» MS ISA Server (часть 1)

Всем спасибо, стажер полазил в настройках, мне не сказал. Все подправилось в политиках, все работает, вопрос снят

yurinb

Цитата:

как в ISA 2004 создать правило, чтобы блокировались входящие соединения на порт 25 причем шла проверка на dns имя входящего соединения

Попробуй настраивать SMTP filtr
Server_name > Configuration > Add-ins > Application filter > SMTP filter (2_click)

WinnerVol

Цитата:

Server_name > Configuration > Add-ins > Application filter > SMTP filter (2_click)

там ты этого не настроишь, там только протоколо-специфичные фичи настраивать можно типа какие команды пропускать а какие блокировать...
Как тут уже правильно отмечали зарамсить такое можно (afaik) написав свой собственный фильтр...

А вот есть такой вопрос:
На компе стоит две сетевые кaрты (внешний: 100.100.100.188 и внутренний: 192.168.8.8 адреса), на нём же: ISA Server 2004 + почтовик (MDaemon). На исе стоит правило публикации сетевого ресурса в локальной сети по протоколу SMTP соответственно на 25 порт используя SMTP filtr.
Проблема в том что, на входящее подключение на 25 порт isa отвечает Deniеde, в логи пишет:
... Denied    0xc0040017    -    SMTP    0    0    0    0 ....
но с пула адресов провайдера: 100.100.100.168, 100.100.100.185 isa тафик не блокирует.
В чьем проблема?

WinnerVol
Публикация точно в локалку? Сети настроены верно (Internal, External)? Дополнительных настроек (хосты, подсети) в правиле нет? Выложи полностью правило (лучше скриншотом).

Добрый день. Хотел проконсультироваться у знающих людей по следующему вопросу. Необходимо организовать тоннель по ipsec с партнером. Схема выглядит следующим образом.
Партнер: host(192.168.254.x) ---- Сервер с public ip x.x.x.x. ---- internet.
host генерирует трафик по ip, который потом пускается по ipsec тоннелю (используется pre-shared key). На данный момент всех тонкостей реализации у партнера я не знаю. Главное - наружу выпускается ipsec тоннель и мы на своей стороне должны его принять.
Наша организация сети: internet ---- adsl modem zyxel 645 (один public ip, модем в данный момент делает nat 192.168.100.x) ---- cisco 3750. На cisco организованы 2 VLAN - VLAN1(192.168.100.х) и VLAN2(192.168.1.х). В VLAN1 находится ISA 2004 (внут. инт. 192.168.1.х и внеш. инт. 192.168.100.х). Функции Isa - организация доступа в internet, и при возможности - vpn сервера. Задача состоит в том, чтобы организовать терминацию ipsec тоннеля на isa 2004. Думаю, что проблемой является то, что сама isa находится за nat устройством (модем zyxel) и как вследствие - проблема с получением траффика ipsec. Прочитал документацию на microsoft.com (Configuring IPSec Site-to-Site Connections Between ISA Server 2004 and Third-Party Gateways). По схеме, которая описана в документе, все работает, когда isa (применительно к моему случаю) стоит сразу после модема и модем не делает nat, а просто пускает весь траффик на isa. Вопрос: возможно ли организовать site-to-site vpn link, если isa сервер находится за nat устройством? Насчет текущей конфигурации сети - так уж получилось, что на данный момент функционирует именно такая схема. Мысли пока такие: на модеме делать Port Address Translation для UDP (порты 4500 и 500) на Isa. Буду благодарен за любые разумные советы по существу. (Заранее спасибо).

Православные (и не только), поделитесь мудростью:
Имеем Вынь да положь 2003 сервер сп1 + ISA 2004. проблема - соединение с провом устанавливается по PPPoE, до установки ISA в RRAS добавляю интерфейс, который чудесно устанавливает соединение. НО! Только до установки ISA. После установки выдаёт интерфейсик ошипку A connection to remote computer could not be established. Причём пров клянётся и божится, что его сервак меня пропускает, а потом сеанс закрывается моим серваком. Грабли где-то в ИСЕ. Какое ей правило надо создать, чтобы она разрешала установку RRAS-ом PPPoE соединений? Или что делать? Варианты рассмотрю

kaskad
А в ИСЕ разве нету встроенного определения PPPoE? Вроде как должно быть (проверить не могу - нет ИСЫ под рукой).

А как настроить работу gzip?

RoloTomasi

Цитата:

А как настроить работу gzip?

если речь о HTTP 1.1 то ISA и так прекрасно поддерживает.. доп. настроек нет и не нужно

А кто знает как отучить ISA от Dial-Up ?

Цитата:

В общем - ситуэйшн такой - был у нас раньше на удаленном офисе инет через Dial-Up, в качестве проксика использовал ISA, создав там соединение в DialUp Entry.
Со временем пересел на DSL, поставил вторую сетевуху, переконфигурил ISA и все вроде заработало.
Но активное соединение в DialUp Entry осталось. Т.е. если оно одно, оно же и активное, и удалить его невозможно (нет такого пункта в контекстном меню)...
И в логах ISA валит ошибками - типа не могу соединиться..

Че с этим поделать? Ну не хочется из-за такой фигни переставлять ISA - долго настраивать придеться

Всем доброго времени суток.

Есть ISA EE

В инет выходит через nix прокси.

При обращении к некоторым ресурсам выпадает ошибка (на клиентах)

Цитата:

Users receive an "Error Code 502: Proxy error. The parameter is incorrect. (87)" error when they visit certain URLs after you configure HTTP content filtering based on signatures or on extensions in ISA Server 2004

на офсайте говорится, что нужно


Цитата:

ISA Server 2004, Enterprise Edition

Date Time Version Size File name
---------------------------------------------------------
03-Apr-2005 14:00 4.0.3440.251 128.792 HTTPFilter.dll

Ошибка на клиентах с FWC и без него.

У кого есть этот

Date Time Version Size File name
---------------------------------------------------------
03-Apr-2005 14:00 4.0.3440.251 128.792 HTTPFilter.dll

поделитесь плиз.

Заранее всем спасибо за ответы.


ЗЫ: в правилах настроены extensions на некоторые типы файлов (mp3,avi,etc)

Trex
А какие ошибки то? У меня полностью аналогичная ситуация, осталость dial-up-овское активное соединение, хотя год как на адсл, но никаких ошибок в журнале не вижу

izograv
В Application log:

Цитата:

The dial-up network connection Virtual Private Connection failed. The error description is: The system could not find the phone book entry for this connection.. The error code shown in the Data area of the event properties is specific to the Routing and Remote Access service (RRAS). For more information about this event, see ISA Server Help.

Цитата:

А как настроить работу gzip?     
если речь о HTTP 1.1 то ISA и так прекрасно поддерживает.. доп. настроек нет и не нужно

ISA 2004 вычищает из исходящих запросов Accept-Encoding и никогда не получает gzip.

на www.mapilab.com/ru/isa/webcompress, где раньше раздавали глючный плагин для включиения gzip, висит такое обещание:
В соответствии с неофициальным объявлением, данная функциональная возможность будет включена в Service Pack 2 for ISA, который будет выпущен в январе 2006 года.

А пока можно в файле W3Filter.dll найти строку Accept-Encoding и поменять в ней какую-нибудь букву, чтобы он не её узнавал в запросах. Фильтрацию по сигнатурам при этом надо отключить.

Refugee
в любом нормальном браузере есть HTTP 1.1 Through Proxy

вот когда этого нет то и траф преобразуется и браузер не получит соотвествующие заголовки

Вот тут выложена книга по ИСА 2004 на русском языке:


Цитата:

Томас В. Шиндер, Дебра Л. Шиндер ISA Server 2004. В подлиннике

Издательства: БХВ-Петербург, Русская Редакция, 2005 г.
Твердый переплет, 1088 стр.
ISBN 5-94157-746-X, 1-931836-19-1, 5-7502-0272-0
Тираж: 3000 экз.
Формат: 70x100/16

Asker80
А где посмотреть, определила ли она его? Чего-то не похоже...

Добавлено:
PRiM
Спасибо, конечно, но оттуда её выкачивать три часа, млин...

kaskad
Firewall Policy -> Toolbox (справа) -> Protocols. Я уже смотрел - нету его там. Значит искать, какие порты он использует и создавать новый протокол самому.

Вобщем-то сегодня зарелизили SP2 для ISA 2004
http://www.microsoft.com/isaserver/evaluation/sp2/default.mspx

Asker80
В логах исы пытается простучаться что-то с сервака авторизации прова ко мне на комп во время попытки установить подключение по порту 0 и ипу 0.0.0.0 (а такие бывают ваще или это глючки исы?). Наверное, вот это и есть та инфа служебная.

С сервака прова? Не знаю, но у меня есть подключение по PPTP, и при подключении идет такой же траф, но в другом направлении, от меня к прову, и все проходит...

Добавлено:
Salvo
Ага, спасибо! Кто спрашивал про gzip - читать обязательно.

Добавлено:
Кстати, прикол - для Enterprise Edition первого пака ведь не было!

Привет всем.Не знаю была тут такая проблема или нет поиск не работает( Поставил ИСУ 2004 настроил на то чтобы лог велся на сиквеле 2000. После этого стала выдавать пустые отчеты.Если ставлю в файл или в MSDE то все нормально. Помогите плз.Очень надо!!!!

кто-нить скачал и поставил SP2?

выложите плиз md5 инсталляка!

третий раз с мс качаю файл и md5 у них разный.. я в шоке!!!

Поставил. У меня 64D22E453E176FC787B1FFDBF4304710

Добавлено:
Это для Standart

MD5: 3411b251a0d16be214b46d3686441004 *ISA2004EE-KB903676-x86-ENU.msp

как полёт после установки СП2 ?

обосраться какое веселье.. с 5-ого раза закачалось нормально..

причем сп смог поставить только через WU

похоже я нарвался на какой-то внутренний глюк исы который по счастью исправили в сп2

Спасибо всем кто откликнулся контрольными суммами

Привет всем, помогите настроить каскадный прокси в ISA 2004
Задумка такова - Контроллер AD, на котором стоит ISA и Linux (к которой подключен Инет и настроен squid) находятся в одной сети, хочу чтобы клиенты ходили в Инет через Ису, но ничего не получается настроить...

http://webfile.ru/785287
ISA Server 2004
Томас В. Шиндер Дебра Л. Шиндер
«Русская Редакция», «БХВ-ПетерОург», в doc.
В архиве 8,48 MB.
Непомню откуда утянул, но огомное спасибо тому, кто ее привел в человеческий вид.