» MS ISA Server (часть 1)

activ8
прежде всего надо определиться с тем, что подразумевается под словом "видны" .... какие пртоколы и порты...

2 Klisha
Под словом "видны" предполагается доступность из оснастки "сетевое окружение", и все что из этого вытекает (shares, etc...).

activ8
Тогда смысл в этой защите???? кого и от чего она будет защищать???? если ты собираешься открыть фактически все...

Klisha
Но открыть-то только для своих. Может организовать VPN туннель. Плюс ко всему мне траффик считать нада. Кстати, а чем еще можно траффик посчитать?

activ8

Ты можешь подробно набросать конфигурацию сети?

Я так понял, что ту, внешнюю сеть админить нельзя, так?

Darkowl
Так в том-то и дело, что можно ) Это дружественная компания, которая нам инет дает по выделенке. мы с ней по IDSL соединены. После модема у меня циска идет, потом свич...

Тут, IMHO, Иса не слишком подходит. Для подсчета траффика можно использовать что-нибудь попроще. Или нужно разграничение по пользователям и траффик персонально?
А реальный IP у этой машины есть?

DarkowlНо мне не только траффик считать надо. Не смотря на то, что сеть дружественная (которая инет передает), сама она тоже без файрвола сидит... Реального IP нет. Суть, как мне кажется, в том, что если поставить ISA, то она будет подставлять вместо своего реального ( впределах WAN) другой адрес, и нас не будет видно из той, и к ней примазанных, сетей... Надо что-то сделать (VPN, может), чтоб только для этой сети(сетей) были видны реальные адреса, а для остальных - типа NAT...

З.Ы.
А что по-проще можно использовать для подсчета траффика?

activ8

Цитата:

З.Ы.
А что по-проще можно использовать для подсчета траффика?  

Если уж совсем просто то поставь BSB  
bsb.net.ru
он и трафик посчитает и если нужно лимит установит!

activ8
А почему бы не настроить firewall в той сети? А между этими можно и VPN. Или просто поставить машину, как маршрутизатор, и ей трафик считать.

Ибо, если дружественная сеть потенциально небезопасна, открывать свою тоже небезопасно.

Darkowl
В том-то и проблема, что нельзя... Точнее, в недалеком будущем это там будет производиться, но когда?... Ну, значит, не находится других вариантов ?

activ8
А что циска для подсчета трафика никак не подходит??? там по-моему инструментов хватает... и опять же можно какую-никакую защиту замутить... напирмер открыть только нужные порты... и все будет чики-пуки...

Klisha
Я уже тоже к этому склоняюсь... Но только не знаю, каким образом ее настроить на это.

На всякий случай, CISCO 2600. Если кто знает и сможет подсказать, как это сделать - большое человеческое спасибо

.... циска для подсчета трафика ......CISCO 2600...
Вам всего нужно или с разбивкой по ip?

SurfKoba
Если я правильно понял - с разбивкой по IP. Есть три логические подсети, и требуется по каждой из них иметь инф-ию о траффике.

activ8
По каждой... нет у меня целиком считается - only для бесед c провайдером. (simple SNMP, рядом есть ветка про мониторинг *nix там линки по MRTG).
В Вашем случае IMHO
http://www.cisco.com/warp/public/732/Tech/nmp/netflow/index.shtml
только нужен IOS нужного цвета http://www.cisco.com/warp/public/732/Tech/matrices/netflow_matrix.shtml
или ручками counter-ы.

SurfKoba
Спасибо за инфу, буду пробовать...

Кстати, если я не ошибаюсь, с помошью ИСЫ можно VPN делать. А подставлять свой IP он будет не всегда, если эту другую сеть прописать в LAT (local address table)

Если кто хорошо знает сабж помогите разобраться с некоторыми вопросами ПЛЗ:
1. Можно ли ограничить пользователям траффик?
2. Выставил правила всякие там ограничения однако с некоторых машин траффик постепенно идет. К чему бы это?
3. Не сходится траффик с траффиком провайдера хотя он грит что у него все правильно
4. Еще хотелось бы организовать web в локалке с постоянным обновлением данных по пользователям
5. Почему рапорт выдается только за предыдущий день

Заранее благодарен

Random2003
1) С помощью ИСЫ - нет. Я использую Surf Control Web Filter, там можно ограничивать, но только на день. На месяц, вроде, нельзя, хотя особо глубоко не копал.
2) Есть такое, когда погазывается не доменный пользователь, а его IP. Самому интересно, кажется, связано с Secure NAT, точно не выяснял.
3) а траффик не сходится с учетом кэша и входящего-исходящего? И сильно не сходится?
4) Что значит Web ? Веб сервер? Как это связано с Исой? Или чтобы пользователи могли свои данные смотреть?
5) А там разве нельзя произвольно период задавать? Или только срок его работы?

Цитата:

3. Не сходится траффик с траффиком провайдера хотя он грит что у него все правильно

Во-первых, иса какой-то трафик может блокировать, что не будет отражаться в отчёте.
Во-вторых, сколько байт в магабайте каждый пров для себя может сам определить.
То, что иса показывает трафик меньше реального известно уже давно (в основном по первой причине)

Цитата:

5. Почему рапорт выдается только за предыдущий день

Потому что считается полный день, также и за месяц - не в начале же месяца выдавать
Ещё необходимо учесть, что в репорте используется время по Гринвичу (т.е., чтобы правильно его читать для Москвы - в уме прибавляем 3 часа)


Добавлено
MSK Local Time = System+3hour

2) Насколько я понял IP показывается только в том случае если разрешены анонимные подключения У меня такого нет
3) Трафик не сходится с трафиком прова то есть у него показывается больше чем у меня примерно в два раза
4) Чтобы пользователи могли свои даные посмотреть

2) У меня тоже отключены. Тем не менее, IP встречаются. Причем у людей с ноутбуками, у которых есть локальный (не доменный) логин. Firewall Client установлен. Может, они в эксплорере вводят свои данные, когда окно вылезает, а Иса все равно пишет IP. Но, в то же время, иногда и локальные логины в рапортах проскакивают.

3) Я для подсчета траффика хочу использовать не Ису, а свой Firewall на Линуксе. Там ifconfig даже может трафик считать, именно для прова нужно что-то замутить, только времени совсем нет. Кстати, в два раза разница - это черезчур! У меня такого не было.
У меня еще почтовый сервер на той же машине, почту снимает и пересылает внутрь. Это то иса не видит.

4) Я такое в Wingate только видел. Но к Исе может быть какая-то навеска.

Random2003
2. Ip пишутся в логи в зависимости от настроек лога и в отчеты
в зависимости от того чем отчет создается и опять же от настроек.
3. Может у тебя есть возможность выхода в и-нет в обход ISA?

Darkowl
4. Действительно, в самом ISA этого нет.
Обеспечивается либо сторонним софтом, либо скриптами.

JcVai
2. В том то и идея, что у меня иногда в отчетах показываются IP адреса вместо имени пользователя! А в правилах все в порядке! В обход ИСЫ только ДНС.

2 All

помогите плз.
1. как учитывать трффик для каждого пользователя
2. есть ли фильтр- антивирус
3. не открывается сайт на порту 8101, как енто исправить

зараннее сорри за ламерские вопросы

Цитата:

1. как учитывать трффик для каждого пользователя

он и так учитывается. рекомендую поставить ProxyInspector - удобнее будет.

Цитата:

2. есть ли фильтр- антивирус

как навоза - полно всяких. смотри для начала http://www.isaserver.org/, но и там не всё..

Цитата:

3. не открывается сайт на порту 8101, как енто исправить

У меня тоже не работает , но я так на это и забил: "не работает, и не работает "

LAZ


Цитата:

помогите плз.
1. как учитывать трффик для каждого пользователя

Я лично пользуюсь Internet Access Monitor... программулина бесплатная, да и тормозит гораздо меньше прокси - инспектора

Цитата:

2. есть ли фильтр- антивирус

уже ответили на этот вопрос...

Цитата:

3. не открывается сайт на порту 8101, как енто исправить

Открой порт.

не сочтите за наглость, решил попросить совета
по поводу след. проблемы:
где-то полгода тому назад установил я этого ISA но со временным
номером (trial), потом снес, нормально снес - по-правильному.
и вот сейчас хочу поставить снова, а оно ставится, но не стартует
веб и файервалл - пишет в логи evaluation expire/
Посоветуйте, пожалуйста, где можно его почистить уж больно не хочется
переустанавливать сервер.

если можно но сюда roman/at/sp-house.zp.ua

Klisha
скачал я Internet Access Monitor....
если правильно понял он анализирует логи... и выдает статистику...
у меня логи пишутся в MS SQL ...как его настроить что-б он из сиквела логи тянул?

Leonid_Z
аналогичный вопрос по ProxyInspector... дружит ли он с сиквелом?