» Microsoft ISA Server 2006/2004/2000 & TMG/UAG (Часть 4)

contrafack
какой еще ipconfig, я про networks в исе.

Знатоки, подскажите пожалуйста!
На сервере в инет стоит Win 2008, Forefront TMG MBE (файрвол + прокси), GFI WebMonitor 4.
При попытке скачать файл больше нескольких мегабайт из интернета проходит получение файла и проверка на вирусы TMG MBE, затем после ее успешного окончания нажимаем "Загрузить", происходит проверка на вирусы средствами GFI WebMonitor 4, которая также проходит успешно. Но при нажании на "Save to disk" очень часто выдает ошибку:


Цитата:

Explanation: There is a problem with the page you are trying to reach and it cannot be displayed.

Try the following:
Refresh page: Search for the page again by clicking the Refresh button. The timeout may have occurred due to Internet congestion.
Check spelling: Check that you typed the Web page address correctly. The address may have been mistyped.
Access from a link: If there is a link to the page you are looking for, try accessing the page from that link.
If you are still not able to view the requested page, try contacting your administrator or Helpdesk.

Technical Information (for support personnel)
Error Code: 502 Proxy Error. Недопустимые данные. (13)
IP Address: 192.xxx.xxx.xxx
Date: xxxxxxxxx [GMT]
Server: proxyserver
Source: web filter

Помогите как это победить?

hardhearted

а вот и networks:



адреса 192.168.0.200 - 192.168.0.220 резервировано для VPN клиентов.

contrafack

Цитата:

адреса 192.168.0.200 - 192.168.0.220 резервировано для VPN клиентов.

Зря "разорвал" сеть посередине. Для VPN клиентов надо было оставить адреса в конце или в начале. А последний адрес кому оставил? (192.168.0.255)

contrafack
а ты читал вообще основы tcp/ip сетей? сеть класса С насинается с 0 и заканчивается 255, а у тебя 255 адреса нет, вот иса и ругается
из-зв чего ругается на 200 пока непонятно, этот адрес должен быть на rras интерфейсе исы - может у тебя впн не работает?
SergeyMark
с разрывом посередине проблем нет, а вот оставлять впн клиентам 0 или 255 не стоит

Добавлено:
TrustyM
выключить антивирусы, снести gfi кстати не видел инфы что gfi официально поддерживает tmg
зачем ты два раза то проверяешь? и еще небось третий раз на самом клиенте

SergeyMark
hardhearted

Ок. вот добавил 255_й адрес:



так нормально ? у меня еще и DHCP сервер, тоже на скрине, имейте ввиду..
А 200_й IP тоже "висел на воздухе". щас его ввел в пул VPN_а.
Вот они:

hardhearted

Цитата:

выключить антивирусы, снести gfi

И качать все вирусы.......

Цитата:

зачем ты два раза то проверяешь? и еще небось третий раз на самом клиенте

И вот что удивительно, все равно иногда вирусы проскакивают

Так-то я понимаю, что выключить - это решение, но не самое верное, так как нужно все же максимальную защиту.

ребята, спасибо, вот перезагрузил, и больше нету этой ошибки !

но вот как подключился VPN пользователь - появился такой alert:


адрес 192.168.0.205 я прописал в настройках VPN клиента, чтоб был статический IP.

Это с чем может быть связано ?

contrafack

Цитата:

адрес 192.168.0.205 я прописал в настройках VPN клиента, чтоб был статический IP.

Это с чем может быть связано ?

Так вроде адрес должен ISA Server выдавать, динамически? Ты же сам указал диапазон адресов для этого.

SergeyMark

да. сам указал в настройках клиента, ну это по требованию, т.е. есть необходимость, чтоб клиент всегда получил один и тот же IP. Да и так посоветовал делать один знающий человек.
Но это еще не все! таким образом, т.е. со статическим IP адресом работает еще один VPN клиент, с адреса 192.168.0.206, но с ним такие алерты не видны.
У всех клиентах стоят ОС Windwos Vista Home premium.

contrafack
ты в свойствах юзера ип прописал?
такие сообщения бывают с впн клиентами иногда при подключении, я не обращаю внимания обычно

Добавлено:
TrustyM

Цитата:

И качать все вирусы.......

странно, у меня ни одного исашного антивиря нет, и вирусы никто не качает

Цитата:

так как нужно все же максимальную защиту

защита, функционал и скорость - это треугольник, нельзя без огромных затрат достигнуть всего по максимуму, всегда приходится искать компромисс
ты б еще пару антивирусов на ису навесил бы, и посмотрел что с ней станет
еще раз говорю: проверь у gfi, нормально ли он работает с tmg

hardhearted
TrustyM
на форуме пишут что TMG не поддерживается WebMonitor'ом, но ведутся активные работы в енту сторону:
http://forums.gfi.com/WebMonitor_and_Threat_Management_Gateway_(TMG)/m_900775006/tm.htm

2 TrustyM
хочется безопасности и бюджет не жмет? ставь железку типа Aladdin eSafe, а с ISA удали разные антивири и оставь на клиентах. не сочтите за рекламу

hardhearted

Цитата:

ты в свойствах юзера ип прописал?

да , я прописал.
Ну если это фигня, то и я не буду обратить внимание на это. главное, что больше этого никаких ощибок нету уже.

P.S. кстати, что за Quarantined VPN Clients ? на английском читал, но ничего толком не понял..
P.S.S. У меня ISA стоит на виртуальном w2k3, а хостовая машина на w2k8. Хочу установить GFI web monitor, но не знаю где надо установить, на виртальке или на хостом можно?

народ, почему ISA standart может не видеть пользователей AD при попытке создать группы пользователей домена?

contrafack

Цитата:

Хочу установить GFI web monitor, но не знаю где надо установить, на виртальке или на хостом можно?

GFI WM ставится не отдельно как самостоятельное приложение, а как плагин на ISA, таким образом ставь на виртуалку, где ISA установлена.

если в исе указан сервер LDAP, на AD обязательно ставить клиента ИСЫ?

contrafack

Цитата:

кстати, что за Quarantined VPN Clients ?

а кто мешает на русском почитать? инфы в инете полно, или на гугле и офсайте забанили?
это специальный нетворк, туда можно кидать юзеров не прошедших проверку по условиям которые ставит администратор с помощью сценариев. создан для того чтобы разделать правила для клиентов проверенных и не проверенных

у меня походу сервак с ИСА грузиться локально, не видит в принципе АД, хотя другие машины прекрасно видят, на ИСЕ разрешено всем все

newhk
что за версия ISA и SP? какой сервер, версия, редакция?
почему большинство думает не головой???
почитай мой пост на прошлой странице про EnableRSS. после изменения AD должна видеться с ISA (при условии win2k3 sp2/R2)
я же тебе уже писал про енто. и, смотрю, литературу ты игнорируешь в принципе.

newhk
иса у тебя в домене? зачем ты ldap там указал?
на какое еще ad ты собрался ставить клиента? клиента ставят на компы, а не на ad
проверяй настройки интерфейса, если иса в домене, то кроме доменных dns других быть не должно

DalayLamer

Цитата:

что за версия ISA и SP? какой сервер, версия, редакция?

ISA 2006 SE, W2k3 EE x86 SP2


Цитата:

почитай мой пост на прошлой странице про EnableRSS. после изменения AD должна видеться с ISA (при условии win2k3 sp2/R2)
я же тебе уже писал про енто. и, смотрю, литературу ты игнорируешь в принципе.

не игнорирую, творй пост я читал, а так же по ссылкам переходил и там тоже читал


hardhearted
ISA в домене.



Народ, не кипятитесь, я первый раз ИСУ ковыряю, гдето чтото прочитал, гдето чтото спросил...

newhk
ну и? применил прочитанное?
какие результаты?
ipconfig /all с интерфейсов сюда.

сек, я винду с ИСОЙ переустановить решил

блин ! вот уже 2_й раз после перезагрузки ISA , VPN сервер не пускает клиентов ! (w2k3)
в логах исы:
Failed Connection Attempt

Код: Log type: Firewall service
Status:
Rule: [System] Allow VPN client traffic to ISA Server
Source: External (92.101.хх.хх:10426)
Destination: Local Host (192.168.1.11:1723)
Protocol: PPTP

все, я разобрался в чем затык был, я в виртуалке внутреннюю сеть неправильно настроил, щас все видно, все работает

народ, можете сказать, разве ISA виновал, что FTP клиент пишет:

Код: Команда: TYPE I
Ответ: 200 Type set to I
Команда: PASV
Ответ: 227 Entering Passive Mode (89,108,66,93,211,88).
Команда: MLSD
Ответ: 550 Access is denied.
Ошибка: Не могу получить список каталогов!

а на ФТП все настроено?

newhk

да. раньше говорят, что работало, до ISA.
с дома пробовали - работает тоже. так что проблема у нас в сети. пробовали с разных клиентов - все один и тот же.

contrafack
такое на всех ftp-серверах или только ентом?
проверь на разных, к примеру ftp://ftp3.freebsd.org/pub/

DalayLamer
а туда вообше не подключается.
типа сервер не найден.

Добавлено:
ну проблема у нас в том, что он то подключается , но изменение не можем делать (я про нахих ftp серверов). когда пытаемся внести изменение, пишет:
Не могу получить список каталогов!.

в одном форуме читал, тип пишет:

Цитата:

нужно в инкоминг разрешить Passive_FTP

это в ИСА как можно делать ?