WPAD原理介绍暨故障排查:ISA2006系列之三-阿里云开发者社区

开发者社区> 技术小甜> 正文

WPAD原理介绍暨故障排查:ISA2006系列之三

简介:
+关注继续查看
WPAD的部署原理暨故障排查
 WPADWeb Proxy Auto Discovery的缩写,意思是Web代理服务器自动发现。WPAD的设计目的是让浏览器能自动发现代理服务器,这样用户可以轻松访问互联网而且无需知道哪台计算机是代理服务器。在ISA2006中,WPAD不仅能让客户机浏览器自动发现代理服务器,还可以用于防火墙客户端自动发现代理服务器。显然,WPAD对代理服务器的透明处理让管理员轻松了不少,管理员不再需要去每台客户机上设置代理服务器参数了。但樱桃好吃树难栽,WPAD的部署并非都是一帆风顺,WPAD的部署可以借助DNS服务器或DHCP服务器,容易出问题的是用DNS服务器进行部署,尤其是在工作组环境下问题更多。今天我们就来构造一个实验环境,为大家剖析WPAD的工作原理以及故障原因。
实验拓扑如下图所示。内网计算机在工作组环境,FlorenceDNS服务器,Perth是客户机,BeijingISA2006服务器。
DNS来实现WPAD,原理如下:
1 PerthDNS服务器发出查询请求,要求获得WPAD主机的IP地址。
2 Perth根据查询到的IP地址,去WPAD主机的80端口下载WPAD.DATWSPAD.DATWPAD.DAT可用于配置客户机浏览器,让浏览器自动发现代理服务器;WSPAD.DAT则用于配置客户机上的防火墙客户端自动发现代理服务器。
从以上的原理分析,首先WPAD主机要在80端口提供wpad.datwspad.dat,有了这两个文件,客户机上的浏览器或防火墙客户端才能实现自动配置。其次,DNS服务器要创建相关记录,当客户机来查询时,将解析结果指向WPAD主机。
好,我们先来解决第一个问题,WPAD主机如何能够提供WPAD.DATWSPAD.DAT两个文件呢?最简单的办法是让ISA服务器作WPAD主机,同时提供两个配置文件,具体做法是,在ISA服务器上依次点击 开始-程序-Microsoft ISA ServerISA服务器管理-配置-网络-内部,右键点击“内部”,选择属性,如下图所示,切换到“自动发现”标签,勾选“为此网络发布自动发现信息”,这样ISA就可以在80端口提供WPAD.DATWSPAD.DAT两个文件了。
 

测试一下,看看ISA服务器是否提供了配置文件。如下图所示,在浏览器中输入http://10.1.1.254/wpad.dat,测试结果如下图所示,这表明ISA服务器已经在80端口发布了WPAD.DAT,用同样的方法可知ISA也发布了WSPAD.DAT
 
WPAD主机已经在80端口提供了WPAD.DATWSPAD.DAT,一个问题解决了,接下来我们考虑另一个问题,客户机到底是怎么通过DNS来查询WPAD主机呢?具体是这样的,客户机向DNS发出一个查询请求,请求解析的域名为WPAD+X。怪了,怎么会是X呢?X代表不确定性,如果客户机所在的域为itet.com,那么客户机就请求解析wpad.itet.com;如果客户机没加入域,但计算机名的后缀为abc.com,那么客户机就请求解析wpad.abc.com;如果客户机既没有加入域,也没有计算机名后缀,那客户机就请求解析wpad。这里是WPAD配置的关键所在,为什么论坛上很多管理员在域环境配置WPAD很正常,换到工作组环境就容易出问题呢?因为域环境下有统一的名称边界,客户机请求解析的域名后缀是固定的,而工作组的有组织无纪律特性决定了它的解析请求是无规律的。
下面举个具体的例子。如下图所示,Perth属于工作组,Perth10.1.1.101作为自己的DNS服务器,我们分析一下Perth是如何利用DNS来自动发现代理服务器的。
 
Perth的浏览器配置为自动检测发现,在IE浏览器中依次点击 工具-Internet选项-连接-局域网设置,如下图所示,勾选“自动检测设置”。
 
Perth上打开浏览器访问一个网站,同时启用Ethereal抓包追踪,抓包结果如下图所示,我们可以看到Perth请求DNS服务器解析域名WPAD,服务器解析失败后Perth又试图用广播进行名称解析,名称解析失败后Perth无法找到WPAD主机去下载WPAD.DAT,代理服务器自动发现失败。
很多朋友在论坛中发帖说自己在工作组中配置WPAD时出问题,其实问题就出在DNS服务器无法解析域名WPAD
 
好,WPAD配置出问题了,而且是意料之中的,那如何解决呢?两种思路,一是想办法让DNS服务器能解析出域名WPAD,二是想办法让Perth查询一个DNS服务器容易回答的域名。我们沿着这两种思路来尝试一下。
 
  DNS服务器能解析域名WPAD
WPAD这个域名为何难以解析呢?从结构上分析,WPAD域名隶属于根域,一般DNS服务器对根域根本就没有解析资格,因此解析这种域名有点勉为其难。兄弟不才,尝试用DNS私有根来解决这个问题,在DNS服务器中右键点击正向查找区域,如下图所示,选择“新建区域”。
 
出现新建区域向导,下一步。
 
新建区域类型为主要区域,下一步。
 
区域名称为. ,这就是传说中的根域。
 
根域的区域数据文件为root.dns
 
不需要允许动态更新,下一步后结束私有根域创建。
 
创建根域后,我们需要在根域中为WPAD主机创建A记录,如下图所示,选择“新建主机”。
 
完全合格域名为WPAD. IPISA服务器的内网地址。
 
OK,如下图所示,WPAD记录已经创建完毕,我们来试试能否发挥作用呢?
 
这次我们在Perth上安装上防火墙客户端,从理论上分析,防火墙客户端需要从WPAD主机下载WSPAD.DAT,我们双击防火墙客户端,切换到“设置”标签,选择“自动检测到的ISA服务器”,点击“立即检测”。
 
测试结果如下,防护器客户端成功地发现了代理服务器。
别忘了把自动检测的过程用Ethereal抓下来,如下图所示,我们可以很清楚地看到,Perth请求DNS服务器解析域名WPADDNS服务器将域名解析为10.1.1.254(私有根起作用了),Perth接下来就去10.1.1.254下载WSPAD.DAT,用此文件将防火墙客户端所使用的代理服务器设置为Beijing
 
上次我们用浏览器自动检测失败了,这次再试试,用Ethereal抓包,结果如下图所示。我们可以看到客户机也是先请求DNS服务器对wpad进行域名解析,然后根据解析结果到ISA服务器请求下载WPAD.DAT,文件下载之后就可以用于配置浏览器了。
 
从上述实验来看,通过DNS的私有根来解决WPAD域名解析在技术层面是可行的,但这种方法其实有很大隐患。创建了私有根后会影响互联网上的域名解析,而且转发器也不能使用,
兄弟至此也没找到两全其美的办法,如果哪些弟兄有经验,还望不吝赐教。因此,我的结论是,除非你的单位本来就要部署私有根,否则还是别用这种方法解决问题,实在是弊大于利。
 
  Perth换查询域名
既然Perth发起的WPAD域名解析让DNS服务器处理起来很为难,那能否让Perth换一个域名查询呢?例如让Perth查询wpad.itet.com,这样的域名DNS处理起来不要太轻松哦!问题是,如何能让Perth更换查询域名呢?秘密就在Perth的计算机名中,如果我们希望Perth查询的域名是wpad.itet.com,只需将Perth的计算机名的DNS后缀改为itet.com即可。操作具体如下,在Perth上用右键单击“我的电脑”,在属性中切换到“计算机名”标签,如下图所示,点击“更改”。
 
在计算机名称更改中,点击“其他”,如下图所示。
 
在计算机的DNS后缀处填写“itet.com”,点击确定后重新启动计算机。
 
DNS服务器上创建区域itet.com,并新建一个名为WPADA记录,如下图所示。现在WPAD记录已经有了,就等着客户机来查询了。
 
在客户机上用防火墙客户端测试一下,如下图所示,我们可以看到客户机发出的查询已经改为wpad.itet.com了,服务器把域名解析为ISA的内网IP,随后客户机就去ISA下载wspad.dat了。呵呵,如果客户机是在域环境下,根本就无需更改计算机名后缀,想想其实还是有AD比较方便。
 
总结:用DNS部署WPAD在域环境下比较合适,在工作组环境下就需要进行一些调整,但无论是创建DNS私有根还是更改客户机的计算机名后缀,都不算是非常完美的解决方案。因此我们建议在工作组环境下可以考虑用DHCP来解决这个问题,我们在下篇博文中将介绍如何利用DHCP来解决WPAD部署的问题。


















本文转自yuelei51CTO博客,原文链接: http://blog.51cto.com/yuelei/83841,如需转载请自行联系原作者

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
阿里云服务器怎么设置密码?怎么停机?怎么重启服务器?
如果在创建实例时没有设置密码,或者密码丢失,您可以在控制台上重新设置实例的登录密码。本文仅描述如何在 ECS 管理控制台上修改实例登录密码。
10098 0
第三方框架/服务/类库介绍链接汇总
1.一个很不错的引导页面构建框架 https://github.com/mamaral/Onboard 2.当前比较实用的几个ios第三方框架 http://www.
1129 0
阿里云服务器端口号设置
阿里云服务器初级使用者可能面临的问题之一. 使用tomcat或者其他服务器软件设置端口号后,比如 一些不是默认的, mysql的 3306, mssql的1433,有时候打不开网页, 原因是没有在ecs安全组去设置这个端口号. 解决: 点击ecs下网络和安全下的安全组 在弹出的安全组中,如果没有就新建安全组,然后点击配置规则 最后如上图点击添加...或快速创建.   have fun!  将编程看作是一门艺术,而不单单是个技术。
10887 0
JSP第三篇【JavaBean的介绍、JSP的行为--JavaBean】
什么是javaBean JavaBean就是一个普通的java类,也称之为简单java对象--POJO(Plain Ordinary Java Object),是Java程序设计中一种设计模式,是一种基于 Java 平台的软件组件思想 JavaBean遵循着特定的写法,通常有以下的规则: 有...
974 0
QuickPager asp.net 分页控件、表单控件等自定义控件下载 和介绍 【2009.09.07更新】
  最新下载地址: 自然框架的源代码、Demo、数据库、配置信息管理程序下载(2010.01.25更新)     QuickControl web控件集包含的控件 QuickControl web控件集——基本控件: 控件名称 说明 详细介绍 MyTextBox ...
961 0
MySQL · 引擎介绍 · Sphinx源码剖析(三)
在本节中我会介绍Sphinx在构建索引之前做的一些事情,主要是从mysql拉取数据保存,然后分词排序保存到内存等等一系列的操作。下面是几个相关指令 sql_query = \ SELECT id, group_id, UNIX_TIMESTAMP(date_added) AS date_added, \ title, content \
910 0
MySQL数据库引擎MyISAM和InnoDB的区别介绍
  InnoDB存储它的表&索引在一个表空间中,表空间可以包含数个文件。InnoDB表可以是任何尺寸,即使在文件尺寸被限制为2GB的操作系统上。
911 0
Java工具集介绍2008年第三期
Java工具集介绍2008年第三期 1、JNIEasy 新版本:1.2 JNIEasy,Java本地对象(Java Native Objects,JNO)解决方案,可完全替代JNI来整合基于Java和C/C++的库和DLLs。
626 0
+关注
10146
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
《2021云上架构与运维峰会演讲合集》
立即下载
《零基础CSS入门教程》
立即下载
《零基础HTML入门教程》
立即下载