Re: S2S Verbindung: ISA 2004 SP2 mit Watchguard

Tech-Archive recommends: Speed Up your PC by fixing your registry

Hallo Christian,

es scheint so zu sein.
Die Watchguard steht auf einer Serverfarm und davor ist "nichts",
dahinter steht der Terminal-Server, das ist alles.

Würde es dir helfen, wenn wir dir eine Watchguard zur Verfügung stellen
würden?
Würde das evt. unsere Chance erhöhen?

Noch einen schönen Nachmittag, Michael

********************************************************


"Christian Gröbner [MVP]" <newsgroups@xxxxxxxxxx> schrieb im Newsbeitrag
news:e7$qGiktGHA.2392@xxxxxxxxxxxxxxxxxxxxxxx
Hallo,

also ist der ISA direkt mit dem Internet verbunden und nicht über einen
Router mit NAT. Dann sollte das eigentlich überhaupt kein Problem sein,
oder steht die Watchguard hinter einem Router mit NAT?

Also wenn sichergestellt ist, dass die Netzwerkdefinitionen in der
Watchguard und am ISA richtig sind und zudem auf beiden Seiten die
Proposals übereinstimmen, dann wird's schwierig.

Gruß

Christian

--
Christian Gröbner
MVP ISA Server
Hilfe & Infos rund um den ISA Server: http://www.msisafaq.de

Das ISA 2004 Handbuch - http://www.msisafaq.de/buch/

"M. Christmann" <service@xxxxxxxxxxxxxx> schrieb im Newsbeitrag
news:uM61U7jtGHA.2260@xxxxxxxxxxxxxxxxxxxxxxx
Hallo Christian,
schneller gehts nimmer ......

Ja, vor dem ISA hängt ein CISCO 2600 von der Telekom, ist eine 2 MB
Leitung .
Hoffe das hieft uns weiter.

VG Michael


"Christian Gröbner [MVP]" <newsgroups@xxxxxxxxxx> schrieb im Newsbeitrag
news:%23mwN5kjtGHA.1284@xxxxxxxxxxxxxxxxxxxxxxx
Hallo,

wenn ein Ping von Intern nicht möglich ist, dann kann der Tunnel noch
nicht aufgebaut werden. Interessant zu wissen wäre hier die
Netzerkkonfiguration, z.B. ob vor dem ISA noch ein Router usw. ist.

Gruß

Christian
--
Christian Gröbner
MVP ISA Server
Hilfe & Infos rund um den ISA Server: http://www.msisafaq.de

Das ISA 2004 Handbuch - http://www.msisafaq.de/buch/

"M. Christmann" <service@xxxxxxxxxxxxxx> schrieb im Newsbeitrag
news:%234RjgejtGHA.4852@xxxxxxxxxxxxxxxxxxxxxxx
Hallo Christian,
danke für die superschnelle Antwort.

Bei einem Ping vom ISA kommt: IP-Sicherheit wird verhandelt
bei einem Ping aus dem Netz hinter dem ISA kommt: Zeituebreschreitung
......

Hast du noch einen Rat?

VG Michael




"Christian Gröbner [MVP]" <newsgroups@xxxxxxxxxx> schrieb im
Newsbeitrag news:OaGN$XitGHA.2260@xxxxxxxxxxxxxxxxxxxxxxx
Hallo,

du machst einen Ping vom ISA direkt aus, oder? Wenn du jetzt einen
Client hinter dem ISA nimmst, dann müsste es funktionieren. Grund
hierfür ist, dass du in der Netzwerkdefinition an der Watchguard die
Externe IP vom ISA nicht hinterlegt hast.

Die Netzwerkdefinition auf der Watchguard muss in etwa so aussehen

Policy auf der Watchguard:
192.168.1.1/255.255.255.255 (Externe IP-ISA)
192.168.2.0/255.255.255.0 (netz hinter ISA)

Gruß

Christian

--
Christian Gröbner
MVP ISA Server
Hilfe & Infos rund um den ISA Server: http://www.msisafaq.de

Das ISA 2004 Handbuch - http://www.msisafaq.de/buch/

"M. Christmann" <service@xxxxxxxxxxxxxx> schrieb im Newsbeitrag
news:%23NsHRMitGHA.2448@xxxxxxxxxxxxxxxxxxxxxxx
Hallo Christian und Jens,
die Proposals der Watchguard und dem ISA stimmen überein.
Die Werte von Jens haben wir auch entspr. eingetragen.

Wenn wir den Client von der ISA Seite aus anpingen kommt jetzt die
Meldung: IP-Sicherheit wird verhandelt.

Auf der Watchguard siehts folgendermaßen aus: (Vier einzelne Meldung
in diese Reihenfolge!)

WARNING - No Matching IPSec Policy found for 192.xxx.xxx.xxx (ist die
IP von unserem ISA-Server)

ACTION - Verify VPN IPSec Policies for 192.xxx.xxx.xxx (ist die IP
von unserem ISA-Server)

get_ipsec_pref: unable to find channel infofor remote
(192.xxx.xxx.xxx) ( ist wieder die IP von unserem ISA)

Quick Mode processing failed

Der Admin auf der Watchguard-Seite hat jetzt als Remote ID unsere
ISA-IP eingetragen,
zuerst hatten wir an der Stelle die öffentliche IP vom Router
hinterlegt, was ist denn da wirklich richtig?

Für weitere Hilfe schon mal unseren besten Dank, Michael



"Christian Gröbner [MVP]" <newsgroups@xxxxxxxxxx> schrieb im
Newsbeitrag news:O8FVRoUtGHA.4140@xxxxxxxxxxxxxxxxxxxxxxx
Hallo,

es sieht so aus, als würden die Proposals der Watchguard nicht mit
der von ISA übereinstimmen. Überprüfe mal, ob du an der Watchguard
die gleichen Proposals hast wie am ISA.

Gruß

Christian

--
Christian Gröbner
MVP ISA Server
Hilfe & Infos rund um den ISA Server: http://www.msisafaq.de

Das ISA 2004 Handbuch - http://www.msisafaq.de/buch/

"M. Christmann" <service@xxxxxxxxxxxxxx> schrieb im Newsbeitrag
news:OvvnI0TtGHA.3240@xxxxxxxxxxxxxxxxxxxxxxx
Hallo NG, Hallo Christian,

eines unserer Probleme neigt sich hoffentlich dem Ende zu.
Nach dem wir die Regeln am ISA Server nach Anweisung erstellt
haben,
kommt auf der Watchguard folgene Fehlermeldung:
"No Matching IP-SEC Policy found".

Was haben wir falsch gemacht, was fehlt noch in der Regel?

Für jede Hilfe schon mal unseren besten Dank.
M. Christmann

P.S.: Kann uns jemand ein gutes PKI Buch empfehlen?

















.

Relevant Pages

  • Re: isa 2k4 - ping overflood
    ... I cannot open your ISA report in the following link: ... Are the ping packets from client computers to ISA or from ISA to client ... Microsoft CSS Online Newsgroup Support ... |> If the ping requests are from ISA server to clients, ...
    (microsoft.public.windows.server.sbs)
  • RE: ISA - Config Help Needed
    ... You want to allow the internal clients to Ping external hosts in ISA server. ... If you want to use a newsreader other than a web forum to access these ...
    (microsoft.public.windows.server.sbs)
  • Re: Wireless network cannot access resources on LAN
    ... I can ping by both DSN, ... If I change the routing tables on the effected computers so that they do not use the ISA server for routing then I am able to communicate with them with out issue. ... Its like ISA does not know that the Wireless network is a trusted network. ...
    (microsoft.public.isa.configuration)
  • Re: External NIC cant get an IP Address anymore...
    ... I am very new to ISA 2004, but I noticed the same issues and I can give you ... It is true that clients cannot ping the ISA server, ... Check the ISA server management tool and go to "Firewall Policy" there, ... the second rule I mentioned needs the trusted DHCP server to be added!. ...
    (microsoft.public.isa)
  • Re: S2S Verbindung: ISA 2004 SP2 mit Watchguard
    ... MVP ISA Server ... Hilfe & Infos rund um den ISA Server: http://www.msisafaq.de ... Die Watchguard steht auf einer Serverfarm und davor ist "nichts", ...
    (microsoft.public.de.german.isaserver)