Доступ к объектам домена из сети DMZ через Forefront TMG

[igorvs]

Нет доступа к объектам домена от компьютеров из сети DMZ. контроллер домена находится во внутренней сети.

что я настроил в Forefront TMG:
1. доступ внутренней сети к сети DMZ через Route.
2. В системных политиках в группе аутентификации - Active Directory, разрешил сеть DMZ

[Telepuzik]

У компьютеров в DMZ public адреса?
Правило разрешеющее хождение трафика из DMZ в локальную сеть прописали?
На компьютерах в DMZ прописали маршрут в локальную сеть?

[igorvs]

1. У компьютеров в DMZ адреса назначаются внутренним DHCP сервером, (в данный момент публичных нет).
2. правило хождения трафика. смотрите картинку
3. на комп. DMZ на сетевых интерфесах, шлюз указан на TMG

сети видят друг друга PINGом

[Telepuzik]

2. правило хождения трафика. смотрите картинку »
Это у Вас "Сетевое правило" а нужно правило которое разрешает хождение трафика из DMZ в локальную сеть и обратно, оно создано?

[igorvs]

да вот Custom Rule 05 на картинке

[igorvs]

И в правиле Custom Rule 05 какие протоколы для Active Directory достаточно иметь

[Telepuzik]

А доступ к каким именно обьектам у Вас не работает? У Вас правило Custom Rule 05 отключено. Разрешите не время тестиолвание хождение всего трафика из DMZ в Internal.

[igorvs]

да у меня есть такое правило для теста как его включаешь все работает. без него я не могу назначить права из каталога домена к ресурсам папки, появляется только выбор прав от локальной машины

[Telepuzik]

А DNS разрешили? Вот тут (http://support.microsoft.com/kb/179442) почитайте какие порты необходимо открыть.

[igorvs]

Ну вот все сделал смотрите картинку, как в статье. все-равно не появляются доменные объекты

[Telepuzik]

Смотрите в логах какие запросы идут из DMZ и какое правило их блокирует.

[igorvs]

Честно говоря не знаю как это сделать. Не подскажите?

[Telepuzik]

TMG->Журналы и отчеты->Ведение журнала->Изменить фильтр(указываете какой трафик отображать)->Выполнить запрос и смотрите какой трафик идет с клиента.

[igorvs]

вот что он мне пишет. блокирует правило Default. что странно после запуска запроса, появилось соединение с каталогом, но очень долго соединялось.
картинку прикладываю

[Telepuzik]

Попробуйте следующее:
Включение трафика DCOM
Когда включены правила консоли управления (MMC), разрешена передача трафика удаленного вызова процедур (RPC) в локальной сети. Однако передача трафика DCOM блокируется по умолчанию. Чтобы разрешить трафик DCOM, отключите правило системной политики «Разрешить удаленное управление из выбранных компьютеров с помощью консоли управления MMC». Затем создайте правило, разрешающее трафик RPC. После этого в окне свойств правила настройте протокол RPC и снимите флажок Требовать строгого соответствия RPC.

[igorvs]

Добрый день, Telepuzik! Отправляю вам картинку, правило Custom Rule 05, в нем снял проверку соответствия RPC, но в системной политике не стал снимать галку для удаленной работы на MMC консоли, все работает. Включал журнал то же все в порядке.
Спасибо огромное вам! А что за протокол RPC и за что он отвечает?

[Telepuzik]

А что за протокол RPC и за что он отвечает? »
RPC - Remote Procedure Call (Удаленный вызов процедур) RPC ISA 2004 (http://www.redline-software.com/rus/support/articles/isaserver/general/understanding_and_implementing_isa_2004.php)

[igorvs]

Спасибо.
Сейчас обнаружил. Что во внутрекнней сети виртуальные машины нормально работают с каталогами, так как домен находится там же, а вот я подключил физическую машину XP она долго думает но каталогов не видит. Пингуется соединяется с доменом

[igorvs]

XP на физической машине входит нормально в домен. на файловый сервер и обратно нормально копируются данные. а вот файловый сервер не может зайти на физическую машину. в чем дело не пойму.

вот сейчас с трудом зашел, но копируется с файлового сервера на физ.машину крайне медленно