ISA Server 的故障排除工具（4）

ISA Server 的故障排除工具
　　 10.1.3　练习：测试端口状态 
　　　　 在这个练习中，您需要使用Netstat和Telnet命令来断定ISA Server计算机的端口状态。此技术可用来验证安全或用来断定ISA Server计算机上运行的服务对外部站点是否　　可用。 

　　 练习：测试ISA Server端口 
　　　　 在这个练习中，在命令提示符中运行Netstat实用程序，并注意ISA Server的外部接口上打开了不同的端口。 

　　 Ø　　　　　测试ISA Server计算机的端口状态： 

　　 1.　　以Administrator身份登录到Server1。 

　　 2.　　单击Start，选择Run。 

　　 出现Run对话框。 

　　 3.　　在Open文本框中，输入cmd并单击OK。 

　　 出现命令提示符。 

　　 4.　　在命令提示符中，输入netstat -an -p TCP。 

　　 出现ISA Server计算机的所有活动TCP端口的输出信息。在输出屏幕上，左边一列带端口号的IP地址代表每一个活动连接的本地地址，右边一列带端口号的IP地址代表每一个活动连接的外部地址。输出中的大多数本地地址都指内部接口192.168.0.1。不过，在列表的末端可能有一些连接的本地地址是ISA Server的外部IP地址。 

　　 5.　　 在ISA Server的外部接口中，当前有多少个活动连接？仔细检查这些连接的外部地址。这些地址真的是外部远程地址，或者仅仅是同一本地地址的另一个端口？这些外部地址中的哪些端口是用来向ISA Server计算机的外部接口发送信息的？ 

　　 答案写在下面的空白处： 

　　 6.　　在ISA Server计算机上，打开IE浏览器，并连接到外部Web站点，如， 

　　 http://www. microsoft.com 

　　 。 

　　 7.　　当Web页面正在IE浏览器中下载时，切换到命令提示符窗口，再次输入netstat -an -p TCP。 

　　 出现ISA Server计算机的所有活动TCP端口的输出信息。 

　　 8.　　查看输出列表的末端。与第5步的答案相比，ISA Server计算机的外部端口上有多少个活动连接？看见以前没有列出的外部地址的活动端口吗？在查看该数据后，可以断定是哪个外部端口是用来向本地的外部IP地址发送Web数据的吗？ 

　　 9.　　该Web数据是发送到ISA Server计算机外部接口上的哪个本地端口的？这些端口都是动态的。每个连接之间都不一样。在下面的空白处写下这些端口的相应的数字。 

　　 假设发现网络有被入侵的迹象，检测黑客可能试图要通过的外部端口的状态，以排除安全故障。您可以试着telnet连接试到外部端口，看该端口上的服务是否对连接请求作出响应(通常来说，需要在外部计算机上执行此操作)。 

　　 10.　尝试telnet连接到在第9步写下的外部端口。方法是在在命令提示符中输入telnet [externa_ip_address][port_number]。此处[externa_ip_address]是当前分配给ISA Server计算机的外部IP地址，[port_number]是第9步中记下的本地端口号之一，(例如telnet 64.43.113.110　10123)。 

　　 出现一条消息，提示连接端口失败。此端口不是侦听端口。当端口接收外部连接时，要么出现空白屏幕，要么是该端口上通信的服务发出的输出信息。 

　　 11.　在命令提示符窗口，试着telnet连接到下表左列的每一个端口。指定当前分配给计算机的外部IP地址。例如，如果您的IP地址是64.43.113.110 25，您可以在命令提示符中输入telnet 64.43.113.110 25，就可以telnet连接到端口25。在下表的右列写下这些端口的打开或关闭状态。 

　　 端口号　　　　 端口状态 

　　 25 

　　 7 

　　 389 

　　 443 

　　 21 

　　 8080 

　　 1030 

　　 端口开放并不意味着有安全弱点。但是，出于安全考有些端口虑最好不要处于静态打开状态，如15(Netstat)、21(FTP)、23(Telnet)、25(SMTP)、79(Finger)和80(HTTP)。 

　　 12.　关闭命令提示答窗口。 

　　 10.1.4　小结 
　　 进行ISA Server故障排除时，有许多可用的工具。其中，第一步可以使用ISA Server报告。它可以确定性能故障的原因。事件查看器显示了ISA Server服务生成的所有事件消息。ISA Server 性能监视器能解决有关网络使用、硬件和配置上的问题。Netstat是一种命令行工具，可以显示所有活动TCP或UDP连接，这对排除安全和连接问题很有帮助。此外，也可以利用Telnet实用程序来检查服务器是否通过某个给定端口接收命令。网络监视器可以捕获并显示Windows 2000服务器从局域网接收的帧内容。最后，Route命令可以验证和修改路由表，确认通过可行的路由所有的网段都能被访问。 （小节完）