Двач, помоги разобраться в ебучем kerio control. В фирме стоит эта хуйня на сервере, который одновременно шлюз, терминальный сервер и сервер 1С, к которому через remote desktop подключаются пользователи и работают в 1C.Суть в том, что человек, который это настраивал, был уволен с большим скандалом и проблемами, поэтому у него ничего спросить не выйдет, он нихуя не расскажет. Каким-то образом настроено всё так, что удалённо к этому серверу можно подключаться только с определённых айпишников. После того, как мне удалось сбросить пароль к вебморде этой хуйни, я зашёл туда, посмотрел на правила, логически прикинул, какое правило отвечает за список разрешённых адресов и добавил туда ещё два штуки. С одного начало прекрасно подключаться сразу, а с другого не могу подключиться нихуя, хоть ты уебись. Собственно, на пике скриншот из правил трафика. Айпишники замазал, но не суть.А, есть ещё момент. Адрес сервера, получаемый от провайдера - A.A.A.B, адрес, с которого невозможно подключиться - A.A.A.C, то есть интернет от того же самого провайдера, отличается только последняя цифра. Другой добавленный адрес, с которого можно подключиться - A.A.D.E, провайдер тот же, но отличается ещё и предпоследняя. Может ли быть дело в этом?
Какие-нибудь идеи есть? Я-то эту хуйню в первый раз в жизни вижу вообще. Из того, что нагуглил - все используют либо встроенный в него vpn, либо просто нет такой проблемы, как удалённое подключение к самому шлюзу, все настраивают проброс портов через керио.
>>2053000 (OP)>человек, который это настраивал, был уволен с большим скандалом>Я-то эту хуйню в первый раз в жизни вижу вообщеЯ бы для начал объяснил начальству, что вы в жопе. Мало того что у вас сейчас отказоустойчивость нулевая и любой пук выводит вас из строя на сутки и более, так плюс у вас инфраструктура скомпрометирована и можно ожидать бэкдорчиков-таймбомоб в самых разных позах. Думать надо о штате, ёпт, а не скандалить как в детсаде.Теперь по сути: размазывай свои кирпичи, хотя бы последние два октета. Логики в твоих картинках не вижу, остаются одни вангования. Начни с рисования структуры сети. Судя по всему у вас есть внутренняя локалка, и если второй комп идёт в инет из неё, то надо добавлять в нат правило по завтороту пакетов. Либо подключаться к внутреннему интерфейсу по внутреннему ип.
>>2053006В сервере две сетевые карты, в одну воткнут провод от провайдера, из другой провод уходит в коммутатор. Из локалки никаких проблем с подключениями к серверу нет, есть проблема только при подключении извне. На 140.6 в первом правиле заканчивается внешний айпишник сервера, на 25.162 и 82.183 - филиалы. Все три адреса уже были забиты, я их не трогал. 133.68 - один из добавленных мной адресов, с которого подключение возможно, на 140.72 оканчивается второй из добавленных мной адресов, с которого подключиться нельзя. Более того, с сервера и к нему подключиться нельзя (на нём находится ftp-сервер, но он нам сейчас не нужен и неинтересен никак).Во втором правиле полузамазанный айпишник - домашний айпишник уволенного сотрудника, его туда добавили, чтобы он не мог из дома попасть на сервер, ололо. Логика этого решения мне не очень понятна, но тем не менее. Также за каким-то хуем сюда прописаны два айпишника из локалки, причём ни один из них не занят, нахуя они нужны - мне тоже непонятно.Собственно, задача состоит в том, чтобы можно было подключаться к серверу с 140.72 и с любого добавленного потом адреса, сейчас нас интересует непосредственно 140.72.
>>2053011>В сервере две сетевые карты, в одну воткнут провод от провайдераОхуительно просто - рабочий сервак голой жопой в инет торчит.
>>2053015Более чем охуительно, да. Я хотел пидорнуть нахуй это керио и поставить в офис и филиалы по микротику, которые будут связываться между собой посредством vpn, но мои идеи послали нахуй и сказали "работает - не трогай, умный человек настраивал". Ну я и забил хуй. Бэкапы делаю, а дальше не моя проблема. Наебнётся - скажу "а я предупреждал, блядь". Они думают, что если разрешить подключение с нескольких адресов - это их спасёт от всех проблем. Ну пусть пока думают, авось после пары пиздецов начнут соображать.Сейчас мне надо настроить подключение с адреса 140.72. Есть идеи, как этого добиться?
>>2053019Я бы на твоем месте, для начала посмотрел, что не так с компом, на котором IP 140.72. Ну, в логах-то этого керио он хоть появляется? Если его там и нет, то проблема не в керио))
>>2053019>умный человек настраивалПочему ты не пояснил что настраивал-то дебил, ты что - омежка?
>>2053019>Наебнётся - скажу "а я предупреждал, блядь".Не скажешь. А вот если ты служебку напишешь и гендир откажется в приобретении. Тогда сможешь указать.
>>2053000 (OP)>суп двощ я мамкен сисьадмен 300кк\сек>могу зайти в вебморду роутера из зеленого интерфейса, не могу с красного, что делатьПиздец, и как таких дегенератов только на работу берут.
>>2053015>Охуительно просто - рабочий сервак голой жопой в инет торчит. А че бы ему не торчать, если этот сервак это фаервол?
>>2053019>мои идеи послали нахуй и сказали "работает - не трогай, умный человек настраивал"Правильно сказали.
>>2053324А ты посмотри исходные данные, чучело ебаное. На этом "серваке" крутится все. Вообще все.
абыр
>>2053000 (OP)>Суть в том, что человек, который это настраивал, был уволен с большим скандалом и проблемамиНе Антон?
>>2053315Читал ты жопой, да? Я же конкретно указал, что в одно правило были добавлены два белых статических IP, но с одного прекрасно можно подключиться и зайти на сервер, а со второго даже подключиться нельзя, причём совершенно непонятно почему. Тем более, я с керио-хуерио никогда не работал, я всегда делал через микротики с головным офисом, никогда не было проблем. Но переделывать никто ничего не хочет.>>2053024В логах ничего нет, лол. Я включил учёт для первого правила, в котором указаны разрешённые адреса, логи пустые, блядь, как лысина моего давно почившего дедушки. Вообще нихуя нет. Может, где-то ещё надо логи включить, чтобы что-то увидеть?Для теста добавил в правило ещё один адрес, с него подключился совершенно спокойно, никаких проблем вообще. Может быть такое, что не работает потому, что айпишники из одного диапазона и керио как-нибудь странно на такое реагирует?
>>2053521Может у тебя этот ip в двух списках находится? Или там разрешены определенный порты, протоколы?мимодиван
>>2053523Да нет, только в одном правиле прописан этот адрес, вместе с другими разрешёнными. Больше нигде его не встречается. Другие-то в этом же правиле спокойно подключаются и заходят.
>>2053525Иди уже нахуй, дебил омежный.
>>2053521Я этот Керио в глаза не видел, но чот сомневаюсь, что там настолько хуйня, что IP с одного диапазона не подключаются. Скорей всего дело в компе с которого подключаешься. Другой комп с этого IP есть возможность подключить?
>>2053000 (OP)Уволен был не тот анон который не хотел заводить аккаунт гмейл и пользоваться виндой7
>>2053664Лол.>>2053000 (OP)Ты как маленький.1) Кто с 140.72 пытается подключиться? Если ты, то проверь, что пытаешься подключиться по правильному адресу/порту. Если тетя Срака бухгалтер, то пиздани её с насеста и попробуй подключиться сам (быстрее будет, чем выяснять, всё ли она делает правильно).2) Проверь настройки файрвола на 140.72.3) Возьми логи с 140.72. Возьми логи с сервера. Посмотри, приходят ли на сервер пакеты. Посмотри, что получает клиент. Сравни, подумай.И карту сети нарисуй, блядь, а не на словах.
>>2053476Смотрите, мамкин сисодмен 300кк/сек. порвался, который только в топ конторах работал и не знает, как оно в малом бизнесе. Такая схема с проксей, 1С и файлопомойкой в одном в 80% рус. контор.Я не говорю, что это норма, но хуле драму то тут разыгрывать?Тот анон верно сказал, схуяли ему в инет то не торчать, если он фаерволом является
>>2053000 (OP)Привет, анон, с Керио приходилось работать, не скажу с точки зрения уязвимостей да и тебя это вряд ли волнует, я так понимаю, с точки зрения настройки, он пиздецки простой.Чуда не жди, тут экстасенсы не сидят, иди кури мануалы, логи, посмотри вообще пакеты с ..140.72 приходят? Начни с этого.Второе правило с ..204.152 не имеет смысла, т.к. последнее правило блокирует трафик. Так же с 192.168.0.115В поле служба у тебя ничего не настроено, заебень туда нужные порты, остальные последним правилом будут закрыты.Нахуя у тебя VPN туннели разрешены, например?Возьми и настрой хотя бы контроль трафика сам, это реально доступно и просто через веб морду в керио делается. Настроив сам, начнёшь понимать и разберешься в чём у тебя трабла с ..140.72.Правила с открытыми портами создавай отдельно, например правило для сбиса в котором указаны нужные порты (а ещё лучше с ip дестенейшн хостов). По человечески настрой, самому же потом ебаться не придётся.
>>2053709> Кто с 140.72 пытается подключиться?Я и пытался. С той стороны всё прекрасно, на всё остальное подключается прекрасно, к 140.72 тоже проблем с подключением нет и никогда не было.>>2053742> логиЛоги пусты, которые в керио.> вообще пакеты с ..140.72 приходят? Лолнет, оказывается даже трассировки нет. Причём, подключил свой ноут вместо сервера на приходящий кабель, нихуя не работает. На середине маршрута трассировка умирает и дальше ничего не идёт. Буду ебать провайдера, похоже, что они виноваты, а не керио. В керио добавил третий адрес, с него подключилось тоже заебись, правила настроены более-менее верно.>>2053743Это всё было уже так настроено, когда я туда залез. Вот и пусть будет, хуй бы с ним. Не хочу лишний раз ничего трогать.
>>2053709>>2053947>проигнорировал остальные советыЯсно.
>>2053956Что ясно-то? Перенастраивать всё с нуля я не буду, работало так - вот и пусть работает. Карту нарисовал, хули толку-то с неё?Судя по тому, что к компьютеру без керио (ноутбуку) со 140.72 подключиться тоже нельзя, проблема не в керио нихуя, как я изначально думал, а в маршрутизации у провайдера.
>>2053961>проблема не в керио нихуяА в ДНК.Нахуй теперь иди.
>>2053947>Это всё было уже так настроено, когда я туда залез. Вот и пусть будет, хуй бы с ним. Не хочу лишний раз ничего трогать.Не будь быдлоадмином, настрой блять контроль трафика. У тебя юзеры из сети ходят по всем портам куда угодно, подключают туннели в твою сеть, ебут и в хвост, и в гриву твою "безопасность", и даже небо, и даже самого аллаха.У тебя продукт, в котором до ебени функций, крути-верти как хочешь. У у тебя ВСЁ, что там настроено - это, блядь, первое правило, разрешающее ходить с определённых ip (все остальные правила дефолтовые).Не умный человек там настраивал проксю твою, а такой же распиздяй, как ты, но ты ещё и разобраться с ним не хочешь. У тебя, бляд, даже логи не работают, что случись - вот как ты будешь разбираться? Впердолился в свой микротик, ничего больше познавать не хочешь.Тьфу на тебя, Алексей Навальный (c)
>>2054013У тебя каникулы не рановато начались, школотун?
ОП, ты пиздец, а не обслуга. На микротах он, блядь, настраивал. Так же настраиваешь, нихуя не понимая в правилах и в их очерёдности? "Надо Васе на сервер - открою ему всё!" Логов, он, блядь, не видит. Проанализировать ни на исходящей, ни на принимающей, стороне, нихуя не может. Это какой-то... позор.
>>2053000 (OP)>1C на шлюзе>был уволен с большим скандалом и проблемамиВсе правильно сделали.
>>2053742>>2054020>>2056718ОП, если ты ещё здесь, тебе дело говорят. В то время как ойти индустрия шагает вперед, ты не хочешь разбираться с основами основ, хотя бы тупо настроив правила на фаерволе.
>>2053733Чаю этому.ОП, создай временное правило "разрешить: любой - любой". если не поможет может дело не в керио? например может ftp привязан к интерфейсу, и с внешнего не обслуживаеться? Верней, если можно конечно, то останови службу керио. И еще включи логи (на время настройки), на нижнем правиле, которое все запрещает, так тебе легче будет настраивать.
>>2057361радуйся что там контроллера домена нет, или есть? дохуя таких аутсерсю, один сервер что бы... не платить за другие. хотя ща да, можно все уже аппаратно виртуализировать, с минимум накладных.
>>2053476>На этом "серваке" крутится все. Вообще все. Ну и пусть крутится, изоляция, не не слышол?
>>2053664>который не хотел заводить аккаунт гмейлПотому что гмейл это госдеп?
