Вопросы к менеджерам проекто Kerio WinRoute Firewall и Kerio MailServer

[HOG]

Цитата:

Сообщение от Skeeter

Ты меня не понял...
4-й пункт...Демонстрирую ситуацию...
Есть KWF с VPN, на нем по правилам разрешено с VPNа ходить на внешку, это сделано для некоторых злых целей, но тема не об этом...
Я качаю Kerio VPN клиент и ставлю его на машине, на работе, подключаюсь к вышеуказанному серверу и KVC забивает один маршрут

0.0.0.0 0.0.0.0 172.32.200.2 172.32.200.1 1

(это пример)
тем самым пуская все соединения через тоннель, но у меня нет желания пользоваться инетом проходящим через тоннель, вдруг я хочу пользоваться только группой адресов через vpn...
Только не надо писать, что бы я сделал отдельное правило под отдельного пользователя в traffic policy ибо хочеться что бы некапаясь в tp kwf просто изменив маршрут на клиенте ходить через vpn в инет или не ходить, но при этом каждый раз после поднятия подсодинения не писать

route delete 0.0.0.0

,

route add 0.0.0.0 mask 0.0.0.0 172.16.54.1 metric 2 -p

,

route add 172.32.250.0 mask 255.255.255.0 172.32.200.1 metric 1 -p

5. Я опечатался, я имел ввиду, под статикой белый IP...То есть, что DHCP раздавал внутрисетевой и белый IP на одну машину или как есть функция во FreeBSD natd транслировать внешний IP на локальный...

Если Ты делаешь 0.0.0.0 ИП маршрут серверу - то он справедливо поагает, что его необходимо добавить любому ВПН клиенту. Не нравится ходить в инет через работу - ставь Vista, там такие "манцы" с подменой "нулей" не проходят. И вообще-то, если подумать головой, я - как админ цепляюсь к рабочей сетке ВПНом только тогда, когда мне нужно поработать из дома именно с рабочей сеткой. Не надо рабочую сетку - я отцепляюсь. Еще раз объясняю - маршруты выдает СЕРВЕР ДЛЯ КЛИЕНТА, а не сам клиент пишет их в таблицу, и выдаются именно те маршруты, которые ты написал. Понимаешь - ТЫ НАПИСАЛ, а не сервер решил, что все ВПНщики должны при подключении к Кериешному серверу ходить в инет через него. Вообще-то, сам ВПН клиент в Керио изначально предназначен для доступа к ресурсам ЛВС организации извне. Как "фенечку" добавили возможность добавить статические маршруты для того, чтобы была возможность получать доступ к иным сетям (типа того, если за твоей сеткой стоит еще одна-две три сети с иным, не кериешным маршрутизатором. Возможность добавить нули существует для того, чтобы к примеру (как у меня) розничные торговые точки по всему городу не лазили по всяким однокласникам, вконтакте и.т.д пользуя рабочий инет (например того-жн самого скайлинка) тратя на это лбвиную часть трафика, а ходили в "инет" через Керио - в соответствии со всеми фильтрами.

Что касаемо "белых" ИП номеров, что тебе мешает выдать все белые ИП номера сетевому интерфейсу Firewall "инет" и потом, в зависимости от IP выходящего в инет локального юзера назначить ему определенный "белый" IP номер для трансляции?? И точно также указать "обратную" трансляцию необходимых портов?? На мой взгляд - никаких проблем. Нужно немного пошевелить мозгами, ибо такая возможность в керио есть.

[Skeeter]

HOG ты меня видимо не понимаешь или я выражаюсь криво, незнаю...просто хочется функцию, которая есть в VPN сервере на тоннелях, типа когда поднимается тоннель использовать автоматическую маршрутизацию, автоматическую+ручную, ручную(смотри скриншот)

По поводу "белых" IP, нарисуй или покажи скринами, что ты имеешь ввиду...

[HOG]

Цитата:

Сообщение от Skeeter

По поводу "белых" IP, нарисуй или покажи скринами, что ты имеешь ввиду...

Что ебе еще объяснить?? Выдаешь весь пул белых адресов сетевому интерфейсу КЕРИО "интернет" (надеюсь, не надо объяснять как это сделать?).
В трафик полиси пишешь что-то типа:
НАТ2: соурс: юзер (которому нужен типа прямой ИП), дестинейшн: инет, сервис: (по выбору "стреляющего")
НАТ: IP белый для этого юзера из того пудс белых адресов.
Входящий полиси для него:
Соурс: Интернет, дестинейшн: IP белый для этого юзера из того пудс белых адресов, сервис: (по выбору "стреляющего"), НАТ: транслейт ту IP того юзера. (при желании и надобности указывать порты).

Так понятней??

Что касаемо маршрутов на ВПН - в случае тунелирования ты типа делаешь объединение сетей, поэтому тебе дается выбор, какие сети объединять. В случае соединения по ВПН клиенту подразумевается подключение к ВПН серверу, поэтому он выдает все маршруты, которые знает + те, которые ты пропишешь. Разница понятна??

[Skeeter]

Цитата:

Сообщение от HOG

Что ебе еще объяснить?? Выдаешь весь пул белых адресов сетевому интерфейсу КЕРИО "интернет" (надеюсь, не надо объяснять как это сделать?).
В трафик полиси пишешь что-то типа:
НАТ2: соурс: юзер (которому нужен типа прямой ИП), дестинейшн: инет, сервис: (по выбору "стреляющего")
НАТ: IP белый для этого юзера из того пудс белых адресов.
Входящий полиси для него:
Соурс: Интернет, дестинейшн: IP белый для этого юзера из того пудс белых адресов, сервис: (по выбору "стреляющего"), НАТ: транслейт ту IP того юзера. (при желании и надобности указывать порты).

Так понятней??

Что касаемо маршрутов на ВПН - в случае тунелирования ты типа делаешь объединение сетей, поэтому тебе дается выбор, какие сети объединять. В случае соединения по ВПН клиенту подразумевается подключение к ВПН серверу, поэтому он выдает все маршруты, которые знает + те, которые ты пропишешь. Разница понятна??

Да понятней...
Разницу я давно понял, но штука была бы жутко удобной, что бы подымая коннект с клиента выбирал ходишь ли ты в инет через vpn или по своему, какие сети с VPN тебе нужны...

[HOG]

Skeeter, пользуй RAS сервер от Microsoft, там возможно указать такой режим.

[HOG]

Хочется поиметь такую штуку:
1. Дать возможность DHCP серверу выдавать IP из разных scope в разные сети, т.к. привязывать сам сервер не к одному интерфейсу, а к 2 и более.
2. Дать возможность админу добавлять свои дополнительные параметры DHCP сервера, а не с 002 по 076, и 252. Пример - 193: TINSRV, сейчас такой возможности нет.