Проблема с сабинтерфейсом kerio.

[LAG_LAGbI4]

схема сети
[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться] - из керио


Имеется керио. 3 физических интерфейса. 2 смотрят в интернет, 1 в локалку. Поднят VPN сервер.
С локальным интерфейсом немного сложнее: он имеет дополнительный ip адрес и vlan интерфейс.
Т.е. получается, что в одной физической сети есть клиенты двух логических сетей: 192.168.1.0/24 и 10.1.1.0/24. В десятой сети у нас находится АТСка, телефоны, сетевое оборудование.
Проблема: с 192.168.1.2 я не могу зайти на веб морду АТС 10.1.1.2. Но на телефоны я зайти могу(что сильно затрудняет понимание ситуации).

Первое, что пришло в голову при траблшутинге - проблема с маршрутизацией. Но пинги ходят. трасерт работает нормально и в одну и другую сторону.

Дальше - правила kerio. Я добавил явное разрешающее правило в начале списка. Но это не изменило ситуацию.
[Для просмотра данной ссылки нужно зарегистрироваться] скрин правил я указал интерфейс, а так же диапозон ip адресов с проблемой, и на всякий случай моего пользователя (авторизация по mac в локалке)

Ещё одна мысль -в устройстве с веб доступом есть правило, не разрешающее доступ из других сетей. То же мимо. Доступ благополучно работает при работе из интернета через впн, так же доступ есть из сети vlan 10. Самая дичь произошла, когда я из локальной сети 192.168.1.0/24 подключившись по впн к керио смог достучаться до 10.1.1.2 через шлюз впн.

Больше всего похоже некорректное поведение керио при работе с саб интерфейсом. Подскажите, куда можно копнуть?

[exchar]

а все ли используемые в сетях с вланами свитчи умеют 802.11q?

[LAG_LAGbI4]

с виланами проблем нет. я написал, что проблема локальном интерфейсе, где в одной физической сети две логические.

[exchar]

Цитата

Сообщение от LAG_LAGbI4

с 192.168.1.2 я не могу зайти на веб морду АТС 10.1.1.2

может в настройках атс стоит запрет хождения на веб-интерфейс со всех сетей кроме локальной 10.1.1.0/24?

Цитата

Сообщение от LAG_LAGbI4

Ещё одна мысль -в устройстве с веб доступом есть правило, не разрешающее доступ из других сетей. То же мимо. Доступ благополучно работает при работе из интернета через впн, ... Самая дичь произошла, когда я из локальной сети 192.168.1.0/24 подключившись по впн к керио смог достучаться до 10.1.1.2 через шлюз впн.

возможно там все идет через NAT и к атске пакеты летят с локального ip керио в сети 10.1.1.0/24

кмк, без полных правил трафика (их скриншота) гадать смысла нет

[LAG_LAGbI4]

прям как нижнее бельё хочешь, чтобы я показал
[Для просмотра данной ссылки нужно зарегистрироваться]

Цитата

Сообщение от LAG_LAGbI4

прям как нижнее бельё хочешь, чтобы я показал

Уважаемый, требования (именно требования) некоторых действий, в том числе и скриншотов ТП - это [Для просмотра данной ссылки нужно зарегистрироваться] на этом форуме. Тз чего я делаю вывод, что [Для просмотра данной ссылки нужно зарегистрироваться] ты не читал. В дальнейшем за нарушения того, что ты не читал последуют взыскания.

[exchar]

чет пока ничего интересного не скажу
может кто-то еще чего умного посоветует

разве что маршруты в керио посмотреть лишний раз
и лог debug глянуть

[Valery12]

Цитата

Сообщение от LAG_LAGbI4

С локальным интерфейсом немного сложнее: он имеет дополнительный ip адрес и vlan интерфейс.

я вот все равно не пойму, если на физическом интерфейсе включена поддержка vlan на нем не должно быть ни дополнительного ни основного IP, поскольку теперь это аналого порта коммутатора, а все IP уже на сабинтерфейсах.