Настройка правил при непрозрачном прокси

Уважаемые пользователи Kerio Control прошу помощи в настройке непрозрачного прокси. Все настраивается стандартно это понятно, но никак не могу пропустить конкретный компьютер и общей массы сети мимо прокси, т.е. без указания его в настройках, прокурил весь интернет и ответа не нашел, прошу вас поделиться опытом.

как пробовал?
какие настройки на клиенте\сервере?

ждём телепатов, они эту информацию нам изложат, после чего можно будет чего то думать

исходя из представленной на данный момент информации можно сделать только следующий вывод:
космос чем то влияет

пока мы ждём телепатов, вы делаете следующее:

1. изучаете букварь инструкции с картинками:
[Для просмотра данной ссылки нужно зарегистрироваться]

2. изучаете это:
[Для просмотра данной ссылки нужно зарегистрироваться]

3. и это:
[Для просмотра данной ссылки нужно зарегистрироваться]

Значит имеем сеть (192.168.0.x) с контролером домена со службой DNS (IP - 192.168.0.2, шлюз - 192.168.0.9, dns - 192.168.0.2). Имеем kerio control версии 9 (192.168.0.9). IP адреса вбиты на клиентах вручную, шлюз 192.168.0.9, DNS 192.168.0.2.
Интернет в офис приходит по Ethernet кабелю со статическим IP и воткнут в zyxel keenetic на выходе из него кабель воткнут в kerio control и получен на нем по dhcp IP 192.168.1.104 шлюз 192.168.1.1 dns 192.168.1.1.
Мне необходимо, чтобы все ходили в сети через непрозрачный прокси 192.168.0.9 с настройкой прокси через браузер IE. Но в тот же момент, чтобы я мог определенным IP дать полный доступ в обход прокси, т.е. указав нужные IP в kerio и не прописав прокси в IE иметь полный доступ к Инетренет, а другим IP без прописи проски в IE чтобы доступа не было.
Для примера создан юзер "sa", в свойствах которого прописан ip адрес хоста 192.168.0.13, вот например для него надо дать полный доступ в обход прокси и без прописи прокси в IE.
Пробовал по разному настроить и ничего в итоге не получается прошу от всех помощи...

Вроде бы получилось добавив такое правило, может у кого то есть какие-то другие мысли? Прошу поделиться.

Во первых "в ручную" лучше не надо, это чревато лишней работой и коллизиями. Есть DHCP в нем же можно и параметры сети (области) вбить. Да и про резервирование не забываем.
Во вторых вы не пустили "в обход", вы пустили через прокси.
В третьих не представляю зачем нужно пускать "в обход".
В четвертых, вы бы еще кабель от провайдера напрямую воткнули в контроллер домена... В общем никакой безопасности...

Не партесь, пусть все ходят через прокси.
Если подружите керио и AD то тогда можно будет сделать 2 правила с журналированием трафика, и без журналирования (для избранных).

Цитата:

Сообщение от mtc1971

Во первых "в ручную" лучше не надо, это чревато лишней работой и коллизиями. Есть DHCP в нем же можно и параметры сети (области) вбить. Да и про резервирование не забываем.
Во вторых вы не пустили "в обход", вы пустили через прокси.
В третьих не представляю зачем нужно пускать "в обход".
В четвертых, вы бы еще кабель от провайдера напрямую воткнули в контроллер домена... В общем никакой безопасности...

Не партесь, пусть все ходят через прокси.
Если подружите керио и AD то тогда можно будет сделать 2 правила с журналированием трафика, и без журналирования (для избранных).

Рассказываю в двух словах - я недавно пришел на новый офис и тут IP вручную стоят и прокси usergate 2.8 который впринципе не знает что такое NAT. про dhcp я в курсе и в перспективе будет сделано, т.к. имею все MAC компьютеров сети, банально сделаю через них резервирование и потихоньку уберу вручную вбитые IP. Но с чего все началось что я решил поставить точку доступа wi-fi и с usergate 2.8 вышло что нет возможности, на точке прокси никак не прописать. Вот я и хочу пускать некоторые IP мимо прокси. На прежней работе стоял squid на linux и было все так как я описывал выше (через/мимо прокси). Взять глав буха у него пару клиент банков и разного софта, страдать пробросом нужных портов нет желания, а так можно было бы дать полный доступ мимо прокси и не париться.

Опять же париться не надо, нужному пользователю просто ничего не режете и все (даете полный доступ, как у вас в "Новое правило" сделано).
А пускать "в обход" - чревато, взломают вашу сетку махом, и ладно если просто скопируют информацию из локалки, дык могут вообще все похерить...

Цитата:

Сообщение от mtc1971

Опять же париться не надо, нужному пользователю просто ничего не режете и все (даете полный доступ, как у вас в "Новое правило" сделано).
А пускать "в обход" - чревато, взломают вашу сетку махом, и ладно если просто скопируют информацию из локалки, дык могут вообще все похерить...

я извиняюсь, может я не правильно выразился, для меня в "обход" - это значит не прописывая прокси в IE

я например вообще не понимаю зачем прокси
что не позволяет пользовать НАТ?

Цитата

Сообщение от moant

для меня в "обход" - это значит не прописывая прокси в IE

это называется NAT

а вообще, судя по скриншоту, правило NAT позволяет всем ходить без указания прокси в браузере

уточните что вам нужно и что не получается?

Цитата:

Сообщение от naliman

я например вообще не понимаю зачем прокси
что не позволяет пользовать НАТ?


это называется NAT

а вообще, судя по скриншоту, правило NAT позволяет всем ходить без указания прокси в браузере

уточните что вам нужно и что не получается?

в двух словах мне надо скажем два правила:
1. все пользователи офиса, у которых прописан прокси в IE должны ходить в Интернет по http и https протоколу, skype должен быть, доступ в outlook к корпоративной почте там через проброс портов например на kerio порт 8110 на хостинге это порт 110 (с этим разобрался)
2. я и группа определенных мною IP которые имеют NAT, т.е. те IP для которых не нужно прописывать прокси в IE и те которые имеют полный доступ в интернет ко всему без всяких заморочек.
после добавления моего правила вроде бы как все получается, но есть нюансы с настройкой tcp\ip, точнее сейчас на клиентах прописан ip маска и dns контролера. после того как прописываю им шлюз они все имеют доступ к интернет, а мне надо чтобы инет был только после того как я добавлю пользователя с его ip в kerio. прописывать у всех шлюз нет желания, но для второго правила кому надо я его пропишу.
как заработает все то что я хочу, я сделаю dhcp сервер с резервирование ip и mac и постепенно буду переводить всех на автоматическую настройку tcp/ip.
хочу чтобы кто в этом конкретно разбирается скинул скрин необходимых правил

камрад, вообще то задача не стоит выеденного яйца, просто надо включить голову и внимательно подумать, можно перечитать что ты мне написал, ибо в этом уже половина ответа содержится

итак:

Цитата

Сообщение от moant

я и группа определенных мною IP которые имеют NAT

- создаёшь группу IP-адресов, в неё включаешь нужные IP
- используешь эту группу в правиле трафик в "источнике", т.е. убираешь (исходя из твоих хотелок) из правила НАТ локальный интерфейс и ставишь туда только что созданную группу

Цитата

Сообщение от moant

после того как прописываю им шлюз они все имеют доступ к интернет,

согласно созданному тобою правилу "НАТ":
источник - локальный интерфейс, т.е. вся локалка
назначение - энторнеты

Цитата

Сообщение от moant

а мне надо чтобы инет был только после того как я добавлю пользователя с его ip в kerio

уже написал выше как это делается

Цитата

Сообщение от moant

прописывать у всех шлюз нет желания

про DHCP слыхал?

Цитата

Сообщение от moant

очу чтобы кто в этом конкретно разбирается скинул скрин необходимых правил

чем инструкции не устраивают??????
[Для просмотра данной ссылки нужно зарегистрироваться]

naliman, поправь если что не так

1. ЛЮБОЕ правило где включен НАТ, для группы "через прокси" будет работать только в том случае если у хостов этой группы будет указан шлюз по умолчанию

вообще то шлюз по умолчанию должен быть указан у всех, по хорошему если

2. правило локального трафика ВСЕГДА ДОЛЖНО БЫТЬ ПЕРВЫМ

3. правило "фаервол трафик" ставим после правила для локального трафика, т.е. вторым

правила обрабатываются сверху-вниз,
как только пакет удовлетворяет какому-либо правилу , его обработка прекращается
это ты должен знать как "отче наш"

Цитата:

Сообщение от naliman

1. правило "пинг" для группы "через прокси" будет работать только в том случае если у хостов этой группы будет указан шлюз по умолчанию

вообще то шлюз по умолчанию должен быть указан у всех, по хорошему если

2. правило локального траффика ВСЕГДА ДОЛЖНО БЫТЬ ПЕРВЫМ

3. правило "фаервол трафик" ставим после правила для локального трафика

посмотри выше файл cool я его обновил

Добавлено через 1 минуту
т.е. локальный и фаервол поменять местами? я так понимаю первый это снизу имеете ввиду?

Цитата

Сообщение от moant

т.е. локальный и фаервол поменять местами?

обнови страницу, я поправил предыдущее сообщение

Цитата

Сообщение от moant

я так понимаю первый это снизу имеете ввиду?

ты не китаец случаем?
гыгы

снова включаем голову:
если бы первое считалось снизу, то первым было бы правило которое всё запрещает и все остальные не имели бы никакого смысла

так что ли? оно то и так все работает, как на скрине выше...

Цитата

Сообщение от moant

так что ли?

да
а "8-е" ВСЕГДА БУДЕТ ПОСЛЕДНИМ

Цитата

Сообщение от moant

оно то и так все работает

работает, нагружая сервер
локальный трафик, прежде чем доберётся до "своего" правила - проходит всю цепочку сверху вниз и отъедает ресурс

короче:
правило локального трафика ДОЛЖНО БЫТЬ ПЕРВЫМ
это АКСИОМА

naliman, спасибо тебе огромное! может подскажешь по настройкам tcp\ip для контролера и dns службы? что-то там тоже есть советы какие-то...

Цитата

Сообщение от moant

может подскажешь по настройкам tcp\ip для контролера и dns службы? что-то там тоже есть советы какие-то...

контроллер домена - статический IP
в качестве ДНС (в настройках интерфейса) - либо сам, либо второй контроллер если есть

ДНС по идее стоит уже, без неё AD не подымается

конкретно что беспокоит?

Сегодня запустил минут на 10 в тестовом режиме в сети kerio и мне показалось что вроде что-то не так, т.к. из активных пользователей было показано человек 5 вместо 25-30 тех что я вижу в usergate.

Натыкался на такую статью:
[Для просмотра данной ссылки нужно зарегистрироваться]
может что-то с dns настройками у меня не так???

1. на скрине видно что вместо имен хостов прописаны ip


2. мой компьютер ходит по правило без прокси, стоит на нем же виртуальная машина с сетевым мостом, так вот на ней вроде сразу инет пошел, но потом при доступе к сайтам выкинул окно от kerio мол что-то с dns связано.

Может это что-то подскажет???