Как сделать так, чтобы все сразу было как надо?

Очень просто. Некто Tarek Majdalani уже озаботился проблемой и даже написал небольшой фильтр для ISA, который решает указанную проблему. Фильтр работает с ISA 2004 и ISA 2006 (так утверждает автор фильтра; у меня фильтр прекрасно работает на нескольких машинах с ISA в боевых условиях).

Установка очень проста, и займет буквально пару минут времени:

1. Загрузку и установку библиотеки вы производите на свой страх и риск. Она распространяется “AS IS” без каких-либо обязательств и гарантий (это мнение автора, с ним я абсолютно солидарен:))
2. Загрузите саму библиотеку с фильтром (с сайта разработчика или копию с этого сайта, если вдруг оригинал недоступен). В архиве лежит исходный код библиотеки. Распространяется библиотека свободно, с единственным условием — при изменении исходного кода, автор просит менять имя библиотеки.
3. Распакуйте библиотеку HostLogger.dll в папку, куда установлена ISA
4. На сервере с ISA выполните (без кавычек, разумеется) следующую команду в командной консоли: “regsvr32 /u HostLogger.dll”
5. Перезапустите службу Microsoft Firewall

Готово. Фильтр уже работает

No related posts.

Да, предполагается, что вы располагаете MSSQL Query Analyzer, входящим в состав SQL сервер, либо SQL Server management studio, входящей в SQL Server Express, распространяемый бесплатно — одно из этих средств нужно, чтобы подключиться к БД.

К делу.

1. Требуется разрешить входящие подключения от машины, на которой стоит Query Analyzer к серверу ISA на 1433 порт TCP (встроенное правило MS SQL)
2. На сервере ISA выполните GUI-утилиту svrnetcn, выберите в списке экземпляров MSDE экземпляр SERVERNAME\MSFW, после чего включите для него протокол TCP/IP
3. Смело подключайтесь к серверу ISA при помощи Query Analyzer или SQL Management Studio.

Обратите внимание, что ISA создает по одной БД каждые сутки, что накладывает ряд ограничений на объем выборки.

No related posts.

Потому что те, кому интересно, найдут этот пост в гугле – информации по конкретной проблеме оказалось крайне мало, а по-русски – вообще крупицы, не имеющие отношения к решению проблемы.

Проблема.

Итак, дано: новый сервер HP Proliant DL360G5, Windows Standard 2003 SP2 RTM, ISA 2006. После установки операционной системы на сервер, загрузки и установки всех обновлений, сервер был введен в домен и была установлена ISA 2006 Standard Russian. После этого появился ряд неприятных симптомов:

1. Вход пользователя в систему происходил очень долго, как в терминальном режиме (удаленный рабочий стол для администрирования), так и в консольном.

2. Вошедший в систему пользователь не мог получить доступа к ресурсам внутренней сети.

Все это дело сопровождалось ошибками Userenv 1053 (Не удалось определить имя пользователя или компьютера. (Указанный домен не существует или к нему невозможно подключиться. ). Обработка групповой политики прекращена. ), Winlogon 1219 (Отказано во входе в систему для DOMAIN\Admin. Не удалось получить конфигурацию пользователя сервера терминалов. Ошибка: Указанный домен не существует или к нему невозможно подключиться.) и Netlogon 5783 (Установка сеанса к контроллеру домена Windows NT или Windows 2000 \\DomainController для домена DOMAIN не отвечает. Текущий вызов RPC от Netlogon на \\PROBLEMSERVER к \\DomainController отменен.).

При попытке диагностировать подключение к RPC при помощи Microsoft PortQuery дала результат RPC query failed (6bf).

Стоит заметить, что ISA Server, будучи введенной в домен автоматически создает правила для доступа к контроллерам домена по RPC и включает фильтр RPC, то есть, проблема – налицо – RPC не работает.

В процессе ликвидации ошибок выяснилось следующее:

1. При отключенном фильтре RPC все прекрасно работает (с одним исключением*, о нем – позже)

2. (тут – самый жыръ) SP2 на windows 2003 ломает фильтр RPC, работающий в ISA, при включенном параметре Receive Side Scaling в драйвере сетевого адаптера. Это проявляется в сбросе TCP-подключения при получении подтверждения TCP_ACK при подключении к 135 TCP порту контроллера домена. Данной проблеме также подвержена ISA2004. Данная проблема характерна для адаптеров, построенных на базе Broadcom 57xx серии. К ним относится HP NC373i, устанавливаемый на некоторые HP Proliant DL пятого поколения и сетевые адаптеры, устанавливаемые в некоторые серверы Dell PowerEdge.

Решение.

Чтобы избежать подобных ошибок, требуется отключить параметр Receive Side Scaling в свойствах сетевого адаптера:

*Исключение, о котором я обещал позже. Как выяснилось чуть позже, аналогичное поведение (сброс TCP-подключения) наблюдается и в работе фильтра SMTP, поэтому Receive Side Scaling лучше отключить на всех адаптерах сервера, работающего под ISA.

No related posts.

Что за пользователи обозначены вопросительными знаками в скобках после имени в журналах межсетевого экрана ISA Server?

Такие имена пользователей появляются, если в правилах политики сервера допускаются подключения для всех пользователей и доступом по таким правилам пользуются компьютеры с установленным ПО Firewall Client (FWC). Поскольку правило не требует аутентификации пользователя, ISA не пытается проверить учетные данные клиента, в то же время, Firewall Client при установлении соединения отправляет имя текущего пользователя серверу ISA. Таким образом, ISA знает имя пользователя, но не проверяет его – чтобы избежать путаницы, имя пользователя помечается вопросительным знаком.

Можно ли полагаться на то, что написано в таком случае в имени пользователя?

• Если вы ожидаете подлога или несанкционированных действий – то нельзя: взломщик может создать локального пользователя с подложным именем, которое и будет отображаться в журнале.
• С другой стороны, для диагностических целей это имя можно использовать – например, если пользователь Х жалуется на проблемы с подключением, можно искать записи о таких проблемах используя фильтр “Client username contains X”.

Настоящие пользователи, прошедшие процесс аутентификации отображаются в журналах ISA с префиксом в виде имени домена: DOMAIN\username

Это – переводная статья из блога ISA Server Product Team. Оригинал статьи находится здесь: http://blogs.technet.com/isablog/archive/2007/10/03/questionable-users.aspx

Автор оригинальной статьи – Jonathan Barner, ISA Server Sustained Engineering Team

No related posts.