ISA Firewall
 

Hallo Leute!

Ausganssituation:
Win2000 Server SP4
ISA2000 SP2

Ich möchte einen bestimmten Client in einer Domänenstruktur komplett aus der ISA 2000 ausschließen. Dieser Client verwaltet sich selbst mit einer eigenen kleinen Software-Firewall (Admin-Arbeitsplatz)

Kann mir in diesem Fall jemand weiterhelfen? Ich schaffe es irgendwie nicht den Rechner aus der LAT rauszunehmen. *verzweifel*

lg
Florian

wenn der isa server auch den router macht, wie es normalerweise der fall ist MUSS der admin pc klarerweise auch über den isa ins internet. Du kannst dem client zwar alles erlauben aber für eingehende verbindungen musst am isa eine regel erstellen. Sonst musst dem client pc eine eigene öffentliche ip adresse geben und ihn vor den isa server hängen, eventuell mit 2 netzwerkkarten eine fürs wan und eine fürs lan. Ist zwar schwachsinn wenn man sich einen teuren isa server kauft und dann eine hintertür über einen un- bzw schlechtgeschützten client pc aufmacht, aber ihr werdet schon einen grund dafür haben.

hmmm da hast auch wieder recht!

ja er macht den Router auch ... dann währe da noch die andere Variante was ich alles einstellen muss um dem Client (Admin-Arbeistplatz) ALLES zu zu lassen?
aber wirklich alles. Ich bin nämlich draufgekommen ich kann einstellen "all ip traffic" aber trotzdem funzt lange noch nicht alles ... also wo happerts da bei mir?

lg
Scrambler

Was funktioniert denn nicht? Also ich hab immer alles machen können, wenn ich das so konfiguriert hab.

Und wenn du wirklich "alles" für den Rechner aufmachen möchtest würde ich mir mal einen Clientadressatz für diesen Rechner erstellen, und dann eine neue Protokollregel für diesen Adresssatz anlegen, die ihm alles erlaubt.

hast vielleicht irgendwo ein HowTo dazu?

wir haben den ISA erst seit ganz kurzer Zeit ... Ich wüsste ehrlichgesagt nicht mal was ein Client-Adresssatz ist ...

lg
Scrambler

PS: um das noch zu ergänzen ... Meine ISA is auf Englisch (hab mir sagen lassen dass man die nur auf Englisch verwenden soll)

1. sorry mein Fehler ... hab einen neuen Client-Adressatz auf die IP erstellt und im eine Protokoll-Regel (Allow all IP traffic) zugewiesen ... brauch ich dann den Firewall-Client auf dieser Maschine überhaupt?

2. Funktioniert dann theoretisch auch der eMule? weil den hab ich bei der ISA nie richtig configgen können.

weil dein würd ich für mein Heimnetzwerk mit meinen Nachbarn auch die ISA-Firewall (natürlich offiziell gekauft *gg*) einsetzen!

Scrambler

Englisch is eh besser...
Hätt ich eine Englische, würd ich auch die verwenden.

Naja, der ISA is leider net wirklich einfach und intuitiv zu konfigurieren. Dann würd nur ein Buch helfen oder einige Beschäftigung damit.
Allzu viel weiß ich auch nicht, aber dafür wo ich ihn bis jetzt gebraucht hab funktionierts.

Eine recht gute Seite is IMHO http://www.isaserver.org/ - da findet man immer wieder was brauchbares.

Die Clientadresssätze findest unter Richtlinienobjekte (is das mit den 3 bunten Quadern, die ineinander gehen)
Dort kannst die Adresssätze definieren und dann verschiedenen Protokollregeln zuweisen.
Ich hoff du kannst dir aus den deutschen Bezeichnungen was zusammenreimen. Aber normalerweise funktioniert das schon. ;)

hmm, keine Ahnung!? ;)

Ich hab mich mit dem Firewallclient und sonstigen Schnick-Schnack noch überhaupt nicht beschäftigt, da ich es bis jetzt nie gebraucht hab. :)

Bei mir steht das Ding eigentlich nur als Firewall für einen Webserver da. Also is der ISA auch nur im Firewallmodus installiert.
Bzw. könnte man den ISA auch als Gateway ins Internet benutzen.

Und da brauch ich keinen Firewallclient, sondern das einzige was ich machen müsste ist den Clients die interne IP des ISAs als Standardgateway einzutragen.

danke für die Hilfe ... ich glaub jetzt funktionierts endlich richtig!!!

lg
Scrambler

oder auch nicht ...

hab testweise jetzt einen emule installiert ... nix!!! ... verbindet nichtmal ...

zu Hause hatte ich ihn wenigstens soweit dass er sich kurz verbindet und wieder trennt ... verbindet ... trennt ..........

lg
Scrambler

Hast du einen IP-Paketfilter eingerichtet, der das/die nötigen Protokolle/Ports nach außen lässt?

Denn soweit ich mich erinnern kann, muss man dort auch noch mal die Protokolle frei schalten.
Bei mir gibts eine Regel, die "TCP-Ausgehend" heißt und ausgehend alle TCP-Ports zu lässt.

Weil die Einschränkung für einzelne Clients, was sie wirklcih dürfen und was nicht kann man ja über die Protokollregeln in Verbindung mit den Clientadresssätzen machen. (AFAIK)

Bin mir da aber nimmer so sicher - da ich mich schon länger nicht mehr damit beschäftig hab.
Ich hab zwar in letzter Zeit wieder einen ISA Konfiguriert - aber eben nur als Firewall.
Und der rest war mir da eher egal. ;)

was heißt bei dir alle TCP-Ports?

machst da einfach eine Regel welche da heißt:

TCP outgoing 1 - 60000 oder wie?

und was is mit UDP muss ich doch wohl auch freigeben nehm ich mal an oder? Bin nicht unbedingt der große Protokollspezialist ;-).

Kannst mir vielleicht noch verraten was der Unterschied zwischen

"Send - Send Recieve - Recieve Send und Send" is?!?!?!?

da blick ich nicht so durch ...

lg
Scrambler

wo kann man das einstellen? Hab ich irgendwo schon mal gesehen, weiß aber nicht mehr wo das war.

Und, ja so ähnlich schaut die Regel aus:
Ip-Protokoll: TCP
Richtung: ausgehend
lokaler Port: Alle Ports
Remoteport: Alle Ports

Wird für die externe IP Adresse verwendet.

hmmm ... jetzt funzt's ... hab die ISA neugestartet *gG*