Видимость (доступ) к компьютерам-рабочим станциям в домене 2003

XPurple · Отправлено: **06:48, 15-12-2005** | #2

Цитата:

Надо, чтоб одна подсеть не видила другую

Попробуй для начала закрыть на шлюзе с помощью средств ISA пересылку между интерфейсами (forward) пакетов из одной сети к другой, все что касается протокола NetBios, т.е. 135-139 порты .

Andrik · Отправлено: **12:22, 15-12-2005** | #3

Цитата:

Попробуй для начала закрыть на шлюзе с помощью средств ISA пересылку между интерфейсами (forward) пакетов из одной сети к другой, все что касается протокола NetBios, т.е. 135-139 порты .

А про это поподробнее можешь расказать??????
В реестре на серваке параметр: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\IPEnableRouter=0 так что роутинг средствами сервера запрещен.

Andrik · Отправлено: **12:45, 15-12-2005** | #4

Проверил! Рутит сеть однозначно служба Firewall от ISA Server. Но как отключить - пока не знаю!!!

XPurple · Отправлено: **12:59, 15-12-2005** | #5

Не нравится слово интерфейс, можно его заменить на "сети". Запретить пересылку пакетов NetBios средствами ISA из 1-ой сети ко 2-ой сети и наоборот.
p.s. Удалите|остановите службу ISA. Смотрим, что изменилось.
Проверьте установлена ли служба маршрутизация и удаленный доступ.

Andrik · Отправлено: **13:09, 15-12-2005** | #6

Да все мне нравится! Ты рецепт напиши, а то тыкаю фиг знает куда, народ дергается, что интернет вываливается, а толку никакого.

XPurple · Отправлено: **13:22, 15-12-2005** | #7

Я ISA не использую, но рецепт одинаковый для всех Routing-Firewall _ных устройств.
Пишутся правила доступа/запрета прохождения пакетов от одних хостов/сетей к другим, ко всему диапазону портов или выборочно.

Все правила делятся на 3 типа: входящие, исходящие и транзитные, последние иногда называет форвардные- от англ.слова Forward.

Все правила такого рода похожи друг на друга, общий синтаксис примерно такой:
Что (input/output/forward) Откуда (Net1, например 192.168.1.0/24) Куда (Host1, например 192.168.2.1/32) какой протокол (tcp/udp/icmp и т.д.) какой порт (номер порта, например 135) что делать (принять/Отклонить - Reject/Accept).

Andrik · Отправлено: **14:25, 15-12-2005** | #8

Разобрался я примерно в этом аспекте и с ИСА и с сервером маршрутизации. Роутинг можна делать или тем или тем. Определенно для каждого порта в ИСЕ вряд ли удастся, т.к. поскольку ИСА "весит" на интерфейсе, который смотрит в внешнюю сеть, т.е. Интернет, ей совершенно вроди бы "по барабану", как пакеты "летают" по внутренних интерфейсах, главное контролировать, то, что валит от тебя и к тебе через Интернетовский интерфейс.
Только вот вопрос: есть 3 интерфейса, назовем их А-смотрит в интернет на котором стоит NAT, В,С-смотрят в локальные подсети. Если команды пинг проходят из В в А и из С в А то будут ли однозначо проходить пинги из В в С и наоборот и как этот процесс запретить/разрешить.

monkkey · Отправлено: **16:07, 15-12-2005** | #9

Andrik
Client address - C Destination - B - Protocol ICMP - Deny