» MS ISA Server (часть 1)

если ПМ это то, что называется "Сообщение", то написал

У меня из-за СП2 перестал работать клиент-банк. После сноса все заработало опять. Что-то в мелкософте все-таки недотестили с этим апдейтом. Анонимные соединения не работают напрочь.

greenfox
Скачал. Попробовал "прогнать" FwcToolPack
Получил странный результат:

>Fwctool pingserver
FwcTool version 4.0.3439
Firewall Client for ISA Server 2004 support tool
Copyright (c) Microsoft Corporation. All rights reserved.
Action: Verify ISA Server connectivity
Error: Firewall Client Winsock providers are not installed properly
Result: The command failed and was not completed.

Подскажите, плз... Как проблему разрешить? Клиенту сделал Repair - не помогло.
Хотя сервер детектит. Настройки в бравзере установил...

Iv Michael
что то такое проскакивало на форуме... там толи антивирь трафик резал, толи файервол какой-то...
В любом случае надо проверить это на только что установленной ОС без всяких левых прог + проверять настройки клиента и сервера (ну что бы там все имена были записаны в полном формате fqdn и т.д.)

Добавлено:
http://isaserver.ru/forums/10480/ShowPost.aspx

Iv Michael

отдельные правила для WWW, ICQ, MSN Messenger, IRC, FTP, Mail. Для всех правил стоит из Интернал в Экстернал всех аутентифицировавшихся выпускать. Как часы.
Ещё есть 2 правила выпускать анонимов с определённого айпишника на определённый айпишник. (Это к вопросу что не пропускает анонимов(где-то тут что-то такое пробегало)) Файрвол клиенты как старые так и новые. и разницы в работе между старым и новым клиентом я не ощутил.

Добавлено:
NEED

а клиент какого банка-то? у мя Внешторгбанк и Волгопромбанк работают нормально. он у тебя через что ходит? через почту или TCP/IP соединение?

Цитата:

Есть статья по настройке eMule в ISA. В ней описывается похожая ситуация. Статья здесь

Респект огромный. Геморно-то как. Сам бы не догадался. Заодно, осла себе настроил

Вроде бы завёл FWC. Они с NOD32 терпеть друг друга не могли, оказывается.
Но несколько вопросов осталось:
Надо ли прописывать прокси во всех программах, работающих в инет?
Как "выпустить" программу, через FWC, а то в ISA - при попытке выйти Opera 8.51 Access Denied, и верно - имени то пользователя нет!
А Опера пишет
"Прокси-сервер запросил неподдерживаемый метод аутентификации имени пользователя."
ЧТо делать с этим?

опере не надо указывать прокси сервер. если не указывать то она будет ходить через FWC. у меня именно так и работает.
или можно выставить метод аутентификации Basic. тогда можно бкдет передавать логин/пароль вручную. только при Basic аутентификации пароль в открытую ходит что не есть гуд.

GastonR
продолжим тут?

не знаю у кого как у меня покачто с SP2 проблем нет все правила как работали так и работают.

Iv Michael

У меня есть три группу с открытыми портами
1. Доступ к web страницам - порты HTTP HTTPS FTP
2. Доступ к почте - порты POP3 и SMTP
3. Доступ к ICQ - порты ICQ2000, IRC

Данные группы соединены с аналогичными группами из AD и на серваке соответственно в группы из AD занесены пользователи.

т.е.
ISA2004 Группа "Доступк web страницам" = AD "Доступ к web веб страницам" <- Необходимые пользователи.

Все работает нормально.

Есть конечно косяк что FW не грузится при презагрузке, но это непроблема т.к. периодически появлялась и до установки SP2.

Timon_Crazy
Давай продолжим. Повторю здесь твой вопрос:

Цитата:

каким образом можно сделать запрет на урл вида *baner* как я понимаю урл сет не дает использывать такие маски...

Я писал, что такое на ISA не возможно. Я ошибся Скачал у Шиндера два файлика примеров URL Sets и Domain Name Sets, и в URL Sets есть вот такие строки:

Цитата:

hттp://.shell.la
hттp://\bby.ru\b
hттp://\w+.sh.cn
hттp://buy.*.qn.com
hттp://rape-(fantasy-pics|stories).(biz|com)
hттp://ragazze-?\w+.[a-z]{2,}

Значит регулярные выражения ISA поддерживает. Проблема в том что я сейчас дома и проверить это не могу. Как выйду на работу, попробую и отпишу.

2All
Если кто-то использовал рег. выражения в ISA, отпишите пожалуйста.

При установке ISA 2004 создает такой computer set как Domain Controllers куда помещает домен контроллеры. у меня несколько сетей соединенных между собой, с одним доменом на всех. isa почему то в этот сет сунула все контроллеры кроме своего (то есть того который был в internal) я не обратил на это внимания, подумав что все равно во всех правилах где указан domain controllers указана и internal. так было на двух исах в разных сетях. тока что поднял третью в третьей сети, но она в свой domain contrllers поместила все контроллеры, в том числе и свой. почему так вышло?
и второе, с момента установки двух первых иса серверов у меня кол-во контроллеров увеличилось в двое, но исы это дело не отслеживают (nj есть на первых двух так и вписано два контроллера, а на третьей все 6), а вручную менять этот computer set нельзя. есть легальный способ привести это дело в акутальное состояние, или надо самому в ее storage лезть (руками или скриптом) и править?

И всё таки не понятно.
Почему после установки СП2 работает только одно правило Дефолт руле,
которое запрещает любой трафик, любому пользователю.

У меня после установки СП2 настройки правил не изменились.

У меня правила тоже не изменились.
Все правила, кот. были, остались
Они только работать перестали

Добавлено:
Если установлен СП1 для ИСА Сервера
Его перед установкой СП2 нужно удалять или нет?

Доброе время суток!

Есть 2к3 сервер, инет через иолу, ИСА 2004 стандарт.

Проблема: при подключени по VPN не выдается шлюз, т.е. он 0.0.0.0.

invip
при подключени по VPN куда?

При подключени с этого сервера на сервер VPN.

Т.е. есть 2 подсети 1.* и 3.* в каждой подсети сервер с исой, инетом и т.д. Подключаюсь по впн с сервера в 3.* на сервер 1.* - подключается, выдается ип, днс, но нет шлюза, а он нужен для того, чтобы брать инет из той подсети. Пробывал с любой другой машины в 3-ей подсети подключиться-все отлично, и шлюз выдается и инет есть соответственно, а, с с сервера с исой нет.

Есть программа использующая для работы протоколы ПОП3 и СМТП

если для доступа к инету используется СекуреНАТ то всё проходит на ура

а если в инет идти как Фиревол клиент, то
на иконке Microsoft Firewall Client Management вместо стрелочки появится красный крестик, а в журнале событий сообщение об ошибке

Источник Microsoft FireFall Client 2004

Application [smtppop3.exe]. Authentication failed. Verify that the user account running this application has the required permissions. If the application is running under a system account, you can apply different credentials for this application via the client configuration and FwcCreds.exe.

Или как такой вариант сделать?

Т.е. допустим есть другой сервер Х в той же подсети, что и сервер с исой (3.*). Сервер Х отлично цепляет все по ВПН (на нем есть инет) из 1.* подсети, сделать, чтобы сервер с исой выходил в инет и соответсвенно все юзеры через сервер Х?

Т.е. юзер -- сервер с исой -- сервер Х (впн) -- сервер (выход в инет)

invip
ну если надо X оставить в той же сети что и иса, и всех юзеров пускать в инет через него то тут можно включить такой извращенный вариант как ISA с одним интерфейсом в качестве кэширущей прокси, тока в этом случае юзера через ису будут ходить тока как через прокси если юзеру нужен будет nat то через ису он не пойдет.
более грамотный вариант: X вынести в отдельную сеть (сеть x), у исы два интерфеса один в 3.x другой в сети x (то есть сеть x будет типа DMZ). весь трафик наружу и в другие сети иса роутит на сервер X (у меня также, тока вместо сервер X у меня циска)

А как объяснить ИСЕ 2004 разницу между интернал и екстернал сетью, если и там и там используется приватные ип-адреса? На серваке две сетевухи, одна смотрит в одну сеть, другая - в другую.

Элементарно - задаешь в интернал IP range внутренней сети, а все остальное будет экстернал по умолчанию.

Проблема с конвертацией логов ISA2004 из SQL в тхт. Скачал MSDEToText http://www.microsoft.com/downloads/details.aspx?FamilyId=A60A09A0-E4AD-47C7-9961-5E22E65CA986&displaylang=en
запускаю
cscript MSDEToText.vbs ISALOG_20060208_FWS_000 FireWallLog 0208_FWS_000.txt
пишет-
MSDEToText.vbs(62, 5) Microsoft OLE DB Provider for SQL Server: Cannot open database requested in ISALOG_20060208_FWS_000'. Login fails.
Подключался через Enterprise manager с другой машины и выставлял разрешения на доступ к базам. Все равно "Cannot open .."
Чего еще ему надо?

dostalo
Цитата:

Чего еще ему надо?

ему надо
Цитата:

Microsoft OLE DB Provider for SQL Server

лезь в ODBC и настраивай

по поводу GFI WebMonitor 3.1.4xx
поставил проверку принудительную для html и js, так WebMonitor ISA пропустил, а локальный касперский отругался (на нем стоят расширенные базы)...
что за базы для касперского у GFI?

AlexBX
Системный DSN настроен

dostalo
Цитата:

Системный DSN настроен

Цитата:

Login fails.

Это значит, что не настроен.

Все чудесатей и чудесатей

DSN настроена и проверена.

Теперь вылезает
ADODB.recordset:Either BOF or EOF is True, or the current record has been deleted. Requested operation requires a current record."

Беглый поиск в поисковиках наталкивает на мысль "обновить или переустановить"
MSDE, ну или с бубном попрыгать.

Люди, кто-нибудь пользует McAfee Security Shield? Такая трабла: файлы бьються при закачке. кто-нибудь сталкивался?