Portfreigabeproblem mit ISA Server 2006

[logishort 10]

Moin,

 

ich habe auf einem in der DMZ liegenden ISA Server einen VNC Server aufgesetzt und möchte diesen gerne aus dem Internet erreichen können. Leider macht mir die Portfreigabe zu schaffen.

 

Der VNC Server läuft, funktioniert grundsätzlich und verwendet Port 5901.

 

Das Netzwerk ist wie folgt aufgebaut:

 

Internet -> Eumex Router -> ISA Server 2006 auf Windows Server 2003 -> Internes Netzwerk

 

Der ISA Server hat damit logischerweise 2 Netzwerkkarten:

 

Extern : 192.168.50.100

Intern : 172.20.0.2

------------------

Router 192.168.50.1

 

Auf dem Eumex Router habe ich den Port 5901 an die externe IP Adresse des ISA Servers weitergleitet.

 

Auf dem ISA Server habe ich bereits mehrere Optionen probiert, allesamt erfolglos:

 

1. Traffic auf Port 5901 von "Extern" nach "Lokaler Host" zulassen

 

2. Traffic auf Port 5901 von "Router"(Angelegt als "Computer" und die IP hinterlegt) nach "Lokaler Host" zulassen

 

3. Server-Listener angelegt, der auf "192.168.50.1" lauscht und "127.0.0.1" veröffentlicht

 

Alle diese Regeln standen stehts über der General-Ausschlussregel von ISA Server 2006

 

Ich bin eigentlich kein Neuling in Sachen Firewalls und Netzwerke, habe allerdings immer unter Linux mit IPTABLES gearbeitet.

 

Kann mir jemand sagen, was ich falsch mache?

 

Der zweite Schritt wäre dann, einen 2. Server im Internen Netz über den Port 5902 zu erreichen. Wie würde dies funktionieren?

 

vielen Dank und viele Grüße

Christian

[Symbadisch 10]

Hallo Christian,

 

du gehst im ISA auf "Nicht-Webserver-Protokolle" und veröffentlichst den Port 5901, von "beliebig" dann kommst du auch von intern drauf und bei bis die IP-Adresse des ISA.

 

Für die weiteren Server gehst du genauso vor, gibst dann unter Datenverkehr ebenfalls den gleichen Eintrag ein, gehst auf Ports und trägst die 5902 bei Firewallports ein. Somit wird der Port 5902 extern genutzt und intern zur 5901 weitergeleitet.

 

Bei dem anderen Server lässt VNC ebenfalls auf 5901 laufen.

[logishort 10]

Hallo Sympadisch,

 

vielen Danke! Das wars!

:D

Gruß

Christian

[djmaker 95]

Du solltest den Port ändern > 10.000 (damit Script-Kiddies nicht so schnell darauf kommen das VNC dort läuft). Die bessere Variante ist aber eine VPN-Einwahl (Weiterleitung Port 1723 vom Router zum ISA).

[logishort 10]

Ja ok, werde den Port ändern.

 

Allerdings habe ich doch noch ein Problem mit der Weierleitung zum internen Server.

 

Ich habe es eingerichtet wie von Sympadisch beschrieben:

 

Datenverkehr: Beliebig

dort unter "Ports"->"Firewallports" auf "5902" geändert

Von: Alle Netze

Bis: Zieladresse des internen Servers angegeben (172.30.0.3).

 

Das interne netz ist in 2 VLAN's aufgeteilt:

A: 172.20.x.x

B: 172.30.x.x

Subnetz: 255.255.0.0

 

Ich kann aus dem 172.20.x.x Netz nun keine Verbindung zu diesem Server aufbauen. Im Grunde müsste ein Routing stattfinden. Geschieht das bereits durch die eben erwähnte Regel?

 

danke schomal!

Christian