ФПСУ/IP-Клиент + ISA 2004\2006. РЕШЕНИЕ ЗДЕСЬ.

st47k3r · 30 Июл 2007

<r>Для того, чтобы все заработало нужно:
1) Создать новый "протокол": назовем его ARM "SberBank-Client" UDP
3) Создать группу компьютеров, на которых должна работать программа Сбербанк-клиент
4) Создать разрешающее правило: АРМ "Клиент-Сбербанк"
5) Настроить параметры в ISA сервере, для того, чтобы это все работало даже с установленным MS FWC(программа ISA Firewall Client).

Теперь по-порядку:

<s></s>Создание протокола ARM "SberBank-Client" UDP<e></e>

<QUOTE><s>

</s>- <s></s>Пуск<e></e>, <s></s>Программы<e></e>, <s></s>Microsoft ISA Server<e></e>, <s></s>Управление ISA Server<e></e>
- Самое верхнее меню: <s></s>Вид<e></e>, <s></s>Панель задач<e></e> - проверить, включено ли.(Если нет - включить).
- Слева в колонке, выбрать: <s></s>Политика межсетевого экрана<e></e>.

- Справа, на "панели задач". выбрать: <s></s>Инструментарий<e></e>, <s></s>Протоколы<e></e>, <s></s>Создать<e></e>, <s></s>Используемый протокол<e></e>.
- Имя отпределения протокола: <s></s>ARM "SberBank-Client" UDP<e></e>, <s></s>Далее<e></e>.
- <s></s>Создать<e></e>, в окошке "Создание и изменение протокола подключения":
---- Тип протокола: <s></s>UDP<e></e>
---- Направление: <COLOR color="red"><s></s><s></s>Отправить Получить<e></e><e></e></COLOR>
---- Диапозон портов:
-------- От: <s></s>87<e></e>
-------- До: <s></s>87<e></e>
-------- Жмем <s></s>ОК<e></e>
- <s></s>Далее<e></e>
- Использовать дополнительные соединения: <s></s>нет<e></e>
- <s></s>Готово<e></e>.
<e>

</e></QUOTE>

<s></s>Создание группы компьютеров "Компьютеры Клиенты-Сбербанка", на которых должна работать программа Сбербанк-клиент<e></e>

<QUOTE><s>

</s><s></s>Если вы уже закрыли: - то "начало" - аналогично пред. созданию <e></e>
- Справа, на "панели задач". выбрать: <s></s>Инструментарий<e></e>, <s></s>Сетевые объекты<e></e>, <s></s>Создать<e></e>, <s></s>Набор компьютеров<e></e>.
- Имя: <s></s>Компьютеры "Клиенты-Сбербанка"<e></e>
- <s></s>Добавить<e></e>, <s></s>Компьютер<e></e>:
---- <s></s>Обзор<e></e>
-------- Имя сервера: <s></s><NETBIOS-имя компьютера, на котором есть Сбербанк-клиент><e></e> <E>:!:</E>
-------- <s></s>Найти<e></e>, <s></s>ОК<e></e>
---- <s></s>ОК<e></e>
- <s></s>OK<e></e>
<e>

</e></QUOTE>

<s></s>Создание разрешающего правила: АРМ "Клиент-Сбербанк"<e></e>

<QUOTE><s>

</s>- Справа, на "панели задач". выбрать: <s></s>Задачи<e></e>, <s></s>Создать правило доступа<e></e>
- Имя правила доступа: <s></s>АРМ "Клиент-Сбербанк"<e></e>, <s></s>Далее<e></e>.
- Предпринимаемые действия при выполнений условий правила: <s></s>Разрешить<e></e>, <s></s>Далее<e></e>.
- <s></s>Добавить<e></e>:
---- <s></s>Пользовательские<e></e>
-------- <s></s>ARM "SberBank-Client" UDP<e></e>, <s></s>Добавить<e></e>.
---- <s></s>Закрыть<e></e>
- <s></s>Далее<e></e>
- <s></s>Добавить<e></e>:
---- <s></s>Наборы компьютеров<e></e>
-------- <s></s>Компьютеры "Клиенты-Сбербанка"<e></e>, <s></s>Добавить<e></e>.
---- <s></s>Закрыть<e></e>
- <s></s>Далее<e></e>
- <s></s>Добавить<e></e>:
---- <s></s>Сети<e></e>
-------- <s></s>Внешняя<e></e>, <s></s>Добавить<e></e>.
---- <s></s>Закрыть<e></e>
- <s></s>Далее<e></e>
- Это правило применяется к запросам от следующих наборов учетных записей: <s></s>Все пользователи<e></e> - <s></s><s></s>НЕ МЕНЯТЬ<e></e><e></e> <E>:!:</E>
- <s></s>Далее<e></e>
- <s></s>Готово<e></e>.<e>

</e></QUOTE>

<s></s>Настройка параметров в ISA сервере, для того, чтобы это все работало даже с установленным MS FWC(программа ISA Firewall Client).<e></e>

<QUOTE><s>

</s>- Слева в колонке, выбрать: <s></s>Конфигурация<e></e>, <s></s>Общие<e></e>.
- <s></s>Определите параметры клиента межсететвого экрана<e></e>
---- <s></s>Параметры приложений<e></e>
---- <s></s>Создать<e></e>
-------- Приложение: <s></s>ip-client<e></e>
-------- Раздел: <s></s>Disable<e></e>
-------- Значение: <s></s>1<e></e>
-------- <s></s>OK<e></e>
---- <s></s>Создать<e></e>
-------- Приложение: <s></s>wCLNT<e></e>
-------- Раздел: <s></s>Disable<e></e>
-------- Значение: <s></s>1<e></e>
-------- <s></s>OK<e></e><e>

</e></QUOTE>

Редактированно позже:
-<s></s>Шлюзом "по-умолчанию" на клиенте должен быть IP-адрес ISA Server-а<e></e> <E>:!:</E>
<s></s>(забыл добавить, thx to <s></s>AMI_FMS<e></e>)<e></e>
-<s></s>ip-client и wCLNT - чувствительны к регистру<e></e>
<s></s>(thx to <s></s>Genocide<e></e>)<e></e>

Вот, вроде, и все! <E>

</E>
Надеюсь, кому-нибудь поможет.</r>

AMI_FMS · 30 Июл 2007

<r>1. Протокол ARM "SberBank-Client" TCP создавать не нужно, т.к. туннель со Сбербанком устанавливается по протоколу UDP/87 и все обращения к серверу Сбербанка инкапсулируются (упаковываются) в этот протокол. А лишние порты в интернет открывать не стоит.

2. Особо надо жирно выделить направление в описании протокола <s></s>Отправить Получить<e></e>, а не наоборот, так как это часто путают. А при обратном порядке направления ничего работать не будет.

3. В описании протокола TCP/IP на рабочей станции пользователя должен быть прописан "основной шлюз". В качестве шлюза указать адрес ISA сервера.</r>

incomf · 11 Окт 2007

помогло!! большое спасибо! а то полдня не мог понять, вроде бы и разрешил 21, 87 udp send receive, 1024

а все равно не работал!!! Оказалось все дело в настройках firewall client
=)

Genocide · 18 Окт 2007

<r>Спасибо помогло! Только одино замечание, регистр букв для имени приложения важен (у вас в инструкции -- Приложение: IP-Client, а надо ip-client (оно так по умолчанию называется)), иначе ничего работать не будет (час думали в чём может быть дело). <E>

</E></r>

Ku · 22 Окт 2007

Вобщем ситуация такая: сначала тунель устанавливался только с выключеным FWC, связь с банком соответственно тоже. Ну это вина нашего шлюза, который устанавливал не пойми кто, не пойми когда и не пойми как. Сегодня после очередного сбоя (отчего-то в очередной раз перестал соединятся ФПСУ-клиент), я перевёл клиентские машины на другой шлюз. И... всё вроде хорошо с включённым FWC устанавливается туннель, а дальше нет соединения и всё тут. Самое интересное, что заработало с включённым FWC и через старый шлюз, но соединения всё равно нет. Пакеты идет в обход, а не туда куда надо. Шлюзом по умолчанию указан ISA Server (менял в зависимости от того куда FWC подключал). На обоих ISA серверах в настройках FWC прописаны exe'шники и ФПСУ-клиента и Сбербанк-клиента, и даже пинг прописывал чтобы соединение проверить. QoS как кто-то тут в форуме советовал выключал-включал. Ничего не помогает. Ваша поддержка говорит: "У нас всё хорошо это у вас проблемы." Я понимаю, что проблемы у нас, НО... софт ведь ваш. Давайте вместе попытаемся их решить.

AMI_FMS · 22 Окт 2007

to Ku: мы никому в поддержке не отказываем. Ситуация у Вас нестандартная. Позвоните нам по телефону и, я думаю, мы решим Вашу проблему.

Вообще встречалась ситуация, что помогала переустановка FWC.
Попробуйте его вообще удалить - Клиент-Банк у Вас должен работать без него. Это поможет локализовать проблему.

Ku · 22 Окт 2007

Я его удалял. Без него не поднимается даже тунель.

AMI_FMS · 22 Окт 2007

Ku написал(а):
</s>Я его удалял. Без него не поднимается даже тунель.<e>

</e></QUOTE>

Значит правило неправильно настроено на ISA или шлюз "по умолчанию не прописан"</r>

Ku · 22 Окт 2007

ISA настроен как написано вверху, шлюз по умолчанию (если имеется ввиду основной шлюз в свойствах TCP) тоже прописан корректно.

incomf · 12 Ноя 2007

настроил по вашей инструкции, все заработало отлично через файервол клиент. Вчера поставили обновление Сбербанк-Клиента. Подключение по ФПСУ устанавливалось, но пакеты не заворачивались в тунель. Почитал эту тему, попробовал перустановить FWL клиент.
Все заработало =)
танец с бубном реально =) хорошо что так быстро прошло )))
ISA Server непредсказуем... однако, а про firewall client я просто молчу!

shum_m · 14 Ноя 2007

... Люби добрые!!!! ну всё сделал как написано .. на два раза перепроверил - не работает!
Точнее сказать с FWC устанавливается тонель но ни как не работет сам обмен (сразуже выдаёт ошибку обмена). А без FWC вообще ничего не работает. Хотя я так понимаю если ставить в винде шлюз по умолчанию - ISA, то должно бы и без клиента работать.
И слиента сносил заново ставил .... и правила переписывал на два раза . - засада какая-то!!!!!!!!!!!!!!!
Что ещё можно сделать!!!!????? (шлюз по умолчанию прописан).

Джинн · 20 Ноя 2007

shum_m написал(а):
</s>... Люби добрые!!!! ну всё сделал как написано .. на два раза перепроверил - не работает!<e>

</e></QUOTE>
А очерёдность "отправить, получить" соблёл?</r>

st47k3r · 5 Дек 2007

Genocide написал(а):
</s>Спасибо помогло! Только одино замечание, регистр букв для имени приложения важен (у вас в инструкции -- Приложение: IP-Client, а надо ip-client (оно так по умолчанию называется)), иначе ничего работать не будет (час думали в чём может быть дело). <E></E><e>

</e></QUOTE>

- исправлено, спасибо!</r>

Vlad · 17 Дек 2007

Добрый день! Уважаемые, а что делать если ISA сервер находится в другой подсети и сделать его шлюзом по умолчанию невозможно?...

Larden · 17 Дек 2007

Проблема, как вижу, стандартная. VPN соединение устанавливается, ICMP пакеты ходят нормально, а вот TCP пакеты ни в какую не желают "заворачивать" в тунель. Может есть у кого идеи, как их заставить туда попадать?
При отключенном клиенте все работает нормально.

Vlad · 17 Дек 2007

<r>У меня всё заработало, сам ступил <E>

</E></r>

st47k3r · 17 Дек 2007

Larden написал(а):
</s>Проблема, как вижу, стандартная. VPN соединение устанавливается, ICMP пакеты ходят нормально, а вот TCP пакеты ни в какую не желают "заворачивать" в тунель. Может есть у кого идеи, как их заставить туда попадать?
При отключенном клиенте все работает нормально.<e>

</e></QUOTE>

Для того, чтобы ISA клиент "не заворачивал" пакеты "на себя"(т.е. чтобы они шли не на ISA-сервер, а в "тоннель"), нужно чтобы эти программы("генерирующие этот "полезный" траффик) были добавлены в "исключения" в настройке FWC на ISA-сервере!

<s></s>ЧИТАЕМ ВНИМАТЕЛЬНЕЕ!<e></e> <E>:!:</E></r>

st47k3r · 17 Дек 2007

Ku написал(а):
</s>Вобщем ситуация такая: сначала тунель устанавливался только с выключеным FWC, связь с банком соответственно тоже. Ну это вина нашего шлюза, который устанавливал не пойми кто, не пойми когда и не пойми как. Сегодня после очередного сбоя (отчего-то в очередной раз перестал соединятся ФПСУ-клиент), я перевёл клиентские машины на другой шлюз. И... всё вроде хорошо с включённым FWC устанавливается туннель, а дальше нет соединения и всё тут. Самое интересное, что заработало с включённым FWC и через старый шлюз, но соединения всё равно нет. Пакеты идет в обход, а не туда куда надо. Шлюзом по умолчанию указан ISA Server (менял в зависимости от того куда FWC подключал). На обоих ISA серверах в настройках FWC прописаны exe'шники и ФПСУ-клиента и Сбербанк-клиента, и даже пинг прописывал чтобы соединение проверить. QoS как кто-то тут в форуме советовал выключал-включал. Ничего не помогает. Ваша поддержка говорит: "У нас всё хорошо это у вас проблемы." Я понимаю, что проблемы у нас, НО... софт ведь ваш. Давайте вместе попытаемся их решить.<e>

</e></QUOTE>
Решается переустановкой FWC. Причем "с нуля" и с перезагрузкой компьютера.

Последнюю версию <s></s>Microsoft Firewall Client for ISA server 2004<e></e> можно взять <URL url="http://www.microsoft.com/downloads/details.aspx?FamilyID=05C2C932-B15A-4990-B525-66380743DA89&displaylang=en"><s></s>здесь<e></e></URL></r>

Larden · 18 Дек 2007

st47k3r написал(а):
</s>
Для того, чтобы ISA клиент "не заворачивал" пакеты "на себя"(т.е. чтобы они шли не на ISA-сервер, а в "тоннель"), нужно чтобы эти программы("генерирующие этот "полезный" траффик) были добавлены в "исключения" в настройке FWC на ISA-сервере!

<s></s>ЧИТАЕМ ВНИМАТЕЛЬНЕЕ!<e></e> <E>:!:</E><e>

</e></QUOTE>

Все исключения и прочие настройки сделаны. И при этом, клиент упорно отказывается пропускать пакеты в тунель. Переустанавливал FWC и ip-clent, естественно с перезагрузкой, результат тот же.

P.S. Русские буковки читать умеем, так что на счет внимательности - не по адресу.</r>

adengin · 27 Фев 2008

Не помогло.
Не понятно где и как используется порт udp:87. Запустил сниффер на локальной машине и мониторинг на isa, оба показывают только попытки соединения по tcp:1024.

ФПСУ/IP-Клиент + ISA 2004\2006. РЕШЕНИЕ ЗДЕСЬ.

<t>Помогло?</t>

<t>Да, спасибо!</t>

<t>Нет, не спасло.</t>

<t>Как-то все не так просто...</t>

New Member

Администратор

New Member

Member

New Member

Администратор

New Member

Администратор

New Member

New Member

New Member

Well-Known Member

New Member

New Member

New Member

New Member

New Member

New Member

New Member

New Member