ISA Server 2004 en FTP

[Vicarious]

Hallo,

Ik heb een probleempje om enkele FTP-sites te benaderen. In het specifiek gaat het om sites die geen anonymous access toestaan. Een voorbeeld hiervan is ftp://81.205.126.44/. De bedoeling is dat ik een login-schermpje krijg om mijn gebruikersnaam en wachtwoord in te voeren, maar ik krijg de volgende foutmelding:

Error Code: 502 Proxy Error. The login request was denied. The logon account might have been disabled or logon information might have changed. Log on again to verify that the information was typed correctly. If the problem continues, report the problem to the administrator of the Internet server you are requesting. (12015)

Ik kan er ook mee leven als ik gewoon ftp://username:password@81.205.126.44 kan invoeren, maar dan krijg ik helemaal geen response.

De situatie is als volgt:
- Windows XP pc met Service pack 2. ISA firewall client is geinstalleerd, maar disablen of enablen van de firewall client maakt geen verschil
- Internet Explorer 7 met de volgende instellingen voor FTP: Folder view enabled en Passief FTP uitgeschakeld. Ik heb verschillende combinaties geprobeerd, maar heb het helaas nog niet werkend.
- De access regel om FTP sites te kunnen benaderen is actief en werkend (ik kan immers wel andere FTP sites benaderen)
- FTP access filter in die access regel staat aangevinkt
- Met verschillende FTP clients als Filezilla kan ik (mits ik de firewall client aan heb staan) wel gewoon verbinden met deze FTP site
- Verder nog iets gelezen over een FTP read-only modus, maar dat is alleen van toepassing als ik ook wil uploaden. Alleen toegang krijgen is voorlopig genoeg.

Hebben jullie enig idee hoe ik dit kan oplossen? Als jullie nog meer info nodig hebben (loggings van de ISA etc.) hoor ik het ook graag

[Jazzy]

Error message when a client computer tries to access an FTP site through ISA Server 2004: "Error Code: 502 Proxy Error"

[Vicarious]

Daarin raden ze me aan om het in het formaat ftp://User_Name:Password@FTP_Server in te typen, maar zoals ik al in mijn openingspost zei werkt dat ook niet. Dan krijg ik gewoon geen response.

[Vicarious]

Even een bumpje... iemand nog andere tips?

[sanfranjake]

Wat zie je op de isa zelf dan in de logs? Is er misschien nog gewoon een protocol oid geblokkeerd?

Als je ftpserver btw in een domein zit, maar geen domaincontroller is, kan het zijn dat je in IIS nog het defaultlogondomain moet opgeven:
http://www.microsoft.com/...e2962bc2f77.mspx?mfr=true
al zijn het waarschijnlijk geen servers onder je eigen beheer....
ISA doos helemaal uptodate? SP3 enz, ook Windows SP2? Of draait 'ie op Windows 2000? onderdeel van een groter netwerk, misschien een SBS server?

[ Voor 93% gewijzigd door sanfranjake op 05-06-2008 22:39 ]

[Vicarious]

De ISA logs zal ik morgen posten. Er is in ieder geval geen protocol geblokkeerd, met een gewoon FTP programmaatje kom ik er immers wel doorheen. Echter wil ik dit via Internet Explorer ook kunnen.

De genoemde FTP server is gewoon een publiek toegankelijke server. Deze staat dus niet in mijn eigen domein gepubliceerd.

ISA heeft de laatste service pack, Win2003 ook.

[sanfranjake]

En kom je er met de Windows Verkenner (Page > Open FTP site in Windows Explorer) ?
Weet je wel welk type ftpserver er aan de andere kant precies gebruikt wordt?

[Vicarious]

Page? Die ken ik niet... Ik heb de menu's Bestand, bewerken, beeld, favorieten, extra en help. In geen van allen staat Open FTP site.

Hierbij de ISA log:

code:

Failed Connection Attempt ERE01AS021 6/6/2008 9:00:26 AM 
Log type: Web Proxy (Forward) 
Status:  
Rule: ERA Web Access 
Source: Internal ( 10.8.16.103:0) 
Destination: External (ip51cd7e2c.speed.planet.nl 81.205.126.44:21) 
Request: GET ftp://81.205.126.44/ 
Filter information: Req ID: 0337c379  
Protocol: ftp 
User: ERA\destri 
 Additional information 
Client agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 2.0.50727)
Object source: Internet Processing time: 141
Cache info: 0x0 MIME type:

En hierbij een log als ik naar dezelfde FTP site connect met Filezilla (gaat gewoon prima):

code:

Initiated Connection ERE01AS021 6/6/2008 9:03:20 AM 
Log type: Firewall service 
Status: The operation completed successfully.  
Rule: ERA Web Access 
Source: Internal ( 10.8.16.103:1405) 
Destination: External (ip51cd7e2c.speed.planet.nl 81.205.126.44:21) 
Protocol: FTP 
User: ERA\destri 
 Additional information 
Number of bytes sent: 0 Number of bytes received: 0
Processing time: 187ms Original Client IP: 10.8.16.103
Client agent: filezilla.exe:3:5.1

Zoals je ziet wordt in beide gevallen de regel ERA Web Access gebruikt, dus de regel zal FTP verkeer gewoon toestaan.

[Giga_Bjorn]

Ik heb in het verleden met ISA 2004 ook problemen gehad met FTP site te berijken die public zijn. Bij mij hielp het om de read-only optie uitschakelen op de FTP rule. Hierna kon ik wel op mijn site inloggen met FTP.

[Vicarious]

De Read-only optie staat al uit. Helaas geen effect.

[Vicarious]

Iemand anders nog goede ideeen?

[Giga_Bjorn]

Kan je de de access rule properties even posten, touwens is deze rule actief voor "all users" of voor "authenticated users"?

[Vicarious]

ERA Web access Allow http, HTTPS, FTP Internal All networks ERA\All users

Je moet dus een geauthenticeerde user in het domein ERA zijn.

[Giga_Bjorn]

Vicarious schreef op maandag 09 juni 2008 @ 10:53:
ERA Web access Allow http, HTTPS, FTP Internal All networks ERA\All users

Je moet dus een geauthenticeerde user in het domein ERA zijn.

Probeer een dan om in je FTP applicatie de Proxy-settings van je ISA Server te zetten en ook zeggen dat hij moet authentication moet uitvoren voor de access.

Als je Firewall client aan staat doet deze applicatie het voor je zover ik weet.

[Vicarious]

Giga_Bjorn schreef op maandag 09 juni 2008 @ 10:59:
[...]

Probeer een dan om in je FTP applicatie de Proxy-settings van je ISA Server te zetten en ook zeggen dat hij moet authentication moet uitvoren voor de access.

Als je Firewall client aan staat doet deze applicatie het voor je zover ik weet.

Dat klopt, met de firewall client en een FTP applicatie als Filezilla werkt het prima. Het gaat er juist om dat ik dit via Internet Explorer wil bereiken, om te voorkomen dat ik een FTP pakket over de citrix farm moet gaan publishen voor gebruikers.

[sanfranjake]

Wanneer je je proxyinstellingen per machine ipv user in een gpo meegeeft, werkt het dan wel correct?

[Vicarious]

Ik begrijp je geloof ik niet helemaal... proxy settings kun je in de policies toch alleen in de User Configuration invullen?

Ook wanneer ik de proxy settings helemaal niet aangeef in de group policies, maar hem gewoon handmatig invul werkt het niet. Ik snap ook niet helemaal wat dat er precies mee te maken heeft eerlijk gezegd...

[Vicarious]

Beetje laat, maar inmiddels ben ik een stuk verder:

Via deze site: http://technet.microsoft.com/en-us/library/bb794745.aspx

Kwam ik op het volgende stukje tekst:

Web proxy clients cannot download from an FTP server using PASV mode
Symptom: Attempts by Web proxy clients to download from a PASV mode FTP server fail.

Issue: By default, FTP traffic handled by Web Proxy Filter uses Active mode.

Solution: Set the DWORD value NonPassiveFTPTransfer to 0 in the registry on the ISA Server computer, which sets the mode to Passive. The default value is 1, indicating that Active mode is used. For information about setting this registry key, see the Microsoft Knowledge Base article 300641 "How to enable passive CERN FTP connections through ISA Server 2000 or ISA Server 2004 Standard Edition." The registry instructions in this article also apply to ISA Server 2006 and ISA Server 2004 Enterprise Edition.

Caution:
Incorrectly editing the registry can cause serious problems that may require you to reinstall your operating system. Problems resulting from editing the registry incorrectly may not be able to be resolved. Before editing the registry, back up any valuable data.

When setting this value in ISA Server 2004, you should ensure that ISA Server 2004 Service Pack 2 (SP2) is installed, to avoid the issue described in Microsoft Knowledge Base article 900256 "Error message when ISA Server 2004 Web Proxy client users try to access an external FTP site by using passive FTP functionality: 'Error Code: 502 Proxy Error'." Note that information in this article does not apply when using the Microsoft Windows® command-line FTP client, which cannot be used by Web proxy clients. In addition, the Windows command-line FTP client cannot work in Passive mode.

Nu krijg ik echter de folder view weer niet enabled