ISA 2004 + FTP Zugriff

[Disceptator 10]

Hallo,

Folgendes Problem:

anonymous FTP Connections funktionieren prima, sobald ich aber eine authentifizierte Verbindung aufbauen möchte, leht der ISA Server diese ab.

 

Server ISA 2004 SP 3 mit allen aktuellen Updates

 

Versuchte SFTP Verbindung

 

Zugelassene Verbindung SERVER ISA 03.08.2007 16:28:10

Protokollierungstyp: Webproxy (Forward)

Status: 407 Proxyauthentifizierung ist erforderlich <------------- ich authentifiziere mich doch übder Active Directory, bin in den erlaubten Gruppen, surfen funktioniert.

Regel: FTP und SFTP - Zugriff

Quelle: Intern (Client IP:0)

Ziel: Extern ( ISA Server IP:22)

Anforderung: FTP Server:22

Filterinformationen: Req ID: 055f52a8; Req ID: 055f52a8

Protokoll: SSL-tunnel

Benutzer: anonymous

Zusätzliche Informationen

 

---------------------------------------------------

WinSCP Log

 

. 2007-08-02 18:21:41.671 --------------------------------------------------------------------------

. 2007-08-02 18:21:41.671 WinSCP Version 3.8.2 (Build 330) (OS 5.0.2195 Service Pack 4)

. 2007-08-02 18:21:41.671 Login time: Donnerstag, 2. August 2007 18:21:41

. 2007-08-02 18:21:41.671 --------------------------------------------------------------------------

. 2007-08-02 18:21:41.671 Session name: FTP - Server

. 2007-08-02 18:21:41.671 Host name: FTP - Server (Port: 22)

. 2007-08-02 18:21:41.671 User name: Username (Password: No, Key file: Yes)

. 2007-08-02 18:21:41.671 Transfer Protocol: SFTP

. 2007-08-02 18:21:41.671 SSH protocol version: 2 only; Compression: No

. 2007-08-02 18:21:41.671 Agent forwarding: No; TIS/CryptoCard: No; KI: Yes; GSSAPI: No

. 2007-08-02 18:21:41.671 Ciphers: aes,blowfish,3des,WARN,des; Ssh2DES: No

. 2007-08-02 18:21:41.671 Ping type: N, Ping interval: 30 sec; Timeout: 10 sec

. 2007-08-02 18:21:41.671 SSH Bugs: -,-,-,-,-,-,-,-

. 2007-08-02 18:21:41.671 SFTP Bugs: -,-,-

. 2007-08-02 18:21:41.671 Proxy: HTTP

. 2007-08-02 18:21:41.671 HostName: SERVER ISA (Port: 8080); Username: myusername; Passwd: Yes

. 2007-08-02 18:21:41.671 Return code variable: Autodetect; Lookup user groups: Yes

. 2007-08-02 18:21:41.671 Shell: default, EOL: 0

. 2007-08-02 18:21:41.671 Local directory: default, Remote directory: home, Update: No, Cache: Yes

. 2007-08-02 18:21:41.671 Cache directory changes: Yes, Permanent: Yes

. 2007-08-02 18:21:41.671 Clear aliases: Yes, Unset nat.vars: Yes, Resolve symlinks: Yes

. 2007-08-02 18:21:41.671 Alias LS: No, Ign LS warn: Yes, Scp1 Comp: No

. 2007-08-02 18:21:41.671 --------------------------------------------------------------------------

. 2007-08-02 18:21:41.703 Looking up host "FTP - Server"

. 2007-08-02 18:21:41.703 Connecting to 172.168.X.X (ISA Server) port 8080

. 2007-08-02 18:21:41.703 Waiting for the server to continue with the initialisation

. 2007-08-02 18:21:41.703 Looking for incoming data

. 2007-08-02 18:21:41.874 Select result is 1

. 2007-08-02 18:21:41.874 Proxy error: 407 Proxy Authentication Required ( Der ISA Server erfordert Autorisierung, um die Anforderung durchführen zu können. Der Zugriff auf den Webproxydienst wird verweigert. )

* 2007-08-02 18:21:41.874 (ESshFatal) Proxy error: 407 Proxy Authentication Required ( Der ISA Server erfordert Autorisierung, um die Anforderung durchführen zu können. Der Zugriff auf den Webproxydienst wird verweigert. )

 

 

Verstehe einfach nicht warum der sich nicht authentifizieren will... Falls mehr Infos benötigt werden, einfach posten, füge sie hinzu.

[grizzly999 11]

Hast der ISA eine NIC oder 2?

Und das ist ein spezieller FTP-Client, korrekt?

 

grizzly999

[Disceptator 10]

2 NICs eine in das externe Netz und eine in das interen Netz.

Als FTP Client WinSCP.

Normales FTP funktioniert aber auch nicht.

[Cybquest 36]

Ist beim FTP-Client der ISA als Proxy eingetragen?

Wenn's übers def. Gateway geht, läuft das als "SecureNAT" und somit ohne Bentzerauth.

Ggf. Firewallclient installieren.

[Disceptator 10]

Der Proxy ist eingetragen.

Es sind keine Gateways auf dem Client eingetragen.

Habe aber viele Secure NAT Verbindungen auf dem ISA.

Mit Firewall client funktiniert es auch nicht :/

 

Versuch über den Browser auf einen FTP Server zuzugreifen:

ohne FW Client:

Fehlgeschlagener Verbindungsversuch ISA SERVER 06.08.2007 16:27:19

Protokollierungstyp: Webproxy (Forward)

Status: 10061 Es konnte keine Verbindung hergestellt werden, da der Zielcomputer die Verbindung verweigerte.

Regel: FTP Zugriff

Quelle: Intern ( Client IP:0)

Ziel: Extern ( FTP Server IP:21)

Anforderung: GET ftp://userpass:**********@FTP-Server'>ftp://userpass:**********@FTP-Server IP/

Filterinformationen: Req ID: 12c4d7b0

Protokoll: ftp

Benutzer: anonymous

Zusätzliche Informationen

Client-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322; .NET CLR 2.0.50727)

Objektquelle: Internet Verarbeitungszeit: 891

Cacheinfo: 0x0 MIME-Typ:

 

mit FW Client:

 

Fehlgeschlagener Verbindungsversuch ISA SERVER 06.08.2007 16:43:08

Protokollierungstyp: Webproxy (Forward)

Status: 10061 Es konnte keine Verbindung hergestellt werden, da der Zielcomputer die Verbindung verweigerte.

Regel: FTP und SFTP - Zugriff

Quelle: Intern ( Client IP:0)

Ziel: Extern ( FTP Server IP:21)

Anforderung: GET ftp://userpass:**********@FTP Server IP/

Filterinformationen: Req ID: 12c4e3f1

Protokoll: ftp

Benutzer: Domänenname\Benutzername

Zusätzliche Informationen

Client-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322; .NET CLR 2.0.50727)

Objektquelle: Internet Verarbeitungszeit: 1203

Cacheinfo: 0x0 MIME-Typ:

[Disceptator 10]

wenn ich den Proxy umgehe funktioniert der Zugriff ohne Probleme, keine Rechtschreibfehler oder Vertipper.

[grizzly999 11]

Ja, das solltest du mit einem speziellen FTP-Client auch tun, den Proxy umgehen (mit einem GW-Eintrag auf den ISA zeigend). Falls du für FTP auch am ISA (NICHT für den FTP Server selber) eine Authentifizierung möchtest, musst du dann auch den Firewall Client installieren.

 

grizzly999

[Disceptator 10]

hmm, habs soweit gemacht. fuktioniert dennoch nicht, wenn ich dort nach Gruppen aufteile. 1 Gruppe ohne FTP und eine mit FTP Zugriff.

[Disceptator 10]

Habe noch alle Regeln neu definiert. Die clients die FTP Zugriff nutzen haben nun alle ein Firewallclient und den Isa als Gateway. Vielen Dank für die Hilfe! Funzt nun !:)