SBS 2003 - Ist die IP-Konfiguration so richtig?

[tzepf 10]

Guten Morgen,

 

ich habe einen SBS 2003 installiert und mit den Assistenten konfiguriert.

 

Mein Netz sieht so aus:

 

Internet <--> DSL Router (IP: 192.168.1.1) <---> (IP 192.168.1.2) SBS 2003 Server mit 2 NIC´s (IP 172.20.232.185, subnetz 255.255.255.128) <--> Internes Netz

 

 

ipconfig /all gibt folgendes aus:

Windows-IP-Konfiguration

  Hostname  . . . . . . . . . . . . : SBSERVER
  Primäres DNS-Suffix . . . . . . . : HotelErbprinz.local
  Knotentyp . . . . . . . . . . . . : Unbekannt
  IP-Routing aktiviert  . . . . . . : Ja
  WINS-Proxy aktiviert  . . . . . . : Ja
  DNS-Suffixsuchliste . . . . . . . : HotelErbprinz.local

Ethernet-Adapter LAN-Verbindung des Servers:

  Verbindungsspezifisches DNS-Suffix:
  Beschreibung  . . . . . . . . . . : Broadcom BCM5708C NetXtreme II GigE (NDIS
VBD Client)
  Physikalische Adresse . . . . . . : 00-1E-C9-E6-02-29
  DHCP aktiviert  . . . . . . . . . : Nein
  IP-Adresse. . . . . . . . . . . . : 172.20.232.185
  Subnetzmaske  . . . . . . . . . . : 255.255.255.128
  Standardgateway . . . . . . . . . :
  DNS-Server  . . . . . . . . . . . : 172.20.232.185
  Primärer WINS-Server  . . . . . . : 172.20.232.185

Ethernet-Adapter Netzwerkverbindung:

  Verbindungsspezifisches DNS-Suffix:
  Beschreibung  . . . . . . . . . . : Broadcom BCM5708C NetXtreme II GigE (NDIS
VBD Client) #2
  Physikalische Adresse . . . . . . : 00-1E-C9-E6-02-2B
  DHCP aktiviert  . . . . . . . . . : Nein
  IP-Adresse. . . . . . . . . . . . : 192.168.1.2
  Subnetzmaske  . . . . . . . . . . : 255.255.255.248
  Standardgateway . . . . . . . . . : 192.168.1.1
  DNS-Server  . . . . . . . . . . . : 172.20.232.185
  Primärer WINS-Server  . . . . . . : 192.168.1.1
  NetBIOS über TCP/IP . . . . . . . : Deaktiviert

 

Ohne installierten ISA Server geht alles, Internet für die Clients etc. Wenn ich den ISA installiere gibts Probleme, Fehler 14147 und Routenverkettungen. Stimmt irgendwas an meiner Konfiguration nicht? Bin mir selbst nich ganz sicher...

 

Was ist denn das sinnvollste? Hab als Router einen LANCOM im Einsatz, der kann ja alles. Was empfiehlt ihr denn dann?

 

In meiner Routingtabelle kommen auch komische Einträge vor (172.20.255.255), was machen die da und wo kommen die her?:

 

Aktive Routen:
    Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
         0.0.0.0          0.0.0.0      192.168.1.1      192.168.1.2      1
       127.0.0.0        255.0.0.0        127.0.0.1        127.0.0.1      1
  172.20.232.128  255.255.255.128   172.20.232.185   172.20.232.185     10
  172.20.232.146  255.255.255.255        127.0.0.1        127.0.0.1     50
  172.20.232.185  255.255.255.255        127.0.0.1        127.0.0.1     10
  172.20.255.255  255.255.255.255   172.20.232.185   172.20.232.185     10
     192.168.1.0    255.255.255.0      192.168.1.2      192.168.1.2     20
     192.168.1.2  255.255.255.255        127.0.0.1        127.0.0.1     20
   192.168.1.255  255.255.255.255      192.168.1.2      192.168.1.2     20
       224.0.0.0        240.0.0.0   172.20.232.185   172.20.232.185     10
       224.0.0.0        240.0.0.0      192.168.1.2      192.168.1.2     20
 255.255.255.255  255.255.255.255   172.20.232.185   172.20.232.185      1
 255.255.255.255  255.255.255.255      192.168.1.2      192.168.1.2      1
Standardgateway:       192.168.1.1
===========================================================================
Ständige Routen:
 Keine

Danke für jeden Tipp oder Konfigurationsvorschlafg.

 

Viele Grüße

Tobias

[TobiasNYSE 10]

... wie lautet denn die IP-Client configurations

[tzepf 10]

die clients werden per dhcp vom sbs versorgt:

 

bereich 172.20.232.129 bis 254 mit ein paar ausgeschlossenen bereichen

 

gateway, dns und wins ist der server 172.20.232.185

 

wenn du sonst noch was wissen willst gib bescheid!

 

viele grüße

tobias

[Cybquest 36]

Sind im ISA die Netze und Netzwerkregeln korrekt?

Schau ggf. mal hier:

Troubleshooting Network Configuration in ISA Server 2004

 

Auszug:

Problem: ISA Server is logging Event 14147: ISA Server detected routes through adapter adapter_name that do not correlate with the network element to which this adapter belongs. The address ranges in conflict are: ip_range.

 

This indicates that routes not associated with a network object were detected.

 

Cause: ISA Server uses the route table and route entries associated with a network interface to understand the network topology. This event is issued when there is a mismatch between the routing table and the IP address ranges associated with an ISA Server network object.

 

Solution: Troubleshoot this issue by checking the following:

 

Check that the same IP addresses are not configured in more than one network.

 

Verify that the IP address range is configured correctly for the network object. You can reconfigure the network object by removing the IP address ranges associated with it, and then using Add Adapter to select the specific adapter you want to associate with the network.

 

If IP addresses are not configured correctly after using Add Adapter, check that the routing table is configured correctly. In particular, if there are any remote subnets connected to the network associated with the adapter, check the following:

 

Static routes are defined to reach the remote subnet.

 

The ISA Server network definition includes the IP address range of the remote subnet.

bearbeitet 26. Juni 2009 von Cybquest
Schreibfehler ;)

[tzepf 10]

also nochmal zur grundsätzlichen ip konfiguration: ist die okay soweit?

 

im isa hab ich das mit dem adapter hinzufügen schon gemacht. wenn ich den hinzufüge hat er als adresse beim adapter komischerweise auch 172.20.255.255 stehen. im bereich taucht die dann allerdings nicht auf... die adresse ist auch grund für den fehler 14147!

 

und ich weiß immer noch nicht wo die herkommt... also muss doch irgendwo ein haken sein?!

 

hab den isa deinstalliert und als ich ihn wieder installiert hab ging dann net mal das internet am server... also wieder runter und da steh ich jetzt :)

[Cybquest 36]

172er Adressen sind Class B Adressen, daher wäre die 172.20.255.255 die Broadcastadresse.

 

Auf der externen Seite würde ich übrigens DNS und WINS Eintrag weg lassen.

[tzepf 10]

hmm ist bei meinem subnet nicht 172.20.232.255 der broadcast? habe ja 255.255.255.128 als subnetz und kann diesleider net ändern

 

was bringt das weglassen? kann das ein grund für das komische isa verhalten sein`? kanns erst montag ausprobieren.

 

gruß

tobias

bearbeitet 26. Juni 2009 von tzepf

[TobiasNYSE 10]

also nochmal zur grundsätzlichen ip konfiguration: ist die okay soweit?

 

... sieht soweit ganz gut aus, dein Subnet mit der Netzadresse: 172.20.232.128 besitzt die Brodcastadresse 172.20.232.255. Bei der BC Adresse 172.20.255.255 handelt es sich um ein anderes Netz, (NA:172.20.255.128), da du ja die Subnetadresse 255.255.255.128 verwendest (und nicht die 255.255.0.0)

 

Ich würde aber noch den "Primärern WINS-Server verweis" auf den LANCOM Router aus der IP-Config. entfernen.

 

Denke hier hängt es an der ISA Config. würde auch empfehlen wenn möglich den ISA Server vom SBS zu trennen, am besten physisch, oder aber zumindest logisch in eine VM.

 

Aus sicherheitsgründen auf jedenfall anzuraten, am besten in eine DMZ

 

MS Support:

Client computers cannot access external resources, and event ID 14147 appears in the Application log in ISA Server 2006, ISA Server 2004, Microsoft Forefront Threat Management Gateway, Medium Business Edition, or Windows Essential Business Server 200

 

Sehr gute ISA FAQ von einem MVP:

DMZ

[tzepf 10]

nabend,

 

danke für die ausführliche antwort!

 

das mit dem isa in der vm ist ne gute idee...

 

den wins schmeiß ich raus, soll ich auch wie dein vorschreiber empfohlen hat den dns an der externen nic rausnehmen?

 

gruß

tobias

[TobiasNYSE 10]

soll ich auch wie dein vorschreiber empfohlen hat den dns an der externen nic rausnehmen?

 

... genau, oder die adresse 192.168.1.1 setzen.

[tzepf 10]

also ich habe das ganze jetzt geändert. interessante beobachtung: nach jedem ausführen des internetassistenten wird die 172.20.232.185 als dns an der externen nic eingetragen.

 

wenn ich den isa installiere komme ich nicht mehr ins internet, eine proxykettenschleife ist das problem. das zweite problem am isa ist das mit den routen über 172.20.255.255

wenn der isa dann läuft komm ich nur ins netz wenn ich den webproxyfilter ausschalte. andere wege habe ich nicht gefunden.

 

zudem gehen weder vpn (da kommt fehler 806, das liegt aber definitiv am isa, denn ohne isa gehts) und ftp geht gar nicht.

 

will mir nicht jemand den isa konfigurieren...

 

viele grüße

tobias