Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Доступ из одной подсети в другую

    Scheduled Pinned Locked Moved Russian
    76 Posts 5 Posters 15.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @oxigen1987
      last edited by Konstanti

      @oxigen1987 Вы меня об этом спрашиваете ????
      Вы настраиваете сеть, а не я
      а так да , именно оно разрешает все
      Применительно к Вашей ситуации , я бы сделал вот такое правило
      0_1538659892507_e44c2945-e136-44c5-a4c3-ac7cb371deda-image.png

      Это правило блокирует весь трафик от 74 хоста , если оно не для 10.10.10.1

      1 Reply Last reply Reply Quote 1
      • O
        oxigen1987
        last edited by

        0_1538660197914_666.png
        Немного непонятно это вот так должно выглядеть?

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @oxigen1987
          last edited by

          @oxigen1987 Нет
          это должно быть модифицированное первое правило ( второе в Вашем списке)
          Вам не сложно четко сформулировать ТЗ ?
          Вам надо чтобы хост 74 имел только доступ к 10.10.10.1 ?
          Тогда Вам надо
          вариант 1
          1 раззрешить весь весь трафик от хоста 74 к 10.1
          2 запретить весь остальной трафик для хоста 74
          итого будет 2 правила
          вариант 2
          1 запретить весь трафик от хоста 74 не для 10.1 (см мою картинку)
          итого 1 правило

          1 Reply Last reply Reply Quote 1
          • O
            oxigen1987
            last edited by

            Т.е. картина по 2 му варианту должна быть такой?
            0_1538661281185_555.png

            1 Reply Last reply Reply Quote 0
            • K
              Konstanti
              last edited by Konstanti

              Инверт отметили для 10.1?
              Там галочка рядом с 10.1 должна стоять

              1 Reply Last reply Reply Quote 1
              • O
                oxigen1987
                last edited by

                @konstanti said in Доступ из одной подсети в другую:

                Инверт отметили для 10.1?
                Там галочка рядом с 10.1 должна стоять

                0_1538677418629_555.png

                Это вот это?
                Простите а для чего он?

                1 Reply Last reply Reply Quote 0
                • O
                  oxigen1987
                  last edited by

                  Ох! Поставил и потерял даже доступ к шлюзу!!! И ничего не грузится!!!

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @oxigen1987
                    last edited by Konstanti

                    @oxigen1987 Так , стоп , спокойно
                    Восстановили доступ ?
                    Если нет , расскажите , что делали ???
                    Просто Вы вносите одновременно столько изменений , что я не успеваю за ходом Ваших мыслей
                    Вы создали только правило , которое блокирует весь трафик от CreoUsers ( не знаю что это в Вашем варианте) ко всему , кроме 10.10.10.1
                    Или еще что-то ? Что такое CreoView Users ?
                    Вы пробовали подключиться к шлюзу с других компов ?
                    С другой сети ?
                    На крайний случай , у Вас есть доступ к консоли шлюза ?
                    Или доступ к шлюзу по ssh ?

                    1 Reply Last reply Reply Quote 1
                    • O
                      oxigen1987
                      last edited by oxigen1987

                      Доступ восстановил из другой подсети.
                      CreoView Users там прописаны пользователи подсети 192.168.10.0/24.Которые будут иметь доступ к 10.10.10.1

                      1 Reply Last reply Reply Quote 0
                      • O
                        oxigen1987
                        last edited by oxigen1987

                        Так заново. Чудеса. Вчера все работало -сегодня нет. При доступе 192.168.10.74 к Server.corp.local (IP 10.10.10.1) - пишет в браузере
                        Не удается получить доступ к сайту
                        Не удается найти DNS address сервера server.corp.local.

                        Сейчас картина такая.
                        0_1538715550486_1111.png
                        CreoView Users там прописаны пользователи подсети 192.168.10.0/24.Которые будут иметь доступ к Server.corp.local (IP 10.10.10.1)
                        Нужно настроить таким образом чтобы

                        1. Некоторые пользователи из списка
                          CreoView Users (IP 192/168/10/0/24) имели доступ к Server.corp.local (IP 10.10.10.1/24) в браузере и не имели доступа к интернет
                        2. Некоторые пользователи из списка
                          CreoView Users (IP 192.168.10.0/24) имели доступ к Server.corp.local (IP 10.10.10.1/24) в браузере и имели выход в интернет

                        До этого всего доступ к интернету для подсети 192.168.10.0/24 регулировался так-
                        В SquidProxyServer (вкладка ACL) добавлялся IP, которому запрещается выход в интернет. Больше ничего

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @oxigen1987
                          last edited by Konstanti

                          @oxigen1987
                          Да , все понятно
                          Моя ошибка , дело в том , что правило с инвертом я советовал Вам в расчете на то , что останется правило разрешающее все . Сейчас его нет
                          Поэтому вариантов 2
                          1 Или вернуть правило - разрешить всем все ( что не есть хорошо)
                          2 Или вернуться к варианту 2-х правил
                          а. разрешить creousers доступ к 10.1
                          б. след пунктом запрещаем creousers все ( в этом случае к инету никто не будет иметь доступа)

                          1 Reply Last reply Reply Quote 1
                          • O
                            oxigen1987
                            last edited by

                            Вот так получается?
                            0_1538723130760_222.png

                            K 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @oxigen1987
                              last edited by

                              @oxigen1987 Поменяйте местами 2 и 3 правило
                              Там где block - Invert не нужен
                              Но , помните , в такой конфигурации доступ у CreoUsers только к 10.10.10.1 , к интернету доступа не будет

                              1 Reply Last reply Reply Quote 1
                              • O
                                oxigen1987
                                last edited by

                                Для того чтобы был доступ нужно будет создать другое правило так? Но уже без запрещающего?

                                1 Reply Last reply Reply Quote 0
                                • O
                                  oxigen1987
                                  last edited by

                                  Еще один момент.
                                  Правило работает, но браузер выдает ошибку

                                  Не удается получить доступ к сайту
                                  Не удается найти DNS address сервера server.corp.local.

                                  Настройки сетевой карты
                                  Ip 192.168.10.74
                                  Маска 255.255.255.0
                                  Шлюз 192.168.10.4
                                  DNS 192.168.10.1
                                  Альтернативный DNS 10.10.10.1

                                  Если я ставлю следующее
                                  Ip 192.168.10.74
                                  Маска 255.255.255.0
                                  Шлюз 192.168.10.4
                                  DNS 10.10.10.1

                                  server.corp.local - доступен и работает, но не работает сетевой широкоформатный плоттер

                                  K 1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @oxigen1987
                                    last edited by Konstanti

                                    @oxigen1987
                                    Поясняю
                                    Альтернативный ДНС нужен тогда , когда основной не доступен
                                    Получается , что основной доступен 192.168.10.1 ,и он говорит , я ничего не знаю про windchill и вылезает ошибка
                                    опять же вариантов 2
                                    1 Настроить ДНС 192.168.10.1 ,чтобы он знал , про Server.corp.local
                                    или
                                    2 Настроить ДНС 10.10.10.1 , чтобы он знал про плоттер
                                    По поводу правил
                                    Добавление разрешить все ситуацию не изменит
                                    По-моему , надо группу Creo делить на 2
                                    Одна , у которой есть доступ к 10.10.10.1
                                    Вторая, у которой есть доступ к 10.10.10.1 и интернету
                                    И уже для каждой группы настраивать правила и squid , если надо

                                    1 Reply Last reply Reply Quote 1
                                    • O
                                      oxigen1987
                                      last edited by

                                      Подскажите где посмотреть как настроить пункт 1

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @oxigen1987
                                        last edited by

                                        @oxigen1987 Увы , тут я Вам не помощник
                                        а не проще вбивать в строке браузера вместо имени сразу ip адрес ?
                                        или путь к плоттеру прописывать не по имени а тоже по ip ?

                                        1 Reply Last reply Reply Quote 1
                                        • O
                                          oxigen1987
                                          last edited by

                                          @konstanti said in Доступ из одной подсети в другую:

                                          а не проще вбивать в строке браузера вместо имени сразу ip адрес

                                          Да, но после авторизации он автоматически подменяет его на server.corp.local....

                                          K 1 Reply Last reply Reply Quote 0
                                          • K
                                            Konstanti @oxigen1987
                                            last edited by

                                            @oxigen1987 а путь к плоттеру нельзя прописать по ip ?

                                            1 Reply Last reply Reply Quote 1
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.