Настройка и работа с MS ISA Server 2000/2004

[Holy_adMirAl]

Как грамотно настроить файрволл ISA Server'a, что бы закрыть потенциально опасные порты и обеспечить фильтрацию трафика...

 

[myafik]

Ответ очень простой... Читать RTFM
В интернете очень много форумов посвященных ИСЕ
Вот некоторые из них:

_http://forum.isaserver.ru
_http://www.insar.net/for_admin/isa/ (здесь есть онлайн учебник по исе 2k)
_http://www.microsoft.com/isaserver/ (ресурс от мелкомягких)
_http://www.isaserver.org/ (один из главных забугорных сайтов по ИСЕ)
_http://www.isaserver.ru/modules/news/

Вот и все... читай и выполняй что там написано.... Другого выхода нет)))
Удачи!

 

[Holy_adMirAl]

Хех...пасиба
Я просто не знал об этих ресурсиках %)

 

[myafik]

Ну что же так. Надо учится пользовать yandex хотяб или лучще google
Можно просто нарыть золотое дно. А вообще можн еще поискать на варезных ресурсах таких как любимый netz (не сочтите за рекламу)))) книжки различные. Тут их много выкладывают. По исе я думаю тоже наидешь)))
УДАЧИ!

 

[tulkas]

А здесь разве нельзя пообщаться на эту тему? У меня, как у новичка, в сетевых технологиях, есть пара общих вопросов по исе.

 

[myafik]

Значит так. В правилах записано, что прежде чем здать вопрос нужно поискать решение самому, а потом уже обращаться сюда. Есть вопросы задавай.

СЛЕДУЮЩЕЕ ПОДОБНОЕ СООБЩЕНИЕ БУДЕТ УДАЛЕНО БЕЗ ПРЕДУПРЕЖДЕНИЯ! ТАК КАК ЯВЛЯЕТСЯ ФЛЕЙМОМ!

 

[tulkas]

Есть конкретная проблема, которую никак не удаётся решить. Перечитал кучу литературы, наобщался в форумах, но пока никак.
Стоит ISA 2004 EE. Есть правило для почтовых протоколов. Доступ All Users. Клиенты работают через SNAT. Всё ОК, но безопасность решила, раз есть свой почтовый сервак, то надо запретить почту с внешних. Естетственно, кое-кому этот доступ надо оставить .
Чтобы разрулить доступ по пользователям, поставил им Firewall Client. Правило ещё не трогал, а почта сразу всем отрубилась. Почему??? All User ведь!
Смотрю в лог. Вижу связки "Initiated Connection" - "Closed Connection", deny нигде нет.
В чём может быть проблема?
Сразу скажу, что outlook.exe я разрешил, хотя почту пробую забирать через OE или The Bat!

 

[myafik]

непонимаю зачем ставить фаервол клиент.... он нужен если трафик нужно шифровать...
почему нельзя создать из айпишников группы (иса прекрасно интегрируется с Ad или в ручную набить)
одно группе разрешить ходить к внешней почты а другим нет...
или я что то не понимаю?

 

[tulkas]

1. Если есть уже готовые группы в домене, зачем делать двойную работу. Организация, кстати, не очень маленькая...
2. Иногда нужно выполнить некоторые действия на машине пользователя, а правило по ip мне этого не позволит.
3. У пользователей периодически меняются компьютеры. Приходится отслеживать их ip.

 

[myafik]

вообще ничего не понял.... вопрос то где?
ну отлично что у тя все так классно и колбасно с OU (Organization Unit) ну всмысле у тя ведь на них все поделено?
дело в том что я пока не работал с исой в связке с доменом с OU's но думаю что там можно подцепить не компутер а пользователя....Всмысле объединяешь их в один контейнер и его подцепляешь в исе. куда бы они (юзеры) не залогинились все права они свои получит. Всмысле отслеживать по ип? у вас статика? зачем отслеживать если есть объект user account
по 2 пункту ваще ничего не понял... причем здесь действия на компе юзера....
у вас они в другой подсети и на границе стоит иса?

по 3 см выше...

напиши по подробнее.... то почта была то теперь еще.... все напиши попунктикам и бум разбираться

 

[Николай_1305]

Народ, здрасьте! Всем привет из солнечного и яблочного города Алматы!
У меня вопрос:
а)где и как настроить в ИСА квоты по трафику?
б)можно ли в ИСА определить кто из внутренней сетки (IP или account) лазил на конкретный сайт (н-р, на www.georgemichael.com) через ИСА? С меня генеральный спрашивает.

 

[Николай_1305]

Предлагаю цеплять в ИСЕ не ГРУППЫ КОМПОВ (это понятно, что все движется, все перемещается), а ГРУППЫ ПОЛЬЗОВАТЕЛЕЙ. Если их на данный момент нет, так создай на контроллере домена 2 группы пользователей: с интернетом и без интернета, а затем закинь туда тех, кого нужно. А в ИСА подцепи именно эти группы ПОЛЬЗОВАТЕЛЕЙ. И - всё! Я именно так и сделал у себя на работе. Проблем не вижу в этом. У меня есть только две проболемы: отслеживать посещаемость конкретного сайта по пользователям и установка лимита (или квоты) на трафик на конкретного Юзера. Может сможешь мне в этом помочь? Буду очень признателен!!!

 

[myafik]

Стандартными средствами ИСЫ узнать кто именнно куда ходил нельзя. Это политика компании Microsoft (узнавал у их сертифицированного инженера). Определить квоты для каждого пользователя а также получить более детальную статистику только с помощью прог сторонних разработчиков.
Полный список тут:

http://www.isaserver.org/software/ISA/Monitoring-&-Admin/

 

[Hukto]

перерыл весь ин-нет все что там насоветовали не помогло
как настроить Bat через iSA 2004 ?
pop3 smtp - открыт для все пользователей

 

[myafik]

перерыл весь ин-нет все что там насоветовали не помогло
как настроить Bat через iSA 2004 ?
pop3 smtp - открыт для все пользователей

Это зависит от того как ходят в инет пользователи. Собственно 3 варианта FW клиент, прокси или SNAT. И не плохо было бы лог привести.