Проброс порта во внешнюю сеть

[IdFox]

День добрый всем форумчанам
Перехожу с UG и возникла задача
Задача как по мне тривиальная - проброс порта, но как составить правило не пойму (
Поиск не помог или рук кривой )

В общем задача
Есть сервер в интернете - например target_domain.ru
У него есть открытый порт. Например 80. Не суть важно
Как в Kerio сделать проброс определенного порта (например 12345) от брандмауэра на заданный хост с заданным портом?
Т.е грубо говоря чтобы шел коннект
telnet IP_KERIO_SERVER 12345
И при этом коннект шел на target_domain.ru (порт 80)
В UG это называлось назвначение портов (ну путать port mapping), а тут как составить правило не пойму (

Т.е делаю правило
Имя - XXX
Источник -LAN
Назначение - FireWall
Служба - TCP:12345
Действие - разрешить
Трансляция - включить источник NAT (что без что без него - не пашет), трансляция (хост, порт)

Что не так делаю?
Или тут такое вообще нельзя реализовать?
Заранее спс за ответы

[naliman]

а зачем такой изврат?
(UG - Uniloe Gamno? )

я думаю здесь (в керио) в правиле трафика вмето НАТ надо делать опять же MAP с указанием удалённого сервера и порта

[IdFox]

Ну например чтобы почту мапить
Т.е на серваке открыть 25 порт и по нему прямой доступ к pop.mail.ru (ну это как вариант)
А вообще мне нужно RDP из "одной сети" перенести в "третью"
Т.е сеть с KERIO промежуточная между двумя сетями
Т.е есть сеть 1. В ней стоит роутер (сеть 1 внешка, сеть 2 внутренняя)
На нем открыт порт. Этот порт прокидывается на KERIO (он в сети 2 локалка)
И KERIO должен давать коннект в сеть 3 (внешка для KERIO) по заданному IP и порту
P.S UG - истину глаголишь )
>> вмето НАТ надо делать опять же MAP
Пробовал и с ним и без него. Результата нет (

[Valery12]

Цитата

Сообщение от IdFox

Что не так делаю?

возможно правило не на своем месте, оно должно быть выше правила "локальный трафик"

[IdFox]

Цитата

Сообщение от Valery12

возможно правило не на своем месте, оно должно быть выше правила "локальный трафик"

К сожалению не помогло. Так тоже не пробрасывает (
Т.е не работает ни так (Это локальный IP KERIO)- telnet 192.168.0.2 3392
ни так - telnet 127.0.0.1 3392
Если делать
telnet 192.168.200.2 3392 то все идеально, но это не решение к сожалению для меня, т.к я указать цель на роутере (192.168.200.2) при запросе из внешней сети не могу - только порт
Галочку "включить источник NAT" тоже пробовал щелкать

[naliman]

Цитата

Сообщение от IdFox

А вообще мне нужно RDP из "одной сети" перенести в "третью" Т.е сеть с KERIO промежуточная между двумя сетями Т.е есть сеть 1. В ней стоит роутер (сеть 1 внешка, сеть 2 внутренняя) На нем открыт порт. Этот порт прокидывается на KERIO (он в сети 2 локалка) И KERIO должен давать коннект в сеть 3 (внешка для KERIO) по заданному IP и порту

для керио это просто НАТ
керио должен "пускать" трефик к означенному порту для означенного пользователя (или для всех, тут без разницы)
то есть по сути керио должен быть "прозрачен" для пользователя относительно нужного порта
для этого делается простое правило:
источник - локальная сеть
получатель - внешняя сеть (или какая там)
протоколы\порты - указать порт
действие - разрешить
NAT - NAT включить

естественно должна быть настроена и должна работать маршрутизация между двумя локальными сетями

когда то давно рисовал по похожей схеме инструкцию:
[Для просмотра данной ссылки нужно зарегистрироваться]

[IdFox]

Ну я то это понимаю что это просто NAT
Ну что мне сделать? Прописать что то? Правило поправить? Или где ошибся?

[naliman]

Цитата

Сообщение от IdFox

Или где ошибся?

ошибся в чтении правил нашего ресурса

точнее в их НЕчтении

кратко что от тебя требуется:
1. рисунок (в пайнте можно) твоей "топологии" где указан сервер керио, обозначены интерфейсы с ип-адресами, указаны все сети которые "подключены" к керио
2. ipconfig /all с сервера керио + с любого клиента из каждой сети
3. скриншот трафикполисей, обязательно с описанием какие интерфейсы из нарисованных входят в "доверенные\локальные) и т.п.

[IdFox]

Да всегда пожалуйста )
Просто думал текстового описания вполне хватит
>> с любого клиента из каждой сети
Да пока пускай даже с KERIO хотя бы заработает telnet на порт локальный
А там уж разберусь
>> обязательно с описанием какие интерфейсы из нарисованных входят в "доверенные\локальные
Локальные - LAN
Инет - WLAN
На скрине первой политики указан источник - любой. Но там ставилось все что угодно уже. Т.е что скажете, то поставлю

[naliman]

что из себя представляет роутер 192,168,200,100 ???
поскольку в него "воткнуты" керио 192,168,200,1 и роутер 192,168,200,2 ь- я полагаю он (200.100) для них как свич работает
а стало быть 192,168,200,2 - находится во "внешней" сети сервера керио
следовательно с самого сервера керио - 192,168,200,2 должен пинговаться (стоит для тестов разрешить пинги на самом 192,168,200,2)
ну и с сервера керио должно цепляться телнетом на 192,168,200,2:3392
пингуецо цепляецо?

покажи ка tracert 192.168.200.2
с любоко клиента LAN1

[IdFox]

Эмм. А что он может из себя представлять?
Со строны 192.168.200.XXX обычный свитч так сказать
Можно даже для простоты считать что это и есть обычный свитч, ничего думаю это не меняет в принципе...
До этого на UG же все работало без проблем
Может кто либо на своей конфигурации просто попробовать сделать?
Т.е банально прокинуть любой порт на ya.ru:80 и скинуть скрин TP - хотя бы будет от чего отталкиваться
>> в него "воткнуты" керио и роутер 192,168,200,1
Керио и есть сервер с IP внешним 200.1
Роутер это 200.2

[naliman]

Цитата

Сообщение от IdFox

Со строны 192.168.200.XXX обычный свитч так сказать Можно даже для простоты считать что это и есть обычный свитч, ничего думаю это не меняет в принципе...

да, обычный свич ничего не меняет

Цитата

Сообщение от IdFox

До этого на UG же все работало без проблем

оно и тут будет работать без проблем
после отладки

Цитата

Сообщение от IdFox

Может кто либо на своей конфигурации просто попробовать сделать?

да пробовал неоднократно

Цитата

Сообщение от IdFox

Т.е банально прокинуть любой порт на ya.ru:80 и скинуть скрин TP - хотя бы будет от чего отталкиваться

ф керио это не "прокидывается" а просто НАТ-ится, порт указывается только в поле "сервисы\порты"

Цитата

Сообщение от IdFox

Керио и есть сервер с IP внешним 200.1 Роутер это 200.2

да, я поправился и там кой чего допесал

Добавлено через 4 минуты
кароче смотри:
правила S2 (RDP) и S2 (RADMIN) работают только для трафика из интернетов, если соответствующие порты на "главноем роутере" проброшены на твоё керио
отключи их (пока временно)

а в правиле "не авторизорванные" - включи НАТ

Добавлено через 19 минут
ты должен понять одну простую вещь:
если ушёл от UG - то надо и забыть всю терминологию там применявшуюся, забыть "принципы" построения в UG правил фаервола

керио (как впрочем и в других продуктах) оперирует понятиями "интерфейс" "сеть" "хост"

в твоём случае трафик должен "бежать" из одной сети в другую (с точки зрения керио из одного интерфейса в другой)

это - и указывается в правиле трафик-полиси
т.е.:
источник - интерфейс куда подключена LAN1 (или конкретный IP из этой сети)
получатель - интерфейс, к которому "подключен" хост 192,168,200,2, в твоём случае WLAN (либо непосредственно IP хоста)
сервисы\порты - какие надо
НАТ - включить (хотя можно и без него, но пока с ним давай)

тоесть в самом первом правиле на большом скриншоте:
вместо брандмауэра в получателях - ставишь wlan
оставляешь NAT, мапинг и распределение нагрузи убираешь


а на клиенте из LAN1 при подключении по RDP пишешь: 192,168,200,2:3392

[IdFox]

В общем S2 правила для инета вообще удалил
В них толку не было. Это видать с тестов осталось
Для неавторизованных NAT включил
Обновленный скрин в аттаче. Связи все равно нема... (
P.S Эмм сча обновление прочел попробую

Так
Сделал как ты и сказал только смысла "а на кой" не понял
Скрин обновленный в приложении. Но по первому правилу каша какая то как по мне...

>> а на клиенте из LAN1 при подключении по RDP пишешь: 192,168,200,2:3392
Так оно и до этого прекрасно так работало )
Мне нужно не NAT ить этот порт, а проксировать
Т.е не 192,168,200,2:3392 (NAT) а 192.168.0.2:3392 (с клиента) или 127.0.0.1:3392 (хотя бы с самого же сервера)

[naliman]

Цитата

Сообщение от IdFox

P.S Эмм сча обновление прочел попробую

ога

+ ты вот это забыл:

Цитата:

Сообщение от naliman

следовательно с самого сервера керио - 192,168,200,2 должен пинговаться (стоит для тестов разрешить пинги на самом 192,168,200,2) ну и с сервера керио должно цепляться телнетом на 192,168,200,2:3392 пингуецо цепляецо?

+ это:

Цитата:

Сообщение от naliman

покажи ка tracert 192.168.200.2 с любоко клиента LAN1

а я домой погнал, хватить на сегодне
приеду - погляжу что получилось и отпишусь
и будем колдовать дальше, но похоже только завтра

[IdFox]

>> следовательно с самого сервера керио - 192,168,200,2 должен пинговаться
Да без проблемм
>> и с сервера керио должно цепляться телнетом на 192,168,200,2:3392
Да все легко цепляется
>> покажи ка tracert 192.168.200.2 с любоко клиента LAN1
Да легко
=====
C:\Windows\system32>tracert 192.168.200.2
Трассировка маршрута к 192.168.200.2 с максимальным числом прыжков 30
1 2 1 ms
Трассировка завершена.

>> и будем колдовать дальше, но похоже только завтра
Да без проблемм. Я спать пойду ) МСК +7 )
Нифига не выйдет, тупо на контроллере домена подниму проксирование одного порта несчастного
Просто уже спортивный интерес так сказать

[naliman]

Цитата

Сообщение от IdFox

C:\Windows\system32>tracert 192.168.200.2 Трассировка маршрута к 192.168.200.2 с максимальным числом прыжков 30 1

отлично
а с клиента (LAN1) ????

__________________
Не только лишь все!

[IdFox]

Эмм это и было с клиента
С самого сервера чего там трассировать то
=====
Трассировка маршрута к 192.168.200.2 с максимальным числом прыжков 30
1

[naliman]

Цитата

Сообщение от IdFox

Эмм это и было с клиента

ну так всё пашет
в смысле пакетики добегают куда нужно

терминал ццепляецо?
телнет?

[IdFox]

Вы похоже задачу не поняли
ПроNATить порт я и сам могу без проблемм
Вопрос в другом. Порт нужно проксировать
Я выше писал

Мне с клиента нужно не 192.168.200.2:3392 (NAT)
Это итак прекрасно работает
Мне нужно - 192.168.0.2:3392 (с клиента сети LAN1)
Или 127.0.0.1:3392 (хотя бы с самого же сервера)

На вопрос, а на кой могу расширить схему (что рисовал), что нужно реализовать
Т.е мне по факту нужно получить RDP из одной внешней сети (для LAN1) в другую внешнюю сеть

[IdFox]

Короче плюнул на все это дело
Главное результат в принципе в конечном счете

Оставлю здесь, может кому пригодится
На KERIO серваке (хотя по большому счету он там может и не стоять вообще)
В cmd.exe

netsh interface portproxy add v4tov4 listenport=3392 listenaddress=192.168.0.2 connectport=3392 connectaddress=192.168.200.2

На сим всем спасибо. Тему можно офф...