ISA 2004 - Standleitung - eigener Mailserver

[StefanWe 14]

Hi,

 

wir haben heute unsere Standleitung bekommen und den Internetzugriff eingerichtet.

 

Firewall hat die IP1.

 

IP1 wird per NAT in das Lokale Netzwerk 192.168.0.x genattet.

 

 

Mailserver hat die öffentliche IP2 und soll auf die Interne IP 192.168.0.201 verweisen.

 

Wie muss ich nun den ISA 2004 konfigurieren, das dieser richtig forwarded?

 

Bin ich in den Netzwerkregeln richtig?

 

Wenn ich eine neue Regel erstelle muss ich dann bei der Quelladresse die IP2 eintragen und bei der Ziel IP die 192.168.0.201 und als Verfahren Routing auswählen?

 

Oder bin ich ganz falsch?

 

Wenn ich in den Firewallregeln den Mailserver veröffentliche, ist der Mailserver ja nur unter der IP1 erreichbar, oder?

 

Was ebenfalls nicht schlecht wär, wenn ich z.B. IP3 und IP4 auf 192.168.0.202 weiterleiten könnte.

 

Oder geht dieses mit dem ISA2004 nicht ?

[Deejablo 10]

Öh... Mal auseinanderklamüser...

 

Firewall hat die IP1

 

Damit meinst du den ISA-Server mit einer öffentlichen IP im Internet ?!?

Gehen wir einfach mal davon aus.

 

IP1 wird per NAT in das Lokale Netzwerk 192.168.0.x genattet.

 

Wat wird gemacht? Eine öffentliche IP wird auf einen Netzwerkbereich genattet :shock: ?

Das musst du mir erklären :)

 

Mailserver hat die öffentliche IP2 und soll auf die Interne IP 192.168.0.201 verweisen.

 

IP2 läuft dann vermutlich ebenfalls über den ISA-Server und stellt die Veröffentlichung des Mail-Servers zur Verfügung?

 

Wenn ich eine neue Regel erstelle muss ich dann bei der Quelladresse die IP2 eintragen und bei der Ziel IP die 192.168.0.201 und als Verfahren Routing auswählen?

 

Welche Quelladresse zu verwendest ist dir überlassen. Falls du allerdings irgendwelche externen DNS-Lookups auf diese IP hast und bei einem Mail-Server hast du das mit an Sicherheit grenzender Wahrscheinlichkeit (Reverse DNS und OWA z.B) dann musst du natürlich die IP nehmen auf die die DNS-Verweise zeigen.

 

Ziel ist die interne IP vom Mail-Server und Protokolle wären dann z.b. SMTP oder https.

 

Wenn ich in den Firewallregeln den Mailserver veröffentliche, ist der Mailserver ja nur unter der IP1 erreichbar, oder?

 

Er ist unter der Adresse erreichbar die du als Quelladresse für die Regel verwendest.

 

Das mit IP2 und IP3 geht natürlich ebenfalls problemlos. Du kannst Listener für eingehende Webanfragen definieren und diese dann beliebig ins interne Netz routen.

 

Erlaube mir noch die Frage, ob das dein "erstes Mal" ISA-Server ist? Wirkt doch reichlich konfus ;-)

[StefanWe 14]

es ist mein 1. ISA den ich mit einer Stnadleitung und festen IPs einrichte.

 

Bei "normalen" ADSL Anschlüssen, wo die IP wechselt habe ich es so gemacht. Das ich Port 80 auf meinen Webserver weitergeleitet habe und den Rest normal ins LAN genattet habe.

 

Nun muss bei uns in der Firma das Lan ja auch irgendwie ins Internet. Ich will ja nicht jedem PC ne öffentliche IP geben. Also sollen die Clients über eine Öffentliche IP ins Internet genattet werden. ( IP1)

 

Damit meinst du den ISA-Server mit einer öffentlichen IP im Internet ?!?

Gehen wir einfach mal davon aus.

 

Das ist korrekt

 

IP2 läuft dann vermutlich ebenfalls über den ISA-Server und stellt die Veröffentlichung des Mail-Servers zur Verfügung?

 

Ja wir haben 5 Öffentliche IP Adressen für unsere Server zur Verfügung.

IP1 = Firewall und das genattete LAN.

IP2 = Mailserver

IP3 = Webserver

 

Welche Quelladresse zu verwendest ist dir überlassen. Falls du allerdings irgendwelche externen DNS-Lookups auf diese IP hast und bei einem Mail-Server hast du das mit an Sicherheit grenzender Wahrscheinlichkeit (Reverse DNS und OWA z.B) dann musst du natürlich die IP nehmen auf die die DNS-Verweise zeigen.

 

Ziel ist die interne IP vom Mail-Server und Protokolle wären dann z.b. SMTP oder https.

 

 

Also muss ich in den Firewall Regeln erstmal nichts einrichten. Sondern erstmal nur Netzwerkregeln erstellen mit Typ Routing?

 

Bzw. Wie muss ich der Firewall sagen, das sie auch Anfragen für die IP2 und 3 annehmen muss? Muss ich bei dem Lokalen Netzwerkadapter der momentan mit der IP1 angeschlossen ist, virtuelle Interfaces mit den IPs2 und 3 anlegen?Aber da ich ja keine 2 IPs in einem Subnetz auf einer Machiene haben darf, geht das ja nicht, oder?

[StefanWe 14]

hat niemand eine Idee? Oder wisst ihr nicht genau was ich meine?

 

Ich möchte eigentlich nur die IP2 auf den internen server weiterleiten und NUR die IP2.

 

 

Habe jetzt die IP2 - IP5 dem ISA Server als virtuelle IP Adressen hinterlegt.

 

Nun komm ich zwar mit jeder IP1-5 auf den Webserver, aber ich will ja NUR von der IP2 aus. IP3 usw, sollen ja später auf andere Server weitergeleitet werden. Oder kann der ISA 2004 dies nicht so expliziet?

[Deejablo 10]

Was du möchtest ist keine Routing-Regel sondern eine Serververöffentlichung/Webveröffentlichung.

 

Da du vom Mail-Server gesprochen hast nehme ich an, dass du SMTP und OWA veröffentlichen willst.

 

SMTP machst du über Firewall -> Mail-Server veröffentlichen. Dienst ist SMTP und OWA. Serveradresse ist die interne IP vom Mail-Server.

 

IP-Adressen ist die Netzwerkverbindung nach extern und dort wählst du als IP die IP2 aus. Diese muss zwingend in den Einstellungen der LAN-Verbindung als IP-Adresse hinterlegt sein. Ob als primäre oder zusätzliche spielt keine Rolle.

 

Wenn auf Adressen klickst kannst du dann explizit die IP auswählen auf der der ISA "horchen" soll.

 

Für Webveröffentlichungen gibts ebenfalls einen extra-Punkt unter Firewallregeln. Du erstellst hier allerdings erst einen Web-Listener und trägst diesen dann bei Adressen ein.

 

Gut erklärt wird das hier:

MSISAFAQ

[StefanWe 14]

also mit der webserver veröffentlichung das klappt einwandfrei. Muss ich den expliziet für einen Webserver die Webserververöffentlichung nehmen? Hab das mit dem Standartveröffentlichungsregeln gemacht und damit hat es nicht funktioniert. Naja werd mal versuchen meinen DNS bzw. FTP zu veröffentlichen. Danke erstmal.