» Microsoft ISA Server 2006/2004/2000 & TMG/UAG (Часть 4)

Подскажите пожалуйста. Покупаю Isa 2006 standart Возник вопрос в лицензирование если куплю 20 клиентских ключиков и в дальнейшем возникнет надобность в внесении ещё 1 или нескольких пользователей то сначала надо будет купить лицензию или это можно сделать позже?

axit

Цитата:

Подскажите, что надо настроить на сервере ИСА 2006, что бы запустить закачку почты по pop3 протоколу с клиентских компьютров используя outlook без установки ISA клиента на компьтер пользователя.

Правило соответствующее создать, что ж еще?

P.S. Проблему с установкой (выше) решил.

Подскажите плз. стоит ISA2006'я немогу банить по словам тока по HTTP.
пример: http://*icq.com/*
можно ли забанить просто *icq* т.е. чтоб везде где встречаеться это слово банилось....
p.s. по HTTP все нормально баниться, а по словам вообще никак.....

axit
делаешь клиентов как securenat, то есть иса - шлюз, правило анонимное

falcon43
какие еще клиентские ключи у исы?

1nv1s1bLe
читай в книге в каких сетах и как можно употреблять звездочки, там четко расписано
просто по слову можно блокировать с помощью сигнатур в http фильтре

falcon43
ISA лицензируеться на "процессор", кол-во клиентов - любое. Только до сих пор не знаю как дела обстаят с многоядерными процами, но в данном случае 1 проца (ядра) будет достаточно для 20 клиентов.

Oldster
falcon43
чтобы не было вопросов про многоядерники, есть небольшое уточнение
у микрософта под процессором подразумевается сокет, и не важно сколько там ядер, это относится и к лицензированию и к поддержке продуктом (виндой например)

Люди добрые, может кто сталкивался...
ситуёвина... в иса 2006 репортах появляется большой трафик по IP.
на всех IP поподающих в отчет недавно переустанавливал Symantec Endpoint Protection 11. соответственно IP самого сервера симантик тог же там присутствует.. и косвенно можно понять что траф якобы гоняется между ним и клиентами, трафик исчесляеца гигабайтами, некак немогу побароть эту беду... стоит также анализатор логов Internet Access Monitor, строю отчет в нем.... в нем все нормуль... так откуда может взятся то в отчетах исы этот траф???? куда копать.....

Подскажите, пожалуйста, возможно ли в исе запретить использовать IP адресов в URL?
Т.е. чтобы пользователи ходили на сайты только по DNS именам.

V1t0
нет

Всем привет!
подскажите как на ИСЕ настроить приоритет для VoIP трафика?

davinchi9
никак

Проблема при установки ISA 2006 EE (перенес из варезника)
происходит при следующий действиях:
1. Ставим ISA2006EE на win2k3sp2r2 на сервере кроме службы firewall устанавливаем configuration storage. Инсталляция проходит без проблем. Все работает.
2. Ставим второй сервер(тоже isa2006ee) и добавляем его в тоже Enterprise, говорим реплецировать базу с первого сервера через сеть. просит поставить второй диск от win2k3, при установки ADAM выдает ошибку"невозможно поставить ADAM в режиме репликации" .
Сервера в одном домене(AD)

далее проводились эксперименты перенос configuration storage на DC , но при попытке добавить еще один сервер ISA+Storage, та же ошибка при установки.

Далее путем экспериментов(в тот момент в виду полного ступора эвристический метод казался наиболее эффективным )
удалось выяснить что если на чистую инсталляцию с начало поставить только configuration storage, а потом добавить службы firewall-a, все ставится(и работает) прекрасно. Но если с начала произвести попытку поставить связку isa+storage(инсталляциия не проходит), в дальнейшим на эту машину не удается поставить даже отдельно configuration storage(та же ошибка)

может кто-то сталкивался и нашел более красивый способ борьбы?

Люди добрые подскажите. Возможно ли на компе с ИСА 2006 поднять dial-in?

SM8Yozhig
а почему бы и нет, там такая же винда

Винда то тажа. Только вот тогда не понятно, что нужно крутить. ИСУ отдельно от RRAS поднимая VPN или RRAS отдельно от ИСЫ. Или и то и другое совместно, сижу уже 5 сутки не как несоображу. Добился лишь коннекта между ПК, но пинга нет.

SM8Yozhig
тебе от исы вообще что надо то? тупо клиентский доступ по впн?

Да мне нада инет по модему раздать. Сейчас ISA раздает инет в локальную сеть. Вот и незнаю за что хвататься, за ISA или же за RRAS.

SM8Yozhig
с таким талантам так задавать вопросы - за голову )

Прошу прощения за тормаза. Голова просто к 5-м суткам совсем опухла и не работает вовсе. Как дальше быть не подскажите в плане настройки???

SM8Yozhig
сам я с модемами никогда в жизни не работал, и надеюсь никогда в жизни и не буду работать, это уже музейные экспонаты
но думаю что если попробовать настроить, то никто от этой попытки не умрет

С чего бы вы начали?

SM8Yozhig
для начала настроить модем и rras так будто исы нет

Сервер ISA 2006, в домене
Есть задача, разрешить определённой группе доступ к заданному списку сайтов:
www.yandex.ru, www.gismeteo.ru
пробовал 2-а варианта

1.
создал правило Deny:
Protokos: https, http
From: Internal
To: All (URL sets, где стоит только один параметр *)
Exceptions: AllowURL (URL sets следующего содержания:
http://gismeteo.ru/
http://www.ya.ru/
http://www.yandex.ru/
http://ya.ru/
http://yandex.ru/
)
Users: AllowUser (группа кому разрешён доступ)

2.
создал правило Allow:
Protokos: https, http
From: Internal
To: AllowURL (URL sets следующего содержания:
http://gismeteo.ru/
http://www.ya.ru/
http://www.yandex.ru/
http://ya.ru/
http://yandex.ru/
)
Users: AllowUser (группа кому разрешён доступ)

Результат одинаковый, открываются только стартовые страницы сайтов, если заходить дальше по сайту - блокируется
что не так сделал, подскажите?

blade000
поставь http://yandex.ru/*

blade000
все верно, как открыл так и работает
ты в курсе что у доменов могут быть поддомены, и что на сайтах есть страницы?
если нужно открыть все на сайт www.yandex.ru то пишут http://www.yandex.ru/*
но при этом естественно не будет работать например тот же market.yandex.ru
если надо открыть весь домен то заводят не url set а domain name set, и туда пишут yandex.ru и *.yandex.ru, тогда в нем будет открываться весь yandex.ru со всеми доменами и страницами
все это написано в книжке и в манах, тока до сих пор не пойму почему люди их даже не открывают

стоит ISA 2006 , часть клиентов в домене, часть еще нет (переводятся) подскажите как правильно выбрать тип аутентификации для Web-Proxy клиентов при таком раскладе клиентов(кто то в домене а кто еще нет)? сейчас стоит Integrated , у клиентов кто не в домене IE при запросе страничек постоянно выдает окошко для ввода логина и пароля (естественно вводятся правильные данные) , как бы это поправить чтобы он сохранял сессию?

iopi0p

hardhearted

Цитата:

davinchi9
никак

что QoSдля H.323 никак не настраиается? как же тогда сделать чтобы при появлении в трафике Н.323 ему выделялось стабильно из канала сколько я задам, а всему остальному канал ужался?

SM8Yozhig

Цитата:

ИСУ отдельно от RRAS поднимая VPN или RRAS отдельно от ИСЫ. Или и то и другое совместно

Цитата:

Вот и незнаю за что хвататься, за ISA или же за RRAS.

хватайся за то и другое, но даже больше за ису, в RRAS проверь чтобы модем определился и выстави там порты доступа, точнее если у ебя только модем - вот его и оставь, а все остальные выруби, далее шагай в ису и настраивай там доступ в локальню сеть и интернет для VPN клиентов, полсе шаманства в исе проверь политики в RRAS, но лучше их там не рулить т.к. они рулятся из исы...

Цитата:

Добился лишь коннекта между ПК, но пинга нет.

коннект есть - уже хорошо, пингов нет значит иса выполняет свою работу и блокирует пакеты от VPN клинтов - скорре всего ты их в правила доступа к своим сетям не добавил...

davinchi9
я ж сказал что никак, где ты в исе видел QoS?
она вообще не занимается такими вещами, у ее нет приоритезации трафика (ее убогий http diffserv не в счет), шейперов, квотеров и т.д. тока другими средствами

TokImota
если это временно, то проще разрешить на время анонимный доступ.

ну временно это относительно , также необходим подсчет трафика.. просто пустить можно и в обход прокси, но задача как раз завернуть всех на прокси кто в домене и кто пока нет, с целью чтобы уже считался и ограничивался трафик пользователей.