[ISA2004] Toegang volgens whitelist principe

[Fairy]

Volgende situatie:

Bedrijf heeft een compleet AD netwerk en Windows 2000/2003 servers
Bedrijf heeft op een afdeling op de computers toegang nodig tot internet, maar enkel op bepaalde sites die op voorhand ingesteld staan.

Nu probeer ik dat te realiseren in een testomgeving.

Ik heb URL sets aangemaakt met de domeinen die mogen worden bekeken.
Daarna een deny policy aangemaakt van intern naar extern met als exception de lijst met de url's erin. Dit schijnt helaas niet de oplossing te zijn, want dit werkt niet. De client gaat als ik naar www.test.com ga, zoeken naar www.www.test.com.com zoeken etc. en geeft dan een error.

Als ik alles gewoon openzet dan werkt het wel, en blacklisten ook, maar andersom lukt het niet.

Wat doe ik verkeerd

[Verwijderd]

ik heb niet echt met isa2004 gewerkt, maar je kan 2 rules aanmaken 1 allow voor de sites die jij wilt. 1 deny voor de rest.

verder zal er best een howto zijn op isaserver.org

[ Voor 18% gewijzigd door Verwijderd op 23-12-2004 17:25 ]

[Fairy]

Ik heb op isaserver.org rond zitten struinen maar ik kan nergens een oplossing voor mijn probleem vinden.

Verwijderd schreef op donderdag 23 december 2004 @ 17:25:
ik heb niet echt met isa2004 gewerkt, maar je kan 2 rules aanmaken 1 allow voor de sites die jij wilt. 1 deny voor de rest.

verder zal er best een howto zijn op isaserver.org

Die deny staat er als standaardpolicy al in, alleen het openzetten voor bepaalde sites is niet mogelijk, het omgekeerde weer wél, maar dat wil ik niet.

Ik hoop dat iemand me hiermee kan helpen, want ik heb alles wat in mijn macht is geprobeerd en kom er niet uit

[ Voor 74% gewijzigd door Fairy op 24-12-2004 09:49 ]

[Remco]

Heb je toch echt niet goed gezocht.
Ik ben in de kerstsfeer vandaag, dus vooruit:
http://www.isaserver.org/articles/2004domainnamesets.html

[Fairy]

Remc0 schreef op vrijdag 24 december 2004 @ 10:24:
Heb je toch echt niet goed gezocht.
Ik ben in de kerstsfeer vandaag, dus vooruit:
http://www.isaserver.org/articles/2004domainnamesets.html

Ik ga het even bekijken, maar voor zover ik kan zien is dit juist blacklisten, niet whitelisten.

in ieder geval bedankt, ik print het uit en laat wel even weten of het geluk is.

[Verwijderd]

Fairy schreef op vrijdag 24 december 2004 @ 08:59:
Ik heb op isaserver.org rond zitten struinen maar ik kan nergens een oplossing voor mijn probleem vinden.


[...]


Die deny staat er als standaardpolicy al in, alleen het openzetten voor bepaalde sites is niet mogelijk, het omgekeerde weer wél, maar dat wil ik niet.

Ik hoop dat iemand me hiermee kan helpen, want ik heb alles wat in mijn macht is geprobeerd en kom er niet uit

als de deny rule voor alles er al staat, hoef je alleen nog maar een nieuwe rule aan te maken die je wel allowed. dus niet een deny met exceptions, maar een allow met een bepaald aantal sites.....

[Fairy]

Nou ik heb het voormekaar hoor

Tis een beetje omslachtig, eerst een deny rule aanmaken met een domain set als exception en dan een allow rule met die domain set aanmaken.

Thanx voor de hulp

[Firefox]

Dan heb je de volgorde niet goed staan...

In de volgorde van de rules moet de Allow voor de Deny staan (ie het RULE nummer van de Deny is hoger dan die voor Allow). Exceptions zijn echt niet nodig.

[Fairy]

Firefox schreef op maandag 27 december 2004 @ 16:48:
Dan heb je de volgorde niet goed staan...

In de volgorde van de rules moet de Allow voor de Deny staan (ie het RULE nummer van de Deny is hoger dan die voor Allow). Exceptions zijn echt niet nodig.

Dus allow hoger dan de deny? in de manual stond het dacht ik anders maar je zult wel gelijk hebben. Op dit moment werkt het wel goed.

Ik begrijp je punt en zal er morgen even naar kijken. Bedankt voor je tip !

[Grolsch]

Fairy schreef op maandag 27 december 2004 @ 17:38:
[...]


Dus allow hoger dan de deny? in de manual stond het dacht ik anders maar je zult wel gelijk hebben. Op dit moment werkt het wel goed.

Ik begrijp je punt en zal er morgen even naar kijken. Bedankt voor je tip !

is ook wel logisch, want zo werkt het altijd met policy's en volgorde

je zet de specifieke zaken boven aan (allow www.tweakers.nl - allow www.fok.nl ) en dan een deny all

als je het andersom doet, werkt niets, want de deny all komt dan als eerste aan bod.

zelfde verhaal met een firewall etc.