2 PPPoE-cоединения и шлюзы: решение вопроса

[jas0n]

Вопрос простой, но у меня он вызвал затруднения, т.к. я не имею большой практики с КВФ. Суть в следующем: при начальной установке КВФ создаётся сотв-но одно дефолтное правило + для исходящего трафика [Для просмотра данной ссылки нужно зарегистрироваться]. Я сделал ещё одно зеркальное для входящего [Для просмотра данной ссылки нужно зарегистрироваться] (можно конечно сделать одно общее для локального трафика, все хосты + файрвол во входящий и исходящий с пермитом, но это порождает необ-ть другие отд. правила, кот. мне в принципе не нужны*). Также имеется одно простейшее правило для NAT'a, где сетевой интерфейс модема (destination) смотрит на карточку (source), которая идёт в сеть, и с него соотв-но идёт NAT. Подключаю модем, предварительно настроенный в режиме роутера. Хочу залезть на 192.168.1.1 в панель настроек модема, Керио не пускает. Соотв-но не работает и инет. В чём дело? Ведь 2 правила должны по идее разрешать любой трафик. Помогите с конфигурацией.

* 4 компа, один из них в качестве сервера с Керио на борту, нужно распределить инет в сеть

[Donkey]

Цитата

Также имеется одно простейшее правило для NAT'a, где сетевой интерфейс модема (destination) смотрит на карточку (source), которая идёт в сеть, и с него соотв-но идёт NAT. Подключаю модем, предварительно настроенный в режиме роутера. Хочу залезть на 192.168.1.1 в панель настроек модема, Керио не пускает.

Ггггг такого описания правил я еще не видел )))))

А модем то нахуа в режим роутера? Мсье тонкий извращенец? )
Правила гони, я уже боюсь по описанию что там ТААААКОГО наворчено...

- Трафик полиси весь а не кусками
- ipconfig /all с сервера
- route print с сервера

[EnMan]

Цитата:

Сообщение от jas0n

Также имеется одно простейшее правило для NAT'a, где сетевой интерфейс модема (destination) смотрит на карточку (source), которая идёт в сеть, и с него соотв-но идёт NAT

Ого! (дальше с интонациями старого еврея) Скажи, а мы можем это увидеть?

Марш читать [Для просмотра данной ссылки нужно зарегистрироваться] на сайте и прекрати изобретать колесо. Не нужны, блин, ему остальные правила...

К следующему посту приложи все, что сказал Donkey.

[jas0n]

Ну я так и знал, что ворчать будете, модем в режиме роутера потому, что сразу логин и пароль для доступа забиты, чтобы не создавать отдельные WAN Miniport (PPOE) соединения на остальных компах. Хелп изучу внимательно, я как-то про него и забыл (именно про сайтовский хелп). «я уже боюсь по описанию что там ТААААКОГО наворчено» — а что собственно может быть наворочено в одном простейшем правиле для NAT'a?

Скрин сделаю, остальную тех информацию приложу

[Babah22]

нада добавить, что пролистывая в своём сознании умные мысли козьмы пруткова, нашёл мысл очень подходящую для этой болезни, итак - jas0n, если вы выпили проявитель, выпейте и закрепитель, иначе процесс будет не полным. Возвращаемся к вашим правилам, у вас есть правило 1 и 2, но нету 3 и вот его то и нада написать - ани ани ани пермит и всех делоф то ))))) удачи ))))

[Denis_Perm]

2 Babah22

Нее. Не всех. Еще в 3-м правиле ПИ надо в none поставить.

[Donkey]

Цитата:

Сообщение от jas0n

Ну я так и знал, что ворчать будете, модем в режиме роутера потому, что сразу логин и пароль для доступа забиты, чтобы не создавать отдельные WAN Miniport (PPOE) соединения на остальных компах.

Какие вы там PPPoE на остальных компах создавать собрались? Только не говорите что у вас остальные компы подключены к рутеру а не к ПК с Керио...

Керио в купе с Windows является маршрутизатором, а вы налепляя еще один маршрутизатор (типа для заведения пароля) создаете себе же гемморой или слабо понимаете для чего нужен режим Роутера.
На ПК с Керио должно быть установленно 2 сетевых карты минимум, в ОДНУ вы втыкаете свой Модем в режиме МОСТА, создаете на ПК с Керио ПППоЕ соединение (режим Видимый для всех) и говорите Керио его держать в постоянном включении, а также указываете это ПППоЕ соединение в качестве Destination для интернета.
Во ВТОРУЮ сетевую карту вы втыкаете свитч, в который и должны быть воткнуты остальные ПК.
НЕ НАДО НА НИХ СОЗДАВАТЬ ПППоЕ ради бога.
Надо просто будет указать на них в качестве шлюза и ДНС машину с Керио.
Устанавливая модем в режими Роутера, вы обрекаете себя на двойной НАТ, и если вам нужно будет открыть чтото на ВХОД со стороны интернета - вы просто заепетесь.

Цитата

а что собственно может быть наворочено в одном простейшем правиле для NAT'a?

Ооо, с НАТом можно такого накрутить....

Ждемс правила

[jas0n]

Цитата:

Сообщение от Donkey

создаете на ПК с Керио ПППоЕ соединение (режим Видимый для всех) и говорите Керио его держать в постоянном включении, а также указываете это ПППоЕ соединение в качестве Destination для интернета

Вот здесь хотелось бы уточнить. Что за режим «Видимый для всех»? Это относится к самому PPOE подключению или к КВФ, я настроки пересмотрел, но что-то такого не увидел, может вы имели ввиду разрешающее правило? (ну не вот [Для просмотра данной ссылки нужно зарегистрироваться] же вы имели ввиду). «держать в постоянном включении» — при помощи чего? В качестве интерфейса PPOE подкллючение не добавляется, я думал, это можно сделать при помощи RAS Dial-up, есть же стандартные виндовозные настройки для переподключения, но вы же сказали именно через КВФ.

Насчёт режимов route и bridge всё понятно. «Во ВТОРУЮ сетевую карту вы втыкаете свитч, в который и должны быть воткнуты остальные ПК» — так и было с самого начала.

[Donkey]

jas0n, Керио увидит этот интерфейс если вы при его создании укажите когда вам зададут вопрос "Видимый для всех или Только для этой учетной записи" - Видимый для всех, именно при создании через Мастер подключений, а не в Керио.
А вот когда он обьявится там тогда и сможете поставить режим поддержки связи.

[TheUniverseOfDeath]

Цитата:

Сообщение от Donkey

А модем то нахуа в режим роутера? Мсье тонкий извращенец? )

Таки да... (с интонацией старого еврея). А что вы имеете против?... уже.
Есть случае когда просто необходимо. Вот пример. Модем в 200-х метрах от машины скерио воткнут в общий свич. Монтажная работа невозможна ввиду акуенно дорогого ремонта. А делать таки надо.
В этом случае на фаере мопеда пишим что кроме ойпишнега и мака нашей любимой тачки с кирей для нас жизни нет. Дальше делаем тачку с кирей DMZ. Вуаля. Всё работает акуительно. Даже есть одно приемущество. На винде PPPoE драйвер пипец глючный а на модеме под линем он таки очень даже ничего.

[jas0n]

Цитата:

Сообщение от Donkey

Ждемс правила

Смеяться не надо, я не волшебник, я только учусь:

Примитивные правила КВФ: [Для просмотра данной ссылки нужно зарегистрироваться]
Интерфейсы и RAS-Dial: [Для просмотра данной ссылки нужно зарегистрироваться]

Также приложены файлы: routes.txt — сетевые маршруты, ipconfig.txt — данные о сетевых устройствах, ipconfig_WAN_g.txt — данные о гостевом (бесплатный доступ на сайт провайдера и медиа-ресуры) WAN PPOE подключении, ipconfig_WAN_p.txt — данные о подключении WAN PPOE к интернету.

«НЕ НАДО НА НИХ СОЗДАВАТЬ ПППоЕ ради бога» — а разве, как вариант, нельзя сделать NAT не с самого WAN PPOE подключения, а просто с сетевухи, которая соединена с модемом? Модем через КВФ отдаёт в сеть нужные адреса, а на клиентских машинах создаются WAN PPOE подключения. Мне этот способ тоже хочется апробировать.

Цитата:

Сообщение от Babah22

нада добавить, что пролистывая в своём сознании умные мысли козьмы пруткова...у вас есть правило 1 и 2, но нету 3 и вот его то и нада написать - ани ани ани пермит и всех делоф то ))))) удачи ))))

Спасибо за Кузьму Пруткова и простой ответ.

[jas0n]

///

[Babah22]

ну так что заработало чтоль? я не понял суть, работает или не работает?????? по идее работать не должно, но может быть вы исключение?

[Leshiy]

jas0n
Фантастично!
Сотрите нах... ваши "правила", ибо они не правила а жопища страшная, обратите внимание на кнопку Wizard внизу справа, нажмыкайте на неё, ПРАВИЛЬНО УКАЖИТЕ ИНТЕРФЕЙС НАРУЖУ КОГДА СПРОСЯТ, потом подзырьте что сделает правильный код от тех, кто винроут сваял, поймите, что ваши попытки исправить их правила есть тупняк полный и, наконец, откройте инструкцию.

[jas0n]

Цитата

Сообщение от Leshiy

Сотрите нах... ваши "правила", ибо они не правила а жопища страшная

Как ни странно при таких «засранных» правилах у меня на другой машине всё работает, там нету только правила «с любого на любой» с пермитом. NAT прекрасно работает, из сети можно спокойно подключится в интернет по VPN. Мне не нужно строить космический корабль, чтобы сходить в ближайшую булочную. Другое дело, что людям хочется красиво и по умному расписать правила, чтобы отслеживать все сервисы, следить за трафиком и т.д., но в сети на 4 компа мне это нах не нужно, мне достаточно тупо сделать NAT и всё.

Цитата:

Сообщение от Babah22

ну так что заработало чтоль?

Не запахало, ани на эни с пермитом не помог

[Leshiy]

jas0n
Неизлечимо.
Вы хотите сделать "красиво" но делаете "по-уродски", вам говорят - у вас по-уродски сделано, вы отвечаете "да бросьте, что вы такое говорите"?
Что надо-то я не понял?

Крайний раз говорю - перестаньте трахать мозг и нажмите кнопку Wizard, посмотрите результат и постарайтесь понять, что в Kerio Technology немного поумнее вас люди работают.
После осознания сего печального факта откройте инструкцию к винроуту и начните её читать.

[jas0n]

Цитата

Сообщение от Leshiy

Вы хотите сделать "красиво"...

Я имел ввиду других участников форума, а не себя. Мне нужно просто и без затраха. Если я захочу расписать конфиг — распишу. А вместо того, чтобы мне просто ответить на несложный вопрос, вы меня учите жизни. Спасибо, конфиг уже курю, в вашей помощи больше не нуждаюсь.

[Leshiy]

jas0n
Просто и без затраха - НАЖМИТЕ КНОПКУ WIZARD.
Я вже хрен знаю как донести до вашего мозга сию простую мысль.
Я что, не по-русски пишу?

[Babah22]

jas0n, значит нада убить эти правила, перегрузить комп и заново составить такие же.

[Donkey]

Цитата:

Сообщение от TheUniverseOfDeath

Таки да... (с интонацией старого еврея). А что вы имеете против?... уже.
Есть случае когда просто необходимо. Вот пример. Модем в 200-х метрах от машины скерио воткнут в общий свич. Монтажная работа невозможна ввиду акуенно дорогого ремонта. А делать таки надо.
В этом случае на фаере мопеда пишим что кроме ойпишнега и мака нашей любимой тачки с кирей для нас жизни нет. Дальше делаем тачку с кирей DMZ. Вуаля. Всё работает акуительно. Даже есть одно приемущество. На винде PPPoE драйвер пипец глючный а на модеме под линем он таки очень даже ничего.

а ето уже второй вопрос, так сказать "маленькие советы" когда в разетке кАнчается Алектричества

Добавлено через 30 минут

jas0n,

1. Почему в ipconfig у вас на двух интерфейсах одинаковые подсети? Они должны быть Разными, если на одном 192.168.1.х то на другом должно быть 192.168.2.х вы нарушаете правила маршрутизации и у вас не чего не будет работать. Интерфейсы не могут иметь одинаковых подсетей! Меняйте.
2. Такое количество постоянных маршрутов оправданно? Тем более шлюз на них у вас уже поменялся и они не верны.
3. При настройке ПППоЕ соединения в Windows вы не забыли снять галку в настройках соединения - СВОЙСТВА - СЕТЬ - ПРОТОКОЛ TCP/IP - ДОПОЛНИТЕЛЬНО - Использовать основной шлюз в удаленной сети??? Иначе у вас будет постоянно выдаваться шлюз по умолчанию в независимости что вы пропишите ручками...
4. Шлюз вы должны прописать в постоянных маршрутах как:
IP 0.0.0.0 маска 0.0.0.0 интерфейс ПППоЕ, шлюз адрес рутера провайдера узнается командой tracert [Для просмотра данной ссылки нужно зарегистрироваться], как первый адрес из списка.
НА ВСЕХ ИНТЕРФЕЙСАХ КРОМЕ PPPoE, АДРЕСА ПРОПИСАТЬ РУЧКАМИ и УБИТЬ ВСЕ ШЛЮЗЫ адрес шлюза по умолчанию у вас только ОДИН провайдерский и Пишеться он для удобства ручками а не получается на автомате!

По правилам:

Правила ANY - ANY - ANY Permit - БЫТЬ НЕ ДОЛЖНО! Это противоречащее правило во всем... разреши пакет из неоткуда в некуда.
Гора глюков как и нарушения смысла работы файрвола обеспечено!

В правиле NAT - надо установить на поле Translation:
Translate to IP address of outgoing interface typical setting (галка в меню)
а не конкретно указывать МГТС

Правило Входящий разрешает у вас полный доступ из ВНЕ до вашей машины с КЕРИО что снова делает бессмысленным использование Керио и выключает защиту самой машины.
Если вы не хотите пускать на машину кого либо убейте это правило.
Если нужно удаленное управление то пишите правило для нужных портов, адресов с НУЖНЫХ интерфейсов а не ANY.

Правило Исходящий - вы открываете для машины с Керио доступ ВЕЗДЕ, оно нужно только для случая если вы работаете за данной машиной или качаете обновления на эту машину... т.е. она инициирует открытие каких либо сессий с другими машинами из ВНЕ (сетка, Интернет)
Сразу пресеку вопрос "А как же пользователи выйдут в инет если их не пускать" - ПРАВИЛО NAT ИХ И ПУСКАЕТ.
А вообще в Source правила NAT пишут не сетку а либо конкретные адреса из сетки или авторизовавшихся пользователей. В Керио это все регулируется

А вы говорите "Простейшее правило" - АНАЛИЗИРУЙТЕ выше сказанное и исправляйте ошибки