Разрешение пользователю доступ к почте при запрете всего остального.

[Eugene3]

Здравствуйте уважаемые знатоки!
Ситуация такая. Доменная сетка, отдельная прокся с керио.
На доменном сервере с терминальной ролью(вин2003 х64) понадобился инет, а конкретно доступ только к почте(yandex.ru и mail.ru) для того чтобы 1ска засасывала из неё заявки. Авторизую инет на терминальном серве и у всех пользователей сервака в терминале есть доступ в интернет. Почитав, понял что это косяк 2003.
Соответственно думаю решить сию проблему двумя правилами в керио.
1) нижнее(запрещает доступ ко всем ресурсам прокси терминальному серверу)
сурс -айпи сервера
Дестинейшен - эни
Сервис - эни
Экшен - дроп
2) верхнее(разрешает терминальному серверу доступ к почте к примеру 87.250.251.11 - яндексу)
но не могу додуматься как это правило правильно организовать. Подскажите пожалуйста, или может быть есть другой более простой и изящный способ решения данной проблемы. Заранее спасибо.

[Mr.Torture]

1-е правило вообще не нужно - достаточно только 2-го...

[Eugene3]

Как это не нужно? у меня по умолчанию разрешено c 10 протоколов и куча портов пользователям. Если первого правила не будет пользователи с терминального сервер будут иметь возможность лазить в инете фактически без ограничений.
А так первое правило сначала рубит все на серве, а второе дает только доступ к почте. Подскажите пожалуйста как второе правило правильно организовать.

[Mr.Torture]

Разрешено всем подряд? Тогда зачем огород городить? Если не всем, то значит группы набивай и в правилах разрешения для групп делай - если группе, куда входит сервак, разрешено только в почту, то терминальные юзвери через него дальше этой почты не залезут.

[Eugene3]

С группами я все прекрасно понимаю, просто не могу понять как правильно такое правило должно выглядеть.

[Eugene3]

Чтобы не быть голословным, вот скрин.
Самое верхнее правило надо довести до ума - то есть дать возможность работать только двум почтовикам.

[Mr.Torture]

В Керио запрещено всё, что явно тобою не разрешено - если у тебя нет правила, разрешающего всем и вся в инет, то дополнительного запрещающего правила не нужно - достаточно только одного разрешающего для самого сервака или группы, в которую он входит, где будет строго указано куда ему можно - ни куда больше ни он, ни терминальные юзвери не пролезут.

[Eugene3]

В том то и проблема что первичные правила дают весь инет в сеть.

[Babah22]

Eugene3, Вы пробовали читать мануал на керио?????

[Mr.Torture]

Eugene3, Скрин правил - это просто пипец... Читай мануалы, смотри на форуме примеры рабочих конфигураций.