Открытие портов для доступа извне

[chenah]

Добрый день.
Обыскав весь форум и не найдя ни одного дельного совета - создаю тему.
А тема такая.
Есть локальная сеть предприятия. Есть домен в этой же локальной сети.
Локальная сеть подключена к компьютеру (в качестве интернет-шлюза), IP в локальной сети у компьютера интернет-шлюза 192.168.0.254, а уже этот компьютер подключен к модему (в интернет-шлюзе 2 сетевые карты). См. рис. "Схема подключения ЛВС к интернет", а также "Интерфейсы".
На сервере-домене (192.168.0.113) есть виртуальная машина (192.168.0.35). На той виртуальной машине установлена специфическая программа. Вот этой программе и нужно открыть определенные порты на интернет-шлюзе - чтобы она могла не только отправлять данные наружу, но и принимать данные извне.
Проблема в том, что программа эта данные-то отправляет. Но ничего не может принять извне.
Да - на модеме порты открыты. И если подключать локальную сеть напрямую к модему (минуя интернет-шлюз) - то программа начинает работать в обе стороны (как и должна быть).
Да - на виртуальной машине порты открыты (с компьютера интернет-шлюза проверял через telnet 192.168.0.35 4443).
Да - в брандмауэре Windows XP на компьютере интернет-шлюза порты добавлял в исключения (см рис. "Брандмауэр").
Как я только ни изголялся с правилами трафика, но в результате изучения тем на форуме - понял, что для открытия портов нужно нечто такое, как изображено на рис. "Политика трафика".

Но это не работает.

Есть еще варианты ?

[exchar]

1) в политиках трафика какой смысл несет предпоследнее правило?
ваша программа работает через фаерный прокси? если нет, то уберите его нафиг. а если да, то уберите там маппинг.

2) там же в правиле выше написаны шесть портов, а в брандмауэре открыто всего два - еще четыре будет Пушкин открывать?

[chenah]

Цитата

Сообщение от exchar

1) в политиках трафика какой смысл несет предпоследнее правило?

Если вы про "доступ из интернета (порты)"-"firewall"-"интернет" - то это просто подстраховка (на случай, если не заработает просто "доступ из интернета (порты)"-"интернет"-"firewall").

Цитата

Сообщение от exchar

ваша программа работает через фаерный прокси? если нет, то уберите его нафиг. а если да, то уберите там маппинг.

В смысле ?
Программа слушает на выходе в интернет (читай - на фаерволе шлюза) порт 4443.

Цитата

Сообщение от exchar

2) там же в правиле выше написаны шесть портов, а в брандмауэре открыто всего два - еще четыре будет Пушкин открывать?

И опять таки остальные четыре порта программой используются внутри сети. Я их в политику трафика добавил на всякий случай. Для интернета программа использует только 4443

[exchar]

Цитата

Сообщение от chenah

Если вы про "доступ из интернета (порты)"-"firewall"-"интернет" - то это просто подстраховка (на случай, если не заработает просто "доступ из интернета (порты)"-"интернет"-"firewall").

ага, про него. "подстраховка".
а вы вообще понимаете принцип обработки правил фаером?
если бы понимали, то не написали б такой ерунды.
уберите это правило - оно соединения, исходящие от керио (не из локалки через керио, а с хоста керио. ну или от непрозрачного прокси на хосте керио) и идущие в инет заворачивает к вам обратно в локалку на хост с "программой".

Цитата

Сообщение от chenah

Программа слушает на выходе в интернет (читай - на фаерволе шлюза) порт 4443.

на хост с керио точно приходят нужные пакеты со стороны модема?

Цитата

Сообщение от chenah

Для интернета программа использует только 4443

да и название программы в студию

[chenah]

Цитата

Сообщение от exchar

ага, про него. "подстраховка". а вы вообще понимаете принцип обработки правил фаером? если бы понимали, то не написали б такой ерунды. уберите это правило - оно соединения, исходящие от керио (не из локалки через керио, а с хоста керио. ну или от непрозрачного прокси на хосте керио) и идущие в инет заворачивает к вам обратно в локалку на хост с "программой".

Убрал.
Ничего не изменилось.

Цитата

Сообщение от exchar

на хост с керио точно приходят нужные пакеты со стороны модема?

Да.
Тем более, как я раньше говорил, если напрямую подключить локальную сеть к модему - то программа начинает работать как нужно (в обе стороны).

Цитата

Сообщение от exchar

да и название программы в студию

Вряд ли название вам что-нибудь скажет ("ИАС Мапсофт")
И представляя ваш следующий вопрос, отвечу сразу: да, я обращался к разработчикам этой программы. На что мне был выдан ответ в стиле: "проблемы с вашей стороны".

[exchar]

Цитата

Сообщение от chenah

если напрямую подключить локальную сеть к модему - то программа начинает работать как нужно (в обе стороны).

нужно проверить, на какой хост сейчас стоит проброс порта на модеме

в том варианте, который вы хотите сделать, проброс с модема должен стоять на хост с керио

[chenah]

Цитата

Сообщение от exchar

нужно проверить, на какой хост сейчас стоит проброс порта на модеме
в том варианте, который вы хотите сделать, проброс с модема должен стоять на хост с керио

Пробросы на модеме мною были сделаны на несколько IP. (опять же - временно, для проверки). В том числе - и на хост с керио (на 192.168.0.254)
См. рис. "Проброс портов в модеме (фрагмент)"

p.s. Remote Host не ставил, т.к. у нас внешний (интернетовский) айпишник - статический.
Кстати, все перечисленные айпишники, т.е. 192.168.1.2, 192.168.0.35, 192.168.0.113, 192.168.0.254 - все они статические, т.е. вручную набитые).

[exchar]

Цитата

Сообщение от chenah

Пробросы на модеме мною были сделаны на несколько IP. (опять же - временно, для проверки). В том числе - и на хост с керио (на 192.168.0.254)
См. рис. "Проброс портов в модеме (фрагмент)"

p.s. Remote Host не ставил, т.к. у анс внешний (интернетовский) айпишник - статический.

для каждого уникального (номер порта + тип) порта на модеме нужно
1) оставить только один проброс
2) делать проброс на интерфейс керио 192.168.1.2

[exchar]

и вообще
в правиле "доступ из интернета - инет -> файерволл" зачем несколько портов мапятся в один единственный?

если данные должны на хост с программой приходить на отдельные порты, то для каждого такого порта должно быть сделано отдельное правило маппинга

[chenah]

Цитата

Сообщение от exchar

для каждого уникального (номер порта + тип) порта на модеме нужно
1) оставить только один проброс
2) делать проброс на интерфейс керио 192.168.1.2

Т.е. отдельно на TCP, и отдельно на UDP ?
А зачем тогда в модеме TCP+UDP ? ("TCP AND UDP")

[exchar]

Цитата

Сообщение от chenah

Т.е. отдельно на TCP, и отдельно на UDP ?
А зачем тогда в модеме TCP+UDP ?

может разрабы прошивки не заморачивались и сделали один режим tcp+udp
или там три режима: tcp, udp и совмещенный - чтобы не заморачивались пользователи
я ж этот модем не видел )

там еще [Для просмотра данной ссылки нужно зарегистрироваться] - сделано?

[chenah]

Цитата

Сообщение от exchar

может разрабы прошивки не заморачивались и сделали один режим tcp+udp или там три режима: tcp, udp и совмещенный - чтобы не заморачивались пользователи я ж этот модем не видел ) там еще ниже коммент был - сделано?

Еще раньше было сделано. См рис

[exchar]

Цитата

Сообщение от chenah

Еще раньше было сделано. См рис

я ж "еще раньше" и чуть другое писал:

Цитата

Сообщение от exchar

для каждого уникального (номер порта + тип) порта на модеме нужно
1) оставить только один проброс
2) делать проброс на интерфейс керио 192.168.1.2

делай.

[chenah]

Цитата

Сообщение от exchar

делай.

Так что ли ?
(см.рис.)
Но порты закрыты всё равно.

[exchar]

Цитата

Сообщение от chenah

Так что ли ?
(см.рис.)

да, так

Цитата

Сообщение от chenah

И опять таки остальные четыре порта программой используются внутри сети. Я их в политику трафика добавил на всякий случай. Для интернета программа использует только 4443

а собственно зачем остальные порты на модеме?

Цитата

Сообщение от chenah

Но порты закрыты всё равно.

в правилах керио сейчас то же самое только без предпоследнего правила?

[chenah]

Цитата

Сообщение от exchar

а собственно зачем остальные порты на модеме?

Временно. "На всякий пожарный". Потом уберу лишние.

Цитата

Сообщение от exchar

в правилах керио сейчас то же самое только без предпоследнего правила?

Всё. Заработало.
Оказывается, после всех манипуляций, надо было еще и разбить по пунктам, и вверх поднять. См. Рис.

Спасибо.

[exchar]

Цитата

Сообщение от chenah

Всё. Заработало.
Оказывается, после всех манипуляций, надо было еще и разбить по пунктам, и вверх поднять. См. Рис.

Спасибо.

атлична )

[chenah]

Цитата

Сообщение от exchar

атлична )

Нету кнопки "спасибо" =(

[exchar]

Цитата

Сообщение от chenah

Нету кнопки "спасибо" =(

да и шут с ней )