Ein großer Vorteil des ISA Servers 2006 sind die Authentifizierungsmöglichkeiten direkt am ISA Server. Bisher wurde der ISA 2004 oft so konfiguriert das eine Anmeldung direkt am Webserver und nicht am ISA Server durchgeführt wurde.
Dabei ist gerade die vorherige Anmeldung am ISA Server, bevor überhaupt Daten ins interne Netz gelangen, ein sehr großer Sicherheitsvorteil.
In einer ISA 2006 Umgebung soll dies nun möglichst bei allen Webveröffentlichungen so sein.
Wurde nun ein Update von 2004 nach 2006 durchgeführt funktionieren viele der Webveröffentlichungen aus genau diesem Grund nicht mehr. Es tritt der Fehler:
Error Code: 403 Forbidden. ISA Server is configured to block HTTP requests that require authentication. (12250)
auf.
Der ISA 2006 Server kann auf 3 verschiedene Arten konfiguriert werden wie er mit Anmeldeanforderungen umgehen soll.
- Keine Delegierung, aber direkte Authentifizierung des Clients
- Keine Delegierung, keine direkte Authentifizierung des Clients
- Kerberous Authentifizierung
Die erste Einstellung entspricht einer Pass-Trough Authentifizierung. Der Client meldet sich wie bisher wieder direkt am Webserver an.
Die zweite Einstellung verhindet eine Anmeldung. Der ISA Server unterdrückt Anmeldeanfragen vom Webserver.
Die dritte Einstellung entspricht der sichersten Lösung. Der Benutzer meldet sich am ISA Server an und der ISA Server leitet die Anmeldung weiter.
Haben wir nun aber z.B. die Variante 1 konfiguriert und versuchen nun auf unsere Webseite zuzugreifen (und diese nutzt keine Anmeldung - es soll also Anonymer Zugriff erlaubt sein) bekommen wir trotzdem den gleichen Fehler wie vorher.
Das wir immer noch den Fehler bekommen liegt nicht an der Auswahl der Variante 1 sondern daran das unser Weblistener nicht richtig konfiguriert ist.
Vermutlich sieht die Konfiguration des Weblisteners so aus. Wir haben den Listener also so konfiguriert das er eine Anmeldung erwartet. Das ist natürlich Quatsch da wir in der Webveröffentlichung gesagt haben der Webserver soll das übernehmen. Wir müssen also an dieser Stelle "Keine Authentifizierung" auswählen.
Dann noch die Regeln neu erstellt und ausprobiert. Hm... Schon wieder der gleiche Fehler...
Das wir auch jetzt noch den gleichen Fehler bekommen liegt vermutlich daran das wir versuchen per HTTP auf die Webseite zuzugreifen. Der ISA Server verhindert Anmeldungen an Webserver über HTTP. Das ist auch Sinnvoll da die Anmeldedaten ja im Klartext über die Leitung gehen. Würden wir an dieser Stelle die Verbindung über HTTPS aufbauen würde der Zugriff bereits funktionieren.
Falls Sie trotzdem eine Anmeldung an den Webserver zulassen wollen - wovon ich ohne SSL dringend abraten würde müssen Sie noch eine weitere Einstellung am Weblistener vornehmen.
Wenn wie hier der Haken "Clientauthentifizierung über HTTP zulassen" gesetzt ist dürfen wir uns auch über HTTP an der Webseite anmelden. Also Haken setzen und Regeln installieren.
Nun haben wir den ISA Server dazu gebracht so zu agieren wie viele Konfigurationen unter ISA 2004 laufen. Nach einer Migration haben Sie nun also den gleichen Stand wie mit einem ISA 2004.
Empfehlen möchte ich Ihnen aber trotzdem die Anmeldung am ISA Server durchzuführen und dann die Anmeldung nach intern weiterleiten. Dies kann sogar für einen Anwender einige Vorteile mitbringen. Wird z. B. auf eine Sharepointfarm zugegriffen müsste sich normalerweise ein Benutzer an jedem Server anmelden. Durch die Anmeldung am ISA 2006 Server kann dieser aber die Anmeldedaten an die entsprechenden Server delegieren. Der Benutzer muss die Anmeldedaten nur einmal eingeben.
Der entsprechende KB Artikel von Microsoft ist unter http://support.microsoft.com/kb/924374/en-us zu finden.