» Microsoft ISA Server 2006/2004/2000 (Часть II)

Dead_Moroz

Цитата:

Ну разреши на всю сеть, на scope range DHCP-сервера, а на "ненужных" компьютерах просто не устанавливай torrent-клиента или запрети его запуск в политиках.

Добавлено:
Туплю... так работать не будет, конечно же. Ну упроси администратора выделить тебе статический адрес на DHCP, или сам сделай, если ты администратор.

Спасибо за ответ! Плохо, что нет других вариантов...
ЗЫ: Извиняюсь за такой перерыв

nEkty4

...я бы не парился первое время ... - если новая работа и ты там никого не знаешь - а они говорят что работало раньше и так (без указания прокси)... то снеси все лишние рулесы в исе и оставь читстый NAT всем клиентам....а как чуть разберешся что к чему - там и правила можно менять....

Цитата:

...я бы не парился первое время ... - если новая работа и ты там никого не знаешь

- вот за это отдельное спасибо.
дык рулесов и нет лишних, всего 3: на клиент-банк, на впн и последний разрешающий всем на все протоколы.

nEkty4

... ну так если разрешено всем и все - то почему не работает? ...посмотри что у тебя в закладке нетворков делается....погляди route print - на предмет того нет ли там чего лишнего в постоянных маршрутах... Если говоришь что у тебя тама AD стоит - то на правиле где все разрешено - посмотри для каких именно пользователей это правило.... ну в конце концов выясни какие правила нужны...прибей 2000 ису и поставь 2004 сп2 или 2006 - имхо работает както стабильней.... ну и конечно - разнеси контроллер домена и ису на разные машины - сразу легше будет ....

iknow

Цитата:

посмотри что у тебя в закладке нетворков делается....погляди route print - на предмет того нет ли там чего лишнего в постоянных маршрутах...

- вот это можна на пальцах как абезьяне (где куда чего аткуда)?

Цитата:

на правиле где все разрешено - посмотри для каких именно пользователей это правило

- Any request

Цитата:

прибей 2000 ису и поставь 2004 сп2 или 2006

- сие пока што не реально, т.к. я тока разбираюсь во всем, да и тянуть сп2 для SBS (я так понял там иса 2к4 включена бесплатно) на нашем канале долговато, вообщем настраивать 2к4 ночью не именя знаний и данных тоже стремно..

Цитата:

разнеси контроллер домена и ису на разные машины

- у самого рабочего места пока нет, за серваком сижу (да и еще таких как я четверо до переезда в новый офис), кароче тож отпадает..

route print это в пуск-выполнить cmd и команда route print ....или сам посмотри чего там пишут или ложи сюда если там чего не поймешь ...
networks это я не помню как в 2000 исе выглядит ...в 2004 например это что-то типо этого


там прописываются отношения между сетями.... например задается Internal ходит в External по типу NAT
...и потом ты говоришь у тебя
Цитата:

SBS, AD, Isa Server 2000, Domain Controller, Terminal Services, Exchange, DNS, IIS, DHCP, SQL, NAT, VPN..

....а что такое среди всего этого добра NAT ? ...это случаем не RRAS ?

iknow
route print:
..момент
UPD: низя сказали наши номерки показывать внешние..


Цитата:

networks это я не помню как в 2000 исе выглядит ...в 2004 например это что-то типо этого

- вот я такова тож ни нашел, ище поищу пока..

Цитата:

а что такое среди всего этого добра NAT ? ...это случаем не RRAS ?

- может.. может я и сбрехал, просто увидел в настройках маршрутизации и удаленного доступа -> ИП-маршрутизация -> NAT/Простой брандмауэр есть 2 интерфейса (подключенье провайдера и IP ISA).. Вобщем здесь я тоже обезьяна.

...погляди настройку маршрутизация и удаленный доступ - чего там у тя делается (скрин покажи хотяб) ....как организован ВПН? ....

iknow спасибо за участие, тут пока другой человек смотрит..

nEkty4
Цитата:

UPD: низя сказали наши номерки показывать внешние..

а слабо номерки внешние звездачками заменить? хоть людям понятнее будет когда взглянут на маршрутизацию.

Добавлено:

Цитата:

может.. может я и сбрехал, просто увидел в настройках маршрутизации и удаленного доступа -> ИП-маршрутизация -> NAT/Простой брандмауэр есть 2 интерфейса

кстати это и есть RRAS... ищешь в Администрировании "Управление данным сервером" и смотришь какие основные задачи у тебя выполняет сервер

gelfandbein

Цитата:

а слабо номерки внешние звездачками заменить

я это делал (автозаменой то се), но их там штук 6 разных и памойму путаница бы палучилась, да и вобще этим как раз уже другой начал заниматься..

Цитата:

кстати это и есть RRAS... ищешь в Администрировании "Управление данным сервером" и смотришь какие основные задачи у тебя выполняет сервер

от че ты мне в аьску это ни умничал.. и ваще че та даи***ся? )))
з.ы. такии звьоздачки да?

А проблема была в следущем:
"В маршрутизации и удаленном доступе удалил NAT/simple firewall фильтр - потому что на машине не должно быть больше одного НАТ драйвера - и это должен быть ИСА драйвер. Из всех процессов которые относятся к ИСЕ - посмотри которые сейчас работают - они все должны работать. Если один из них упал - это проблема."

Привет всем! Люди есть проблема...
Конфиг: 192.168.203.x --- ISA 2004 SE --- 194.158.x.y
Проблема: BSS client не може подключится к серверу банка(в инете) от компьютера в локальной сети (192.168.200.x). Подключается по протоколам IPAMS и SMTPS. Если используем клиент ISA, то часто обрывается связь и вообще неустойчивое соединение. Пробовали клиентом SecureNAT - не получается.
По SMTPS прога коннектится к серваку банка(в инете), а по IPAMS должна получать данные от сервера.
Может кто-нить столкнулся с такой проблемой? Заранее СПАСИБО!
ЗЫ. Правило в ISA "ОТ: комп в сети; К: сервак банка; ALL OUTBOND TRAFFIC; ALL"

Ребята, извините, что гружу такими вопросами в праздники новогодние, однако мне надо именно щас
Есть офисная сеть, включающая в себя четыре VLAN'а. Соответственно, каждый VLAN находится в своей сети: 172.16.х.х; 172.17.х.х; 172.18.х.х и 172.19.х.х соответственно. Рабочие станции в каждом из VLAN'ов имеют Default Gateway: 172.16.0.10; 172.17.0.10; 172.18.0.10 и 172.19.0.10 соответственно. VLAN'ы построены таким образом, что VLAN 172.16.х.х является общим для всех VLAN'ов, т.е. доступен всем остальным VLAN'ам и в нём же находится ISA сервер, через который должны ходить все клиенты всех VLAN'ов. Однако ходить получается только через VLAN 172.16.х.х, а через остальные ходить не получается. ISA сервер имеет адрес: 172.16.0.11. Подскажите, пожалуйста, что надо настроить на ISA сервере, чтобы Интернет был во всех VLAN'ах? Если мало инфы - спрашивайте.

PIL123
1.все сети должны быть прописаны в Internal
2.маршруты до всех сеток должны быть прописаны в маршрутах Windows на ISA сервере

Цитата:

2.маршруты до всех сеток должны быть прописаны в маршрутах Windows на ISA сервере

- где/как это сделать?

А по пункту первому, который ты указал - это я сделал первым делом и вот что в Алертах у меня выскочило:
Цитата:

Description: ISA Server detected routes through the network adapter Internal that do not correlate with the network to which this network adapter belongs. When networks are configured correctly, the IP address ranges included in each array-level network must include all IP addresses that are routable through its network adapters according to their routing tables. Otherwise valid packets may be dropped as spoofed. The following ranges are included in the network's IP address ranges but are not routable through any of the network's adapters: 172.17.0.0-172.19.255.255;. Note that this event may be generated once after you add a route, create a remote site network, or configure Network Load Balancing and may be safely ignored if it does not re-occur.

The routing table for the network adapter External includes IP address ranges that are not defined in the array-level network External, to which it is bound. As a result, packets arriving at this network adapter from the IP address ranges listed below or sent to these IP address ranges via this network adapter will be dropped as spoofed. To resolve this issue, add the missing IP address ranges to the array network.
The following IP address ranges will be dropped as spoofed:
Internal:172.17.0.0-172.19.255.255;

Вопрос скорее GUI'шный:

Ставлю ISA Server 2004 Standard Edition уже на 2-й сарвер, а проблемка так и не решилась. После установки в стандартной комплектации (с MSDE) в трее появляется "SQL Server Service Manager" с "белым круглишком". При этом экземпляр (MSSQL$MSFW) в службах запущен и нормально функционирует. Если его в ручную подцепить к "SQL Server Service Manager":
В контекстном меню Open SQL Server Service Manager > в поле "Server" вводим 127.0.0.1\MSFW и нажимаем кнопку Refresh Services... > получаем, как и положено, "зелёную стрелочку в белом круглишке".

Эта "зелёная стрелочка" говорит о статусе (работоспособности) экземпляра MSSQL$MSFW.

Вопрос: почему после перезагрузки сервера "SQL Server Service Manager" теряет соединение с MSSQL$MSFW и его опять нужно настраивать?

PIL123
значит точно не прописаны маршруты.
в командной строке набери route print чтобы посмотреть маршруты,
route /? узнаешь как добавить маршрут, только не забудь про опцию -p иначе после перезагрузки добавленные маршруты сотрутся
см. ПМ

IgorAl, спасибо друг Помог на 100%

Тогда может ещё поможешь разобраться вот с этой ошибкой - как исправлять.

Вот её описание в алертах:

Цитата:

Description: The IP address specified for communication between this ISA Server computer (172.16.0.10) and other array members is not bound to a network adapter installed on this computer. The IP address specified for intra-array communication must be bound to a network adapter installed on the computer.

PIL123
недостаточно информации. смотри где-то в коммуникациях вместо IP 172.16.0.10 должен быть 172.16.0.11 принадлежащий ISA серверу

не могу врубится, ткните пальцем пожалуйста

сервер в офисе1
LAN 192.168.0.1
INET 10.10.10.10
ISA 2006+VPN (static address pool 192.168.10.1)

сервер в офисе2
LAN 192.168.100.1
INET 11.11.11.11
KERIO - все клиенты NAT

т.е. у каждого офиса свой интернет

соединение из офиса2 в офис1 есть, клиент делает пинг на 192.168.0.1 успешно, но это только при включённой галочке в параметрах VPN-соединения "использовать основной шлюз в удаленной сети" + на клиенте нет интернета
убираем галчку - появляется интернет, пинга нет

куда рыть?

>Kuah
Скорее маршрутизация
route print предоставь.

KocmonpaB
route какого офиса и при вкл. VPN или нет?

Желательно обоих.

Логично что при включенном интернет должна быть связь между оффисами.

офис1 (ISA 2006 + VPN)

Цитата:

Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 10.10.10.9 10.10.10.10 20
11.11.11.11 255.255.255.255 10.10.10.9 10.10.10.10 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.0.0 255.255.255.0 192.168.0.1 192.168.0.1 10
192.168.0.1 255.255.255.255 127.0.0.1 127.0.0.1 10
192.168.0.255 255.255.255.255 192.168.0.1 192.168.0.1 10
192.168.10.1 255.255.255.255 127.0.0.1 127.0.0.1 50
......................... VPN Clients ................................
192.168.10.16 255.255.255.255 192.168.10.1 192.168.10.1 1
10.10.10.8 255.255.255.240 10.10.10.10 10.10.10.10 20
10.10.10.10 255.255.255.255 127.0.0.1 127.0.0.1 20
10.10.10.255 255.255.255.255 10.10.10.10 10.10.10.10 20
224.0.0.0 240.0.0.0 192.168.0.1 192.168.0.1 10
224.0.0.0 240.0.0.0 10.10.10.10 10.10.10.10 20
255.255.255.255 255.255.255.255 192.168.0.1 192.168.0.1 1
255.255.255.255 255.255.255.255 10.10.10.10 10.10.10.10 1
Default Gateway: 10.10.10.9

Persistent Routes:
None

офис2 (роут с самого сервера)

Цитата:

Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 11.11.11.10 11.11.11.11 20
11.11.11.9 255.255.255.252 11.11.11.11 11.11.11.11 20
11.11.11.11 255.255.255.255 127.0.0.1 127.0.0.1 20
11.255.255.255 255.255.255.255 11.11.11.11 11.11.11.11 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.100.0 255.255.255.0 192.168.100.1 192.168.100.1 20
192.168.100.1 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.100.255 255.255.255.255 192.168.100.1 192.168.100.1 20
224.0.0.0 240.0.0.0 11.11.11.11 11.11.11.11 20
224.0.0.0 240.0.0.0 192.168.100.1 192.168.100.1 20
255.255.255.255 255.255.255.255 11.11.11.11 11.11.11.11 1
255.255.255.255 255.255.255.255 192.168.100.1 192.168.100.1 1
Default Gateway: 11.11.11.10

Persistent Routes:
None

офис2 (роут с самого сервера) + vpn-соедниение

Цитата:

Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 11.11.11.10 11.11.11.11 21
0.0.0.0 0.0.0.0 192.168.10.15 192.168.10.15 1
11.11.11.9 255.255.255.252 11.11.11.11 11.11.11.11 20
11.11.11.11 255.255.255.255 127.0.0.1 127.0.0.1 20
11.255.255.255 255.255.255.255 11.11.11.11 11.11.11.11 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.100.0 255.255.255.0 192.168.100.1 192.168.100.1 20
192.168.100.1 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.100.255 255.255.255.255 192.168.100.1 192.168.100.1 20
192.168.10.15 255.255.255.255 127.0.0.1 127.0.0.1 50
192.168.10.255 255.255.255.255 192.168.10.15 192.168.10.15 50
10.10.10.10 255.255.255.255 11.11.11.10 11.11.11.11 20
224.0.0.0 240.0.0.0 11.11.11.11 11.11.11.11 20
224.0.0.0 240.0.0.0 192.168.100.1 192.168.100.1 20
224.0.0.0 240.0.0.0 192.168.10.15 192.168.10.15 1
255.255.255.255 255.255.255.255 11.11.11.11 11.11.11.11 1
255.255.255.255 255.255.255.255 192.168.100.1 192.168.100.1 1
255.255.255.255 255.255.255.255 192.168.10.15 192.168.10.15 1
Default Gateway: 192.168.10.15

Persistent Routes:
None

Alex_H_aka_RAT

Цитата:

Нужно средствами сторонней тулзы или с помощью скрипта загружать в ИСУ тот или иной конфиг из имеющихся.

Если ISA установлена в режиме stand-alone, настройки она держит в реестре.
При желании, на ISA 2k к примеру, можно быстро организовать смену настроек через импорт соответствующей ветки реестра с перезапуском сервисов исы.
Плюс в самой исе есть опции резервного канала.

PS: А вообще, не забывайте версию указывать в вопросах, иначе можете ответа не дождаться...

Человеки, подскажите, пожалуйста, где можно найти список бесплатных веб-почтовиков (пополнее желательно)?
Необходимо заблокировать пользователям доступ, но руками все не переберешь, обязательно ведь найдут незаблокированный :S

Добавлено:
JcVai
Большое спасибо.
Версия 2004 Stand.
Сейчас тестирую 2004 Ent. И скорей всего (если биллинг нормально запущу), то оставлю ее.
А можно подробней про резервный канал? У Шиндера про него есть?

kuah
Default Gateway: 192.168.10.15
И откуда взяться твоему инету если он будет ломиться через сервер в офис1.
Хорошо бы полные конфиги сетевых. Что такое у тебя 192.168.10.15.


Добавлено:
Alex_H_aka_RAT
Как вариант можно попробовать блокировать на ISA методы GET или POST на странице.
не помню ( уточни сам).
В результате просто не будет работать передача пароля, соответственно не будет работать и почта.
Недостаток к сожалению люди перестануть авторизовываться на других ресурсах, будь то форум или online магазины.

KocmonpaB
см. выше "192.168.10.1 - static address pool"
соответсвенно "192.168.10.15 - адрес, выданный клиенту"
а ломится, потому галочка "использовать основной шлюз в удаленной сети" стоит
если её убрать, то дефаулт шлюз возвращается (11.11.11.10)

офис1 (ISA 2006 + VPN)

Цитата:

Windows IP Configuration

Host Name . . . . . . . . . . . . : office1
Primary Dns Suffix . . . . . . . : domain.local
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : Yes
WINS Proxy Enabled. . . . . . . . : Yes
DNS Suffix Search List. . . . . . : domain.local

PPP adapter RAS Server (Dial In) Interface:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Physical Address. . . . . . . . . : 00-53-45-00-00-00
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.10.1
Subnet Mask . . . . . . . . . . . : 255.255.255.255
Default Gateway . . . . . . . . . :

Ethernet adapter INTERNET:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : INTERNET
Physical Address. . . . . . . . . : 00-50-FC-87-63-4B
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 10.10.10.10
Subnet Mask . . . . . . . . . . . : 255.255.255.240
Default Gateway . . . . . . . . . : 10.10.10.9
DNS Servers . . . . . . . . . . . : 20.20.20.20
30.30.30.30

Ethernet adapter LAN:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : LAN
Physical Address. . . . . . . . . : 00-14-22-B3-B7-C8
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.0.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :
DNS Servers . . . . . . . . . . . : 192.168.0.1
Primary WINS Server . . . . . . . : 192.168.0.1

офис2 (конфиг с самого сервера)

Цитата:

Windows IP Configuration

Host Name . . . . . . . . . . . . : office2
Primary Dns Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : Yes
WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter INTERNET:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : INTERNET
Physical Address. . . . . . . . . : 00-40-F4-90-DA-C1
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 11.11.11.11
Subnet Mask . . . . . . . . . . . : 255.255.255.252
Default Gateway . . . . . . . . . : 11.11.11.10
DNS Servers . . . . . . . . . . . : 20.20.20.20
30.30.30.30

Ethernet adapter LAN:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : LAN
Physical Address. . . . . . . . . : 00-02-44-47-BB-E9
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.1.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :

офис2 (конфиг с самого сервера) + vpn-соедниение

Цитата:

Windows IP Configuration

Host Name . . . . . . . . . . . . : office2
Primary Dns Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : Yes
WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter INTERNET:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : INTERNET
Physical Address. . . . . . . . . : 00-40-F4-90-DA-C1
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 11.11.11.11
Subnet Mask . . . . . . . . . . . : 255.255.255.252
Default Gateway . . . . . . . . . : 11.11.11.10
DNS Servers . . . . . . . . . . . : 20.20.20.20
30.30.30.30

Ethernet adapter LAN:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : LAN
Physical Address. . . . . . . . . : 00-02-44-47-BB-E9
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.1.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :

PPP adapter CL:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Physical Address. . . . . . . . . : 00-53-45-00-00-00
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.10.24
Subnet Mask . . . . . . . . . . . : 255.255.255.255
Default Gateway . . . . . . . . . : 192.168.10.24
DNS Servers . . . . . . . . . . . : 192.168.10.1
Primary WINS Server . . . . . . . : 192.168.10.1

тут так же ситауция - если стои галочка "использовать основной шлюз в удаленной сети", то шлюз по умолчанию 192.168.10.24, если нет галочки, то шлюза вообще нет

Добавь на офисе 2 маршрут.
route add -p 192.168.0.1 mask 255.255.255.255 адресс удаленного гейта.

Добавлено:
PS Боюсь что уже не та ветка для обсуждения.

KocmonpaB
та самая

route add -p 192.168.0.1 mask 255.255.255.255 (какого именно гейта? 10.10.10.10?)