ISA防火墙简介

是微软公司的产品，全名叫Internet Security and Acceleration,

ISA 服务器Microsoft® Internet Security and Acceleration (ISA) Server 2004 是可扩展的企业防火墙以及构建在 Microsoft Windows Server™ 2003 和 Windows® 2000 Server 操作系统安全、管理和目录上的 Web 缓存服务器，以实现基于策略的网际访问控制、加速和管理。

Internet 为组织提供与客户、合作伙伴和员工连接的机会。这种机会的存在，同时也带来了与安全、性能和可管理性等有关的风险和问题。ISA 服务器旨在满足当前通过 Internet 开展业务的公司的需要。ISA 服务器提供了多层企业防火墙，来帮助防止网络资源受到病毒、黑客的攻击以及未经授权的访问。ISA Server 2004 Web 缓存使得组织可以通过从本地提供对象(而不是通过拥挤的 Internet)来节省网络带宽并提高 Web 访问速度。

无论是部署成专用的组件还是集成式防火墙和缓存服务器，ISA 服务器都提供了有助于简化安全和访问管理的统一管理控制台。ISA 服务器为 Windows Server 2003 和 Windows 2000 Server 平台而构建，它通过强大的集成式管理工具来提供安全而快速的 Internet 连接。

ISA 服务器概述Microsoft® Internet Security and Acceleration (ISA) Server 2004 提供安全、快速和可管理的 Internet 连接。ISA 服务器集成了可识别应用程序层且功能完善的多层企业防火墙和高性能的 Web 缓存。它构建在 Microsoft Windows Server™ 2003 和 Windows® 2000 Server 安全和目录之上，以实现基于策略的网际安全、加速和管理。

将网络和用户连接到 Internet 会引入安全性和效率问题。ISA Server 2004 为组织提供了在每个用户的基础上控制访问和监视使用的综合能力。ISA 服务器保护网络免受未经授权的访问、执行状态筛选和检查，并在防火墙或受保护的网络受到攻击时向管理员发出警报。

ISA 服务器是防火墙，通过数据包级别、电路级别和应用程序级别的通讯筛选、状态筛选和检查、广泛的网络应用程序支持、紧密地集成虚拟专用网络(VPN)、系统坚固、集成的入侵检测、智能的第 7 层应用程序筛选器、对所有客户端的防火墙透明性、高级身份验证、安全的服务器发布等方法，增强安全性。ISA Server 2004 可实现下列功能:

保护网络免受未经授权的访问。

保护 Web 和电子邮件服务器防御外来攻击。

检查传入和传出的网络通讯以确保安全性。

接收可疑活动警报。

Internet 提高了组织的工作效率，但这是以内容可访问、访问速度快且成本合理为前提的。ISA Server 2004 缓存通过提供本地缓存的 Web 内容将性能瓶颈控制在最少，并节省网络带宽。ISA 服务器可实现下列功能:

通过从 Web 缓存(而不是拥挤的 Internet)提供对象来提高用户的 Web 访问速度。

通过减少链路上的网络通讯来减少 Internet 带宽成本。

分布 Web 服务器内容和电子商务应用程序，从而有效地覆盖了全世界的客户并有效地控制了成本。

从 ISA 服务器 Web 缓存中提供常用的 Web 内容，并将节省出来的内部网络带宽用于其他内容请求。

通过组合防火墙和高性能的 Web 缓存功能，ISA Server 2004 提供了有助于降低网络复杂度和减少成本的公共管理基础结构。ISA 服务器与 Windows Server 2003 和 Windows 2000 紧密集成，从而提供了一种管理用户访问以及防火墙规则配置的一致而有效的途径。

安全策略和规则因组织而异。通讯量和内容格式导致了唯一性问题。没有单个产品能够满足所有的安全和性能需求，为了实现高度的可扩展性，ISA Server 2004 便应运而生了。可用于 ISA 服务器的其他资料有:全面的软件开发人员工具包 (SDK)、大型的第三方附加解决方案选集，以及可扩展的管理选件。

使用 ISA 服务器管理组件对象模型 (COM)，可以扩展 ISA 服务器的功能。管理对象还允许对通过 ISA 服务器管理完成的所有任务进行自动化处理。这意味着 ISA 服务器管理员可以通过使用管理对象来自动完成所有任务。

以在Windows XP系统中安装ISA防火墙为例介绍方法:

第1步，运行安装程序Setup.exe进入"Microsoft Firewall Client安装向导"，单击"下一步"按钮。打开"目标文件夹"对话框，单击"更改"按钮选择客户端安装目录(建议保持默认目录)，并单击"下一步"按钮。

第2步，打开"ISA服务器计算机选择"对话框，在该对话框中需要指定防火墙客户端要连接的ISA服务器计算机。选中"连接到此ISA服务器计算机"单选框，并在其下的编辑框中输入ISA服务器的主机名或IP地址。设置完毕单击"下一步"按钮。

第3步，在打开的"可以安装程序了"对话框中单击"安装"按钮，打开"正在安装Microsoft Firewall Client"对话框。可以通过进度条观察安装进度，安装完毕直接单击"完成"按钮即可。

第4步，完成安装后防火墙客户端会自动在网络中检测ISA Server 2004(SP2)服务器并连接。如果防火墙客户端没有自动连接到ISA Server 2004(SP2)服务器，用户可以双击系统托盘中的客户端图标，打开Microsoft Firewall Client for ISA Server 2004(SP2)对话框。选中"手动选择ISA服务器"单选框，在其下的编辑框中输入ISA服务器的IP地址或主机名，并单击"测试服务器"按钮。

第5步，打开"正在测试ISA服务器"对话框，如果网络畅通，则很快会返回ISA服务器的主机名。依次单击"关闭"→"确定"按钮连接至ISA Server 2004(SP2)服务器。

ISA是IndustryStandardArchitecture的缩写ISA插槽是基于ISA总线(IndustrialStandardArchitecture，工业标准结构总线)的扩展插槽，其颜色一般为黑色，比PCI接口插槽要长些，位于主板的最下端。其工作频率为8MHz左右，为16位插槽，最大传输率16MB/sec，可插接显卡，声卡，网卡已及所谓的多功能接口卡等扩展插卡。其缺点是CPU资源占用太高，数据传输带宽太小，是已经被淘汰的插槽接口。

ISA是8/16bit的系统总线，最大传输速率仅为8MB/s，但允许多个CPU共享系统资源。由于兼容性好，它在上个世纪80年代是最广泛采用的系统总线，不过它的弱点也是显而易见的，比如传输速率过低、CPU占用率高、占用硬件中断资源等。后来在PC'98规范中，就开始放弃了ISA总线，而Intel从i810芯片组开始，也不再提供对ISA接口的支持。

ISA卡外观

2ISA总线时序

ISA总线是IBMPC/AT机(CPU是80286)所用的系统总线.。PC/AT总线经过标准化之后的名称。IEEE将ISA总线作为IEEEP996推荐标准。这是一个16位兼8位的总线标准。如果忽略标准化细节则可认为16位ISA总线就是PC/AT总线。由于IBMPC/AT与IBMPC、IBMPC/XT机(CPU都是8088)所用的Pc总线兼容，所以可认为8位ISA总线(16位ISA总的低8位部分)就是PC总线。

ISA总线的时序和80868088的时序基本相同但也有一些区别。有了8086/8088时序基础对ISA总线时序的理解主要在于以下几点

①地址和数据已不再分时复用信号线因此在整个总线周期内有效。

②和8086/8088的最大模式一样,存储器读/写和I/O读/写的控制信号已分开,进行一种操作只需一个控制信号。

③一个典型的存储器读/写周期还是由T1、T2、T3和T4组成,而I/O读写周期和DMA周期都自动插入了一个等待时钟周期。

④I/OCHRAY相当于8086/8088时序中的READY信号。当总线板卡上

的存储器或I/0电路较慢时,可利用该信号迫使CPU插入等待时钟周期。但等待时钟周期不得超过10个。

⑤8位ISA总线在存储器读/写周期可用到20位地址,而16位ISA总线在存储器读写周期中可使用24位地址。但由于受I/O指令的限制。8位和16位ISA总线的I/0读/写周期都只能使用低16位地址。

⑥BALE在CPU总线周期的T1期间有效,它的基本作用是进行地址锁存。但也可以作为一个新的CPU总线周期已开始的标志。

⑦AEN有效表示DMAC正在控制系统总线所以它可以作为系统处于DMA总线周期的标志。

3ISA总线接口

执行ISA总线规范的电路称为。ISA总线接口。通过ISA总线接口可以为系统扩充存储器。也可以扩充I/O设备。在实际应用中对后者的需求更大因为机器主板上一般已经或者可以安装足够的存储器而I/O设备是各种各样的。系统对I/O设备的需求也不尽相同。正因为如此，ISA总线又被归类于I/O扩展总线。注意I/O设备是一个广义的概念可以是像打印机、硬盘那样实实在在的设备。也可以是像A/D转换器、D/A转换器、计数器那样的电路。当

I/O设备是一个电路时。通常和总线接口做在一个总线板卡上习惯称之为某某接口板(如A/D接口板)或某某接口(如D/A接口)。从ISA总线的引脚信号以及总线时序看和8086/8088最大模式时的系统三总线以及8086/8088的总线周期时序差别不大，因此在设计ISA总线接口特别是I/O接口时。除了下面三点需要注意外，可以采用与设计8086/8088

接口几乎相同的方法。这三点是

1.当设计非DMA方式的I/O接口时,应把AEN为低作为该接口工作的使能

条件。以确保在总线上进行DMA传送时该接口不工作，否则DMA传送时所发出的

地址与该接口设计地址相同时该接口会误操作。

2.系统对ISA总线上的I/O端口地址采用部分译码方法。只译码A9、AO或

A10、A0。在选择接口地址时应避开系统已占用的地址以及它们的重叠区。

3如果所要设计的接口中包含需要CPU插入等待时钟的功能则需设计

一个I/0CHRAY产生电路。以便在必要时使总线上的I/OCHRAY线为低电平。

但该电路与总线上的I/OCHRAY线的电气连接以及有效信号出现和持续时

间等方面有一些要求，实际应用时需再参阅其详细资料。

从图中的信号可以看出，ISA的信号与PC机(PC/XT、PC/AT)所使用的外围芯片以及CPU类型有着十分密切的关系。如8位ISA的地址与数据线本身就是8088的地址与数据线宽度，16位ISA的24位地址与16位数据与80286一致。8位ISA的IRQ与DRQ是1片8259和1片8237的信号，16位ISA的IRQ与DRQ则是2片8259和2片8237级连等。可以说ISA总线是IntelCPU及外围芯片信号的延伸。

总线信号:

(1)总线基本信号。总线基本信号指的是用于总线工作的最基本的信号，通常有复位、时钟、电源、地线等。

(2)总线访问信号。总线访问信号指的是用于访问数据的地址、数据线以及相应的应答信号。

(3)总线控制信号。ISA总线控制主要有中断和DMA请求两种方式。中断方式时由ISA卡发出中断请求而取得软件的控制权;DMA请求方式则在DMA控制器响应请求后，由DMA控制器代为管理总线的控制，或者与MASTER信号配合取得ISA总线的真正控制权。