ISA server 2006 в Windows 2003 Server (проблема с пингом на клиенте)

[DIMAPIKS]

Ребята если кто в курсе подскажите пожалуйста.
Поднят домен на Windows 2003 Server, для доступа в интернет клиентам установлен ISA server 2006.
Создал правила, для внутренней локальной сети, для доступа в интернет сервера и доступа в интернет из локальной сети клиентам.
Если будет как на скриншоте т.е. доступ предоставляется определённому пользователю, то тогда Web странички открываются, вроде бы всё нормально, но не получается пинговать, например mail.ru, хотя в браузере он открывается.
Сам сервер пингуется.
http://ipicture.ru/uploads/090908/zGKwAqoan1.jpg
А если в этом правиле вместо определённого пользователя, написать: "всё пользователи". То всё работает и пингуется без проблем.
Случайно наткнулся на это и не могу понять в чём проблема, буду очень рад если кто то объяснит.
За ранее большое спасибо.
С уважением DIMAPIKS.

[monkkey]

Просто разрешите из Внутренней во Внешнюю протокол PING для Всех пользователей, т.к. авторизации в нем нет. И сделайте правило выше разрешающего выход в Интернет для авторизованных пользователей.

[DIMAPIKS]

monkkey, Разобрался спасибо большое. Хочу кое что уточнить, немного не по теме.
В ISA server правило для локально сети надо ставить на первое место, правильно? Или можно и самым последним. А то когда он у меня было последим, компьютер в домене не мог получить IP, было написано что проблемы, а как переместил правило на первое место, всё заработало.

[Anton04]

DIMAPIKS,

В ISA server правило для локально сети надо ставить на первое место, правильно? »

Не локальной сети а "локальный компьютер". Да и вообще для настройки взаимодействия самого isa server`а с внутреней сетью существуют "правила системной политики".

Правила системной политики существуют для настраивания подключений к брандмауэру или с брандмауэра. И правилами системной политики не обрабатывают подключениям, проходящим через брандмауэр. :dirol:

[DIMAPIKS]

Anton04, Не совсем вас понял, а какой вид должно иметь "правило системной политики" ?

[Dimas_83]

Логика правил:

чем уже правило, тем оно должно быть выше. (системные правила не в счет)
любые правила публикации должны быть выше остальных.

В вашем случае правило с локальным компьютером (иса) являются более узкими, чем общий доступ для Локальной сети.

[DIMAPIKS]

Dimas_83, Спасибо.
Подскажите ещё вот что, не понятно почему так выходит.
Вот два правила:
http://ipicture.ru/uploads/090911/LLr6uzbSyZ.jpg
Мне не понятно, почему не проходит пинг, если у него нету авторизации. Пусть даже доступ во внешнею сеть закрыта. Я бы понял если бы на счёт времени доступа был бы вариант '"всё пользователи", а там стоит определенная группа.
Почему правило пинга блокируется?
Если их поменять местами то будет проходить пинг во внешнею сеть, но так как мне объяснили то для него нет авторизации и для того что бы его тоже запретить надо указываться вариант : '"всё пользователи" ?

[Anton04]

DIMAPIKS,

Анонимное правило (там где "Все пользователи") должно стоять выше правил в которых прописаны конкретные пользователи.

Не совсем вас понял, а какой вид должно иметь "правило системной политики" ? »

Посмотри внимательно на правила ситемной политики, там и разъяснения есть что и для чего надо...

[Dimas_83]

Только проблема не во "Все пользователи".
"Все пользователи" - отключает проверку данных аутентификации с клиента. В ИСЕ проверка аутентификации происходит через FWC или встроенный прокси, которые не работают с не Winsock приложениями. Ping к ним как раз и не относиться, как и Route....

Еще одно правило: правила запрета ниже всех. Ваше правило можно удалить и результат будет таким же.

Принцип ИСЫ - запрещено всё, что не разрешено!

Читайте "букварь"!

[DIMAPIKS]

Anton04, Спасибо.

Еще одно правило: правила запрета ниже всех. Ваше правило можно удалить и результат будет таким же. »
Вообще то это правило работает, в определённые часы. И если его удалить то результат изменится. Проверено на практике.