» Microsoft ISA Server 2006/2004/2000 & TMG/UAG (Часть 4)

Также от знатоков попросил бы варианты вылеченного софта по квотам, но уже для TMG.
Спасибо!

BlackVetal

Левая имеется в виду по отношению к исе, всё что ставится как плагин к исе, к ней самой отношения не имеет совсем.

Виновата не иса, а твоя левая софтина, т.к. дело касается исключительно квот.
Посоветовать могу купить то, что нужно (сам юзаю Bandwidth Splitter) или бесплатный аналог RestraiNET free.

BlackVetal
TrustyM
они все левые (или как у буржуев - third party) потому что не родные.
то что ты квоту переставлял еще ничего не значит. проверяй без нее - будет такой глюк на исе или нет.
я не знаю что такое вылеченный софт, но если имеется ввиду сворованный то вам обоим не в этот форум. софт выбирается по функционалу и цене.

hardhearted
Только вот пыль в глаза не нужно пускать, этого я не знаю, о том я не слышал и что и как выбирается
Был задан вопрос, на него можно либо дать ответ, либо не лить воду "о жизни".
Как минимум можно было бы предложить софт c запрошенным функционалом и работающий под TMG.

hardhearted
TrustyM
Не надо разводить спор по этому поводу .
Я задал вопрос - старался как можно больше описать для решения проблемы. Мене ответили где и что искать. Я задал еще вопрос - что посоветуют в замен моей программы ...
я прекрасно понимаю что надо покупать софт и неморочить мозги - но если ген. директор не хочет покупать? (Не он понимает зачем купленный софт, но именно для учета квот не хочет покупать). anton04 предложил варианты ... хотелось бы хотя бы узнать чем пользуется hardhearted, конешно если это не военная тайна и если такая программа имеется.

Цитата:

проверяй без нее

Извиняюс, но вопрос следующий возникает как проверить? Убрать разрешающие правила? или есть какой-то другой вариант?

BlackVetal

Цитата:

Извиняюс, но вопрос следующий возникает как проверить? Убрать разрешающие правила? или есть какой-то другой вариант?

Отключить фильтр софтины квотирования (не на всех приблудах помогает) или удалить софтину для квотирования вообще.

BlackVetal
Дело в том, что я задавал в теме тоже свой собственный вопрос

BlackVetal

Цитата:

хотелось бы хотя бы узнать чем пользуется hardhearted

ничем, потому как квотирование в корпоративной сети это маразм, это одна из причин почему мелкомягкие такую дурость и не стали в ису встраивать
TrustyM
под tmg еще ни один производитель свои софтинки не переделывал, возможно потому что пока не видят в этом никакой выгоды

Проблема в утечки памяти на хосте

Имеем Server 2008 R2 + Hyper-V Host
Guest 1: Server 2003 + ISA 2006 (Крутиться со времен Server 2008, раздает дома инет, тут же крутится utorrent и раздает скачаное)
Сетевка выделенная под внешний интерфейс была RTL8139, попробовал на Dlink PCI-E DGE-560T, та же фигня.
Guest 2: Windows 7 (Свиртуаленый рабочий комп)

Тоесть память утекает со временем и остается Cached Available около 50-60Mb Free 0
Все что делаешь на хосте начинает жутко тормозить, если передернуть любого гостя, достотачно нажать pause и через 5-10 секунд весь съеденный объем возвращается, проходит 30-40 минут и опять остается Cached Available около 50-60Mb Free 0. В Task Manager ни у одного процесса не меняется колонка memory, память уходит как-будто в никуда.

В результате экспериментов стало ясно что всему виной гость 1, мало того если остановить utorrent утечка памяти прекращается и остается без изменений, за 3,5 часа раздало 16Гб среднее количество постоянных соединений 340, за 3 минуты 5000 событий в "Ведение журнала" 99,99% генерирует utorrent, походу съедает память сетевка выделенная под внешний интерфейс. Раньше на Server 2008 проблему не замечал т.к. за хостом не сидел. И щас и раньше тормозов у гостя не было.

Кто крутил в такой конфигурации ISA 2006 ? С такими проблемами сталкивались?

HmH
врядли ты найдешь еще такую же конфигурацию, потому что нормальные люди на корпоративный файрвол не ставят левые програмульки

hardhearted
Согласен, переставлю торрент клиента на хост и посмотрим что из этого получиться...

P.S.
Уже поднял гостем 2008 R2+TMG его настроить не успел планирую переехать с 2003+ISA 2006
попробую для начала в 2008 R2+TMG, если не поможет перенесу торрент клиента на хост

anton04
Может я немного не допонимаю, но получается так: я допустим отключил фильтр (или удалил софтинку) - то трафик пойдет по разрешающему правилу. Для дальйшего тестирования мене необходимо отключить это разрешающее правило?

hardhearted

Цитата:

потому как квотирование в корпоративной сети это маразм

Для тебя и для меня это ясно и понятно, если только инет безлимитный ... начальство почему-то упертое - никакие доводы непринимают за переход на безлимитный инет. Поэтому квотирование трафика нам необходимо ... В довесок хотят внедрять Skype, что опять же повлечет хорошее увелечиние трафика ...

BlackVetal
я очень нечасто видел безлимитный инет в организациях, потому как на нормальной скорости это очень дорого. а бороться с перетрафиком квотированием нельзя, в нормальных конторах применяют запрет отдельных сайтов или всего инета конкретным людям и административные меры за злоупотребление

BlackVetal


Цитата:

я допустим отключил фильтр

И правила сделанные в твоей софтине уже не работают.


Цитата:

то трафик пойдет по разрешающему правилу

по разрешаемому правилу самого ISA Server`а.

Bandwith splitter - отлично работает
я его юзаю для шейпинга трафика, по тому как канал 2 Мегабита, и через него на терминальный сервер ходит куча филиалов, поэтому приходится шейпить чтоб не тормозило.

Считаю минусом что нет встроеных средств шейпинга и квотирования трафика
Мелкософт оставляет поле для зароботка своим партнерам... типа GFI и т.д.

P.S. все таки кроме hardhearted кто нить ответит на мой пост? Кто юзает ISA в виртуальной среде с широким каналом?

HmH
Гостевая виртуальная Windows 2008 R2 + TMG. Кроме TMG ничего более не стоит. Полет нормальный.
В чем вопрос?

TrustyM
Проблема в утечке памяти на хосте
[more=Вот мой пост выше]Проблема в утечки памяти на хосте

Имеем Server 2008 R2 + Hyper-V Host
Guest 1: Server 2003 + ISA 2006 (Крутиться со времен Server 2008, раздает дома инет, тут же крутится utorrent и раздает скачаное)
Сетевка выделенная под внешний интерфейс была RTL8139, попробовал на Dlink PCI-E DGE-560T, та же фигня.
Guest 2: Windows 7 (Свиртуаленый рабочий комп)

Тоесть память утекает со временем и остается Cached Available около 50-60Mb Free 0
Все что делаешь на хосте начинает жутко тормозить, если передернуть любого гостя, достотачно нажать pause и через 5-10 секунд весь съеденный объем возвращается, проходит 30-40 минут и опять остается Cached Available около 50-60Mb Free 0. В Task Manager ни у одного процесса не меняется колонка memory, память уходит как-будто в никуда.

В результате экспериментов стало ясно что всему виной гость 1, мало того если остановить utorrent утечка памяти прекращается и остается без изменений, за 3,5 часа раздало 16Гб среднее количество постоянных соединений 340, за 3 минуты 5000 событий в "Ведение журнала" 99,99% генерирует utorrent, походу съедает память сетевка выделенная под внешний интерфейс. Раньше на Server 2008 проблему не замечал т.к. за хостом не сидел. И щас и раньше тормозов у гостя не было.

Кто крутил в такой конфигурации ISA 2006 ? С такими проблемами сталкивались? [/more]

HmH
По этому вопросу не подскажу....

После некоторых наблюдений стало ясно, что достаточно просто остановить utorrent, и утекшая память восстанавливается
Какой-то чистый бред, ресурсов у гостя полно, еще 1Гб памяти остается. Почему утекает память у хоста?

Добрый день,

Есть MS ISA(192.168.5.0) с двумя IPSec тоннелями. Один упирается в PIX(192.168.1.0), второй в ISA 2004(192.168.3.0).
Обе сети вижу, из подсетки 5.0, но с самой ISA получаю при пинге отлуп
Negotiating Ip Security.
Endpoint на каждом конце туннелей - отдельный интерфейс с реальным IP.

Нагуглил вот такой ман http://www.isaserver.org/tutorials/Troubleshooting-IPSec-Tunnel-Mode-Scenarios.html , но он не помог.

При телнете на удаленный Exchange за PIXом получаю бред вида:

Цитата:

220 **********************************************************0****0***************************200**0******0 *
0*00

За Исой(другой Exch) с телнетом все нормально.
Но при этом - при сбое связи Пиксовый тоннель поднимается, а ISA-вый лежит несколько часов.


P.S. Настраивал по Шиндлеру если что

Ребята, подскажите пожалуйста, мне нужно чтобы ИСА перекидывала юзера, подключающегося по терминалке в локальную сеть на сервер 1с-ки. Как реализовать, или где смотреть. Спасибо.

XANTAN

Опубликуй сервер по RDP и всё. Смотреть Шиндлера.

Привет всем. Может кто подскажет как запретить для клиента ISA все приложения кроме определенных? В настройках Define Firewall Client Settings можно запретить конкретное приложение, а мне надо наооборот запретить все и указать какие разрешить.

anton04 должел ли при этом сервак 1с-ки быть в домене ?

XANTAN


Цитата:

должен ли при этом сервак 1с-ки быть в домене?

Нет не должен.

systech78

Нет, такого сделать нельзя. Т.к. нету смысла, если хочешь чтоб приложения не разрешённые вообще не запускались используй GPO домена (политика ограничения используемых программ).

Добавлено:
anton04 спасибо большое, сделал.
Теперь следующий вопрос - не получается опубликовать веб-экченж, можно в двух словах как это сделать, дальше думаю сам разберусь.

Ксантан, я прошу прощения. вы не могли бы в личку такое спрашивать?
Я понимаю что не сколько грубо. Но я подписался на тему из-за важного для меня вопроса, и каждый раз дергаюсь из-за ответа в нее.
Постучитесь в личку, я помогу с Exch.

BujhmV
шиндер пишет что внешние ипшники тоже надо вписывать в тунелируемые сетки, причем с обоих сторон, правда я не знаю как пикс на такое среагирует. у самого 25 тунелей с пиксами, но моей исе незачем лазить в удаленки, как и пиксам, что вполне правильно, поэтому я и не пытался это реализовать

systech78
нет, иса, как и любой другой межсетевой фаер, в общем случае по определению не может знать какое приложение ломится, то что пишется в fwc это не запрет приложения как такового, это запрет для самого fwc, чтобы он трафик этого приложения не перехватывал. для управления самими приложениями надо ставить по на самого клиента, что то типа персональных фаеров

XANTAN
жмешь в тасках кнопу опубликовать exchange... а дальше и мартышка с этим визардом сделает. а если уж нужна совсем пошаговая инструкция для ламера, то на офсайте ищется за 2 сек
http://technet.microsoft.com/en-us/library/bb794751.aspx

BujhmV
и кому по твоему он личку должен заспамить ламерскими вопросами? он же не знает что ты проводишь личные консультации, объявление что ли повесь "даю бесплатные консультации новичкам, обращатся в личку" )
и это как бы не твоя личная жежешечка, сюда пишут не личные вопросы, а по работе с продуктом, пусть и совсем ламерские, обращаясь ко всем кто может помочь, а то что ты дергаешься это твои проблемы и твоих нервных клеток

BujhmV прошу прощения, если вопрос не уместен или не то чтото спросил. Спасибо за предложенную помощь.
hardhearted спасибо, немножко не то что мне нужно, но всё равно, спасибо, уже сделал всё сам. Только вот проблема была какая, промучался целый день, думаю что столкнуться ещё с ней не раз. Описываю.
Стоит экченж с АД, поверх ИСА, почему так и что желательно чтобы ИСА не стояла вместе с Экченжем это уже вопрос реторический, и к теме не относится.
Опубликовал Экченж с его 25-тым портом, РОР3 не публиковал ибо нету смысла, т.к. в экченже настроен только смтп конектор, который и принемает почту. Нужно было как то в 2006-й исе, сделать, чтобы была возможность зайти на веб-экченж, по сути всё должно было и так работать, без публикации, т.к. без исы всё работало, начел я публиковать веб-экченж, что только не делал, после того как посыпались ошибки плана.

Фильтр веб-прокси не смог связать свой сокет с хх.хх.хх.хх порт 80. Это может быть вызвано другой службой, которая уже использует тот же порт, или сетевой платой, которая не работает. Для устранения неполадки перезапустите службу межсетевого экрана Microsoft. Код ошибки, указанный в области данных свойств события, обозначает причину ошибки.

Начел анализировать, гугл ничего практически не дал, только навёл на мысль что IIS-служба ложит 80-й порт, и получается что когда я пытаюсь опубликовать вэб-экченж иса слушает 80-й порт, который занет службой IIS, взять и выключить её я не могу, т.к. эта служба зависима с Экченжем. Вот и начел копать сначала в IIS, потом в исе, в итоге манипуляции с исой привели к тому что есть доступ на веб-экченж, сервак с мира не пингуется вообще. Почта ходит.

anton04 смысл есть, т.к. нужные приложения лезут за ненадобностью в инет и вносить каждое для всей конторы не совсем гибкое решение
hardhearted меня вполне удовлетворил бы запрет клиента.

Применение GPO и персональных файерволов конечно решает проблему, вопрос в трудоемкости, ведь настраивать нужно для каждого. Запретить все приложения с исключениями гораздо проще. Не понимаю почему так не реализовано, ведь в файерволе правила сделано по тому же принципу : запрещено всё и разрешаешь то что нужно.