Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Доступ из одной подсети в другую

    Scheduled Pinned Locked Moved Russian
    76 Posts 5 Posters 15.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @oxigen1987
      last edited by

      @oxigen1987 Кроме того , что сервер windchill , вы никаких вводных не дали
      Нельзя узнать про его настройки у тех , кто его устанавливал и настраивал ?
      Вещь сложная , можно поломать всю работу предприятия

      1 Reply Last reply Reply Quote 1
      • P
        pigbrother @oxigen1987
        last edited by

        @oxigen1987 said in Доступ из одной подсети в другую:

        Если не трудно киньте ссылку

        Ссылку на что?
        Если сервер на Windows - просто для теста временно отключите брандмауэр
        Если это iptables - что вроде
        https://i-notes.org/centos-iptables-otkryt-dostup-k-serveru-dlya-podseti
        https://losst.ru/nastrojka-iptables-dlya-chajnikov

        1 Reply Last reply Reply Quote 0
        • O
          oxigen1987
          last edited by

          Брандмауер отключен. Что самое интересное 10.10.10.1 пингуется из 192.168.10.74.
          Для доступа к web морде Windchill (конструкторская программа) необходимо вводить в браузере "Server.corp.locall\Windchill". При таком варианте браузер пишет
          "Не удается получить доступ к сайту
          Не удается найти DNS address сервера server.corp.local."

          K P 2 Replies Last reply Reply Quote 0
          • K
            Konstanti @oxigen1987
            last edited by Konstanti

            @oxigen1987 какой адрес у днс сервера , где стоит windchill и конструкторов ?
            настройте тот же днс сервер на хосте , которому нужен доступ из другой подсети
            проверьте , будет ли в такой случае пинг
            ping на Server.corp.local ( именно на Server.Corp.local)
            что будет , если в строке браузере вместо Server.Corp.local явно указать
            адрес 10.10.10.1\Windchill ?
            Ваша проблема в том , что вы даете информацию кусками
            Здесь нет экстрасенсов , угадать , что и как у Вас настроено очень сложно

            1 Reply Last reply Reply Quote 1
            • P
              pigbrother @oxigen1987
              last edited by

              @oxigen1987 said in Доступ из одной подсети в другую:

              "Не удается получить доступ к сайту
              Не удается найти DNS address сервера server.corp.local."

              То есть нужный сервер пингуется из другой сети? Тогда firewaall\iptables не при чем.

              @konstanti said in Доступ из одной подсети в другую:

              какой адрес у днс сервера

              Опередили. Явная проблема с ДНС.

              1 Reply Last reply Reply Quote 0
              • O
                oxigen1987
                last edited by oxigen1987

                Указал второй ДНС 10.10.10.1.
                На самом сервере подсети 10.10.10.1 в домене добавил такого же пользователя с таким же паролем, как и того который в 192.168.10.74
                Зашел в свойства компьютера (т.е. сервера) во вкладке удаленный доступ, кнопка выбрать пользователей, указал пользователя которого создал.

                Только одно НО! Если я добавляю пользователя 192.168.10.74, в проксе (список ACL ). Т.е. запрещаю выход в интернет, то доступа к Server.Corp.local НЕТ!
                Подскажите как запретить доступ к интернету и чтоб работал Server.Corp.local

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @oxigen1987
                  last edited by Konstanti

                  @oxigen1987 Так вы же создавали правило , чтобы он имел доступ только к 10.10.10.1 . Оно существует ???
                  Покажите пож настройки acl proxy для blacklist
                  я правильно понимаю , что Вы блокируете всем кто включен в ACL доступ по порту 80 и 443 на интерфейсе LAN ??
                  Можно не мучаться и не добавлять этого пользователя в ACL
                  а разрешить ему в правилах доступ только к 10.10.10.1 (к примеру , порты 80,443,53)
                  Или создать ACL разрешающий доступ к 10.10.10.1

                  1 Reply Last reply Reply Quote 1
                  • O
                    oxigen1987
                    last edited by

                    0_1538649437401_888.png

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @oxigen1987
                      last edited by Konstanti

                      @oxigen1987
                      В теории я бы сделал так ( не знаком со squid хорошо)
                      в squid
                      1 создал бы whitelist где разрешил бы доступ всем доступ к 10.10.10.1
                      2 создал бы blacklist , который блокировал бы все что нужно Вам
                      очередность правил acl важна
                      3 на интерфейсе lan оставил бы правило , разрешающее доступ к 10.10.10.1 от того хоста , которому нужен доступ
                      те была бы связка firewall + squid на портах 80,443
                      в теории тогда бы ,когда хост 192.168.10.74 обращался бы к 10.10.10.1 через браузер
                      он бы был пропущен firewall-ом и squid

                      1 Reply Last reply Reply Quote 1
                      • O
                        oxigen1987
                        last edited by oxigen1987

                        Создать еще один White list насколько я знаю невозможно.
                        Смысл сквида такой. Пользователи, которые не в Banned list имеют доступ к интернету, но только если прописан шлюз. Либо в браузере, либо в свойствах сетевой карты

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @oxigen1987
                          last edited by

                          @oxigen1987 Хорошо , задам вопрос так
                          куда делось правило , разрешающее 192.168....74 доступ к 10.10.10.1 ???
                          если оно живо , то зачем еще 74 хост включать в acl squid ?
                          если и так у Вас этот хост никуда больше доступа не имеет

                          1 Reply Last reply Reply Quote 1
                          • O
                            oxigen1987
                            last edited by

                            0_1538659373818_777.png

                            K 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @oxigen1987
                              last edited by

                              @oxigen1987 Настоятельно рекомендую правила в порядок привести
                              Согласно этой таблице вся сеть 192.168.10.0 кроме POST users имеет доступ ко всему ( т е не имеет ограничений на интерфейсе lan)

                              1 Reply Last reply Reply Quote 1
                              • O
                                oxigen1987
                                last edited by

                                Может последнее правило удалить?

                                K 1 Reply Last reply Reply Quote 0
                                • K
                                  Konstanti @oxigen1987
                                  last edited by Konstanti

                                  @oxigen1987 Вы меня об этом спрашиваете ????
                                  Вы настраиваете сеть, а не я
                                  а так да , именно оно разрешает все
                                  Применительно к Вашей ситуации , я бы сделал вот такое правило
                                  0_1538659892507_e44c2945-e136-44c5-a4c3-ac7cb371deda-image.png

                                  Это правило блокирует весь трафик от 74 хоста , если оно не для 10.10.10.1

                                  1 Reply Last reply Reply Quote 1
                                  • O
                                    oxigen1987
                                    last edited by

                                    0_1538660197914_666.png
                                    Немного непонятно это вот так должно выглядеть?

                                    K 1 Reply Last reply Reply Quote 0
                                    • K
                                      Konstanti @oxigen1987
                                      last edited by

                                      @oxigen1987 Нет
                                      это должно быть модифицированное первое правило ( второе в Вашем списке)
                                      Вам не сложно четко сформулировать ТЗ ?
                                      Вам надо чтобы хост 74 имел только доступ к 10.10.10.1 ?
                                      Тогда Вам надо
                                      вариант 1
                                      1 раззрешить весь весь трафик от хоста 74 к 10.1
                                      2 запретить весь остальной трафик для хоста 74
                                      итого будет 2 правила
                                      вариант 2
                                      1 запретить весь трафик от хоста 74 не для 10.1 (см мою картинку)
                                      итого 1 правило

                                      1 Reply Last reply Reply Quote 1
                                      • O
                                        oxigen1987
                                        last edited by

                                        Т.е. картина по 2 му варианту должна быть такой?
                                        0_1538661281185_555.png

                                        1 Reply Last reply Reply Quote 0
                                        • K
                                          Konstanti
                                          last edited by Konstanti

                                          Инверт отметили для 10.1?
                                          Там галочка рядом с 10.1 должна стоять

                                          1 Reply Last reply Reply Quote 1
                                          • O
                                            oxigen1987
                                            last edited by

                                            @konstanti said in Доступ из одной подсети в другую:

                                            Инверт отметили для 10.1?
                                            Там галочка рядом с 10.1 должна стоять

                                            0_1538677418629_555.png

                                            Это вот это?
                                            Простите а для чего он?

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.