Fragen zum ISA Server: Publishing & Proxy

[Sunny99 10]

Hallo zusammen

 

ich habe zwei Probleme mit dem ISA Server 2006. Dieser läuft als Back-Firewall mit einem Fuss in der DMZ und einem im LAN. Da später 2 SSL Webseiten veröffentlicht werden sollten, hat er 2 IP's im DMZ Segment. Zu meinen Fragen:

 

1) Wie kann ich beim publishen einer Webseite einstellen, dass die anfrage Dominion Home auf http://www.dom.com/logon geht? Diese Spezielle Seite muss auf dem Apache Webserver aufgerufen werden...

 

2) Wenn ich wie gesagt 2 IP's habe, ist es richtig dass ich dann im Listener jeder Rule die entsprechende NIC / IP zuweisen muss?

 

3) Wie kann ich den ISA als Proxy platzieren, und die Anfragen an einen weiteren Proxy (Company Headquater) weiterleiten?

 

4) Last but not least ; Wenn ich kein ISA Proxy verwende, muss ich diese Funktion deaktivieren?

 

Ich danke für eure Antworten.

 

Danke

Sunny

[Christoph35 10]

Hi, und willkommen an Board!

 

zu 1.: erstelle eine Web-Publishing-Regel, die den Zugriff auf das Homeverzeichnis (/) verbietet (mittels Deny) und dann den Redirect auf .../logon durchführt.

 

zu 2.: das ist kein muss, sondern ein kann. Meistens wird man es aber so machen, dass man die IP im Listener angibt.

 

zu 3.: Du kannst unter "Configuration" / "Networks" Web Chaining Regeln erstellen.

 

Gruß

 

Christoph

[Sunny99 10]

Hallo Christoph

 

Danke für den Willkommensgruss und die Antwort.

 

Kannst du mir zu 1) bisschen mehr sagen?

 

2) und 3) sind nun klar, vielen Dank.

 

Hast du zu 4) noch einen Tipp?

 

Grüsse

Sunny

[grizzly999 11]

Hallo Christoph

 

Danke für den Willkommensgruss und die Antwort.

 

Kannst du mir zu 1) bisschen mehr sagen?

Ich! Ich! Ich! Ich! :D:D

 

Der Weg, den Christoph vorgeschlagen hat, ist so möglich, aber nicht dafür gedacht und IMHO nicht sauber.

Um auf eine andere Webseite umzuleiten, benutzt man normalerweise auch eine Webverkettungsregel (siehe auch Christophs Antwort zu Punkt 3). Du legst in der Toolbox zuerst einen Domänennamenssatz mit der Ziel-URL an, und richtest für diesen Domänennamenssatz dann eine Webverkettungsregel ein. Das Vorgehen dabei ist selbsterklärend, wenn du den Wizard dazu startest ;)

 

 

 

Hast du zu 4) noch einen Tipp?

Was meinst du mit "Proxy"? Das Caching von Webseiten? Das kann man abschalten, wenn du es nicht brauchst.

 

 

grizzly999

[Sunny99 10]

Hi grizzly999

 

Nun wird es spannend, denn Sunny begibt sich auf Neuland ;-) Also ich habe eine Web Site publishing Rule wo die Seite veröffentlicht wird. Damit ich aber die gewünschte Page anzeigen kann, ist ja noch das /logon notwendig.

Wie empfohlen habe ich dazu unter Networks – Web Chaining eine neue Web Chaining Rule anlegen wollen. Hier die Konfig:

- Traffic from: Hier habe ich das Domain Name Set (Register a Domain, Find Hosting and Create a Website at Domain.com) eingetragen

- Action: Redirect traffic to: Hier habe ich den Webserver aus der Liste ausgesucht und die Ports mit 80 und 443 ergänzt

 

Das klappt allerdings noch nicht. Was fehlt hier noch?

 

Zu 4) Wenn nur Server veröffentlicht werden. Müssen da andere ISA Funktionen deaktiviert werden, damit BSP sich keine clients mit dem ISA verbinden (proxy) oder so?

 

Grüsse und Danke

Sunny

[Christoph35 10]

der Weg, den Christoph vorgeschlagen hat, ist so möglich, aber nicht dafür gedacht und IMHO nicht sauber.

 

Mag sein, wurde aber von Tom Shinder höchstselbst so in einer Tutorial Serie angegeben...

 

Guckst Du hier:

ISA Firewall Publishing OWA and RPC/HTTP with a Single IP Address: Part 5 - Single Exchange Server with Separate DC Scenario/LDAP Authentication

 

Christoph

[Sunny99 10]

Funktioniert denn die „Deny Rule“ auch wenn ich weiter auf http auf Port 80 und nicht auf SSL weitergehe? Denn Beim Webserver kann ich nicht auf SSL umstellen…

 

Gruss

Sunny

[Christoph35 10]

Sollte auch für http funktionieren. Musst in der Deny rule nur http://<server>/logon als Redirection-Ziel angeben.

 

Aber: hier handelt es sich doch um eine Login-Form. Die sollte IMHO schon mit SSL angeboten werden, damit die Credentials nicht im Klartext übertragen werden. Aber das muss dann auf dem Apache WebServer konfiguriert werden.

 

Hier mal ein Link zu MS bezüglich Web Publishing Rules / WebChaining Rules und Redirection:

Firewall Policy: Concepts

 

Christoph