Маршрутизация в KerioControl

Не в первый раз пытаюсь решить проблему с маршрутизацией, есть сеть в ней Kerio Control 9.0.0 (на виртуалке hyper-v) 192.168.10.1, так же в ней vipnet coordinator 192.168.10.7, есть правило [Для просмотра данной ссылки нужно зарегистрироваться], пинги до нужных адресов проходят, но веб страницы и программы работающие с серверами из закрытой сети не работают ...?! Пока выходим из положения прописывая routing на каждой отдельной машине, но как-то это неправильно ...
Подскажите что-нибудь ... Принимаются любые мысли ... Тут же будут проверяться на практике ...
Ещё маленький коммент, пинги к нужным адресам проходят как с любой машины в локальной сети так и со шлюза.
Tracert из локальной сети показывает первый hop - шлюз Kerio потом кучу звездочек и последний hop.

ну есть же тема по оформлению:

Цитата

в) скриншот правил или их словесное описание (лучше скриншот - нагляднее)
г) ipconfig /all с сервера
д) ipconfig /all с клиента
е) route print с них же

имеется в виду скриншот всех правил.
и скрин вкладки "интерфейсы" тоже внезапно нужен.
и скриншот действующих маршрутов из интерфейса керио.

Цитата

Сообщение от exchar

ну есть же тема по оформлению:



имеется в виду скриншот всех правил.
и скрин вкладки "интерфейсы" тоже внезапно нужен.
и скриншот действующих маршрутов из интерфейса керио.

Ну... сами попросили ....:
1. Интерфейсы: [Для просмотра данной ссылки нужно зарегистрироваться]
2. Правила трафика: [Для просмотра данной ссылки нужно зарегистрироваться] ещё [Для просмотра данной ссылки нужно зарегистрироваться] и ещё [Для просмотра данной ссылки нужно зарегистрироваться]
3. ipconfig /all сервера? не понял какого? Kerio на виртуалке ...
4. ipconfig /all клиента - [Для просмотра данной ссылки нужно зарегистрироваться]
5. route print [Для просмотра данной ссылки нужно зарегистрироваться], конкретно в данный момент я тестирую маршрут на 10.10.20.1
6. Маршрутизация Kerio - [Для просмотра данной ссылки нужно зарегистрироваться] ещё [Для просмотра данной ссылки нужно зарегистрироваться] ещё [Для просмотра данной ссылки нужно зарегистрироваться] и ещё чуть-чуть [Для просмотра данной ссылки нужно зарегистрироваться]
Ну вроде бы всё, что просили ...
Глобально, смысл действий я указывал выше, в сети локальной есть VipNet координатор и надо пакеты на определенные адреса направлять через него, настраиваю статические маршруты в Kerio пинги начинают проходить, но веб страницы по этим адресам и программы использующие эти адреса не работают .... Даже Telnet на нужные IP и порты подключается ...
Я не первый год в общем то работаю с Kerio, но я в тупике пока. Настраивал тоже самое в соседнем учреждении - всё заработало. Правда там координатор на отдельном интерфейсе ...
Буду благодарен за любые идеи ...

ДНС.

Цитата:

Сообщение от Mr.Torture

ДНС.

Спасибо за ответ, но ДНС в норме, даже два, основной контроллер домена и второй контроллер домена тоже с ДНС.
Кстати в строке адреса броузера набираю напрямик IP, так что ДНС мимо. Программы работающие с закрытой сетью тоже не имеют отношения к ДНС ...
Весь фокус в том, что если роутинг прописан на компе, то есть пакеты уходят напрямик на координатор мимо Kerio то всё великолепно работает, а через Kerio - никак, и что самое обидное при работе через Kerio работают пинги, как по IP так и по dns имени, более того telnet на нужный IP и порт срабатывает на раз ...

посмотри внимательно [Для просмотра данной ссылки нужно зарегистрироваться], особенно [Для просмотра данной ссылки нужно зарегистрироваться].

Цитата

Сообщение от exchar

посмотри внимательно [Для просмотра данной ссылки нужно зарегистрироваться], особенно [Для просмотра данной ссылки нужно зарегистрироваться].

Да, спасибо, очень похоже на мой случай ... Только мой ещё сложнее ...
Мой VipNet координатор, он же VPN роутер, включен в локалку одним интерфейсом, то есть VPN тоннель до ЦОДа он строит через тот же Kerio ...
Но что самое интересное, сразу после построения такой схемы 2-3 недели всё работало как часы, потом без видимых причин всё прекратило работать ... и только роутинг на клиентах выручил. У меня, конечно, есть подозрение на специалистов ЦОДа, такая схема работала на 6 объектах и практически одновременно перестала работать, но призвать их к сотрудничеству в этом вопросе у меня не получилось ...
Ну ... если прочитать последний ответ в вышеуказанной теме, то мои старания тщетны ..?

Цитата

Сообщение от master33

если прочитать последний ответ в вышеуказанной теме, то мои старания тщетны ..?

можно как советуют попробовать выделить на керио отдельный интерфейс с новой подсетью и перевесить координатор туда.

Цитата

Сообщение от master33

такая схема работала на 6 объектах и практически одновременно перестала работать

а на остальных объектах 100% аналогичная схема работы координатора через сходную версию керио?

Цитата

Сообщение от exchar

можно как советуют попробовать выделить на керио отдельный интерфейс с новой подсетью и перевесить координатор туда.

Не мой вариант, надо перестраивать координаторы, доступа к ним нет, к сожалению ... могу только посмотреть конфиг ... В enable нет пароля и они (ЦОД) его не дают ...

Цитата

Сообщение от exchar

а на остальных объектах 100% аналогичная схема работы координатора через сходную версию керио?

100%, всё делали мы сами, и для простоты обслуживания сознательно всё унифицировали ...

Цитата

Сообщение от master33

Не мой вариант, надо перестраивать координаторы, доступа к ним нет, к сожалению ... могу только посмотреть конфиг ... В enable нет пароля и они (ЦОД) его не дают ...

да, тухло это.
минусы работы в филиале большой конторы

Цитата

Сообщение от master33

100%, всё делали мы сами, и для простоты обслуживания сознательно всё унифицировали ...

сделай в трафикполиси правило вида
диапазон клиентских хостов -> 10.10.20.0, любой, разрешить, MAP(192.168.10.7)
это все без NAT

может прокатит.

Цитата

Сообщение от exchar

сделай в трафикполиси правило вида
диапазон клиентских хостов -> 10.10.20.0, любой, разрешить, MAP(192.168.10.7)
это все без NAT

Уже пробовал, не помогло ... а по 80 порту вообще открывает интерфейс координатора. Я так понял если баз NAT применить MAP пакеты на нём и останавливаются ...

Добавлено через 11 минут
Больше всего меня ставит в тупик то, что не только пинги легко проходят, но и telnet по нужным портам проходит ... то есть настройки все правильные ... Убираю настроенные в Kerio статические маршруты и пинги и telnet пропадают, включаю - восстанавливаются ... Делаю вывод - настройки верны ...

Цитата

Сообщение от master33

Уже пробовал, не помогло ... а по 80 порту вообще открывает интерфейс координатора.

может пора перестать гадать и глянуть конфиг координатора - что, откуда и когда он должен пихать в vpn-канал до 10.х.х.х?

Цитата

Сообщение от master33

Делаю вывод - настройки верны ...

ну да.
однако, см. конфиг координатора

Цитата

Сообщение от exchar

может пора перестать гадать и глянуть конфиг координатора - что, откуда и когда он должен пихать в vpn-канал до 10.х.х.х?

Да я в общем-то по поводу MAPа и не гадаю, уверен, что при MAPе переназначается место назначения пакетов (немного тафталогии), весь трафик с назначением 10.х.х.х переназначается на адрес указанный в MAPе ....

P.S. с координатором дела не имел, поэтому не в курсе, что у него под капотом и как.
валандался только с випнет-клиентами.

Добавлено через 1 минуту

Цитата

Сообщение от master33

Да я в общем-то по поводу MAPа и не гадаю, уверен, что при MAPе переназначается место назначения пакетов (немного тафталогии), весь трафик с назначением 10.х.х.х переназначается на адрес указанный в MAPе ....

кстати, да
что-то я ступил на ровном месте

Ладно, спасибо за помощь, буду работать в направлении подключения координатора на отдельный интерфейс.
У соседей немного по другому я сделал, но у них проще, у них в серверной стоит свич с каналом из ЦОДа им выделили и настроили порт на этом свиче, который я подключил на отдельный интерфейс Kerio и всё сразу заработало ...

Ещё раз:
ДНС
Керио рулит трафиком между своими сетевыми интерфейсами, а у тебя клиенты и вип-нет в одной локалке - в таком случае разруливает трафик ДНС. У меня также половина народа через вип-нет к защищённой сети подключается - в ДНС-сервере создал зону и прописал айпишники - делов на пару кликов мыши.

Цитата:

Сообщение от Mr.Torture

в ДНС-сервере создал зону и прописал айпишники - делов на пару кликов мыши.

А можно подробнее ..? локалка 192.168.10.х - випнет 10.10.20.х - координатор 192.168.10.7
Как-то я покрутил-покрутил и не придумал ...
Только я как-то не понял, мои приложения обращаются по IP и порту, я считал это по любому мимо dns ...

В ДНС создаешь новую зону - не знаю что там у тебя - какой-нибудь resource.local или domain.ru, добавляй узлы в эту зону с айпишником твоего координатора - дефолтный узел - А - для HTTP, т ам же можно какие угодно порты прописать, но мне, например, хватило только узел А прописать и со всех клиентов без всяких маршрутов пошёл через координатор. Второй вариант тебе уже подсказали - добавляй ещё сетевуху в сервак с Керио, меняй айпишник на координаторе, чтоб он был в другой подсети, и настраивай правила трафика в Керио.

Цитата

Сообщение от master33

Глобально, смысл действий я указывал выше, в сети локальной есть VipNet координатор и надо пакеты на определенные адреса направлять через него

В данном случае нужно "курить" не керио а координатор, а именно туннелирование ресурсов (если эта фича естественно лицензирована).