Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Microsoft ISA Server 2006/2004/2000 (Часть II)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

emx (10-03-2007 19:04): Следующая часть этой темы - http://forum.ru-board.com/topic.cgi?forum=8&topic=20506#1  Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100

   

emx



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
<<< Предыдущая часть этой темы

  • Microsoft Internet Security & Acceleration Server - сайт производителя

  • - необходимо посетить, начиная работу с ISA Server

  • IsaServer.Ru - форумы, статьи, решения

  • ISA на iXBT - Хобот, наш конкурент

  • Коллекция ссылок на статьи
     

    продолжение шапки..

  • Всего записей: 11826 | Зарегистр. 05-06-2002 | Отправлено: 16:31 28-02-2006 | Исправлено: emx, 21:45 10-03-2007
    Enase



    Junior Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    ISA 2006 Standart
    Прокинул доступ ка контроллер АД по всем портам. Все ходит нормально, но не обновляется время (NT5DS). Win32tm /resync выдает ошибку.
     
    Где провтыкал?

    Всего записей: 52 | Зарегистр. 14-01-2006 | Отправлено: 20:00 24-02-2007
    weerkostya



    Full Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

    Цитата:
    всем портам

    конкретнее пожалуйста

    Всего записей: 406 | Зарегистр. 20-10-2004 | Отправлено: 16:33 25-02-2007
    Infected Switch



    Full Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Ребят, подскажите или киньте ссылок на тему настройки ISA2006 с тремя сетевыми адаптерами: внутренний приватный, внешний приватный и внешний инэт.
    Заранее благодарен!

    Всего записей: 471 | Зарегистр. 25-08-2006 | Отправлено: 19:26 25-02-2007
    Dima RU



    Junior Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    ISA 2004 при установке клиента на некотрых компах переодически вылезает ошибка

    Цитата:
    Тип события:    Ошибка
    Источник события:    Microsoft Firewall Client 2004
    Категория события:    Отсутствует
    Код события:    1
    Дата:        24.02.2007
    Время:        20:04:26
    Пользователь:        Н/Д
    Компьютер:    BSERVER
    Описание:
    Application [svchost.exe]. Authentication failed. The user credentials were not accepted by ISA Server.  Verify that the user account running this application has the required permissions.
     
    Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".
    Данные:
    0000: 05 00 00 00               ....    

     
    как ее побороть, вроде гдето читал что проблема в настройкай клиента на исе, но вот где не нашел???

    Всего записей: 72 | Зарегистр. 16-11-2006 | Отправлено: 19:58 25-02-2007
    INTERESANT

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Господа а ламерских вопросов позадовать позволите??? чур в живот не пинать!
     
    итак всё банально, шлюз: win 2003 EE, 2 сетевые карты (1-LAN, 2-Инет), ISA 06 Std.  
     
    дык вот обязательно ли чтоб у той сетевой, что в инет смотрит реальный ("белый", маршрутизируемый в сети интеренет) IP был?  в смысле зачастую со стороны интернета, после сетевой шлюза - стоит xDSL модем дык вот если он в режиме рутера то реальный ("белый") IP будет ессно модему присвоен - бриджем штоль модем делать???
     
    В общем вопрос такой: можно ли настроить ИСУ если оба интерфейса имеют "фейковые" ("серые", не маршрутизируемые в инет адреса)? к примеру Lan1=192.168.1.1 / Lan2=192.168.2.1
     
    так же меня интересует:
    1 - будет ли после установки ИСЫ возможность (дефолтная) ходить в инет с этого шлюза на который установили ИСУ?  
    2 - Будет ли данный шлюз генерить какой либо трафик вообще? к примеру ходить на  виндовс апдейт?
    3 -  ставите ли Вы уважаемые гуру на шлюз антивирус для файл серверов??? (прошу не путать вопрос с антивирусом для трафа проходящего сквозь ИСУ) при ответе прошу учесть, что за данным сервером никто, никогда работать не будет, файлопомойки устраивать тоже, т.е. он шлюз на все 100% или всёж перестраховаться?

    Всего записей: 1334 | Зарегистр. 17-12-2004 | Отправлено: 23:48 25-02-2007
    Enase



    Junior Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    В общем вопрос такой: можно ли настроить ИСУ если оба интерфейса имеют "фейковые" ("серые", не маршрутизируемые в инет адреса)?
     
    А исе по чем знать шо там у тебя за ипишник? можно конечно...
     
    1
    Нет, пускать будет только тачку с исой и больше никого
    * пускает еще через РДП тачку с которой ставилась через терминалу ИСА при условии что эта тачка находилась во внутренней сети, внешняя сто пудов непускает ничего и никаго кроме системных правил и то зарезаных по максимуму по умолчанию.
     
    2
    точно не скажу.. походу если у тебя запушен на мелкосовт изначально автоапдейт на тачке с исой - то полезит, если отрубишь то нет
     
    3
    он че жрать просит?

    Всего записей: 52 | Зарегистр. 14-01-2006 | Отправлено: 04:24 26-02-2007
    kuah



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    INTERESANT
     
    1. ИСЕ всё равно какой ай-пи белый или серый
    2. будет (см. пункт 1)
    3. а какой смысл ставить на него антивирус не для ИСЫ, если там кроме шлюза ничего не будет?
    GFI WebMonitor тебе в помощь
     
    Добавлено:
    Dima RU
    похоже что дело не в ИСЕ, ищи в АД ошибки

    Всего записей: 260 | Зарегистр. 16-05-2005 | Отправлено: 07:25 26-02-2007
    Dima RU



    Junior Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    kuah
     

    Цитата:
    похоже что дело не в ИСЕ, ищи в АД ошибки

    хоть в каком напровлении капать??

    Всего записей: 72 | Зарегистр. 16-11-2006 | Отправлено: 11:15 26-02-2007
    hardhearted



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    weerkostya
    их писал не я, наш программер, одних страничек тебе будет мало, для быстрой генерации отчетов у нас в базе отдельная табличка в которую складывается уже как надо просуммированная инфа, и отчеты генерятся из нее, иначе из базы в несколько десятков гиг долго будет. потом сама база у нас изменена по сравнению с тем что делает иса, для экономии места, некоторые поля урезаны(например у меня никогда в офисе не будет username в 514 символов )) , некоторые убраны, все поля проходят через rtrim (иса добивает свои записи пробелами на всю длину поля, с такими полями как uri в 2048 символов это много), потом все поля конвертированы из nvarchar в varchar, в итоге база уменьшается в разы. но если надо то сами asp-шки могу кинуть, скажи тока куда )
     
    Добавлено:
    Infected Switch
    а в чем проблема то?
    Enase
    по умолчанию иса сама себя никуда не пускает, кроме некоторых протоколов, например пинг, трафик к контроллерам если комп с исой был в домене, днс запросы исходящие.

    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 13:58 26-02-2007
    simapupkin

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Доброго все времени суток.
    Может сталкивался кто - Аудентификация Linux в ISA 2000?
    Сервер windiws 2003 SP1, ISA 2000 SP2 proxy + firewall. Две сетевухи. Внешняя (wan) с реальным IP.
     
    В локальной сети имеем Linux сервер котрому необходимо ходить в инет, по портам TCP:210, 7090, 9969 и так далее.  
    В святи с тем, что Linux сервер  обслуживается как климент SecureNAT, невозможно включить аудентификацию в isa 2000 (возможно, но его запросы будут отбрасываться).
     
    Возможно ли  Linux серверу дать права клиентов бреднмауера  либо веб прокси? Либо перенапровлять его запросы с внутреннего интерфейса в инет по известным 10 адресам(addres.com:210)?
    Заранее благодарю за ответ.  

    Всего записей: 41 | Зарегистр. 28-04-2005 | Отправлено: 14:09 26-02-2007
    hardhearted



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    simapupkin
    порты эти как я понимаю не web, поэтому как web proxy отпадает, fwc конечно же тоже, для никсов никто fwc не выпускал )
    а зачем его аутенфицировать, раз он сервак пусть ходит анонимно, у меня и виндовые серваки анонимно ходят.

    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 14:23 26-02-2007
    INTERESANT

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Enase

    Цитата:
    А исе по чем знать шо там у тебя за ипишник? можно конечно...

    ну как почём? элементарно ведь реализовать - вот и интересуюсь! сталкивался как то.... не конфигурировалось ровно если оба фейса фейковые были... вот и готовлюсь... так ли оно в иса или нет.
     

    Цитата:
    3  он че жрать просит?

    ну на гавёных машинах (ды и не только) просит - и даже очень... + лишняя позиция в смете в итоге... рано или поздно всё равно предпочитаю чтобы куплено было... ибо ценю своё время а гоняться за кряками и кейгенами, бороться с "забанами" тех же антивирей и т.п. это _геморой_ причем который явно отражается на мне! - а точнее не моем времени! тем более если организация может позволить себе с лёгкостью купить... но зачем заставлять покупать всё подряд включая то что не нужно?
     
    kuah

    Цитата:
    3. а какой смысл ставить на него антивирус не для ИСЫ, если там кроме шлюза ничего не будет?

    ну вот и я так же думаю... хотя если будет нетбивис в сети - всё равно при эпидемии (тфу*3) пакость пролезет по идее... но это опять же грамотные рулесы...
     

    Цитата:
    GFI WebMonitor тебе в помощь

    дык чем оно мне поможет то? только пользовательский ftp, http траф мониторить? меня интересует ЛЮБОЙ траф геренируемый САМИМ шлюзом с исой. т.е. поставил, настроил и со следующего месяца с провом чтоб байт в байт сходилось...
     
    hardhearted

    Цитата:
    Enase  
    по умолчанию иса сама себя никуда не пускает, кроме некоторых протоколов, например пинг, трафик к контроллерам если комп с исой был в домене, днс запросы исходящие.

    Да да именно про это и читал (что по дефолту нет даже с самой исы http доступа в инет) вот и решил поинтересоваться верно ли понял... выходит верно а Enase дезу гонит получается?
     
    hardhearted
    а что еще поразумеваеш под "некоторыми протоколами?" в общем у меня стоит задача - заткнуть шлюз чтоб САМ ШЛЮЗ не генерил не какого ВНЕШНЕГО трафика! ибо хочется порядку и контроля.

    Всего записей: 1334 | Зарегистр. 17-12-2004 | Отправлено: 15:17 26-02-2007
    simapupkin

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    simapupkin  
    порты эти как я понимаю не web, поэтому как web proxy отпадает, fwc конечно же тоже, для никсов никто fwc не выпускал )  
    а зачем его аутенфицировать, раз он сервак

     
    А аудентификацию исходящих запросов ты включал?
    Если у тебя серваки ходят в инет как SecureNAT, какой толк от исы. Тогда и юзверя куда хотят туда и ходят. Не так ли?
     Настроил бы NAT и вперед.
     
     

    Всего записей: 41 | Зарегистр. 28-04-2005 | Отправлено: 15:18 26-02-2007
    hardhearted



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    simapupkin
    идешь на офсайт и читаешь что такое иса и для чего она, она в первую очередь файрвол и прокси, securenat = обычный nat просто назван так.
    и давай не будем путать юзеров и серваки, на серваках юзера не сидят, и если мне надо чтоб мой контроллер домена мог резолвить имена через внешний днс, или время синхронизировать то я его выпущу по нужным протоколам анонимно, не вижу смысла его по юзеру аутенфицировать, к тому же большинство сервисов работает под системным юзером.
    а простые смертные юзверя аутенфицируются как положено и через прокси и, если надо не веб протоколы, через fwc
     
    Добавлено:
    INTERESANT

    Цитата:
    а что еще поразумеваеш под "некоторыми протоколами?" в общем у меня стоит задача - заткнуть шлюз чтоб САМ ШЛЮЗ не генерил не какого ВНЕШНЕГО трафика! ибо хочется порядку и контроля.

    иса всегда будет трафик генерить, так должно быть это есть "порядок и контроль" )
    а посмотреть можешь в свежеустановленной исе какие протоколы и куда октрыты в system policy
    web трафик по умолчанию закрыт, если ты конечно не включишь redirect ssl requests as ssl requests на вкладке bridging в парвиле web chaining (в этом случае тебе сразу предлагают включить системно правило позволяющее исе запрашивать сертификаты)
    если настроишь впн то иса опять же будет генерить трафик, хоть и небольшой
    еще обычно пинги и днс разрешены с исы во все сети

    ----------
    Правильно заданный вопрос уже половина ответа.

    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 17:21 26-02-2007
    simapupkin

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    simapupkin  
    идешь на офсайт и читаешь что такое иса и для чего она, она в первую очередь файрвол и прокси, securenat = обычный nat просто назван так.  
    и давай не будем путать юзеров и серваки, на серваках юзера не сидят, и если мне надо чтоб мой контроллер домена мог резолвить имена через внешний днс, или время синхронизировать то я его выпущу по нужным протоколам анонимно, не вижу смысла его по юзеру аутенфицировать, к тому же большинство сервисов работает под системным юзером.  
    а простые смертные ю

    ок.  
    Подскажи как анонимно выпустить linux в инет ( best.com:210), если включена аудентификация и isa 2000 отбрасывает все пакеты кроме веб прокси и клиентов брендмауера.

    Всего записей: 41 | Зарегистр. 28-04-2005 | Отправлено: 18:08 26-02-2007
    hardhearted



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    simapupkin
    с 2000 не работал, а в 2004/2006 я бы просто создал определил computer set (или computer) куда включил бы ип этого сервака, определил бы второй computer set (или domain name set зависит от задачи) с нужными внешними адресами, определил бы протокол с портом 210 и создал бы правило Allow созданный протокол From созданный computer set To созданный computer set (внешние адреса) For all users
    то есть анонимное правило пропускающее только один сервак на заданные внешние адреса только по одному протоколу.

    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 18:34 26-02-2007
    simapupkin

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    simapupkin  
    с 2000 не работал, а в 2004/2006 я бы просто создал определил computer set (или computer) куда включил бы ип этого сервака, определил бы второй computer set (или domain name set зависит от задачи) с нужными внешними адресами, определил бы протокол с портом 210 и создал бы правило Allow созданный протокол From созданный computer set To созданный computer set (внешние адреса) For all users  
    то есть анонимное правило пропускающее только оди

     
    Вот спасибо добрый человек!  
    Сделал в Protocol Rules правило для набора протоколов указаных в Protokol Difinitions, дло определенного IP и все поехало!

    P.S. Не верь тому, что пишет милкософт.  

    Всего записей: 41 | Зарегистр. 28-04-2005 | Отправлено: 10:00 27-02-2007
    vicwanderer

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Пока сижу читаю книгу по ИСА и разные статьи(изучаю азы так сказать) возник вопрос.
    Мне надо соединить по ВПН два офиса. Везде описывается соеденение двух Доменных сетей(насколько я понял).
    Будет ли разница в настройке ВПН через ИСА если у меня следующая конфигурация сетей?
    ГлОфис: доменая сеть+ISA 2006 Standart Rus
    ДопОфис: рабочая группа+ISA 2004 Standart Eng (Всего три компьютера в ДопОфисе )
     
    Или сделать ISA 2006 Standart ENG и ISA 2004 Standart ENG?

    Всего записей: 545 | Зарегистр. 25-12-2005 | Отправлено: 10:19 27-02-2007
    hardhearted



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    simapupkin
    офтоп. да я уж лучше поверю тому что написано на офсайте чем тому бреду что тут иногда пишут )
    vicwanderer
    никаких проблем не вижу, ису можно соединить даже с роутерами производства других контор.

    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 11:26 27-02-2007
    kuah



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vicwanderer
    разницы нет, просто в 2004 нет визарда, придётся ручками

    Всего записей: 260 | Зарегистр. 16-05-2005 | Отправлено: 12:39 27-02-2007
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Microsoft ISA Server 2006/2004/2000 (Часть II)
    emx (10-03-2007 19:04): Следующая часть этой темы - http://forum.ru-board.com/topic.cgi?forum=8&topic=20506#1


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru