ISA2006访问控制技巧
很多公司在使用ISA2006时，都希望用ISA对员工上网进行约束，今天我们就为大家介绍一些限制用户上网的技巧，由于域与工作组使用方法不同，将分两部分介绍ISA。
域环境拓扑如下图所示，Denver是域控制器和DNS服务器，Perth是域内工作站，Beijing是加入域的ISA2006服务器。
一 DNS设置问题
ISA有两块网卡，两块网卡上究竟应该怎么设置TCP/IP参数，尤其是DNS应该怎么设置?这是个容易被忽略但又很重要的问题，因为DNS既负责定位内网的域控制器，也要负责解析互联网上的域名，设置不好轻则影响内网登录，重则严重影响大家上网的速度。我们推荐的设置方式是只在内网网卡设置DNS，外网网卡不设置DNS服务器。
在本例中，ISA服务器的内网网卡的TCP/IP参数是 IP为10.1.1.254 ，子网掩码为255.255.255.0，DNS为10.1.1.5;外网网卡的TCP/IP参数是IP为192.168.1.254，子网掩码为255.255.255.0，网关为192.168.1.1。这样一来，内网的DNS既负责为AD提供SRV记录，也负责解析互联网上的域名，结构简单，易于纠错。
有朋友认为只有电信提供的DNS服务器才能解析互联网上的域名，这种看法是不对的。我们在内网中搭建的DNS服务器只要能访问互联网，它就可以解析互联网上的所有域名。根据DNS原理分析，如果DNS服务器遇到一个域名自己无法解析，它就会把这个解析请求送到根服务器，根服务器采用迭代方式指导DNS服务器解析出目标域名。因此，想要内网的DNS服务器能解析出互联网上的域名，只要允许内网DNS服务器能访问互联网即可。
A 我们应该在ISA上创建一条访问规则，允许DNS服务器任意访问，并且将这条规则放到第一位，如下图所示。
B 为了提高DNS的解析速度，可以考虑在DNS服务器上设置转发器，将用户发来的DNS解析请求转发到电信的DNS服务器上。
转发器的设置如下，在Denver上打开DNS管理器，右键点击服务器，选择“属性”，如下图所示。
在属性中切换到“转发器”，在转发器IP地址处填写电信DNS服务器的IP，填写完毕后点击添加，如下图所示。这样我们就设置好了转发器，以后Denver解析不了的域名将转发给202.106.46.151，利用电信DNS的缓存来加快解析速度。
