← Вернуться в раздел «В помощь системному администратору»

» Microsoft ISA Server 2006/2004/2000 (Часть III)

Автор: emx
Дата сообщения: 10.03.2007 18:03

<<< Предыдущая часть этой темы

Microsoft Internet Security & Acceleration Server - сайт производителя

- необходимо посетить, начиная работу с ISA Server

IsaDocs.Ru - переведенные статьи с

IsaServer.Ru - форумы, статьи, решения

ISA на iXBT - Хобот, наш конкурент

Коллекция ссылок на статьи

[more=продолжение шапки..]

FAQ по ISA - форум на WinFAQ.com.ru

Proxy Server 2.0 и ISA 2000 - самый первый русский FAQ. Решает часть проблем.

Всякие приблуды для ISA Server:

http://www.isatools.org - Jim Harrison's ISA Server Tools Repository
http://www.toolzz.com - Tools & Scripts
http://www.kehm.cx/ts/ - MSN Messenger, DirectPlay, eDonkey configurations for ISA Server

WrSpy для ISA - бесплатный анализатор логов

Конструктивное предложение от Borgia:

Цитата:

Народ кстати может сделать этакии маленькии фак. по исе. По настроике основных вещеи. Т.к как Почта.фтп.мsn messener. icq, и тд. Может каждый напишет кратко свои рули и фильтры. Допустим сеть такая-то то-то установено. Задача доступ по фтп с клиентов на внешние фтп сервера. Создаем руль прописываем то -то и то-то. Сколько не искал на разных форумах везде как то расплывчато или чересчур коротко.

что, наверное, должно выглядеть примерно так (кстати, ещё одна полезная ссылка).

Для тех, кто ищет больше, возможно интересны будут разделы ISA и Traffic ... но это уже другая тема

Ещё одна тема по ISA вcплыла, но давайте не будем разбегаться

А здесь находится утонувший топик, не имевший успеха в том году

ПРОСЬБА

НАСТОЯТЕЛЬНАЯ ПРОСЬБА ВСЕМ КТО ПОСТИТ В ЭТОМ ТОПИКЕ, ЕСЛИ ВЫ РЕШИЛИ ПРОБЛЕМУ САМИ ИЛИ С ПОМОЩЬЮ, УБЕДИТЕЛЬНО ПРОСИМ ВАС ПОДЕЛИТСЯ РЕШЕНИЕМ ВАШЕЙ ПРОБЛЕМЫ ЖЕЛАЕЛЬНО РАЗВЕРНУТО И С ОБЬЯСНЕНИЯМИ Т.К. В ДАЛЬНЕЙШЕМ ЭТО ПОМОЖЕТ ДРУГИМ ЛЮДЯМ СТОЛКНУВШИМСЯ С ТЕМИ ЖЕ ПРОБЛЕМАМИ. [/more]

Автор: PIL123
Дата сообщения: 10.03.2007 21:50

У меня вопрос по VPN доступу по L2TP/IPSec.

Для соединения с сервером по этому протоколу необходим установленный сертификат компьютера на стороне VPN клиента. При этом, проблем с коннектом компов из домена нет, т.к. этот самый сертификат раздаётся автоматически через GPO. А вот как быть, если машина не в домене и никакого сертификата на ней нет - как нужно его установить? Как правильно настроить доступ к сети по VPN только через L2TP/IPSec?

Автор: Dmakc
Дата сообщения: 10.03.2007 23:00

Имеется W2K3 Server c установленным на него ISA Server Standard 2006.
Кроме того, на этой машине по воле случая пришлось поставить сервер терминалов, необходимый для доступа пользователей в интернет через маршрутизатор во в другом сегменте сети организации. При этом в этом сегменте люди пользуются NetBios с разрешенным гостевым доступом.

В связи с этим появился вопрос - можно-ли для определенных локальных пользователей (пользователей терминальных сеансов) с помощью ISA запретить доступ через NetBios к хостам из определенной подсети?

Я пробовал создать группу пользователей и правило, которое бы запрещало доступ для этой группы пользователей от Localhost в заданный сегмент. Но, что странно, при этом пропадает доступ не только для заданной группы пользователей, но и для всех остальных, включая администраторов. Т.е. создается впечатление, что ISA не может идентифицировать локальных пользователей, работающих с сетевыми ресурсами через NetBIOS. Или я что-то не так делаю?

PS: Или возможны другие способы запрещения доступа к NetBIOS для определенных пользователей? Ищу уже третий день, но ничего стоящего не нашел.

Автор: PIL123
Дата сообщения: 11.03.2007 01:41

Наличие бесперебойного Интернета бизнес критично для компании - для этих целей компания пользуется усоугами нескольких провайдеров. Гейтом в компании служит Microsoft ISA Server 2006 Enterprise Edition, и, честно говоря, на мой взгляд, является слабым звеном между локальной сетью компани и Интернетом. Подскажите, пожалуйста, как можно резервировать это слабое звено? Вроде краем глаза где в ИСЕ видел возможности кластеризации её.

Автор: simapupkin
Дата сообщения: 11.03.2007 19:44

Подскажите, а то теряюсь в догадках. Перешел с ISA 2000 на ису 2006. Все прекрасно, да не все.

Перестали грузиться бездисковые станции. Соответственно RIS не работает.

Станции посылают PXE запрос на DHCP сервер. Получить ответ не могут и выдают сообщение-

PXE-E51: ProxyDHCP server did not reply to request on port 4011

Как разрешить стациям запросы по порту 4011 UDP?

Автор: hardhearted
Дата сообщения: 12.03.2007 11:50

vicwanderer
а как у тебя исы видят друг друга?

Добавлено:
PIL123
через веб интерфейс, описано в любой книге или статье про l2tp

Добавлено:
Dmakc
интересно а как по твоему юзера аутенфикацию проходить будут? почитай какие типы клиентов поддерживают аутенфикацию пользователей, а потом этот бред пиши

Добавлено:
PIL123
две исы в array

Добавлено:
simapupkin
создай правило разрешающее этот протокол.

Автор: simapupkin
Дата сообщения: 12.03.2007 14:17

Цитата:

simapupkin
создай правило разрешающее этот протокол.

PXE-E51: ProxyDHCP server did not reply to request on port 4011

Создал 2 првила:
протокол UDP:4011 прием/ответ

откуда - везде
куда - локальный компьютер

откуда - локальный компьютер
куда - внутренняя.

пользователи - все

И безрезультатно.

Интересно то, что с такой ошибкой вылетают только станции с PXE загрузкой которые грузят ораз из RIS. Другие с ємулятором бутрома, получают IP (у них резервирование в ДХЦП) и имя файла для загрузки. А дальше - висят. Не могут образ скачать.

Где копать?

Еще вопросик - где отключить клиентов SNAT, а оставить доcтуп в инет только клиентам WEBproxy?

Автор: hardhearted
Дата сообщения: 12.03.2007 14:44

simapupkin

Цитата:

Еще вопросик - где отключить клиентов SNAT, а оставить доcтуп в инет только клиентам WEBproxy?

нигде, можешь запретить nat как таковой но клиенты всегда будут

Автор: NikolaPitersky
Дата сообщения: 12.03.2007 14:48

Народ помогите пожалуйста!
Не работает активация windows xp oem через isa 2004
комп подключается по dhcp не в домене, при этом инет работает отлично

Автор: simapupkin
Дата сообщения: 12.03.2007 14:58

Цитата:

simapupkin

Цитата:Еще вопросик - где отключить клиентов SNAT, а оставить доcтуп в инет только клиентам WEBproxy?

нигде, можешь запретить nat как таковой но клиенты всегда будут

Тоесть клиенты SNAT всегда смогут ехать в инет без настроек прокси в броузере?

прикол!

Значится все решаем через аудентификацию?

Автор: hardhearted
Дата сообщения: 12.03.2007 15:07

simapupkin
ты сначала напиши что ты конкретно хочешь, а потом глупости пиши
само выражение отключить snat клиентов означает вытащить у них провод из сетевухи

если ты хочешь именно веб трафик пустить только через прокси (чтобы без настроек про) то запрети "transparent http", как это сделать есть на офсайте. но в monitoring->sessions snat rlbtyns будут всегда, это так должно быть и это вовсе не означает что кто то лезет в инет мимо прокси

Автор: simapupkin
Дата сообщения: 12.03.2007 18:04

Цитата:

simapupkin
ты сначала напиши что ты конкретно хочешь, а потом глупости пиши
само выражение отключить snat клиентов означает вытащить у них провод из сетевухи

Есть локальная сеть с локальным веб сервером.
Задача (так оно было до переезад на с 2000 на ISA 2006) - рабочим станциям у которых в броузере не прописан прокси сервер, не дать выхода в интернет, но дать доступ к локальному сайту.
Локальный сайт опубликован на внешнем интерфейсе ISA. Значится сделав правило запрещающее порт 80 для всего исходящего трафика из интранет в интернет, мы закроем достут к сайту.

Автор: vlazari
Дата сообщения: 12.03.2007 18:50

Вопрос для спецов, любителей ISA 2004, ISA 2006 & RRAS VPN. Не люблю я настройки VPN в ISA 2004-2006. Пользуюсь средствами Routing and Remote Access в Windows Server 2003. На ISA 2000 у меня всё прекрасно работало. С переходом на ISA 2004 очень удивился, что RRAS VPN нельзя использовать, только встроенные в ISA. Недавно перешёл на ISA 2006 и обнаружил что там RRAS работает независимо от ISA (помню в ISA 2004 при отключении встроенного VPN - сразу отрубался RRAS). Так ли это, действительно ли Microsoft решили что многим этот способ больше подходит... Можно ли этим пользоваться? Жду ваших комментариев. Также прошу написать кто чем пользуется для VPN.

Автор: vicwanderer
Дата сообщения: 12.03.2007 19:19

hardhearted,
"а как у тебя исы видят друг друга? " так они и не видят. Пинги со шлюза1 на шлюз2 не проходят. Трейсы со шлюза1 на шлюз2 уходят через другую сетевую карту, а именно через 192.168.44.2/30. Хотя должны идти через 192.168.113.22/30.
Как это исправить?

Автор: Dmakc
Дата сообщения: 12.03.2007 20:27

hardhearted

Цитата:

интересно а как по твоему юзера аутенфикацию проходить будут?

С моей точки зрения, пользователи аутентифицировавшиеся при входе в систему (при локальном входе на сервер с ISA) прошли аутентификацию и обладают идентификаторами пользователя/группы - т.е. их трафик можно идентифицировать и должна существовать возможность управлять этим трафиком. Но опыт показывает, что хотя для трафика от обычных приложений это так, но для трафика от системных служб (в т.ч. и сетевых) это не так. Или я что-то не правильно понимаю?

Цитата:

почитай какие типы клиентов поддерживают аутенфикацию пользователей, а потом этот бред пиши

Прошу прощения, но я ничего не утверждал, а лишь задал вопрос. Если я не правильно его задал - поправьте и я буду благодарен. В противном случае любое высказывание можно с известной долей уверенности называть бредом и стоять на своем. Вот только толку в этом мало...

Автор: Asker80
Дата сообщения: 13.03.2007 07:42

Цитата:

С моей точки зрения, пользователи аутентифицировавшиеся при входе в систему (при локальном входе на сервер с ISA) прошли аутентификацию и обладают идентификаторами пользователя/группы - т.е. их трафик можно идентифицировать и должна существовать возможность управлять этим трафиком. Но опыт показывает, что хотя для трафика от обычных приложений это так, но для трафика от системных служб (в т.ч. и сетевых) это не так.

Бред. Обычные приложения, это что, браузер? Аутентификация возможна либо для WebProxy клиентов, либо для FWC клиентов. Все. В первом случае это только Web трафик, во втором требуется установить FWC на клиентских машинах.
За подробностями отсылаю к мануалам, а то слишком много придется объяснять.
Аутентификация возможна в рамках какого-то протокола, определяющего/поддерживающего данный тип аутентификации. Протокол - это часть трафика вообще. Так сказать, одно заключено в другое, а другое в третье. Принцип матрешки (очень грубо и приближенно, но идея, надеюсь, ясна?). А в твоем представлении все наоборот

Автор: vicwanderer
Дата сообщения: 13.03.2007 10:57

Господа, ну и где товарищи которые распинались что ИСА это суперкорпоративный фаервол? Пока что помощь в настройке ВПН мне пытается оказать только hardhearted.
За что ему отдельное спасибо.
Если надо ipconfig, tracert или route print вы говорите - выложу.

Автор: hardhearted
Дата сообщения: 13.03.2007 11:39

simapupkin
давай не будем путать исходящий и входящий трафик, опубликованный сайт это уже входящий трафик, и запретив "прозрачный" http ты не испортишь свою публикацию.
заставить юзать только прокси для веб трафика можно требя способами
1. пропускать веб только для аутенфицированных пользователей и при этом не ставить fwc на компы
2. вообщек отключить nat между сетями (если есть службы которые должны идти в инет то не катит)
3. запретить "transparent" http

Dmakc
написал полнейший бред, с чего ты взял что авторизация и аутенфикация в домене позволит тебе аутенфицировать весь трафик? это соверншенно разные и независимые вещи

то что ты в домене получаешь тикет это не значит что он для всего подходит, этот тикет нужен только для работы в домене по некоторым протоколам. Аутенфикация юзера в случае исы совсем другое и поддерживается только тремя видами клиентов
1 proxy (требуется настройка в приложении) , как частный случай веб прокси которым является иса, хотя можно поставить и левые socks5 прокси. работает конечно же только для програм которые умеют ходить через прокси.
2. firewall client, в принципе его работа основана на winsocks, то есть действует почти как прокси, его задача перехватывать трафик от приложений и кидать на ису вместе информацией об аутенфикации(это его главная и наверное единственная польза). работает только для трафика tcp/udp
3. vpn client, с ним все понятно, весь трафик идущий по vpn каналу считается трафиком идущим от юзера который этот канал установил. таким образом аутенфицируется любой тип трафика способный работать через впн.
в случае когда юзера сидят на исе тебе ни один из типов клиентов не годиться для netbios трафика и это вполне очевидно (fwc на ису ставить нельзя).

Добавлено:
vicwanderer
а ты маршруты написал на исе что в другой офис надо через другой интерфейс ходить? все куда через третий интерфейс идет трафик надо включить в отдельный, третий, network.

Автор: dandy2000
Дата сообщения: 13.03.2007 15:29

Не бейте сразу...

Как заставить ИСУ 2004 пускать Counter Strike в нет?

Пытался порты открывать - ничего не изменилось (((

Автор: simapupkin
Дата сообщения: 13.03.2007 16:16

Цитата:

simapupkin
давай не будем путать исходящий и входящий трафик, опубликованный сайт это уже входящий трафик, и запретив "прозрачный" http ты не испортишь свою публикацию.

Публикацию не испорчу. Только клиенты SNAT не будут иметь к нему доступ. Так как линк и IP у него одинаковый, что снаружи то и изнутри. Проверял!

Цитата:

заставить юзать только прокси для веб трафика можно требя способами

Неvножrо не на то ответ. У меня в инет ехали все клиенты webproxy, а к локальному сайту доступ для snat и webproxy.

Цитата:

1. пропускать веб только для аутенфицированных пользователей и при этом не ставить fwc на компы

Дык я выше и писал - что все решаем аудентификацией.

А fwc у меня и не получится - Linux однако.

Цитата:

2. вообщек отключить nat между сетями (если есть службы которые должны идти в инет то не катит)

Полность согласен. Не катит.

Цитата:

3. запретить "transparent" http

Я так понял, ты про это
http://support.microsoft.com/?kbid=884505
У меня есть пару ресурсов которые не допускают использование прокси.

По мне так выпускать всех через аудентификацию и не парить себе и окружающим мозги.

Автор: kaurych
Дата сообщения: 13.03.2007 19:23

Эй - коллеги помогите
http://forum.ru-board.com/topic.cgi?forum=8&topic=20544#1
посмотрите!? - может подскажете что нить - !

Автор: AvvNtl
Дата сообщения: 13.03.2007 19:24

[
Цитата:

simapupkin

Цитата:

Есть локальная сеть с локальным веб сервером.
Задача (так оно было до переезад на с 2000 на ISA 2006) - рабочим станциям у которых в броузере не прописан прокси сервер, не дать выхода в интернет, но дать доступ к локальному сайту.
Локальный сайт опубликован на внешнем интерфейсе ISA. Значится сделав правило запрещающее порт 80 для всего исходящего трафика из интранет в интернет, мы закроем достут к сайту.

А кто мешает перед запрещающим правилом, сделать разрешающее на свой сайт? Ведь порядок правил тоже играет роль.

Или во внутреннем DNS описать зону и хост уже с локальным IP web - сервера (если веб сервер находится в локалке). Тогда те пользователи у которых не прописан прокси в броузере пойдут напрямую на хост хоть и имя сервера будет такое же как и в интернете.

Добавлено:

Цитата:

kaurych

А что тут вообще можно дополнить? Ты во всем разобрася, и кричишь что лениво указывать конкретные ip во всех уже опубликованых серверах. Чем тут помочь-то можно?
Почему-то на двух серверах публикации делать было не лень.

Автор: Dmakc
Дата сообщения: 13.03.2007 20:46

Asker80

Цитата:

Бред. Обычные приложения, это что, браузер? Аутентификация возможна либо для WebProxy клиентов, либо для FWC клиентов. Все. В первом случае это только Web трафик, во втором требуется установить FWC на клиентских машинах.

Это я понимаю. Возможно я просто не правильно выразился. Я прекрасно себе представляю, что такое WebProxy и FWC и как работает последний. Но дело в том, что FWC не ставится на сам сервер ISA, говоря, что на сервере уже есть ISA. Из этого я, возможно ошибочно, сделал вывод, что если на сервере уже есть ISA, то это равнозначно тому, что на сервере уже стоит FWC, который обладая данными о пользователе позволяет идентифицировать трафик и перенаправлять его для пользовательских приложений через ISA. Судя по всему это не так.

Цитата:

Аутентификация возможна в рамках какого-то протокола, определяющего/поддерживающего данный тип аутентификации. Протокол - это часть трафика вообще. Так сказать, одно заключено в другое, а другое в третье. Принцип матрешки (очень грубо и приближенно, но идея, надеюсь, ясна?). А в твоем представлении все наоборот

Это все понятно.

Добавлено:
hardhearted

Цитата:

написал полнейший бред, с чего ты взял что авторизация и аутенфикация в домене позволит тебе аутенфицировать весь трафик? это соверншенно разные и независимые вещи то что ты в домене получаешь тикет это не значит что он для всего подходит, этот тикет нужен только для работы в домене по некоторым протоколам. Аутенфикация юзера в случае исы совсем другое и поддерживается только тремя видами клиентов

Я предполагал, что на ISA-сервере уже живет firewall client, который как Вы правильно заметили, является прослойкой для WinSockets и может передавать пользовательский трафик на ISA вместе с аутентифицирующими данными.

Цитата:

1 proxy (требуется настройка в приложении) , как частный случай веб прокси которым является иса, хотя можно поставить и левые socks5 прокси. работает конечно же только для програм которые умеют ходить через прокси.

Это понятно. Для NetBIOS априори не подходит.

Цитата:

2. firewall client, в принципе его работа основана на winsocks, то есть действует почти как прокси, его задача перехватывать трафик от приложений и кидать на ису вместе информацией об аутенфикации(это его главная и наверное единственная польза). работает только для трафика tcp/udp

Вот на него я и рассчитывал. Ведь у меня предполагался NetBIOS over TCP/IP.

Цитата:

3. vpn client, с ним все понятно, весь трафик идущий по vpn каналу считается трафиком идущим от юзера который этот канал установил. таким образом аутенфицируется любой тип трафика способный работать через впн.

Это тоже вполне очевидно.

Цитата:

в случае когда юзера сидят на исе тебе ни один из типов клиентов не годиться для netbios трафика и это вполне очевидно (fwc на ису ставить нельзя).

Да, так и получается. Единственно, что я теперь не могу понять, так это почему FWC не хочет работать на ISE?

Автор: alexps
Дата сообщения: 14.03.2007 05:57

Добрый день. Не работает почта Exchange 2003 кторая спрятана за ISA на другой машине.
Подробно:
первая машина DC+AD+ISA 2006
вторая машина EXchange 2003+ScanMail+OfficeScan

Объясните подробнее на что ругается иса? что я не так опубликовал. с английским неочень дружу. Что ему там мой DNS Не нравится?

Description: The server publishing rule S2 [почта] SMTP Server, which publishes the IP address 10.7.19.2:25 on port TCP for the protocol SMTP Server, was unable to bind a socket for the server. The server publishing rule cannot be applied.
The failure is due to error: 0x80070034

The server publishing rule S2 [почта] Exchange RPC Server, which publishes the IP address 10.7.19.2:135 on port TCP for the protocol Exchange RPC Server, was unable to bind a socket for the server. The server publishing rule cannot be applied.
The failure is due to error: 0x80070034

The server publishing rule S2 [почта] SMTP Server, which maps 10.7.19.2:25:TCP to 93.175.104.2:25 for the protocol SMTP Server, was unable to bind a socket for the server. The server publishing rule cannot be applied.
The failure is due to error: 0x80070034

The server publishing rule S2 [почта] Exchange RPC Server, which maps 10.7.19.2:135:TCP to 93.175.104.2:135 for the protocol Exchange RPC Server, was unable to bind a socket for the server. The server publishing rule cannot be applied.
The Firewall service failed to bind a socket for the server on the ISA Server computer because another process is using the same port. Check if any other process is using the same port, and stop it if necessary.

Автор: weerkostya
Дата сообщения: 14.03.2007 06:21

The Firewall service failed to bind a socket for the server on the ISA Server computer because another process is using the same port.

перечисленный порты уже открыты на интерфейсе 93.175.104.2

Автор: alexps
Дата сообщения: 14.03.2007 06:21

При попытке mail.ru доставить нам письмо в ISA логируется следующее:
10.7.19.2 - SMTP Server Failed Connection Attempt (0x8007274c WSAETIMEDOUT) - 194.67.23.67

Добавлено:
weerkostya, спасибо. сейчас попробую удалиьт все лишнее %)

Автор: Nesta
Дата сообщения: 14.03.2007 09:22

Вот так все организовано

Что нужно сделать в ISA сервере чтобы данные поступившие на внешний IP 10.0.0.1 адрес от RRAS клиентов и из интернета перенаправились на адрес во внутренней сетке 192.168.5.1?

Доп офисы всю инфу скидывают на 10.0.0.1 так работает их прога. Этого не изменить. Нужно чтобы все что от них приходит автоматически пересылалось на адрес во внутренней сети 192.168.5.1

Чет у меня ни как не получиться настроить. Подскажите что мне надо в ISA сделать? Далее привожу как все щас работает:

Пояснения:
10.0.0.1 - Внешний адрес ISA сервера
192.168.5.2 - Внутренний адрес ISA сервера
192.168.0.X - Адреса машин сединенных с ISA сервером пр помощи RRAS
192.168.5.1 - Сервер отчетов расположеный во внутренней сети предприятия

ISA работает как Edge Firewall
На ISA сервере сейчас добавлено следующее NAT-правило:
1.
Source network: Vpn Clients (Офисы соединившиеся при помощи RRAS)
Destination Network: 10.0.0.1
Это правило создано для того чтобы RRAS клиенты имели доступ ко внешнему адресу ISA и скидывали все данные на него. Здесь все работает хорошо. В политике файрвола разрешаю нужные порты, протоколы и адреса и все работает классно.
Клиентом RRAS пингуется 10.0.0.1 и данные на него скидываются.

Если в фаерволе (в ISA) разрешить RRAS видеть комп во внутренней сети, то данные доходят. Но начальник отдела хочет чтоб данные скидывались на внешний IP и ни кто не видел внутреннюю сеть.

И последнее, возможно ли это вообще сделать хотя бы в теории?

P.S. Я даже не знаю как правильно сформулировать запрос того что мне нужно в поисковике. пробовал искать перенаправление трафика. ничего стоящего не нашел.

Автор: weerkostya
Дата сообщения: 14.03.2007 11:11

alexps WSAETIMEDOUT - превышен таймаут соединения. не пускает его короче.

Nesta смотри справку по запросу "публикация".
если быть кратким - тебе надо опубликовать "сервер отчетов" на интерфейсе 10.0.0.1
т.е. эти клиенты будут подключатся на 10.0.0.1 по определенному порту и работать так, будто 10.0.0.1 и есть "сервер отчетов"

для этого маршрутизацию (сетевые правила) вообще никакие не надо, так как все интерфейсы на локальной машине рассматриваются исой как "localhost" до которого по дефотному правилу есть маршрут со всех сетей.
т.е. все правила доступа сводятся к доступу клиентов до "locahost" по необходимому для сервера отчетов порту + собственно публикация сервера отчетов.

Автор: vicwanderer
Дата сообщения: 14.03.2007 11:32

hardhearted, непонятно объяснил.... Напишу что я сделал
В ISA\gate1\Configuration\Networks\Network Rules создал правило Branch to Internal route. Правило под 2-м номером. Непонятно, почему оно не создаётся при использовании мастера ВПН соеденения в ИСЕ...Как видно ниже татический маршрут в сеть 192.168.9.0 прописан.

Ipconfig и route print с обоих шлюзов
******************ШЛЮЗ1********************
C:\Documents and Settings\shadm>ipconfig /all

Настройка протокола IP для Windows
Имя компьютера . . . . . . . . . : shadm
Основной DNS-суффикс . . . . . . : yyy.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : да
Порядок просмотра суффиксов DNS . : yyy.local

Интерфейс RAS-сервера - PPP адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Физический адрес. . . . . . . . . : 00-53-45-00-00-00
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.3.1
Маска подсети . . . . . . . . . . : 255.255.255.255
Основной шлюз . . . . . . . . . . :

Подключение по локальной сети 2 - Ethernet адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8169/8110 Family Gigabit Ether
net NIC
Физический адрес. . . . . . . . . : 00-0F-EA-3F-14-81
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.44.2
Маска подсети . . . . . . . . . . : 255.255.255.252
Основной шлюз . . . . . . . . . . : 192.168.44.1
NetBIOS через TCP/IP. . . . . . . : отключен

Подключение по локальной сети - Ethernet адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethernet
NIC
Физический адрес. . . . . . . . . : 00-80-48-14-51-04
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.2.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 192.168.2.1

VPNMainOffice - Ethernet адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : D-Link DFE-520TX PCI Fast Ethernet Adapte
r
Физический адрес. . . . . . . . . : 00-17-9A-BF-85-8F
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.113.22
Маска подсети . . . . . . . . . . : 255.255.255.252
Основной шлюз . . . . . . . . . . :
NetBIOS через TCP/IP. . . . . . . : отключен

C:\Documents and Settings\shadm>route print
IPv4 таблица маршрута
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x10002 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
0x10003 ...00 0f ea 3f 14 81 ...... Realtek RTL8169/8110 Family Gigabit Ethernet
NIC
0x10004 ...00 80 48 14 51 04 ...... Realtek RTL8139 Family PCI Fast Ethernet NIC

0x10005 ...00 17 9a bf 85 8f ...... D-Link DFE-520TX PCI Fast Ethernet Adapter
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.44.1 192.168.44.2 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.2.0 255.255.255.0 192.168.2.2 192.168.2.2 20
192.168.2.2 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.2.255 255.255.255.255 192.168.2.2 192.168.2.2 20
192.168.3.1 255.255.255.255 127.0.0.1 127.0.0.1 50
192.168.9.0 255.255.255.0 0.0.0.0 ffffffff 1
192.168.44.0 255.255.255.252 192.168.44.2 192.168.44.2 20
192.168.44.2 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.44.255 255.255.255.255 192.168.44.2 192.168.44.2 20
192.168.113.20 255.255.255.252 192.168.113.22 192.168.113.22 20
192.168.113.22 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.113.255 255.255.255.255 192.168.113.22 192.168.113.22 20
224.0.0.0 240.0.0.0 192.168.2.2 192.168.2.2 20
224.0.0.0 240.0.0.0 192.168.44.2 192.168.44.2 20
224.0.0.0 240.0.0.0 192.168.113.22 192.168.113.22 20
255.255.255.255 255.255.255.255 192.168.2.2 192.168.2.2 1
255.255.255.255 255.255.255.255 192.168.44.2 192.168.44.2 1
255.255.255.255 255.255.255.255 192.168.113.22 192.168.113.22 1
Основной шлюз: 192.168.44.1
===========================================================================
Постоянные маршруты:
Сетевой адрес Маска Адрес шлюза Метрика
192.168.113.20 255.255.255.252 192.168.113.21 4
192.168.9.0 255.255.255.0 192.168.113.21 6

******************ШЛЮЗ2***********************
E:\Documents and Settings\Администратор>route print

IPv4 таблица маршрута
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x10003 ...00 c0 26 aa 4f bc ...... Realtek RTL8139 Family PCI Fast Ethernet NIC

0x10004 ...00 17 9a bf 85 86 ...... D-Link DFE-520TX PCI Fast Ethernet Adapter
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.113.25 192.168.113.26 30
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.9.0 255.255.255.0 192.168.9.1 192.168.9.1 20
192.168.9.1 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.9.255 255.255.255.255 192.168.9.1 192.168.9.1 20
192.168.113.24 255.255.255.252 192.168.113.26 192.168.113.26 30
192.168.113.26 255.255.255.255 127.0.0.1 127.0.0.1 30
192.168.113.255 255.255.255.255 192.168.113.26 192.168.113.26 30
224.0.0.0 240.0.0.0 192.168.9.1 192.168.9.1 20
224.0.0.0 240.0.0.0 192.168.113.26 192.168.113.26 30
255.255.255.255 255.255.255.255 192.168.9.1 192.168.9.1 1
255.255.255.255 255.255.255.255 192.168.113.26 192.168.113.26 1
Основной шлюз: 192.168.113.25
===========================================================================
Постоянные маршруты:
Отсутствует

E:\Documents and Settings\Администратор>ipconfig /all
Настройка протокола IP для Windows
Имя компьютера . . . . . . . . . : supersklad-2
Основной DNS-суффикс . . . . . . : obl2.local
Тип узла. . . . . . . . . . . . . : широковещательный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : да
Порядок просмотра суффиксов DNS . : obl2.local

VPNRemoteOffice - Ethernet адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethernet
NIC
Физический адрес. . . . . . . . . : 00-C0-26-AA-4F-BC
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.113.26
Маска подсети . . . . . . . . . . : 255.255.255.252
Основной шлюз . . . . . . . . . . : 192.168.113.25
DNS-серверы . . . . . . . . . . . : 127.0.0.1

Подключение по локальной сети 2 - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : D-Link DFE-520TX PCI Fast Ethernet Adapte
r
Физический адрес. . . . . . . . . : 00-17-9A-BF-85-86
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.9.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 127.0.0.1

Автор: kaurych
Дата сообщения: 14.03.2007 11:55

AvvNtl

Не - можно и не переписывать - не лень - просто работы и так хватает!
Только хреново FTP работает на этом виртуальном IP я только с ДМЗ своей могу зайти - ито експлорером - через командную - юниксов - через ДМЗ тоже немогу - хоть и в логах для FTP отражается коннект - но рвётся!

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68

Предыдущая тема: Проблемы с выходом в Интернет

Форум Ru-Board.club — поднят 15-09-2016 числа. Цель - сохранить наследие старого Ru-Board, истории становления российского интернета. Сделано для людей.