vimaret
Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
pilotro
Цитата:| А когда руководство новый сервак не покупает? И заставляет все крутить на старой тачке у которой подгорел ide контролер, и только по этой причине машину отдали под сервак, причем забрали видюху оттуда потому как она нужна юзеру с плохим зрением. |
При таком подходе руководства я бы вообще не шевелился, пусть чувствуют, что это не прокатит, а лишь проползет и пять раз в день упадет...ИМХО
XCV81
Цитата:| а на сервер файервол не нужен? счас итак 2 сервера к каждому подключено по 2 адсл модема и по 4 диалаповских, причем разным пользователям разрешается доступ на разные модемы ну и много других нюансов. Керио единственный файервол (маршрутизатор) который меня в данной ситуации во всем устраивает кроме "потери связи" |
Файервол на сервер нужен, но лучше на отдельном железе, диалапы (диалины) тоже можно на нем же, а вот базы, отдельно!!! и за файерволом!!!, а не на нем. Тогда и защищенность можно обеспечить, и производительность будет максимальная. Т.е. схема в любом случае должна получится классическая: внешняя сеть > файервол > локальная сеть. А не n файерволов в одной локалке и разные отсосы-подсосы через модемы сбоку. Юзера рано или поздно найдут в неправильной организованной сети дыры и будут качать кто вочто гаразд.
Добавлено:
XCV81
Цитата: вот выкладываю скрин с "тестовой" машины попробовал настроить тоже самое с нуля на другом компе чтобы проверить может сам чего нашаманил... получил по лбу теми же граблями "связь с сервером утеряна"
http://xcv.my1.ru/kerio.jpg |
Второе правило полный глюк, вы почитайте, как работает механизм НАТа. И если предположить, что в Керио он программировался и тестировался для пересылки пакетов по напрвлению локалка-> внешняя сеть, то можно предположить, что вслучае прохождения пакета локалка -> локалка возможны конфликты, ведь пакеты идущие через НАТ имеют время жизни! А при направлении внешняя сеть->локалка должен использоватся MAPind т.е. dnat
Вы бы посмотрели, как выглядит это правило не в графическом интерфейсе а в текстовом виде в конфиг файле...
И обратите внимание на то, как работают правила:
У IP пакета (в заголовке) есть поля с адресом и портом источника, а также адресом и портом приемника. Вот эти поля и сравниваются с адресами источника и приемника в правиле. Если данный пакет удовлетворяет критериям правила то он проходит. При этом если в разделе НАТа указано преобразование адресов и/или портов, то они подменяются. Если нет, то пакет проходит как есть. При подмене адресов/портов их старые значения запоминаются на некоторое время (в керио не регулируется). А когда пакет возвращается идет обратное преобразование(подмена). Ежли пакет где то подзадержался больше положенного, то он считается помершим.
Возможно ваши обрывы связи где-то здесь зарыты. Исключите NAT (snat). |
