» MS ISA Server (часть 1)

Присоединяюсь к вопросу vadimK80. Этот вопрос звучал в топике уже не раз, но вразумительного ответа так и не прозвучало. У меня Opera 8.5.7700 пишет: "The proxy server requested a login authentication method that is not supported". Компьютер полностью настроен на использование Microsoft ISA Server 2004 SE — WebClient, SecureNAT, Firewall Client. Подскажите, пожалуйста, как заставить Opera аутентифицироваться через клиента фаервола.

PIL123
ставь бейсик аутенфикацию и пускай оперу не через фв клиента.

у меня наоборот - стоит интегрированная аутентификация, а в опере не прописан прокси - т.е. FWC сам рулит трафик от оперы куда надо и аутентифицируется за неё...

Ребята помогите может кто сталкиволся.
поставили тарелку чтоб в инет выходить.
На сервере не выходит в нет. А клиенты могут через наземный канал (АДСЛ раньше так выходили) соответственно. Иса вырубаю причем насильно через сервис тогда в нет без проблем. Ну тогда получается клиенты не могут выйти.
Пробовал файрвол остановить и даже веб прокси все равно не выходить. Что может быть?
винда 2000 сервер, иса тоже 2000.

Jankas

Цитата:

На сервере не выходит в нет. А клиенты могут через наземный канал (АДСЛ раньше так выходили) соответственно. Иса вырубаю причем насильно через сервис тогда в нет без проблем. Ну тогда получается клиенты не могут выйти.
Пробовал файрвол остановить и даже веб прокси все равно не выходить. Что может быть?
винда 2000 сервер, иса тоже 2000.

если я правильно суть понял, то нужно в интернет-браузере на сервере прописать прокси его же самого, т.е. 127.0.0.1 порт 8080, ну или какой там порт в иса выставлен.

Раньше так было, но патом как установли тарелку там еще поставилти глобакс и в браузере прописали 127.0.0.1 порт ****
мне кажется иса блокирует этот порт, но я же отключаю файрвол и веб прокси? или я чего не понимаю.

Кто-нить задавался вопросом очистки кэша исы для (допустим) конкретного сайта?
Есть трабл:
сайт не возвращает хидеры модификации и экспирации страницы

иса доблестно кэширует страницу и отдает кэш даже если я четко скажу ей не кешировать данный сайт (так как настройка отмены кэширования была сделана позже, а объект считается валидным и прет из кэша).. время смерти кэша большое, а ломать весь кэш тоже не есть гуд (и ждать много часов пока умрет кэш тоже в лом)..

есть какие нить идеи?

MeGaBrAiN

Пользуй CacheDir с сайта майкрософт.

Добавлено:
Авторизовать сервис Windows Update.

Как? Хочется чтобы запущенные на клиентских w2k и wxp сервисы автоматического обновления при подсчете трафика были отдельно посчитаны. Пока придумал создать правило пускающее на соотв. сайты по http и https клиентов являющихся компьютерами в AD, wupdate пытается слать запросы или как anonymous или как computername$.

Single7

ай спасибо добрый человек..

как я мог не заметить тулзу?

PIL123

Цитата:

заставить Opera аутентифицироваться через клиента фаервола

А если прописать opera.exe в исовых настройках файерволл-клиента????

Подскажите сталкнулся с проблемой что ISA не пускает в External ни клиентов ни сервак по FTP. в логе ISA пишет
Код: 0x0    0x0    24.10.2005 16:25    209.170.95.36    21    FTP    Initiated Connection    FTP    0x0     Local Host    External    Firewall
0x0    0x0    24.10.2005 16:25    209.170.95.36    21    FTP    Closed Connection    FTP    0x80074e24 FWX_E_CONNECTION_KILLED    Local Host    External    Firewall

Сорри если этот вопрос уже поднимался но у меня траффик дороговат дома поэтому я все таки задам вопрос, только просьба не пинать на поиск - страниц уж больно много.
Суть проблемы: На сервере (w2k3) установлена ISA 2004. Сам сервер подключен к инету через ДСЛ. И пускает через ВПН в инет. Все бы ничего да вот решились купить спутниковую антену. Теперь исходящий траффик идет по ДСЛ (бесплатно) а входящий - через спутник. Вот тут и начались проблемы - ИСА перестала пускать браузеры в интернет. Тоесть ВПН клиент конектится, пинг есть (например маил.ру пингается с задержкой около 400) а сайты не открываются. Хотя при этом и аська и игры нормально конектятся. Уже все излазил - никто ничего подсказать не может...
При этом если отключить спутник - все нормально.
PS Соединение через спутник идет по ВПН-каналу

возможно буду не прав или не точен, сам подобную схему хочу дома организовать, в общем идея такова:
на интерфейсе спутника из экстернал в интернал и локал хост прописать трафик инбоард (протоколы т.е. настроить на инбоард)
на интерфейсе дсля из интернал и локал хост в экстернал прописать аутбоард
можно и с таблицами маршрутизации зделать, однако это лишь предположение...
самому интересен этот вопрос так как в скором времени обзаведусь маршрутизатором к антене который пока тока на прием будет гнать трафик. а там глядишь и на передачу голову поменяю, но это потом...

но ведь в случае ДСЛ все работает как надо! А при подключении через спутник ТОЛЬКО сайты не грузятся.... все остальное нормально работает.... правда отклик долгий но для спутника - в самый раз

смысл насколько я понимаю (пусть меня поправят гугу ISA'ы) в том что у тебя не прописан четко интерфэйс спутниковой DVB-карты основанный и работающий только на прием трацика и здесь те самые грабли с SNAT & Route вот и нужно их разделить, т.е. тот софт что может работать он прекрасно и работает без всякой настройки это например ICQ и прочий софт. Вообще я так понимаю этот вопрос можно задать саппорту того прова к которому ты подключаешься на спутник и вот так как они тебе скажут настроить схему работы даже без исы (если не дай бог они тебе не смогут сказать как настроить с исой ) попробуй перенести эту схему настройки на ISA'у. вообще если я правильно понимаю (судя по твоуму городу в профиле) ты подключаться собрался либо на Yamal либо на Express что собственно разницы большой не имеет постольку-поскольку оба спутника имеют имхо самого дешевого прова ни них в виде наличествования транспондеров Вебмедиа сервиса (он же HeliosNet), а у них (опять же имхо) саппорт толковый и думаю должны объяснить.

PS сорри за оффтоп, если получится настроить отпиши здесь в топике или хотябы мне в личку.

понимаешь в чем проблема... Локально на сервере интернет есть во всей своей красе причем траффик делится абсолютно правильно. Его нет только у ВПНовцев...
ДА и еще вот такая проблема (причем есть подозрение что они как то связаны):
На этом серваке стоит еще и апач. стоят простенькие скрипты, написанные мной. Так вот, один из скриптов отправляет СМС и при удачной отправке пишет ип в базу (для ограничения отправки в час) И вот тут и выплыл глюк: после установки ИСЫ, в базу пишется адрес сервера. На форуме - то же самое. Везде идет ТОЛЬКО ип сервера (10.12.13.60)...

2Baloven1
Ты прав на 100%, спутник - Ямал, провайдер HeliosNet!
Как сказал уже Диамонд Фоеникс самое смешное то, что когда клиенты по ВПН конектятся к серверу(а сервер в интернете по аДСЛ), то все просто замечательно(пинги, игры, сайты, аська и прочее)! Но как только на сервере устанавливается ВПН соединение с Хелион Нет , то ВПН клиента конектиться и есть все кроме HTTP and FTP ресурсов!!!
Да кстати кто какую программу учета - ограничения трафика для ИСЫ посоветует!


P.S. Я типа друг Феникса)

не знаю было или нет, столкнулся с глюком http фильтра
при включенном http фильтре на некоторые некоторые виды url ругается 502 ошибкой например если в яндексе набрать русскую малую "а" или "п" или "а п" и еще ряд букв то вылетит, в логах пишет failed connection, а например набрать "ап" или "А" или "ы" то все будет ок, если http фильтр отключить то все работает. То есть с некоторыми буквами глючит, причем я заметил только с одиночными.
Может кто знает лечиться ли это, и что по этому поводу говорят в мелкомягком?
кстати из-за этого большинство сайтов где есть выборка по русскому алфавиту не будет работать

нашел лекарство
http://support.microsoft.com/default.aspx?scid=kb;en-us;894483
не знаю наскока действенное, но мне помогло

Что-то не нашел обсуждения антивируса для ISA (интересует ISA 2000)
Пробовал Secru Shield от Mcafee - тормоз
Может от Symantec лучше ?
Как с обновлениями (кстати у Mcafee с обновлениями НЕТ проблем)

есть ли опыт работы с ентим делом
Какой посоветует ALL

стоит ДЦ + иса 2004 и порядка 1000 пользователей, причем иса стоит на кластере
возможноли организовать онлайн статистику для каждого/по каждому пользователю, если да то какими средствами? вариан самому делать биллинг под себя отпадает.

У меня возник вопрос по миграциис ISA2000 на ISA2004 . На странице http://www.insar.net/for_admin/ISA/2004/mnemonic2.htm есть текст :
"1. В командной строке наберите путь \ISA2KExport.exe
2. На странице Welcome нажмите далее.
3. На странице Export File Location укажите имя и размещения XML файла который будет создан, нажмите далее.
4. На следующей странице можно установить пароль на данный файл, после установки пароля файл будет зашифрован, для продолжения нажмите далее.
5. На странице Firewall Policy выберите:
- Block all traffic from the internal network to the ISA Server computer (Выберите данный вариант если внутренним клиентам не требуется доступ к каким либо сервисам на ISA Server 2004.
- Allow All traffic from the internal network to the ISA Server computer ( Выберите данный вариант, если нужно дать доступпользователем извнутренней сети ксервисам на ISA Server) Нажмите далее.
6. Нажмите Migrate, после того как процесс миграции закончится, нажмите далее.
7. Нажмите finish."
Я не запомнил , было ли все так при первом запуске ISA2KExport.exe . Но при повторном запуске с пункта 3 сразу попадаю на пункт 6 , то есть нет выбора - "5. На странице Firewall Policy выберите:" . Что делать ? Где сохранилась информация о прежнем выборе ? Как снова запустить , чтоб выбор был ?

ny100ta
возможно конечно, для этого есть куча разных софтин, многие из них можно найти по ссылкам что в шапке. только хотя бы писал куда у тебя логи складываются, потому что анализаторы в принципе и отличаются тем что работают с разными источниками

ny100ta
http://www.internetaccessmonitor.com/rus/products/iam/
позволяет генерить отчёты по пользователям (и др. условиям) и затем публиковать их где-н на шаре ...

greenfox
пробывали, знаем. отчет генерится долго, джае очень долго. причем только админом.
а нужно именно чтобы юзвери могли сам смотреть статистику.

еще забыл сказать что иса стоит на кластере и в аррэйе. и изза этого сразу много софта отпадает.

Народ подскажите почему не пускает иса 2004 по FTP протоколу? правило разрешающее FTP есть, фильтр отключил вообще, через браузер не могу попасть на FTP ни при sNAT ни при Route браузер пишет что проверьте права доступа, в регэте пишет что соединение разорвано локальной системой (если выходить с локального компа исы)

2Baloven1
В правиле разрешающем доступ, откройте контекстное меню, выберите Configure FTP, и уберите галочку Read Only...

Если вы про это...

Добавлено:
Пробовал ли ктонибудь в массиве из ISA2k4EE на мемберах массива ставить разные гейтвеи, врубать NLB на локальном интерфейсе, и в гейтвей ставить виртуальный айпи клиентам?

снимал ее и ставил наместо - эффект одинаковый
вот я и не могу понять в чем проблема-то ....

2Baloven1
Гляньте логи исы, может что-то вам там подскажут... Алерты посмотрите...

Baloven1
А клиента ISA на комп ставили?