Обратный прокси TMG и базовый конфиг
Я недавно настроил TMG2010 и считаю, что что-то не так с моей конфигурацией. Я не хочу запускать что-либо дополнительно, кроме настройки веб-публикации / обратного прокси.
Мой интернет идет к ASA, это порт 80 внешнего статического на 10.1.20.5 (машина TMG - из сети dmz 10.1.20.0 на ASA) машина TMG имеет второй ник (10.1.10.x со шлюзом 10.1.10.1) для внутреннего подключения к веб-серверам.
Как проще всего убедиться, что группы внутренней / внешней сети настроены правильно (что, по моему мнению, является моей текущей проблемой), проверить, правильно ли работает мой веб-прослушиватель, а затем опубликовать несколько сайтов на разных внутренних IP-адресах.
Я видел несколько руководств по настройке веб-пересылки, но все они предполагают, что сетевые группы настроены правильно. Мои определенно не кажутся такими.
Я изменил внутреннюю сеть на 10.1.10.0 - 10.1.10.255, внешняя сеть кажется неконфигурируемой, и я не уверен, что мне нужны другие.
Спасибо!
Вот диапазоны, которые я получаю, когда пытаюсь добавить "внутренний" адаптер к "внутренней" сетевой группе:
0.0.0.1 - 10.1.19.255
10.1.21.0 - 126.255.255.255
128.0.0.0 - 223.255.255.255
240.0.0.0 - 255.525.255.254
Когда я добавляю адаптер DMZ, я получаю те же первую, третью и четвертую группы, но вторая группа:
10.1.11.0 - 126.255.255.255
Я чувствую, что это не должны быть адреса в "внутренней" сетевой группе. В списке "Локальный хост", "Карантин" или "Клиенты VPN" нет ни одного
1 ответ
Основываясь на том, что я прочитал, вы сможете продолжить свой текущий маршрут.
Одна вещь, которая очень важна, если вы используете TMG с двойным домом, это использование опций "изменить IP-адрес источника" в ваших правилах публикации. Без этого ваш трафик будет перенаправлен обратно на устройство Cisco и, вероятно, будет отброшен, поскольку у него нет установленного соединения. Это укусило меня в больше установок, чем я хотел бы признать.
При строгом использовании TMG в качестве обратного прокси я настоятельно рекомендую использовать единую настройку сетевого интерфейса, как описано здесь. Я считаю, что эта настройка намного проще в управлении.
Все это, как говорится, будьте осторожны, используя Forefront. Его основная поддержка заканчивается в начале 2015 года, и сигнатуры обнаружения вторжений станут бесполезными. Хотя вы просто хотите использовать обратный прокси-сервер, это будет правдой через год? Или два?