Probleme mit Forefront TMG und internen Websites

[Jeraldo 10]

Hallo Zusammen

 

Ich habe ein Problem mit unserem Forefront TMG-Server.

 

In der Grafik ist unser Netzwerk abgebildet (vereinfacht). Hinter den Firewalls sind diverse Websites gehostet, welche vom TMG publiziert werden. Dies funktioniert soweit tadellos.

 

Zudem ist ein Guest-LAN aufgebaut damit unsere Gäste in das Internet kommen. Der Zugang wird via TMG (Proxy ist deaktiviert) geführt, damit der Datenverkehr u.s.w. aufgezeichnet werden kann. Der DNS und DHCP-Dienst wird auch auf dem TMG zur Verfügung gestellt. Auch dies funktioniert alles tadellos. Auch Zugriff auf das Internet gibt keine Probleme.

 

Das Problem ist aber, das die Seiten, welche von uns gehostet werden, via Guest-Internet nicht aufgerufen werden können. Alle andere Seiten funktionieren. Auch funktionieren die internen Websiten vom TMG und auch von den Servern aus. Nur vom Guest-LAN geht das nicht.

 

Jemand eine Idee was das sein könnte?

 

Gruss

Jeraldo

[Dunkelmann 96]

Die Skizze lässt zunächst folgende mögliche Fehlerquellen vermuten:

- Die anderen beiden Firewalls erlauben keinen Verkehr vom TMG bzw. Gast-VLAN zu den Webservern

- Die Edge Firewall erlaubt keinen Verkehr von Intern/TMG an das eigene externe Interface.

- Zwischen den drei Firewalls gibt es ein Problem mit den Request und Response Pfaden. Der TMG meldet so etwas als Spoofing-Angriff

 

Ein paar Fragen habe ich noch:

- Treten die Probleme nur beim Aufruf der externen url auf?

- Können die Webser direkt per internem Namen/IP errreicht werden?

- Ist der TMG - wie in blau skizziert - tatsächlich an einem dritten Port der Edge-Firewall angeschlossen?

- Wo ist das interne Netz, aus dem die Aufrufe funktionieren?

- Was für Firewalls (Edge und Back) werden sonst noch eingesetzt?

- Als was sind die Netze am TMG deklariert - was ist intern, was ist extern, was ist DMZ?

- Wo wird NAT und wo wird Routing eingesetzt?

 

Du könntest mal folgendes versuchen:

Am TMG eine Webverkettung für die problematischen externen url erstellen und die Anforderung direkt an die internen Webserver umleiten, so dass der Weg über das externe Interface der Edge Firewall umgangen wird.