ISA Proxy and SVPN

Настройка ISA Proxy и SVPN для корректной работы
Sabre
При использовании SVPN со стандартным PROXY-сервером нужно принять
во внимание два аспекта:

Трафик к DNS-адресам *.sabre.com должен быть разрешен по
HTTP и HTTPS протоколам (порты 80 и 443).
Обычно с этим не возникает проблем, так как в большинстве
PROXY-серверов 80 и 443 порты открыты по умолчанию. Если, тем
не менее, сервер производит фильтрацию по DNS-адресам рекомендуется прописывать весь домен через «*.» (*.sabre.com) для
предотвращения блокирования различных компонентов трафика от
MySabre (например портлетов).

В SVPN клиенте должно быть прописано имя PROXY-сервера
(скрипты не работают)
Для большинства PROXY-серверов этих настроек должно быть достаточно.
Так же следует запомнить то, что высшие порты (3003x, 3005x и т.д.)
проходят через канал port forwarder, так что нет необходимости создавать
для них аккаунт при использовании SVPN.
В основном проблемы с соединением возникают при использовании SVPN
на машинах с ISA Firewall Client (FwcAgent). В момент, когда приложение
посылает запрос на сетевой доступ, Firewall Client перехватывает данный
трафик и проверяет его по средствам сопоставления данных в Локальном
Адресном Столе. И если не находит сопоставления, перенаправляет
трафик на ISA-сервер. По умолчанию ISA-сервер нераспознанный трафик
расценивает как внешний.
Вместо того чтобы соединение по сокету 30031 на access.sabre.com
перехватывалось Host файлом (и там перекодировалось с помощью Port
Forwarder),-трафик идет напрямую на ISA-сервер как внешний, что и
вызывает ошибку корректного восприятия информации и обрыв
соединения.
На примере ниже показано как в средствах для мониторинга ISA-сервера
2004/2006, тест сокета в SVPN отображается как запрос к 151 IP.
При некорректных настройках тест SVPN будет выглядеть следующим
образом:
Во-избежании данной ситуации, необходимо направить трафик с серверов
SABRE через Host файл. Одной из возможностей может быть отключение
ISA Firewall Client, но в большинстве случаев данное приложение
требуется для работы сетевых служб. Так же можно настроить сервер на
восприятие данного трафика как локального.
Инструкция по настройке ISA 2000
На экране настройки сервера кликните на плюс рядом с Network
Configuration, далее кликните по Local Domain Table (LDT).
Правым щелчком мышки кликните по «Local Domain Table», далее
выберите «New», после кликните на «LDT Entry».
Впишите в поле имени access.sabre.com и нажмите OK. Следуя той же
схеме, создайте дополнительное «LDT Entry» для hsspconfig.sabre.com.
Каждый введенный DNS адрес должен отобразиться на правой панели
«Local Domain Table». На этом настройки со стороны ISA-сервера
закончены.
Дальнейшие действия зависят от того, какой firewall клиент установлен на
компьютере:


Если это 2000 Client (ISATRAY в Диспетчере задач) - вам следует
перезагрузить компьютер для перезапуска firewall клиента. В
крайних ситуациях, для вступления настроек в силу, может
понадобиться перезапуск ISA-сервера.
Если это 2004 ISA Client (FwcMgmt в Диспетчере задач) - вам
следует перезапустить Firewall сервис.
Откройте «Службы», выберите «Firewall Client Agent». Остановите данную
службу и запустите ее вновь. Загрузите SVPN.
* Не забудьте указать имя ISA-сервера в SVPN как указано в начале
документа
При правильных настройках тест SVPN должен выглядеть следующим
образом:
Инструкция по настройке ISA 2004 and 2006.
В окне сервера кликните на плюс напротив «Configuration», далее
нажмите на «Networks».
В появившемся окне списка сетевых подключений произведите двойной
щелчок по графе «Internal».
Выберите закладку «Domains». Нажмите на кнопку «Add» и добавьте
домены access.sabre.com and hsspconfig.sabre.com. По окончании
ввода нажмите на OK.
Нажмите на кнопку «Apply» в верхней части экрана ISA-сервера. В
появившемся окне подтверждения нажмите на OK.
Закройте SVPN соединение (если было запущено). Откройте «Службы»,
выберите «Firewall Client Agent». Остановите данную службу и запустите
ее вновь. Загрузите SVPN.
* Не забудьте указать имя ISA-сервера в SVPN как указано в начале
документа
При правильных настройках тест SVPN должен выглядеть следующим
образом:
В средствах мониторинга ISA-сервера, обратите внимание на разницу с
тестом сокета в SVPN. В данной ситуации подключение будет скрыто за
запросом sslvpn.sabre.com (151.193.147.126) по 443 порту.
В заключении:
* В случаях получения сообщения «unable to communicate with SVPN
Server» при загрузке SVPN – возможно потребуется настройка PROXYсервера в Java приложении. Но лучше отключить данную опцию в Java, и
сконфигурировать PROXY-сервер непосредственно в SVPN.
** Все настройки Java, касающиеся PROXY-сервера сохраняются в
следующей директории:
C:\Documents and Settings\user\ApplicationData\Sun\Java\Deployment\deployment.properties