ISA und Konfiguration

[BRIX 10]

Hi @ll,

 

ich habe da mal folgende frage die ich erst mal mit einer kurzen einleitung erklären möchte.

 

also, da ist ein dc smb2003 server

 

auf diesem server läuft auch isa... oder sagen wir mal der wird gerade installiert... :D

 

Die NICs sind folgendermaßen:

 

nic1

ip: 192.168.100.12

sub:255.255.255.0

gateway: keines

dns:192.168.100.12

 

für intern

 

nic 2

ip: 10.168.100.61

sub: 255.255.255.0

gateway: 10.168.100.62 (Router)

dns: kein

 

router: 10.168.100.62

gateway: 255.255.255.0

 

für extern

 

alles klappt wunderbar. die isa-clients sind auf den ws installiert, sie erkennen auch den isa server, einträge für den proxy sind auch alleine eingetragen und pop sowie smtp per outlook express funktioniert auch super. :D

 

aber jetzt kommt es, der externe exchange server wird nicht angesprochen! habe daraufhin mit der hotline telefoniert, welche mir geraten hat die ports des isa freizuschalten. habe ich auch gemacht, d.h. alle ports sind im moment offen, aber es funktioniert immer noch nicht. der outlook 2003 mit dem ich den exchange anspreche, bringt immer wieder fehlermeldungen: exchange server steht zur zeit nicht zur verfügung.

hier muss ich sagen, das der exchange sehr wohl zur verfügung steht, a) kann ich den über https erreichen und b) hat mir das die hotline bestätigt.

 

selbst bei micrososft (http://support.microsoft.com/default.aspx?scid=kb;en-us;278339) ist nichts wirkliches zu finden. :(

 

also, vielleicht weiss ja von euch einer einen rat!

 

übrigens ist das mit dem programm prtg genau so!

 

ich denke das ich da irgendwo den isa falsch eingestellt habe.... :mad:

 

nachtrag: wenn ich den isa beende, die proxy rausnehme und die nic 1 mit dem router verbinde, dann funktioniert auch der outlook 2003 mit dem exchange, aber das ist keine lösung ;)

 

lg brix

[DerNeuling 10]

Hallo,

 

kurze Frage zum Gesamtverständnis....

 

Du sagst der Exchange steht extern.

Soll heißen es ist also nicht nötig Veröffentlichungsregeln zu erstellen?

 

Weiterleitungen nur über den Router funktionieren ?

 

Und wenn der Exchange extern steht wie hast Du das deinem Isa denn bekannt gegeben ....?

 

Könntest Du vielleicht einen Screenshot schicken.(oder zwei bis drei)

 

Würde die Sache doch schon veranschaulichen....

 

Gruß

[grizzly999 11]

Exchange extern, bei einem ISA? Würdest du uns bittte einen Gefallen tun, und zuerst dein Netz näher erklären? Der SBS-Server hat doch einen Exchange. Und beim Provider steht noch einer, der zu deiner Domäne gehört? Wo sind die DCs, wo die GCs. Ich blicke das nicht so ganz.

 

grizzly999

[BRIX 10]

Hi Ihr beiden,

 

also mal zur erklärung:

 

ich habe ein netz. im netz befindet sich ein smb2003 server mit dc funktion. auf dem dc sind zwei nics. eine für den internen netzgebrauch und eine andere für den isa um über einen router nach draußen zu kommen.

 

bevor ich den isa installiert bzw. in betrieb genommen habe, hatte ich als proxy den jana server installiert. ich habe diesen auch nur als proxy mit der minimalkonfiguration benutzt.

jetzt nach dem ich wieder etwas zeit habe zum basteln, will ich das netz weiter ausbauen. zum einen den isa auf dem smb aktivieren und in betrieb nehmen und zum anderen den exchange installieren und in betrieb nehmen. da ich aber alles langsam aufbauen möchte, damit ich auch verstehe was ich da mache, richte ich jetzt erstmal den isa ein.

installation und konfiguration funktionierten bis jetzt hervorragend. bis auf halt den fehler mit den zwei programmen. zum einen ist das outlook2003 und zum anderen ist das prtg.

 

der exchange server steht bei meinem provider, hat aber nichts mit meiner domäne zu tun. ich habe für den zugriff von meinem provider nun zwei möglichkeiten auf den exchange server drauf zuzugreifen. zum einen über die weboberfläche, was in meinem netzwerk auch hervorgaend funktioniert, zum anderen über meinen outlook 2003, was mit dem janaserver auch immer funktioniert hat. dazu musste ich in der hosts einen eintrag vornehmen.

 

hier der eintrag:

#

# Eingefügt für Ihren MS-Exchange Account

#

212.227.126.13 lyra

212.227.126.5 lyra2

 

den eintrag habe ich von meinem provider bekommen und wie gesagt, es funktionierte bislang auch immer, seitdem der isa in betrieb ist aber nicht mehr.

 

so, jetzt könnte man ja sagen, ich werde meinen lokalen exchange ja bald auch installieren, ich weiss, aber ich möchte erst den einen weg gehen und dann den nächsten. das heisst erst das eine ans laufen bringen und dann das andere.

 

ich habe übrigens zwei bücher von isa, zum einen microsoft iis5.0 und isa server 2000 (wo ich die ganze zeit die konfiguration mit durcharbeite) und zum anderen isa server 2000 von data becker.

in beiden büchern sind solche probleme nicht aufgetreten oder gar beschrieben.

 

also was und wie mache ich jetzt am besten?

 

lg brix

[grizzly999 11]

Outlook mit Exchange ist kein Freund von Firewalls und Firewall-Admins :(

Outlook connectet den RPC-Endpoint Mapper auf Port 135 und erhält dann dynamisch irgend einen Port oberhalb von 1023 mitgeteilt, ähem. Genau da liegt das Problem, im Wörtchen 'irgendeinen'. Du müstest also alle Ports von 1023-65535 ausgehend aufmachen. Abgesehen davon, dass das nicht gerade dem Sinne einer Firewall entspricht, ist das mit dem ISA so nicht möglich. Ich hatte diese Konfiguration noch nicht, Exchane nicht hinter, sondern vor dem ISA, und auch noch beim Provider, sonst würde ich sagen ein VPN ISA-Exchange wäre die Ideallösung. Daher habe ich nur eine Idee für einen Versuch: du richtest eine neue Protokolldefinition ein, meinetwegen Outlook-Outbound, Port 135 TCP ausgehend und gibst eine sekundäre Vindung an. Da trägst du dann den o.g. Portrange ein. Ich kann die nicht sagen, ob der ISA dies als sekundäre Verbindung interpretiert und den Outlook dann rauslässt. Wenn es auf diese Weise nicht klappt, dann musst du bis zu deinem eigenen Exchange weiterhin mit OWA arbeiten.

 

grizzly999

[DerNeuling 10]

Gut,

 

ist ja schon mal ein wenig Licht ins Dunkle gekommen.

 

Da sich der Exchange auf deinem ISA befindet sind schon mal keine Veröffentlichungsregeln nötig.

Hab einen SBS noch nie konfiguriert.

 

Aber schau Dir das hier mal an:

 

http://msisafaq.de/Anleitungen/Server/ISA_SBS2k.htm

 

Vielleicht hilft es Dir ja....

 

gl

[BRIX 10]

so, habe soweit alle filterregeln die im buch beschrieben sind mal durchgesehen, bis jetzt hat noch nichts zum gelingen beigetragen. aber ich denke das das irgendwie wohl geht! da muss es eine lösung geben!!!

 

@DerNeuling die seite kenn ich schon, aber leider ist die seite für das problem nicht hilfreich. ansonsten ist das eine gute seite. ;)

 

weiter testen heisst jetzt die devise... und nach lösungsansätzen suchen...

 

aber mal was anderes, ist es normal das die zweite nic im dns mit drinn steht, obwohl es eine andere ip adresse und eine andere sup ist?

 

ich gebe nochmal die daten für die jetzt konfigurierten nics durch:

 

nic1 --> internes netz

ip: 192.168.100.12

sub:255.255.255.192

gateway: keines

dns:192.168.100.12

 

 

nic 2 --> zugang zum router

ip: 10.168.100.61

sub: 255.255.255.0

gateway: 10.168.100.62 (Router)

dns: kein

 

beide nics sind auf dem smb2003!!!

 

router: 10.168.100.62

gateway: 255.255.255.0

 

wie gesagt, es funktioniert alles, bis auf dieses ****e outlook mit der verbindung zum fremden exchange

 

lg brix

[grizzly999 11]

so, habe soweit alle filterregeln die im buch beschrieben sind mal durchgesehen

Paketfilter?!

Hast du es mal so gemacht, wie ich es geschrieben hatte: Protokolldefinition 135 TCP ausgehend, sekundäre Verbindungen 1023-65535. Dann eine Protokollregel damit erstelne.

 

 

grizzly999

[BRIX 10]

Original geschrieben von grizzly999

Paketfilter?!

Hast du es mal so gemacht, wie ich es geschrieben hatte: Protokolldefinition 135 TCP ausgehend, sekundäre Verbindungen 1023-65535. Dann eine Protokollregel damit erstelne.

 

 

grizzly999

 

jawoll, habe ich auch so gemacht... trotzdem keine verbindung

 

ich weiss ja auch nicht, aber irgendeine lösung muss es ja geben. übrigens kann ich die server vom provider über tracert erreichen. er zeigt auch schön den weg durch mein netzwerk. :)

 

lg brix

[grizzly999 11]

Original geschrieben von BRIX

jawoll, habe ich auch so gemacht... trotzdem keine verbindung

 

Dann geht das nicht, sorry :(

Aber dafür hast du einen SBS, mit Exchange ;)

 

grizzly999

[BRIX 10]

Also,

 

der nächste Versuch war der, die Verbindung auf dem DC wieder zu vereinfachen, obwohl ich das nicht so ganz verstehe warum das anders dann nicht funktioniert!

 

Ich habe den zweiten nic deaktiviert, den router im gleichen sub definiert und im ersten nic die routerip als gate eingetragen.

 

das ganze lautet jetzt so:

 

nic1

ip: 192.168.100.12

sub:255.255.255.192

gateway: 192.168.100.61

dns:192.168.100.12

 

nic2

deaktiviert

 

dann habe ich im isa die protokollregel mit dem exchange rpc server port 135 eingehend konfiguriert.

siehe da, der outlook 2003 funktioniert einwandfrei! alles andere auch.

 

wie kann das? habe ich die nic2 falsch konfiguriert, oder kann outlook nicht über die zweite nic ins netz?

 

als weiteres habe ich jetzt den dienst des isa gestoppt und den outlook gestartet. das ergebnis: der outlook startet auch ohne den isa! sprich er wählt sich über die netzwerkverbindung direkt über die 1.te nic ins internet ein.

 

fazit des ganzen jetzt: der outlook konnte nicht starten, da er immer versucht hat über die erste nic ins internet zu kommen. das ganze hat mich schon stutzig gemacht, da tracert ipprovider immer den weg von der ersten nic direkt zum router ging und dann ins netz und nicht erst den weg zur 2ten nic und dann zum router um dann ins netz zu gehen.

 

jetzt habe ich etwas im outlook gestöbert, aber keine einstellungen für den internetzugang gefunden.

 

jetzt gibt es zwei fragen zu klären,

a) wie bekomme ich den outlook dazu den zweiten nic zu akzeptieren?

b) wie bekomme ich outlook dazu die verbindung über den isa aufzubauen?

 

übrigens habe ich aus den protokollregeln den port 135 wieder entfernt und siehe da, outlook funktioniert immer noch... :)

 

jaja, ich nehme das mit humor und werde versuchen das ganze noch so hinzubiegen, dass es auch funktioniert, auch wenn ich bald exchange bei mir installieren werde!

 

lg

brix

:D :D :D

[grizzly999 11]

Sorry, war mit mein Fehler (Unachtsamkeit :o ): Wenn man einen ISA-Server als Firewall mit zwei NICs betreibt, dann müssen diese natürlich in zwei verschiendenen Netzen hängen. Die Clients dürfen nur die Möglichkeit haben, über den ISA den Router zum I-Net zu erreichen. Ansonsten fungiert der ISA nicht als Router mit Firewall.

 

Und ich sach' noch: keine Bücher von Data Becker :D :D

 

grizzly999

[holgi_man 10]

Hi BRIX

 

bevor ich den isa installiert bzw. in betrieb genommen habe, hatte ich als proxy den jana server installiert. ich habe diesen auch nur als proxy mit der minimalkonfiguration benutzt.

 

Das ist genau der Punkt Du hattest keine Firewall und der ISA ist nach der Installation "ZU".

 

Könnte mir nur vorstellen die benötigten Protokolle zu verstecken mit IPSec !

 

Mit den freundlichsten

 

Holgi :)

[BRIX 10]

hi grizzly999,

 

Original geschrieben von grizzly999

Sorry, war mit mein Fehler (Unachtsamkeit :o ): Wenn man einen ISA-Server als Firewall mit zwei NICs betreibt, dann müssen diese natürlich in zwei verschiendenen Netzen hängen. Die Clients dürfen nur die Möglichkeit haben, über den ISA den Router zum I-Net zu erreichen. Ansonsten fungiert der ISA nicht als Router mit Firewall.

 

Genau das habe ich mir gedacht. und wie bringe ich outlook und die anderen programme dazu nur den isa server als zugang zum netz zu nehmen und sich nicht über die netzkarte direkt anzuwählen?

denn eines hat sich ja gezeigt, wenn ich die zweite nic aktiviere, die ja in einem anderen subnet liegt, dann funktioniert der outlook ja nicht mehr!!!

 

 

 

 

Und ich sach' noch: keine Bücher von Data Becker :D :D

 

grizzly999

 

*ggg* Wenn ich das nicht für 5€ auf der Systems bekommen hätte, hätte ich es mir nicht gekauft... :D :D :D

 

@holgi_man

welche protokolle meinst du?

weil, der jana ist ja wieder deinstalliert.

 

lg brix

[holgi_man 10]

Hi

 

die für Exchange / Outlook !

 

Wenn Du in Extras, Optionen, Mail-Setup, E-Mail Konten, eingerichtetes Konto ändern, Weitere Einstellungen, Verbindung gehst kannst Du "Über das locale Netzwerk verbinden (LAN) aktivieren (so in meinem Outlook 2002)

 

CU

 

Holgi :)