Kerio WinRoute Firewall (часть 4) - [77] :: В помощь системному администратору

goodwen
Вот все равно вы добились того что бы я полез вспоминать теорию, а не вы.

Цитата:

4 раз пишу. 2 устройства: Модем и Роутер. Модем мостом ,РРРоЕ настроенно
на роутере. Теперь понятно ?)

Ну это вы погорячились. То что 2 устройства я только сейчас увидел.
Насколько я понимаю схема примерно такая:
локалка-kerio-некий_роутер-модем-internet? будет неплохо если распишите ip адреса на каждом из промежутков. В этой связке kerio и некий_роутер дублируют друг друга, наличие одного из них бессмысленно. (Хотя честно признаюсь у меня такая же схема на работе, обусловлена тем что руководство доверяет cisco а не kerio, но последний нужен для статистики по доменным пользователям). Теперь поехали про поднятые сервисы. Готов поспорить что у вас так:

локалка-kerio-некий_роутер-модем-internet
NAT NAT Bridge

В этой цепочке один лишний NAT.
Cпособы выхода:
1. Поднять pppoe на kerio, некий_роутер поставить тоже в bridge либо простую пересылку, либо просто убрать из этой цепочки. (по желанию)
2. Поубирать из всех правил NAT (кстати тем самым разгрузив сервер). И настроить маршрутизацию. Здесь сложнее потому как для настройки маршрутизации вам придется разделить ip двух интерфейсов на разные подсети, этого почему то вы упорно не хотите делать.
Кстати если убрать некий_роутер то между kerio и модем можно не подымать протокол tcp\ip в принципе.

Цитата:

В группах, в нутри локалки, никаких ДНС серверов нет, компьютеры
взаимодействуют через Нетбиос. Что не так -то ? Только конкретно.

вот тут http://www.citforum.ru/operating_systems/winntadm/winntadm_09.shtml написано

Цитата:

Разрешение имен с помощью DNS
В Windows NT 4.0 реализован клиент службы DNS (Domain Name System). Служба DNS обеспечивает способ просмотра отображения имен при подключения компьютеров к посторонним (не Windows NT) хостам, в которых работают DNS-серверы. Эта служба предназначена для тех случаев, когда подключение осуществляется путем использования NetBIOS поверх TCP/IP или для приложений, использующих интерфейс Windows Sockets, таких как FTP. DNS - это распределенная база данных, разработанная для решения задач направления трафика, которые возникли во время быстрого роста сети Internet в начале 80-х годов.

Здесь про active directory равно как и про рабочие группы ни слова, не правда ли?
Даже скажу больше. При условии рабочего домена DNS далеко не всегда используется. Если имя разрешается с помощью wins сервера dns никто не трогает.
Теперь смотрите что вы делаете. В каждом правиле вы вставляете map на определенный ip. Для чего вы это делаете? дак а для того что в outlook expres вы пишите smtp.rambler.ru и из этой строчки каким то образом необходимо извлечь 81.19.66.20. Почему так неободимо цифровое выражение хоста? Ну потому что так tcp\ip работает. Теперь внимание вопрос как же донести до бедного outlooka эти загадочные 4 числа? Время пошло... Дак собственно все просто. На каждый используемый хост необходимо написать мапинг на сервере. И тогда трафик ищущий своего обладателя да найдет его.

я издеваюсь? ну собственно да. надо же как то отомстить за то что вынужден поднять литературу.
На самом деле для резолва имени в ip придумана служба DNS. (еще придуманы wins и netbios, но будем считать это ересью). Что же необходимо для работоспособности столь загадочного сервиса. Да собственно не много: 1 - работоспособность и доступность DNS сервера, и 2 - наличие записи dns сервера на клиенте. Пункт 1 можно достичь разными путями можно поднять майкрософтовский dns и в нем бозначить форвард на провайдерский dns, можно тоже самое сделать помощью самого керио, а можно ничего не делать а просто на клиенте написать ip dns провайдера, или кого другого. Проверить работоспособность dns сервера на клиенте можно с помощью команды nslookup. Как? вот тут сказано как http://ru.wikipedia.org/wiki/Nslookup. А для упрощения записи dns на каждого из клиентов была придумана такая шука как DHCP. После нормальной настройки работоспособности сервиса DNS в Рабочих Группах можно будет убрать со всех строк мапинг, да собственно и вообще грохнуть все строки, оставив только Local I-net Any (или что там у вас разрешено)

Цитата:

Он кидает все в лан (проверял). Когда только пробовал свои настройки мне самому было интересно как он себя поведет при таком роутинге. Если что-то бы отдавал через ван - наверное глючила бы статистика.

(самолично ловил)а статистика да особено на сетевом уровне модели OSI она покажет пакеты.
Вот здесь.

если чуть открыть глаза есть две записи.
192.168.0.0 255.255.255.0 LAN 10
192.168.0.0 255.255.255.0 WAN 10
Почему же так не правильно делать сеть? Кто сказал что не правильно? все правильно. Пакет предназначенный для подсети 192.168.0.x уйдет конечно же в LAN. Почему? Да потому что это LAN пакет же не дурак что бы WAN идти. Он же знает что за WAN находится роутер а не сеть, там же для особо понятливых написано WAAAN. Это всем же ясно что не LAN.
Хотя на самом деле если правила противоречат друг другу и находятся под одинаковым весом, то каждый роутер поступает по разному, что происходит в винде? знают только программисты винды (а да Еще и вы). Думаю он поочередно кидает то по одному правилу то по другому. (по логике UDP при такой ситуации работать не будет) Уменьшая тем самым пропускную способность в два раза. Но нам на это на все с большой вышки, нам ведь что главное, что бы сетевухи были в одном диапазоне.
Удачи в изобретении велосипеда.

И все равно добавлю большей половине опрошающих. Читайте книжки, для того что бы быть сис админом, или сетевым админом инженером интегратором а заодно еще и деньги получать, надо запостись терпением не на 500 страниц и не на 5000, и даже не русского. Надо приготовится к ежечастному ежедневномуи круглогодичному изучению так вами ненавидимых букавак, Это работа, Зачастую тяжелая, идите касиром на вокзал там надо знать две цифры полного билета и льготного.
Че то меня совсем занесло. Извините.

Цитата:

Вот все равно вы добились того что бы я полез вспоминать теорию, а не вы

Не проецируйте свои фантазии на меня. Процитируйте где я добивался что бы полезли вспоминать теорию ?

Цитата:

Ну это вы погорячились. То что 2 устройства я только сейчас увидел.

Цитата:

PppOe соединение настроено у нас на роутере (dlink.ru/ru/products/5/1227.html),

Цитата:

У нас модем мостом, роутер через него с помощью PPPoE.

Цитата:

3 раз пишу: Модем мостом. Роутер раздает инет ТОЛЬКО керио

Цитата:

локалка-kerio-некий_роутер-модем-internet? будет неплохо если распишите ip адреса на каждом из промежутков. В этой связке kerio и некий_роутер дублируют друг друга, наличие одного из них бессмысленно.

Роутер который вы называете "некий" он вот тут

Цитата:

(dlink.ru/ru/products/5/1227.html),

Керио и роутер друг друга не дублируют. Роутер нужен для организации шифрованного Впн канала с другим подразделением, PPPoE соединения, а также НАТ для керио. Изначально керио никто не планировал ставить. Есть группа, в качестве шлюза у которой прописан роутер. Группа видит соседние подразделение. Те кому нужен был ище и инет, прописывали дополнительно ДНС провайдера. Так все и работало пока понятно не встал вопрос подсчета и квоты трафика. Почему изначально об это никто не думал и что сеть нада изначально строить правильно и.т.п и.т.д. уж разрешите я рассказывать не буду, никому не интересно. Когда время пришло, наименьшим по времени (имхо) решением было запретить на роутере доступ в инет всем кроме тачки с керио, остальным раздавать через прокси керио.

Цитата:

Цитата:
Разрешение имен с помощью DNS
В Windows NT 4.0 реализован клиент службы DNS (Domain Name System). Служба DNS обеспечивает способ просмотра отображения имен при подключения компьютеров к посторонним (не Windows NT) хостам, в которых работают DNS-серверы. Эта служба предназначена для тех случаев, когда подключение осуществляется путем использования NetBIOS поверх TCP/IP или для приложений, использующих интерфейс Windows Sockets, таких как FTP. DNS - это распределенная база данных, разработанная для решения задач направления трафика, которые возникли во время быстрого роста сети Internet в начале 80-х годов.

Вы сами то читали? )) В этом отрывке говорится "В Windows NT 4.0 реализован КЛИЕНТ службы DNS". Дальше идет описание службы ДНС. И что ? Это отменяет то что в группе где нет не винс не днс серверов и настроенных на них клиентов. компьютеры обнаруживают друг друга широковещательными запросами по нетбиос имени ?

Ruza, Рассуди нас)

Цитата:

Теперь смотрите что вы делаете. В каждом правиле вы вставляете map на определенный ip. Для чего вы это делаете? дак а для того что в outlook expres вы пишите smtp.rambler.ru и из этой строчки каким то образом необходимо извлечь 81.19.66.20. Почему так неободимо цифровое выражение хоста? Ну потому что так tcp\ip работает.

Вот что я пишу у клиентов в аутлуке

Вот что прописано в керио.
обратите внимание уже без указания айпи.

Все получают\отправляют почту, все считается в статистику. Предложите более простой способ для рабочих групп и аутлука. Перенастраивать всю сеть мне предлагать не надо. В данный момент это дело не ближайшей перспективы.

Цитата:

если чуть открыть глаза есть две записи.
192.168.0.0 255.255.255.0 LAN 10
192.168.0.0 255.255.255.0 WAN 10

Да, а если еще научиться этими глазами читать можно увидеть следущее:

Цитата:

Когда только пробовал свои настройки мне самому было интересно как он себя поведет при таком роутинге.

Цитата:

н же знает что за WAN находится роутер а не сеть, там же для особо понятливых написано WAAAN.

Да, а еще пару постав назад написано:
Цитата:

WAN я его назвал по традиции

Цитата:

Думаю он поочередно кидает то по одному правилу то по другому.

Вы "думаете" а я запускаю сниффер и смотрю. Почему он только через лан отдает, я не знаю. Вот может Ruza объяснит.

Цитата:

Но нам на это на все с большой вышки, нам ведь что главное, что бы сетевухи были в одном диапазоне.

На самом деле мне главное понять, при каком условии моя "схема" даст сбой. Предположим я не запускаю снифер и не смотрю ничего. Предположим керио кидает клиенту данные то по одному интерфейсу то по другому ( а судя по таблице маршрутов он деействительно имеет на это право кто тут спорит), при этом статистика пашет и клиенты мимо не ходят, и что ? Что в мне этим доказали ?
Еще раз повторюсь, что наличие двух правил
192.168.0.0 255.255.255.0 LAN 10
192.168.0.0 255.255.255.0 WAN 10
естественно наводит на строго определенные закономерные мысли. Это понимают все. И если бы я вдруг сюда пришел задавать вопросы или спрашивать почему у меня что-то не работает никто бы со мной даже разговаривать не стал. Но уже около 7-8 месяцев все в порядке.

Цитата:

я издеваюсь? ну собственно да.

Ну да. Правда при этом вы с первого раза не смогли отличить вопрос от ответа а с трех раз не можете врубиться в то что у меня модем и роутер - два разных устройства. И ладно если бы дело было в недопонимании, три вопроса три ответа - и всё ок. Так нет же, вы с самого 1 поста твердо решили, что это просто я не знаю, что такое мост на модеме. И так
Цитата:

на каждом шагу

говорит это (имхо) об определенной вашей ограниченности, и попытках причесать любую чужую ситуацию (не вникая в детали) под свои привычки и методы работы, под свои способы решать текущие вопросы. Хотя возможно вы просто привыкли отвечать на вопросы уж очень не опытных админов, и теперь гребете вех под одну гребенку. Поэтому ваши ерничества опять же (имхо) вызывают только легкую жалость.

Вы если потратили свое время на "чтение" ради меня, и в замен без моего согласия разменной монетой сочли ерничество по этому поводу , так знайте меня это не устраивает, я об этом не просил. Не можете по другому ? - Пожалуйста не пишите мне ничего. Ваше неуважение и надутая пустотой надменнасть, кроме оффтопа ничего не порождает. Спасибо.

Цитата:

Это работа, Зачастую тяжелая, идите касиром на вокзал там надо знать две цифры полного билета и льготного.
Че то меня совсем занесло. Извините

Извиняю.

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
emx (24-05-2009 12:47): Переезжаем в следующую часть - Kerio WinRoute Firewall (часть 5).	Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102