» Microsoft ISA Server 2006/2004/2000 (Часть III)

hardhearted
Не тебе решать умные или глупые вопросы. Если спрашиваю значит не нашел.

andrey99999
умный вопрос или глупый решать право каждого. требования к системе существуют практически для всех продуктов, и обычно это первое что читают люди прежде чем что то использовать. не найти эту инфу на сайте производителя практически нереально

Подскажите, пожалуйста, как в ISA 2004 забанить внешний IP-шник, т.е. чтобы любые пакеты от него дропались. Все перерыл в настройках...

igolovin
все что касается разрешения и запрета трафика находится в firewall policy. там создается правило с параметрами кто, откуда куда и по какому протоколу и что нужн ос этим делать, запрещать или разрешать.
обычно если ты не разрешал что то, то по умолчанию это запрещено, так что если этому внешнему ип ты в других правилах ничего не разрешил то пакеты от него и так запрещаются.

Цитата:

igolovin

кроме того запрещающее правило для конкретного внешнего IP в firewall policy должно стоять ДО правил, разрешающих внешние IP в целом

sarti
После деинсталляции тулкита фильтр также не запустился. Логи не смотрел, не было времени, но всё восстановил достаточно быстро

Я знаю, что по умолчанию все выключено. Но он, гад, сканирует порты. Раздражает это... Как его отрубить-то? Если я создаю правило, то там присутствует только исходящий трафик или конкретные порты. Насчет входящего трафика, я так понимаю, отвечает "Публикация". И там присутствуют только определенные порты, а не весь трафик (от конкретного IP). А я хочу этому внешнему IP запретить ЛЮБОЙ трафик на мой ISA (т.е. дропать ВСЕ пакеты от него). Неужели в ISA этого нет. Это-же должно быть по определению!!! Спецы, братцы, помогите - подскажите.

igolovin
по определению, ничего не должно быть, сначала открой книгу и внимательно разберись что означает направление в протоколах, это не совсем то что ты думаешь, исходящий (outbound) это всегда по отношению к клиенты, то есть где бы клиент не был, внутри, снаружи, на самой исе, если это не публикацию то трафик от него всегда outbound. inbound - только для публикации.
во вторых если ты ему ничего не разрешал то иса его и так дропает, даже если он сканирует порты это не значит что ему трафик разрешен, да сканирует, ломится на все порты подряд и на всех ему дают запрет. ломиться ты никому, никогда, ничем не запретишь, главное чтобы он не прошел.

Добавлено:
ты кстати проверял что это за ип, может он и не виноват вовсе, иса может показывать скан портов когда его на самом деле не было. я сам сталкивался, у меня снаружи ису прикрывала циска которая натила, и поэтому влезть внутрь циски и просканить ису было совсем никак, а иса все равно показывала будто есть скан. такое бывает, на офсайте есть статья с обьяснением

На одном сервере установлена Isa 2006 и Exchange 2003, организован доступ из внутренней сети к Exchange через owa, согласно созданному правилу isa отправляет запросы с 80 порта на порт 8081 (установлен в IIS).
Указываем в браузере IE адрес http://{имя сервера}/Exchange, запрашивает пароль, вводим, начинает грузить и стопориться при загрузке писем, адрес письма имеет вид http://{имя сервера}:8081/Exchange/{имя пользователя}. Opera и Firefox работают нормально, письма грузятся. Похоже проблема в IE.
Куда копать?

hardhearted
Сканит меня "по всем портам" (так говорит ISA) anti-spam.mcafee.com... У меня на серваке стоит McAfee Virusscan 8.5 Enterprice + AntiSpam и GroupShield 7 для Exchange 2003. Может это GroupShield'овские приколы?...

PS Подскажите, где почитать как осуществляется сканирование (описание на низком уровне. Не нужно описывать суть).

Добавлено:
zhennek
Если "Opera и Firefox работают нормально", то проблема, очевидно, в IE. Поставь последнюю. Может у тебя установлен высокий уровень Security в IE? Поставь в Default.

igolovin
способов сканирования далеко не один, к исе этот вопрос уже не относится, это общая инфа, ищи в инете там такой дряни полно http://justfuckinggoogleit.com/

Друзья, объясните мне пажалста вот какую штуку - в чем различие настроек NAT и Proxy в MS ISA Server 2004? Я вот понять не могу например как у меня настроено (нат или прокси).. И какие настройки в каком из 2х случаев на клиентах делаются?.. Вообще как взглянув на настройку исы можно однозначно сказать - нат или прокси?
Извиняюсь за такой вопрос..

Tim2000
да, тупее вопрос тяжело придумать
иса может и натить и проксировать одновременно, все зависит от клиента. если клиент тупо идет на ису как на шлюз по умолчанию и на исе разрешен nat между сетями то будет nat, если не разрешен то клиент никуда не попадет, если клиентская прога, например браузер настроен на прокси, то будет прокси.

Цитата:

zhennek

Newbie    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
На одном сервере установлена Isa 2006 и Exchange 2003, организован доступ из внутренней сети к Exchange через owa, согласно созданному правилу isa отправляет запросы с 80 порта на порт 8081 (установлен в IIS).
Указываем в браузере IE адрес http://{имя сервера}/Exchange, запрашивает пароль, вводим, начинает грузить и стопориться при загрузке писем, адрес письма имеет вид http://{имя сервера}:8081/Exchange/{имя пользователя}. Opera и Firefox работают нормально, письма грузятся. Похоже проблема в IE.
Куда копать?
Всего записей: 1 | Зарегистр. 28-09-2007 | Отправлено: 14:05 17-02-2008

Выяснились следующие подробности. Opera и Firefox при обращении к exchange через owa используют только ее облегченный вариант, а IE может по разному. Если опять же в IE использовать облегченный вариант, то все проходит нормально. А если как обычно, то возникает выше обозначенная проблема.

Есть двух интерфейсный сервер с Win2003, AD, DNS и Isa 2004.

На обоих интерфейсах стоит "внутренний" DNS.
На DNS включена пересылка.

В Isa в системной политике DNS включено (localHost -> AllNetworks) .

Нужно "раздавать" DNS во внутреннюю сеть.

Что лучше для безопасности и что лучше для быстродействия (если есть какие - то различия) в данном случае:

- опубликовать DNS сервер для внутренней сети и больше не создавать никаких правил доступа (будет только системное DNS и правило публикации) ;
- не делать правило публикации, правилами доступа (не публикации) открыть доступ по DNS порту к собственно LocalHost (придется открывать inbound доступ) ?

Или вообще без разницы ?


И какую роль играет в правиле публикации "From" , "To" , это адрес самого сервера, "Networks" , откуда приходят запросы (в данном случае Internal) ?

Vxd2000
ты сам то понял что написал
что значит?

Цитата:

опубликовать DNS сервер для внутренней сети

если у тебя ad стоит на исе то разрешить dns from internal to localhost и from localhost to external
dns прописывай только на внутреннем интерфейсе.

hardhearted ты знаешь, как не удивительно, да.

Просто, уже 2 мое сообщение, насколько помню (хотя могу ошибаться) , которое мне понятно, тебе наверно не очень (первое было про те же правила публикации, только ftp, причем описанное мной, по твоим словам, не должное работать, у тебя же и работало, правда у тебя) , наверное просто надо прикладывать больше усилий, чтобы понять, что пишут, если с ходу так не понятно, если конечно есть желание это понять, или попросить что - то написать подробнее.

(В третьем лице) если логика кого - то другого отличается от твоей, это не значит, что кто - то другой написал что - то не понятное, это может значить, что ты не понял написанное (еще раз не именно про тебя, а в 3 лице) .

Теперь собственно по "делу" :
в Isa есть системное правило dns (LocalHost -> AllNetworks) , то есть второе, написанное тобой условие выполняется (оно у меня включено) , теперь по поводу первого, internal -> LocalHost, это по сути правило "публикации" для Inernal конечно же, по моему, в книге Томаса Шиндерса, написано, что "публикация, это разрешение и обработка входящих запросов" , это как раз то и есть, что у тебя написано в первом условии, но, мне не совсем понятна разница между "открыть" inbound от Internal к LocalHost и правилом публикации и смущает в самом правиле собственно публикации 2 "источника" , один на закладке "From" , другой на закладке "Networks" .

И про мое сообщение: во 2 пункте вопросительного моего сообщения как раз и описан "способ" с откорытием правилом доступа, именно им, не правилом публикации, доступа к серверу, но интересно, будет какая - нибудь выгода (или не выгода) от использования правила публикации, если DNS стоит c AD на сервере с Isa, а не где - нибудь в DMZ.

Просто, наверное есть стереотип, или уже въелось (после западных книг) , что если публикация, то обязательно или вне (на External) или что - то связанное с DMZ.

Добавлено:
Хотя какая - то разница есть, потому что в правиле публикации используется DNS сервер протокол, не просто DNS протокол (они взаимо обратны, если здесь может применяться это слово) .

Попробовал Internal -> LocalHost DNS сервер протокол, ни фига, только Internal -> LocalHost просто DNS протокол работает.

После перезагрузки сервера все сервисы ISA перестали стартовать. В ручную тоже не стартуют. На сервере стоит ISA 2006.

The Microsoft ISA Server Control service terminated with
service-specific error 2147942487 (0x80070057).

The Microsoft Firewall service depends on the Microsoft ISA Server
Control service which failed to start because of the following error:
The service has returned a service-specific error code.

Как лечить?

hardhearted
вот а где в исе нат настраивается???

Добавлено:
а всё, нашол в Нетворк Рулез.
Спасиба товагисч Жестокий, я так себе всё и представлял, и мои прецтавления подтвердилис

подскажите пожалуйста можно ли с помощью исы и чего нить ещё (чего?) решить следующую задачу:
Учёт времени проведённого юзвером в сети и логирование посещённых им сайтов. Спасибо.

Vxd2000
нет, все таки открой доки и уясни разницу между публикацией и простым правилом доступа.

Цитата:

мне не совсем понятна разница между "открыть" inbound от Internal к LocalHost и правилом публикации

просто открыть inbound нельзя, эти протоколы для публикации. публикация (это некий аналог port redirect или port forwarding, тока более продвинутый) это когда клиент ломиться на ису, а иса перенаправляет трафик на сервер, самого сервера клиент не видит. поэтому чаще всего и используется чтобыопубликовать внутренние сервера наружу, ибо внутренние сервера чаще всего спрятаны за натом.
в обратную сторону, чтобы из internal идти в external через правило публикации, на исе 2004 sp1 не пахало, на остальных не проверял.
DNS Server протокол, как и большая часть протоколов с приставкой Server, это inbound протокол, служит только для публикации, как и все inbound протоколы.
на localhost сервисы никто не публикует, за исключением отдельных случев, например когда несколько веб серверов на одном порту опубликовать надо или когда сервис висит тока на внутреннем интерфейсе и надо чтобы его видели извне, это не моя логика, это идеология по которой сделали продукт

Добавлено:
InsideTM
иса логирует все, и по этим логам можешь строить любые отчеты

Подскажите, как можно через Ису добиться того, чтобы пользователи для того чтобы войти в интернет вводили в интренет эксплорере пароль?

InsideTM
2-е isa позволяет

Подскажите, пожалуйста, как сделать, чтобы в логах о трафике считался и трафик самого сервера.

Diadema
в логах ничего не считается, логи только пишутся, а что ты по ним будешь считать и как эт оуже твои проблемы, по умолчанию иса в логи пишет все.

hardhearted
В том то и дело, что в логи пишется весь трафик, исключая трафик самого isa-сервера. Вот и хочу узнать, как включить подсчёт трафика самого сервера?
Хотя может неправильно объясняю.
Isa формирует отчеты, в них указываются количество переданных и полученных байт для всех компьютеров, кроме самого isa-сервера.

Подскажите пожалуйста, проблем три:

Есть иса 2006 стандарт, логи пишутся в SQL базу на другую машину сети

1. Если машина с ИСОй стартует раньше чем SQL сервер, то не может стартовать сервис ИСЫ, но это хоть понятно... Но почему он не стартует самостоятельно, когда SQL сервер становится доступным? Пробовал и режим запуска сервиса менять и т.д. Спасает только повесить в шедулере задание каждые 5 минут проверять запущен ли сервис исы и запускать его, если это не так.... Но это как то криво...

2. Вместо IP адреса в базу почему то пишется что то типа 172032055, причем подсетка 10, но последние цифры совпадают с последними цифрами IP

3. почему то не работают отчеты самого иса сервера... Все генерируется, но они пустые...

Помогите, если не сложно... Устал уж искать....

Diadema
ты не путай логи и убогие отчеты, логи пишутся по умолчанию все, а вот что там составляется в отчетах это уже логов мало касается. отчеты в исе примитивные и всего ты там не узнаешь.
ailya1960
1. интересно а как по твоему сервис исы быдет узнавать загрузился там на левом серваке sql или нет? он не телепат и за ним не следит.
2. вполне нормальный десятичный адрес, если ты не в курсе то ипшник это обычное 32битное число, примитивный человеческий мозг не может воспринимать его так, поэтому для удобства разбили на октеты и разделили точками, а 8ми битные октеты переписали в десятичный вид, вот и получился всем известная dotdecimal запись. но такого типа в sql нет, в 2004 ипшник писался строкой, а в 2006 для экономии и скорости это теперь просто десятичное число. твоя цифирь есть ничто иное как 10.65.0.55
3. отчеты за какой период генеришь и доступны ли логи пр иэтом?

hardhearted

Честно говря подозревал насчет айпи, но недопер, спасибо... Смутило то что в 2000 было нормально...

Насчет Отчетов пофиксилось установкой ISA Server 2006 Supportability Update, которую скачал только что... Искал СП, а его не было...нашел тему что не работают отчеты на майкрософте.... Предлагалось использовать МСДЕ... Нда.... Ловко они проблемы решают...

А вот насчет телепат он или нет - вопрос спорный...какого хрена он сам не пытается рестартануть? Даже когда устанавливаешь в свойствах сервиса - рестартовать при сбое - он этого не делает... Кроме того 2000 иса работала вроде нормально с ДСН... По крайней мере эскуэлник подхватывала после его перегрузки...А тут хрена... Нет, конечно пофиксил скриптом раз в 5 минут....Но окно консоли напрягает вылетающее и сворачивающееся...

Чем чревато отключение галочки "Mitigate flood..."?


Повод для отключения есть: банк-клиенты, internet-софт и web-приложения работают не совсем корректно (т.е. совсем не работают), в журнале ISA везде "0x80074e24 FWX_E_CONNECTION_KILLED" и "0x0 ERROR_SUCCESS". После отключения указанной галки - всё пучком. Распространяется и на SNAT, и на FWC.


ADSL, ISA 2006.