7
Zwei Bedingungen für Freigabe beim ISA Server 2004
Zugriffsteuerung beim ISA Server 2004
Hallo zusammen,
Wie ich beim ISA Server einer Firewallregel eine Benutzergruppe zuweise weiß ich. So kann ich einzelne Benutzergruppen in der Domäne rein stecken. Mit dieser Methode lässt sich dir Zugangssteuerung auf Benutzerebene gut machen. Was ich bräuchte wäre noch eine zweite bedingung die zusätzlich vorhanden sein müsste um einen Benutzer ins Internet zu lassen. Gibt es eine möglichkeit den Zugriff noch vom PC abhänig zu machen?
Die bedingung müste dann heißen: Nur wenn PC in Gruppe "Berechtigte_PCs" UND User in in Gruppe "Berechtigte_Users" dann lasse Internetzugriff zu.
Kennt jemand einen Weg wie ich das mit einem ISA Server 2004 und einem Windows 2000 ADS machen kann, oder verlange ich da zuviel von meinem ISA Server?
Vielen Dank für eure Antworten schon mal im voraus.
MfG
Chris
Wie ich beim ISA Server einer Firewallregel eine Benutzergruppe zuweise weiß ich. So kann ich einzelne Benutzergruppen in der Domäne rein stecken. Mit dieser Methode lässt sich dir Zugangssteuerung auf Benutzerebene gut machen. Was ich bräuchte wäre noch eine zweite bedingung die zusätzlich vorhanden sein müsste um einen Benutzer ins Internet zu lassen. Gibt es eine möglichkeit den Zugriff noch vom PC abhänig zu machen?
Die bedingung müste dann heißen: Nur wenn PC in Gruppe "Berechtigte_PCs" UND User in in Gruppe "Berechtigte_Users" dann lasse Internetzugriff zu.
Kennt jemand einen Weg wie ich das mit einem ISA Server 2004 und einem Windows 2000 ADS machen kann, oder verlange ich da zuviel von meinem ISA Server?
Vielen Dank für eure Antworten schon mal im voraus.
MfG
Chris
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 10101
Url: https://administrator.de/contentid/10101
Printed on: April 18, 2024 at 11:04 o'clock
7 Comments
Latest comment
den ISA 2004 kenne ich kaum, daher schreibe ich mal aus der Erfahrung mit dem ISA2000.
Beim 2000er kann man Clientsätze erstellen. Da kannst du die Rechner reinpacken, die _nicht_ ins Internet sollen und ihnen dann den Zugriff auf alle Ziele verweigern.
Beim 2000er kann man Clientsätze erstellen. Da kannst du die Rechner reinpacken, die _nicht_ ins Internet sollen und ihnen dann den Zugriff auf alle Ziele verweigern.
Hey super danke,
Beim ISA Server 2004 heißt das wohl Computersätze soweit ich jetzt sehe müsste das, dass was ich brauche.
PRIMMAAA
Beim ISA Server 2004 heißt das wohl Computersätze soweit ich jetzt sehe müsste das, dass was ich brauche.
PRIMMAAA
Hmm ich habe es gerade mal mit den Computersätzen probiert. Leider musste ich fest stellen das ich da nur einzelne PC eintragen kann. In unserem ADS sind die PCs mit und ohne Berechtigung für Internet in jeweils eigenen OUs. Ist es möglich das Ich da eine ganze Gruppe Adden kann?
also ich kann beim 2000er IP-Bereiche eingeben.
Hmm, warum willst du überhaupt den Client mit einbeziehen?
Hmm, warum willst du überhaupt den Client mit einbeziehen?
Ja das ist richtig IP Adressbereiche kann ich auch eingeben.
Bei uns gibt es PC die entweder noch nicht auf den neuesten Stand sind was Updates angeht oder allgemein nicht unserem Standard für den Internetzugang genügen. Zum Beispiel ist ein Kriterium das die zugelassenen PC, NTFS als File System haben müßen. Da die PCs in einzelnen kleinen Gruppen historisch gewachsen sind haben wir im Netzwerk im Moment keinen einheitlichen Standard (Wir sind drann alle auf einen Standard zu bringen).
Bis da hin wollen/dürfen wir nur den Internetzugriff mit PCs zulassen die eine entsprechende konfiguration haben. Unsere "Liste" wo wir sehen wer darf und wer nicht sind im ADS die zwei unterschiedlichen OUs
Bei uns gibt es PC die entweder noch nicht auf den neuesten Stand sind was Updates angeht oder allgemein nicht unserem Standard für den Internetzugang genügen. Zum Beispiel ist ein Kriterium das die zugelassenen PC, NTFS als File System haben müßen. Da die PCs in einzelnen kleinen Gruppen historisch gewachsen sind haben wir im Netzwerk im Moment keinen einheitlichen Standard (Wir sind drann alle auf einen Standard zu bringen).
Bis da hin wollen/dürfen wir nur den Internetzugriff mit PCs zulassen die eine entsprechende konfiguration haben. Unsere "Liste" wo wir sehen wer darf und wer nicht sind im ADS die zwei unterschiedlichen OUs
Naja eigentlich schon.
Mach am DC eine Gruppe "Autorisierte Benutzer" und am ISA Server in der Toolbox eine IP Range "Autorisierte Computer". Erstelle dann die FW Policy:
Name: zB "Autorisierter Internetzugriff"
Ports: 80,443 und was du halst noch brauchst.
Source: Das Netzwerkset "Autorisierte Computer"
Destination: External bzw WAN
Dann sollte dies schon laufen.Habe gerade gesehn, dass einige schon geantwortet haben, naja ich poste trotzdem.
vlg
Mach am DC eine Gruppe "Autorisierte Benutzer" und am ISA Server in der Toolbox eine IP Range "Autorisierte Computer". Erstelle dann die FW Policy:
Name: zB "Autorisierter Internetzugriff"
Ports: 80,443 und was du halst noch brauchst.
Source: Das Netzwerkset "Autorisierte Computer"
Destination: External bzw WAN
Dann sollte dies schon laufen.Habe gerade gesehn, dass einige schon geantwortet haben, naja ich poste trotzdem.
vlg
Ihr seid aber streng. 
Du kannst ja auch versuchen es nicht über den ISA zu machen. Weise den PCs die nichts ins Internet sollen einfach einen falschen Proxy per GPO zu. Dann verbiete Ihnen noch diese Einstellung selbst zu ändern.
Das hätte noch den Vorteil, dass die Clients automatisch die passende Konfig haben, je nachdem in welcher OU sie sind.
Du kannst ja auch versuchen es nicht über den ISA zu machen. Weise den PCs die nichts ins Internet sollen einfach einen falschen Proxy per GPO zu. Dann verbiete Ihnen noch diese Einstellung selbst zu ändern.
Das hätte noch den Vorteil, dass die Clients automatisch die passende Konfig haben, je nachdem in welcher OU sie sind.
