» Microsoft ISA Server 2006/2004/2000 (Часть III)

Вышел SP3 на isa2004. Ставил кто-нибудь?

Haik1979
Они буду в журнале межсетевого экрана FIREWALL - а

lokiSSE
А какой трафик логируеться В логах WebFilterLogs

HTTP, 137,138 -(NETBIOS),DNS запросы, HTTPS FTP FTPS - остальное в межсетевой экран

Мужики - у меня проблема не срочная, но очень нужная.
Я уже все перерыл (ну или почти все) но не нашел то что мне надо, если знаете где найти - подскажите.
Вообщем тема такая:
На работе у меня есть выход в интернет через двух провайдеров, через DSL (назовем его AA) и другой, ISA 2004 настроена на него (назовем BB).
Вообщем я хочу из дома выходить в интернет через работу.
Прокси на ИСЕ (BB) я настраивал, все работает нормуль.
Сам подключен к провайдеру AA, но мне нужно соединяться через AA --> BB --> Интеренет.
DSL и ISA в одной сети.
Схема такая
Я (AA)--->DSL:8080(работа AA)-->Локальная сеть-->ISA (BB)-->Интернет
ПАТАМУ что дешево.
Получилось
Я (AA)--->DSL:8080(работа AA)-->Локальная сеть-->ISA (BB) а дальше запарка, мож скажите какое правило в ИСЕ настроить надо, я почти все перепробовал, и свой айпишник добавлял во внутреннюю сеть, никак никатит.
А нужно.
Век буду благодарен!!!

lokiSSE
Ясно спосибо большое

zamut
ДОбавь себя в VPN на BB чтобы он тебя аутентифицировал как внешнего юзера, и заходи под ним, тогда должно пускать, а вообще что в логах на ISA(BB) из за чего не пускает то?

Haik1979

Цитата:

А какой трафик логируеться В логах WebFilterLogs

Логируется весь трафик который использует прокси сервер, но это само собой разумеется, так же логируется трафик через порты на которых включен Web Proxy Filter

Добавлено:
zamut

Цитата:

Я (AA)--->DSL:8080(работа AA)-->Локальная сеть-->ISA (BB)

То есть прокси у тебя работает, а больше не чего нет, где то я уже писал ответ на похожий вопрос. Проверь Network Rules, в последнем правиле должна быть либо твоя сеть AA, либо, если DSL с NAT то сеть DSL

alexps
проверь кто слушает 25 порт на внешнем ип, и свое правило паблишинга тоже (сеть которую слушать)

deviss
возможно все, посмотри по логам от кого и куда пускают.

Haik1979
в первые слышу такие webfilterlogs, и никогда не слышал о FTPS )
в 2004й и 2006 исе есть только webproxylogs туда логируется все что идет через web прокси, то есть веб трафик и весь трафик от прог которые настроеные на прокси (какие тнить аськи например)

lokiSSE
про netbios и dns ты загнул конечно, к веб это не имеет отношения

zamut
rijk
если иса видит его через роутер который стоит в internal то его ип должен быть в internal и у исы должен быть маршрут на него через этот роутер (в данном случае dsl)

hardhearted

Цитата:

если иса видит его через роутер который стоит в internal то его ип должен быть в internal и у исы должен быть маршрут на него через этот роутер (в данном случае dsl)

ISA то его видит но не знает что сделать с пакетами проходящими через ISA, использовать NAT или ROUTE, и для этого нужно Network Rule, но лучше подождем уточненной информации от zamut

Собственно здравствуйте!
перерыл весь яндекс, гугл и мсдн, - голяк ниче не понял!
Суть:
есть шлюз с isa2006 в нём 3 сетевухи, одна смотрит в инет, другая в сеть 192.168.0.*, третья в сеть 192.168.1.*, на самом шлюзе стоит фтп сервер SERV-U последней версии (настройка сервера предполагает использоватие всех доступных на этой машине IP, использование для DATA TRANSFER диапазона портов с TCP 2000 по 2049, и подсовывание клиенту внешнего IP адреса для пересылки этих самых данных ) так вот в исе создано правило публикации этого FTP сервера (создан свой собственный протокол минуя фильтр фтп в нем разрешены порты 21 и 2000-2049) так вот публикуем значит с внешнего интерфейса на 192.168.0.1 (сделано чтоб видеть его траффик в логах исы и считать траффик инспектором исключая весь траффик внешнего интерфейся) предпалагается что цепляться будут к этому серваку клиенты через SSL FTP в пассив мод, они и цепляются всё хорошо! А ТЕПЕРЬ ВНИМАНИЕ ВОПРОС!
при открытии двух подключений к серверу и попытке использовать пересылку с серрвера на сервер (FXP) рубится на дата трансфере а в логах исы 0xc0040030 FWX_E_OUTBOUND_PATH_THROUGH_DROPPED сеть источника localhost сеть назначения EXTERNAL порт 50001 правило создано на исе что разрешать локалхосту ходить в любые сети и по любым протоколам!! ЛЮДИ ПОМОГИТЕ

rijk ты прав, ИСА видит его, но не знает что делать.
Вот лог

Извините - мож я не правильно выразился, но в конце своего сообщения я сказал что я добавлял свой айпи во внутреннюю сеть т.е. Internal, но это тож не памагло.
На счет сетевых правил

И еще на всякий случай


Не забывайте, я выхожу через прокси "AA" из дома, а DSL (AA) кидает прозрачно, т.е. мой айпи остается моим и виден в ИСЕ.


lokiSSE
Хотелось бы без VPN как нибудь


hardhearted
В самом DSL стоит правило всем внешним на порт 8080 идти по внутренней сети на ISA


Спасибо всем кто помогает!

Всем здравствуйте
Есть вопрос
Генерирую отчет за месяц
Object Types
1    Unknown    47    159688    27,30 %    1,21 GB    24,40 %

Что за тип файлов Unknown , как научить ису их распознавать что бы можно было потом запретить?
Заранее спасибо

zamut

Цитата:

я добавлял свой айпи во внутреннюю сеть т.е. Internal, но это тож не памагло.

если б я был прав то это должно было помочь
1. В группе компы создай свой комп.
2. Сделай новое правило под номером 1 в Firewall Rules: для своего компа разреши весь исходящий трафик
3. Сделай предпоследнее правило в Network Rules для своего компа в External: NAT

Было бы желательно, если б ты всё-таки нарисовал схему, как ты попадаешь в сеть?
и покажи tracert forum.ru-board.com -d

rewz

Цитата:

как научить ису их распознавать что бы можно было потом запретить?

Можно самому увеличить количество Object Types, но для этого нужно хотя б предполагать, какие проходят в твои 27.30%. К Unknown будут относиться так же стартовые (дефаултные) страницы, например forum.ru-board.com загружается стартовая страница index.html (к примеру), но ISA этого не знает и в Unknown.

rijk

Цитата:

ISA то его видит но не знает что сделать с пакетами проходящими через ISA, использовать NAT или ROUTE, и для этого нужно Network Rule

какое еще network rule
во первых все что внутри internal между собой общается без исы (должно общаться)
во вторых от localhost во все остальные сети всегда route )

Добавлено:
zamut
то есть как я понял твой dsl не роутит трафик от компа на ису и обратно, ты на нем просто сделал редирект 8080 порта на ису?
на исе маршрут прописан?

hardhearted

Цитата:

во первых все что внутри internal между собой общается без исы (должно общаться)

Частично согласен, Microsoft предполагает многоуровневую защиту (isa за isa-ой) и для этих целей выпускает enterprise edition, но для нас простых смертных это дорого.

Цитата:

во вторых от localhost во все остальные сети всегда route

тоже не спорю

Цитата:

какое еще network rule

Компьютер zamut-а не входил первоначально в Internal, то есть для него нужно сделать network rule.

rijk
если не входит в internal то значит он в external, у исы все куда то входят.
вопрос тока в том что если иса этот комп видит через внутренний interface то этот комп должен входит в internal. в этом природа построения networks в исе

ps не понял первой реплики, причем тут internal и иса за исой? я вообще о другом говорил

hardhearted
Ты полностью зациклеваешься на internal, для тебя это как святой грааль, isa можно вообще без него настроить, это название было вмантированно для твоего удобства

Цитата:

через внутренний interface то этот комп должен входить в internal

Человек здесь пишет, потому что у него не работает комп, и я исходя из своего опыта и полученной информации рекомендую проверить networks rules. И не собераюсь с табой спорить должен ли этот комп входить в Internal или не должен.

zamut
Ну ты замутил. Быстро говори, что у тебя tracert пишет, пока мы тут с братками друг друга не порешили

rijk
я не зацикливаюсь, для меня internal это просто один из многих обьектов, как его назвать уже не имеет значения. network это множество адресов которые могут работать меж собой минуя ису (напрямую, либо через левый роутер, это не важно), это определение обьекта network для исы, если другими словами то все адреса куда иса может попасть через один интерфейс должны быть в одном network.
если в в каком то network (без потери общности его в большинстве случаев можно назвать internal) стоит роутер и через него видна еще одна подсетка то по правильному эту подсетку также надо включать в этот network.
в его случае комп виден через dsl модем стоящий в internal, значит все что иса должна видеть через этот модем, то есть его домашний комп, надо вписывать в internal и писать маршрут конечно же

Народ, а можно как-нибудь русифицировать сообщения ИСЫ для пользователей...

Т.Е. чтобы если чел лезит туда куда ему НИЗЯ, чтоб страничка открывалась на русском, а не на аглицком.

ЗЫ Вроде видел где-то оффициальный патч-русик от мелкософта, только вот не помню где...

rijk
1. В группе компы создай свой комп.
1. Да сделано ужо давно

2. Сделай новое правило под номером 1 в Firewall Rules: для своего компа разреши весь исходящий трафик
2. Есть такое

3. Сделай предпоследнее правило в Network Rules для своего компа в External: NAT
3. Готово
Смотри рис. - нифига не памагло.



Было бы желательно, если б ты всё-таки нарисовал схему, как ты попадаешь в сеть?
Я дома в IE в свойствах подкл. для прокси указываю IP_DSL(AA-работа) и порт 8080.
На самом DSL(работа) ставлю правило что "всем внешним приходящим на порт 8080 идти по внутренней (локальной) сети на ISA внутренний интерфейс".
Как правильно заметил hardhearted "просто сделал редирект 8080 порта на ису".
А сама ISA не понимает что дальше делать, она правило не подхватывает, т.е. не понимает какое нужно. Че за проблема, чет не понимаю, как только не тыкал.

и покажи tracert forum.ru-board.com -d

Покажу, только это много не даст, я так понял что tracert не использует настройки IE для прокси, так что tracert идет напрямик без прокси, а значит tracert безполезен здесь.

D:\>tracert ya.ru -d
Трассировка маршрута к ya.ru [87.250.251.8]
с максимальным числом прыжков 30:
1 <10 мс <10 мс <10 мс 195.1.1.161
2 <10 мс <10 мс <10 мс 195.1.1.1
3 609 ms 594 ms 578 ms 212.176.119.102
4 562 ms 563 ms 562 ms 193.232.88.4
5 562 ms 563 ms 562 ms 193.232.246.93
6 578 ms 547 ms 625 ms 87.250.251.8
Трассировка завершена.

hardhearted
на исе маршрут прописан?

Как мне его прописать, чет не могу сообразить, маршрут это в ИСЕ как?


И rijk и hardhearted тока давайте нормально, я понимаю спор есть спор, но всеже, не хотелось бы с моим замутом вас посорить.
Всем удачи, и мне тож.

до установки ISA 2004 std, к серверу был открыт удаленный доступ (терминал) после не то что доступ а сам сервер перестал пинговаться с др. машин. Подскажите как это исправить

коллеги, здравствуйте!
нарвался на непонятные вилы... на исе 2006 сделал впн, адреса получаются от внутреннего dhcp.
у меня сетка 192.168.0, а маска сети 255.255.252.0. почти весь этот диапазон и раздаётся. но! когда впн-клиент получает адрес из какой-то части внутренней сети класса С (типа, 192.168.2.х), то видит только компы из этой части сети. а в маршрутах появляется такой маршрут 192.168.2.0 маска 255.255.255.0 ит.д.... получается, что маска каким-то хитым способом подменяется с 255.255.252.0 на 255.255.255.0
все внутренни клиенты получают адреса и маски отлично и без нареканий...
помогите решить проблему!

iogun
Открой Edit System Policy (правая клавиша на Firewall Policy) найди там Terminal Server и разреши доступ для Internal. А в общем почитай документацию

serje
Войди в Address Assignment и переключи получать адреса от DHCP из Internal. Если хочешь использовать Static Adress Pool, то там совсем другая логика он использует ISA как шлюз между двумя сетями Internal и VPN не в зависимости, какие сети ты там прописал. Если хочешь, что б у клиента был ip 192.168.2.*, то тут придется вручную его выставить в AD

zamut

Цитата:

Трассировка завершена.

Это говорит о том что всё должно работать и проблема может быть только с правилами, но если у тебя и тут всё разрешено
Поставь SP3 для ISA2004, если не стоит

Цитата:

Я дома в IE в свойствах подкл. для прокси указываю IP_DSL(AA-работа) и порт 8080.
На самом DSL(работа) ставлю правило что "всем внешним приходящим на порт 8080 идти по внутренней (локальной) сети на ISA внутренний интерфейс".

Тут мне не всё понятно, у тебя дома и на работе DSL модемы, соединенные точка-точка?

Добавлено:
Этот же работе DSL модем выходит в интернет?

zamut

Цитата:

Как мне его прописать, чет не могу сообразить, маршрут это в ИСЕ как?

я писал на иса, то есть на исе сервере, а не в иса
как в любой винде route add -p ....

судя по логам ты свой комп не включил в internal, а network rule бесполезен

rijk
этот трасерт у него вообще не через офис, офис он тока как прокси юзать хочет, так что пинги и трасерты у него прямо через домового прова идут )

Никто, случайно, не находил в ISA сервер возможности прозрачно перенаправлять порты.
Например все исходящие из внутренней сети на внешние на 25й порт завернуть на внутренний сервер на 25й?

rijk

Цитата:

Тут мне не всё понятно, у тебя дома и на работе DSL модемы, соединенные точка-точка?
Добавлено:
Этот же работе DSL модем выходит в интернет?

Из дома ДСЛ выходит в инет.
На работе тож ДСЛ выходит в инет.
Я просто (как правильно сказал hardhearted) хочу выходить в инет через прокси своей работы, т.к. DSL(дом) -->DSL(работа) одного провайдера, то соответственно трафик дешевле.

hardhearted

Цитата:

судя по логам ты свой комп не включил в internal, а network rule бесполезен

Да включал я его в Internal, просто потом мы его опять удалили из Internal, и пробовали настраивать как сказал rijk но не вышло, а так он по логам вообще определяется что он входит в Internal, когда мы его туда добавляем.


Цитата:

у него прямо через домового прова идут )

Что правда то правда.


Цитата:

как в любой винде route add -p ....

Т.е. я свой ip и маску должен внести в маршрутизацию.
т.е. route add 195.1.1.163 или как?
чет я не совсем понял с точки зрения физики что мне это даст и как правильно написать комманду, описание комманды смотрел, ток тож чет не очень ясно.
hardhearted Скажишь как и для чего?


А сервис пак - ща найдем, поставим проверим.

Поставил, теперь стало поподробнее


Определился proxy, хотя надобыло в настройках proxy поставить Outbound, в общем заментны улучшения сервис пака, но задача так и не решилась, чтото в мозгу мелькает идея, но немогу сообразить, думаем дальше.

Здравствуйте!
На S1 установлено DC+ISA+выход в интернет,а на втором Exchange. Почта не уходит в интернет. ВИжу вот такие логи (см. скриншоты). Что не так с правилами?
http://bashmedsteklo.ru/isa1.jpg
http://bashmedsteklo.ru/isa2.jpg
http://bashmedsteklo.ru/isa3.jpg

Такая проблема:
Разрешил себе FTP доступ from int to ext.
Захожу клиентом на ftp нормально, но при попытке что-либо изменить Access Denied.
В логах Иса рубит соединения протокола FTP по портам типа 3754, 3756...

Infected Switch
Правой кнопкой по правилу - Configure FTP - Read Only - disable