ISA Server 2004/2006 VPN Quarantine Service (实际操作篇)
[b]ISA Server 2004/2006 VPN Quarantine Service ([/b][b]实际操作篇[/b][b])[/b]花了将近2天的时间，仔细的研究了ISA Server 2004/2006中的Quarantine功能，比照网上的一些有关内容，反复的做测试，不过总是磕磕绊绊的（说实话，都快吐了），但总算是搞通了，原来是网上的script出了问题，网上给出的script中rqc.exe命令的执行格式与现在实际用的命令是略有不同的，（咋也没个人说一声的），于是在此作个记录，日后自己也好有个参照，（免得自己再吐口水哦）；
要启动ISA中的VPN Quarantine功能，需要以下几部分的工作（这里全部是W2K3 R2 with SP1作为系统平台,ISA Server 2006 Standard）；
[b]第一部分（[/b][b]ISA Server[/b][b]所在的服务器）[/b]
1. 在ISA Server所在的防火墙上安装Remote Access Quarantine Service (具体位置可以在"Add/Remove Windows Components"-->"Networking Services"--->Details--->"Remote Access Quarantine Service") (注：网上也有说明可以在Windows Server 2003 SP1 Resource Kit Tools找到，但我觉得不如上面的方法"better and straightfoward".) 注意,这个Service不是自动启用的,需要打开Services.msc来手动Start,如果需要还要将它设置成自动;
[b]第二部分[/b][b](ISA Server[/b][b]本身的设置[/b][b])[/b]
1. 默认Remote Access Quarantine Service需要和客户端通讯所需要的端口(Port)---7250,所以需要在ISA Server 2004/2006启动相应的Firewall Policy来Allow这样的通讯,当然可以通过添加修改注册表中有关RQS端口的键值来修改这个默认的端口;
这步相对简单,但要注意,在自定义New Protocol(For RQS),选项为:Protocol type--->[b]TCP[/b], Direction--->[b]OutBound[/b], Port Range From:[b]7250[/b] To:[b]7250[/b][b]；[/b]建立Firewall Rule时, Traffic--->自定义New Protocol(For RQS), Source--->Quarantined VPN Clients&VPN Clients, Destination--->[b]Local Host[/b], Accepted user set--->All Users;
2. 另外,需要启用ISA Server中的 VPN Quarantine:
ISA Server Management Console中打开Quarantine VPN Clients Network的Properties--->Quarantine Tab--->Check "Enable Quarantine Control", 我在这里为了简单,选择了"Quarantine according to ISA Server policies",同时,可以设置验证不通过而断开的时间和特殊的用户/组;
[b]第三部分[/b][b]([/b][b]在[/b][b]ISA Server[/b][b]所在的服务器上制作客户端程序包[/b][b])[/b]
实际上,不一定非要在ISA Server所在的服务器上安装CMAK(Connection manager Administration Kit),我这里只是为了方便;
1. 安装CMAK:
"Add/Remove Windows Componts"-->"Management and Monitoring Tools"--->"Connection Manager Administration Kit"
2. 制作CMAK VPN Profile:
制作过程中一般都保留默认值,但有几个页面需要注意:
a>. "VPN Support" Page --->Check "Phone book from this profile" & Enter the IP address or VPN Server name in "Always use the same VPN Server" Field;
b>. "Phone Book" Page --->Uncheck "Automatically download phone book updates";
c>. "Custom Actions" Page (Important!) --->Choose "Post-Connect" & Click "New"--->"Edit Custom Action" Page --->"Program to run:"-- RQScript.vbs(我这里使用的例程); "Parameters:"---%DialRasEntry% %TunnelRasEntry% %Domain% %UserName%(这里参数的设置要和例程中的对应), Make sure "Action type"---Post-connect, "Run this custome action for"--All connections, check both options below "include the custome action program with this service profile"&"Program interacts with the user";(具体的例程见下面，找的我好辛苦的，而且还是错的，还好有编程的底子，仔细分析了之后，找到了问题，呵呵)
d>. "Additional Files" Page --->将"\program files\CMAK\support\"下的rqc.exe加进来，如果你使用的例程中还要调用其他程序，这里一并加进来，我这里使用的例程是不需要的。
到此，这个客户端使用的CMAK profile就完成了，可以在"\Program Files\Cmak\Profiles\"下找到这个制作好的folder，于是可以通过任何方式，Distribute this folder to clients and Excute on client computer.
[b]特别注意：[/b]
如果要使用这里的这段例程，实际上在第一部分中漏掉了一个很重要的一步，[b]修改注册表[/b]，使Quarantine Service能够真正的和客户端通讯（在后面我也收集了网上其他达人有关Quarantine的原理）：
在安装有QRS服务的Server上，查看\HKLM\System\CurrentControlSet\Services\rqs\下键值"AllowedSet"(Type:REG_MULTI_SZ) 值为"RQVersion3"(如果没有就需要手动建立)和"Autherticator"(Type:REG_SZ)值为"C:\Program Files\Microsoft ISA Server\vpnplgin.dll"(不带引号，注：我觉得好像没用，我没有试，但网上说最好设好，否则也不能成功通讯，不过如果舍的话一定要设对，设错路径，这个服务就可能无法启动而报错)；
关掉注册表编辑，restart一下RQS服务；
如此这般，如果一切设置正确，就应该可以成功试验这个功能了。
回复 #1 marco2007 的帖子
OK,已经发送成功了. 请大家多提意见,参与跟贴呀. 搜索下program files\CMAK\support\"下的rqc.exe搜索出这一大对学问` ddddddddddddddddddd 在ISA上做VPN没这么复杂。。。 嗯 。。不错。。
页:
[1]