» Microsoft ISA Server 2006/2004/2000 (Часть III)

Vian
Сделано было то же самое и всё работало. До этой недели

mzf
что в логах исы? может просто коннект до самих серверов хреновый? настройки на всех клиентах (icq\qip) сетевые одинаковые?

greenfox
В логах ничего интересного, сетевую конфигурацию уже меняли как могли.
Сейчас осталась одна идея - накатить SP3 и молиться, чтоб помогло ))

Доброе время суток.
Может кто подскажет? Хочу протестировать несколько антивирусов под ISA2004, в частности Avast, GFI и Trend. Может есть ссылки на зараженные ресурсы или что нибудь в этом роде. Ну или какая нибудь методика как лучше это сделать. Буду премного благодарен.

Цитата:

demondeimos
логи исы смотрел?

смотрел: на 4090 коннект идет и все. больше там в логах ничего нет.
запретов не показывает.
вобщем вопрос, как я понимаю, в правильном правиле для UDP протокола. Я как его только не писал: не прокатывает 6-(

Здравия вам и доброго времени суток!

Установил несколько месяцев назад ISA "с нуля", настроил, всё работало хорошо.
Через какое-то время решил переустановить всё, дабы написать для себя полный мануал по установке сервера, для, скажем так, возможной аварийной ситуации, да и почистить его от разного мусора,

После установки получаю одно и тоже. Пробовал по разному биться об стенку, подходя к вопросу с разных углов не помогло =(

Ставлю Win 2003 SP2 ST + Isa 2006 ST
Установка проходит без ошибок.

После установки Isa и настройки двух правил (для DNS и всем все открыто) - ISA работает до перезагрузки, потом появляются некоторые или все из ниже изложенный ошибок в журнале, и в итоге Интернет либо работает у половны пользователей, либо не работает совсем, либо работает только ICQ.
Иногда Ошибки в журнале начинают появляться только после 3-5 перезагрузок, иногда после 1 (имеется в виду появление ошибок после переустановки ISA server).
Первоначально это выражается в том, что после логина в домен сервер грузится минут 10 (в принципе понятно, почему - ниже в ошибках светится RPC). Но ведь раньше при подобной настройке самого ISA Server таких ошибок не было. Ну а после загрузки, как написал выше, не работает у юзверов интернет.
Пробовал играться с DNS, пробовал пересоздавать доменного пользователя.
Пожалуйста, помогите разобраться.

-------------------------------------------------------

Пояснения:
inetserver - 192.168.0.1
DNS на AD - 192.168.0.4 (в ошибках ниже светится, что с DNS первого был
скан портов, не понятно, почему).

Настройки на клиенте:
gate: 192.168.0.1
dns: 192.168.0.4

dns 192.168.0.4 - находится на AD - он пересылает все запросы на DNS 192.168.0.1 (который на ISA), а этот DNS, в свою очередь, форвардит запросы на DNS провайдера.

-------------------------------------------------------

Данные об оповещениях
Описание: Ошибка при инициализации кэша диска D:\urlcache\Dir1.cdat. При восстановлении отдельных файлов кэша данных сервером ISA Server произошла ошибка. ISA Server попытается восстановить данные файлы. Данные ошибки произошли, возможно, из-за нехватки времени для выполнения всех необходимых операций по выключению, когда ISA Server был выключен в последний раз. Чтобы избежать их в будущем, вы можете увеличить значение ключа реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\WaitToKillServiceTimeout. Установите причину ошибки кэша по предыдущим событиям или коду ошибки. Проверьте, что диск подключен и не поврежден. (Внутренний код: 503.7361.5.0.5720.100)
Сбой произошел из-за ошибки: Указана недопустимая или неизвестная таблица.

Данные об оповещениях
Описание: Кэш данных был восстановлен.

Данные об оповещениях
Описание: Файл кэша данных D:\urlcache\Dir1.cdat был восстановлен. Если операция не завершилась успешно, вы можете использовать код ошибки в области данных, который обозначает причину ошибки. Результат операции восстановления: Операция
успешно завершена.

Данные об оповещениях
Описание: ISA Server обнаружил атаку путем сканирования стандартных портов с IP-адреса 192.168.0.4. Стандартный порт - это любой порт в диапазоне 1-2048.

Тип события: Ошибка
Источник события: Userenv
Категория события: Отсутствует
Код события: 1053
Дата: 19.09.2007
Время: 21:33:18
Пользователь: NT AUTHORITY\SYSTEM
Компьютер: INETSERVER
Описание:
Не удалось определить имя пользователя или компьютера. (Сервер RPC недоступен. ). Обработка групповой политики прекращена.

Тип события: Ошибка
Источник события: Microsoft ISA Server Web Proxy
Категория события: Отсутствует
Код события: 14176
Дата: 19.09.2007
Время: 21:08:33
Пользователь: Н/Д
Компьютер: INETSERVER
Описание:
Ошибка при инициализации кэша диска D:\urlcache\Dir1.cdat. При восстановлении отдельных файлов кэша данных сервером ISA Server произошла ошибка. ISA Server попытается восстановить данные файлы. Данные ошибки произошли, возможно, из-за нехватки времени для выполнения всех необходимых операций по выключению, когда ISA Server был выключен в последний раз. Чтобы избежать их в будущем, вы можете увеличить значение ключа реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\WaitToKillServiceTimeout. Установите причину ошибки кэша по предыдущим событиям или коду ошибки. Проверьте, что диск подключен и не поврежден. (Внутренний код: 503.7361.5.0.5720.100)

Тип события: Ошибка
Источник события: NetBT
Категория события: Отсутствует
Код события: 4321
Дата: 19.09.2007
Время: 21:28:06
Пользователь: Н/Д
Компьютер: INETSERVER
Описание:
Имя "domen :1d" не удалось зарегистрировать на интерфейсе с IP-адресом 192.168.0.1. Компьютер с IP-адресом
192.168.0.4 не разрешил использовать имя, запрошенное этим компьютером.

Тип события: Ошибка
Источник события: DCOM
Категория события: Отсутствует
Код события: 10010
Дата: 19.09.2007
Время: 19:47:52
Пользователь: Н/Д
Компьютер: INETSERVER
Описание:
Регистрация сервера {5AE15037-B63C-49D9-BD99-C40E1F139FB9} DCOM не прошла за отведенное время ожидания.

AlexKan
про скан портов и кэш можно забить
остальные надо смотреть все логи и виндовые и исашные

Цитата:

и прокси не влияют вообще, что вполне логично и понятно даже ребенку - fwc отдельная программа с отдельными настройками и плевать он хотел на какой то там браузер с его галками
браузер у тебя идет на сайт согласно галке в обход прокси, а fwc хватает этот типа прямой трафик и кидает на ису.
исправляется элементарно, в настройке сети это есть и пропустить тяжело : вкладка domains на internal )
или впиши всю локалку в исключения на fwc (ищи на офсайте по слову locallat.txt)

hardhearted

во вкладку домены занес свой домен,,,да это помогло для компов кот в домене(192,168,2,*),,,,а мне ещё надо чтобы из внутр сети все ходили на комп который стоит за исой в другой подсети(192,168,0,50), как с этим быть?

timsson

Цитата:

а мне ещё надо чтобы из внутр сети все ходили на комп который стоит за исой в другой подсети(192,168,0,50), как с этим быть?

а в чем собственно проблема то?

Похожая фигня как тут и писали - имена отображаются криво, так пишутся в сами логи ИСОЙ. Часть в вин кодировке, часть в UTF-8.
Соответственно и программы анализаторы логов не распознают кодировку

hardhearted
Виндовые логи все тут написал.
Разве логи с ISA там же не пишутся ? Т.е. логи про кеш взяты из журнала win.
Спасибо за ответ. Но просветите плиз про логи ISA - если они не дублируются, а пишутся отдельно в ISA - где их в ISA искать ?

AlexKan
алерты, по умолчанию пишутся и в виндовые логи

hardhearted
Если так, то:

Цитата:

остальные надо смотреть все логи и виндовые и исашные

все ошибки приведены тут.

Очень интересно знать, почему:

Цитата:

про скан портов и кэш можно забить

Насколько помню, когда ISA работал нормально (до полной переустановки ОС и самого ISA) такие ошибки тоже иногда светились.

скан портов это нормальное явление, про кэш тоже часто бывало при загрузке причем не на всех исах и не всегда, причины не выяснял, но это никому не мешает.

hardhearted
Спасибо за ответы.
Все-таки интересно было бы узнать причину падения кеша...

Касательно моей проблемы - вроде бы она решилась. Вроде бы - т.к. надо немного выждать =)
Сегодня ездил на работу, и сделал так, как написано в сообщении Single7, датированное 00:35 21-05-2007:


Цитата:

Никогда бы не подумал как решается проблема с RPC трафиком:
http://support.microsoft.com/kb/912222/en-us

В двух словах так:
--
REGEDIT4

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"EnableTCPA"=dword:00000000
"EnableRSS"=dword:00000000
"EnableTCPChimney"=dword:00000000

Странно это. Ведь в прошлый раз, ничего подобного делать не преходилось =)

Сорри, что повторяюсь, но проблема осталась и что с ней делать и как пока непонятно.
Подскажите пожалуйста где копать.
Схема следующая: стоит ИСА 2004 на ней опубликован VPN Kerio на другой машине.
Создаю подключение, все начинает коннектиться, а потом выдает вот такую ошибку: "Ошибка (167): Невозможно организовать туннелирование данных (возможно, заблокирован трафик UDP)."
Правила на ISA писал по разному, но все одно: выдает вышеозначенную ошибку.
Напрямую, по локалке, коннектится без вопросов, а через ИСУ не хочет.
Логи смотрел: на 4090 коннект идет и все. больше там в логах ничего нет.
запретов не показывает.
вобщем вопрос, как я понимаю, в правильном правиле для UDP протокола. Я как его только не писал: не прокатывает 6-(

Поделитесь пожалуйста удачным опытом блокирования Skype-трафика на ISA Server.
По сигнатурам входящих пакетов? По полностью перекрытому UDP? Или может еще как?

AlexKan

Цитата:

Все-таки интересно было бы узнать причину падения кеша...

а бес его знает, если на офсайте про это нет то спроси у техподдержки, они за что то зарплату получают )

Цитата:

Никогда бы не подумал как решается проблема с RPC трафиком:

есть такое, тоже встречал статейку, но проявляется это далеко не у всех и не всегда, мне она пока ни разу не пригодилась.

Alex_H_aka_RAT
может проще закрыть все skype сервера?

demondeimos
сначала выясни по каким конкретно протоколам этот самый керио делает впн. а то понаделают левых протоколов а потом пользователи тут мозг имеют такими вот вопросами.

hardhearted
Цитата:

может проще закрыть все skype сервера?

А что разве есть такой список? Таки как я понимаю сеть скайпа динамическая и самоорганизующаяся и списка серверов как такового быть не может. Так же как и конкретных номеров портов.

Alex_H_aka_RAT

Цитата:

А что разве есть такой список? Таки как я понимаю сеть скайпа динамическая и самоорганизующаяся и списка серверов как такового быть не может. Так же как и конкретных номеров портов.

Первоначально, идет подключение к определённому серверу для проверки авторизации, если заблокировать этот сервер, то дальнейшая работа не возможна, сейчас не могу сказать ip, если нужно то дома гляну

Добавлено:
AlexKan

Цитата:

Спасибо за ответы.
Все-таки интересно было бы узнать причину падения кеша...

Проблема заключается в том, что файл кеша не закрывается правильно, это происходит из-за того что служба firewall не успевает его закрыть, а вот это может быть из-за кучи разных проблем: медленная файловая система, сильная фрагментация диска, блокировка и проверка файла антивирусами.
Но проблема решается уменьшением размера кеша

rijk

Цитата:

если нужно то дома гляну

Буду весьма благодарен. А этот адрес разве постоянный?

Alex_H_aka_RAT
как вариант блокировки скайпа - если используется FWC с соот-й авторизацией то можно в его настройках (на уровне всего домена) забанить приложение по имени (sky.exe скажем) и т.о. fwc не будет осуществлять его "перехват" Я так аьску всем "перевёл" на квип и миранду

hardhearted

Цитата:

а мне ещё надо чтобы из внутр сети все ходили на комп который стоит за исой в другой подсети(192,168,0,50), как с этим быть?

т.е. так и надо чтобы запросы на 192,168,0,50 тоже ходили мимо исы!

timsson
а мимо это как? если она (подсеть) за исой - то только через неё родимую... Если к ней ведёт отдельный гейт - то прописываем маршрут на воркстейшенах... вообще не понятно как у тя сеть организована и чего ты хочешь соот-но (топку что ли нарисовал хоть) :-P

greenfox
Нет, к сожалению, данный вариант в данной сети не подходит. Хотя он первый приходит на ум

timsson
до 2004 sp2 это делалось просто вписанием этой сетки в исключения в прокси и в fwc
сейчас мне этот метод не помогает, попробуй вдруг у тебя заработает
greenfox
проблема не в этом, а в том что http трафик хватается исой и проксируется принудительно (запрросы идут от ее интерфейса), у меня самого так.

rijk

Цитата:

Проблема заключается в том, что файл кеша не закрывается правильно, это происходит из-за того что служба firewall не успевает его закрыть, а вот это может быть из-за кучи разных проблем: медленная файловая система, сильная фрагментация диска, блокировка и проверка файла антивирусами.
Но проблема решается уменьшением размера кеша

Файловая система (ntfs, в зеркале), фрагментация (ОС с нуля, + отдефрг-на), антивирус - все вроде бы не подходит.
Уменьшение размера - до какого размера ? Ранее было 10 gb, сейчас поставил 5. Пока тишина =)
А у вас какой размер кеша?

Уже спрашивал, но никто не оветил)
192.168.22.0 - внутрення сеть
193.233.132.0 - внешняя
Сервер имеет внутренний и внешний адрес.
VPN с адресами локальной сети и внешней сети. Пул адресов локальной сети vpn сделал внутри ISA 10.0.0.0, а адреса внешний сети, при подключении через vpn, задаються через AD (входящие звонки-использование статических адресов).Внешние адреса будут маршрутизировать, а локальные натироваться.

Когда подключаешься по vpn с внешним адресом(включена маршрутизация) при простомотре странице трафик(http) идет через прокси(в просмотре сеанов влючаеться сразу клиент для прокси), а остальной трафик не http идёт как надо, через маршрутизацию Как сделать, только чтобы локальным адресам трафик проксировался, а внешним маршрутизировался?

И ещё такой вопрос. Я поставил Tquota для нарезки трафика. Но там нет приоритетов по хостам и хотелось бы ещё сделать нарезку каждому в отдельности выделять скорость...но всех же не будешь добавлять, а там есть функция только для диапазона адресов, а функции каждому из этого этого диапазона нет. Есть ли универсальные штучки прям как в сквиде.

2hardhearted


Цитата:

[/q][q]demondeimos
сначала выясни по каким конкретно протоколам этот самый керио делает впн. а то понаделают левых протоколов а потом пользователи тут мозг имеют такими вот вопросами.

4090 TCP/UDP вот по ТСР он коннектится, а по UDP нет.

greenfox
маршрут уже прописывал пинги и все остальное идут как надо по маршруту а вот запросы ВЕБ идут все равно через ису.
hardhearted
вот и я там же указал и тоже не помогло!