Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MS ISA Server (часть 1)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

articlebot (23-03-2016 15:24): http://forum.ru-board.com/topic.cgi?forum=8&topic=27989#1  Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105

   

vamp



Junior Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

  • Microsoft Internet Security & Acceleration Server Home - сайт производителя

  • - необходимо посетить начиная работу с ISA Server

  • IsaServer.Ru - форумы, статьи, решения

  • ISA на iXBT - Хобот, наш конкурент

  • Коллекция ссылок на статьи
     
     
    Подробнее...

  • Всего записей: 121 | Зарегистр. 30-01-2002 | Отправлено: 16:46 10-04-2002 | Исправлено: Leonid_Z, 16:31 26-09-2005
    Porolonchik



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Есть контроллер домена srv1: 192.168.0.1, если второй сервак srv2 (не контроллер, но член домена): 192.168.0.2. На обоих win2k3ServEnt.
    На srv2 стоит ISA.
    И такая проблема:  
    Ситуёвина с ISA. Настроил я её как описано в этой статье и в этой с isaserver.org. Есть зарегенный домен и два ДНС сервака (они публичные от регистратора), на которых я настроил запись A на адрес x.x.x.x (который на внешнем интерфейсе ZyXEL).
    И нифига. Не открывается. IE пишет 10061 - Connection refused
    Internet Security and Acceleration Server
    . Хотя пинг нормально:  
    Обмен пакетами с www.mydomain.ru [x.x.x.x] с 32 байт данных:
    Ответ от x.x.x.x: число байт=32 время<1мс TTL=254
    ...

     
    Я однако грешу на нашего прова. Т.к. городок у нас маленький, то соотв. и провайдер полудохлый. У них нет свободных IP. До них у меня так: ZyXEL Prestige791R EE, а на их стороне такой же. Короче, т.к. у них нет свободных IP, и не известно когда будут, они сделали NAT.
    Т.е. схема такая: на внутр. интерфейсе на srv2: 192.168.0.2, а на внешнем: 192.168.192.2. К внешнему через Ethernet порт подключен ZyXEL: адрес его внутреннего интерфейса (который подключен к 192.168.192.2): 192.168.192.1, на его внешнем интерфейсе (типа WAN адрес): x.x.x.x (publicIP). Мож чё надо на модеме настроить?
     
    Я особо не рабираюсь в этих делах, но нужно наш веб-сервак срочно выставить в инет. Наш сисадмин ушёл в загул вместе в сисадмином провайдера, так что помогите!!!!!

    Всего записей: 347 | Зарегистр. 18-02-2003 | Отправлено: 09:50 03-06-2004 | Исправлено: Porolonchik, 09:55 03-06-2004
    JcVai



    Advanced Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Возможно мелкомягкие забыли предупредить о смене имени ключа...

    ----------
    What out of that we have not win
    What out of that we've not return

    Всего записей: 661 | Зарегистр. 27-10-2002 | Отправлено: 09:51 03-06-2004
    Porolonchik



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Эх млин...
    К моей проблеме...
    Оказывается из инета сайт наш виден, т.е. с другого public IP, не нашего.
    Но сайт не видится изнутри нашей сетки. При открытии IE пишет такую ошибку:
    ...
    10061 - Connection refused
    Internet Security and Acceleration Server.
    ...

     
    Чё такое? Что в ISA нужно прописать, что внутренние клиенты могли изнутри попадать к внутреннему www-серваку через публичный FQDN???

    Всего записей: 347 | Зарегистр. 18-02-2003 | Отправлено: 05:54 04-06-2004
    JcVai



    Advanced Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Porolonchik
    А в браузере пробовал пунктик не использовать прокси для...?
     
    Как кривой вариант: сделать для данного адреса роутинг на какой-нибудь внешний прокси.

    ----------
    What out of that we have not win
    What out of that we've not return

    Всего записей: 661 | Зарегистр. 27-10-2002 | Отправлено: 08:39 04-06-2004
    Porolonchik



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    JcVai

    Цитата:
    А в браузере пробовал пунктик не использовать прокси для...?

    И что? На кождом из 30-ти компов тоже исправлять этот пунктик?
    Конечно, можно через групповые политики всем сделать. Но это же не есть решение проблемы. Тут явно что-то с ISA.

    Цитата:
    Как кривой вариант: сделать для данного адреса роутинг на какой-нибудь внешний прокси.

    Я сделал правило в Routing, чтобы для нужного мне Destination Set ISA роутила запросы на Hosted Site(это который srv1 192.168.0.1). Вроде заработало. Страница открывается изнутри.  
    Но!... Почему-то перестали работать FrontPage Extantions2002. Т.е. на серваке то они установиться установились, но когда открываешь страничку для site administration tasks и вводишь пароль администратора домена, начинается: лампочка активности HDD горит, в Диспетчере задач процесс iexlore.exe забирает 80-90% времени процессора, а в самом броузере внизу синяя полосочка (которая отображает ход подключения) дергается туда-сюда с огромной скоростью.
    И никакого результата. Окошко броузера белоснежное. Ждал минут 10. И нафиг забросил. Мож кто знает в чем дело? Кста, FrontPage не хочет открывать этот самый вебпо http: тоже запросил пароль и усе.....
    Эх.....

    Всего записей: 347 | Зарегистр. 18-02-2003 | Отправлено: 09:07 04-06-2004
    JcVai



    Advanced Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Porolonchik

    Цитата:
    Конечно, можно через групповые политики всем сделать

    У меня сделано именно так.
     

    Цитата:
    Но это же не есть решение проблемы. Тут явно что-то с ISA.

    Тогда проверь наличие авторизации на внешнем интерфейсе
    и разрешенные твоему аккаунту destinations.
     
    А что касается frontpage - ни разу им не пользовался для работы с сайтами в онлайне,
    предпочитаю заливать готовый материал через фтп.

    ----------
    What out of that we have not win
    What out of that we've not return

    Всего записей: 661 | Зарегистр. 27-10-2002 | Отправлено: 11:32 04-06-2004 | Исправлено: JcVai, 11:33 04-06-2004
    Vasa_Husainov



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    есть небольшой вонпрос  
    Как при помощи ISA сервера от SYN flood атаки закрыться можно ?

    Всего записей: 91 | Зарегистр. 09-04-2003 | Отправлено: 12:08 04-06-2004
    abzac



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Был ли у кого опыт по пусканию Voice Over IP (VoIP) через ISA?
     
    Корейская фирма предлагает за $39.9 в месяц неограниченные звонки в Японию, Штаты, Корею.
    http://www.goodtelecom.co.kr:83/
     
    Есть вот такой аппарат World Phone GT-100 подключается через COM и PS/2, во внешней сетке все работает как часы.
     
       
     
    Посмотрел какие порты открываются TCP/UDP открыл на ISA, теперь клиент регистрируется у них на сервере, пробуешь звонить и ничего нет, т.е. канал по UDP не идет...
     
    Подскажите где покапаться, на сайте мельком упоминается информации по настройке почти никакой

    Всего записей: 646 | Зарегистр. 02-09-2002 | Отправлено: 14:59 04-06-2004
    adsh

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    JcVai

    Цитата:
    Помогло создание в соответствующих ветках свойства msFPCName типа REG_SZ  
    со значением равным msFPCUserName этой ветки.

    Угу - помогло. При чём - само оно его, при создании диалап записей в ИСЕ (не в системе), почему то, не создаёт.

    Всего записей: 105 | Зарегистр. 02-05-2003 | Отправлено: 03:39 06-06-2004
    JcVai



    Advanced Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Vasa_Husainov

    Цитата:
    Как при помощи ISA сервера от SYN flood атаки закрыться можно ?

    А смысл? ISA, по умолчанию игнорирует все запросы из вне.
    Если ты публикуешь какой то сервис - то можно поиграть с настройками таймаутов
    для него.
    Еще неплохо помогает аппаратный файрвол+роутер перед ISA.
    Посмотри еще: Internet Server Unavailable Because of Malicious SYN Attacks
     
    abzac
    А как открываешь?
    Есть разные варианты: IP Filters, Firewall client, server publishing, protocol rules...
     
    adsh

    Цитата:
    само оно его, при создании диалап записей в ИСЕ (не в системе), почему то, не создаёт.

    Похоже просто недочет программеров.

    ----------
    What out of that we have not win
    What out of that we've not return

    Всего записей: 661 | Зарегистр. 27-10-2002 | Отправлено: 08:15 07-06-2004 | Исправлено: JcVai, 08:22 07-06-2004
    Porolonchik



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    JcVai

    Цитата:
    Тогда проверь наличие авторизации на внешнем интерфейсе  
    и разрешенные твоему аккаунту destinations.  

    На внешнем интерфейсе нету авторизации.
    Моему аккаунту разрешено всё и вся!!!
     
    Но нифига не видно. Пишешь публичный FQDN - не показывает, пишешь внутренний FQDN - показывает.
    ГДЕ КОПААААААТЬ?????

    Всего записей: 347 | Зарегистр. 18-02-2003 | Отправлено: 09:13 07-06-2004
    Vasa_Husainov



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    JcVai
    Ну то что аппаратный файр+роутер мне нужен как воздух перед ISA это точна (и не тока из-за SYN флуда) но не на все в нашей стране с радостью выделяют, приходится придумывать "гениальные способы решения"
     
    с таймингами поиграться тоже не факт, что так сразу поможет. можно оказаться в ситуации когда просто начинает зависать служба пакетного фильтра в ИСЕ.
     
    Кому данная проблема актуальна рекомендую почитать вот тут _http://unix.net.ua/pdf/1_04_syn.pdf
    помойму более чем исчерпавающе описаны борьбы с этой напастью  
    а так вопрос можно считать закрытым.

    Всего записей: 91 | Зарегистр. 09-04-2003 | Отправлено: 10:31 07-06-2004
    abzac



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    JcVai
    создал новый протокол - описал в нем порты (посмотрел через Wininternals TCP View на наружной машине),  
    сейчас соединяется с сервером регистраций, иногда загружает телефонную книгу с сервера, при попытки набрать сигнал, уходить и вываливается - ошибка сети.
    Не могу тольго понять какое правило нужно для UDP - Send & Receive?

    Всего записей: 646 | Зарегистр. 02-09-2002 | Отправлено: 14:14 07-06-2004
    olegnur



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Всем привет, вопросик мелкопаскудный как подружить ISA  с внешней проксей? Никто не пробовал?

    Всего записей: 34 | Зарегистр. 08-08-2003 | Отправлено: 15:17 07-06-2004
    leorick



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    olegnur
    Network Configuration -> Routing -> Делаешь новый руль или редактируешь дефолтовый -> Вкладка "Action" -> Routing them to a specified upstream server
    Не забудь в пакетных фильтрах прописать разрешение на этот прокси.

    Всего записей: 206 | Зарегистр. 05-01-2003 | Отправлено: 06:36 08-06-2004
    JcVai



    Advanced Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    abzac
    Я приложения, требующие входящий udp, публикую через server publishing rules,
    Предварительно создав protocol definition, в котором основным (первым) идет
    входящее tcp-соединение, а остальные исходящие и входящие tcp и udp
    прописываю в secondary connections. Пока проблем не было.
     
    leorick

    Цитата:
    Не забудь в пакетных фильтрах прописать разрешение на этот прокси.

    Гм... А это зачем???

    ----------
    What out of that we have not win
    What out of that we've not return

    Всего записей: 661 | Зарегистр. 27-10-2002 | Отправлено: 08:31 08-06-2004
    leorick



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    JcVai
    У меня только так работает, стоит только отключить пакетный фильтр, разрешаюший доступ компа с ISA на этот внешний прокси по соответствующему порту, как сразу иса пишет, что потерян доступ к Upstream proxy и переключается на резервный - там у меня Direct to Internet.  
    А у тебя работает без такого правила?

    Всего записей: 206 | Зарегистр. 05-01-2003 | Отправлено: 09:36 08-06-2004
    JcVai



    Advanced Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    leorick

    Цитата:
    А у тебя работает без такого правила?

    Да, и без всяких проблем... Может у тебя просто проблемы с коннектом на этот прокси и связь отваливается по таймауту?
    PS: У меня резервный - то же вышестоящий прокси и все работает как часы...
    пока проксик не закроют, тогда приходится поднимать список свежих анонимных прокси и прописывать новый.
    Правило route для доступа через вышестоящий прокси сделано только для некоторых сайтов по принципу: destinations= *.domain.com : /*
     
     
    Добавлено
    2All:
    Кстати, ни  у кого не появлялось проблем с ntlm-авторизацией при работе через терминальную сессию непосредственно на сервере с ISA после установки ISA SP2?
    Перехват запроса показывает, что он отправляется с привилегиями одного из DC,
    а не учетной записи работающей на сервере терминалов с ISA-ой.
    plain text и digest при этом работают без проблем.

    ----------
    What out of that we have not win
    What out of that we've not return

    Всего записей: 661 | Зарегистр. 27-10-2002 | Отправлено: 12:18 08-06-2004 | Исправлено: JcVai, 12:26 08-06-2004
    olegnur



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Спасибо за инфу, еще вопросик. Пишем правило на запрет доступа к сайту. Правило работает, юзвера матеряться, только мне не понятно, когда логи смотрю, интересная картина: исходящий трафик на этот сайт есть, а входящий 0. Выходит ISA отсылает запросы. А можно ли совсем прикрыть доступ, что бы вообще рубился даже запрос на сайт?

    Всего записей: 34 | Зарегистр. 08-08-2003 | Отправлено: 15:11 08-06-2004
    JcVai



    Advanced Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    olegnur

    Цитата:
    Выходит ISA отсылает запросы.

    По идее ISA рубит все, что удовлетворяет соответствующему правилу блокировки и идет через http/https.
    А в логах у тебя д.б. запросы полученные ISA-ой, а не отправленные на сайт.
     
    Добавлено

    Цитата:
    Кстати, ни  у кого не появлялось проблем с ntlm-авторизацией при работе через терминальную сессию непосредственно на сервере с ISA после установки ISA SP2?

    Разобрался: после установки SP2 for ISA на сервере сбился порядок использования сетевых интерфейсов.

    ----------
    What out of that we have not win
    What out of that we've not return

    Всего записей: 661 | Зарегистр. 27-10-2002 | Отправлено: 07:57 09-06-2004 | Исправлено: JcVai, 07:58 09-06-2004
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MS ISA Server (часть 1)
    articlebot (23-03-2016 15:24): http://forum.ru-board.com/topic.cgi?forum=8&topic=27989#1


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru