» MS ISA Server (часть 1)

ответ на номер раз: PIX - это файервол
ответ на номер два: прокся, она и в Африке прокся

Вот и я о том. ISA это брандмауэр и прокси в одном флаконе. Зачем выдумывать что-то еще, когда есть готовое решение? Но это всё лирика. Ты лучше скажи есть ли от циски клиенты, которые устанавливаются на внутренние машины?

Цитата:

ISA это брандмауэр и прокси в одном флаконе.

брандмауэр можно и отрубить и оставить проксю в одном флаконе, но интересует, реализация, а не нахрена мне это надо, вот такой я извращенец. А у Cisco дохрена всяких клиентов, чего тебя интересует?

а суперскаут что разве не GFI ? )))

У меня трабл с ISA - не хочет генерить репорты - хоть убей... Может кто знает где копать??

Klisha
А раньше генерил? или ты первый раз пытаешься настроить?

Пытаюсь настроить... раньше был другой ISA - там проблем не было, а сейчас переставил - и никак

Klisha
Должна работать системная служба "Назначенные задания". Я как-то раз её убил и репорты навсегда остановились, переставил всё и теперь так не шучу.
Не знаю, что у тебя может быть. Ты правильно запустил репорты? Попробуй дату первого выполнения поменять...
А лучше спроси в http://forum.ixbt.com/?id=7&forumpage_days=2&name=isa
- там больше народу ISA знают.
Удачи!

Нужна помощь . В настроике ISA

Простая сеть 192,168,0,Х. DC c ISA сервером. На нем же DNS DHCP.
2 сетевые карточи .Одна сморит в локалку вторая наружу.ISA установлена

в интеграитед мод. На компах в сети устаовлены FW client ISA.

1,- Сервер с DC c ISA ругается по поводу службы времени...Event Type:

Warning
Event Source: w32time
Event Category: None
Event ID: 11
Date: 12/2/2000
Time: 6:00:03 AM
User: N/A
Computer: SERV
Description:
The NTP server didn't respond
Data:
0000: 00 00 00 00 ....

Я дал команду чтоб он синхронизировал время с проваидера но помоему ISA
просто не пускает.
Я прописал в IP Packet FILTER

GENERAL / Network Time Protocol
Filter Type / Custom
IP / UDP
Protocol number / 17
direction / Booth
local Port / 123
Remote port / All Ports

И всепорежнему. Что нужно сделать?

2. Ping c сервера проходит с клиентов нет . Что нужно прописать в

Protocol Rules.?

3. Почта -Оутглюк на ящик прова проходит все ок.(что с сервера, чо с

клиентов ) , а На MSN нет вот что пишет ;

The connection to the server has failed. Account: 'msn.com', Server:

'msn.com', Protocol: POP3, Port: 110, Secure(SSL): No, Socket Error:

10060, Error Number: 0x800CCC0E

Может нужно что то особое?.(Кстати может я неправильно прописал POP3

SMTP в Propertis outlook ---- ; msn.com

Если можно ответ поподробнее. с обьяснением.

Есть еще пару вопросов, но пока нужно разобраться с этим.

Borgia
На первую проблему можно забить.. время не главное..
По поводу пингов - подумай а они нужны клиентам? Скорей всего ты не отрыл соответствующее в правилах. Тоже самое касается и msn

Добавлено
Кто-нить пробовал делать публикацию web-сервера?... Что только не делал - не работает.. Хотя почту настроил быстро и все работает...

Добавлено
Leonid_Z

Цитата:

Должна работать системная служба "Назначенные задания".

Это "sheduled task" ?

Klisha

ВСЕМ нет но еть несколько юзеров которым нужно дать разрешение. Просто в Protocol Defenitions В ОТЛИЧИЕ от IP Paket FILTER нет уже готовых заготовок для ICMP Которые можно подствить в potocol Rules. Вот и спрашиваю чего прописывать.

Поповоду службы времени - забить можно на все впринцие но хочется разобраться с проблемой хотя бы для себя.

Borgia
По поводу ping.
Я решал эту задачу так: Configure packet filtering and Firewall protection -> Enable IP routing.
Кстати может после этого у тебя и время начнет синхронизироваться...

Klisha
да - sheduled task
Ты в форуме-то том, что я тебе говорил спрашивал? Что-то я не нашел Там скажут.

Leonid_Z
Эта служба у меня работает.... На том форуме уже есть подобная тема... но что-то ответов в ней не густо....

Klisha

Senks Segodnja poprobju. (xotja mne kazetsja chto Enable IP routing u menja vistavlen.

Klisha
ну я не знаю... сам плохо разбираюсь.

У меня другой трабл. Руборд не весь открывается на компе, где иза стоит!!!
Закладки, форумы, а сами темы - хрен. Ошибку пишет - что-то вроде "слишком длинный заголовок". Сегодня еще посмотрю. С февраля так стало. Раньше - нормально было. Ничего в ISA не настраивал больше. Шо за хрень???

Leonid_Z
а что конкретно пишет????

Народ кстати может сделать этакии маленькии фак. по исе. По настроике основных вещеи. Т.к как Почта.фтп.мsn messener. icq, и тд. Может каждый напишет кратко свои рули и фильтры. Допустим сеть такая-то то-то установено. Задача доступ по фтп с клиентов на внешние фтп сервера. Создаем руль прописываем то -то и то-то. Сколько не искал на разных форумах везде как то расплывчато или чересчур коротко. От себя могу написать по фтп .(но перед этим я ису снесу и заного установлю на этих выходных, а то я там попервому разу явно переусердствовал в утановках хм заодно проверю все)

Klisha
Ошибка 502 (12216)

Сегодня я еще меньше могу открыть:
например, http://forum.ru-board.com/tools.cgi?action=bokmarks открывается
а новые не открываются.
Как то это всё же связано с новыми скриптами на руборде.
Раньше бывали подобные вещи, но очень редко.
ISA с SP1. С внутреннего компа (через прокси) всё работает.
На самом прокси не особо-то и нужен интернет, но просто интересно?
А также с ftp не всеми работает.

Borgia
Это видел http://www.winfaq.com.ru/winnt/proxy.htm ?
(пока на руборде все )
Я больше года безнадёжно тут искал собеседников.
теперь уж вроде б squid проще кажется


Добавлено
Borgia
Вот ещё:
http://winfaq.com.ru/ubb/Forum9/HTML/000001.html
Может не изобретать велосипед?
Просто мало тут спецов, по крайней мере, на сегодняшний день.

Добавлено
Модераторы!
сделайте первый пост редактируемым - вставим туда эти ссылы, что б от жизни не отставать

Leonid_Z
Возможно ты прав, хотя там отображено далеко не все, ситуаций и конфигураций может быть довольно много. и если каждый сможет описать свою то чем плохо. чем больше разной информации тем лучше.причем в одном месте.
PS Кстати обратил внимание что просто рестарт прокси и фаерволла(сервисов ) после изменения конфигурации не всегда решает проблему .иногда полезно вообще перезагрузить комп.

Цитата:

рестарт прокси и фаерволла(сервисов ) после изменения конфигурации не всегда

Нет не сталкивался. я вообще очень редко в настройки лазаю.

Borgia
Вообще, я тоже поддерживаю эту идею - народу будет полезно. )
Leonid_Z
А это повторяется на всех компах или только на одном компе?
И еще: а ты не пробовал ISA клиента ставить, а не работать напрямую с проксей???

Klisha
ТОЛЬКО на одном - на самом сервере:

Цитата:

С внутреннего компа (через прокси) всё работает.
На самом прокси не особо-то

Клиентов ставить пробовал, конечно, но я авторизацию не использую - так что, незачем они в принципе.
Я уж в БАГ РЕПОРТ отписал.
Любые другие-то сайты я могу посмотреть - только на Руборде "свет клином сошёлся"!

Leonid_Z

Цитата:

А также с ftp не всеми работает.

Что ты имел ввиду по поводу ФТП.
Кстати у меня вообще очень интересно выходит. Первый раз для доступа фтп клиентам надобыло создавать специально правило для пасивного подключения а также дополнительный 20 порт. Сеичас переустановил ИСУ ничего дополнительно не создавал , и спокоино подключаюсь по фтп протоколу.

Borgia

Цитата:

Что ты имел ввиду по поводу ФТП.

Я имею ввиду - по фтп-протоколу зайти не на все сервера могу.
На какие-то могу, а куда-то фиг, хотя с компьютера, расположенного за этим прокси (работающего через этот ISA) - всё ОК (что открыто, конечно).
Вообще, может зря я тут флуд развожу, поскольку видел где-то как настроить полноценный интернет на том же компьютере, где стоит ISA. Я же по-тупому просто использую в браузерах и ftp-клиентах (на этой машине) прокси 127.0.0.1 и ничего специально в изе не настраивал .
И всё, что надо было до сих пор работало: WindowsUpdate там всякий, яндекс, гугл, форумы. А вот теперь Руборд не грузится в отличие от остальных. Наворотили здесь чего-то со скриптами . Я как врач говорю !

Poprobui v IP PACKETS FILTER прописать в вот это , и незабудь перестартовать сервиси (раскажи потом как)

Outbound access from a perimeter FTP client:
Packet Filter Name : FTP Client control connection
Enabled : True
Filter Mode : Allow
Filter Type : Custom
Protocol : TCP
Direction : Outbound
Local Port: Dynamic Port
Remote Port : 21
Local Computer Filter Applies to Computer : IP address FTP Client
Remote Computer Filter Applies to Network : All Remote Computers

Packet Filter Name : FTP Client data connection active
Enabled : True
Filter Mode : Allow
Filter Type : Custom
Protocol : TCP
Direction : Inbound
Local Port : Dynamic Port
Remote Port : 20
Local Computer Filter Applies to Computer : IP address FTP Client
Remote Computer Filter Applies to Network : All Remote Computer

Packet Filter Name : FTP Client control connection + data connection passive
Enabled : True
Filter Mode : Allow
Filter Type : Custom
Protocol : TCP
Direction : Outbound
Local Port : Dynamic Port
Remote Port : Any Port
Local Computer Filter Applies to Computer : IP address FTP Client
Remote Computer Filter Applies to Network : All Remote Computers

Вопрос по поводу Secure NAT клиента.
К примеру есть два компа в сети
ISA с внутренним интерфейсом 10.1.1.2
и клиент с 10.1.1.3
обычно (до ISA) клиент ходил через 10.1.1.1
на squid 192.168.254.1
Теперь я ему прописал как гейт внутренний ай-пи ISA сервера
Ну и у него пошло все работать
например www.ru пингуется
Но пингуется даже если строгий DENY на все сайты и все протоколы для всех компов и юзеров!
Я конечно могу ICMP прибить фильтром, а все остальное как?
Как ограничивать Secure NAT клиентов?
В смысле разумно (что-то давать кому-то, а не все запретить всем сразу - это можно отключив IP Filtering) ?

kibkalo
ПОПРОБУЙ сделать в обратную сторону.
To allow internal network clients the ability to ping Internet hosts, perform the following steps:

Configure the client as an ISA Server SecureNAT client. Only ISA Server SecureNAT clients are able to use non-TCP/UDP protocols.
In the ISA Management console, expand your server or array name and then expand the Access Policy node.
Right-click the IP Packet Filters node and click the Properties command.
In the IP Packet Filters Properties dialog box, select the Enable packet filtering check box, and then select the Enable IP routing check box.
Click Apply. Allow the ISA Server to restart the services. Then click OK.

http://www.microsoft.com/isaserver/techinfo/tips/pptpandping.asp
Я так и не понял только пинг прохдит или вобще полный досуп?

По ISA 2000 Server есть хороший ресурс:
http://www.isaserver.org

MrX
а то мы не знали
L0Ve, lynx, Crash Master
Вы когда-нибудь сделаете первый пост "липким" (как в моём любимом разделе форума)?
Тогда все эти очевидности типа

Цитата:

По ISA 2000 Server есть хороший ресурс:
http://www.isaserver.org

там будут. Вообще идея с редактированием первого поста идея очень хорошая и полезная, тока автора его всегда немного жалко
Borgia
Спасибо. Сегодня-завтра понастраивю, расскажу.