Integriete Windows Authentifizierung

[Aqvisator 10]

Hi folks,

 

Habe da noch ne frage zum thema ISA / Webproxy

Wenn ich die Integrierte Windows Authentifizierung aktiviere,

bekomme ich immer wenn ich dann eine Webseite aufrufe eine

Benutzername/Passwort Abfrage. Authentifiziert bin ich dann schon,

was ich ja am ISA sehen kann, und das Abfrage Fenster muß ich dann

durch Abbrechen wieder schließen. Nur das währe für ein Produktiv

System schon ein wenig nervig.

 

Ist das so? Oder hab ich irgend was falsch gemacht?

 

Gruß

Aqvisator

[scotty23 10]

Hi,

 

benutzt du den FirewallClient ??

ISA Server im AD integriert ?

Kommt die Meldung nur beim Ersten mal oder ständig ??

 

ciao

scotty23

[Aqvisator 10]

Hallo scotty23,

 

Benutze den Webproxyclient

ISA im AD intregiert.

Meldung kommt immer beim ersten mal wenn man

den Browser öffnet. Einmal offen kann man Surfen

ohne abfrage. Wenn man den Browser wieder schließt,

und dann wieder neu öffnet, kommt das Fenster wieder..

 

Gruß

Aqvisator

[Andyt8 10]

Ist dieses Verhalten jetzt normal? Habe hier nämlich ein ähnliches verhalten:

 

ISA 2004 SP1, ISA ist AD Member, Clients mit dem ISA Firewall Client, Integrierte Authentifizierung....

 

 

...Benutzer werden aber immer wieder nach einem Benutzer und Passwort gefragt. Soweit ich weis wird aber für Webanfragen (HTTP, HTTPS, FTP) sowieso immer ein Webproxy verwendet.

 

Wäre eine Authentifizierung via Radius hier besser? Also würde es dann zu keiner Benutzeraufforderung (Passwort, Benutzer) kommen?

[grizzly999 11]

Ich vermisse bei deiner Aufzählung, dass die Rechner auch Webproxyclient sind. Das würde dann ziemlich wahrscheinlich auch die Ursache sein

 

Soweit ich weis wird aber für Webanfragen (HTTP, HTTPS, FTP) sowieso immer ein Webproxy verwendet

Wenn du den Webproxy-Dienst des ISA-Server meinst, dann kommt es drauf an, wie das eingestellt ist. Es geht auch ohne.

 

 

grizzly999

[Andyt8 10]

Ich vermisse bei deiner Aufzählung, dass die Rechner auch Webproxyclient sind. Das würde dann ziemlich wahrscheinlich auch die Ursache sein

 

 

Wenn du den Webproxy-Dienst des ISA-Server meinst, dann kommt es drauf an, wie das eingestellt ist. Es geht auch ohne.

 

Und wie geht das ohne?

 

Am Anfang war der ISA 2004 als transparenter Proxy konfiguiert (standard nach Installation). Mit einer Firewallrichtlinie für HTTP war z.B: mit IE od. Firefox der Zugriff möglich. So nun wurden zwei Erweiterungen (TrafficQuota und WebMonitor) verwendet.

Des Weiteren wurden von mir einige weitere Firewallrichtlinien eingerichtet. Seit dem geht es mit dem transparenten Proxy nicht mehr (denke es liegt an der Regel für die Verweigerung mancher Webseiten). Ohne Einstellung für einen Proxy wird jeder Zugriff auf das Internet verweigert. Nun wurde bei allen Browsern "automatische Proxysuche" eingestellt. WPAD wurde im DNS und DHCP hinterlegt. Das funktioniert ohne Probleme. Auch der Firewall Client wurde dann per GPO verteilt. Dieser findet auch automatisch den ISA Server. Dies eigentlich auch für andere verwendete Programme aufgrund der Authentifizierung und Proxyumleitung...

...so kommt nun Outlook z.B. auch ins Internet.

 

Für den TrafficQuota Filter wird zwingend eine Authentifizierung benötigt. Daher auch der Grund dafür. Jedoch gestern habe ich dann noch die Regeln umgedreht und anders eingestellt. Aktuell wird die Authentifizierung nicht verlangt, jedoch z.B. für HTTP wurde bei Benutzer nicht "Alle Benutzer" eingegeben. Hierbei muss dann authentifziert werden. Aktuell geht es nun ohne weitere Passworteingaben.

Was mir noch etwas Unklar ist, ist die SecureNAT, Webproxyclient und Firewallclient Sitzungen im ISA Server. Dann steht nun unter anderem bei Benutzer manchmal immernoch "anonymous". Bei einigen auch der Benutzername mit hinten einem Fragezeichen, z.B. wenn ich meinen Login nehme: Andyt8 (?).

Aktuelle habe ich 19 Firewallclient-, 23 SecureNAT- und 8 Webproxy Sitzungen. Wann wird wo und warum welche Sitzung aufgebaut. Denn hier ist oftmals der eine od. andere Client (IP-Adresse / Benutzer / Computer -> alles das "gleiche") mehrfach aufgeführt?

 

Was mir aktuell noch einfällt. Zwar etwas OT, hat aber auch mit dem ISA zu tun. Ich habe den Cache auch aktiviert. Aktuell sind ungefähr 3 GB gebraucht. 40 GB sind insgesamt möglich (ohne RAM). Werden hier auch Downloads (EXE, PDF, ZIP, etc.) zwischengespeichert? Normalerweise sollten diese, sofern HTTP, HTTPS od. FTP verwendet wird? Oder sehe ich hier was falsch? Aktuell sieht es für mich aus, als ob diese immer erneut heruntergeladen werden...

 

edit: Noch was betreffen ISA 2004, jedoch jetzt zu der Berichterstellung. Wo sieht man hier wirklich den Gesamttraffic (nicht nur Webtraffic von HTTP, HTTPS und FTP)? Außerdem warum wird hier bei manchen Statistiken "Unbekannt" angegeben? Sonst steht da eine IP od. ein Benutzer. Komisch ist halt das "Unbekannt" den meisten Traffic verursachte...

[Aqvisator 10]

Um noch nochmal auf meine Frage zurück zu kommen,

 

unter Sitzungen sehe ich den User dann auch mit seinem Loginnamen. Auch dann

wenn er in der Abfrage nach Benutzernamen und Passwort nichts eintippt, oder auf

abbrechen klickt. Frage ist halt nur, warum kommt das Fenster trotzem immer wieder?

Und, kann man das irgendwie unterbinden?

 

Danke nochmal für eure mühen!

 

Gruß

Sven

[Andyt8 10]

Also bei uns kommt nun kein Fenster mehr - zumindestens beim IE. Wenn man Firefox nehmen möchte, ist es klar das dann ein Fenster kommt. Passwort kann man aber dort mit dem integriertem Manager auch speichern.

 

Aktuell ist jetzt bei Webproxy die notwendige Authentifizierung eingestellt. Dazu wurde dann noch für die Routinginformationen lt. Microsoft Knowledgebase 491553 ( http://support.microsoft.com/default.aspx?scid=kb;en-us;885683 ) anonymer Zugriff erlaubt. Firewall Client vom ISA 2004 beherscht u.a. keine Authentifizierung für diese Informationen...