نصب ISA server

[hadi2010]

با قبولی طاعات و عبادات

سوالی داشتم از اونجا که گفته میشه نباید آیزا رو روی دی سی نصب کرد سوال داشتم آیا سیستمی که آیزا روش نصب میشه باید عضو دامین کنترلر باشه یا می تونه ورک گروپ کار کنه ؟

من آیزا رو روی یه سرور 2003 عضو دامین کنترلر نصب کردم این سیستم دو تا کارت شبکه داره یکی خارجی هست که ای پی براش ست نکردم چون داینامیک از سرویس دهنده اینترنتم آی پی می گیره اون کارت شبکه هم یه رنج 192 هستش


همون طور که می دونید آیزا پیش فرض همه درخواست ها رو حذف می کنه به عبارتی با ایزای پیش فرض شما نمی تونید با DNS یا DHCP ارتباط برقرار کنید در صورتی که کلاینت ها من خیلی راحت از DHCP داره آی پی می گیره در ضمن default gateway همه ی آداپتورهای شبکه به ای پی آیزا اشاره می کنه و آی پی DNS هم درست ست شده

مشکل کجاست ؟

---

موضوعات مشابه:

• Migrating DHCP from Windows 2000 Server/Windows Server 2003 to Windows Server 2008
• Failover Clustering for Windows Server 2008 Hyper-V with File Server Storage
• Configuring Windows Server 2003-based ISA Server Firewall/VPN Server to Accept inbound NAT-T L2TP/IP

---

[mahyar49]

با قبولی طاعات و عبادات

سوالی داشتم از اونجا که گفته میشه نباید آیزا رو روی دی سی نصب کرد سوال داشتم آیا سیستمی که آیزا روش نصب میشه باید عضو دامین کنترلر باشه یا می تونه ورک گروپ کار کنه ؟

من آیزا رو روی یه سرور 2003 عضو دامین کنترلر نصب کردم این سیستم دو تا کارت شبکه داره یکی خارجی هست که ای پی براش ست نکردم چون داینامیک از سرویس دهنده اینترنتم آی پی می گیره اون کارت شبکه هم یه رنج 192 هستش


همون طور که می دونید آیزا پیش فرض همه درخواست ها رو حذف می کنه به عبارتی با ایزای پیش فرض شما نمی تونید با DNS یا DHCP ارتباط برقرار کنید در صورتی که کلاینت ها من خیلی راحت از DHCP داره آی پی می گیره در ضمن default gateway همه ی آداپتورهای شبکه به ای پی آیزا اشاره می کنه و آی پی DNS هم درست ست شده

مشکل کجاست ؟

سلام
در مورد سوال اولت باید طبق سناریوی که شما طراحی کردی عمل کنی
در مورد عضو بودن یا نبودن آیزا بحث زیاد شده اما در کل توصیه میشه که عضو نباشه(مسائل امنیتی)
فرض کن سرورت تحت نفوذ قرار گرفت اگه آیزا عضو باشه نفوذگر به تمامی اطلاعات کاربرها و اکتیودایرکتوری دسترسی داره...

ن آیزا رو روی یه سرور 2003 عضو دامین کنترلر نصب کردم این سیستم دو تا کارت شبکه داره یکی خارجی هست که ای پی براش ست نکردم چون داینامیک از سرویس دهنده اینترنتم آی پی می گیره اون کارت شبکه هم یه رنج 192 هستش

نمی تونی که Ip برای کارت شبکه ست نکنی!
منظورت اینکه از dhcp میگیره؟

همون طور که می دونید آیزا پیش فرض همه درخواست ها رو حذف می کنه به عبارتی با ایزای پیش فرض شما نمی تونید با DNS یا DHCP ارتباط برقرار کنید در صورتی که کلاینت ها من خیلی راحت از DHCP داره آی پی می گیره در ضمن default gateway همه ی آداپتورهای شبکه به ای پی آیزا اشاره می کنه و آی پی DNS هم درست ست

درخواست ها رو حذف نمی کنه ، بلاک می کنه
شک دارم در مورد این نوشته ام و از دوستان دعوت می کنم که بحث کنن در مورد صحبت من و اگر درسته تائید کنند:
خود آیزا dhcp نیست و کامپیوترها یه درخواست broadcast می کنن و dhcp سرور شما جوابش رو میده
اگه خود ایزا dhcp سرور هم بود باید ارتباط قطع میشد

dhcp server شبکه ات چیه؟
رو سوئیچه؟

[hadi2010]

ممنون

کارت اکسترنال که آی پی دینامیک از ISP می گیره بعبارتی آی پی valid نداره برای کارت شبکه اینترنال هم یه آی پی Invalid ست کردم کلاینت ها به راحتی طبق تنظیم رول ها دارند با اینترنت کار می کنند منتها من هنوز برای DHCP و یا DNS رولی رو ست نکردم به عبارتی کلاینت طبق برداشت من نباید آی پی داینامیک دریافت کنه ولی این کار رو میکنه

من DHCP رو روی DC نصب کردم ویندوز 2003 همچنین آیزا رو هم روی یک سرور عضو دامین کنترولر الان هم طبق پیشنهاد خوب شما میرم از دامین کنترلر خارجش کنم تستی بکنم

[mahyar49]

ممنون

کارت اکسترنال که آی پی دینامیک از ISP می گیره بعبارتی آی پی valid نداره برای کارت شبکه اینترنال هم یه آی پی Invalid ست کردم کلاینت ها به راحتی طبق تنظیم رول ها دارند با اینترنت کار می کنند منتها من هنوز برای DHCP و یا DNS رولی رو ست نکردم به عبارتی کلاینت طبق برداشت من نباید آی پی داینامیک دریافت کنه ولی این کار رو میکنه

من DHCP رو روی DC نصب کردم ویندوز 2003 همچنین آیزا رو هم روی یک سرور عضو دامین کنترولر الان هم طبق پیشنهاد خوب شما میرم از دامین کنترلر خارجش کنم تستی بکنم

سلام
یکمی در مورد ایپی ها من سردرگم شدم
پیشنهاد میکنم تاپیک زیر را مطالعه کنید و سپس در مورد ایپی ها دوباره توضیح بدید:
چند مفهوم در مورد IP - توضیح چند مفهوم عمومی

من می خوام به صورت کاملا اصولی با این مبحث آشنا بشیم و بتونیم در مورد ip همه جا درست صحبت کنیم...

[hadi2010]

شرمنده رفیق من یه اشتباه لپی کردم منظور من از valid و invalid همون public و private بود

[mahyar49]

ممنون

کارت اکسترنال که آی پی دینامیک از ISP می گیره بعبارتی آی پی valid نداره برای کارت شبکه اینترنال هم یه آی پی Invalid ست کردم کلاینت ها به راحتی طبق تنظیم رول ها دارند با اینترنت کار می کنند منتها من هنوز برای DHCP و یا DNS رولی رو ست نکردم به عبارتی کلاینت طبق برداشت من نباید آی پی داینامیک دریافت کنه ولی این کار رو میکنه

من DHCP رو روی DC نصب کردم ویندوز 2003 همچنین آیزا رو هم روی یک سرور عضو دامین کنترولر الان هم طبق پیشنهاد خوب شما میرم از دامین کنترلر خارجش کنم تستی بکنم

سلام
اگه می تونی با isp صحبت کن و یه ایپی پابلیک-استاتیک بگیر تا همیشه واسه خودت باشه(واسه remote desktop , vpn server و...به دردت می خوره)
خوب تا اینجا مشکلی نیست و توی پست شماره 2 هم توضیح دادم چرا کاربرها با وجود نصب آیزا دارن ip می گیرن...
dns داخلی هم کار می کنه اما حتما یک rule بساز و پروتکل dns رو از طرف dns server های شبکه ات مجاز کن تا بتونن با اینترنت در ارتباط باشن

بابت تاخیر به وجود آمده هم عذرخواهی می کنم...
پاک فراموش کرده بودم تو این تاپیک شرکت کردم

[hadi2010]

ممنونم رفیق

راستی شما گفتید Workgroup بهتره کار بشه در این حالت اگه بخوایم یه وی پی ام سرور راه بندازیم برای صحت سنجی کاربران اکتیودایرکتوری باید از چه روشی استفاده کنیم؟

[halvaei]

پیشنهاد من اینه که ایزا هم عضوی از دامین باشه

[key-one]

من رو DC نصب کردم و هیچ مشکلی ندارم

[donkishot]

نبايد آيزا رو dc ويا iis نصب كرد بايد روي سرور جدا باشه

[mahyar49]

ممنونم رفیق

راستی شما گفتید Workgroup بهتره کار بشه در این حالت اگه بخوایم یه وی پی ام سرور راه بندازیم برای صحت سنجی کاربران اکتیودایرکتوری باید از چه روشی استفاده کنیم؟

سلام
از اکتیودایرکتوری باید به عنوان radius server استفاده کنی
به نظر من حالا که میای vpn server راه می اندازی یه nttac هم نصب کن تا حسابداری کنه...

پیشنهاد من اینه که ایزا هم عضوی از دامین باشه

این روش هم خوبه و تنها مشکلش همون مبحث امنیته که تو شبکه های بزرگ و حساس شاید مشکل ایجاد کنه
در کل در دو حالت خوب کار می کنه...

[hadi_en]

مرسی از همه

به ظاهر مشکل من این بود که چرا برای DHCP یا DNS برای تنظیم رولی آی پی میگیره که مشخص شد چون آیزا روی سیستم دیگه نصب هست طبیعتا این اتفاق می افته ولی برای تنظیمات VPN اگه روی آیزا آی پی اتوماتیک ست بشه اون موقع باید رولی بابت DHCP تنظیم کنم(اون طور که متوجه شدم)

راستش من یه VPN Server راه اندازی کردم برای یه user محلی رو خود آیزا پاسخ میده ولی برای کابران اکتیودایرکتوری مشکلی هست روی آیزا تنظیمات مربوط به RAdius رو ست کردم تنها دو نکته داشت که Authentication رو روی PAP و CHAP تنظیم کردم و map user رو غیر فعال کردم چون یه جا خوندم این گزینه زمانی فعال میشه که آیزا عضو دامین باشه که سرور من workgroup هست

چون آی پی public فعلا ندارم یه کلاینت داخلی در نظر گرفتم ولی عضو دامین نیست و در ضمن وقتی میاد بالا طبیعتا یه آی پی از DHCP میگیره یه کانکشن vpn ساختم و تنظیمات Security اون رو روی noencyrption و pap و chap تنظیم کردم

روی سرور RRAS هم کلاینت رو ساختم که در واقع میشه آیزا سرومون و vendor رو مایکروسافت ست کردم و در قسمت remote access policy هم یه policy ساختم برای مد VPN و در اونجا هم authentiocation رو pap و chap ست کردم

الان که می خوام از روی کلاینت لاگین کنم خطای Error 930: The authentication server did not respond to authentication requests in a timely fashion. رو میده و لاگ اون این هست :

Access request for user IBM.COM\amir was discarded.
 Fully-Qualified-User-Name = IBM.COM\amir
 NAS-IP-Address = 192.168.2.3
 NAS-Identifier = <not present> 
 Called-Station-Identifier = <not present> 
 Calling-Station-Identifier = 192.168.2.11
 Client-Friendly-Name = ISAsrv
 Client-IP-Address = 192.168.2.3
 NAS-Port-Type = Virtual
 NAS-Port = 486
 Proxy-Policy-Name = Use Windows authentication for all users
 Authentication-Provider = Windows 
 Authentication-Server = <undetermined> 
 Reason-Code = 6
 Reason = The server is unavailable.

نتیجه کلی این که میگه سرور در دسترس نیست سوال دارم سرور منظور چی هست خود RRAS یا ISA

و اینکه در قسمت ساخت کلاینت برای RRAS وقتی vendor رو وارد می کنی یه پسورد می خواد که من چیزی وارد نکردم این چیه؟

در ISA هم یه firewall policy ساختم برای همه پروتکل ها از local host و vpn client , internal به internal , local
host, vpn client

ممنون میشم راهنمایی کنید؟

[hadi2010]

رفقا برای تست در قسمت remote request polocies روی IAS یه رول پیش فرض هست یه گزینه داره که میگه بدون صحت سنجی ارتباط رو برقرار کن وقتی انتخابش می کنم اتصال برقرار میشه و باعث میشه اتصال بدون در نظر گرفتن نام کاربر و پسورد و به صرف درست بودن نام دامین برقرار بشه ولی وقتی برمیگردونم به گزینه" صحت سنجی روی این سرور" دوباره همون خطای 930 رو میده

در ضمن IAS روی AD ثبت شده