Kerio VPN нет доступа к локальной сети

[Keraberos]

Помогите пожалуйста. Уже перерыл весь интернет. Не могу решить проблему. Есть внутренняя сеть 192.168.2.х. На 2.2 сетевые папки, 2.7 1С, 2.4 сам Керио.
Впн вроде как настроился, клиент к нему отлично подключается, но внутренний сети 2.х клиент не видит абсолютно. Как сделать что бы по подключившись к ВПН клиент имел доступ к сети 2.х...
1) правила [Для просмотра данной ссылки нужно зарегистрироваться]
2) ипконфиг сервера [Для просмотра данной ссылки нужно зарегистрироваться]
3) ипконфиг клиента
1 [Для просмотра данной ссылки нужно зарегистрироваться]
2 [Для просмотра данной ссылки нужно зарегистрироваться]
4) роут принт [Для просмотра данной ссылки нужно зарегистрироваться]

Может у кого-то были похожие проблемы. Как быть?

[IlyaS]

Видите ли в чем проблема, запрос с ВПН-клиента наверняка доходит до серверов 2.2 и 2.7, но обратный ответ скорее всего нет. Почему? Да потому, что шлюзом сети по-умолчанию является 2.15, как видно из ipconfig керио. Поэтому сервер шлет ответ на 2.15, а не 2.4. Поэтому или добавляете правило маршрутизации на тех серверах, которые должны быть доступны ВПН-клиенту
route add 172.x.x.x mask 255.255.255.0 192.168.2.4
где 172.x.x.x - ВПН-сеть керио (172.27.248.0), или делаете керио шлюзом по-умолчанию.

[Keraberos]

маршрут не работает( а делать шлюзом не вариант. печаль(

[IlyaS]

Все же хотелось бы понять, что значит "внутренний сети 2.х клиент не видит абсолютно". Если в том, что с ВПН-клиента невозможно пробиться, например, на 192.168.2.2, то "route add 172.27.248.0 mask 255.255.255.0 192.168.2.4" на 2.2 должен исправить эту проблему.
В любом случае покажите route print на 2.2
Чтобы самому диагностировать проблему, добавьте в самый верх политики трафика керио (2.4) правило:
Источник: довер.интерфейсы, ВПН-клиенты
Приемник: довер.интерфейсы, ВПН-клиенты
Служба: Ping
Действие: Разрешить и протоколировать пакеты
И наблюдайте в журнале filter запросы и ответы Ping с ВПН-клиента и 2.2. Если ответа с 2.2 не будет, значит ответ ушел на 2.15, а не 2.4.
До кучи опубликуйте снимок вкладки интерфейсов керио (с замазанным внешним ip).
Непонятно, как ВПН-клиенты проходят на 2.4 минуя 2.15. У 2.4 выделенный канал? Portforwarding TCP/UDP 4090 с 2.15 на 2.4?

[Keraberos]

Мы пошли другим путём. Развернули ВПН на ДФЛ-роутере. Керио пустим исключительно прокси-сервером. Спасибо за попытку помочь.

[Keraberos]

Народ. А может кто-то поможет что бы не создавать тему. Хотим теперь пустить керио как прокси-сервер и возможно в дальнейшем как DHCP.
Как его настроить прокси сервером что бы интернет был только через прокси?

[IlyaS]

Для начала [Для просмотра данной ссылки нужно зарегистрироваться]
Если потребуется принудительно перенаправить на прокси [Для просмотра данной ссылки нужно зарегистрироваться]
Отрубить или проверить хуже/лучше с кэшем и проверить 0 [Для просмотра данной ссылки нужно зарегистрироваться]
Настроить кэш, если нужен, или SQUID [Для просмотра данной ссылки нужно зарегистрироваться] и [Для просмотра данной ссылки нужно зарегистрироваться]

[Keraberos]

ну вот у меня и сделаны примерно настройки как указанно по первой ссылке. Но я не понимаю что надо сделать что бы инет на юзерских компах работал только через прокси. Потому как сейчас включаешь его не включаешь один фиг бегает.

[IlyaS]

Цитата

Сообщение от Keraberos

ну вот у меня и сделаны примерно настройки как указанно по первой ссылке. Но я не понимаю что надо сделать что бы инет на юзерских компах работал только через прокси. Потому как сейчас включаешь его не включаешь один фиг бегает.

Кроме шуток, переходите уже ко второй ссылке.
Я собрал все, что знал по прокси, в одном посте ради удобства.

[Keraberos]

добавил правило [Для просмотра данной ссылки нужно зарегистрироваться]
если первое включено доступ идёт только по прокси. Второе и третье по идеи должны проводить автоматическую аутентификацию пользователей изользуя данные от учёток под которыми они зашли (локальные политики настроены) но вот они не работают... при попытке входа требует аутентификацию.

Добавлено через 58 минут
похоже вышло сделать автоматическую аутентификацию по активному члену домена. Убрал галочку с "Принудительная аутентификация для непрозрачного прокси-сервера" Осталось понять почему не работает почта(поп3 смтп) может кто подскажет?

[IlyaS]

С почтой попробуйте добавить отдельное правило, как тут [Для просмотра данной ссылки нужно зарегистрироваться]

[Keraberos]

Нет.. не вышло. Получается что почта работает только если перед правилом на прокси делать правило в котором разрешается ход инет-локалка именно портам через которые ходит почта.

[Keraberos]

[Для просмотра данной ссылки нужно зарегистрироваться]
вот так сейчас. Почта через эти порты работает. Прокси тоже бегает. Вроде бы вышло всё как я хотел. Осталось настроить dns dhcp ограничение трафика для разных групп пользователей, закрыь доступы на всякие вк и фейсбуки и разобраться со всякими мелочами) в целом керио оказался весьма хорошей и лояльной программкой. разобрался почти сам без предварительного опыта)

[naliman]

Цитата

Сообщение от Keraberos

вот так сейчас.

поясни ка смысл первого правила

я чойта недопонил

Цитата

Сообщение от Keraberos

Вроде бы вышло всё как я хотел. Осталось настроить dns dhcp ограничение трафика для разных групп пользователей, закрыь доступы на всякие вк и фейсбуки и разобраться со всякими мелочами) в целом керио оказался весьма хорошей и лояльной программкой. разобрался почти сам без предварительного опыта)

если будешь делать как в первом правиле - никогда ничего не получится

[Keraberos]

Первое правило открывает доступ в инет для почты, так как по другому не выходит. ДУмаю можно было бы прописать его ниже но тогда в прокси-правиле пришлось указывать вместо Any весь перечень правил. Если эти порты используются только для почты, столь существенно что они стоят выше правила для прокси? DNS сейчас остался старый, на другом сервере, на Керио поднял DHCP оказалось весьма просто, вроде работает.
Была заминка в ограничении трафика юзерам, при установке Bandwidth Controller наглухо закупорился порт 3128 через который бегало прокси, помогла замена порта, сейчас 9090.
В целом не понимаю в чём ошибка? В инете где-то так и вовсе есть инфа что почта бегает только по NAT протоколу. Указание в правиле вместо портов протоколы смтп поп3 имап не дали толку( может я конечно в настройках бат не смог отстроить прокси, но я не уверен)
Буду признателен если объясните почему правило не верно и как должно быть, это всё мне в новинку, нов силу того как я сейчас разибраюсь сам вроде бы работает.

[naliman]

Keraberos, "прокси-правило" как я понимаю - это "заворачивание" всех "интернет-запросов" от клиентов на прокси-сервер?
там куда конкретно мапится не видно

хочу тебя огорчить, рпокси сервер керио умеет только HTTP, всё остальное - нет

ещё раз хочу огорчить - прокси НЕ НУЖЕН

Цитата

Сообщение от Keraberos

В целом не понимаю в чём ошибка?

адрес шлюза что указано у клиентов?

Цитата

Сообщение от Keraberos

Буду признателен если объясните почему правило не верно и как должно быть, это всё мне в новинку, нов силу того как я сейчас разибраюсь сам вроде бы работает.

правило неверное потому что в источнике - интернет, а в получателе - сеть, и всё это НАТится
то есть ты грубо говоря интернет-трафик (хорошо что только смтп трафик) заворачиваешь к себе в сеть
самостоятельно и осознанно
при этом просто напросто теряется сам смыс чуществования фаервола как такового

правило должно быть такое:
"источник - локалинтерфейс, получатель - интенетинтерфейс, действие-разрешить, протокол - смтп, НАТ"
это даст доступ из локалки в энторнеты по смтп протоколу

а вообще читай тута: [Для просмотра данной ссылки нужно зарегистрироваться]
оно хоть и составлено 10 лет назад, но смысла не потеряло, разве что интерфейсные картиночки изменились
там примеры с картинками и описание что для чего

[Keraberos]

Шлюзом у клиентов идёт 192.168.2.4- собственно Керио.
Почему прокси не нужен?
В правиле "для почты" поменял на локальный-интернет. Но прописывать вместо портов смтп и поп3 не помогает- почта работает только по стандартным порта 25 и 110, по 465 и 995 не работает. Будет ли особый вред если всего 4 почтовые порта?
Мануал почитаю, спасибо. И может посоветуете какую то не особо замороченную програмку что бы установить ограничения на скорость интернета для групп пользователей актив директори?