admt
Newbie | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
hardhearted
-вообще непонятно зачем тебе две исы и такая схема, дорого и не нужно
>>Две ИСЫ нужны для того что бы общедоступные Веб-серваки выделить в отдельный защищенный сегмент сети, что бы внешние пользователи имели доступ только в ДМЗ (где эти серваки и находяться) но не в локалку еще там планируется скоро в ДМЗ поставить и Exchange server. Один Веб-сервак служит для внесения инормации в том числе и конфиденциальной и Авторизации внешних пользователей, а веб-севис служит для связи с SQL-сервером с БДкоторый стоит в локалке, оба сервака используют всего два порта, поэтому если злоумышленик захватит этит серваки то зайти в локальную сеть а уж тембоолее на DC не сможет т.к. для атаки ему дано всего два порта, и они очень жестко контролируется на исах так и отдельным ПО на этих серверах 
-во-первых это не форум блондинок - достаточно ставить один знак "7"
>>Извините, просто дурная привычка ставить много "7"
-во-вторых полезно читать книжку, там такой случай рассмотрен, и много других глупых и банальных вопросов тоже.
>>Шиндера я читал и не один раз и знаю как настраивать одну ису, но с настройкой ДМЗ никогда не сталкивался, очень много тонкостей.
-в-третьих, по порядку
- не знаю в каких логах ты хочешь добиться ип и имен пользователей, на внутренней исе ипшники будут всегда, имена тока если трафик аутенфицируется, поэтому непонятно зачем тебе там route, хотя и nat тоже непонятно зачем, и вообще непонятно зачем там вторая иса
>логи будут вестись на Веб-серваке где будет указан имя пользователя и его IP-адрес т.к. по правилам не все юзеры локалки могут ходить в инет, но могут ходить в ДМЗ на Веб-сервак и плюс почта, а некоторым только в инет но не в ДМЗ . На внутренней ИСЕ доваблена сеть ДМЗ и правило сетевое ДМЗ Internal - маршрут и правило Доспут к Интерснету - НАТ
- откуда у тебя между исами nat если ты сам писал что между lan и dmz стоит route?
>> потому что Создана сеть ДМЗ и route а между Исами правило НАТ по умалчанию, сама ИСа это делает в шаблонах.
-непонятно зачем на внешней исе делать такие правила если они уже есть на внутренней, к тому же если между сетями nat и внешняя не в домене то откуда она будет смотреть пользователей?
>>Внешняя ИСА будет проверять пользователей через RADIUS-сервер
А вот теперь про НАТ между ИСАми, на Внутр Исе есть правила публикации протоколов и портов напривем для клиентов сети VipNet там протокол UDP а порт 55777 настроен мапинг портов с компа в локалке во внешнюю сеть и обратно, с одно исой все просто получается а с двумя как, получается на первйю ису приходит пакеты UDP по порту 55777 с локаольного компа с адресов 192.168.55.55 а на вторую ису придет такой же пакет но с адресом уже внутренней исы т.е. 10.0.1.Х следовательно на внешней нужно создавать правила для тех же портов и протоколов как на внутренеей только ставя IP адрес внутренней ИСЫ, я думаю так.!?
- адресацию делай любую, если нет внешних адресов то ставь любые приватные, та же 10я сеть сойдет если ни с кем не пересекается, в твоем случае они все бессмысленны
>> всмысле есть внешний адрес? имеете в виду внешний IP адрес который нам выдал провайдер?
- кто то да настраивал, тот же Шиндер например, а реализовано это все элементарно, только надо сначала четко определиться зачем оно
>>да у него есть статья по реализации ДМЗ с двумя ИСАми и сделано там все также как и у меня только правила доступа у него всем и все (вот статья по этому поводу h2tp://3w.isadocs.ru/articles/detail.php?ID=17986&phrase_id=582732
- если не работает по юзерам значит не работает аутенфикация, на внешней в твоем случае она скорее всего и не будет работать, на внутренней все стандартно
>>втом то и дело что не проходит на внутренней исе а почему не понятно...стоит встроенная аутентификация пользоватлей. ?
- легко, внешняя иса должна быть просто шлюзом по умолчанию в настройках внешнего интерфейса у внутренней, web chaining тоже рабоатть будет но только для web proxy трафика
>>в принципе так и должно если на внешнем интерфейсе внутренней ИСЫ указан шлюз внешней ИСЫ то пересылка будет без лишних манипуляция |
Всего записей: 6 | Зарегистр. 21-09-2006 | Отправлено: 11:39 21-05-2008 | Исправлено: admt, 11:52 21-05-2008 |
|
