Отношения сетей влияют на действие правил доступа Шлюз Microsoft Forefront Threat Management. В частности, этот момент необходимо учитывать при настройке внутренних клиентов для доступа к ресурсам в других внутренних сетях.

Обычно доступ внутренних клиентов к другим сетям контролируется с помощью правил доступа, однако в некоторых случаях для управления доступом этого типа (например, при предоставлении клиентам основной сети предприятия прав на доступ к ресурсам демилитаризованной зоны и наоборот) могут потребоваться правила публикации сервера. Следует обратить внимание на то, что для исходящих запросов веб-прокси отношения сетей не принимаются во внимание. В следующей таблице описано действие правил доступа и правил публикации сервера в отношениях NAT и сетевой маршрутизации.

Отношение между демилитаризованной зоной и внутренней сетью Правила доступа Правила публикации сервера

Преобразование сетевых адресов (NAT)
  • Forefront TMG прослушивает запросы на клиентском сетевом адаптере на компьютере Forefront TMG.

  • Клиенты должны отправлять запросы на клиентский адаптер, а не напрямую на IP-адрес опубликованного сервера.

  • Исходным IP-адресом клиента является адрес компьютера Forefront TMG. Например, если отношение NAT определено из исходной сети A в сеть назначения Б, IP-адреса клиентских компьютеров сети А заменяются IP-адресом сетевого адаптера, подключенного к сети Б на компьютере Forefront TMG. Пакеты, возвращенные из сети Б клиентам в сети А, не преобразуются.
  • Forefront TMG прослушивает запросы на клиентском сетевом адаптере на компьютере Forefront TMG.

  • Клиенты должны отправлять запросы на клиентский адаптер, а не напрямую на IP-адрес опубликованного сервера.

  • Исходным IP-адресом клиента является адрес компьютера Forefront TMG до тех пор, пока не будет настроено правило пересылки исходного IP-адреса клиента.

  • Обратите внимание на отличие публикации сервера (где по умолчанию передается клиентский адреса) от веб-публикации (где по умолчанию используется внутренний адрес Forefront TMG).

Маршрутизация
  • Forefront TMG прослушивает IP-адрес опубликованного сервера.

  • Опубликованный сервер записывает в журнал исходный IP-адрес клиента.

  • Обратите внимание: если правила доступа разрешают трафик HTTP, он пройдет через фильтр веб-прокси и попадет под действие NAT даже в отношении маршрутизации. Чтобы предупредить это поведение, нужно отключить фильтр, указанный для определения протокола HTTP по умолчанию.
  • Forefront TMG прослушивает IP-адрес опубликованного сервера.

  • Клиенты должны запрашивать фактический IP-адрес опубликованного сервера.

  • Разрешите применение правила только к определенным клиентам за счет ограничения источников, указанных в свойстве From правила публикации сервера.