ISA Server 2004 FAQ：监视和日志

Q. 为什么我会在我的Web日志中的目的主机项看到0.0.0.0呢？

A. 有时对于这个目的主机只有URL是可用的，在这种情况下，它的IP地址表现为0.0.0.0。这发生在当一个请求被拒绝并且没有为它执行DNS的反向域名查询。

Q. 为什么我会在防火墙和Web代理日志中看到我没有选择的项呢？

A. 这是一个常见的问题，有些项就算你没有选择它，它也会被记录的。

在防火墙日志中，以下项会被记录：

• 动作；
  
• 服务器；
  
• 结果状态；
  

在Web代理日志中，以下项会被记录：

• 服务器名字；
  
• 传输；
  
• 收到的字节数；
  
• 发送的字节数；
  
• 服务；
  
• 认证的客户；
  
• HTTP状态码；
  
• 动作；
  

Q. 在日志文件中，我看到一个客户的用户名为问号（？），这是什么意思？

A. 这个问号表示这个用户名没有通过认证。这发生于当从一个防火墙客户收到请求，但是防火墙策略中不需要进行身份验证。防火墙客户端总是会发送身份验证信息，所以它总是被记录下来。

Q. 我怎么手动删除MSDE格式的日志文件？

A. 你可以使用SQL查询来从SQL服务器删除数据库，使用

DROP DATABASE

Q. 我试过从另外一台机器使用基于NTLM验证的DSN或者企业管理器来连接到ISA
Server 2004的MSDE，或者使用空白密码的sa账户，但是都失败了，为什么呢？

A. ISA Server安装的MSDE实例名字为"MSFW"，当使用企业管理器时，使用"%Computer_Name%\MSFW"格式来连接，MSDE使用Windows集成身份验证。

Q. 我的报告计划运行是正常的，但是却没有数据。为什么呢？

A. 报告可以在ISA Server控制台里面保存，在其他机器上，报告会显示为空的数据或者显示“页面无法显示”；

Q. 我怎么将MSDE文件转换为文本文件？

A. 可以使用ISA Server CD上的一个脚本文件，名叫MSDEToText.vbs。

Q. 当我配置我的ISA Server计算机将日志记录到SQL
Server，并且数据库快满了的时候，会怎么样？

A. 一个"日志记录失败"的警告将会发布，并且服务将停止；

Q. 我怎么能看到今天的报告，而不是昨天的？

A. ISA
Server的报告基于每天的总结，这个总结默认是运行在每天的00:30，它将日志文件中的数据进行汇总以便快速生成报告。在每天的总结运行之前，你只能看到前一天的报告。

Q. 我已经阻止了匿名用户的访问，但是日志显示有匿名用户的请求，为什么呢？

A. 用户发送了一个匿名请求，但是ISA Server会发送一个407错误的回应并且终止连接，此时，记录下了一个匿名请求。

然后，用户用Keep-Alive和NTLM验证用户信息发送同样的请求，ISA
Server再次响应一个407错误和认证质询，但是连接没有终止。记录下了另外一个匿名请求。

用户发送同样的请求，并且进行认证信息的响应，此时，请求通过了认证，ISA Server提供服务。

如果日志中的匿名记录项来自一个已经通过认证的用户，那么可能是你没有配置好，检查你的配置。

Q. 在日志文件中没有显示出用户名，为什么呢？

A. ISA Server并不是总是要求客户通过认证。如果没有认证，ISA Server允许它们使用匿名访问。你可以设置ISA
Server总是要求客户进行身份验证。

Q. 日志信息溢出了，我怎么减少它们？

A.
当你建立一个规则时，默认会记录所有匹配这个规则的请求。默认规则阻止所有通信，所有没有允许的请求都会被记录下来，这会很快充满你的日志。如果你在日志中发现了大量的相同的记录，你可以为这些相同的记录建立一个规则，然后对此规则不进行记录。

Q. 在防火墙服务性能计数器中，当前用户比ISA
Server管理控制台中的会话更多，为什么呢？

A. ISA
Server把会话认为是IP地址和用户名的组合，只有在一个给定的IP上一个唯一的用户登录，那么这个连接才认为是一个会话。而在性能计数器中，计算的是所有连接。

Q. 为什么ISA Server没有运行为一个警告所定义的动作？

A. 这个问题可以参见Troubleshooting Alert Action Failures文档，在ISA
Server网站的Guides and Articles页。

Q. 每次我重启防火墙服务时都会建立一个新的防火墙日志和Web代理日志数据库，为什么会这样呢？

A. 设计是这样的，不会影响日志记录或查询。这些数据库最后会通过数据库维护策略删除掉。

Q. 为什么我的每天的e-mail报告中断了？报告位置是正确的，但是链接不能工作。

A. 这个一个常见的限制：在你发布报告的时候，路径和报告名字中不要包含空格。

Q. 在日志中，什么时候会出现URL？

A. URL会在Web代理日志中出现，记录下所有的Web请求。

Q. 在日常的报告中，我看见了访问过的Web站点的IP地址，但是却不能解析为名字，我怎么能让报告中显示名字？

A. 只有Web代理客户通过ISA Server来解析名字。其他客户自己解析名字，所以ISA
Server只知道IP地址。你将客户配置为Web代理客户就可以了。

Q. 防火墙服务进程(Wspsrv.exe)耗用了较多的内存，为什么会这样？

A. 在防火墙服务连接和断开MSDE数据库的时候，SQL服务器进程可能会耗用较多的内存。在ISA
Server建立和关闭连接的时候，将会建立一个新的数据库。每个日志数据库有三个相关的连接，并且每天至少两个数据库(防火墙日志和Web代理日志)，更详细的信息，参见微软知识库文章37748。

Q. 防火墙服务不能启动，并且产生了以下警告"The Microsoft Firewall was unable to connect to the MSDE database"，为什么会这样呢？

A. 数据库需要手动删除，关于如何删除，请见前面的FAQ。

Q. ISA Server日志和报告使用什么时间格式？

A. 使用了以下时间格式：

• 文本日志文件(ISA Server文件格式)，使用本地时间；
  
• 测试日志文件(W3C扩展日志文件格式)，使用格林威治标准时间；
  
• MSDE日志文件，使用本地时间；
  
• SQL (ODBC)日志，使用格林威治标准时间；
  
• 报告使用本地时间建立，注意，不同的时间格式不影响报告的准确性。
  

Q. 在ISA Server 2004中，客户会话计数的新特性是什么？

A. ISA Server显示客户会话，包含防火墙客户、SNAT客户和Web代理客户。和ISA Server 2000不同，ISA Server 2004没有把所有的客户类型分开计数，活动的会话通过防火墙服务来统计，但是要注意：

Web代理会话有相应的SNAT会话，对于特定的计算机，一个SNAT会话对应全部的Web代理会话；

防火墙客户也有相应的SNAT会话，对于安装了防火墙客户端的计算机来说，它有一个SNAT会话，也有一个防火墙客户会话；

如果一个计算机同时是Web代理客户和防火墙客户，那么对于它只有一个SNAT客户，因为它是基于计算机定义的。