Проблемы с настройкой Gmail и FTP

[AkeellA]

* Керио Версия 7.4.2
* Присутствует сеть с АД (10.178.14.128) - его не используем см.ниже
* Подключение юзверов через локальную бд пользователей в Керио(пользователю присвоили ip, имя и добавили в группу)
* Используем непрозрачный прокси без аутентификации

1. на инет долбятся все компы (10.178.14.2-10.178.15.254) минуя наш список пользователей, как сделать чебы долбились пользователи из списка бд керио?
2. the bat c gmail настройками стоит на пользователе SQL (отдельная машина в сети), как прокинуть the bat через керио?
3. имеем внешний FTP(подключения будут иметь только некоторые юзверы с бд керио) с ним беда такая же как и с почтой

[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]

1. Нужно создать группу инет и кто в ней будут ходить в инет. 2. Тут два правила нужно, первое машине с почтарем будет разрешать ходить за почтой второе будет локальным юзерам разрешать ходить на машину с почтарем или нужно из вне?, не совсем понятно у вас сформулировано. С фтипи аналогично правилу почтаря, и служб настройки вы не представили а назвать можно как угодно.

[AkeellA]

Цитата

Сообщение от _dweller_

1. Нужно создать группу инет и кто в ней будут ходить в инет. 2. Тут два правила нужно, первое машине с почтарем будет разрешать ходить за почтой второе будет локальным юзерам разрешать ходить на машину с почтарем или нужно из вне?, не совсем понятно у вас сформулировано. С фтипи аналогично правилу почтаря, и служб настройки вы не представили а назвать можно как угодно.

Вот такие правила создал сейчас - почта молчит(клиент почты на 10.178.14.201)
зы изначально не прикрепились скрины
[Для просмотра данной ссылки нужно зарегистрироваться]

[naliman]

1. коль вы создали пользователей в керио и присвоили им IP, то вам осталось включить авторизацию и пускать в интернет только авторизованых и только тех кого надо
если в этом задача
2. отдельный комп для забора почты откуда-то из интернетов?
если да - для него отдельное правило с NAT
через непрозрачный прокси работать не будет
3. непрозрачный прокси только для HTTP, хотите FTP - забейте на непрозрачный прокси

и вообще зачем непрозрачный прокси если всё то же самое можно сделать через прозрачный (NAT) но без зоморочек с настройками пользовательских браузеров???
а судя по скриншотам, в правиле "доступ в интернет" включен NAT, что делает непрозрачный прокси на 8080 порту бессмысленным и ненужным

[naliman]

Цитата

Сообщение от AkeellA

Вот такие правила создал сейчас - почта молчит

ipconfig с клиента(ов) показывай

[AkeellA]

Цитата:

Сообщение от naliman

ipconfig с клиента(ов) показывай

[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]

Добавлено через 8 минут

Цитата:

Сообщение от naliman

1. коль вы создали пользователей в керио и присвоили им IP, то вам осталось включить авторизацию и пускать в интернет только авторизованых и только тех кого надо
если в этом задача
2. отдельный комп для забора почты откуда-то из интернетов?
если да - для него отдельное правило с NAT
через непрозрачный прокси работать не будет
3. непрозрачный прокси только для HTTP, хотите FTP - забейте на непрозрачный прокси

и вообще зачем непрозрачный прокси если всё то же самое можно сделать через прозрачный (NAT) но без зоморочек с настройками пользовательских браузеров???
а судя по скриншотам, в правиле "доступ в интернет" включен NAT, что делает непрозрачный прокси на 8080 порту бессмысленным и ненужным

1. да, пускаем только авторизованых (ну как авторизированных=)) типо по ип адресу и по прописанному прокси в браузере)
2. отдельный комп для почты на нем стоит сортировщик по сети и прочая херь, берет с gmail.com почту (протоколы smpt\pop 465\995)
3. на непрозрачный прокси не можем забить, т.к. шлюз нашего домена нам нужен и нет ризона менять его на шлюз керио
в том и была суть сделать авторизацию по бд керио и всего вбить проксю в настройках клиентов
зы да непрозрачный развернут на порт 8080

[naliman]

Цитата

Сообщение от AkeellA

1. да, пускаем только авторизованых (ну как авторизированных=)) типо по ип адресу и по прописанному прокси в браузере)

этим способен заниматься сам керио
- непрозрачный прокси - отключаете
- настройки в браузерах всем убираете
- всем шлюз - керио
- создаёте группу пользователей "интернет разрешен", в неё включаете всех кому "можно", но в пользовательские группы к сожалению нельзя включать другие группы, однако группы ИП-адресов такое позволяют, что удобно
- в правиле трафика указываете эту группу, в дальнейшем "играетесь" только членством в группе, правило трафика не трогаете

поскольку каждому пользователю ассоциирован IP-адрес его компа, то дополнительных манипуляций не нужно, керио пустит "разрешенный" ИП (т.е. пользователя) в инторнеты и посчитает на него статистику

Цитата

Сообщение от AkeellA

2. отдельный комп для почты на нем стоит сортировщик по сети и прочая херь, берет с gmail.com почту (протоколы smpt\pop 465\995)

для этого компа делаете отдельное правило в политиках трафика
всё как и для пользователей, сначала можно разрешить весь трафик, потом помониторить что ему конкретно надо и оставить только это

Цитата

Сообщение от AkeellA

3. на непрозрачный прокси не можем забить, т.к. шлюз нашего домена нам нужен и нет ризона менять его на шлюз керио

тогда всё вышенаписаное перестаёт играть роль и у вас не будет ни FTP и почты, можете про них забыть
непрозрачный прокси работает только с http

но объясните зачем вам шлюз вашего домена???
если осуществляется маршрутизация между разными локальными сетями, то это решается на раз-два
вполне вероятно что поменять шлюз на керио вы можете безболезненно

[AkeellA]

Цитата

но объясните зачем вам шлюз вашего домена???

Цитата

если осуществляется маршрутизация между разными локальными сетями, то это решается на раз-два
вполне вероятно что поменять шлюз на керио вы можете безболезненно

Так, убрали непрозрачный прокси - включили NAT - поставили основной шлюз керио у юзверов и зодно перенастроили почтовик
Итог - инет пашет - почта принимает с гугла - внешний ФТП пашет
Шлюз нужен для ФТП и связи с другими подсетями например 10.178.0.0 и т.д.
Минус отвалился локальный ФТП сервак для которого нужен был шлюз 10.178.14.1 про что я и говорил
Осталось его как-то перенаправить =)

[naliman]

Цитата

Сообщение от AkeellA

Так, убрали непрозрачный прокси - включили NAT - поставили основной шлюз керио у юзверов и зодно перенастроили почтовик

и правильно сделали

Цитата

Сообщение от AkeellA

Итог - инет пашет - почта принимает с гугла - внешний ФТП пашет

эврика!

Цитата

Сообщение от AkeellA

Минус отвалился локальный ФТП сервак для которого нужен был шлюз 10.178.14.1 про что я и говорил

это ерунда

Цитата

Сообщение от AkeellA

Шлюз нужен для ФТП и связи с другими подсетями например 10.178.0.0 и т.д.

Цитата

Сообщение от AkeellA

Осталось его как-то перенаправить =)

варианты:
1. маршрут на конкретный хост (на клиенте)

на всех кому этот ФТП нужен - прописать статический маршрут
route add -p IP_FTP MASK GATE
предположим фтр с адресом 10.11.12.13 в сети с маской 255.255.255.0
тогда вам надо в CMD писать это:
route add -p 10.11.12.13 mask 255.255.255.0 10.178.14.1

2. маршрут на конкретную сеть (на клиенте)

поскольку стало известно что "там есть другие подсети", то лучше запилить маршрут на все подсети которые "там" где то у вас за доменным шлюзом

route add -p NET_IP NET_MASK GATE

для сети 10.178.0.0 с маской 255.255.255.0 будет так:
route add -p 10.178.0.0 mask 255.255.255.0 10.178.14.1


4. маршрут "на все подсети разом" (на клиенте)

ЕСЛИ ВСЕ подсети "там" имеют адресацию 10.*.*.*
то один маршрут на всех:
route add -p 10.0.0.0 mask 255.0.0.0 10.178.14.1



смысл думаю понятен:
маршрут описывает адресное пространство (конкретный хость или сеть или много сетей) и указывает через какой шлюз должны бегать пакетики для этого пространства

3. прописать этот маршрут в керио

либо так же, в винде, через cmd
либо в админке керио

плюсы - не надо трогать клиентские компы
минусы - это будет нагружать локальный интерфейс дополнительным транзитным трафиком и тут надо будет глядеть на интенсивность этого трафика, на загруженность интерфейса и самого сервера керио

[naliman]

ЗЫ
я так понял, что вашей "конторе" сетевая инфраструктура предоставляется некей другой организацией, а возможно и каким то "оператором сети", который за это немножечко получает от всех "клиентов" денежек
?????
иначе, если вы "отдел" в организации, то зачем вам "свой интернет" с отдельным от всех шлюзом??

непонятно

[AkeellA]

Цитата:

Сообщение от naliman

поскольку стало известно что "там есть другие подсети", то лучше запилить маршрут на все подсети которые "там" где то у вас за доменным шлюзом[/U]

route add -p NET_IP NET_MASK GATE

для сети 10.178.0.0 с маской 255.255.255.0 будет так:
route add -p 10.178.0.0 mask 255.255.255.0 10.178.14.1


4. маршрут "на все подсети разом" (на клиенте)

ЕСЛИ ВСЕ подсети "там" имеют адресацию 10.*.*.*
то один маршрут на всех:
[I]route add -p 10.0.0.0 mask 255.0.0.0 10.178.14.1

прописали маршрут для локального ФТП
route add -p 10.0.0.0 mask 255.0.0.0 10.178.14.1
нет результата
не пингует сеть (естественно выхода на фтп нет)

прописывали конкретный маршрут для ФТП с маской - результат такой же


зы Проканал вариант с добавление маршрутя для конкретной подсети - вариант 2
Благодарю

[naliman]

AkeellA, странно, возможно ошибка в адресе или маске

Цитата

Сообщение от AkeellA

Благодарю

да незашта