微軟防火墻Forefront TMG配置管理與企業應用
責編：admin ｜2015-02-09 14:06:02第一章 概述
Forefront是微軟系列安全產品；
Threat Management Gateway 威脅管理網關；
Forefront TMG不能封殺P2P和流量控制，只能限制客戶端并發連接數；
通常，每600-800個并發連接需要一臺TMG；
與VPN集成：TMG充分發揮并利用了OS的“路由和遠程訪問”功能，在TMG的控制臺實現了VPN功能（PPTP、L2TP、SSTP）；
TMG陣列（高可用、可伸縮、分布式永久緩存）和NLB（OS功能集成到TMG）；
讀書筆記：微軟防火墻Forefront TMG配置管理與企業應用
第二章 安裝及基本應用
P20 拓撲圖 TMG陣列外側有個“外網交換機”；
路由：路徑選擇
NAT：Network Address Translation，IP地址級的1對1映射，每個IP地址，同一時刻只能允許1個內網地址使用；
NAPT：Network Address Port Translation，就是將多個內部地址映射為一個合法公網地址，但以不同的協議端口號與不同的內部地址相對應，也就是在<內部地址+內部端口>和<外部地址+外部端口>之間的轉換；NAPT普遍用于接入設備中，也稱為“多對一”的NAT；
P28 TMG客戶端
防火墻客戶端 僅Windows系統 安裝軟件 所有Winsock應用程序
SecureNAT客戶端 就是內網用戶和VPN客戶端
Web代理客戶端
P79 Https檢查的工作原理
為了提供 HTTPS 保護，Forefront TMG 在啟動 HTTPS 連接的客戶端計算機和安全網站之間充當中介或“中間人”。當客戶端計算機啟動與安全網站的連接時，Forefront TMG 攔截請求并執行以下操作：
1.與所請求的網站建立安全連接（SSL 隧道）并驗證該站點的服務器證書。
2.復制有關該網站的證書的詳細信息，用這些詳細信息創建一個新的 SSL 證書，并用一個名為 HTTPS 檢查證書的證書頒發機構證書對這個新證書進行簽名。
3.將這個新證書提供給客戶端計算機，并與客戶端計算機建立一個單獨的 SSL 隧道。
由于 HTTPS 檢查證書以前放在客戶端計算機的受信任根證書頒發機構的證書存儲中，因此客戶端計算機會信任由該證書簽名的任何證書。在該會話期間，Forefront TMG 服務器可以通過分開該連接并創建兩個安全隧道，對客戶端計算機和安全網站之間的所有通信進行解密和檢查。
http：//technet.microsoft.com/zh-cn/library/ee658156.aspx
需要注意的是，由于 HTTPS 掃描的工作原理，有些 Web 服務器站點（例如要求客戶端證書驗證的 Web 站點）是不支持 HTTPS 掃描的，另外一些表面上使用HTTPS端口、實際上使用偽裝協議的 SSL VPN也不支持 HTTPS 掃描。對于這部分站點，你需要在此設置例外，并且可以點擊驗證按鈕來切換是否檢查對方的服務器證書有效性。
第三章 TMG應用之多線路和多臺服務器發布
P162 發布多個FTP
FTP的PORT與PASV模式
PORT 21 發送PORT命令 服務器20連接客戶端PORT包含的端口
PASV 21 發送PASV命令 服務器返回一個隨機的高端端口號
通常是FTP工作在PASV模式并配置FTP指定服務端口
通過域名訪問內部網站的問題
1.DNS的方法；
2.創建拒絕訪問策略，屬性 操作中 將web客戶端重定向到以下URL
實現雙線ISP功能
Panabit流量監控
下一篇：BT5無法找到軟件安裝包