два шлюза и две локалки

[Алексей bird]

Привет, коллеги!
Исходные данные:
Есть сервер с установленным Kerio Control 8(триал), имеется 4 сетевушки, 2 внешних IP, две ЛВС. Назову интерфейсы так:
WAN(основной) - хоть и причислен этот интерфейс к внешним, но имеет серый адрес 10.51.*.*/24, для работы в Московской КМС
WAN2 - внешний , имеет настоящий белый IP 217.26.*.*/30
LAN(Основной) - основная ЛВС для работы предприятия 192.168.3.*/24
LAN2 - ЛВС для некоторых моих идей и прочего))), имеет адрес 192.168.4.*/24
Задача:
Машины находящиеся в LAN выходят в инет только через WAN, а машины находящиеся в LAN2 выходят в инет только через WAN2. Сами машины видеть друг друга не могут(хотя это сейчас не главное).
Ниже скрины интерфейсов и правил.
Так вот, если включаю интерфейс WAN2, то при указанных правилах, инет пропадает у LAN(Основной), но мне надо чтобы инет был у всех.
Может кто имел опыт с данной конфигурацией?

[Алексей bird]

У меня предположение, что не хватает какого-то маршрута. Есть у кого мысли?

[Pusik]

Алексей bird,

Цитата

Машины находящиеся в LAN выходят в инет только через WAN, а машины находящиеся в LAN2 выходят в инет только через WAN2.

Это невозможно в Керио

[rion_nagel]

хм... а почему?

[Pusik]

Потому, что в Керио один межсетевой экран. И есть три варианта его подключения к Интернет: 1) постоянное соединение только с одним внешним соединением;
2) несколько подключений - распределение нагрузки по входным каналам;
3) несколько подключений - переподключение при отказе.

[antivirdog]

как вариант, поставить второй МСЭ бесплатный на любую виртуалку, и туда отправлять второй парк машин

[Алексей bird]

Цитата:

Сообщение от Pusik

Потому, что в Керио один межсетевой экран. И есть три варианта его подключения к Интернет: 1) постоянное соединение только с одним внешним соединением;
2) несколько подключений - распределение нагрузки по входным каналам;
3) несколько подключений - переподключение при отказе.

Херня, вот правильный ответ:

А в интерфейсах ставишь балансировка каналов

[Pusik]

Алексей bird, в моей версии Керио 6.7.1 не получалось такого

[Алексей bird]

Давно уже бьюсь с проблемой, когда шлюз 4.13 перестаёт пинговаться. Выясняя проблему я обнаружил, что в ARP таблице MAC шлюза не соответствует IP адресу шлюза, на прилагаемой картинке всё видно. Причем иногда иноформация начинает соответствовать действительности и шлюз начинает пинговаться. Т.е. моя машина начинает видеть MAC адрес другого шлюза, хотя IP адрес остаётся старым.
Также приложил топологию моей сети, маленький кусочек. Шлюзы 3.13 и 4.13 обозначены как на разных устройствах, но на самом деле это один Керио шлюз с четырьмя сетевыми картами.

[rion_nagel]

Конфликт адресов чёли... ещё чё-то адрес этот имеет. Или как-либо управляемая железка ацки глючит?

[Алексей bird]

Цитата

Сообщение от rion_nagel

Конфликт адресов чёли... ещё чё-то адрес этот имеет. Или как-либо управляемая железка ацки глючит?

Адреса все уникальные. Глючит? Возможно, осталось определить что....

[Valery12]

Алексей bird, там по схеме стоит управляемый коммутатор и видимо сеть поделена на виланы,
на каких картах эти маки на самом деле?
если 3.13 и 4.13 напрашиваются две версии
1. На керио включен режим "Proxy ARP" (если он его поддерживает, честно говоря не знаю)
2. действительно глюк коммутатора, все-таки д-линк и класс сохо

[Алексей bird]

Цитата

Сообщение от Valery12

на каких картах эти маки на самом деле?

те маки, которые видны на заднем фоне, за командной строкой

Цитата

Сообщение от Valery12

2. действительно глюк коммутатора, все-таки д-линк и класс сохо

У меня все коммутаторы управляемые и все длинки)))

Цитата

Сообщение от Valery12

1. На керио включен режим "Proxy ARP" (если он его поддерживает, честно говоря не знаю)

Вопрос: как его отключить? Кстати, я заметил, что ноут(на схеме адрес 4.4) при просыпании имеет не тот мак шлюза, который у него указан в настройках, но через некоторое время, таблица видимо обновляется сама, мак исправляется на верный. Причем ОС это делает сама, в ручную(arp -d или выкл/вкл интерфейса) не помогает.

[Valery12]

Цитата

Сообщение от Алексей bird

Вопрос: как его отключить?

я закинул в гугл "керио proxy arp" но ничего не нашел, поэтому даже не знаю поддерживает он эту технологию или нет, но если считать д-линк "невиновным" то именно proxy arp самое реальное объяснение.

[qwerty202055]

Цитата

Сообщение от Алексей bird

Давно уже бьюсь с проблемой, когда шлюз 4.13 перестаёт пинговаться. Выясняя проблему я обнаружил, что в ARP таблице MAC шлюза не соответствует IP адресу шлюза, на прилагаемой картинке всё видно. Причем иногда иноформация начинает соответствовать действительности и шлюз начинает пинговаться. Т.е. моя машина начинает видеть MAC адрес другого шлюза, хотя IP адрес остаётся старым.
Также приложил топологию моей сети, маленький кусочек. Шлюзы 3.13 и 4.13 обозначены как на разных устройствах, но на самом деле это один Керио шлюз с четырьмя сетевыми картами.

Точно такая же проблема. Могу добавить только то что в ответ на ARP запрос (у нас на ПК очищена arp таблица и мы в бродкаст спрашиваем), керио в ответ по очереди выдает маки всех своих интерфейсов. В случайном порядке. Т.е. если нам повезло, то наш ПК заносит себе в арп кэш правильный мак. Иначе сидим курим. Батник с прописыванием статики ненадолго решает проблему. Еще такое поведение особенно болезненно на Win vista и новее. ХП ведет себя более спокойно. Для примера вот скрин АРП ответа керио.
P.S. решения я так понимаю никто не нашел? Поговаривают что это древний баг (ну или фича) поведения арп на линуксе. Если бы был доступ к ядру можно было запретить такие шалости.

[Алексей bird]

Цитата

Сообщение от qwerty202055

Точно такая же проблема. Могу добавить только то что в ответ на ARP запрос (у нас на ПК очищена arp таблица и мы в бродкаст спрашиваем), керио в ответ по очереди выдает маки всех своих интерфейсов. В случайном порядке. Т.е. если нам повезло, то наш ПК заносит себе в арп кэш правильный мак. Иначе сидим курим. Батник с прописыванием статики ненадолго решает проблему. Еще такое поведение особенно болезненно на Win vista и новее. ХП ведет себя более спокойно. Для примера вот скрин АРП ответа керио.
P.S. решения я так понимаю никто не нашел? Поговаривают что это древний баг (ну или фича) поведения арп на линуксе. Если бы был доступ к ядру можно было запретить такие шалости.

Через месяца два планируем переход на лицензию, вот тогда я и заепу ТП Керио по этому вопросу. А так ждёмс....