locked
TMG 2010 Std. publish internal ftp server RRS feed

 > 

  • Allgemeine Diskussion

  • Discussion
    Anmelden
    0
    Anmelden

    Hallo zusammen,

    hab da folgende Frage zum MS TMG

    Wir nutzen:

    • MS Forefront TMG 2010 Standard / 1 NIC (DMZ IP)
    • Passive (S)FTP Server / 1 NIC (Internal Server LAN IP)

    Wir möchten nun gerne den internen (S)FTP Server ins Internet veröffentlichen. Die Frage ist jedoch: wie? =)

    Alle notwendigen Firewallregeln wurden angelegt, vom TMG komme ich auch auf den (S)FTP drauf.

    Wir haben bereits getestet den (S)FTP Server via http relay und ftp zu veröffentlichen, jedoch ohne Erfolg.

    Hat jemand hierzu bereits Erfahrungen gesammelt und/oder weiß wie man einen internen (S)FTP veröffentlicht?

    Viele Grüße

    Christoph

    ---------------------------

    Hi everybody,

    we're using

    • MS Forefront TMG 2010 Standard / 1 NIC (DMZ IP)
    • Passive (S)FTP Server / 1 NIC (Internal Server LAN IP)

    We want to publish this internal (S)FTP via TMG.

    The question for me is: how? =)

    All neseccary firewall ports have been permitted.

    We already tried to publish this ftp site with an https relay rule and an ftp relay but it doesn't work at all.

    The only thing we saw that with the https relay rule there has been an anonymous login been tried to login on the ftp.

    Does anybody know if this works and can tell me what we need to set up?

    Best regards

    Christoph



    Freitag, 6. Juli 2012 10:13

Alle Antworten

  • Discussion
    Anmelden
    0
    Anmelden

    Hi,

    du bist hier im deutschen Forefront Forum gelandet. Koenntest Du die Frage bitte nochmal in Deutsch posten oder im englischen ISA/TMG Forum:
    http://social.technet.microsoft.com/Forums/en-US/Forefrontedgegeneral/threads

    regards Marc Grote aka Jens Baier - www.it-training-grote.de - www.forefront-tmg.de - www.nt-faq.de

    Freitag, 6. Juli 2012 10:39
  • Discussion
    Anmelden
    0
    Anmelden
    Ok, jetzt auch in deutsch =)
    Freitag, 6. Juli 2012 11:18
  • Discussion
    Anmelden
    0
    Anmelden

    Hi,

    nur kurz zum Verstaendnis. Du meinst SFTP oder FTPS? FTP over SSL wird nicht funktionieren, weil der FTP Filter dann nicht in den Datenverkehr gucken kann, da End-zu End Verrschluesselung FTP Client - FTP Server
    SFTP: http://marckean.wordpress.com/2009/06/25/publish-secure-ftp-ftp-through-isa-2006/ 

    regards Marc Grote aka Jens Baier - www.it-training-grote.de - www.forefront-tmg.de - www.nt-faq.de

    Freitag, 6. Juli 2012 11:42
  • Discussion
    Anmelden
    0
    Anmelden

    Hi Ho,

    ich meine SecureFTP, also Zielport TCP 22 (SSH).

    Den Link schau ich mir direkt mal an =)

    Viele Grüße

    Christoph

    Freitag, 6. Juli 2012 12:16
  • Discussion
    Anmelden
    0
    Anmelden

    So, ich hab's jetzt mal wie in dem Link beschrieben konfiguriert, jedoch nutzen wir als internen FTP Server psftpd (passive FTP)

    Allerdings komme ich nicht auf den veröffentlichten FTP Server von "außen" drauf.

    Ist das Ganze mit einem TMG mit nur einer IP/NIC möglich oder muss hier genattet werden?

    Viele Grüße

    Christoph

    Montag, 9. Juli 2012 09:53
  • Discussion
    Anmelden
    0
    Anmelden

    Mir ist auch aufgefallen, dass der TMG nach der Aktivierung der 3 beschriebenen Regeln nicht auf den Port lauscht.

    Also wir veröffentlichen zum Internet den FTP auf TCP 44321 und den SFTP auf 44322, der TMG soll das dann redirecten auf die interne FTP Server IP mit den Ports 21 und 22.

    Weiß jemand warum die Ports auf dem TMG nicht geöffnet werden, nach dem die Regel aktiviert wurde?

    Dienstag, 10. Juli 2012 11:57
  • Discussion
    Anmelden
    1
    Anmelden

    Hi,

    SSL Tunnel Port Range?
    http://www.isatools.org/tools/isa_tpr.js

    regards Marc Grote aka Jens Baier - www.it-training-grote.de - www.forefront-tmg.de - www.nt-faq.de

    Dienstag, 10. Juli 2012 18:22
  • Discussion
    Anmelden
    0
    Anmelden

    Hallo Christoph,

    Hast Du eigentlich Dein Problem gelöst ?
    Funktioniert jetzt alles?

    Viele Grüße,
    Alex

    Alex Pitulice, MICROSOFT 
    Bitte haben Sie Verständnis dafür, dass im Rahmen dieses Forums, welches auf dem Community-Prinzip „IT-Pros helfen IT-Pros“ beruht, kein technischer Support geleistet werden kann oder sonst welche garantierten Maßnahmen seitens Microsoft zugesichert werden können.

    Donnerstag, 12. Juli 2012 14:21
  • Discussion
    Anmelden
    0
    Anmelden

    Hallo zusammen,

    nein, ich konnte das Problem noch nicht lösen =(

    Mir stellt sich nach wie vor die Frage, ob das überhaupt funktionieren kann, denn der TMG hat nur eine NIC / IP Adresse.

    Wenn ich eine neue Nicht-Webserver-Protokoll Regel erstelle erhalte ich die Meldung:

    Forefront TMG hat eine Konfiguration mit einem einzelnen Netzwerkadapter ermittelt. Serververöffentlichungsregeln werden in einer solchen Konfiguration nicht unterstützt. Möchten Sie dennoch eine Serververöffentlichungsregel erstellen?

    Was ist mein Ziel?

    --> Veröffentlichung des internen SFTP-Servers über den TMG ins Internet. Beide Server haben jeweils nur eine IP Adresse und sind in unterschiedlichen Sicherheitszonen / Subnetzen.

    In der aktuellen Firewallkonfig (nicht TMG) ist der TMG Server mit Zielport TCP 21+22 auf den internen SFTP Server freigeschaltet.

    In der aktuellen TMG Konfig haben ich zum Testen sämtlichen Verkehr zwischen TMG und SFTP Server erlaubt. Vom TMG Server komme ich auch über TCP 21+22 auf den internen SFTP Server.

    Jetzt möchte ich diesen Server veröffentlichen, jedoch nicht über die Standardports, sondern über bspw. 44321 und 44322. Die entsprechenden Ports sind bereits an den FW Richtung Internet freigeschaltet.

    Wenn ich jetzt vom TMG einen FTP CLient (FileZilla) starte und mit via FTP oder SFTP auf den internen Server verbinde, bekomme ich alle Verzeichnisse angezeigt. Hier stolperte ich bereits über den FTP Zugriffsfilter ;-) (read only)

    Wenn es jetzt darum geht den internen SFTP Server zu veröffentlichen habe ich eben die bisher beschriebenen Probleme.

    Selbst wenn ich eine Veröffentlichung auf den Standardports erstelle funktioniert das Ganze auch nicht. Auf dem TMG müsste doch dann zumindest lokal auf TCP 21/22 gehorcht werden. Selbst das ist nicht der Fall.

    Ich lösche jetzt nochmal alle Regeln und lege sie neu an (siehe http://marckean.wordpress.com/2009/06/25/publish-secure-ftp-ftp-through-isa-2006/).

    Hat jemand von euch noch eine Idee die mir weiterhelfen könnte?

    Viele Grüße

    Christoph

    Freitag, 13. Juli 2012 14:40
  • Discussion
    Anmelden
    0
    Anmelden

    Hi,

    hier sind die Einschraenkungen von einem TMG mit nur einer NIC:
    http://technet.microsoft.com/en-us/library/cc995236.aspx
    Standard FTP Publishing funktioniert mit einer NIC definitiv. Dann hast Du evtl. in Deiner Konfiguration noch ein Problem. Ob SFTP mit Single NIC ueber Port 22 funktioniert vermag ich in einem Single NIC Szenario nicht zu sagen - noch nie probiert

    regards Marc Grote aka Jens Baier - www.it-training-grote.de - www.forefront-tmg.de - www.nt-faq.de

    Freitag, 13. Juli 2012 14:47
  • Discussion
    Anmelden
    0
    Anmelden

    Hallo nochmal =)

    also hier mal das, was ich gerade eben als Regel (Nicht-Webserver-Protokolle veröffentlichen) hinzugefügt habe:

    1. Regel: FTP Publish

    • IP Adresse des internen FTP Servers angegeben
    • neues Protokoll angelegt "SFTP Server FTP"
    • Protokollverbindung: TCP / Eingehend / Port 21
    • Keine sekundäre Verbindung
    • Dieser Protokolldefinition kein Standardprotokoll zuordnen
    • Ports: Firewallports: Über den in der Protokolldef. def. Std.port veröffentlichen | Veröff. Serverports: Anforderungen an den Standardport des veröff. Server senden | Quellports: Datenverkehr von allen zugelassenen Quellports zulassen
    • Diese Netzwerke auf Anforderungen abhören: Intern
    • FTP konfigurieren: "Nur lesen" deaktivieren
    • "Ursprung der Anforderungen scheint der TMG zu sein" aktiviert

    2. Regel: FTP PASV Publish

    • IP Adresse des internen FTP Servers angegeben
    • neues Protokoll angelegt "SFTP Server FTP PASV"
    • Protokollverbindung: TCP / Eingehend / Port 5000-5100 (nur temp. solange es nicht funktioniert)
    • Keine sekundäre Verbindung
    • Ports: Firewallports: Über den in der Protokolldef. def. Std.port veröffentlichen | Veröff. Serverports: Anforderungen an den Standardport des veröff. Server senden | Quellports: Datenverkehr von allen zugelassenen Quellports zulassen
    • Diese Netzwerke auf Anforderungen abhören: Intern
    • FTP konfigurieren: "Nur lesen" deaktivieren
    • "Ursprung der Anforderungen scheint der TMG zu sein" aktiviert

    3. Regel: SFTP Publish

    • IP Adresse des internen FTP Servers angegeben
    • neues Protokoll angelegt "SFTP Server SSH"
    • Protokollverbindung: TCP / Eingehend / Port 22
    • Keine sekundäre Verbindung
    • Ports: Firewallports: Über den in der Protokolldef. def. Std.port veröffentlichen | Veröff. Serverports: Anforderungen an den Standardport des veröff. Server senden | Quellports: Datenverkehr von allen zugelassenen Quellports zulassen
    • Diese Netzwerke auf Anforderungen abhören: Intern
    • FTP konfigurieren: "Nur lesen" deaktivieren --> k.a. warum man das einstellen kann obwohl kein Zugriffsfilter für diese Regel zählt.
    • "Ursprung der Anforderungen scheint der TMG zu sein" aktiviert

    ___________________________________________

    Frage bzgl des Links "http://marckean.wordpress.com/2009/06/25/publish-secure-ftp-ftp-through-isa-2006/"

    • Muss bei beiden Regeln für FTP und FTP-PASV der FTP Zugrifffilter aktiv sein?
    • Muss für alle Regeln der Punkt "Ursprung der Anforderungen scheint der TMG zu sein" aktiviert werden?
    • Ist das Netzwerk "Intern" das richtige?

    Ich habe anschließend aus dem gleichen Netz in dem der TMG "steht" versucht eine Verindung auf Zielport 21/22 aufzubauen, jedoch ohne Erfolg.

    Auf dem TMG werden die beiden Ports auch nicht geöffnet. Ist das "normal"?

    Vielleicht helfen diese Infos weiter.

    Ggf. erstelle ich einfach mal von jeder Regel Screenshots.

    Viele Grüße

    Christoph



    Freitag, 13. Juli 2012 16:31
  • Discussion
    Anmelden
    0
    Anmelden

    Configuring FTP server publishing

    ganz unten:

    Server publishing rules are not supported in a single network adapter configuration.

    D.h. mein Aufbau ist nich supported?

    Montag, 16. Juli 2012 11:21
  • Discussion
    Anmelden
    0
    Anmelden

    Hi,

    http://technet.microsoft.com/en-us/library/cc995236.aspx

    regards Marc Grote aka Jens Baier - www.it-training-grote.de - www.forefront-tmg.de - www.nt-faq.de

    Montag, 16. Juli 2012 14:07
  • Discussion
    Anmelden
    0
    Anmelden

    Hi,

    - Muss bei beiden Regeln für FTP und FTP-PASV der FTP Zugrifffilter aktiv sein?

    Ja, es sei denn Deine Firewallregeln / Ports decken alle Portranges ab welche dynamisch vom FTP Protokoll verwendet werden

    - Muss für alle Regeln der Punkt "Ursprung der Anforderungen scheint der TMG zu sein" aktiviert werden?

    Wenn Du moechtest, dass die IP Adresse vom TMG beim veroeffentlichten Server auftaucht und der veroeffentlichte Server kein SecureNAT Client ist - ja

    - Ist das Netzwerk "Intern" das richtige?

    Ja, denn eine Single NIC Installation kennt kein externes Netzwerk

    regards Marc Grote aka Jens Baier - www.it-training-grote.de - www.forefront-tmg.de - www.nt-faq.de

    Montag, 16. Juli 2012 14:11
  • Discussion
    Anmelden
    0
    Anmelden

    Also was mich total verwundert ist, dass nach der Definition der Regeln und anschließender Übernahme nach dem Absetzen von netstat -a die beiden Ports 21+22 nicht geöffnet werden...

    Montag, 16. Juli 2012 14:24