Помогите разобраться с мапингом портов для RDP

[Marrab]

Muller, интересная конфигурация. Кто-то кого-то глючит. У тебя модем подключен прямо в локальную сеть?
Попробуй в правиле для RDP прописать MAP 192.168.0.3 (без порта) и включить на этом правиле NAT.

[kuvl-vrn]

Цитата:

Сообщение от Marrab

Muller, интересная конфигурация. Кто-то кого-то глючит. У тебя модем подключен прямо в локальную сеть?
Попробуй в правиле для RDP прописать MAP 192.168.0.3 (без порта) и включить на этом правиле NAT.

А для чего там включать NAT:lol:????????????????????????

[Muller]

Цитата:

Сообщение от Marrab

Muller, интересная конфигурация. Кто-то кого-то глючит. У тебя модем подключен прямо в локальную сеть?
Попробуй в правиле для RDP прописать MAP 192.168.0.3 (без порта) и включить на этом правиле NAT.

Да, модем стоит в роутере.
Попробовал предложенное Вами правило - не маппит :weep:
Потерялся уже. Наверное самое правильное - переустанавливать керю. Это ж все заново переделывать :eek:

Добавлено через 2 минуты
Кстати, в пакетах, которые приходят на сервер, содержат отнюдь не 3389 порт, а какой-то произвольный (1097, 1250 и др.)

[С.С. Горбунков]

Muller,
а, так модем и все хосты локалки подключены в один общий свитч что-ли?
если да, то надо купить вторую сетевуху, и переделать схему подключения: интернет -> модем -> KWF -> свитч -> компы локалки.
тогда мапинг работать будет.

[Marrab]

Цитата:

Сообщение от kuvl-vrn

А для чего там включать NAT?

А для того, чтобы сервер к которому подключаются думал, что к нему подключаются из локалки. Фиг его знает, как он там настроен и какие ограничения на нем стоят.
Muller, поставь на правиле для RDP лог пакетов и во время соединения смотри в filter.log, что там с пакетами происходит. А вообще, лучше сделать как советует С.С. Горбунков

[kuvl-vrn]

Цитата:

Сообщение от Marrab

А для того, чтобы сервер к которому подключаются думал, что к нему подключаются из локалки. Фиг его знает, как он там настроен и какие ограничения на нем стоят.

Сам то понял что написал? MAP and NAT не совместимы в одном правеле

[Marrab]

Правда что ли? А мужики-то не знают... (с)

[Donkey]

kuvl-vrn, с чегой то несовместимы? Такая пара применяется когда у клиентского ПК куда мапится пакет нету выхода в интернет или выход идет через другой шлюз. По крайней мере я так понял эту связку, в инструкции про нее не сказано не слова.

[Muller]

Цитата:

Сообщение от Marrab

Muller, поставь на правиле для RDP лог пакетов и во время соединения смотри в filter.log, что там с пакетами происходит. А вообще, лучше сделать как советует С.С. Горбунков

Вот цитата из filter.log
[15/Dec/2008 18:54:25] PERMIT "RDP" packet from ADSL, proto:TCP, len:57, ip/port:86.57.xxx.xxx:1242 -> 81.25.xxx.xxx:3389, flags: ACK PSH , seq:160886921 ack:1948019548, win:64691, tcplen:17

По поводу совета С. С. Горбункова - это получается схема с бриджем. Тогда нужно поднимать маршрутизацию. А я в этом, скажу честно, не силен. Пробовал, но домен нормально не функционировал. А нормальных доков по маршрутизации пока не нашел.

[С.С. Горбунков]

Muller,
вай-вай. а KWF на что? нарисуй плиз схему существующей сети, чтоб не было недопонимания.
и о какой маршрутизации идёт речь? уж не об указании ли на клиентах в качестве шлюза - внутреннего IP KWF и включении в нём НАТа?

[Muller]

Инет - модем - свитч - KWF - локалка

Добавлено через 32 секунды
Или лучше графически?

[Marrab]

Цитата

Сообщение от Muller

Вот цитата из filter.log [15/Dec/2008 18:54:25] PERMIT "RDP" packet from ADSL, proto:TCP, len:57, ip/port:86.57.xxx.xxx:1242 -> 81.25.xxx.xxx:3389, flags: ACK PSH , seq:160886921 ack:1948019548, win:64691, tcplen:17

Маловата цитатка.

Цитата

Сообщение от Muller

Инет - модем - свитч - KWF - локалка

Цитата

Сообщение от Muller

По поводу совета С. С. Горбункова - это получается схема с бриджем. Тогда нужно поднимать маршрутизацию. А я в этом, скажу честно, не силен.

Тебе нужно, всего лишь, сделать это:
1. Воткнуть в машину с керио еще одну сетевую карту. Назначить ей ip-адрес не из локальной сети. Например, 192.168.1.2, шлюзом прописать 192.168.1.111, в качестве DNS-серверов указать DNS-сервера провайдера.
2. Поменять на модеме адрес 192.168.0.111 на 192.168.1.111
3. Воткнуть модем в новую сетевую карту.
4. Убрать на локальной сетевой (192.168.0.8) шлюз и DNS-сервера провайдера.
5. Поменять у клиентов шлюз с 192.168.0.111 на 192.168.0.8
Кажется, ничего не забыл.

[С.С. Горбунков]

Цитата:

Сообщение от Marrab

Кажется, ничего не забыл.

ну разве что ДНС у клиентов перенацелить на 192.168.0.8 (если это ещё не сделано)

[Muller]

Так ведь ДНС поднят на 192.168.0.1... Как на 192.168.0.8???

[С.С. Горбунков]

Muller,
а кто есть 192.168.0.1 ? внутренний ДНС-сервер? ну если он есть, и разрешает все имена,тогда адреса ДНС на клиентах править не надо.

[Muller]

Судя по всему, проблема вышла за рамки Kerio WF. Ответ кроется, как я понял, в настройках моей сети.
Дано : домен, DC и DNS сервер - 192.168.0.1. Прокси-сервер 192.168.0.8.
Сервера терминалов: 192.168.0.2, 192.168.0.3.
Клиентские машины: с 192.168.0.10 по 192.168.0.102 (не подряд, всего 32 рабочих станции).
На клиентских машинах прописан статичный IP, шлюза нет, Primary DNS 192.168.0.1. Интернет раздает KWF по NT LM аутенфикации. Раздается, замечу, без проблем: Web Orange Filter работает, блокировка по URL, если нужно, можно поставить (пробовал). Порты, не разрешенные в политиках, блокируются (клиент-банк, например, до открытия необходимых портов не работал). RDP на прокси пропускает ( на рабочий стол прокси войти могу).
Одна засада - не мапит на нужный сервер (192.168.0.3 или 192.168.0.2).
В принципе, доступ по RDP уже делал, но тогда проблемы мапа не возникало, а конфигурация сети была аналогичная.
Может, и вправду, переставлять модем в бридж и настраивать маршрутизацию? Или все-таки можно обойтись роутером и KWF?

Добавлено через 3 минуты

Цитата:

Сообщение от Marrab

Маловата цитатка.

Так все записи этого лога имеют аналогичный вид. Ни одной записи типа "Deny" или "Drop" нет...

Добавлено через 12 часов 51 минуту
Всем спасибо за участие, проблему решил сносом Kerio 6.5.2 и установкой версии 6.2.3. После этого правило ADSL-Firewall-RDP-Permit-MAP 192.168.0.3:3389 заработало!!!