Replicacion ADAM entre sitios ISA 2006

En una topologia de estrella en la que los sites extremo solo tienen conectividad con el central y no entre ellos la replicacion por defecto de ISA 2006 y 2004 deja bastante que desear.

La configuracion por defecto pretende replicar todos los servers entre ellos ya que los mete dentro del mismo site: Default-First-Site-Name

La herramienta para poder modificar la configuracion de replicacion es Adam Sites:

http://www.microsoft.com/downloads/details.aspx?familyid=82f57473-f866-471c-88db-fe2e175b04c8&displaylang=en

A mi la instalacion de esta herramienta me peta, no se porque pero paso de mirarlo. Simplemente descomprimid el paquete y copiad el adamsites.exe en C:\Archivos de programa\Microsoft ISA Server

Primer paso:

Crear un site nuevo para cada delegacion.

adamsites site create Mexico

adamsites site create Cuba

adamsites site create Dominicana

adamsites site create Central

Segundo paso:

Crear los vinculos de replicacion entre sites segun necesitemos. En este caso solo vincularemos los extremos con la Central para que repliquen todos con la Central y no entre ellos.

adamsites sitelink create Mexico-Central 2 Mexico Central 100 15

adamsites sitelink create Cuba-Central 2 Mexico Central 100 15

adamsites sitelink create Dominicana-Central 2 Mexico Central 100 15

Mexico-Central es el nombre que le damos al link.

El 2 es el numero de sitios que perteneceran al link.

A continuacion los nombres de los sitios el coste de replicacion y el intervalo en minutos para replicar (entre 15 y 360 creo)

El coste se calcula de la siguiente manera:

ADSL 2M/384kbps

Tomamos el canal de subida expresado en kbps que es el mas pequeño de los dos y a fin de cuentas es el que va a limitar la trasferencia de datos.

1 / logaritmo(384) * 1024 = 396 Este es el coste de replicacion.

Tras crear los links entre sitios movemos los servidores de almacenamiento cada uno a su sitio.

adamsites moveserver MexicoServer Default-First-Site-Name Mexico

adamsites moveserver CubaServer Default-First-Site-Name Cuba

adamsites moveserver DominicanaServer Default-First-Site-Name Dominicana

adamsites moveserver CentralServer Default-First-Site-Name Central

Nos deberia quedar asi:

C:\Archivos de programa\Microsoft ISA Server>adamsites sites

Site: Central

There is one server in the site.

CentralServer

Site: Cuba

There is one server in the site.

CubaServer

Site: Default-First-Site-Name

There are no servers in this site.

Site: Dominicana

There is one server in the site.

DominicanaServer

Site: Mexico

There is one server in the site.

MexicoServer

Hasta aqui todo facil. Ahora viene lo bueno, sacad la bola de cristal y preparaos a ser adivinos.

Abid el acceso directo de Simbolo de sistema Herramientas de ADAM y desde ahi ejecutad:

repadmin /showconn MexicoServer:2171 ( el puerto donde por defecto queda la instancia de ADAM al instalar ISA 2006 )

Os aparecera una conexion por cada uno de los servidores que teniais en la configuracion de empresa. En mi caso al no tener conectividad entre ellos habia errores por doquier.

Bien ahora abrid el acceso directo de Editor ADSI de ADAM.

Vamos a ver la rama para la replicacion del site Mexico por ejemplo:

CN=Configuration, CN={AF593097-2444-4478-BBEE-E507BF56FAF5},CN=Sites,CN=Mexico,CN=Servers,CN=MexicoServer$ISASTGCTRL,CN=NTDS Settings

Dentro de esa rama vereis una Key por cada uno de los vinculos de replicacion que tiene ese servidor. No se vosotros pero yo solo le he dicho que replique con la Central... Santa paciencia hace lo que le da la gana..

Esto no nos deberia generar problemas ya que al menos ahora ya replica con el server de la Central. Lo malo es que nos va a generar errores en el visor de sucesos con cada uno de los servers que no pueda replicar.

Para identificar con quien replica cadaSi abriis esas llaves y vais al atributo fromServer vereis por ejemplo:

CN=NTDS Settings,CN=CubaServer$ISASTGCTRL,CN=Servers,CN=ESM-PRD,CN=Sites,CN=Configuration,CN={AF593097-2444-4478-BBEE-E507BF56FAF5}

Como veis, este es el vinculo de replicacion con Cuba. No nos interesa ya que no hay conectividad entre ellos. Eliminamos por tanto todas las claves de la rama

CN=Configuration, CN={AF593097-2444-4478-BBEE-E507BF56FAF5},CN=Sites,CN=Mexico,CN=Servers,CN=MexicoServer$ISASTGCTRL,CN=NTDS Settings

A excepcion de la que contenga en el atributo fromServer:

CN=NTDS Settings,CN=CentralServer$ISASTGCTRL,CN=Servers,CN=ESM-PRD,CN=Sites,CN=Configuration,CN={AF593097-2444-4478-BBEE-E507BF56FAF5}

De esta manera solo permitimos que replique con la central y dejara de dar errores.

Una vez hayamos depurado los enlaces inter-sites repicamos el ADAM hacia los demas servidores. Hay que tener en cuenta que los cambios los hago en el ADAM del server central y lo replicamos hacia los extremos.

c:\windows\adam\repadmin /replicate CentralServer:2171 MexicoServer:2171 CN=Configuration,CN={AF593097-2444-4478-BBEE-E507BF56FAF5}

El GUID que debeis poner es el de vuestro ADAM a replicar y es el mismo para todos los servers que tengais en esa replica.

Lo podeis ver claramente al abrir el ADSI ADAM en la primera rama.

Si ahora lanzamos de nuevo por ejemplo:

repadmin /showconn MexicoServer:2171

Veremos como solamente aparece 1 link hacia la Central y sin errores

Todo esto si lo hubiesen integrado igual que en la consola de Sitios y Servicios de Active Directory.. reduciria todo el trabajo a 20 clicks..

Paciencia..

Query contra ISA para sacar reporte de navegacion de usuarios

select count(clientip) as hits , ClientUserName, desthost from

(
SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091023_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091024_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091025_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091026_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091027_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091028_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091029_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091030_WEB_000].[dbo].[WebProxyLog]

union

SELECT clientip, ClientUserName, Desthost, logtime
FROM [ISALOG_20091031_WEB_000].[dbo].[WebProxyLog]
) DATOS


where clientusername = 'usuario' o where clientusername like '%usuario%'
group by clientusername, desthost
order by hits desc

Mas errores al unir nuevos servidores a Matrices en ISA 2006

Tras instalar ADAM el proceso de instalacion del ISA 2006 podemos ver en c:\windows\temp\ISAADAM_INSTALLxxx.log el siguiente error:


adamsetup CBC.160 0371 Enter RegistryKey::SetValue-String ADAMInstallErrorMessage=Active Directory no puede crear el objeto de configuración NTDS para el servidor de directorio CN=NTDS Settings,CN=LALISA$ISASTGCTRL,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,CN={AF593097-2444-4478-BBEE-E507BF56FAF5} en el servidor de directorio remoto isa2servidor.hotetur.org:2171. Asegúrese de que las credenciales de red suministradas tienen permisos suficientes.
Código de error: 0x80072071
Se intentó agregar un objeto en el directorio con un nombre que ya está siendo usado.


Esto siendo la primera vez que se intenta unir este servidor a una matriz.. alucinante pero cierto, la misma instalacion mete datos que luego no es capaz de actualizar en el adam.

Vamos al ISA que contiene el servidor de almacenamiento y con el adam-adsiedit [Inicio\Programas\ADAM\Editor Adsi] conectar a: localhost / puerto 2171

Desplegamos Configuracion \ Sites \ Default First Site \ Servers

Eliminamos el servidor que estamos intentando unir a la matriz y reiniciamos la instalacion.



Tambien puede dar un error al instalar adam y quedarse tan fresco, ni dejar log ni evento ni nada de nada.
En ese caso os sacais la bola de cristal y lo instalais a mano antes de lanzar la instalacion del ISA.
Lo podeis encontrar en: ISA 2006 ES Enterprise SP1\FPC\Program Files\Microsoft ISA Server\ADAM\adam.exe

Acordaos de agregar a la directiva de empresa como miembros del grupo de replicacion y tambien en las directivas de firewall de la matriz a la que pertenece el primer servidor de almacenamiento de configuracion al grupo de Servidores de Matriz.

Agregad las rutas estaticas apuntando a la red del nuevo servidor y agregad en Configuracion \ Redes \ Interna la ip del nuevo servidor.


Mucha suerte con la instalacion..

Integrar SP1 en instalacion de ISA 2006 Ent ES

Copiar el contenido del cd de ISA 2006 en una carpeta
Copiar el SP1 para tu version en la subcarpeta FPC (ISA2006-KB943462-X86-ESN.msp por ejemplo)

Ejecuta en la ruta \FPC
Msiexec /a MS_FPC_Server.msi /p ISA2006-KB943462-X86-ESN.msp

Delegar Supervision Roles ISA2006

Permisos necesarios: Un simple usuario, no necesita ni Operador de Servidores ni Administrador.

Se sugiere que se agrege al grupo local "Usuarios del registro de rendimiento" porque el apartado de supervision comparte funciones con el monitor de rendimiento aunque por las pruebas realizadas, no genera errores por no pertenecer a este grupo.

Abrimos la consola / Matrices / Propiedades en la Matriz a supervisar / Asignar funciones

Aqui podemos agregar usuarios o grupos.

Los permisos que podemos otorgar basicamente son:


ISA Server Monitoring Auditor: Acceso muy limitado, apenas supervision de conexiones.
ISA Server Auditor: Practicamente Acceso total pero solo de lectura.
ISA Server Full Administrator: Acceso total


Fuente:

Role-based Administration in ISA Server 2006
http://technet.microsoft.com/en-us/library/bb794769.aspx

Errores uniendo nuevos servidores a una Array existente con Isa 2006

Agregando un nuevo miembro a la array: 0x8007203a

Suele ser un error de comunicacion LDAP, una buena prueba seria:

telnet servidorisa 2171

Cuando la instalacion esta creando la replica de la Array en ADAM: 0x80074e46

Error de comunicacion, comprobar:

telnet servidorisa 2173


Si teneis multiples puertas de enlace recordad configurar la ruta estatica con la puerta de enlace correspondiente para la red del nuevo ISA.

Es necesario agregar el nuevo isa al conjunto de equipos "Replicar servidores de configuracion de almacenamiento" desde Empresa \ Directiva de Empresa \ Herramientas \ Objetos de Red \ Conjunto de Equipos \ Replicar servidores de configuracion de almacenamiento

Tambien en la directiva de Firewall de la Array en concreto deberemos agregar el nuevo servidor al Conjunto de Equipos: "Servidores de Matrices".