ISA Server und RemotelyAnywhere

[asot00 10]

Muss der ISA immer als Standardgateway konfiguriert sien, obwohl ein gleiches Subnetz ohne Router verwendet wird?

[grizzly999 11]

Wenn Verbindungen von aussen (Internet) kommen, und der ISA darauf antworten soll, ja.

 

grizzly999

[asot00 10]

Wenn ein Router dazwischen ist gilt das wohl nicht mehr, oder?

 

Client (Internet) -> Router -> ISA01

 

 

 

 

P.S.

Danke grizzly999 für deine schnelle, kompetente und hilfreiche Unterstützung.

So komm ich meiner MS 70-350 näher.

[grizzly999 11]

Doch, sofern in der Publishing Rule steht "Absender scheint der Client zu sein". Dann hat das Paket am Ziel ja eine beliebige offizielle Adresse als Absender, und die kann der angesprochene Rechner nur über ein Standardgateway erreichen.

Wenn in der Publishing Rule allerdings eingetragen ist, "Absender schient der ISA Server zu sein" hat das Paket beim Ziel eine interne Adresse (die der ISA NIC intern) und der Cleint braucht kein SG.

 

grizzly999

[asot00 10]

Ich muss doch zwangsläufig bei dem externen Client als SG die Router IP angeben, damit die Internetverbindung läuft.

[grizzly999 11]

Ich muss doch zwangsläufig bei dem externen Client als SG die Router IP angeben, damit die Internetverbindung läuft.

:confused:

 

Dein Client steht irgendwo im Internet und hat dort einen Zugang in dasselbe, über einen Router, ein Modem, eine UMTS-Karte, oder sonst was .....

 

Ich hatte vorher aber auch vom SG-Eintrag auf dem/den veröffentlichten Servern gesprochen, nicht von irgendwelchen Clients

 

 

grizzly999

[asot00 10]

Wie sieht es denn bei anonymen Benutzern aus, die auf meinen internen Webserver zugreifen. Die kennen die SG des ISA servers doch gar nicht.

[grizzly999 11]

Wieso sollte jemand im Internet das SG deines ISA kennen müssen. Der muss seins kennen (zumindest mus sien Computer das kennen). Und dein ISA muss seines kennen.

 

Tipp: Mir dünkt, dass dir eine Menge TCP/IP-Grundlagen fehlen. Diese solltest du zuerst legen, BEVOR du eine Firewall administrieren möchtest, den für eine Firewall-Administration geht ohne fundiertes TCP/IP Wissen gar nichts, und das nicht nur bzgl. der technischen Einrichtung.

 

grizzly999

[asot00 10]

TCP/IP versteh ich schon, nur die Konfig in der Firewall ist etwas verwirrend

 

So hab das heute noch einmal alles getestet. Das Problem ist immer noch da.

 

"Ursprung ist der Client" ist keine Kommunikation möglich.

 

Außerdem kann ich alle Serververöffentlichungen nur über die IP ansprechen, über FQDN ist auch keine Kommunikation möglich.

[grizzly999 11]

"Ursprung ist der Client" ist keine Kommunikation möglich.

Hat denn der veröffentlichte Server jetzt den ISA als SG eingetragen?

Wie sieht denn die Konfig (Server,ISA,Client, usw.) im einzelnen aus?

 

Außerdem kann ich alle Serververöffentlichungen nur über die IP ansprechen, über FQDN ist auch keine Kommunikation möglich.

Weil der Client mit Sicherheit keine entsprechende Namensauflösung hat.

 

grizzl999

[asot00 10]

Hat denn der veröffentlichte Server jetzt den ISA als SG eingetragen?

Wie sieht denn die Konfig (Server,ISA,Client, usw.) im einzelnen aus?

 

 

Weil der Client mit Sicherheit keine entsprechende Namensauflösung hat.

 

grizzl999

 

Der veröffentliche Server hat als SG den ISA Server:

 

Meine Konfig: SERVER01 (IP:192.168.50.1, SG:192.168.50.3, DNS:192.168.50.1)

ISA LAN (IP:192.168.50.3, DNS:192.168.50.1)

ISA WAN( IP:192.168.11.30, SG:192.168.11.1, DNS:192.168.11.1)

Router (IP:192.168.11.1)

 

CLIENT extern(IP:192.168.11.20, SG:192.168.11.30, DNS:192.168.11.1

und DNS:192.168.11.30)

[asot00 10]

 

Weil der Client mit Sicherheit keine entsprechende Namensauflösung hat.

 

grizzl999

 

Die Namensauflösung wollte ich so lösen: FQDNs im internen DNS eingetragen

z.b. CNAME Eintrag: exchange.local -> Server-IP

webserver.local- >Server IP

 

DNS Zugriffsregel von extern nach intern oder DNS Serververöffentlichung. Beides wollte irgendwie nicht funktionieren

[grizzly999 11]

Wieso hat dein ISA zwei DNS auf zwei NICs eingetragen? Einer sollte es nur sein, und zwar der interne (ich nehme an, es ist eine AD-Domäne mit DC=192.168.50.1).

 

Der Client hat ja den ISA als alternativen DNS. Unnötig, wenn der "externe" DNS (11.1, wer ist das?) richtig auflöst (vora llem wenn der erste erreicht wird, fragt er gar nie den alterneativen DNS an, von daher hilft da keine Veröffentlichungsregel).

Da scheint das Namensauflösungsproblem des Clients zu liegen

 

BTW: Das gehört auch alle zu TCP/IP Grundlagen ;)

 

 

grizzly999

[asot00 10]

Ich brauch doch den DNS auf der WAN Schnittstelle um aufs Internet zuzugreifen. Das der Client zwie DNS Einträge hat, ist nicht Standard, natürlcih reicht eine. Aber auch das löst mein Problem nicht. Wenn nichts geht, probiert man halt aus.

[asot00 10]

Ich brauch doch den DNS auf der WAN Schnittstelle um aufs Internet zuzugreifen. Das der Client zwie DNS Einträge hat, ist nicht Standard, natürlcih reicht eine. Aber auch das löst mein Problem nicht. Wenn nichts geht, probiert man halt aus.

 

Wie müsste denn die Konfig deiner Meinung nach aussehen?