Aktaion

Versendest du über Smarthost oder direkt?

Ist auf dem Server Mcafee/NAI 8.0 installiert und der Portfilter(Port 25) aktiv? Kannst du über Telnet dich mit einem anderen Mailserver verbinden?

Ich hoffe das hilft dein Problem einzugrenzen...

Hi wir haben mal 2x eine NetScreen 50 als externe Firewall für eine DMZ eingesetzt und das Portforwarding zur Internen(ISA Server 2004) (IPSec VPN) eingerichtet. Das war etwas Tricky - steht aber in der Bedienungsanleitung des Gerätes ich hab leider keine hier zum Ausprobieren, aber in grauer Erinnerung war das bei den Eigenschaften des externen Interfaces. Ich schau mal ob ich es für dich in der Anleitung (hoffentlich hab ich das PDF noch) finde...

Zuerst würde ich einfach mal so auf einen Virenscanner tippen...

Klingt mir nach einer Anmeldebeschränkung via Accountverwaltung oder GPO und sollte in den Eventlogs zu finden sein.

192.168.1.0 beschreibt das Netzwerk für das der Server IP Adressen verwaltet...

Wenn es nur ums Surfen geht installier doch einen kostenfreien Proxy Server (geht Jana auf Windows98SE ?)...

Btw. Windows 98SE != sicher

Es ist sogar theretisch möglich Daten zu übertragen indem man über einen legetimen Prot legitime Pakete sendet und diese unterschiedlich lang macht, aber dazu sag ich weiter lieber nix :D

Also WICHTIG! Ihr müsst Logs kontrollieren und den Traffic -. Am ehesten erkannt man einen Tunnel daran, dass ungewöhnliche Veränderungen des Traffics auftreten. Z.B. erhöter Upload via HTTPS oder auch anderer Protokolle.

Der Ping auf die Broadcastadresse bedeutet so eine Art Rundruf an alle und wird von den meisten Firewalls verworfen und dahrer erhält man da selten Ergebnisse. Deinen MAC scheint das net zu stören.

Jau eben nochmal im Kopf überschlagen und klingt logisch :D

Ich mach in solchen Fällen nen NT-Backup to File und danach ne Wiederherstellung zum Zielort :D

Und pass auf, dass du den Server danach noch gebootet bekommst. Solche Controller haben meist 2 Treiberversionen. Einen zum normalbetrieb SATA und einen RAID Treiber. Also aufpassen sonst bekommste eventuell nen "inaccessible bootdevice"!

Applikation Layer untersucht den http Datenstrom ob er gewissen Kriterien (eintellbare Sicherheitsparameter) entspricht. Eventuell kann das dein Router, wenn ja ist gut, wenn nein würde ich davon abraten. Aber das ganze kommt immer auf die Relationen, also wie wichtig sind die Daten usw, an.

Aufgrund Deiner wenigen Informationen müsste ich raten. Die Qualität der Frage bestimmt die Qualität der Antworten.

:D :D :D :D

So genug gelacht, ich tippe mal einfach ins Blaue hinaus und sage DNS/WINS Einstellungen fehlerhaft. (DNS überprüfen)

Leider erlauben viele neue Router diese Art der VPN Verbindung nicht. Mir wurde gesagt, dass es daran liegt das die neuen Router keinen AH sondern nur ESP Tunnel erlauben.

Bitte wendet euch bei solch sicherheitsrelevanten Fragen an Profis!! So eine Aussage zu treffen (bei deiner Ausgangslage) ist fast schon ne Frechheit :shock:

m Moment baust Du einen PPTP-Tunnel auf, der mit IPSec, also auch mit AH und ESP überhaupt nichts zu tun hat. Deine Router werden sicher den TCP-Port 1723 (PPTP) nach innen leiten können. Was eventuell Probleme bereiten könnte ist GRE (IP-Protokoll 47), welches für die Kapselung der PPP-Rahmen benutzt wird. Überprüfe doch mal, zur Not mit Hilfe des Herstellers der Geräte, ob Deine Geräte sowas zulassen, bevor Du alles ummodelst.

IPSec allerdings ist ohne Frage die bessere Lösung, die zwar komplizierter zu handhaben ist, aber,wenn es dann läuft, als sehr sehr sicher gilt.

/signed

Nochmal kurze Begriffsklärung IPSec:

- AH bestätigt dir lediglich, dass deine Daten nicht modifiziert wurden! (daher nicht mit NAT verwendbar)

- ESP sorgt für die Verschlüsselung deiner Daten.

Am IIS 6 auf dem Windows 2003 Server ist nicht viel auszusetzen. Ich würde allerdings den Server nicht ungeschützt ins Internet stellen und daher ne Applikation Layer Firewall davor packen. Wenn du bei Microsoft bleiben willst ISA2004 ansonsten z.B. eine kleine Netscreen oder Checkpoint Lösung.

BTW: IIS 5 (Windows2000 Server) würde ich nicht ohne URLSCAN betreiben .)

Aber es gibt ein nettes Tool um die Sicherheit deines Webservers zu überprüfen!

Testtool

Dein Router kann aber auch NAT zwischen öffentlichen und öffentlichen Adressen? Weil afaik ist NAT zum umsetzen von privaten in öffentliche gedacht - eventuell liegt da dein Problem.

EDIT: Stimmt das Routing auf dem Webserver? D.h. default gateway auf den externen Router?

Sry mir ist der Thread aus den Augen geraten. Aber als ich eben die Webcasts der MS Seite angeschaut hab, ist mit der aufgefallen. Ich denke der Hilft bei einigen Fragen zum ISA 2004 ;)

WEBCAST ISA 2004

Ist dein IP Adressbereich in der DMZ öffentlich oder privat?

Poste am besten mal ne Ausgabe von

ipconfig /all

Wenn es dir aus sicherheitstechnischen Gründen nicht möglich ist, ersetze eben die IP-Adressen durch Gleichwertiges ...(aber nicht aus privaten öffentliche machen und umgekehrt)

Kannst du deiner Anwendung nicht sagen, sie soll einen Port <1024 nehmen, der noch nicht von einer anderen belegt ist (laut RFC) da gibts doch noch freie...

Indem deine Anwendung den Port gleich beim Starten belegt und das dauerhaft, dann kann keine andere Anwendung diesen Port mehr benutzen.

Eventuell ist die "Einfache Dateifreigabe" aktiviert und der Gast Account deaktiviert?

Löscht du Laufwerksmappings vor dem Erstellen neuer Zuweisungen im Script? Wenn das Trennen hilft - dann selektier deine USER via Batch und trenne denen das Netzlaufwerk, um es dann neu zu mappen. Ich weiß ist keine Lösung, aber eventuell nen Workaround :D fahren die betreffenden Workstations alle das selbe OS?

Ich versuche den Kunden immer auszureden SMB, Datenbankzugriffe usw. direkt über VPN zu machen. Besser finde ich den VPN Usern einen Terminalserver bereitzustellen und die Firewall so dicht zu machen, dass die VPN User nur RDP fürfen nicht mehr nicht weniger. Daraus ergeben sich verschiedenste Vortteile. Z.B. musst du dann nicht unbedingt auf die Virenfreiheit der Notebooks vertrauen müssen.

Kenne zumindest keinen Virus der sich via RDP verbreitet :P

Die Client PC authentifizieren sich unter 2 Gesichtspunkten am ISA Server:

a) wenn du ihn als Proxy Server angibst

b) wenn der ISA Client installiert wird

Wenn du also den ISA "nur" als Standard-Gateway einträgst, dann erscheinen nur noch "Anonymous" Benutzer.

Zudem würde es helfen wenn du die Ausgabe von

route print

mal hier postest.

Beschreibung:

ISA Server hat einen Netzwerkadapter ermittelt, der über Verbindungen mit mehreren Netzwerken verfügt. Adresse 192.168.107.190 gehört Netzwerk "EF1" und Adresse 192.168.104.190 gehört Netzwerk "AB1 Frickenhausen" an.

Ich tippe auch auf APC und ausgelaufene JAVA Lizenz :D