ISA 2006 authentication sıkıntısı

[fyndhern]

Arkadaşlar merhabalar,

Öncelikle bu siteyi yeni farkettim ve hepinize selamlar gönderiyorum ve soruma geçiyorum.
ISA server 2006 kurdum ve kuralları vs. yazdım ve çalışıyor hiçbir problemimiz yok bu konuda. ISA da daha yeniyim
fakat birçok firewall ile çalıştığım için ayarlaması zor olmadı fakat beceremediğim ve ISA da mantığınıda anlıyamadım
bir sıkıntım var. Sistemimizde 300 den fazla istemci pc miz var ve w2k3 active directory domainimiz de mevcut.

Yapmak istediğimiz ise şu; iplerimizi dhcp ile dağıtmakta olduğumuzdan herhangi dışarıdan istemcinin ağa bağlanıp
ip aldıktan sonra internete çıkmasını engellemek istiyoruz. Bunu yapmak için authentication özelliğini kullanılabilir hale
getirdiğimizde ise bu durumda interneti kullanarak bakanlığın webservislerinden yapmaya çalıştığımız sorgulamalarda
sorun çıkıyor, sorunun sebebide normal olarak authentication sıkıntısı.

Şimdi bu sorunu çözmek için önecelikle ne yapmalıyız ?, bu sorgulamaları nasıl olurda authetication dan geçirmeden
yapabiliriz. Ki bu sorgulamaları her client pc kendi internet bağlantısını kullanarak yapıyor yani bu sorgulamalar serverdan
yapılıp clientlara gönderilmiyor.

Birde benim bir fikrim var, mantıklı ise nasıl yaparım yardım ederseniz sevinirim. İki isa server kursam ve web chaining ile
webservislerine olan sorgulamaları başka bir ADSL bağlantısına yönlendirsem, diğer web isteklerini ise ikinci ISA ya yönlendirsem
bu şekilde bu sorgulamaları authentication dan geçirmesem fakat diğer internet isteklerini ISA ya yönlendirerek authenticate
ederek güvenliği kullanıcı bazına indirgiyebilirmiyim ?

Şimdiden cevaplar için teşekkürler.

NOT: Neden bu yönlendirme işini router ile diğilde isa ile yapıyoruz diye sormayın, öyle istiyorlar

[fyndhern]

Arkadaşlar anlaşılmaz karmaşık falan mı sordum neden cevap yok ??? :-\

[emreaydin]

Merhaba,

Allow verdiginiz rule ozelliklerinde All users grubu secili durumdayken sanirim euthenticated users grubuna cektiniz. Bu durumda kimlik dogrulamasini gecemeyenler internete cikamayacaklardir. Buraya kadar sorun yok. Asıl yapilmasi gereken ise asagidaki gibi olmalidir.

1. Allow rule > all protocols > internal > external > authenticated users ...
2. DHCP'den bu sekilde gelecek misafirlerin IP alacakları blogu belirleyin ve ISA Server uzerinde bu blogu gosterir bir network yaratin
3. ISA Server uzerinde ulasilmasini istediginiz web adresleri icin destination set yaratin
4. Allow > Http > yarattiginiz yeni network > sadece ulasilmasini istediginiz sayfalar > all users...

Bu sekilde cozum olacaktir, ikinci olarak yazdiginiz islemi yapmaniza gerek kalmiyor.

Gorusmek uzere,

Emre AYDIN

[fyndhern]

[quote author=Emre Aydin link=topic=666.msg2304#msg2304 date=1195145982]
Merhaba,

Allow verdiginiz rule ozelliklerinde All users grubu secili durumdayken sanirim euthenticated users grubuna cektiniz. Bu durumda kimlik dogrulamasini gecemeyenler internete cikamayacaklardir. Buraya kadar sorun yok. Asıl yapilmasi gereken ise asagidaki gibi olmalidir.

1. Allow rule > all protocols > internal > external > authenticated users ...
2. DHCP'den bu sekilde gelecek misafirlerin IP alacakları blogu belirleyin ve ISA Server uzerinde bu blogu gosterir bir network yaratin
3. ISA Server uzerinde ulasilmasini istediginiz web adresleri icin destination set yaratin
4. Allow > Http > yarattiginiz yeni network > sadece ulasilmasini istediginiz sayfalar > all users...

Bu sekilde cozum olacaktir, ikinci olarak yazdiginiz islemi yapmaniza gerek kalmiyor.

Gorusmek uzere,

Emre AYDIN
[/quote]

Arkadaşım ilgilenip cvp verdiğin için çok teşekkür ederim ancak burada ya benin anlıyamadığım yada anlatamayıp yanlış anlamana sebep olduğum bir eksiklik var.
Şimdi anlıyamadığım ise şu, ben sadece istediğim sitelere girsinler istemiyorum, istediğim şu, domain kullanıcıları haricinde internete kimse çıkamasın, yani el ile bile ip versede çıkamasınlar fakat domain kullanıcıları istedikleri gibi çıkabilsinler. Tabi bunu sağlamak içinde networks>internal>properties>webproxy> authentication>require all users to authenticate i işaretliyorum. Bu durumda hem kullanıcı bazında kısıtlama yapabiliceğim hemde raporlama.

Burası bir hastane ve sağlık bakanlığının web servislerinden sorgulama yapması gerekiyor. Tüm kullanıcıların authenticate olması gerektiği tikini işaretlersem bu sefer bu web servislerinden sorgulama yapamıyoruz. Yanlış hatırlamıyorsam ISA denied connection hatası dönüyor. Benim sıkıntım burada. Ben ISA arkasında bu sorgulamaları yapabilmek istiyorum ama authenticate de yapmak istiyorum.

Bunu nasıl yaparım, ya da bunu yukarıda anlattığın gibi yapıcaksam biraazdaha ayrıntılı anlatırmısın çünkü bunu zaten yapmıştım.
Tekrar teşekkürler,

[emreaydin]

Arkadaşım Merhaba,

networks > internal > properties > webproxy > authentication > require all users to authenticate secenegiyle herhangibir islem yapilacak seklinde belirtmemiştim. Yapılması gereken, izin verdiginiz rule uzerinde ki properties den ulasabileceginiz all users grubunun authenticated users olarak değiştirilmesi, Rule ozelliklerini inceleme sansiniz varsa kolayca farkedeceksiniz.

Herhangibir sıkıntıda yazarsanız yardımcı olmaya calisirim.

Emre AYDIN

[fyndhern]

Emre arkadaşım çok teşekkür ederim,
Dediğin gibi yapınca problem halloldu, başka bir sitede isa uzmanı olduğunu söyleyen bir arkadaş networks altındaki o kutucuğu işaretlemezsen kullanıcıları authenticate etmez demişti bu yüzden all authenticated users yapsan da işe yaramaz demişti bu yüzden hiç denemedim ve takrar çok teşekkür ederim.

Artık domaine login olmayanlar çıkamıyor domaindekiler ise rahatlıkla buradan sorgulama yapabiliyorlar.
Son bir sorum var, burada en küçük bir aksaklıkta dahi hemen ortalık karıştığından ve lab ortamımız olmadığından her adımı teyit etmek istiyorum.
Artık kullanıcı bazlı kurallar oluşturabilicekmiyiz, internere çıkış yetkisini ve raporları kullanıcı bazında tutabilirmiyiz ?

[emreaydin]

Merhaba tekrar,

User bazli rapor cekebilmek icin kullanıcının bir sekilde kendi kimligini ISA'da okutmasi gerekli, Yani soyle bir ornekle aciklayayim,

ISA'yi bir kapi olrak dusunun kimlik dogrulamasi istemediginiz zaman herkes isimsiz olarak gecebilir siz kimlerin islem yaptigini anlayamazsiniz. fakat kapiya bekci koydugunuzda her gelenin kimlik bilgisi alinir ve kayit edilir. Sonuc olarak log larda anonymous degilde kullanici IP si yada ismini gormeye baslariz.

Sunuda soylemeden gecmemek gerekli, ISA'da en iyi sekilde rapor almak istiyorsaniz tum client sistemlerinize ISA Server firewall client i yüklemeniz gusel bir cozum olur.

Bu arada ISA Server MVP'si oldugumuda soylemekte fayda var gibi gorunuyor

Kolay gelsin,

Emre AYDIN
MSHowto Portal Yöneticisi
MVP - ISA Server

[fyndhern]

;D Çok mütavazisin hehe. Boşuna mvp vermemişler çok teşekkür ederim saol.
Son birşey daha sorucam ve susucam firewall proxy client kurmak yerine GPO dan kullanıcıların connection setting lerini ayarlasam da aynı etkiyi verir mi ?

Sertaç Katal
MCSE ,CCNP ;D

[emreaydin]

Merhaba,

O sekilde bir ayar sonrasinda client tipiniz web proxy client olur ve log larinizda username leri gorebilirsiniz fakat bir noktada bu client tipi yetersiz kalacaktir.

Gorusmek uzere,

Emre AYDIN

[fyndhern]

[quote author=Emre Aydin link=topic=666.msg2324#msg2324 date=1195284067]
Merhaba,

O sekilde bir ayar sonrasinda client tipiniz web proxy client olur ve log larinizda username leri gorebilirsiniz fakat bir noktada bu client tipi yetersiz kalacaktir.

Gorusmek uzere,

Emre AYDIN
[/quote][quote author=Emre Aydin link=topic=666.msg2324#msg2324 date=1195284067]
Merhaba,

O sekilde bir ayar sonrasinda client tipiniz web proxy client olur ve log larinizda username leri gorebilirsiniz fakat bir noktada bu client tipi yetersiz kalacaktir.

Gorusmek uzere,

Emre AYDIN
[/quote]

client tipi derken ? Proxy olarak yada client olarak bağlanmanın farkı nedir ?