vimaret
Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ruza
Цитата: Хм... Ну раз дискуссия то тогда давайте рассмотрим правило на примере одного пакета пришедшего с any и дошедшего по разбору до этого правила:
Source Dst
195.10.1.1 Firewall.........
Как поведёт себя керио, если оно сцуко телепатических хотелок админа не понимает?
З.Ы. NIC 100 в данном случае является, не всё что приходит, а именно IP этого интерфейса... |
Если NIC 100 это мнемоника внешнего IP (группы адреснов) , а не внешнего интерфейса, то правило конечно неработоспособное....
Добавлено:
kaskad
Цитата:| Ничего не понял из совета ( Сознаюсь сразу, в принципе не понимаю, как в керио мониторить ( Что мне покажет ентот лог? Что блочатся соединения по порту 5999? Но это очевидно ) А как понять ПОЧЕМУ? (( |
Цитата:| Короче, разобрался, поставил в Traffic Policy около свого правила переадресации портов в разделе Log обе галочки. Пошёл в фильтр, попробовал подключиться по порту 5999, мне в фильтре написало, что Permit согласно правилу, т.е. если верить логу, то запрос фаер обрабатывает корректно и пропускает (( Но переадресации в локаль на сервер 10.0.0.3 не происходит.... Что за беда? Что может блочить соединения по порту 5999 дальше, как отследить? |
Я вам привожу пример живого правила и логов моего почтовика. Случай аналогичный вашему: почтовик в локалке, порт смаплен наружу. Сравнивайте и думайте, где что не так. Попробуйте сделать правило точь в точь как у меня.
name=(Mail server) src=(iface:"Intergate") dst=(81.2.ххх.ххх) service=("SMTP") snat=(any) dnat=(192.168.0.4) action=(permit,logpkt,logconn),
time_range=(always) inspector=(none),
где "Intergate" - это мнемоника внешнего интерфейса,
81.2.ххх.ххх - это реальный IP адрес почтовика (в который рарешается доменное имя mail.xxxxx.ru
вот лог из файла connection:
[30/Jan/2009 12:04:54] [ID] 887544 [Rule] Mail server [Service] SMTP [Connection] TCP 116.233.203.188:4496 -> dcs.dzl.local:25 [Duration] 54 sec [Bytes] 633/806/1439 [Packets] 12/9/21
обратите внимание в нем сразу фигурирует локальное доменное имя почтовика dcs.dzl.local:25
вот лог из файла filter:
[30/Jan/2009 12:06:13] PERMIT "Mail server" packet from Intergate, proto:TCP, len:48, ip/port:121.55.132.160:55426 -> 81.2.ххх.ххх:25, flags: SYN, seq:4014680618 ack:0, win:65535, tcplen:0
[30/Jan/2009 12:06:13] PERMIT "Mail server" packet to Local Area Connection, proto:TCP, len:48, ip/port:121.55.132.160:55426 -> 192.168.0.4:25, flags: SYN , seq:4014680618 ack:0, win:65535, tcplen:0
Видите, здесь уже произошла трансляция реального IP в локальный, а дальше пошли ответные пакеты:
[30/Jan/2009 12:06:13] PERMIT "Mail server" packet from Local Area Connection, proto:TCP, len:48, ip/port:192.168.0.4:25 -> 121.55.132.160:55426, flags: SYN ACK , seq:17444666 ack:4014680619, win:64512, tcplen:0
[30/Jan/2009 12:06:13] PERMIT "Mail server" packet to Intergate, proto:TCP, len:48, ip/port:192.168.0.4:25 -> 121.55.132.160:55426, flags: SYN ACK , seq:17444666 ack:4014680619, win:64512, tcplen:0
|
