Active Directory и ISA Server

[mhm]

Тут нарисовалась такая проблема.
Есть Домаин Контролер а допустим 3 юзерами А, Б, В.
Хочу сделать так чтобы А и Б могли заходить в интернет В нет.
что делаю - Создаю пользователей А Б и В в разделе инструментария . (Добавляю через домен, ИСА СЕРВЕР в Домаине.)
Создаю правила - Дейстиве : разрешить , Протоколы : Все , Откуда/Прослушиватели: Внутренняя сеть, Куда : Внешняя , Условия : Все Пользователи .
Создаю правила (чтобы сама машина с Иса Сервером могла лезть в интернет)- Дейстиве : разрешить , Протоколы : Все , Откуда/Прослушиватели: Локальный Компьютер, Куда : Внешняя , Условия : Все Пользователи .
Создаю правила (чтобы внутреняя сетка без препятствий видела ИСА Сервер)- Дейстиве : разрешить , Протоколы : Все , Откуда/Прослушиватели: Внутренняя сеть, Куда : Локальный Компьютер , Условия : Все Пользователи .


Все работает безупречно у ВСЕХ есть интернет

Мне надо чтобы инет был только у А и Б -

Создаю правила - Дейстиве : разрешить , Протоколы : Все , Откуда/Прослушиватели: Внутреняя сеть, Куда : Внешняя , Условия : Пользователи А и Б.
Тоесть меняю Все Пользователи на пользователей А и Б

Интернета нет.
что делаю не так???

[Delirium]

Каким по счету стоит правило в списках правил? Включаем мониторинг, настраиваем его на прослушку "А", пытаемся выйти в интернет. Смотрим результат

[mhm]

А стоит первым.
ПО поводу мониторинга, можно поподробней? где включать? как настраивать?

[mhm]

больше нет идей???

[Snake070]

У меня та же самая проблема. Как только меняю "Все пользователи" на конкретных пользователей или группу из AD инет пропадает в локалке. И запрет на одного пользователя тоже не работает. Правило стоит первым в списке.

[mhm]

было бы интерестно как это все решить.

[Anton04]

mhm,

Иса какая?
Настраиваем ису по правилу с начало все анонимные правила, потом все не анонимные правила.

ПО поводу мониторинга, можно поподробней? где включать? как настраивать? »

F1 в консоле исы и ищем.

[cameron]

mhm,
1. покажите скриншот правила.
2. какой браузер?
3. FWC на клиенте есть?

[mhm]

Проблема решилась) ФВКлиент я не поставил! не знал, спасибо форуму, да и в книжки почитал.
Теперь у меня ходят в нет все те кому разрешил.
Еще вопрос, что и где подкрутить чтобы СМОТРЕТЬ В РЕАЛЬНОМ времени кто и куда лезет, и что качает.

[cameron]

Еще вопрос, что и где подкрутить чтобы СМОТРЕТЬ В РЕАЛЬНОМ времени кто и куда лезет, и что качает. »
штатно - через Monitoring-Logging, но там это не очень удобно.
из сторонних решений - BSplitter

[Brat_ES]

Доброго времени суток.

Случилась какя-то похожая беда, перестали выходить компы из локалки, только с самого сервера ТМГ страницы открываются. Причём пинги, трасерты на внешние ресурсы проходят, а странички не грузятся. В сетевом экране настроены правила (для http, https, ftp) с соответствующими юзер-сетами, куда добавлены соответствующие группы пользователей из АД. На самих компах клиенты фаервола не ставил, всё работало и так до сего момента. НЕ могу понять, что случилось и в каком направлении копать :(

При обращении в инет выдаёт следующее:

Отклоненное соединение SRV-FFTMG01 06.04.2011 0:58:10
Тип журнала: Веб-прокси (прямой)
Состояние: 12209 Для выполнения запроса компоненту Forefront TMG требуется авторизация. Доступ к фильтру веб-прокси запрещен.
Правило: Интернет для ЦИТ
Источник: Внутренняя (srv-adir01.mstu.edu.ru 172.20.10.200:63961)
Назначение: Внешняя (172.20.10.202:8080)
Запрос: GET http://ya.ru/
Информация фильтра: Req ID: 0c12d160
Протокол: http
Пользователь: anonymous

П.С. Если в правиле доступа прописать"все пользователи" то странички грузятся но это не вариант :(

С уважением.

[Delirium]

Такое впечатление, что TMG потерял связь с контроллером домена или же клиенты теряют связь с AD. У меня подобная ситуация иногда выскакивает у пары клиентов, помогает перезагрузка клиента...
Попробуй для теста перезагрузить проблемную машину, если не поможет - поставить FW Client и проверить. Если ничего не поможет - будем думать и разбирать.

[Brat_ES]

Такое впечатление, что TMG потерял связь с контроллером домена или же клиенты теряют связь с AD. У меня подобная ситуация иногда выскакивает у пары клиентов »
Тоже так подумал но раньше не было такого, до сего момента, никаких кардинальных настроек в системе не проводил, просто раз и перестало работать, с клиентов пинг на тмг проходит и с него на них тоже.
Попробуй для теста перезагрузить проблемную машину, если не поможет - поставить FW Client и проверить. Если ничего не поможет - будем думать и разбирать. »
Проблема проявилась на всех машинах в локалке, одновременно. На одной поставил клиента тмг, но при попытке выхода в инет значок клиента перечеркивается, как бы теряет связь с тмг, в сплывающем окошке при наведении что-то об авторизации пишет, целиком прочитать не получается, обрывается строка.

[Delirium]

Хм. Из области фантастики, но мало ли: отключи антивирусы на одной машине+сервер, сделай Выкл/вкл сетевой на клиенте, и проверь.

[cameron]

ipconfig /all с TMG и клиента покажите.

P.S. это не вы ли случаем внешние адреса заводили как часть internal сети, для, так сказать, роутинга?

[Telepuzik]

Проблема проявилась на всех машинах в локалке, одновременно. »
А клиенты у Вас случаем не под Windows 7?

[cameron]

А клиенты у Вас случаем не под Windows 7? »
а что с win7?

[Telepuzik]

а что с win7? »
Сегодня на семерке точно такая же проблема была не отправляет авторизационные данные на ISA, пока решилось выключением клиента ISA и его повторным включением. Может это правда простое совпадение.

[cameron]

Сегодня на семерке точно такая же проблема была не отправляет авторизационные данные на ISA, пока решилось выключением клиента ISA и его повторным включением. Может это правда простое совпадение. »
пока не выловили такое.
апдеты ставили ночью утром? какая ISA? какой клиент? какая win7?
у нас 2006sp1-tmgsp1/tmg client/win7 x32 rus

[Telepuzik]

апдеты ставили ночью утром? какая ISA? какой клиент? какая win7? »
Апдейты вчера и сегодня не ставились, ISA 2006sp1, клиент ISA-KB929556, Win 7 Prof x64 rus. В логах ошибок нет, клиент ISA при поиске сервера говорил что сервер ISA не обнаружен, пинг с клиента на ISA сервер проходит, имя ISA сервера с клиента разрешается корректно. Антивирус вот обновился примерно в то время когда перестал работать клиент ISA.