Разрешить работу Skype.

[Webanut]

Сделал всё, что написано здесь. Наутро опять Скайп не коннектится.
Проблема: на 2 компах в локалке Скайп для подключения требует интернет. При том, что инет на всех компах заблочен правилом. На компах других сотрудников Скайп нормально через проксю Керио подключается, а на этих двух нифига, требует интернет. Причём, на одном постоянно инет хочет, а на другом - только для подключения. Что уже только ни делал...
Винду всем всегда одинаково ставил (сам), уже на поток это дело поставлено и шаг вправо-влево при установке исключён.

[Semen]

Webanut, правила покажи

[Webanut]

Проблемные IP'ы - это 0.92, 0.93, я для них как раз правило делал, чтоб им инет давать для логина Скайпа.
Замазал внешние IP'ы и порты, адреса сайтов наших клиентов (к их сайтам разрешён доступ, поэтому они вписаны в правило). А всё внутреннее, смотрящее наружу, не замазано.
Кстати, в правиле сайт, начинающийся на neu... - только после того, как его разрешил, стала возможна пересылка файлов в Скайпе. До того файлы не ходили (через прокси).
Вроде всё выложил...

[naliman]

Webanut, кто подсказал *поправить* правило "локал трафик" ???
передай ему что он мудак

[Semen]

Webanut, если отключить фильтрацию https, работает?

[Webanut]

Цитата:

Сообщение от Semen

Webanut, если отключить фильтрацию https, работает?

Фильтрация отключена. Если вы про "Фильтрация содержимого" - "Фильтрация HTTPS". Галки не стоят.

Цитата:

Сообщение от naliman

Webanut, кто подсказал *поправить* правило "локал трафик" ???
передай ему что он мудак

А если он спросит - за что конкретно его мудаком обозвали? А то за необоснованный базар можно и самому отхватить.

[exchar]

Цитата

Сообщение от Webanut

А если он спросит - за что конкретно его мудаком обозвали? А то за необоснованный базар можно и самому отхватить.

внимательно посмотри на [Для просмотра данной ссылки нужно зарегистрироваться] вариант настройки правил "local traffic" и "firewall traffic", сравни со своим вариантом
потом представь, что будет с локальным трафиком, если в твоем случае отключить правило firewall traffic (допустим, не хотим, чтобы фаер ходил в инет - отключаем правило)
и на закуску, - аналогично, что будет с локальным трафиком, если отключить firewall traffic на скрине по ссылке выше

[Webanut]

Цитата

Сообщение от exchar

внимательно посмотри на [Для просмотра данной ссылки нужно зарегистрироваться] вариант настройки правил "local traffic" и "firewall traffic", сравни со своим вариантом
потом представь, что будет с локальным трафиком, если в твоем случае отключить правило firewall traffic (допустим, не хотим, чтобы фаер ходил в инет - отключаем правило)
и на закуску, - аналогично, что будет с локальным трафиком, если отключить firewall traffic на скрине по ссылке выше

Спасибо за подсказку, исправил. Хотя VPN в Керио я не использую. Кстати, когда в правиле local traffic делаю "Доверенные/локальные интерфейсы" (в столбце Источник), то с моего компа пинги до Яндекса не сразу топать начинают. А когда раздельно закидываю туда оба локальных/доверенных, то пинги шустро идут сразу же после ввода команды ping.
У нас локалка внутренняя подключена через файрволл к локалке внешней, и из внешней локалки черех VPN мы лезем в инет. Сетевухи, глядящие во внутреннюю и внешнюю локалки, обозваны локальными/внутренними интерфейсами. Или тут тоже ошибка? Трафик во внешней локалке не хотелось бы относить к интернет-трафику...
И кстати с такой дефолтовой настройкой перестали пинги ходить во внешнюю локалку. Маршрутизация что-ли перестаёт работать? Надо покопаться... Однако, изначально я с другой проблемой сюда писал, а то, как было настроено ранее, работает уже много лет без проблем.

[exchar]

Цитата

Сообщение от Webanut

Хотя VPN в Керио я не использую.

там дело не столько в vpn (это частный случай), сколько в том, что разные подсети локальной сети терминируются на файерволле

вот есть две подсети и керио, который указан для них шлюзом, т.е. пакеты между ними ходят через файерволл
правило "подсети -> фаер" позволит пакетам из одной подсети долететь до керио и... все - файер их там дропнет.
следующее правило "файер -> подсети" (или более общий вариант "файер -> Any") позволяет не дропать пакеты выше, а пересылать их дальше в нужную подсеть и потому при отключении этого правила в твоем случае трафик между подсетями умрет.

нормальное правило локального трафика должно быть отвязано от правила для трафика файерволла и иметь вид "файер,подсети,vpn,... -> файер,подсети,vpn,..."
после понимания принципа его работы можно уже его дробить с умом на мелкие правила. но обычно - не нужно.

Цитата

Сообщение от Webanut

не сразу топать начинают

а "не сразу" - это через сколько?

Цитата

Сообщение от Webanut

У нас локалка внутренняя подключена через файрволл к локалке внешней, и из внешней локалки черех VPN мы лезем в инет. Сетевухи, глядящие во внутреннюю и внешнюю локалки, обозваны локальными/внутренними интерфейсами. Или тут тоже ошибка?

как бы да
а что же тогда в группе "интернет-интерфейсы" в правилах трафика?

Цитата

Сообщение от Webanut

И кстати с такой дефолтовой настройкой перестали пинги ходить во внешнюю локалку.

и какой конкретно интерфейс из тщательно замазанных на скрине относится к внешней локалке? =)

[Webanut]

Цитата

Сообщение от exchar

разные подсети локальной сети терминируются на файерволле

Логично, согласен. Но меня смущает тот факт, что при добавлении внешней локалки в столбец назначение в правиле local у меня перестаёт идти пинг до ресурса в той локалке. Удаление маршрута во внешнюю локалку проблемы не решает.

Цитата

Сообщение от exchar

при отключении этого правила в твоем случае трафик между подсетями умрет.

За всё время ни разу не посмел отключать это правило. На Керио сидим года эдак с 2008... Но если бы была возможность его отключать без потери межлокального трафика - было бы неплохо.

Цитата

Сообщение от exchar

а "не сразу" - это через сколько?

Не сразу - примерно секунды 3-4 проходит. Чёрное окошко без признаков жизни. Потом всё как обычно. Это ненормально, потому что до того пинг мгновенно шёл (с компа пользователя). Да и главное непонятно - почему когда я их выбираю группой, эти сетевухи - Локальные/доверенные - то при пинге (и использовании инета, к слову) возникает задержка, а если по одному, что то же самое - задержки нет. На данный момент добавил в Источник их по одной и VPN. В назначение пока не могу добавить лишнего по описанной ранее причине (связь теряется).

Цитата

Сообщение от exchar

а что же тогда в группе "интернет-интерфейсы" в правилах трафика?

Интернет-интерфейсы - резервное модемное подключение и основное подключение L2TP через внешнюю локалку.

Цитата

Сообщение от exchar

какой конкретно интерфейс из тщательно замазанных на скрине относится к внешней локалке?

Прошу извинить мою паранойю, но ничего не могу с собой поделать. Внешняя локалка - начинается на F, внутренняя - на G.

[dimonprodigy]

Так-с, поскольку по запросу "kerio skype" первой в Google вылазит эта ветка , так что отпишусь тут о том, как я решил сабжевую задачу (правда, на тестовом стенде, а не в продакшене). Авось кому поможет.

В общем. Используется расшифровка https. Я тоже гуглил кучу скайповско-майкрософтовских айпишнегов, добавлял их в https exclusions, нифига не получалось... а потом добавил единственный адрес akadns.net и скайп заработал

[Webanut]

Интересно, надолго ли его хватит? Этого адреса. Они любят там всё менять постоянно...

[dimonprodigy]

Webanut, такова одминская доля. Нет ничего сделанного раз и на века.

В один прекрасный момент в конторе перестал работать Скайп. Оказалось, што там [Для просмотра данной ссылки нужно зарегистрироваться]. Потом вот [Для просмотра данной ссылки нужно зарегистрироваться]. Кароч, с тех пор как Скайп купил Микрософт - Скайп катица в сраное говно

[Webanut]

Цитата

Сообщение от dimonprodigy

Webanut, такова одминская доля. Нет ничего сделанного раз и на века.

В один прекрасный момент в конторе перестал работать Скайп. Оказалось, што там [Для просмотра данной ссылки нужно зарегистрироваться]. Потом вот [Для просмотра данной ссылки нужно зарегистрироваться]. Кароч, с тех пор как Скайп купил Микрософт - Скайп катица в сраное говно

Самое гадкое, что надо 443 открывать. Неужели не могли что-то другое использовать для своих хитровыебанных нужд???