» Microsoft ISA Server 2006/2004/2000 (Часть III)

Ну ведь серийник то при установке вводиться

Fir
ок я куплю легальную ису по OVL и поставлю ее у себя в конторе и дам ее поставить своему знакомому у себя, ты не зная кто из нас ее купил не сможешь отличить где она стоит легально а где нет. это можно сделать по документам. у меня будет бумажка что я ее купил а у него нет. а серийник в обоих случаях правильный. по серийнику вообще ничего не проверяется.

hardhearted
Fir, может и не отличит. А если бы ИСА стучала "на родину", то майкрософт бы отличил, или есть сомнения?

Fir
С сентября 2004 до января 2007 работал на ИСА 2004, в январе перешел на 2006, все нормально.

ок, спасибо. буду деплоить
если нагрянут, отпишусь :-D

/*Тема развивается с 100 страницы топика*/

Похоже на то что пров у себя настроил маршрутизацию. Я на своих шлюзах ничего не трогал (был занят другими задачами)
Теперь трейсы между компьютерами обоих сетей идут, а между шлюзами нет
Офис
Интернет(192.168.44.2/30) - провайдерА
ВПН(192.168.113.22/30) - провайдерБ
ЛВС1(192.168.2.2/24)
Филиал
ВПН(192.168.113.26/30) - провайдерБ
ЛВС2(192.168.9.1/24)

На обоих шлюзах есть Access Rules разрешающее Ping к LocalHost и Internal.

Вопрос1 Что сделать чтобы шлюзы пинговались между собой?
Вопрос2 Надо разрешить подключаться к терминальному серверу находящемуся на шлюз1 клиентам находящимся в ЛВС2. Как осуществить? (на обоих шлюзах создал разрешающее входящее Access Rule на TCP 3389 от ExternalVPN к к LocalHost и Internal. Подключение установить не удаётся.

telnet 192.168.9.1 3389
Подключение к 192.168.9.1...Не удалось открыть подключение к этому узлу, на порт
3389: Сбой подключения
)
Вопрос3 Надо разрешить подключаться Radmin-om из ЛВС1 в ЛВС2. Как осуществить? (на обоих шлюзах создал разрешающее входящее Access Rule на TCP 4899 от ExternalVPN к к LocalHost и Internal. Подключение установить не удаётся.

Подскажите по настройке и как лучше поступить:
есть ЛВС, диапозоны ip естественно серые (172.x.x.x), вся сеть подключена к Интернету через провайдерскую cisc'у. Хочу поставить у себя в сети ISA 2006, необходимые функции - прокси и firewall (хочу сам контроллировать траффик, порты и протоколы). Какие варианты выбрать - одна сетевая карта или поставить две карты ? Если две, то как тогда настраивать - ведь все адреса из одного диапозона...

hardhearted

Цитата:

у исы своей маршрутизации нет, есть только правила между кем роутинг делать а между кем nat, но сами маршруты она берет из винды

ну да вобщем, я не то немного сказал. Иса 2004 интегрируется и расширяет возможности стандартной службы "routing and remote access". Признаю ошибку.

ant_firefly
создай ещё одну промежуточную серую подсеть между циской и исой... У меня на исе на внеш. интерфейсе висит реальный ip, как и на вгнеш. интерфейсе маршрутизатора - так тоже можно. Вобщем вариантов несколько. Использовать интерфейса лучше 2. С одним разве что кэширующий проксик ставят...

greenfox
А я на циске не могу создавать подсеть, циска у провайдера

ant_firefly
ну впринципе можно разделить твою серую на несколько подсетей. Ну или свою внутреннюю подсеть сменить.
Но имхо ставить ису с одним интерфейсом несколько... ммм... не имеет смысла (если только не кэширующий проксик).

greenfox
Вот, набросал схему сети.
Как лучше поступить в данном случае?

ant_firefly
варианты действий в порядве предпочтения для вас:
1. звонок прову с просьбой сменить внутрен. сеть;
2. сменить диапазон ip в своей сети, цисковскую оставить для внеш. интерфейса исы;
3. разделить внутрен. сеть вашу на несколько подсетей (смотря сколько у вас хосто внутри сети).
4. убрать циску поставить ису;
5. убрать админа, убрать циски, сменить организационный строй внутри фирмы на анархический.

Всё имхо.

isa 2006
пользователи подключаются из сети internal по vpn
получают при этом ip из блоков 10.x.x.x и внешнего
всё работает до определённого момента (никак не обозначенного в логах), после этого в логах исы 0x0 ERROR_SUCCESS, с сервера ничего не пингуется (ни внутренняя сеть, ни внешняя), сервер сам не пингуется, но ранее установленные подключения функционируют (подключение mstsc к серверу прекрасно функционирует до тех пор пока не отключишься от сервера и не попытаешься подключиться вновь)

на внутреннем адаптере прописан ip из 192.168.х.х
на внешнем адаптере прописан ip из внешнего блока

networks:
internal - 192.168.x.x

network rules:
vpn clients with internal ip (computer set) -> external - nat
vpn clients (network) -> external - route


после рестарта службы microsoft firewall всё становится ок на определённое время

подскажите - что это может быть ?

Можно ли вообще пропинговать компьютер с Исой в Филиале из сети ГлавногоОфиса? Что для этого нужно сделать? Просто разрешить PING к LocalHost?

Помогите пожалуйста. В связи с аппаратными сбоями упала винда. и все что там было, в том числе и ИСА.
ISA 2006 enterprise
Установил и немогу понять почему не работает.
На компе одна сетевая карта. Далее в этой же подсети есть еще один комп который уже выходит в инет. Задача ISA сервера разграничивать доступ кому куда моюжно а кому нельзы.
На интерфесе где стоит иса адрес локальной сети.
192,168,2,1
255,255,255,0
192,168,2,3 - маршрутизатор в инет. Там все нормально работает.
DNS
192.168.2.3
192.168.2.1

в исе есть сети
Внутренняя 192.168.2.0-192.168.2.255
Внешняя

Стоят сетевые маршруты
все сети -> все сети
внутренняя-> внешняя

В политиках разрешал даже весь доступ куда угодно
все сети и локальный компьютер -> все сети и локальный компьютер для всего трафика всем пользователям.

Доступ к компьютеру получаю норсально. То есть к его сетевым ресурсам и удаленный рабочий стол работает нормально.
А вот клиент фаервола не работает. Не может подключится. Пишет ошибки сети.
в логах исы прописывается следующие
соединение начато с кодом 0
соединение закрыто с кодо abortive
это для клинта исы.

Если через него в инет идти тоже начинает и заканчивает сразу соединение. Подскажите чего делать. Завтра надо чтоб работало.

komal
Проверь dns на Исе.
Wpad прописывал?
Router какой?

Друзья добрый день или вечер, извините что не в тему, но тут у меня проблемка на одной из машин выдаёт сообщение
вот такого характера
Network Access Message: The page cannot be displayed

Technical Information (for Support personnel)
Error Code: 502 Proxy Error. The specified Secure Sockets Layer (SSL) port is not allowed. ISA Server is not configured to allow SSL requests from this port. Most Web browsers use port 443 for SSL requests. (12204)
IP Address: **.***.***.**
Date: 16.04.2007 8:37:42 [GMT]
Server: isa01srv.lan
Source: proxy

На других компах нормально, заходит, а на одном вот так, может кто подскажет!?

VitaliyVolkov
На этом компе стоит Firewall Client?

Да стоит

VitaliyVolkov
Ису он видит?

Есть Win2003 server с ISa2004 standart.
Открыт порт 2106 и 7777 для Lineage II, то есть есть правило:

From Клиент, Local Host, Internal To External
Port 2106
Primary connection
TCP
2106
Outbond

Secondary connection
TCP
2106
Inbond

Аналогично для 7777
Открыт также порт telnet для клиента


При запуске с клиента telnet адрес Lineage 2106 первый раз работает, если повторить, не работает, не может установить соединение по этому порту или если после 2106 порта сделать telnet того же адреса 777 порта, также не найден будет host.

С сервера все работает.

Туннелирование этих портов не включено.

Из - за чего такое может быть ?

VitaliyVolkov

Цитата:

Error Code: 502 Proxy Error. The specified Secure Sockets Layer (SSL) port is not allowed. ISA Server is not configured to allow SSL requests from this port. Most Web browsers use port 443 for SSL requests. (12204)

уже писали 100 раз - по умолчанию в исе разрешено ssl Только по 443 порту. Доп. порты надо открывать - ссылки давались пару страниц назад.

Народ хелп! Ситуация есть ISA 2004 standart не в домене. Настроена авторизация через RADIUS через web proxy.У клиента выходит запрос на авторизацию в броузере при обращении к любому веб сайту 1 раз правда. Можно как то сделать так чтобы пользователи автоматом распознавались через радиус без всяких запросов на ввод логина и пароля. К сожалению ису в домен ввести нельзя условие руководства.

Доброго вермени суток.
Есть такая проблема: на одной из машин в домене FWC ису (2004 стандарт) видеть-то видит, но не авторизуется. просто купили 5 компов, на четырех все нормально, а вот на одной - никак. Мож кто сталкивался?

Всем привет.
Подскажите где можно подробно почитать о такой ситуации и найти решение.

ISA 2006 выдаёт IP spoofing (ISA Server обнаружил атаку путем подделки с IP-адреса 192.168.ххх.xxx. Атака путем подделки происходит, когда IP-адрес недоступен через сетевую плату, на которую пришел пакет. Если включено ведение журнала для отброшенных пакетов, можно посмотреть подробные сведения в журнале межсетевого экрана.)

192.168.ххх.xxx - это внутренний адрес ISA 2006

Зарание благодарен

stas999
тебе ж русским по белому написали, смотри логи исы.

hardhearted
Возможно ты меня с кем то спутал...Мне не говорилось по РУССКИ и не писали по "белому"...я и так логи просмотрел...

Я вижу, что ко мне ежесекундно ломятся по разным портам с 72,20,34,200
OrgName: Staminus Communications
OrgID: STAMIN-2
Address: 502 S. Harbor Blvd. Fullerton, CA 92832
City: Fullerton
StateProv: CA
PostalCode: 92832
Country: US
RTechHandle: MAHVI-ARIN
RTechName: Mahvi, Mehdi
RTechPhone: +1-949-551-3385
RTechEmail: ******@staminus.net

Мой же сервер какого-то х... долбиться, !!!в основном!!!, на 53 порт DNS на 72,20,38,182 и 72,20,38,183

Я вижу твой статус и это о чём то говорит...Но не нужно мне фраз ничего не стоящих...Если ты внимательно прочитал, то я просил подсказать, где я подробно могу прочитать про IP spoofing, чтобы решить проблему...Можешь помочь - помоги и я скажу СПАСИБО...Нет - лучше промолчать

Саму суть я уже нашёл:
IP-спуфинг происходит, когда хакер, находящийся внутри или вне корпорации, выдаёт себя за санкционированного пользователя. Это можно сделать двумя способами. Во-первых, хакер может воспользоваться IP-адресом, находящимся в пределах диапазона санкционированных IP-адресов, или авторизованным внешним адресом, которому разрешается доступ к определённым сетевым ресурсам.

Атаки IP-спуфинга часто являются отправной точкой для прочих атак. Классический пример – атака DoS, которая начинается с чужого адреса, скрывающего истинную личность хакера.

Обычно IP-спуфинг ограничивается вставкой ложной информации или вредоносных команд в обычный поток данных, передаваемых между клиентским и серверных приложением или по каналу связи между одноранговыми устройствами.

Но это мало о чём говорит...
Мне нужно не определение Атаки IP-спуфинга...И не просмотр логов...
Мне нужно решение. Вот я и прошу помощи, так как в этом я не очень то и разбираюсь, но стараюсь учиться.

Извини, если я местами написал резко...

stas999
иса за спуффинг может легко принять любой комп который послал пакет на интерфейс исы пр иэтом ип этого компа не принадлежит сетке к которой этот интерфейс принадлежит
на пальцах: у тебя внутренняя сетка на исе 192.168.0.0/24 ты принес ноут с левым ипшником воткнул в сетку, тот послал броадкаст и все, иса уже в алертах ругнулась, потому как ей на ипшник из внутренней сетки пришел пакет от компа с ипшником не из этой сетки
если это постоянно то ищи кто у тебя в сетке с левым ипшником, если разого то забей, видимо случайность, такое бывает и достаточно нередко
решения тут нет и в принципе решить ты тут ничего не можешь, а самое главное оно и не надо.

другой вариант, что твоя иса ходить не так, точнее не стого ип с какого надо. поэтому я тебе и сказал проверить логи, куда и с какого интерфейса иса шлет пакеты.

Цитата:

komal
Проверь dns на Исе.
Wpad прописывал?
Router какой?

DNS настроен нормально, да и не при чем он тут. Клиент фаервола не подключается даже по ип адресу иса сервера.
wpad не настраивал но это вроде же тоже для автоматических настроек фаервол клиента. А у меня не видит ису... вернее видит но почему то иса не хочет подключать клиентов к себе.
роутер тут тоже вроде не причем до него дело не доходит. В логах исы она пишет сначало что подключение начато и тут же закрывает его с кодом
0x80074e21 FWX_E_ABORTIVE_SHUTDOWN
А фаервол клиент просто пишет что не могу подключится из-за ошибки сети.
Уже и не знаю что делать. Все перепробовал. Не понятно по чему такое произошло. Раньше, до переустановки сервака и исы все работало отлично.

Да кстати там на этом серваке еще стоит сервер терминалов. Может это как то с ним связанно.

Поделитесь свежими (можно что нить из последних) порно ... и не порно бан листами и скриптом для добаления в ISA 2004

Вопрос возник:
есть lan, в ней стоит web сервак. Клиент обращается к нему по ip (внутрен, перечислен в internal). Протокол https (на нестандартном порту). На клиенте стоит fwc, соот-но в настройках IE стоит проксик так же иса. Проблема в том, что когда клиент конектиться к этому серверу соеденение пытается пройти через ису. Хотя галка "не использовать прокс для лок.адр" стоит. Фигня такая именно с https. Не могу понять почему соеденение не идёт напрямую. Если попытаться обратиться к внутр. web серверу по http то всё нормально (а для https надо дизейблить fwc и убирать проксик из настроек). Иса 2004сп2.
Куда копать? Не открывать же ssl на нестандартный порт что бы клиенты к внутр. серваку обращались?!!