Помогите разобраться с мапингом портов для RDP

[fayst1]

Суть проблемы
Есть главный офис, есть магазин.
Необходимо терминальную сессию с компьютера из локальной сети магазина переадресовать на сервер 1С в сеть главного офиса.

интеренет на магазине и на главном офисе раздается по средством Kerio winroute который установлен на отдельной машине и к которая имеет свой статический ИП интернете.

Но проблема в что не хочется запускать рядового пользователя на сервер на котором стоит Kerio и т.д.
прочитал FAQ по логике вроде все правильно настроил, но все как всегда не рабоатет..

скрин трафик полиси прилагается
просто RDP ? без мапинга без проблем работает между локальльными машинами на любой сервер .

может кто то подскажет что то толковое....

[Donkey]

fayst1, Где остальные картинки? и не хера непонятно, у вас Офис и магазин в разных местах и соеденены через интернет или что???

[Gurby]

все выглядит правильно, но сервис RDP(3389) занят Firewall, поэтому придется делать RDP(3390) -> translate to port 3389

[С.С. Горбунков]

Gurby,
с чего бы?
у меня вот 2 правила на этот случай. с одной группы айпи - доступ по RDP на firewall, с другой - маппинг на сервер внутри сети. при этом сервис - RDP.

[fayst1]

Цитата:

Сообщение от Donkey

fayst1, Где остальные картинки? и не хера непонятно, у вас Офис и магазин в разных местах и соеденены через интернет или что???

Да в разных местах, но в одном городе. Какие картинки нужны еще?
настройка Керио на магазине идентична только правило на RDP чуть другое? завтра утром выложу скриншот

Добавлено через 2 минуты

Цитата

Сообщение от Gurby

все выглядит правильно, но сервис RDP(3389) занят Firewall, поэтому придется делать RDP(3390) -> translate to port 3389

но ведь RDP ходит через порт 3389
хотя завтра проверю когда буду на офисе, а то из дому как то не охота экспериментировать с файрволом.

Добавлено через 5 минут

Цитата:

Сообщение от С.С. Горбунков

Gurby,
с чего бы?
у меня вот 2 правила на этот случай. с одной группы айпи - доступ по RDP на firewall, с другой - маппинг на сервер внутри сети. при этом сервис - RDP.

прописывать два правила я тоже пробывал:
1. разрешал удаленный рабочий стол с интерфейса подключеного к интернету.
2. ремапил порт на локальную машину

Хотя я ремапил 3389, возможно здесь ошибка.... но честное слово не охота на расстоянии манипулировать сервером. Сегодня проверю отпишусь.

[kuvl-vrn]

Цитата

Сообщение от fayst1

Суть проблемы
Есть главный офис, есть магазин.
Необходимо терминальную сессию с компьютера из локальной сети магазина переадресовать на сервер 1С в сеть главного офиса.

интеренет на магазине и на главном офисе раздается по средством Kerio winroute который установлен на отдельной машине и к которая имеет свой статический ИП интернете.

Но проблема в что не хочется запускать рядового пользователя на сервер на котором стоит Kerio и т.д.
прочитал FAQ по логике вроде все правильно настроил, но все как всегда не рабоатет..

скрин трафик полиси прилагается
просто RDP ? без мапинга без проблем работает между локальльными машинами на любой сервер .

может кто то подскажет что то толковое....

А в чем собственно проблема?Поднимаем VPN туннель и не нужно городить ни каких правил, все замечательно работает и при этом шифруется И еще при поднятии туннеля можно цепляться на любую машину где стоит галка удаленного управления рабочим столом.....

[fayst1]

Цитата:

Сообщение от kuvl-vrn

А в чем собственно проблема?Поднимаем VPN туннель и не нужно городить ни каких правил, все замечательно работает и при этом шифруется И еще при поднятии туннеля можно цепляться на любую машину где стоит галка удаленного управления рабочим столом.....

Я конечно извиняюсь потому как никогда не настраивал VPN под 2003.
прочитал FAQ: [Для просмотра данной ссылки нужно зарегистрироваться]
ИМХО: по моему куда проще перемапить порты.
да совсем забыл предупредить что машины на магазине и на офисе так же являются контролерами домена, поэтому сильно больших эксперементов в рабочее время не поставишь.

Добавлено через 25 минут
пробовал ремапить по разному не работает, шаманство какое то
бубен кто то одолжить может????

[С.С. Горбунков]

fayst1,
не парь мозги, давай скрины с обеих точек с описаниями, ху из ху, а также ipconfig /all со шлюзовых компов и тех, к которым надо подключаться по RDP.
а то так и будем воздух сотрясать.

[gene36]

nat убери из new rule

[CBACTuK]

не знаю, зачем там nat включен...
просто мапить на машину, где поднят терминал с 1с

[fayst1]

ipconfig сервера на центральном офисе:
H:\>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : adc
Основной DNS-суффикс . . . . . . : arita.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : arita.local

Lan - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : HP NC7761 Gigabit Server Adapter
Физический адрес. . . . . . . . . : 00-17-A4-8B-72-8E
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 10.4.1.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 10.4.1.5
10.4.1.2

WAN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8150 USB 10/100 Fast Ethernet
Adapter
Физический адрес. . . . . . . . . : 00-E0-4C-03-76-88
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 79.143.43.74
Маска подсети . . . . . . . . . . : 255.255.255.252
Основной шлюз . . . . . . . . . . : 79.143.43.73
DNS-серверы . . . . . . . . . . . : 79.143.43.73

Ipconfig сервера теминалов 1Сна который нада перемапиться с магазина:
H:\>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : adb
Основной DNS-суффикс . . . . . . : arita.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : arita.local

Подключение по локальной сети - Ethernet адаптер:

Состояние сети . . . . . . . . . : сеть отключена
Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet
Физический адрес. . . . . . . . . : 00-E0-81-4A-07-00

LAN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet #2
Физический адрес. . . . . . . . . : 00-E0-81-4A-07-01
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 10.4.1.3
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 10.4.1.20
DNS-серверы . . . . . . . . . . . : 10.4.1.2
10.4.1.5

H:\>

ipconfig сервера на магазине:
C:\Documents and Settings\fayst1>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : sdb
Основной DNS-суффикс . . . . . . : sanremo.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : sanremo.local

WAN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethernet NIC
Физический адрес. . . . . . . . . : 00-E0-4C-E0-02-C9
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 81.30.169.226
Маска подсети . . . . . . . . . . : 255.255.255.128
Основной шлюз . . . . . . . . . . : 81.30.169.201
DNS-серверы . . . . . . . . . . . : 81.30.160.9
81.30.160.3

LAN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Marvell Yukon 88E8056 PCI-E Gigabit Ether net Controller
Физический адрес. . . . . . . . . : 00-1A-4D-66-94-58
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 10.4.2.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 10.4.2.2

Kerio VPN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Kerio VPN adapter
Физический адрес. . . . . . . . . : 44-45-53-54-DB-08
DHCP включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 169.254.74.181
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DHCP-сервер . . . . . . . . . . . : 169.254.74.180
NetBIOS через TCP/IP. . . . . . . : отключен
Аренда получена . . . . . . . . . : 20 ноября 2008 г. 11:04:54
Аренда истекает . . . . . . . . . : 20 ноября 2008 г. 11:07:54

C:\Documents and Settings\fayst1>

Добавлено через 2 минуты

Цитата

Сообщение от CBACTuK

не знаю, зачем там nat включен...
просто мапить на машину, где поднят терминал с 1с

не помагает

пока что пустил пользователя на рабочий стол

[С.С. Горбунков]

Цитата

Сообщение от fayst1

ipconfig сервера на центральном офисе:
Lan - Ethernet адаптер:
IP-адрес . . . . . . . . . . . . : 10.4.1.2

ага..

Цитата

Сообщение от fayst1

Ipconfig сервера теминалов 1С:
Основной шлюз . . . . . . . . . . : 10.4.1.20

опа! а это что за ***? (с)
и куда же пойдут пакеты от сервера терминалов?

[fayst1]

Цитата:

Сообщение от С.С. Горбунков

ага..

опа! а это что за ***? (с)
и куда же пойдут пакеты от сервера терминалов?

новый ipconfig сервера терминалов:
LAN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Broadcom NetXtreme Gigabit Ethernet #2
Физический адрес. . . . . . . . . : 00-E0-81-4A-07-01
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 10.4.1.3
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 10.4.1.2
DNS-серверы . . . . . . . . . . . : 10.4.1.2
10.4.1.5
результат тот же, пока что
Возможно надо перезагрузить сервера но раньше чем через 11 часов никак не смогу...

[С.С. Горбунков]

fayst1,
а к самому шлюзу-то из инета можно подключиться?

[fayst1]

Цитата:

Сообщение от С.С. Горбунков

fayst1,
а к самому шлюзу-то из инета можно подключиться?

Для начала выложу то что есть сейчас в трафик полиси:

правило RDP - изначально все работает, без проблем удаленные рабочие столы ходят между серверами магазина, из изнтернета, тоесть никаких проблем.

Добавляем правило RDP2 (оно должно ремапить RDP с ИП : 81.30.169.226 на локальный сервер терминалов 10.4.1.3)
в зависимости от того как я перепрописываю это правило, я либо попадаю только на Рабочий стол сервера который находится на центральном офисе (по вашему шлюза интернета, если я вас правильно полнял) либо вобще не могу подключиться к серверу

для обьективности тестирую все с магазина и под разными учетными записями.

[fayst1]

при данном варианте трафик полиси я просто подключаюсь к рабочему столу сервера (шлюза интеренета)

[С.С. Горбунков]

fayst1,
правило RDP2 надо поднять выше правила RDP. тогда весь RDP-трафик с айпи 81.30.169.226 будет перенаправлен на 10.4.1.3.

[fayst1]

Цитата:

Сообщение от С.С. Горбунков

fayst1,
правило RDP2 надо поднять выше правила RDP. тогда весь RDP-трафик с айпи 81.30.169.226 будет перенаправлен на 10.4.1.3.

опять рабочий стол сервера, а не 10.4.1.3

Хорошая загадочка получилась, возможно если перезапустить службу керио все начнет работать но могу это сделать только ночью....

[С.С. Горбунков]

fayst1,
хм. а точно трафик идёт с 81.30.169.226 ?
если да - текущее соединение не забыл убить в connections?

[fayst1]

Цитата:

Сообщение от С.С. Горбунков

fayst1,
хм. а точно трафик идёт с 81.30.169.226 ?
если да - текущее соединение не забыл убить в connections?

да точно это статический ИП Магазина
так же пробывал прописывать как интерфейс WAN (интернет подключение) в source
статический ИП писал в source
в sorce были все варианты коотрые я мог предположить даже Any

текущее соединение тоже сбрасывал ручками, да и каждый раз перед тем как что либо тестировать я заново перезахожу в RDP на магазин