ISA proxy server configureren

[Verwijderd]

Beste,
ik heb een werkend windows 2003 domein. Ik wou eens kijken om met ISA Server 2006 te werken en heb de trial geinstalleerd. Maar nu zit ik in de problemen bij de configuratie. Ik heb maar 1 netwerkkaart in m'n server zitten en gebruik ISA dus als proxy-server. Ik heb in de ISA managemant console een nieuwe IP-adressen-groep aangemaakt met enkele ip-adressen in van de computers waarop ik wil dat de gebruikers niet op internet kunnen. Ik heb een nieuwe policy aangemaakt met als action: Deny, protocols: ftp& http& https, from: de groep met de ipadressen, to external, condition, all users. Ik neem nu aan dat alle gebruikers op de computers die ik geselecteerd heb niet op het internet kunnen, maar ze kunnen dit toch nog...
Weet iemand waar het probleem aan kan liggen?

En ook, sinds de ISA server op de server staat, kunnen mijn clienten niet meer aan hun profiel... Weet iemand welk protocol/poorten ik hiervoor moet open zetten?
groeten

[ Voor 9% gewijzigd door Verwijderd op 20-05-2009 21:49 . Reden: toevoegen ]

[degroot]

Heb je de tutorials gelezen binnen ISA server?

Enigste wat je op dit moment afgeschermd hebt is je complete 2003 server, los van het netwerk.
Je zou op je clients moeten instellen dat je server de gateway is , maar naar mijn weten heb je daar wel 2 netwerk kaarten voor nodig , anders kan je 2k3 server niet routeren.
Als het goed is kan je vanaf de clients nu heel de 2003 niet meer bereiken(niet pingen en geen shares benaderen etc etc).
Dit komt omdat ISA out-of-the-box alles op Deny All heeft staan.

[Verwijderd]

degroot schreef op woensdag 20 mei 2009 @ 22:15:
Heb je de tutorials gelezen binnen ISA server?

Enigste wat je op dit moment afgeschermd hebt is je complete 2003 server, los van het netwerk.
Je zou op je clients moeten instellen dat je server de gateway is , maar naar mijn weten heb je daar wel 2 netwerk kaarten voor nodig , anders kan je 2k3 server niet routeren.
Als het goed is kan je vanaf de clients nu heel de 2003 niet meer bereiken(niet pingen en geen shares benaderen etc etc).
Dit komt omdat ISA out-of-the-box alles op Deny All heeft staan.

Ik heb gelezen dat je ook voor proxy enkel met 1 netwerkkaart kunt werken, dit kan je trouwens zelfs instellen bij isa. En hoe kan ik dan zorgen dat ISA niet meer alles op deny ALL heeft staan?

[degroot]

zorgen dat je een nieuwe firewall policy aanmaakt en deze ook gebruikt in de firewall.

Proxy kan inderdaad, maar moet je wel op je clients het proxy adres instellen.

[Verwijderd]

Controleren of clients daadwerkelijk de proxy ingesteld hebben, en het liefst via policies afdwingen en voorkomen dat ze het aan kunnen passen .

Verder zou je even naar de mooie log functionaliteit van isa kunnen kijken, dan weet je precies wat er allemaal binnenkomt en op basis van welke rule ermee gedaan wordt.

[mbaltus]

Verwijderd schreef op woensdag 20 mei 2009 @ 21:48:
En ook, sinds de ISA server op de server staat, kunnen mijn clienten niet meer aan hun profiel... Weet iemand welk protocol/poorten ik hiervoor moet open zetten?

Als je ISA op je Domain Controller geïnstalleerd hebt, zou ik een regel aanmaken dat alle interne clients bij de 'This System' kunnen. Als je specifieke poorten open wilt gaan zetten, dan heb je er voor AD aardig wat te gaan. Uit m'n hoofd even:

• 53/udp (DNS)
• 53/tcp (DNS)
• 88/UDP (Kerberos)
• 135/tcp (MS-RPC)
• 137/udp - 138/udp (NetBIOS)
• 139/tcp (SMB)
• 389/tcp (LDAP)
• 445/tcp (SMB, MS-ds)
• 1025/tcp - 1026/tcp (AD Login & replication)

[Vicarious]

Verwijderd schreef op vrijdag 22 mei 2009 @ 11:25:
Controleren of clients daadwerkelijk de proxy ingesteld hebben, en het liefst via policies afdwingen en voorkomen dat ze het aan kunnen passen .

Verder zou je even naar de mooie log functionaliteit van isa kunnen kijken, dan weet je precies wat er allemaal binnenkomt en op basis van welke rule ermee gedaan wordt.

Hier sluit ik me bij aan, met als toevoeging dat je ook de ISA Firewall client op al je client pc's kan uitrollen. Die client zorgt ervoor dat alle andere applicaties ook al het (niet-lokale) verkeer via de proxy gaan sturen, waardoor je dus meer kan dan alleen HTTP, HTTPS en FTP filteren.