設定適用於混合式環境的 Forefront TMG
適用於：
Subscription Edition SharePoint in Microsoft 365
本文說明如何設定 Forefront Threat Management Gateway (TMG) 2010，以作為混合式 SharePoint Server 環境的反向 Proxy。
開始之前
開始前，有幾點必須注意：
必須以 Edge 設定部署 TMG，至少有一個網路介面卡連接到網際網路並針對 TMG 中的外部網路進行設定，而且至少有一個網路介面卡連接到內部網路並針對 TMG 中的內部網路進行設定。
TMG 伺服器必須是Active Directory網域樹系中的網域成員，其中包含您的Active Directory同盟服務 (AD FS) 2.0 伺服器。 TMG 伺服器必須加入此網域，才能使用 SSL 用戶端憑證驗證，此驗證可用來在 Microsoft 365 中驗證來自 SharePoint 的輸入連線。
注意事項
按照 Edge 部署的一般最佳作法，您通常能夠使用企業樹系的單向信任，在個別樹系 (而非企業網路的內部樹系) 安裝 Forefront TMG。 不過，您只能對於加入 TMG 伺服器的網域使用者設定用戶端憑證驗證，因此這種作法不適用於混合式環境。
如需TMG網路拓撲考慮的詳細資訊，請參閱 工作組和網域考慮。
部署TMG 2010以在回傳組態中的SharePoint Server混合式環境中使用，理論上是可行的，但尚未經過測試，可能無法運作。
TMG 2010 包含診斷記錄和即時記錄介面。 記錄在針對 SharePoint Server 與 SharePoint 之間的連線和驗證問題進行疑難解答時扮演重要角色，Microsoft 365。 找出造成連線失敗的元件並不容易，首先您應該查看 TMG 記錄以找出線索。 疑難解答可能牽涉到比較來自TMG記錄、SharePoint Server ULS 記錄檔、Windows Server事件記錄檔和Internet Information Services 的記錄事件， (多部伺服器上的 IIS) 記錄。
如需如何在TMG 2010中設定和使用記錄的詳細資訊，請參閱 使用診斷記錄。
如需 SharePoint Server 混合式環境疑難解答技術和工具的詳細資訊，請參閱針對 混合式環境進行疑難解答。
安裝 TMG 2010
如果您尚未安裝 TMG 2010 並為您的網路進行設定，請按照本小節所述安裝 TMG 2010 並準備 TMG 系統。
安裝 TMG 2010
安裝 Forefront TMG 2010 (如果尚未安裝)。 如需安裝 TMG 2010 的詳細資訊，請參閱 Forefront TMG Deployment。
安裝 TMG 2010 所有可用的 Service Pack 和更新。 如需詳細資訊，請 參閱安裝 Forefront TMG Service Pack。
將 TMG 伺服器電腦加入內部部署 Active Directory 網域 (如果尚未成為網域成員)。
如需在網域環境中部署TMG 2010的詳細資訊，請參閱 工作組和網域考慮。
匯入安全通道 SSL 憑證
您必須將安全通道 SSL 憑證匯入至本機電腦帳戶的個人存放區，以及 Microsoft Forefront TMG Firewall 服務帳戶 (fwsvc) 的個人存放區。
|
安全通道 SSL 憑證的位置會記錄在表 4b：安全通道 SSL 憑證的列 1 (安全通道 SSL 憑證位置和檔案名稱) 中。 如果憑證包含私密金鑰，則需要提供憑證密碼 (其記錄在表 4b：安全通道 SSL 憑證的列 4 (安全通道 SSL 憑證密碼) 中。 |
匯入憑證
將憑證檔案從工作表中所指定的位置複製至本機硬碟上的資料夾。
在反向 Proxy 伺服器上，開啟 MMC，並新增本機計算機帳戶和本機 fwsrv 服務帳戶的憑證管理嵌入式管理單元。
注意事項
安裝 TMG 2010 後，fwsrv 服務的易記名稱是 Microsoft Forefront TMG Firewall 服務。
將安全通道 SSL 憑證匯入電腦帳戶的個人憑證存放區。
將安全通道 SSL 憑證匯入 fwsrv 服務電腦的個人憑證存放區。
如需如何匯入 SSL 憑證的詳細資訊，請參閱 匯入憑證。
設定 TMG 2010
在本節中，您會設定 Web 接 聽程式 和 發佈規則 ，以在 Microsoft 365 中接收來自 SharePoint 的輸入要求，並將其轉送至 SharePoint Server 伺服器陣列的主要 Web 應用程式。 Web 接聽程式和發佈規則可共同定義連線規則，並預先驗證和轉送要求。 您可以設定 Web 接聽程式使用您在最後一個程序中安裝的安全通道憑證驗證輸入連線。
如需在TMG中設定發佈規則的詳細資訊，請參閱 設定Web發佈。
如需TMG 2010中SSL橋接的詳細資訊，請參閱 關於SSL橋接和發佈。
使用下列程序建立發佈規則及 Web 接聽程式。
建立發佈規則及 Web 接聽程式
在 Forefront TMG 管理控制台的左側瀏覽窗格中，以滑鼠右鍵按兩下 [防火牆原則]，然後選取 [ 新增]。
選取 [SharePoint 網站發佈規則]。
在 [ 新增 SharePoint 發行規則精靈] 的 [ 名稱 ] 文本框中，輸入發行規則的名稱 (例如「混合式發佈規則」) 。 選取 [下一步]。
選 取 [發佈單一網站或負載平衡器]，然後選取 [ 下一步]。
若要針對TMG與SharePoint Server 伺服器陣列之間的連線使用 HTTP ，請選取 [ 使用非安全連線來連線已發佈的Web 伺服器或伺服器數位]，然後選取[ 下一步]。
若要針對TMG與SharePoint Server 伺服器陣列之間的連線使用 HTTPS ，請選取 [ 使用 SSL 連線已發佈的 Web 伺服器或伺服器數位]，然後選取 [ 下一步]。
注意事項
如果使用 SSL，請確定在主要 Web 應用程式安裝有效的憑證。
在 [ 內部發佈詳細 數據] 對話方塊的 [ 內部網站名稱 ] 文字框中，輸入 橋接 URL 的內部 DNS 名稱，然後選取 [ 下一步]。 這是 TMG 伺服器用來將要求轉送至主要 Web 應用程式的 URL。
注意事項
請勿輸入通訊協定 (http:// 或 HTTPs：//) 。
橋接 URL 會記錄在 SharePoint 混合式工作表的下列其中一個位置中：
如果您的主要 Web 應用程式是以主機命名的網站集合設定，請使用資料表 5a：主要 Web 應用程式 (主機名網站集合 ) 中數據列 1 (主要 Web 應用程式 URL) 中的值。
如果您的主要 Web 應用程式是使用 路徑型網站集合 來設定，請使用資料表 5b：主要 Web 應用程式) 的資料 列 1 (主要 Web 應用程式 URL 中的值 ， (路徑型網站集合，而不需要 AAM) 。
如果您的主要 Web 應用程式是使用 AAM 設定路徑型網站集合，請使用資料表 5c：主要 Web 應用程式 (路徑型網站集合的資料表 5 (主要 Web 應用程式 URL) 中的值) 。在 [ 使用計算機名稱或IP 位址連線到已發佈的伺服器 ] 方塊中，選擇性地 (主要Web應用程式或網络負載平衡器的 FQDN) 輸入IP位址或完整功能變數名稱，然後選取[ 下一步]。
注意事項
如果 TMG 能夠使用上一步中提供的主機名稱解析主要 Web 應用程式，則不需要執行此步驟。
在 [公用名稱詳細資料] 對話方塊中，接受 [接受要求] 功能表中的預設設定。 在 [ 公用名稱 ] 文本框中，輸入外部 URL 的主機名 (例如“sharepoint.adventureworks.com”) ，然後選取 [ 下一步]。 這是外部 URL 中的主機名，Microsoft 365 中的 SharePoint 將用來與您的 SharePoint Server 伺服器陣列連線。
注意事項
請勿輸入通訊協定 (http:// 或 HTTPs：//) 。
外部 URL 會記錄在 SharePoint 混合式工作表之表 3：公用網域資訊的列 3 (外部 URL) 中。 在 [選取 Web 接聽程式] 對話方塊中，選取 [新增]。
在 [ 新增 Web 接聽程式精 靈] 對話方塊的 [ Web 接聽程式名稱 ] 文本框中，輸入 Web 接聽程式的名稱，然後選取 [ 下一步]。
在 [用戶端連線安全性] 對話框中，選取 [ 需要 SSL 與用戶端的安全連線]，然後選取 [ 下一步]。
在 [ Web 接聽程式 IP 位址 ] 對話框中，選取 [ 外部 <所有IP 位址>]，然後選取 [ 下一步]。
如果您想要限制接聽程式只接聽特定外部IP位址，請選取 [ 選取IP位址]，然後在 [ 外部網络接聽程式IP選 取] 對話框中，選取 所選網路中 Forefront TMG 電腦上的 [指定的 IP 位址]。 若要指定IP位址，請選取[ 新增]，然後選取 [ 確定]。
在 [ 接聽程式 SSL 憑證 ] 對話框中，選取 [ 為此 Web 接聽程式使用單一憑證]，然後選取 [選取 憑證 ] 按鈕。 在 [ 選取憑證 ] 對話框中，選取您匯入TMG計算機 的安全通道SSL憑證 ，選取 [ 選取]，然後選取 [ 下一步]。
在 [ 驗證設定 ] 對話框中，選取 [SSL 用戶端憑證驗證]，然後選取 [ 下一步]。 這個設定將使用安全通道憑證對於輸入連線強制使用用戶端憑證認證。
若要略過 Forefront TMG 單一登入設定，請選取 [ 下一步]。
檢閱 [新增接聽程序 摘要] 頁面，然後選取 [ 完成]。 這會讓您回到 [發佈規則精靈]，其中已經自動選取新建立的 Web 接聽程式。
在 [ 選取 Web 接聽程式 ] 對話方塊的 [ Web 接聽程式 ] 下拉式清單中，確定已選取正確的 Web 接聽程式，然後選取 [ 下一步]。
在 [ 驗證委派 ] 對話框中，選取 [ 沒有委派]，但用戶端可以直接 從下拉式清單進行驗證，然後選取 [ 下一步]。
在 [ 替代存取對應 組態] 對話框中，選取 [ SharePoint AAM 已在 SharePoint 伺服器上設定]，然後選取 [ 下一步]。
在 [ 使用者集合 ] 對話框中，選取 [ 所有已驗證的使用者 ] 項目，然後選取 [ 移除]。 然後選取 [新增]，然後在 [ 新增使用者 ] 對話框中，選取 [ 所有使用者]，然後選取 [ 新增]。 若要關閉 [ 新增使用者 ] 對話框，請選取 [ 關閉]，然後選取 [ 下一步]。
在 [ 完成新的 SharePoint 發行規則 精靈] 對話框中，確認您的設定，然後選取 [ 完成]。
有幾個設定必須立即驗證，或者在您剛才建立的發佈規則中變更。
完成發佈規則設定
在 Forefront TMG 管理控制台的左側瀏覽窗格中，選取 [ 防火牆原則]，然後在 [ 防火牆原則規則] 清單中，以滑鼠右鍵按下您剛才建立的發佈規則，然後選取 [ 設定 HTTP]。
在 [ 設定規則的 HTTP 原則] 對話方塊的 [ 一般 ] 索引卷標的 [ URL 保護] 下方，確認 [ 驗證正規化 ] 和 [ 封鎖高位字元 ] 皆未核取，然後選取 [ 確定]。
以滑鼠右鍵按下您剛才建立的發佈規則，然後選取 [ 屬性]。
在規則名稱> [<屬性] 對話框的 [To] 索引標籤上，清除 [轉送原始主機標頭]，而不是實際的一個方塊。 在 [對已發行網站的 Proxy 要求] 下，確定已選取 [要求看起來是來自原始用戶端]。
在 [連結轉譯] 索引標籤上，確定已正確設定 [套用連結轉譯到這個規則] 核取方塊：
如果主要 Web 應用程式的內部 URL 和外部 URL 相同，請清除 [將 鏈接轉譯套用至此規則 ] 複選框。
如果主要 Web 應用程式的內部 URL 和外部 URL 不同，請勾選 [套用連結轉譯到這個規則] 核取方塊。
在 [ 橋接] 索引 標籤的 [Web 伺服器] 底下，確定已核取正確的 [ 將要求重新導向至 <HTTP 連接埠或 SSL 連接埠> ] 複選框，而且文字框中的埠會對應至您內部網站設定為使用的埠。
若要將變更儲存至發佈規則，請選取 [ 確定]。
在 Forefront TMG 管理控制台的頂端列上，若要將變更套用至 TMG，請選取 [ 套用]。 可能需要一或兩分鐘讓 TMG 處理您的變更。
若要驗證您的設定，請以滑鼠右鍵按兩下 [防火牆原則規則 ] 清單中的新發佈規則，然後選取 [ 屬性]。
在 [<規則名稱>屬性] 對話框中，選取 [測試規則] 按鈕。 TMG 會執行一系列的測試，以在 Microsoft 365 網站中檢查 SharePoint 的連線能力，並在清單中顯示測試結果。 如需測試及其結果的描述，請選取每個組態測試。 請修正出現的任何錯誤。
另請參閱
概念
設定混合式 SharePoint Server 的反向 Proxy 裝置