明確な理由があって、Microsoft Internet Security and Acceleration (ISA) Server 2004 サービスを実行するアレイ メンバをワークグループにインストールする場合があります。つまり、具体的な理由から、社内ネットワークの一部をドメインから切り離さなければならない場合があります。

たとえば、次の場合に、ISA Server アレイをワークグループにインストールします。

  • Web 公開
  • Outlook Web Access の公開
  • 仮想プライベート ネットワーク (VPN) 接続の処理

ISA Server をワークグループにインストールする手順については、「ワークグループおよび信頼されていないドメインを展開する場合のインストール上の考慮事項」を参照してください。

ワークグループに ISA Server アレイ メンバを設定する場合は、アレイ内のすべてのコンピュータ上にミラー化されたユーザー アカウントを作成する必要があります。ミラー化されたアカウントとは、アレイ内の各コンピュータに作成する同一のローカル ユーザー (ユーザー名とパスワード) です。ISA Server の管理を開くとき、およびこのワークグループ アレイに接続するときは、このユーザーの資格情報を使用します。このようなユーザーは、エンタープライズ内でワークグループに属するその他すべてのアレイに作成する必要があります。これによって、エンタープライズ内のすべてのアレイを、1 つの ISA Server の管理のコンソールから管理できます。詳細については、「ドメインおよびワークグループのロール」を参照してください。

ワークグループ環境で ISA Server を展開する方法の詳細については、ワークグループ内の ISA Server 2004 Enterprise Edition に関するドキュメント (http://www.microsoft.com/) を参照してください。

ワークグループのクライアント

ワークグループは、ドメイン ユーザー アカウントにアクセスできないため、ワークグループのクライアントを Windows 認証で認証することはできません。クライアントを認証するには、RADIUS 認証または RSA SecurID® 認証を使用します。

VPN クライアントのユーザー マッピングは、ドメイン ユーザー アカウントへのアクセスに基づくため、ワークグループ シナリオでは使用できません。[VPN Clients のプロパティ] ページの [ユーザー マッピング] タブで、[ユーザー マッピングを有効にする] チェック ボックスがオフ (既定の設定) になっていることを確認してください。

ファイアウォール クライアント ソフトウェアも、ドメイン ユーザー アカウントへのアクセスに基づいています。このため、ワークグループ設定では、ファイアウォール クライアントは機能しません。


インターネット エッジ ファイアウォール

Microsoft Internet Security and Acceleration (ISA) Server 2004 を、専用のインターネット エッジ ファイアウォールとして展開し、内部クライアントがインターネットにアクセスする際の安全なゲートウェイとして機能させることができます。ISA Server コンピュータは、通信パスの第三者には透過的になります。ISA Server コンピュータがアクセスを拒否するネットワーク サービス、プロトコル、またはサイトにインターネット ユーザーがアクセスを試みない限り、ファイアウォール サーバーの存在をユーザーに知られないようにする必要があります。管理者は、セキュリティ アクセス ポリシーを設定することにより、許可されていないアクセスと悪意のあるコンテンツのネットワーク内への侵入を阻止できます。

主な機能には次のものがあります。

  • パケット レベル、回線レベル、およびアプリケーション レベルでフィルタ処理を行う、マルチレイヤのトラフィック スクリーニング
  • インテリジェントなアプリケーション レイヤ対応のアプリケーション フィルタ
  • ビルトイン侵入検出
  • ベース オペレーティング システムのロックダウンのためのシステムの堅牢化

ISA Server を使用したインターネット アクセス制御方法のシナリオの詳細については、『ISA Server を使用した安全なインターネット アクセスの制御』(http://www.microsoft.com/) を参照してください。


支社のファイアウォール

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用すると、サイト間仮想プライベート ネットワーク (VPN) 接続で支社ネットワークを本社に接続できます。ISA Server は、支社ネットワークを保護するファイアウォールとしても、支社ネットワークを本社ネットワークに接続する VPN ゲートウェイとしても支社に配置できます。ISA Server の VPN 相互運用性機能が向上したことにより、現在配置されているどの VPN ソリューションを用いても、サイト間リンクを作成することが可能です。

主な機能には次のものがあります。

  • サード パーティの VPN ゲートウェイを使用した、サイト間リンクでのインターネット プロトコル セキュリティ (IPsec) トンネル モードのサポート
  • Microsoft VPN ゲートウェイを使用した、サイト間リンクでの PPTP (Point-to-Point トンネリング プロトコル) およびレイヤ 2 トンネリング プロトコル (L2TP) over IPsec
  • サイト間リンクでのステートフル インスペクションによる、本社ネットワークにアクセス可能なリモート ネットワークの制限
  • 支社でのインターネットとの着信および発信アクセスに対する ISA Server ファイアウォールの制御
  • VPN 接続されたローカル エリア ネットワーク (LAN) 間のトラフィックをステートフルに検査するインテリジェントなアプリケーション レイヤ フィルタ

支社シナリオの設定の詳細については、ISA Server 2004 Enterprise Edition での支社構成のシナリオに関するドキュメント (http://www.microsoft.com/) を参照してください。また、支社シナリオで VPN を使用する方法の詳細については、ISA Server 2004 Enterprise Edition のサイト間 VPN に関するドキュメント (http://www.microsoft.com/) を参照してください。


バックエンド構成保管サーバーへのアクセス

フロント ファイアウォール ネットワーク テンプレートを適用すると、Microsoft Internet Security and Acceleration (ISA) Server 2004 では、指定した特定のポリシーに従ってネットワーク ルールとファイアウォール ポリシー ルールが構成されます。詳細については、「フロント ファイアウォール ネットワーク テンプレート」を参照してください。

ISA Server サービスをフロントエンドで実行するコンピュータが使用する構成保管サーバーが、[ネットワーク] タブのネットワーク テンプレートの図に示されるように、バックエンドにある別の ISA Server コンピュータの背後に配置される場合があります。

フロントエンド ISA Server コンピュータに構成保管サーバーへのアクセスを許可するには、バックエンド ISA Server コンピュータで次のパラメータを指定したサーバー公開ルールを作成する必要があります。

  1. 公開されたサーバーの IP アドレスを、構成保管サーバーの IP アドレスに設定します。
  2. プロトコルを [MS ファイアウォール記憶域サーバー] に設定します。
  3. ソースをフロントエンド ISA Server コンピュータの IP アドレスに設定します。これを行うには、その IP アドレスが指定されたコンピュータ要素を作成し、そのコンピュータを [開始アドレス] タブで指定する必要があります。
  4. ネットワーク リスナを [外部] に設定します。

フェールオーバー用の代替構成保管サーバーを指定する場合は、そのサーバーを公開してください。

構成保管サーバー名

ISA Server サービスを実行するコンピュータをインストールする場合は、そのコンピュータで使用する構成保管サーバーを指定します。構成保管サーバーは、インストール後に [構成保管サーバーの接続ウィザード] を使用して指定することもできます。

フロントエンド ISA Server コンピュータがドメインに属する場合は、構成保管サーバーに指定する名前が、ネットワーク関係に応じて構成保管サーバーまたはバックエンド ISA Server コンピュータに解決される必要があります。

フロントエンド ISA Server コンピュータがワークグループに属する場合は、構成保管サーバーとの通信を許可するために証明書をインストールする必要があります。構成保管サーバーに指定された名前は、構成保管サーバーに配置されている証明書と一致する必要があります。この名前は、ネットワーク間にルート関係が構成されている場合は構成保管サーバーに、ネットワーク間にネットワーク アドレス変換 (NAT) 関係が構成されている場合はバックエンド ISA Server コンピュータに解決される必要があります。

フロントエンド ISA Server コンピュータがドメインに属する場合は、構成保管サーバーに指定する名前が、ネットワーク間にルート関係が構成されている場合は構成保管サーバーに、ネットワーク間に NAT 関係が構成されている場合はバックエンド ISA Server コンピュータに解決される必要があります。

ネットワーク ルールの詳細については、「ネットワーク ルール」を参照してください。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


公開のシナリオ : ISA Server と Exchange Server

Microsoft Internet Security and Acceleration (ISA) Server 2004 を使用すると、組織の内部ネットワークのセキュリティを損なうことなく、インターネットにサービスを公開できます。ISA Server サービスを実行しているコンピュータの背後に設置されたサーバーにダウンストリームで送信される要求を決定する Web 公開ルールとサーバー公開ルールを構成して、内部サーバーのセキュリティ レイヤを強化することができます。転送される通信はすべて、ISA Server のステートフル フィルタおよびインスペクション エンジンに公開されます。たとえば、Microsoft Exchange Server コンピュータを ISA Server の背後に配置し、Exchange の SMTP (簡易メール転送プロトコル)、POP3 (Post Office Protocol 3)、IMAP4 (Internet Mail Access Protocol 4)、および NNTP (ネットワーク ニュース転送プロトコル) サービスへの SSL (Secure Sockets Layer) リモート アクセスを許可するサーバー公開ルールを作成できます。Exchange サーバーへの着信方向の電子メール メッセージは、クライアントには電子メール サーバーとして見える ISA Server SMTP メッセージ スクリーナにより傍受されます。次に、ISA Server SMTP メッセージ スクリーナは SMTP トラフィックをフィルタ処理して、それを Exchange サーバー上に転送できます。Exchange サーバーが外部ユーザーに直接公開されることはなく、セキュリティで保護された環境に配置されたまま、他の内部ネットワーク サービスへのアクセスが維持されます。

主な機能には次のものがあります。

  • 使いやすく、安全なサーバー公開ウィザード。
  • 透過的なクライアント接続とサーバー公開用の SecureNAT。
  • HTTP/SSL (ハイパーテキスト転送プロトコル/Secure Sockets Layer)、FTP、SMTP、POP3、IMAP4、NNTP、DNS、RDP、H.323、ストリーミング メディアなどの公開されたサービス。
  • 安全な Outlook® Web Access の公開。ISA Server を使用した Outlook Web Access の公開方法の詳細については、『ISA Server での Outlook Web Access Server の公開』 (http://www.microsoft.com/) を参照してください。
  • 安全なインターネット インフォメーション サービス (IIS) Web サイトの公開。ISA Server を使用した安全な IIS の公開の詳細については、『ISA Server を使用した Web サーバーの公開』 (http://www.microsoft.com/) を参照してください。
  • 安全な Exchange リモート プロシージャ コール (RPC) の公開。ISA Server を使用した安全な Exchange RPC の公開の詳細については、『ISA Server を使用した Web サーバーの公開』 (http://www.microsoft.com/) を参照してください。
  • すべてのインターネット プロトコルおよびサービスに対するユーザーベースおよびグループベースのアクセス制御。
  • スパム メールをフィルタ処理する SMTP メッセージ スクリーナ。
  • 上位の Web プロキシ サーバーとの Web プロキシ チェーン。

セキュリティで保護された Exchange Server の SSL VPN

SSL 仮想プライベート ネットワーク (VPN) は、内部ネットワーク リソースに対して、アプリケーション固有かつクライアントレスである、セキュリティで保護されたアクセスを実行できるため、ますます一般的になってきています。ISA Server の [新しいメール サーバー公開ルール ウィザード] が改良され、リモート ユーザーがエンド ツー エンド SSL VPN を使用して Outlook Web Access にセキュリティで保護されたアクセスを行えるようになりました。SSL VPN では、厳密な HTTP コンテンツ検査を可能にする ISA Server の SSL-to-SSL ブリッジを利用します。基本認証とフォームベース認証を委任することにより、Outlook Web Access Web サイトでの認証されていないセッションを禁止して Outlook Web Access SSL VPN の保護を強化します。

主な機能には次のものがあります。

  • 使いやすい [新しいメール サーバー公開ルール ウィザード]。
  • SSL VPN 経由での Exchange の Outlook Web Access へのクライアントレス SSL VPN。
  • ISA Server の固有の SSL-to-SSL ブリッジによるエンド ツー エンドのセキュリティ。
  • 基本認証の委任による、Outlook Web Access Web サイトへの認証されていないアクセスの禁止。
  • フォームベース認証を使用した、ファイアウォール管理者に対するセッション タイムアウトの設定の許可、および添付ファイルへのユーザー アクセスの禁止。
  • 厳密な HTTP アプリケーション レイヤ検査による、Outlook Web Access 接続でのユーザーのファイル アップロードの禁止。
  • Microsoft 証明書サービスで生成されるか、あるいはサード パーティの証明書プロバイダから取得された SSL 接続の証明書。


その他の参照情報

  • ISA Server の管理のアクセシビリティ
  • ログ コードの値
  • パフォーマンス カウンタ

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ISA Server の管理のアクセシビリティ

Microsoft® Windows Server™ 2003 (または Windows® 2000 Server) および Microsoft 管理コンソール (MMC) のアクセシビリティ製品とサービスに加えて、Microsoft Internet Security and Acceleration (ISA) Server 2004 ではコマンドの選択およびコンソール ウィンドウ内とコンソール ウィンドウ間のナビゲーションを行うためのショートカット キーを提供しています。

ナビゲーション

MMC スナップインと同様に、ISA Server の管理のコンソール ツリーでは、マイナス記号とプラス記号のクリックまたはマウスのダブルクリックによる、ブランチの展開と折りたたみによる参照が可能です。次の表は、コンソール ウィンドウ内およびコンソール ウィンドウ間を移動する際に使用できるキーストロークの一覧です。

キーストローク操作 | 結果
Tab | アクティブなウィンドウ内のウィンドウ領域間を前方に移動します。
Shift + Tab | アクティブなウィンドウ内のウィンドウ領域間を後方に移動します。
↑ | ウィンドウ領域内で、選択対象を 1 つ上に移動します。
↓ | ウィンドウ領域内で、選択対象を 1 つ下に移動します。
PageUp | 選択対象を、ウィンドウ領域に表示されている最上位の項目に移動します。
PageDown | 選択対象を、ウィンドウ領域に表示されている最下位の項目に移動します。
Home | 選択対象を、ウィンドウ領域内の最初の項目に移動します。
End | 選択対象を、ウィンドウ領域に表示されている最後の項目に移動します。
→ | 選択された項目を展開します。
← | 選択された項目を折りたたみます。選択された項目に隠し項目が含まれていない場合は、↑ キーと同じように機能します。

次の表は、ISA Server の管理のコンソール ツリー内を移動するときに使用できるマウス操作の一覧です。

マウス操作 | 結果
クリック | 項目を選択します。
ダブルクリック | 選択された項目に含まれている項目を表示または非表示にします。項目のプロパティを表示したり、項目を開いたりします。
右クリック | 選択した項目に対してショートカット メニューを表示します。

タブ間のナビゲーション

[表示] メニューの [切り替え] コマンドを使用して、タブ間を移動することができます。Alt + V キーを押して [表示] メニューにアクセスし、W キーを押して [切り替え] コマンドにアクセスします。その後に、適切なショートカット キーをクリックしてタブにアクセスします。

タブに一覧が含まれる場合、一覧内の項目を選択するには、↓ キーを使用します。

ショートカット キー

次の表は、ISA Server の管理のメニュー コマンドに対するショートカット キーの一覧です。

操作 | 結果
F1 | 選択した項目にヘルプ トピックがあれば、それを開きます。
Space | ヘルプ リンクを開きます。
F5 | すべてのコンソール ウィンドウの内容を更新します。
Enter | 選択した項目にプロパティ ダイアログ ボックスがあれば、それを表示します。
Alt + Space | ISA Server の管理のウィンドウのメニューを表示します。
Alt + F4 | スナップインを閉じます。
Alt + A | [動作] メニューを表示します。
Alt + V | [表示] メニューを表示します。
Alt + F | [ファイル] メニューを表示します。
Alt + H | [ヘルプ] メニューを表示します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


ログ コードの値

  • 動作ログの値
  • キャッシュ情報ログの値
  • エラー情報ログの値
  • オペレーティング システム ログの値
  • オブジェクト ソース ログの値
  • 結果コード ログの値

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


動作ログの値

ファイアウォール ログには、動作フィールドを含めることができます。詳細については、「ログ ビューア」および「Microsoft ファイアウォール サービスのログ フィールド」を参照してください。次の表は、動作値の一覧です。

MSDE 値 | テキスト ログの文字列
0 | -
1 | Bind
2 | Listen
3 | GHBN
4 | GHBA
5 | Redirect-bind
6 | Establish
7 | Terminate
8 | Denied
9 | Allowed
10 | Failed
11 | Intermediate
12 | Successful Connection
13 | Unsuccessful Connection
14 | Disconnection
15 | User cleared Quarantine
16 | Quarantine timeout

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュ情報ログの値

Web プロキシ ログには、オブジェクトのキャッシュ状態を明示するキャッシュ情報フィールドを含めることができます。これにより、オブジェクトがキャッシュされた理由またはキャッシュされなかった理由がわかります。次の表は、可能なキャッシュ情報値の一覧です。

値 | 説明
0x00000001 | 要求をキャッシュから処理することはできません。
0x00000002 | 要求に IF-MODIFIED-SINCE ヘッダーが含まれています。
0x00000004 | 要求に CACHE-CONTROL: NO-CACHE または PRAGMA: NO-CACHE ヘッダーが含まれています。
0x00000008 | 要求に AUTHORIZATION ヘッダーが含まれています。
0x00000010 | 要求に VIA ヘッダーが含まれています。
0x00000020 | 要求に IF-MATCH ヘッダーが含まれています。
0x00000040 | 要求に RANGE ヘッダーが含まれています。
0x00000080 | 要求に CACHE-CONTROL: NO-STORE ヘッダーが含まれています。
0x00000100 | 要求に CACHE-CONTROL: MAX-AGE、CACHE-CONTROL: MAX-STALE、または CACHE-CONTROL: MIN-FRESH のいずれかのヘッダーが含まれています。
0x00000200 | キャッシュを更新できませんでした。
0x00000400 | 要求で指定された IF-MODIFIED-SINCE の時間はキャッシュされた LASTMODIFIED の時間より後です。
0x00000800 | 要求に CACHE-CONTROL: ONLY-IF-CACHED ヘッダーが含まれています。
0x00001000 | 要求に IF-NONE-MATCH ヘッダーが含まれています。
0x00002000 | 要求に IF-UNMODIFIED-SINCE ヘッダーが含まれています。
0x00004000 | 要求に IF-RANGE ヘッダーが含まれています。
0x00008000 | 複数の VARY ヘッダーが含まれています。
0x00010000 | 応答に CACHE-CONTROL: PUBLIC ヘッダーが含まれています。
0x00020000 | 応答に CACHE-CONTROL: PRIVATE ヘッダーが含まれています。
0x00040000 | 応答に CACHE-CONTROL: NO-CACHE または PRAGMA: NO-CACHE ヘッダーが含まれています。
0x00080000 | 応答に CACHE-CONTROL: NO-STORE ヘッダーが含まれています。
0x00100000 | 応答に CACHE-CONTROL: MUST-REVALIDATE または CACHE-CONTROL: PROXY-REVALIDATE ヘッダーが含まれています。
0x00200000 | 応答に CACHE-CONTROL: MAX-AGE または S-MAXAGE ヘッダーが含まれています。
0x00400000 | 応答に VARY ヘッダーが含まれています。
0x00800000 | 応答に LAST-MODIFIED ヘッダーが含まれています。
0x01000000 | 応答に EXPIRES ヘッダーが含まれています。
0x02000000 | 応答に SET-COOKIE ヘッダーが含まれています。
0x04000000 | 応答に WWW-AUTHENTICATE ヘッダーが含まれています。
0x08000000 | 応答に VIA ヘッダーが含まれています。
0x10000000 | 応答に AGE ヘッダーが含まれています。
0x20000000 | 応答に TRANSFER-ENCODING ヘッダーが含まれています。
0x40000000 | 応答をキャッシュすることはできません。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


エラー情報ログの値

Web プロキシ ログには、エラー情報フィールドを含めることができます。詳細については、「ログ ビューア」および「Web プロキシのログ フィールド」を参照してください。次の表は、可能な値の一覧です。

MSDE 値 | 説明
0x00000001 | クライアントからのパケット受信でエラーが発生しました。
0x00000002 | クライアントへのパケット送信でエラーが発生しました。
0x00000004 | サーバーへのパケット送信でエラーが発生しました。
0x00000008 | サーバーからのパケット受信でエラーが発生しました。
0x00000040 | 接続中にエラーが発生しました。
0x00000080 | クライアントとの接続が "キープアライブ" です。
0x00000100 | 上位サーバーとの接続が "キープアライブ" です。
0x00000200 | クライアントの要求にコンテンツ長がゼロでない本文が含まれています。
0x00000400 | サーバーの応答にコンテンツ長がゼロでない本文が含まれています。
0x00000800 | DNS キャッシュを使用して名前が解決されました。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


オペレーティング システム ログの値

Web プロキシ ログとファイアウォール ログには、要求を開始したオペレーティング システムを明示するクライアント エージェント フィールドを含めることができます。次の表は、可能なオペレーティング システム値の一覧です。

値 | 説明
0:3.1 | Windows® 3.1
0:3.11 | Windows for Workgroups
0:3.95 | Windows 95 (16 ビット)
1:3.11 | Win32s
2:4.0 | Windows 95 (32 ビット)
2:4.10 | Windows 98
2:4.90 | Windows Millennium Edition
3:3.1 | Windows NT® 3.1
3:3.5 | Windows NT 3.5
3:3.51 | Windows NT 3.51
3:4.0 | Windows NT 4.0
3:5.0 | Windows 2000
3:5.1 | Windows XP
3:5.2 | Windows Server™ 2003

ISA Server がオペレーティング システムを認識しない場合は、ログ フィールドの値が Unknown に設定されます。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


オブジェクト ソース ログの値

Web プロキシ ログには、現在のオブジェクトを取得するために使用されたソースを明示するオブジェクト ソース フィールドを含めることができます。詳細については、「ログ ビューア」および「Web プロキシのログ フィールド」を参照してください。次の表は、可能なオブジェクト ソース値の一覧です。

ソース値 | テキスト ログの文字列 | 説明
0 | (なし) | ソース情報はありません。
1 | Cache | ソースはキャッシュです。オブジェクトはキャッシュから返されました。
2 | Verified Cache | ソースはキャッシュです。オブジェクトをソースに対して検証しましたが、変更されていませんでした。
3 | Not Verified Cache | ソースはキャッシュです。オブジェクトをソースに対して検証できませんでした。
4 | Verify Failed Internet | ソースはインターネットです。キャッシュ内のオブジェクトが無効であったため、インターネットから取得されています。
5 | Internet | ソースはインターネットです。オブジェクトはキャッシュに追加されました。
7 | Upstream | オブジェクトは上位プロキシ キャッシュから返されました。
8 | Not Modified | ソースはキャッシュです。クライアントが If-Modified-Since 要求を実行しましたが、オブジェクトは変更されていませんでした。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


結果コード ログの値

Web プロキシ ログとファイアウォール ログには、要求の状態を示す結果コード フィールドを含めることができます。Web プロキシ ログでは、このフィールドが HTTP ステータス コードを示します。ファイアウォール ログでは、このフィールドが結果コードを示します。

ファイアウォール ログでは、結果コード フィールドがエラーを表します。これは次のいずれかになります。

  • Windows ベースの HRESULT エラー コード
  • ISA Server サービスのエラー コード。通常、このエラーは 0xC00 で始まります。エラー テキストには多くの場合 FWX_E_ が含まれています。

HTTP ステータス コード列は、Web プロキシからの HTTP エラーを表します。これには、次のいずれかの値が設定されます。

  • HTTP RFC に定義されている HTTP 応答コード。HTTP 応答コードの一覧については、プラットフォーム SDK (英語情報) (http://www.microsoft.com/) を参照してください。
  • Winsock エラー コード。Winsock エラー コードの一覧については、MSDN (英語情報) (http://www.microsoft.com/) を参照してください。
  • ISA Server Web プロキシ エラー コード。これらのエラーには、説明も含まれています。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


パフォーマンス カウンタ

ここでは、Internet Security and Acceleration (ISA) Server 2004 のパフォーマンス カウンタについて説明します。個々のカウンタの詳細については、以下を参照してください。

  • Firewall Engine パフォーマンス カウンタ
  • H.323 フィルタ パフォーマンス カウンタ
  • キャッシュ パフォーマンス カウンタ
  • Microsoft ファイアウォール サービス パフォーマンス カウンタ
  • SOCKS フィルタ パフォーマンス カウンタ
  • Web プロキシ パフォーマンス カウンタ

読み込みの監視

全般的なパフォーマンスを監視するには、以下のカウンタを綿密に監視します。

分類 | カウンタ名
ISA Server Firewall Engine | Active Connections
ISA Server ファイアウォール サービス | Active Sessions
ISA Server Web プロキシ | Requests per second
ISA Server Firewall Engine | Bytes/sec

セキュリティの監視

全般的なセキュリティ上の脅威を監視するには、以下のカウンタを綿密に監視します。

分類 | カウンタ名
ISA Server Firewall Engine | Dropped packets/sec
ISA Server Firewall Engine | Packets/sec
ISA Server Firewall Engine | Connections/sec
ISA Server Web プロキシ | Current Average Milliseconds/request

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Firewall Engine パフォーマンス カウンタ

次の表は、Firewall Engine のパフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Active Connections | 現在データを送受信しているアクティブな接続の総数です。
Connections/sec | 1 秒間に新たに作成された接続の数です。
TCP Established Connections/sec | 1 秒間に新たに確立された TCP 接続の数です。TCP 接続は、スリーウェイ SYN ハンドシェイクが正常に完了したときに、接続が確立されたものとしてカウントされます。
Bytes | ISA Server を通過した合計バイト数です。
Bytes/sec | 1 秒間に ISA Server を通過したバイト数です。
Packets | ISA Server によって検査された合計パケット数です。
Packets/sec | 1 秒間に ISA Server によって検査されたパケット数です。
Allowed Packets | ISA Server が通過を許可する合計パケット数です。
Allowed Packets/sec | 1 秒間に ISA Server が通過を許可するパケット数です。
Dropped Packets | ISA Server によって破棄されたパケット数です。
Dropped Packets/sec | 1 秒間に ISA Server によって破棄されたパケット数です。
Backlogged Packets | バックログとして残されたパケット数です。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


H.323 フィルタ パフォーマンス カウンタ

次の表は、H.323 フィルタのパフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Total H.323 Calls | ファイアウォール サービスが開始されてから H.323 フィルタによって処理された H.323 呼の合計です。
Active H.323 Calls | 現在アクティブな H.323 呼の数です。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


キャッシュ パフォーマンス カウンタ

次の表は、Microsoft Internet Security and Acceleration (ISA) Server 2004 キャッシュのパフォーマンス カウンタの一覧です。

カウンタ | 説明
Disk Bytes Retrieve Rate (KB/sec) | ディスク キャッシュから取得される 1 秒あたりのデータの量です。このカウンタは、Disk URL Retrieve Rate カウンタと似ていますが、URL ではなくバイトを監視します。
Disk Cache Allocated Space (KB) | ディスク キャッシュが使用している領域のサイズです。この値は、ディスク キャッシュに対して構成されているサイズ以下の値になります。
Disk Content Write Rate (Writes/sec) | URL コンテンツをキャッシュ ディスクに書き込むための、ディスク キャッシュに対する 1 秒あたりの書き込み数です。
Disk Failure Rate (Failures/sec) | 1 秒あたりの入出力 (I/O) エラーの数です。I/O エラーは、ISA Server がディスク キャッシュからの読み取りまたはディスク キャッシュへの書き込みに失敗した場合に発生します。このカウンタは、Total Disk Failures カウンタと共に、ディスク キャッシュに問題があることを明確に示します。
Disk URL Retrieve Rate (URL/sec) | ディスク キャッシュからクライアントに送信される 1 秒あたりの URL の数です。ピーク時とオフピーク時にこのカウンタを計測すると、ディスク キャッシュのパフォーマンスの確認に役立ちます。Memory URL Retrieve Rate カウンタと比較することで、キャッシュ ディスクとメモリがどのように使用されているかを判別できます。
Max URLs Cached | キャッシュに格納された URL の最大数です。
Memory Bytes Retrieved Rate (KB/sec) | メモリ キャッシュから取得される 1 秒あたりのデータの量です。このカウンタは、Memory URL Retrieve Rate カウンタと似ていますが、URL ではなくバイトを監視します。
Memory Cache Allocated Space (KB) | メモリ キャッシュが使用している領域のサイズです。この値は、メモリ キャッシュに対して構成されているサイズ以下の値になります。
Memory URL Retrieve Rate (URL/sec) | メモリ キャッシュからクライアントに送信される 1 秒あたりの URL の数です。ピーク時とオフピーク時にこのカウンタを計測すると、メモリ キャッシュのパフォーマンスの確認や、キャッシュ用に割り当てられているメモリが効率的に使用されていているかどうかの確認に役立ちます。
Memory Usage Ratio Percent (%) | メモリ キャッシュからのキャッシュ フェッチの総量の割合です。割合が高い場合は、使用可能なメモリ リソースをさらにキャッシュに割り当てることが適切であることを示している可能性があります。割合が低い場合は、メモリ リソースを別の場所で使用するほうが有効であることを示している可能性があります。
Total Disk Bytes Retrieved (KB) | ディスク キャッシュから取得されたディスク バイトの累積数です。このカウンタと Total Memory Bytes Retrieved カウンタの合計は、キャッシュから取得された合計バイト数を示します。
Total Disk Failures | 入出力 (I/O) エラーによって、Web プロキシがディスク キャッシュの読み取りまたはディスク キャッシュへの書き込みに失敗した回数です。カウンタの値が小さい場合は、ディスクが正常に機能していることを示します。カウンタの値が高い場合は、キャッシュ ディスクが小さすぎる、遅すぎる、または破損している可能性があります。
Total Disk URLs Retrieved | ディスク キャッシュから取得された URL の累積数です。このカウンタと Total Memory URLs Retrieved カウンタの合計は、キャッシュから取得された URL の総数を示します。
Total Memory Bytes Retrieved (KB) | キャッシュへのクライアント要求に応答して、メモリ キャッシュから取得されたメモリ バイトの累積数です。値が小さい場合は、キャッシュ専用のメモリ リソースが効率的に使用されていないことを示している可能性があります。値が大きい場合は、キャッシュに割り当てるメモリ リソースを増やす必要があることを示している可能性があります。
Total Memory URLs Retrieved | キャッシュへのクライアント要求に応答して、メモリ キャッシュから取得された URL の累積数です。値が小さい場合は、キャッシュ専用のメモリ リソースが効率的に使用されていないことを示している可能性があります。値が大きい場合は、キャッシュに割り当てるメモリ リソースを増やす必要があることを示している可能性があります。
Total URLs Cached | キャッシュに格納された URL の累積数です。このカウンタと URLs in Cache カウンタの値が小さい場合は、キャッシュに問題があることを示している可能性があります。キャッシュが最適に使用できるように構成されていないか、キャッシュ サイズが小さすぎる可能性があります。
URL Commit Rate (URL/sec) | URL がキャッシュに書き込まれる速度です。このカウンタの値が Disk Failure Rate カウンタの値と同程度の場合は、キャッシュへの書き込みに失敗している率が高いことを示します。これは、キャッシュの構成に問題があるか、キャッシュ ディスクが遅すぎるか、キャッシュ サイズが小さすぎることを示している可能性があります。
URLs in Cache | キャッシュ内にある現在の URL 数です。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Microsoft ファイアウォール サービス パフォーマンス カウンタ

次の表は、Microsoft ファイアウォール サービス パフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Accepting TCP Connections | ファイアウォール クライアントからの伝送制御プロトコル (TCP) 接続を待機する接続オブジェクトの数です。
Active Sessions | ファイアウォール サービスのアクティブなセッション数です。
Active TCP Connections | 現在データを送受信しているアクティブな TCP 接続の数です。保留中の接続やまだ確立されていない接続は、別のカウンタで計測されます。
Active UDP Connections | アクティブなユーザー データグラム プロトコル (UDP) 接続の数です。
Available Worker Threads | 使用可能な、または完了ポート キューで待機中のファイアウォール サービス ワーカー スレッドの数です。
Back-connecting TCP Connections | 着信接続呼び出しの完了を待機している TCP 接続の数です。これらは、ファイアウォール サービスがリスニング ソケット上でインターネットからの接続を受け付けた後、クライアントに配置される接続です。
Bytes Read/sec | データ ポンプが読み取る 1秒あたりのバイト数です。
Bytes Written/sec | データ ポンプが書き込む 1秒あたりのバイト数です。
Pending TCP Connections | 保留中の TCP 接続の数です。これらは、ファイアウォール サービスとリモート コンピュータ間で完了を待機している接続です。
DNS Cache Entries | ファイアウォール サービスの動作の結果としてキャッシュされた、現在の DNS ドメイン名のエントリ数です。
DNS Cache Flushes | ファイアウォール サービスによって DNS ドメイン名キャッシュがフラッシュまたはクリアされた回数です。
DNS Cache Hits | ファイアウォール サービスによって DNS キャッシュ内で DNS ドメイン名が検出された回数です。
DNS Cache Hits % | ファイアウォール サービスによって取得されたすべての DNS エントリの総数に対して DNS キャッシュから返された DNS ドメイン名の割合です。
DNS Retrievals | ファイアウォール サービスによって取得された DNS ドメイン名の数です。
Failed DNS Resolutions 失敗した、次のアプリケーション プログラミング インターフェイス (API) 呼び出しの数です。
gethostbyname
および
gethostbyaddr
これらは、ファイアウォール サービス接続のホスト DNS ドメイン名と IP アドレスの解決に使用される呼び出しです。
Kernel Mode Data Pumps | ファイアウォール サービスによって作成されたカーネル モード データ ポンプの数です。
Listening TCP Connections | リモート インターネット コンピュータからの TCP 接続を待機する接続オブジェクトの数です。
Available UDP Mappings | UDP 接続に使用可能なマッピングの数です。
Pending DNS Resolutions 解決を保留にしている、次のアプリケーション プログラミング インターフェイス (API) 呼び出しの数です。
gethostbyname
および
gethostbyaddr
これらの呼び出しは、ファイアウォール サービス接続のホスト DNS ドメイン名とインターネット プロトコル (IP) アドレスの解決に使用される呼び出しです。
SecureNAT Mappings | SecureNAT によって作成されたマッピングの数です。
Successful DNS Resolutions 正常に返された、次のアプリケーション プログラミング インターフェイス (API) 呼び出しの数です。
gethostbyname
および
gethostbyaddr
これらは、ファイアウォール サービス接続のホスト DNS ドメイン名と IP アドレスの解決に使用される呼び出しです。
Worker Threads | 現在アクティブなファイアウォール サービス ワーカー スレッドの数です。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


SOCKS フィルタ パフォーマンス カウンタ

次の表は、SOCKS フィルタのパフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Active Sessions | 単一クライアントに対する CONNECT および BIND コマンドを含む単一の SOCKS セッションです。
Active Connections | 現在データを送受信しているアクティブな接続の総数です。保留中の接続やまだ確立されていない接続は含まれません。SOCKS 接続が確立されると、このカウンタの値は 1 増加します。SOCKS 接続は、CONNECT コマンドが正常に実行された後、SOCKS フィルタがプロトコルのデータ ポンプ ステージを開始するときにカウントされます。接続が終了すると、理由に関係なく、このカウンタの値が 1 減少します。
Connecting Connections | リモート コンピュータへの接続を待機している SOCKS 接続の数です。クライアントが CONNECT コマンドを SOCKS フィルタに送信すると、クライアントの代わりに SOCKS フィルタが指定されたサーバーに接続します。このカウンタの値は、SOCKS フィルタが指定されたサーバーへの接続プロセスを開始する直前に 1 増加し、指定されたサーバーへの接続が完了すると、正常に接続されたかどうかに関係なく 1 減少します。
Listening Connections | リモート コンピュータからの接続を待機している接続オブジェクト数です。クライアントが BIND コマンドを SOCKS フィルタに送信すると、SOCKS フィルタは指定されたポートで着信方向の接続をリッスンします。このカウンタの値は、SOCKS フィルタが着信方向の接続の待機を開始すると 1 増加し、着信方向の接続を受信するか、接続が終了すると 1 減少します。
Bytes Read/sec | すべての SOCKS 接続で 1 秒間に読み取られたバイト数です。"読み取られたバイト" とは、プロトコルのデータ ポンプ ステージ中にクライアントからサーバーに送信されたデータの量を指します。
Bytes Written/sec | プロトコルのデータ ポンプ ステージ中に、サーバーからクライアントに送信されたデータの量です。
Pending DNS Resolutions | 保留中の名前解決要求の数です。これらは、SOCKS 接続のホスト DNS 名と IP アドレスを解決する要求です。
Successful DNS Resolutions | 1 秒間に解決された名前解決要求の数です。これらは、SOCKS 接続のホスト DNS 名と IP アドレスを解決する要求です。

ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


Web プロキシ パフォーマンス カウンタ

次の表は、Web プロキシ パフォーマンス カウンタの一覧です。

パフォーマンス カウンタ | 説明
Array Bytes Received/sec (Enterprise) | 同じアレイ内の他の ISA Server コンピュータから受信する 1 秒あたりのデータ バイト数です。
Array Bytes Sent/sec (Enterprise) | 同じアレイ内の他の ISA Server コンピュータに送信される 1 秒あたりのデータ バイト数です。
Array Bytes Total/sec (Enterprise) | Array Bytes Sent/sec カウンタと Array Bytes Received/sec カウンタの合計です。これは、ISA Server コンピュータと同じアレイ内の他のメンバ間で転送されたすべてのデータ バイトの合計速度です。
Cache Hit Ratio (%) | キャッシュ内のデータを使用して処理された Web プロキシ クライアント要求の数 (Total Cache Fetches) を、ISA Server コンピュータに送られて正常に処理された Web プロキシ クライアント要求の総数 (Total Successful Requests) に対する割合として示します。この値は、キャッシュの有効性を示す 1 つの目安となります。カウンタの値が高い場合は、多数の要求がキャッシュから処理されており、応答速度が速いことを示します。カウンタの値がゼロの場合は、キャッシュ機能が無効であることを示します。カウンタの値が低い場合は、構成に問題があることを示している可能性があります。キャッシュ サイズが小さすぎるか、要求がキャッシュできないことが考えられます。
Cache Running Hit Ratio (%) | キャッシュから処理された要求の総数を、正常に処理された要求の総数に対する割合として示します。この割合は、Cache Hit Ratio カウンタで計測されるものと同じです。2 つのカウンタの違いは、Cache Running Hit Ratio カウンタが最後に処理された 10,000 個の要求に関する割合を計測するのに対して、Cache Hit Ratio カウンタ は Web プロキシが最後に起動されて以降の割合を計測する点です。つまり、Cache Running Hit Ratio カウンタのほうが、キャッシュの有効性をより動的に評価します。
Client Bytes Received/sec | Web プロキシ クライアントから受信する 1 秒あたりのデータ バイト数です。この値は、Web プロキシ クライアント要求の量に応じて変化しますが、常に低い場合は、要求の処理が遅延している可能性があります。
Client Bytes Sent/sec | Web プロキシ クライアントに送信される 1 秒あたりのデータ バイト数です。この値は、Web プロキシ クライアント要求の量に応じて変化しますが、常に低い場合は、要求の処理が遅延している可能性があります。
Client Bytes Total/sec | Client Bytes Sent/sec カウンタと Client Bytes Received/sec カウンタの合計です。これは、ISA Server コンピュータと Web プロキシ クライアント間で転送されたすべてのバイトの合計速度です。
Current Array Fetches Average (Milliseconds/request) | 別のアレイ メンバを介してフェッチされた Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。これには、Secure Sockets Layer (SSL) トンネルによる処理に対する要求は含まれません。
Current Average (Milliseconds/request) | Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。SSL トンネルによって処理された要求は含まれません。ピーク時とオフピーク時にこのカウンタを監視すると、クライアント要求の処理速度に関する実態を包括的に把握できます。このカウンタの値が高すぎる場合は、ISA Server コンピュータがすべての要求を処理しきれず、要求が遅延していることを示している可能性があります。
Current Cache Fetches Average(Milliseconds/request) | キャッシュからの Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。これには、SSL トンネルによる処理に対する要求は含まれません。
Current Direct Fetches Average (Milliseconds/request) | Web サーバーまたは上位プロキシに直接送信された Web プロキシ クライアント要求の処理に要した平均時間 (ミリ秒) です。これには、SSL トンネルによる処理に対する要求は含まれません。
Current Users | 現在 Web プロキシを実行しているクライアントの数を示します。ピーク時とオフピーク時にこのカウンタを監視すると、サーバーの使用状況を知る 1 つの目安となります。この値は、Web 要求の最大接続数の構成設定に影響されます。このカウンタは、ISA Server サービスを一時的に停止する必要がある場合も役立ちます。
DNS Cache Entries | Web プロキシによってキャッシュされた、現在の DNS ドメイン名のエントリ数です。カウンタ値が高い場合は、DNS キャッシュ エントリが DNS 参照を行う必要がなく、システム リソースが節約されているため、パフォーマンス上のメリットがあることを示しています。
DNS Cache Flushes | Web プロキシによって DNS ドメイン名キャッシュがフラッシュまたはクリアされた回数の合計です。DNS キャッシュは、データを格納する領域がなくなると、新しいエントリを作成できるようにフラッシュされます。
DNS Cache Hits | Web プロキシによって DNS キャッシュ内で DNS ドメイン名が検出された回数の合計です。このカウンタを DNS Cache Entries カウンタおよび DNS Cache Flushes カウンタと比較することで、DNS キャッシュが効率的に機能しているかどうかを確認できます。DNS キャッシュのヒット数が低い場合は、すべての DNS 参照の速度が低下するため、特に参照プロセスに問題が生じている場合は、パフォーマンスに影響します。
DNS Cache Hits % | キャッシュ内のデータを使用して解決された DNS エントリ数 (DNS Cache Hits) を、Web プロキシによって取得された DNS ドメイン名の総数 (DNS Retrievals) に対する割合として示します。このカウンタの値が高い場合は、DNS データがキャッシュから処理され、DNS 参照を解決するオーバーヘッドが発生していないため、パフォーマンスが優れていることを示します。
DNS Retrievals | Web プロキシによって取得された DNS ドメイン名の総数です。
Failing Requests/sec | 何らかのエラーによって終了した 1 秒あたりの Web プロキシ クライアント要求の数です。このカウンタを Requests/sec カウンタと比較することで、ISA Server が着信方向の Web 要求を処理する能力を確認できます。着信方向の要求数との比較で失敗率が高い場合は、ISA Server がすべての着信方向の要求に対応しきれていないことを示しています。着信方向の Web 要求の接続設定が正しく構成されていないか、接続帯域幅が不十分である可能性があります。
FTP Requests | Web プロキシに対して行われた FTP (ファイル転送プロトコル) 要求の数です。このカウンタ値が常に低い場合は、FTP オブジェクトのキャッシュ ポリシーに影響する可能性があります。
HTTP Requests | Web プロキシに対して行われたHTTP (ハイパーテキスト転送プロトコル) 要求の数です。
HTTPS Sessions | SSL トンネルによって処理された、Secure HTTP (HTTPS) のセキュリティで保護されたセッションの総数です。
Maximum Users | Web プロキシに同時に接続しているユーザーの最大数です。このカウンタは、負荷状況やライセンス要件を調べる場合に役立ちます。
Requests/sec | Web プロキシに対して行われた 1 秒あたりの着信方向の要求数です。この値が高い場合は、着信方向の要求を処理するために、より多くの ISA Server リソースが必要になることを示します。
Reverse Bytes Received/sec | 着信方向の要求に対する応答として Web プロキシが Web 公開サーバーから受信する 1 秒あたりのデータ バイト数です。ピーク時とオフピーク時にこの値を監視すると、着信方向の Web 要求に対する ISA Server の処理能力を調べることができます。
Reverse Bytes Sent/sec | 着信方向の要求に対する応答として Web プロキシから Web 公開サーバーに送信される 1 秒あたりのデータ バイト数です。ピーク時とオフピーク時にこの値を監視すると、着信方向の Web 要求に対する ISA Server の処理能力を調べることができます。
Reverse Bytes Total/sec | Reverse Bytes Sent/sec カウンタと Reverse Bytes Received/sec カウンタの合計です。これは、着信方向の要求に対する応答として Web プロキシと Web 公開サーバー間で転送されるすべてのバイトの合計速度です。
Site Access Denied | Web プロキシがアクセスを拒否したインターネット サイトの総数です。この値が極端に高い場合は、アクセス ポリシーによる制約が厳しすぎることを示している可能性があります。
Site Access Granted | Web プロキシがアクセスを許可したインターネット サイトの総数です。これを Site Access Denied カウンタと比較することで、アクセス ポリシー構成の効果を数値で確認することができます。
SNEWS Sessions | SSL トンネルによって処理された SNEWS セッションの総数です。
SSL Client Bytes Received/sec | Web プロキシが SSL クライアントから受信する 1 秒あたりの SSL データのバイト数です。Client Bytes Received/sec カウンタと似ていますが、SSL 要求のみがカウントされます。
SSL Client Bytes Sent/sec | Web プロキシから SSL クライアントに送信される 1 秒あたりの SSL データのバイト数です。Client Bytes Sent/sec カウンタと似ていますが、SSL 要求のみがカウントされます。
SSL Client Bytes Total/sec | SSL Client Bytes Sent/sec カウンタと SSL Client Bytes Received/sec カウンタの合計です。これは、Web プロキシと SSL クライアント間で転送されたすべてのバイトの合計速度です。
Thread Pool Active Sessions | スレッド プールによってアクティブに処理されたセッションの数です。
Thread Pool Failures | スレッド プールがいっぱいであるために拒否された要求の数です。
Thread Pool Size | スレッド プール内のスレッドの数です。このスレッド プールは、クライアント要求を処理するために使用できるリソースを表します。
Total Array Fetches (Enterprise) | 同じアレイ内の別の ISA Server からデータを要求することによって処理された Web プロキシ クライアント要求の総数です。これらの要求は、オブジェクトをメンバ サーバーのキャッシュのいずれかに無作為に格納する CARP (Cache Array Routing Protocol) アルゴリズムによる結果です。サーバーのキャッシュが大きいほど、多数のキャッシュ アイテムを保持できるため、このカウンタは、アレイ内の各 ISA Server のキャッシュ サイズに依存します。各サーバーの負荷係数を構成して、アレイ メンバ間でどのように負荷を分散するかを確定することもできます。
Total Cache Fetches | キャッシュ データを使用することによって処理された Web プロキシ クライアント要求の総数です。この値が高いほど、キャッシュが十分に活用されていることを示します。
Total Failed Requests | エラーにより Web プロキシで処理できなかった要求の総数です。エラーは、Web プロキシが要求されたサーバーの URL をインターネットで検出できなかったか、要求された URL に対する承認済みアクセス権がクライアントになかった場合に発生します。このカウンタの値は、Total Successful Requests カウンタより低くなければなりません。そうでない場合は、ISA Server で要求が効率的に処理できていないことを示します。これは、構成に問題があるか、接続速度が遅すぎることが原因と考えられます。また、アクセス ポリシーによる制約が厳しすぎることを示している可能性もあります。
Total Pending Connects | Web プロキシに対する保留中の接続の総数です。
Total Requests | Web プロキシに対して行われた要求の総数です。これは、Total Successful Requests カウンタと Total Failed Requests カウンタの合計です。
Total Reverse Fetches | Web 公開サーバーからデータを要求することによって処理された、着信方向の要求の総数です。
Total SSL Sessions | SSL トンネルによって処理された SSL セッションの総数です。
Total Successful Requests | Web プロキシによって正常に処理された要求の総数です。このカウンタを Total Requests カウンタおよび Total Failed Requests カウンタと比較することで、ISA Server における要求処理の有効性を調べることができます。
Total Upstream Fetches | インターネットまたはチェーン構成されたプロキシ コンピュータのデータを使用して処理された要求の総数です。このカウンタを Total Cache Fetches カウンタと比較することで、インターネットまたは上位のプロキシ上のリモート サーバーで処理された要求を、キャッシュから処理された要求に対する割合として確認することができます。
Total Users | Web プロキシに接続しているユーザーの総数です。これは、サーバーの過去の使用状況履歴を表します。
Unknown SSL Sessions | SSL トンネルによって処理された不明な SSL セッションの総数です。
Upstream Bytes Received/sec | Web プロキシからの要求に対する応答として、Web プロキシがインターネット上のリモート サーバーまたはチェーン構成されたプロキシ コンピュータから受信する 1 秒あたりのデータ バイト数です。このカウンタの値は、接続の帯域幅に一部依存します。カウンタ値が常に低い場合は、接続速度が低いためにボトルネックが生じていることを示す可能性があります。この状況を改善するには、帯域幅の優先順位の構成を変更します。あるいは、接続速度を高める必要がある場合もあります。
Upstream Bytes Sent/sec | Web プロキシからインターネット上のリモート サーバーまたはチェーン構成されたプロキシ コンピュータに送信される 1 秒あたりのデータ バイト数です。このカウンタの値は、接続の帯域幅に一部依存します。カウンタ値が常に低い場合は、接続速度が低いためにボトルネックが生じていることを示す可能性があります。この状況を改善するには、帯域幅の優先順位の構成を変更します。あるいは、接続速度を高める必要がある場合もあります。
Upstream Bytes Total/sec | Upstream Bytes Sent/sec カウンタと Upstream Bytes Received/sec カウンタの合計です。これは、Web プロキシとインターネット上のリモート サーバーまたはチェーン構成されたプロキシ サーバーの間で転送されるすべてのバイトの合計速度を表します。


著作権

このドキュメントに記載されている情報 (URL 等のインターネット Web サイトに関する情報を含む) は、将来予告なしに変更することがあります。別途記載されていない場合、このソフトウェアおよび関連するドキュメントで使用している会社、組織、製品、ドメイン名、電子メール アドレス、ロゴ、人物、場所、出来事などの名称は架空のものです。実在する商品名、団体名、ドメイン名、電子メール アドレス、ロゴ、個人名、場所などとは一切関係ありません。お客様ご自身の責任において、適用されるすべての著作権関連法規に従ったご使用を願います。このドキュメントのいかなる部分も、米国 Microsoft Corporation の書面による許諾を受けることなく、その目的を問わず、どのような形態であっても、複製または譲渡することは禁じられています。ここでいう形態とは、複写や記録など、電子的な、または物理的なすべての手段を含みます。ただしこれは、著作権法上のお客様の権利を制限するものではありません。

マイクロソフトは、このドキュメントに記載されている内容に関し、特許、特許申請、商標、著作権、またはその他の無体財産権を有する場合があります。別途マイクロソフトのライセンス契約上に明示の規定のない限り、このドキュメントはこれらの特許、商標、著作権、またはその他の無体財産権に関する権利をお客様に許諾するものではありません。

ここにあるリンクによって、マイクロソフトの製品または Web サイトから別のサイトへ移動することができます。リンク先のサイトはマイクロソフトが管理するものではなく、したがって、リンク先のサイトの内容、含まれるリンク、およびそのサイトの変更や更新について、マイクロソフトは責任を負うものではありません。また、リンク先のサイトから受信する Web キャストまたはその他の伝送形式についても、責任を負うものではありません。これらのリンクは、お客様の利便性を考慮して提供されているものであり、マイクロソフトがそのリンクの内容を保証していることを意味するものではありません。

© 2004 Microsoft Corporation. All rights reserved.

Microsoft、Active Directory、Microsoft Press、MSDN、Visual Basic、Visual C++、Windows、および Windows NT は、米国 Microsoft Corporation の米国およびその他の国における登録商標または商標です。

記載されている会社名、製品名には、各社の商標のものもあります。


構成

Microsoft Internet Security and Acceleration (ISA) Server 2004 を構成するには、まず ISA Server ネットワーク トポロジを定義し、ネットワーク間のトラフィックの移動方法を指定するネットワーク ルールを作成します。次に、キャッシュの有効化、キャッシュ プロパティの構成、アプリケーション フィルタと Web フィルタの有効化、および一般的な管理設定とセキュリティ設定の定義を行うことができます。

コンソール ツリーの [構成] ノード内のリンクを使用して、次の構成を行います。

  • [サーバー]。アレイ メンバの状態を表示します。サーバー固有のプロパティを構成します。詳細については、「アレイとアレイ メンバ」を参照してください。
  • [ネットワーク]。ISA Server ネットワークを構成し、それらのネットワーク間でトラフィックを送信する方法を定義します。詳細については、「ネットワーク」を参照してください。
  • [キャッシュ]。キャッシュを有効にし、Web オブジェクトのキャッシュ方法を定義し、コンテンツ ダウンロード ジョブを作成します。詳細については、「キャッシュ」を参照してください。
  • [アドイン]。アプリケーション フィルタと Web フィルタを有効にして、ISA Server に追加のセキュリティを適用します。詳細については、「アドイン」を参照してください。
  • [全般]。この ISA Server コンピュータに対して、グローバルな管理設定と構成設定を定義します。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


サーバー固有の情報および機密の情報

構成をエクスポートする場合は、サーバー固有の情報および機密の情報をエクスポートするように選択できます。エクスポートの詳細については、「構成のエクスポートとバックアップ」を参照してください。

サーバー固有の情報をインポートする

情報のエクスポート元のアレイにその情報をインポートする場合、または同じ名前のメンバ サーバーを使用する新しいアレイにインポートする場合は、[サーバー固有の情報をインポートする] オプションを選択します。

このオプションを選択すると、キャッシュ構成、SSL (Secure Sockets Layer) 証明書、仮想プライベート ネットワーク (VPN) の静的アドレス プールなど、各アレイ メンバのサーバー構成が復元されます。

複数のメンバを持つアレイにインポートする場合にこのオプションを選択すると、間違った無効なサーバー設定がインポートされます。

インポートの詳細については、「構成のインポートと復元」を参照してください。

ユーザー アクセス許可設定をインポート/エクスポートする

エクスポートしたアレイまたはエンタープライズのアクセス許可設定を復元する場合に、このオプションを選択します。このオプションを選択する場合は、ドメイン ユーザーおよびロール定義など、インポートしたアレイまたはエンタープライズの環境が、エクスポート元と同じである必要があります。このオプションは、同じエンタープライズに復元する場合に便利です。同じドメイン内でアレイ構成を複製する場合にも役立ちます。

機密の情報をエクスポートする

構成をバックアップ ファイルとしてエクスポートする場合に、このオプションを選択します。エクスポートされる機密の情報は、次のとおりです。

  • 警告、ログ、レポート、レポート ジョブ、プライマリおよびバックアップ ルート、ダイヤルアップ接続、Web 公開、およびアレイ内通信に使用する資格情報
  • RADIUS 構成に指定される共有シークレット
  • インターネット プロトコル セキュリティ (IPsec) 構成に指定される事前共有キー

このオプションを選択する場合は、8 文字以上のパスワードを指定する必要があります。

Web リンク ISA Server の最新情報については、「ISA Server のガイダンス」を参照してください。


インポートの操作

アレイまたはエンタープライズに構成情報をインポートする場合は、インポートまたは上書き (復元) を選択できます。

構成のインポートを選択した場合は、指定した .xml ファイル内のすべての情報が、既存の構成情報に追加されます。つまり、アレイまたはエンタープライズに対して既にルールを構成している場合、それらのルールは消去されません。

上書きを選択した場合は、既存の構成が消去されます。インポートした .xml ファイルの構成情報のみが、アレイまたはエンタープライズに定義されます。