Настройка нескольких интернет интерфейсов Kerio Control 8.6

[Hleb13]

Добрый день!

Не занимался настройкой Kerio с тех времен, когда ПО выпускалось как Windows приложение, сейчас встал вопрос о настройке Kerio на базе Linux, который я скачал и установил на виртуальную машину VMware (Vsphere).
Задача такова: в организации масса серверов, несколько серверов с почтой на базе Kerio Connect, несколько серверов с IIS (сайты).
Раньше как было: на каждом сервере был и Kerio Control и Kerio Connect (в случае почты). Сейчас Kerio Control выделяется в отдельную виртуальную машину.
Выделен диапазон белых IP.
Отсюда вопрос: как правильно настроить Kerio Control, чтобы через один этот сервер работали все порталы и почта?
Как я понимаю: нужно создать в виртуальной машине несколько интернет интерфейсов, на каждый из них посадить необходимый белый IP и далее маппингом пробрасывать трафик по локалке на сервера. Также, создать интерфейс, который смотрит в локалку.
Я пока не начинал заниматься настройкой, поэтому скриншоты не могу выложить. Хотелось бы узнать правильно ли я вообще понимаю идеологию настройки Kerio Control под мои задачи?

[Mr.Torture]

Правильно.

[Hleb13]

Спасибо!
А в каком режиме при этом должны работать интерфейсы? Распределение нагрузки? Ведь получается будет несколько интерфейсов с одним и тем же шлюзом и DNS, только разные IP.

[Hleb13]

Столкнулся с трудностями. Создал 2 интернет интерфейса от одного и того же провайдера в Kerio 8.6 (разные IP, одинаковые маски, шлюзы, dns). Настроил маппинг трафика по http на определенные локальные IP на каждом интернет интерфейсе.
Определил очень интересную вещь, с которой разобраться пока не удалось.
Если заходить на ресурсы, на которые идет проброс, с любого другого провайдера, то все правила прекрасно работают, но стоит зайти с IP того же провайдера, что и настроен на сервере с Kerio ресурсы отваливаются и даже до работы правил traffic policy не доходит.
Есть предположение, что с маршрутизацией что-то...
Кто-нибудь сталкивался с подобным?

[Mr.Torture]

Цитата

Сообщение от Hleb13

одинаковые .... шлюзы

Работать не будет.

[Hleb13]

А как же тогда реализовать задачу?
Есть машина с керио и несколько веб ресурсов в локалке. Каждому ресурсу соответствует белый IP. Нужно чтобы работал проброс портов с керио на локальные IIS сервера. А провайдер только один, от которого есть ряд белых IP адресов.

Шлюз пропишите на основном IP-адресе, на остальных оставьте не заполнеными.

[Hleb13]

А режим работы интерфейсов "Распределение нагрузки" установить?

Добавлено через 1 час 12 минут
Есть два интернет интерфейса от одного провайдера. Поставил режим работы "Один канал связи с Интернетом", прописал шлюз только на одном из интерфейсов. Проблема осталась, при подключении к ресурсам от этого же провайдера - перестает работать проброс. От других провайдеров - все хорошо работает.

Добавлено через 1 час 30 минут
Я кажется понял из-за чего такое происходит. Это все системный маршрут. Сейчас он выглядит так:
188.x.x.0 - 255.255.255.224 - название интерфейса 1
188.x.x.0 - 255.255.255.224 - название интерфейса 2
где x - одни и те же.
То есть получается, что сети одинаковые и трафик, который предназначен для интерфейса 2 прокидывается на интерфейс 1, так как маршрут системный выше. Поэтому второй портал (правило в трафик полиси) не работает.
Как вообще можно поправить системный маршрут Kerio? Как исправить, чтобы все работало?

Добавлено через 2 часа 54 минуты
Да еще и метрика 0 у системного маршрута по умолчанию, то есть не перебить статическим маршрутом типа:
188.x.x.7 (например) 255.255.255.255 - интерфейс 1 metric 1
188.x.x.8 (например) 255.255.255.255 - интерфейс 2 metric 1

Как поправить системный маршрут? Если в случае Windows приложения было понятно, можно было через route поправить, а в Linux версии как?

Добавлено через 20 часов 25 минут
Никто не подскажет?(

[Valery12]

Цитата

Сообщение от Hleb13

То есть получается, что сети одинаковые и трафик, который предназначен для интерфейса 2 прокидывается на интерфейс 1, так как маршрут системный выше. Поэтому второй портал (правило в трафик полиси) не работает.
Как вообще можно поправить системный маршрут Kerio? Как исправить, чтобы все работало?

не нужно ничего править

Цитата

Сообщение от Hleb13

Как я понимаю: нужно создать в виртуальной машине несколько интернет интерфейсов, на каждый из них посадить необходимый белый IP и далее маппингом пробрасывать трафик по локалке на сервера

если все от одного провайдера то сетевой интерфейс должен быть один и все белые IP должны быть на нем - один основной, остальные алиасы

[Hleb13]

Спасибо за ответ!
То есть, как я понял, создаю один интернет интерфейс, даю основной IP, нажимаю "Определить дополнительные IP адреса" и вбиваю туда остальные белые IP.
А как потом маршрутизировать эти алиасы? Ведь мне с разных белых IP нужен маппинг на разные локальные сервера по разным портам.

[Valery12]

Цитата

Сообщение от Hleb13

А как создать алиасы к этим белым IP?

это я и имел ввиду пода алиасами:

Цитата

Сообщение от Hleb13

нажимаю "Определить дополнительные IP адреса" и вбиваю туда остальные белые IP

Цитата

Сообщение от Hleb13

создать правила в traffic policy вида:
188.x.x.1 - Брандмауэр - HTTP - MAP 192.168.1.1 - Разрешить

мне кажется не совсем
Инет - 188.x.x.1 - HTTP - MAP 192.168.1.1 - Разрешить
и для исходящего (если нужно)
192.168.1.1 - Инет - - NAT 188.x.x.1 - Разрешить

[Hleb13]

Спасибо огромное! Все заработало!

Теперь вот интересно стало, насколько сильные задержки по времени в этой схеме (алиасы, маппинг). То есть имеет место быть ощутимая разница между включением IIS сервера к Интернет напрямую и схемой с Kerio Control?

Цитата

Сообщение от Hleb13

Теперь вот интересно стало, насколько сильные задержки по времени в этой схеме (алиасы, маппинг). То есть имеет место быть ощутимая разница между включением IIS сервера к Интернет напрямую и схемой с Kerio Control?

а у вас там робот окторый на бирже торгует и за 1 секунду 100500 тыщ операций проводит?
или вы на глаз при загрузке страницы 1 миллисекунду от 10 миллисекунд отличить способны?

[Hleb13]

Нет, не способен) Спасибо большое за ответы!

[Hleb13]

Подниму тему, так как появилась проблемка.
На данный момент настроено 3 белых IP на одном интернет интерфейсе (один основной и два алиаса). Все 3 IP работают через маппинг на локальные сервера.
Один сервер IIS (доступ по HTTPS), другой - тоже IIS (доступ по HTTP) и почтовый сервер Kerio Connect.
Первый сервер IIS имеет достаточно много подключений извне. Заметил, что когда количество подключений приближается к 600 начинает лагать портал, медленно откликается и т.д. Пробовал отключить Kerio и выпустить портал напрямую в Интернет - лаги прекращаются, портал работает быстро.
На остальных локальных серверах проблема не наблюдается (нагрузка там значительно ниже, чем на первый сервер).
Из-за чего это может быть, именно тормоза по HTTPS? Kerio установлен на виртуальной машине Vsphere. Пробовал отключать Protocol Inspector, встроенный антивирус, предотвращение вторжения - не помогло.

Скорее всего в Kerio Control установлено ограничение подключений, посмотри настройки раздела Параметры безопасности.

[Hleb13]

Спасибо! Действительно, количество подключений сразу вверх полетело после отключения ограничения!