TMG 2010 Выгрузка файлов в WEB
 

Уважаемые!

После свежей установки TMG 2010, она не позволяет выгружать файлы наружу - запрашивает авторизацию, но и после ввода верного логина/пароля не пускает.

В далёком 2006-м сталкивался с этим после так же свежей установки ISA, но как сейчас решить - будто память отшибло.

Хелп ми.

что значит - выгружать наружу? :) upload делать, типа заливки файлов на файлообменники?
СТандартный совет - открывам логгирование, натравливаем его на мониторинг событий со своей машины и пытаемся залить файл. Сразу увидим, в чем проблема.

Увы, проблему решить до сих пор не удалось. Даже с помощью логирования и мониторинга)

Итак, выполняю следующие действия:

1. (всё Ok) В Internet Explorer захожу на imageshack.us, загружаю туда картинку. Картинка загружается без проблем, всё работает, в TMG лог зелёный.
2. (всё плохо) В FireFox захожу по тому же адресу, загружаю картинку. Полоска доходит до 100%, и тут же вываливается сообщение с требованием авторизоваться. Хотя при этом FireFox вполне адекватно понимает мою доменную учётную запись и передаёт её по NTLM в TMG, то есть навигация по сайтам проходит без проблем.
Когда заходишь с помощью FF на mail.ru и отправляешь кому-нибудь письмо, к письму не удаётся прикрепить ни одно вложение.

В данный момент использую TMG только как WebProxy, без FWC. Ранее проводил подобные эксперименты с FWC, результат был тем же самым.

Скриншот правил:

Скриншот лога:

Создаётся ощущение, что FireFox что-то недопередаёт прокси-серверу, какие-то сведения в момент передачи файла в WEB. Зашел в FF about:config, в поиске ввёл ntlm, посмотрел параметры. Для теста выставил все четыре значения в $true. Ситуацию это не спасло. Нашел что-то смутное о том, что FF использует несколько сессий для работы с прокси, но ничего конкретного ...

Из лога очевидно, что проблема в том, что FF не передаёт аутентификационные данные плагину flash. Как бы решить эту проблему :(

Странно, а я из лога вижу, что у Вас есть правило блокирующее MIME тип flash на данном сайте. ;)
См. внимательно свои предыдущие правила блокировки в них небось как раз и закрался один из нужных адресов.

Правила блокировки - URL-листы, и всё. В них указанные mail.ru и imageshack.us ни как не участвуют.

Тогда почему в разных браузерах наблюдается разное поведение? IE позволяет выгружать на mail.ru и imageshack.us файлы (кстати сказать, позволяет через раз), а FF - не позволяет вообще.

Сейчас сидел и смотрел лог. По очереди разрешил для неавторизованных пользователей доступ "куда угодно" для следующих MIME-типов:

• application/x-shockwave-flash
• text/html
• text/plain
• text/xml

После этого стало возможным прикрепление аттачей на mail.ru через FireFox. Но, как Вы понимаете, разрешающее правило для любых пользователей на text/html без авторизации означает, что все остальные правила на ограничение WEB просто курят в сторонке. То есть такое "решение" совершенно не преемлемо.

Думается мне всё же, копать нужно в сторону авторизации...

Очень сомневаюсь... попробуйте эксперимент, отключите все блокирующие правила, создайте одно правило разрешить всё определённой группе пользователей AD.

Залезьте на сайт и проделайте то что у Вас обычно вызывало нарекание.
Результат в студию.

P.S. Напоминаю, что данные действия имеют силу только при правильной настройке клиента как WebProxy. Если у Вас WebProxy клиент настроен неправильно, или что-то недостроенно в AD или DNS, это уже другая история...

Эксперимент проводил, он ни к чему не привёл - доступа анонимусу нет. Результат проделанного такой же, как выше в моём посте.

Зато удалось более-менее отловить этот глюк.

Если включить в настройках FireFox прокси, а в Internet Explorer прокси выключить вообще, то FireFox начинает нормально работать с Flash-плагином. Если в IE вернуть прокси, то FF начинает бузить :( Такое поведение наблюдается абсолютно на всех компьютерах в сети, не только на моём.

В Интернетах есть обсуждения на эту тему, мнение таково - отказаться от WebProxy и пустить всё через FWC, но руководство не хочет FWC принципиально, только WebProxy.

Может, в конфигурации сети что-то не так у меня?

Внутренняя сеть 172.16.0.0/255.255.0.0, в Internal указан диапазон 172.16.0.0-172.16.255.255. TMG имеет IP 172.16.3.70, GW 172.16.0.1. Блин вот реально как головой о стенку бьёшься, а толку ноль

Я не знаю, на сколько вопрос можно считать решённым, но информация следующая.

Звонил в MS. В ответ на информацию о том, что все браузеры, кроме IE, при работе с Web Proxy не могут авторизовать Flash-плагин при выгрузке файлов, предложили добавлять правило на доступ без авторизации к узлам, к которым Flash обращается.

Собственно, от безысходности, именно это уже давно и делаю. Другого решения пока не нашёл ...