Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Microsoft ISA Server 2006/2004/2000 (Часть III)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

emx (13-07-2008 10:54): Microsoft ISA Server 2006/2004/2000 (Часть 4)  Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102

   

emx



Moderator		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
<<< Предыдущая часть этой темы

  • Microsoft Internet Security & Acceleration Server - сайт производителя

  • - необходимо посетить, начиная работу с ISA Server

  • IsaDocs.Ru - переведенные статьи с

  • IsaServer.Ru - форумы, статьи, решения

  • ISA на iXBT - Хобот, наш конкурент

  • Коллекция ссылок на статьи
     
    продолжение шапки..
    • Всего записей: 11826 | Зарегистр. 05-06-2002 | Отправлено: 19:03 10-03-2007 | Исправлено: Out, 23:44 03-05-2007
    lokiSSE

    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Подскажите решение проблемы. Поднят VPN сервер на ISA 2006. Домен. Адреса клиентам раздаются из подсети 10.20.42.0 / 24. Рабочая сеть 10.20.41.0 /24. Адреса раздаются статически. Клиенты нормально вяжутся. Но не видят внутреннюю сеть. Пингуется только ISA интерфейс. Создано правило - Разрешить весь исх. трафик от VPN клиентов во внутренняя и локальный компьютер. В чем можежт быть проблема ? Ощущение что не отрабатывает маршрутизация.
    Всего записей: 244 | Зарегистр. 15-06-2005 | Отправлено: 08:52 24-08-2007
    greenfox



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    lokiSSE
    лог смотрел? И почему правило только во внутреннюю сеть? А назад?

    ----------
    Три вещи вечны: смерть, налоги и потеря данных...
    Всего записей: 4139 | Зарегистр. 29-07-2003 | Отправлено: 09:38 24-08-2007
    lokiSSE

    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    greenfox
    В журнале все чисто. СТавил в журнале фильтр по IP. Назад пробовал тоже открыть - разрешить всем по всем протоколам от внутренней к VPN клиентам. Тот же результат. Не пингует вообще сеть 10.20.41.0 /24 Кроме адреса из этой сети ISA сервера. Попробовал сменить подсети для чистоты эксперемента. Сеть для VPN клиентов 10.2.5.0 /24. То же самое. Пингует адрес ISA из сети 10.20.41.0 и адрес ISA из 10.2.5.0. А больше ничего. Если пингуем компьютер по имени с VPN к внутренней то есть разрешенный запрос DNS и все.
    Всего записей: 244 | Зарегистр. 15-06-2005 | Отправлено: 09:59 24-08-2007 | Исправлено: lokiSSE, 10:06 24-08-2007
    greenfox



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    lokiSSE

    Цитата:
    В журнале все чисто

    если запросы доходят до исы то по идее как минимум какие-то записи быть должны... + у тебя иса стоит дефолтным гейтвеем для клиентов во внутренней сети?

    ----------
    Три вещи вечны: смерть, налоги и потеря данных...
    Всего записей: 4139 | Зарегистр. 29-07-2003 | Отправлено: 10:10 24-08-2007 | Исправлено: greenfox, 10:15 24-08-2007
    lokiSSE

    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    greenfox
    нет, для внутренних не стоит дефолтным. Суть дать внешним клиентам подключающимся по VPN доступ к одному из SQL серверов внутреннего пользования. Вот лог одного из сеансов если поможет hxxp://slil.ru/24772011. Посмотрел log , почему то DNS запросы отправляются на адрес 10.0.4.1 и 10.0.2.1. - dns сервера с первого интерфейся клиента.  
     
    Всего записей: 244 | Зарегистр. 15-06-2005 | Отправлено: 10:25 24-08-2007 | Исправлено: lokiSSE, 10:42 24-08-2007
    greenfox



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    lokiSSE

    Цитата:
    нет, для внутренних не стоит дефолтным.
    ну и как внутрение клиенты узнают куда рутить запросы в подсеть 10.20.42.0 / 24 ? Логично что ответные пакеты будут уходить на дефолтный гейт, который не есть иса...

    ----------
    Три вещи вечны: смерть, налоги и потеря данных...
    Всего записей: 4139 | Зарегистр. 29-07-2003 | Отправлено: 10:39 24-08-2007
    lokiSSE

    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    greenfox
    Попробовал с DG на иса. Та же песня. Стоял там FWC пробовал и с ним и без. Все равно не  работает.
    Всего записей: 244 | Зарегистр. 15-06-2005 | Отправлено: 10:47 24-08-2007
    hardhearted



    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    greenfox

    Цитата:
    Тут бы доки надыбать по организации такой схемы....

    какой такой схемы, обычная элементарная 3-leg: external, internal и dmz. совершенно ничего сложного. у тебя есть три подсетки, две реальных и одна виртуальная, external и dmz реальные, internal виртуальная. между internal и external nat, между external и dmz route, между internal и dmz сам решай что больше подходит.
    но сеть если делишь должна быть полноценной, то есть сейчас отнято 4 адреса: первый последний, на шлюз прова и собственно иса. если поделишь на две то отдашь еще 3 адреса: первый и последний на вторую подсетку и еще один адрес на dmz интерфейс исы.
    а не проще ли отпаблишить эти серваки на разных портах?
     
    Добавлено:
    lokiSSE

    Цитата:
    Адреса клиентам раздаются из подсети 10.20.42.0 / 24. Рабочая сеть 10.20.41.0 /24.

    у тебя впн клиенты и внутренняя сетка - есть разные сетки, на клиенте есть маршрут в 41 ю сетку через впн интерфейс? есть network rule между vpn clients и internal ?
    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 12:57 24-08-2007
    lokiSSE

    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    hardhearted
    Вооот, подошли к тому  что мне и не понятно. Сетевое правило есть - VPN клиенты и VPN карантинные клиенты - маршрут - внутренная. Как я понимаю после подключения клиента у него должен прописываться маршрут из его адресного пространства к внутренней сети , и вносить запись ISA через RAS винды и основной шлюз - VPN канал. По крайней мере так должно быть судя по документации.  
    Таблица до подключения VPN  
              0.0.0.0          0.0.0.0            10.20.41.3     10.20.41.77      10
           10.20.41.0    255.255.255.0      10.20.41.77     10.20.41.77      10
          10.20.41.77  255.255.255.255        127.0.0.1       127.0.0.1      10
       10.255.255.255  255.255.255.255      10.20.41.77     10.20.41.77      10
            127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1      1
         192.168.11.0    255.255.255.0     192.168.11.1    192.168.11.1      20
         192.168.11.1  255.255.255.255        127.0.0.1       127.0.0.1      20
       192.168.11.255  255.255.255.255     192.168.11.1    192.168.11.1      20
         192.168.64.0    255.255.255.0     192.168.64.1    192.168.64.1      20
         192.168.64.1  255.255.255.255        127.0.0.1       127.0.0.1      20
       192.168.64.255  255.255.255.255     192.168.64.1    192.168.64.1      20
            224.0.0.0        240.0.0.0      10.20.41.77     10.20.41.77      10
            224.0.0.0        240.0.0.0     192.168.11.1    192.168.11.1      20
            224.0.0.0        240.0.0.0     192.168.64.1    192.168.64.1      20
      255.255.255.255  255.255.255.255      10.20.41.77     10.20.41.77      1
      255.255.255.255  255.255.255.255     192.168.11.1    192.168.11.1      1
      255.255.255.255  255.255.255.255     192.168.64.1    192.168.64.1      1
      255.255.255.255  255.255.255.255     192.168.64.1               5      1
       Ћб-®ў-®© и«о§:          10.20.41.3
     
    Таблица после подключения  
     
              0.0.0.0          0.0.0.0         10.2.5.5        10.2.5.5      1
              0.0.0.0          0.0.0.0       10.20.41.3     10.20.41.77      11
             10.2.5.5  255.255.255.255        127.0.0.1       127.0.0.1      50
           10.20.41.0    255.255.255.0      10.20.41.77     10.20.41.77      10
           10.20.41.3  255.255.255.255      10.20.41.77     10.20.41.77      10
          10.20.41.77  255.255.255.255        127.0.0.1       127.0.0.1      10
       10.255.255.255  255.255.255.255         10.2.5.5        10.2.5.5      50
       10.255.255.255  255.255.255.255      10.20.41.77     10.20.41.77      10
            127.0.0.0        255.0.0.0        127.0.0.1       127.0.0.1      1
         192.168.11.0    255.255.255.0     192.168.11.1    192.168.11.1      20
         192.168.11.1  255.255.255.255        127.0.0.1       127.0.0.1      20
       192.168.11.255  255.255.255.255     192.168.11.1    192.168.11.1      20
         192.168.64.0    255.255.255.0     192.168.64.1    192.168.64.1      20
         192.168.64.1  255.255.255.255        127.0.0.1       127.0.0.1      20
       192.168.64.255  255.255.255.255     192.168.64.1    192.168.64.1      20
            224.0.0.0        240.0.0.0      10.20.41.77     10.20.41.77      10
            224.0.0.0        240.0.0.0     192.168.11.1    192.168.11.1      20
            224.0.0.0        240.0.0.0     192.168.64.1    192.168.64.1      20
            224.0.0.0        240.0.0.0         10.2.5.5        10.2.5.5      1
      255.255.255.255  255.255.255.255         10.2.5.5        10.2.5.5      1
      255.255.255.255  255.255.255.255      10.20.41.77     10.20.41.77      1
      255.255.255.255  255.255.255.255     192.168.11.1    192.168.11.1      1
      255.255.255.255  255.255.255.255     192.168.64.1    192.168.64.1      1
      255.255.255.255  255.255.255.255     192.168.64.1               5      1
    Ћб-®ў-®© и«о§:            10.2.5.5
    Всего записей: 244 | Зарегистр. 15-06-2005 | Отправлено: 13:14 24-08-2007
    greenfox



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    hardhearted

    Цитата:
    обычная элементарная 3-leg
    дело в том что у меня DMZ и Internal сейчас суть физически одна и та же подсеть - серваки стоят внутри конторы, на них работают юзвери, они входят в домен и т.д. Всё по марксу так сказать... Далее понадобилось на нек-х из них поднимать www-сервера и выпускать в инет... Вот тут и началось - физически они работают с серыми адресами моей внутренней сети - с контроллерами там, почтовиками и т.д. Выдали мне реальные ip - что делать? Прописать их на реальные сервера? Тогда возникнут проблемы во взаимодействии их с внутренними клиентами наск я понимаю? (ip то у них из разных диапазонов будут и т.д.). Можно бы ло бы конечно вынести их в DMZ за внешний интерфейс исы - но тут опять ряд сложностей, на части машинах физически работают юзвери, как они будут с Д взаимодействовать и т.д.? Так что оставили самый простой вариант - понавешали на внеш интерфейс исы кучу белых ip и прописали кучу паблишинков с одинаковыми портами 80\443 на разные адреса. но тут соот-но свой гемор начился...


    ----------
    Три вещи вечны: смерть, налоги и потеря данных...
    Всего записей: 4139 | Зарегистр. 29-07-2003 | Отправлено: 13:28 24-08-2007
    hardhearted



    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    lokiSSE
    это чьи таблицы то ? исы чтоли? на клиенте маршрут пропишется тока в ту сеть из которой раздаются адреса, клиент понятия не имеет что за исой есть какие то "рабочие" сети в которые тоже надо маршруты вписывать. так что либо на клиенте писать маршрут в рабочую сеть через выданный по впн ип либо ставить на этом впн подключении галку про DG
    greenfox
    не вижу никаких трудностей, делаешь dmz и internal разными сетями, на разных интерфейсах исы (третий понядобится), проблем с ад не должно быть, как работали так и будут просто ипшники у серваков сменятся и все.
    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 14:17 24-08-2007
    lokiSSE

    Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Хм. Перегрузил ISa - один раз соединилось и нормально заработало. Потом  снова та же песня. ..
    Всего записей: 244 | Зарегистр. 15-06-2005 | Отправлено: 14:25 24-08-2007 | Исправлено: lokiSSE, 14:31 24-08-2007
    hardhearted



    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    lokiSSE
    еще раз говорю, проверь маршруты на клиенте
    если диапазон впн клиентов не совпадает с диапазоном внутренней сетки то маршруты просто так не появятся нужные
    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 15:11 24-08-2007
    PIL123



    Advanced Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    Спецы, подскажите, пожалуйста, почему-то в последнее время встречается часто в моей сети софт, который не умеет/не хочет аутентифицироваться, не смотря на то, что компьютеры являются одновременно всеми клиентами - ну и файервол клиент установлен разумеется тоже. Вот есть некоторый софт, который ни фига не может аутентифицироваться и всё тут. Подскажите, пожалуйста, как с ним быть? Я вот не совсем понимаю почему некоторый софт Firewall Client не аутентифицирует. Может можно как-то заставить аутентифицироваться?
    Всего записей: 818 | Зарегистр. 25-06-2003 | Отправлено: 12:07 27-08-2007 | Исправлено: PIL123, 12:11 27-08-2007
    greenfox



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    PIL123
    наверно что-н старое досовское типа дипоста? Он винсокс не использует и соот-но fwc с ним работать не может...

    ----------
    Три вещи вечны: смерть, налоги и потеря данных...
    Всего записей: 4139 | Зарегистр. 29-07-2003 | Отправлено: 12:17 27-08-2007
    PIL123



    Advanced Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    greenfox, да нет - софт новый, но просто писал какой-то гавнюк, который недавно научился программить - "создатель" мать его программы. А что надо ему сказать, чтобы он сделал с воей программе какие изменения, чтобы аутентификация проходила нормально?
    Всего записей: 818 | Зарегистр. 25-06-2003 | Отправлено: 12:25 27-08-2007
    greenfox



    Silver Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    PIL123
    логично предположить что самый простой вариант в этом случае это сказать ему про ису и соот-го клиента к ней и поставить задачу приладить_соот-й_функционал_к_его_софтине\подправить_баги
    это в случае если вина лежит именно на софтине и всё остальное с fwc работает нормально
    imho

    ----------
    Три вещи вечны: смерть, налоги и потеря данных...
    Всего записей: 4139 | Зарегистр. 29-07-2003 | Отправлено: 12:32 27-08-2007
    PIL123



    Advanced Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    greenfox

    Цитата:
    приладить_соот-й_функционал_к_его_софтине\подправить_баги

    Вот здесь можно подробнее немного, а то  я так подозреваю, что там "профи высшего пилотажа" и хотелось бы более разжёвано ему информацию предоставить. Ещё вопрос осложняется тем, что в этом как бы мы больше заинтересованы, а не он.
     

    Цитата:
    и всё остальное с fwc работает нормально

    Всё остальное работает ОК.
    Всего записей: 818 | Зарегистр. 25-06-2003 | Отправлено: 12:39 27-08-2007 | Исправлено: PIL123, 12:40 27-08-2007
    hardhearted



    Advanced Member    		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    PIL123

    Цитата:
    Вот здесь можно подробнее немного

     
    ну ты спросил, тут все такие по большей части вовсем не программеры сидят. иди на msdn и смотри как пишутся програмы поддерживающие winsocks
     
    ps кстати а по каким протоколам эта чудопрога работает? возможно ей уже и переделка не поможет )
    Всего записей: 1272 | Зарегистр. 23-10-2004 | Отправлено: 13:03 27-08-2007
    PIL123



    Advanced Member    		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    hardhearted

    Цитата:
    кстати а по каким протоколам эта чудопрога работает?

    80 и 110 порты.
    Всего записей: 818 | Зарегистр. 25-06-2003 | Отправлено: 13:07 27-08-2007
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Microsoft ISA Server 2006/2004/2000 (Часть III)
    emx (13-07-2008 10:54): Microsoft ISA Server 2006/2004/2000 (Часть 4)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru