» Microsoft ISA Server 2006/2004/2000 & TMG/UAG (Часть 4)

Люди добрые (ну и злые тоже) возможно-ли с помощью ISA2006 или TMG замутить одновременно NLB по внутренней и внешней сетям + мультиван (ака 2 провайдера) к этому кластеру, что-то типа этого: v1
21kib

Road Runner J
по внутренней сети нужна редакция энтерпрайс, (свич между двумя isa лишний) по внешней вместо свича подключенного к провайдерам - маршрутизатор

Люди, может, кто подсказать, куда копать, уже голову сломал.
Стоит ИСА 2006 СП1 на 2003 СП2 Стандарт с автообновлением. Стояла себе года три, работала нормально, а тут уже пару месяцев теряет сеть. Причем, теряет хитро.

Пропадает интернет у клиентов и локалхоста с исой. Нет пингов наружу и внутрь. Тут же на этом свитче еще одна машина - пингует локалку без проблем. Если на исе до пропажи коннекта были запущены пинги хоть куда - они продолжают идти. В момент потери коннекта ИСА продолжает отдаваться по радмину и РДП. Мало того, почтовик из локалки продолжает спокойно принимать-отправлять почту наружу. Если кто-то в этот момент качал что-то большое - закачка продолжается. Такое ощущение, что проблема только в новых исходящих коннектах. Такое продолжается минуту-две-три, потом пинги восстанавливаются сами собой. Обычно я для проверки запускаю пинги внутрь на контроллер домена и наружу на шлюз провайдера - нету-нету, оп, пошли. Когда такое происходит, то по нетбиосу ни на ИСА, ни с нее тоже ничего не открывается.

В алертах - ничего подозрительного, ну обычные мессаги, что логи почистились, в основном. Но конкретно ко времени появления проблемы ни одного не привязывается. По периоду появления проблемы тоже непонятно - может в течение дня ни разу не быть, может за час пять-шесть раз. В конфигурации ничего не менялось, ничего дополнительного к ИСЕ тоже не ставилось. Думали, что может быть какой заразный хост атакует шлюз по умолчанию - вроде нет, мониторили весь локальный трафик до ИСА. Да и в логах бы это было...

ЗЫ. В гугле не забанили, но по-разному пробовал искать - ничего похожего не могу найти...

ЗЗЫ. Сеть самая простая - чуть больше полусотни хостов, пара контроллеров домена, почтовик...

Цитата:

В алертах - ничего подозрительного, ну обычные мессаги, что логи почистились, в основном.

а EventID 4226 точно нету

Valery12

Цитата:

по внутренней сети нужна редакция энтерпрайс, (свич между двумя isa лишний) по внешней вместо свича подключенного к провайдерам - маршрутизатор

тогда едем дальше, посмотрим на модифицированную схему v2:


ну и сразу глупый вопрос по неопытности:
синим надо пологать будет кроссовер?
функция мультиван плавно переходик к маршрутизатору?

Valery12

Цитата:

а EventID 4226 точно нету

Точно нету. В ивентлогах ошибок вообще нет. Да и 4226 - это к ХР скорее относится, чем к 2003...

Цитата:

синим надо пологать будет кроссовер?

синий не нужен, достаточно два интерфейса внутренний и внешний, они и так для клиентов будут представляться как единый массив

Цитата:

функция мультиван плавно переходик к маршрутизатору?

да ISA всетаки фаервол и прокси а это задача для маршрутизатора, хотя есть по моему какая то примочка к ISA которая позволяет работать с несколькими шлюзами, но это все таки костыль

Добавлено:

Цитата:

Точно нету. В ивентлогах ошибок вообще нет. Да и 4226 - это к ХР скорее относится, чем к 2003

просто подумалось, старые соединения работают а новые не создаются, кстати у 2003 начиная с 1 сервис пака тоже есть ограничение на полуоткрытые соединения

Цитата:

кстати у 2003 начиная с 1 сервис пака тоже есть ограничение на полуоткрытые соединения

Интереса ради качнул самый свежий патчер на эту тему - на двух разных 2003 СП2 (просто стандарт и стандарт Р2) он сказал, что не поддерживает данную версию tcpip.sys. Интересно, что дата на файлах одинаковая, а сами файлы разные. Я очканул и отправил оба файла на вирустотал, тот сказал, что уже были на анализе такие, и ни один из 41 антивиря ничего в них подозрительного не нашел.

Ладно, будем дальше искать...

Цитата:

Интереса ради качнул самый свежий патчер

да не надо патчить, просто запустить системный монитор и посмотреть счетчики, что там в этот момент происходит.

Tuesdayman
У меня что то нечета подобное творится с исой, проблему пока не решил. Это уже настолько надоело( сейчас перехожу на ТМГ

Товарищи, если в головном офисе используется ISA Enterprise, то как правильно прицепить филиальную ISA Enterprise к головной в заранее настроенный массив, в локальной сети это элементарно, а вот как это в пределах конторы с географическим распределением филиалов? Как на один CSS все ISA серверы повесить? Или это бред с которым вообще не стоит связываться и лучше слепить бутер с отдельными ISA серверами в каждом филиале?

работало все работало...спокойно подключал компьютеры в домен...Тут на выходных на сервере запустил VPN сервер. А сегодня не смог добавить очередной компьютер в домен.

помогло в ISA 2004:
1. Выбираете FW Policy
2. Show system policy Rules
3. Allow RPC form ISA server trusted server
4. Properties потом вкладка protocol там вибираете RPC (all interface) потом Edit потом переходите на вкладку parametrs и снимаете флаг RPC filter...

и компьютер добавился.

Вопрос: почему раньше работало и что случилось?

Road Runner J
Ну, ты и имеешь в виду сделать site to site к головной исе?

Цитата:

Ну, ты и имеешь в виду сделать site to site к головной исе?

Ну без этого точно не обойтись, но вообще то я имею ввиду как все ISA на предприятии в том числе и те что в филиалах прицепить к одному CSS который в голове? Для каждого филиалла отдельный массив. Как следствие рулить всеми ISA через одну консоль, а не через 20 + активно юзать Enterprise Policy Rules.

Вот нарыл: Ссылка + Ссылка

имеется win2k server, ISA Server 2000, так же имеются умолчательные фильтры:

ICMP outbound Allow INET ICMP all outbound ICMP Outbound All types All Codes Default external IP address Any
ICMP ping response (in) Allow INET ICMP ping response ICMP Inbound 0 0 Default external IP address Any
ICMP source quench Allow INET ICMP source quench ICMP Inbound 4 0 Default external IP address Any
ICMP timeout in Allow INET ICMP timeout ICMP Inbound 11 All Codes Default external IP address Any
ICMP unreachable in Allow INET ICMP unreachable ICMP Inbound 3 All Codes Default external IP address Any


Но сервер упорно извне не пингуется. Если изменить фильтр ICMP ping response (in) на:
ICMP ping response (in) Allow INET ICMP ping response ICMP Inbound All Types All Codes Default external IP address Any

то все замечательно. Но разрешать все - не дело. Кто может подсказать?

Доброго времени суток!
Проблема такая: открылась контора, купили железки и софт, и купили TMG 2010. Устанавливаю, за TMG стоит роутер, после установки роутер пингуеться минут 5-10, а потом начинаются потери больше 50% и сервак притормаживает. Хотя в диспечере задач процессор не загружен и оперативки используеться всего 1,5Гб
Проц: Intel Xeon E5504
ОЗУ: 4Гб
ОС: 2008 Server R2

wise3do
я иса2к слава богу почти не видел, но если я правильно понял написанное то тебе надо разрешить не респонс ин а реквест ин

Добавлено:
Vados1987
алерты что нить пишут? логи? что за роутер?

hardhearted
реквест ин там не существует

Народ проблема в TMG 2010 не хочет создавать отчет ежеждневный?

Описание: Ежедневная сводка за день "04/30/2010" не создана. Это может привести к тому, что отчет за данный период будет неправильным. Убедитесь, что отсутствуют оповещения прежней конфигурации отчетности, службы отчетов на указанном сервере отчетов Forefront TMG включены и доступны всем элементам массива. Используйте исходный источник 1001.105.7.0.7734.100 для сообщения об ошибке.

Сбой произошел из-за ошибки: 0x80040e57

hardhearted
Логи чистые, роутер Cisco 851-K9, роутер проверял работает исправно.

сообщество, подскажите:
публикуется mms сервер в локальной сети для внешних пользователей.
заходят на страницу, жмут проиграть - черный экран.
в логе:
Firewall-06.05.2010 18:25:25 *внешн.адрес isa* 554 RTSP Failed Connection Attempt    Rule1 112.65.54.10     External    Local Host
Firewall-06.05.2010 18:25:27 192.168.10.20 1755 MMS Server Failed Connection Attempt Rule2 112.65.54.10 External Internal

bahtey
Rule1 и Rule2 в студию

Vados1987
уже перелопатил их...
примерно так:
External to Local Host разрешены HTTP,RTSP с вкл. соответсвующими фильтрами.
+
сама публикация MMS Server External to адрес сервера в сети

теперь логи:
Failed Connection Attempt SR-GATE 07.05.2010 12:46:45
Log type: Web Proxy (Forward)
Status: 10061 No connection could be made because the target machine actively refused it.
Rule: 1
Source: External (***:39224)
Destination: Local Host (****:80)
Request: GET http://****/wcam

Initiated Connection SR-GATE 07.05.2010 12:47:47
Log type: Firewall service
Status: The operation completed successfully.
Rule: 1
Source: External (***:39515)
Destination: Local Host (****:554)
Protocol: RTSP

Closed Connection SR-GATE 07.05.2010 12:47:47
Log type: Firewall service
Status: A connection was abortively closed after one of the peers sent an RST packet.
Rule: 1
Source: External (***:39515)
Destination: Local Host (****:554)
Protocol: RTSP

bahtey
я кажется на другом форуме это видел
а на локалхост то зачем?

Приветствую ,

Есть иса сервер все настроено все работает ... в Твери поставили сервер видеонаблюдение с программой millestone X prodject , дык вот когда в помощью клиента этой программы

пытаюсь посмотреть видео , то видео поток не идет в пишет конннект потерян- реконнект и так постоянно , убираешь ису все нормально , видео показывает ...

сделал правило открыл все порты разрешил любой трафик из внут во внеш и обратно , не помогает

в логах пишет


0.0.0.0 No Proxy ISA TCP - - - Req ID: 0830b0f8 - - - 07.05.2010 9:27:42 0 0 2186 404 13 0x0 0x0 Web Proxy Filter 07.05.2010 13:27:42 109.xxx.xx.1 80 Failed Connection Attempt 192.168.0.55 anonymous Internal
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:42 3008 0 0 2186 0x80074e24 FWX_E_CONNECTION_KILLED 0x0 0x0 Firewall - 07.05.2010 13:27:42 109.xxx.xx.1 80 HTTP Closed Connection video 192.168.0.55 Internal External - -
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:43 3010 0 0 0 0x0 ERROR_SUCCESS 0x0 0x0 Firewall - 07.05.2010 13:27:43 109.xxx.25.1 80 HTTP Initiated Connection video 192.168.0.55 Internal External - -
0.0.0.0 No Proxy ISA TCP - - - Req ID: 0830b0fa - - - 07.05.2010 9:27:43 0 0 2186 404 13 0x0 0x0 Web Proxy Filter 07.05.2010 13:27:43 109.xxx.xx.1 80 Failed Connection Attempt 192.168.0.55 anonymous Internal
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:43 3010 0 0 2186 0x80074e24 FWX_E_CONNECTION_KILLED 0x0 0x0 Firewall - 07.05.2010 13:27:43 109.xxx.25.1 80 HTTP Closed Connection video 192.168.0.55 Internal External - -
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:43 3012 0 0 0 0x0 ERROR_SUCCESS 0x0 0x0 Firewall - 07.05.2010 13:27:43 109.xxx.25.1 80 HTTP Initiated Connection video 192.168.0.55 Internal External - -
0.0.0.0 No Proxy ISA TCP - - - Req ID: 0830b0fc - - - 07.05.2010 9:27:43 0 0 2186 404 13 0x0 0x0 Web Proxy Filter 07.05.2010 13:27:43 109.xxx.25.1 80 Failed Connection Attempt 192.168.0.55 anonymous Internal
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:43 3012 0 0 2186 0x80074e24 FWX_E_CONNECTION_KILLED 0x0 0x0 Firewall - 07.05.2010 13:27:43 109.xxx.25.1 80 HTTP Closed Connection video 192.168.0.55 Internal External - -
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:47 3014 0 0 0 0x0 ERROR_SUCCESS 0x0 0x0 Firewall - 07.05.2010 13:27:47 109. xxx.25.1 80 HTTP Initiated Connection video 192.168.0.55 Internal External - -
0.0.0.0 No Proxy ISA TCP - - - Req ID: 0830b0fe - - - 07.05.2010 9:27:47 0 0 2186 404 13 0x0 0x0 Web Proxy Filter 07.05.2010 13:27:47 109.xxx.25.1 80 Failed Connection Attempt 192.168.0.55 anonymous Internal
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:47 3014 0 0 2186 0x80074e24 FWX_E_CONNECTION_KILLED 0x0 0x0 Firewall - 07.05.2010 13:27:47 109.xxx.25.1 80 HTTP Closed Connection video 192.168.0.55 Internal External - -
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:48 3016 0 0 0 0x0 ERROR_SUCCESS 0x0 0x0 Firewall - 07.05.2010 13:27:48 109.xxx.25.1 80 HTTP Initiated Connection video 192.168.0.55 Internal External - -
0.0.0.0 No Proxy ISA TCP - - - Req ID: 0830b100 - - - 07.05.2010 9:27:48 0 0 2186 404 13 0x0 0x0 Web Proxy Filter 07.05.2010 13:27:48 109.xxx.25.1 80 Failed Connection Attempt 192.168.0.55 anonymous Internal
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:48 3016 0 0 2186 0x80074e24 FWX_E_CONNECTION_KILLED 0x0 0x0 Firewall - 07.05.2010 13:27:48 109.xxx.25.1 80 HTTP Closed Connection video 192.168.0.55 Internal External - -
192.168.0.55 ISA - TCP - - 07.05.2010 9:27:50 3018 0 0 0 0x0 ERROR_SUCCESS 0x0 0x0 Firewall - 07.05.2010 13:27:50 109.xxx.25.1 80 HTTP Initiated Connection video 192.168.0.55 Internal External

109.xxx.xx.1 - это сервер видео наблюдения

такое чувство он трафик не понимает и рубит его

Добрый день. У меня TMG 2010 STD
Прочитал статью http://support.microsoft.com/kb/921471/, в ней написано -
Цитата:

добавьте URL-адреса списков отзыва сертификатов (CRL) в список исключений проверки подлинности. Для этого включите следующие списки CRL в перечень не подлежащих проверке подлинности при использовании прокси-сервера

Вот ни как не могу найти, гда в настройках TMG эти списки исключений. Может кто подскажет??

tip22

Аутентификация есть? FWC стоит?

добрый день,

поставил isa tools от red line в т.ч. MDF Viewer.
можно ли как-то результат из viewer-а сохранить куда-нить, в эксель нипример?

Помогите разобраться с трафиком. У меня регулярно происходит превышение трафика и 100% загрузка канала не запрашиваемыми пакетами. В логах исы записи такие

Цитата:

Closed Connection
ISABGP 12.05.2010 19:49:26
Log type: Firewall service
Status:
Rule: -
Source: Local Host (x.x.x.x:40011)
Destination: External (92.123.155.141:80)
Protocol: HTTP
User: -
Additional information
Number of bytes sent: 507457 Number of bytes received: 29611164
Processing time: 0 ms Original Client IP: x.x.x.x
Client agent: -

Цитата:

Closed Connection
ISABGP 12.05.2010 19:45:10
Log type: Firewall service
Status:
Rule: -
Source: Local Host (x.x.x.x:39770)
Destination: External (a92-123-155-132.deploy.akamaitechnologies.com 92.123.155.132:80)
Protocol: HTTP
User: -
Additional information
Number of bytes sent: 482833 Number of bytes received: 28380984
Processing time: 0 ms Original Client IP: x.x.x.x
Client agent: -

Не понятно с чего вдруг скачалось 29 метров с IP 92.123.155.141 который принадлежит Akamai Technologies. И таких записей несколько сотен. Никакое правило при этом не задействовано. Что это такое? Атака?

artemk

isa tools от red line никакого отношения к исе не имеет это сторонний продукт.

JekaRus


Цитата:

Не понятно с чего вдруг скачалось 29 метров с IP 92.123.155.141 который принадлежит Akamai Technologies. И таких записей несколько сотен. Никакое правило при этом не задействовано.

Если бы никакое правило было бы не задействовано, то и трафика не было бы! А у Вас идёт запрос с локал хоста, т.е. с самого иса сервера к этому ресурсу. Регулирование правил относящихся к локалхосту осуществляется в системной политике иса сервера. См. там соответствующие правила.

P.S. Антивирус на исе стоит? Какой ещё сторонний софт прикручен к исе?