Microsoft ISA Server 2006/2004/2000 & TMG/UAG (Часть 4) - [83] :: В помощь системному администратору :: Компьютерный форум Ru.Board

Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?

Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Microsoft ISA Server 2006/2004/2000 & TMG/UAG (Часть 4)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146

Открыть новую тему

Написать ответ в эту тему

emx

Moderator

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Предыдущие части этой темы: 1 + 2 + 3

Microsoft Internet Security & Acceleration Server - сайт производителя

- необходимо посетить, начиная работу с ISA Server

IsaDocs.Ru - переведенные статьи с

IsaServer.Ru - форумы, статьи, решения

ISA на iXBT - Хобот, наш конкурент

Коллекция ссылок на статьи

Варез Miсrosoft Forefront TMG (ISA)

Назначение и применение сабжа..
Продолжение шапки..

НАСТОЯТЕЛЬНАЯ ПРОСЬБА

ВСЕМ КТО ПОСТИТ В ЭТОМ ТОПИКЕ - ЕСЛИ ВЫ РЕШИЛИ ПРОБЛЕМУ САМИ ИЛИ С ПОМОЩЬЮ, УБЕДИТЕЛЬНО ПРОСИМ ВАС ПОДЕЛИТСЯ РЕШЕНИЕМ ВАШЕЙ ПРОБЛЕМЫ - ЖЕЛАТЕЛЬНО РАЗВЁРНУТО И С ОБЬЯСНЕНИЯМИ, В ДАЛЬНЕЙШЕМ ЭТО ПОМОЖЕТ ДРУГИМ ЛЮДЯМ, СТОЛКНУВШИМСЯ С ТЕМИ ЖЕ ПРОБЛЕМАМИ.

// текущий бэкап шапки..

Всего записей: 11826 | Зарегистр. 05-06-2002 | Отправлено: 10:54 13-07-2008 | Исправлено: Paromshick, 11:25 30-01-2016

davinchi9 Advanced Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору contrafack кто-ж тебе выложит скрин со своими реальными правилами...
	Всего записей: 630 \| Зарегистр. 27-02-2007 \| Отправлено: 13:23 11-06-2010

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

hardhearted

Цитата:

шлюз должен быть один и точка.

у меня на сервере тоже две сетевые, на каждой белый IP и соответственно два шлюза, только метрики разные.
Одна сетевая сразу смотрин в инет, вторая через корп сеть и дальше gw на юниксе.
И все прекрасно работает.

SeT
думаю что это все таки не глюк от ИСЫ (хотя у меня инет для самой корп сети идет через уст. на сервере прокси TI, а прокся сама выбирает куда трафик посылать)

Всего записей: 329 | Зарегистр. 20-12-2005 | Отправлено: 13:49 11-06-2010

hardhearted Advanced Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору contrafack форумы погляди, люди ищущие решение своих проблем часто выкладывают скрин правил
	Всего записей: 1272 \| Зарегистр. 23-10-2004 \| Отправлено: 14:28 11-06-2010

laycman

Junior Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Доброго времени суток,
Есть такая задача:
Есть подсеть с доменом (192.168.2.0) там же стоит прокси сервер MS ISA, внешний интерфейс (192.168.1.2) подключен к роутеру к этому же роутеру подключен другой сервак (192.168.1.3) он не в домене, нужно чтобы из подсети 2.0 у некоторых компов был выход на на расшаренный каталог сервака (192.168.1.3). На Исе создал правило где во from указал компы которые будут ходить на этот сервак а в to указал этот сервак и указал весь исходящий траффик, в юзерах если указываю все, то пускает если выбираю конкретных то никого не пускает. И еще как сделать чтобы для получения доступа к каталогу он просил авторизации?

Всего записей: 33 | Зарегистр. 28-05-2010 | Отправлено: 14:38 11-06-2010

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

про остальное не скажу, а вот про:

Цитата:

как сделать чтобы для получения доступа к каталогу он просил авторизации?

это надо чтоб на серваке (1.3) были созданы пользователи и на них выданы права к папке и они же указаны в правах для шары.
Но учти, если логины и пароли совпадут с доменными - то запрос авторизации будет пропущен.
Если папка разшарена для гостя - то все могут открывать (при учете что и гостевой акк тоже разблочен) эту папку.

Всего записей: 329 | Зарегистр. 20-12-2005 | Отправлено: 16:27 11-06-2010

Jankas

Junior Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Ребята прошу помощи
все выходные просидел
Есть адсл модем где поднят рррое с адресом 192.168.1.1
есть сервер где кроме исы ничего нет, лан1 смотрит в роутер с адресом 192.168.1.100
и лан2 смотрит в сеть с адресом 192.168.0.1
есть правило Allow -all outboand traffic- internal, localhost- external, all networks (local host)
так вот клиенты пингуют сайты, а броузерах не выходят, и там всякие аськи, агенты, скайпы тоже пашут
в чем причина немогу уже
иса 2006 интерпразес
сервер 2003
подскажите

Всего записей: 112 | Зарегистр. 14-12-2004 | Отправлено: 16:26 13-06-2010

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Jankas
а в настройках браузера у клиентов никаких настроек про прокси нет?
попробуй поснимать все галочки про авто-настройки прокси.
и проверь как работает команда
telnet http://<site> 80

Всего записей: 329 | Зарегистр. 20-12-2005 | Отправлено: 00:10 15-06-2010

HomeWell Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору простите, опечататался, команда должна выглядеть вот так telnet <adress_site> 80 (пример: telnet mail.ru 80)
	Всего записей: 329 \| Зарегистр. 20-12-2005 \| Отправлено: 08:57 15-06-2010 \| Исправлено: HomeWell, 08:57 15-06-2010

hardhearted Advanced Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору laycman ну если не пускает конкретных то проблема в аутенфикации, ты fwc на компы ставил?
	Всего записей: 1272 \| Зарегистр. 23-10-2004 \| Отправлено: 10:49 15-06-2010

Valery12

Silver Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:

у меня на сервере тоже две сетевые, на каждой белый IP и соответственно два шлюза, только метрики разные.
Одна сетевая сразу смотрин в инет, вторая через корп сеть и дальше gw на юниксе.
И все прекрасно работает.

очень сомневаюсь, ни виндовс ни юникс не перебирают шлюзы с разными метриками пока не найдут путь для своего пакета в нужную сеть - они используют шлюз с меньшей метрикой до тех пор пока он не умрет и только после этого переходят на следующий. Поэтому без статических маршрутов будет недоступна либо корпоративная сеть либо инет

Всего записей: 2325 | Зарегистр. 21-07-2003 | Отправлено: 10:52 15-06-2010

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:

очень сомневаюсь, ни виндовс ни юникс не перебирают шлюзы с разными метриками пока не найдут путь для своего пакета в нужную сеть - они используют шлюз с меньшей метрикой до тех пор пока он не умрет и только после этого переходят на следующий

вот только перепроверил трасировку на локальный IP (с неосновным шлюзом и выше метрикой) с внешнего мира - пакеты бегают как я и планировал.

Всего записей: 329 | Зарегистр. 20-12-2005 | Отправлено: 11:49 15-06-2010

Valery12

Silver Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:

вот только перепроверил трасировку на локальный IP (с неосновным шлюзом и выше метрикой)

если этот локальный IP в одной сети с интерфейсом вашей исы то это так так называемая connected сеть - маршрут к такой сети добавляется автоматически в любом сетевом устройстве с метрикой 0, а шлюз здесь не при делах

Всего записей: 2325 | Зарегистр. 21-07-2003 | Отправлено: 12:10 15-06-2010

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Valery12

Цитата:

если этот локальный IP в одной сети с интерфейсом вашей исы то это так так называемая connected сеть

конфиг сети я описал выше

Цитата:

автоматически в любом сетевом устройстве с метрикой 0

две метрики: 20 и 25
две сети, и два провайдера
при обращении с внешнего мира по одному из IP - пакеты возвращаются по тому же маршруту как и пришли.
Я думаю что не стоит тут сейчас спорит что работает, а что нет. Что может быть, а что не может.

При такой конфигурации, если пинговать с сервера во внешку, то естественно пойдет по маршруту с меньшей метрикой. Но как выше писал, у меня ТИ сам направляет по правилам по нужному маршруту.

Всего записей: 329 | Зарегистр. 20-12-2005 | Отправлено: 12:18 15-06-2010

Valery12

Silver Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:

у меня ТИ сам направляет по правилам по нужному маршруту

ну а чего тогда тень на плетень наводите, я говорю о принципах маршрутизации в интернете и об ISA сервере, который этого не умеет

Всего записей: 2325 | Зарегистр. 21-07-2003 | Отправлено: 13:11 15-06-2010

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Valery12
вообще-то, я об этом сразу сообщил.
и пост относился именно к "шлюз может быть только один"
ТИ рулит только запросами от пользователей, направляя в нужное русло, а не всем трафиком на сервере.

Всего записей: 329 | Зарегистр. 20-12-2005 | Отправлено: 14:00 15-06-2010

Valery12

Silver Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:

хотя у меня инет для самой корп сети идет через уст. на сервере прокси TI

пардон, не увидел, но это ключевой момент - ИСА маршрутизацией не занимается, эту работу выполняет операционная система windows, которая на такие финты не способна, а TI или winroute просто расширяют возможности маршрутизации (как и route-map в юниксе и в cisco), но опять же не за счет метрик, а за счет анализа источника и назначения пакета и использования нескольких таблиц маршрутов в каждой из которых дефолтный шлюз работает все равно один.

Всего записей: 2325 | Зарегистр. 21-07-2003 | Отправлено: 14:32 15-06-2010

zubastiy

Full Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Коллеги, вопрос по ISA2006EE

Нужно ограничить диапазон IP с которых можно устанавливать VPN соединения снаружи

Не долго думая поднял виртуалку, впн клиент в той же подсети что и wan isa.

На isa залез в управление сетями, создал сеть с указанным диапазоном IP
В настройках VPN доступа на закладке NETWORK снял галочку с сети External и поставил галочку на созданную сеть.

Тестирую. Впн не поднимается, иса дропает пакеты как спуфед.
Возвращаю все обратно, принимать от всех ip - впн не работает )

Удаляю созданную сеть, ребутаю, впн работает.

Снова создаю сеть, бла бла, не работает. В надежде на чудо ребутаю сервер - не работает.

Вот такая шайтан машина.

Я выбрал не верный путь решения проблемы? Подскажите тру вей )

Решено. Для тестовой ISA на wan использовал адрес из подсети 192.168.10.0 - вот она и отклоняла все запросы, мотивируя тем, что такой адрес внешним быть не может. Изменил на 92.92.92.0 - заработало.

Всего записей: 489 | Зарегистр. 13-10-2005 | Отправлено: 23:15 15-06-2010 | Исправлено: zubastiy, 13:11 16-06-2010

Advanced Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

встала задача контролировать трафик в сети без домена, ip-адреса динамические и раздаются DHCP... такая вот тривиальная задача родила два вопроса:
возможно организовать логирование с именем клиента (т.е. чтобы было не anonymous, а локальное имя пользователя)?
возможно ли в принципе в лог исы писать путь и имя файла процесса, сделавшего запрос через ису?
FWC что-то даст в данном случае?

Всего записей: 630 | Зарегистр. 27-02-2007 | Отправлено: 14:51 16-06-2010 | Исправлено: davinchi9, 14:52 16-06-2010

TrustyM

Full Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

davinchi9

Цитата:

возможно организовать логирование с именем клиента (т.е. чтобы было не anonymous, а локальное имя пользователя)?
возможно ли в принципе в лог исы писать путь и имя файла процесса, сделавшего запрос через ису?
FWC что-то даст в данном случае?

По-первому, у клиента в настройках доступа к интернету выбираешь прокси-сервер и указываешь для авторизации на прокси-сервере имя и пароль локального пользователя, но перед этим на прокси-сервере заводишь идентичных локальных пользователей. Тогда при авторизации имя будет показано в логах.
По-второму и третьему не подскажу.

Всего записей: 420 | Зарегистр. 02-08-2006 | Отправлено: 15:06 16-06-2010 | Исправлено: TrustyM, 15:08 16-06-2010

davinchi9 Advanced Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору а чтобы имя узла клиента в лог писалось?
	Всего записей: 630 \| Зарегистр. 27-02-2007 \| Отправлено: 15:18 16-06-2010

Открыть новую тему

Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Microsoft ISA Server 2006/2004/2000 & TMG/UAG (Часть 4)

Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC