От Керио отваливаются пользователи

[Urgat]

Косяк следующий:
Стоит Керио контрол, покупали пару лет назад. Все ок работало.
Но вот уже пару дней периодически отваливаются пользователи (привязаны по ip) и пока с самого кирюхи не пинганешь отвалившийся комп он войти в инет не может.
Есть подозрения что все начилось после заполнения харда логами.
Все было конечно же очищено, но полтергейст до сих пор бродит по сетке и отрубает пользователей....
Если у кого такой косяк был, укажите куда рыть...

[Urgat]

Опытным путем предположили, что косяк происходит с компами на которых обновилась ФИнда недавно.
Пока роем в этом направлении
Кирюха 7.2
если у кого появится схожая ситуация предлагаю подумать вместе

[Urgat]

Я так понял не у кого таких траблов не было

[panika187]

Если периодически начинают отваливаться юзеры,то может стоит обратить внимание на DC,если все на уровне домена организовано.

[Urgat]

Цитата

Сообщение от panika187

Если периодически начинают отваливаться юзеры,то может стоит обратить внимание на DC,если все на уровне домена организовано.

Да есть DC сейчас его ковыряем... но на керюхе у нас все заведено по ip...
если найдём траблу обязательно отпишусь

[panika187]

если все заведено по IP (локально на шлюзе) имеет ли смысл тогда смотреть DC?Или он делает сопоставление логину, определнный ип?


он вообще с DC что нить забирает?

[Urgat]

Цитата

Сообщение от panika187

если все заведено по IP (локально на шлюзе) имеет ли смысл тогда смотреть DC?Или он делает сопоставление логину, определнный ип?


он вообще с DC что нить забирает?

только ДНС все
сейчас стоит триал 8,1, но конфиг импортирован со старого... у некоторых пользователей, инет пропадает... пинганешь появляется... в логах пишет, что пользователь по чемуто стучится с другого интерфейса, хотя в реале он на тот интерфейс вообще попасть не может.
Принято решение переустановить заново, и настроить в ручную без переноса старых конфигов...

ЗюЫю

нашел интересный баг у кирюши
у нас раньше был пользователь которого мы стерли перед переносом, вот если его ip берет машина из сети, то она спокойно выходит в инет причем в активных пользователях и статистике её ip не светится
заводишь пользователя с этим ip отключаешь, всё как и надо блокируется

[panika187]

Цитата:

Сообщение от Urgat

Принято решение переустановить заново, и настроить в ручную без переноса старых конфигов...

хорошая идея

[rion_nagel]

Правила.... привязка юзера к ip ещё не гарантирует его авторизацию...

[Urgat]

воообщем переустановили, правила оставили по умолчанию, то есть все разрешено пользователей забили. у всех типо есть инет... правда сначало выпускал в инет даже незарегиных пользователей.
поправили...
Дождались выключение всех юзверей.
с утра из 41 6 не могли зайти...даже шлюз не пинговался, до тех пор пока со шлюза (кирюхи) не пинганешь обломанного юзверя, он в инет не выходит, пинганешь все инет появляется и шлюз сразу пингуется. чудеса в решете

зюыю
ща курим мануалы и дергаем техподержку, но они там обычно какие-то вареные

[rion_nagel]

ДА ПРАВИЛА ЖЕ.

Идут правила снизу вверх.
Я делал так:
с самого низу
сеть/маска - интернет интерфейсы - любой - разрешить (без ната)
выше:
фаер - любой - любой - разрешить
выше:
аутентифицированные пользователи - любой - любой - отказать

На всех пользователей делаешь, даже на фаер.

потом городишь свои политики. Если придумаешь лучше напиши тут.

[okrosha]

Доброе время суток. Помогите и мне пожалуйста. Ситуация такая же.. Периодически отваливаются пользователи от прокси, т.е. нет инета и пинга с проксей. Если сразу вручную прописать другой айпи связь восстанавливается. Если оставить так же, то после перезгрузки керио, связь может появиться а может и нет. А может пропасть и у других пользователей. Ни какой закономерности нет.
1. Сервак на Windows server 2008 r2 SP 1: DC, AD, DNS, DHCP
2. Сервак на Windows server 2003 SP 2: DNS, Kerio Winrouter Firewall 6.5.1 и Kerio MailServer 6.6.1.
Есть подозрения что неверно настроены DNS. Читала [Для просмотра данной ссылки нужно зарегистрироваться] Пункт 2. Но смущает то, что у меня два ДНС... Может в этом проблема?

Добавлено через 2 часа 13 минут
в DNSах настроена пересылка: из домена на dns провайдера. На проксе на dns домена. Запросы к днс серверам статус "пройден" и рекурсивный и простой. В керио переадресация днс выключена. Если есть какие то вопросы, или дала не полную информацию.. Отвечу. И еще домен и прокся на вирт машинах. Hyper v

[panika187]

В керио есть возможность настроить ДНС.
Вот и настройте для начала там(напрямую с провайдером), чтобы по днс не контактировал с доменным днс.Вот и узнаете есть ли проблема с настройкой доменного днс.

[okrosha]

Цитата

Сообщение от panika187

В керио есть возможность настроить ДНС.
Вот и настройте для начала там(напрямую с провайдером), чтобы по днс не контактировал с доменным днс.Вот и узнаете есть ли проблема с настройкой доменного днс.

Вот скриншот, подскажите поточнее, т.к. особо времени эксперементировать нет, народ то работает

[OlegEN]

Была подобная проблема, решилась снятием галки в пункте "DNS" - "Включить службу переадресации DNS" и очисткой кеша как в кире так и ipconfig /flushdns как на сервере, так и на машинах пользователей.

[Urgat]

Всё у нас с проблемной разобрался. Всё банально и чисто криворуко

Начну из далека.
У нас управляемые свичи, на них поднята два VLAN которые пересикаются только на Кирюхе (1 влан имеет доступ в инет, второй не имеет) соответственно у них разные подсети.
И вот в один злосчасный день мы с моим напарником устроили им (свичам) профилактику (пропылесолисли и т.д.) и по ходу один кабелек воткнули из другой подстети, а каель видемо шел не просто от компа а от другого свича. Вот эти коллизии и повеслили Кирюху.
При этом Ideco эти колизии игнорировал

Так что okrosha, глянте свичи, может как и у нас проблеммы в проводах.

[naliman]

Urgat,крутяк

[Urgat]

naliman, да сам в шоке
Только через снифер обратили внимание на чужие пакеты в нашей сетке
К стате обращались в техподтержку они нам посоветовали заменить свичи

Мы немного окуели, ведь тестовый ideco работал без проблем, еслине считать, что правила расспростронялись только на всех, частные правила почему то не действовали...

Словом Кирюха рулит, техподержка ЖЖОТ

[naliman]

Цитата:

Сообщение от Urgat

Словом Кирюха рулит, техподержка ЖЖОТ

а главное всем им есть куда расти