Доступ из одной подсети в другую

oxigen1987

Немного непонятно это вот так должно выглядеть?

Konstanti

@oxigen1987 Нет
это должно быть модифицированное первое правило ( второе в Вашем списке)
Вам не сложно четко сформулировать ТЗ ?
Вам надо чтобы хост 74 имел только доступ к 10.10.10.1 ?
Тогда Вам надо
вариант 1
1 раззрешить весь весь трафик от хоста 74 к 10.1
2 запретить весь остальной трафик для хоста 74
итого будет 2 правила
вариант 2
1 запретить весь трафик от хоста 74 не для 10.1 (см мою картинку)
итого 1 правило

oxigen1987

Т.е. картина по 2 му варианту должна быть такой?

Konstanti

Инверт отметили для 10.1?
Там галочка рядом с 10.1 должна стоять

oxigen1987

@konstanti said in Доступ из одной подсети в другую:

Инверт отметили для 10.1?
Там галочка рядом с 10.1 должна стоять

Это вот это?
Простите а для чего он?

oxigen1987

Ох! Поставил и потерял даже доступ к шлюзу!!! И ничего не грузится!!!

Konstanti

@oxigen1987 Так , стоп , спокойно
Восстановили доступ ?
Если нет , расскажите , что делали ???
Просто Вы вносите одновременно столько изменений , что я не успеваю за ходом Ваших мыслей
Вы создали только правило , которое блокирует весь трафик от CreoUsers ( не знаю что это в Вашем варианте) ко всему , кроме 10.10.10.1
Или еще что-то ? Что такое CreoView Users ?
Вы пробовали подключиться к шлюзу с других компов ?
С другой сети ?
На крайний случай , у Вас есть доступ к консоли шлюза ?
Или доступ к шлюзу по ssh ?

oxigen1987

Доступ восстановил из другой подсети.
CreoView Users там прописаны пользователи подсети 192.168.10.0/24.Которые будут иметь доступ к 10.10.10.1

oxigen1987

Так заново. Чудеса. Вчера все работало -сегодня нет. При доступе 192.168.10.74 к Server.corp.local (IP 10.10.10.1) - пишет в браузере
Не удается получить доступ к сайту
Не удается найти DNS address сервера server.corp.local.

Сейчас картина такая.

CreoView Users там прописаны пользователи подсети 192.168.10.0/24.Которые будут иметь доступ к Server.corp.local (IP 10.10.10.1)
Нужно настроить таким образом чтобы

Некоторые пользователи из списка
CreoView Users (IP 192/168/10/0/24) имели доступ к Server.corp.local (IP 10.10.10.1/24) в браузере и не имели доступа к интернет
Некоторые пользователи из списка
CreoView Users (IP 192.168.10.0/24) имели доступ к Server.corp.local (IP 10.10.10.1/24) в браузере и имели выход в интернет

До этого всего доступ к интернету для подсети 192.168.10.0/24 регулировался так-
В SquidProxyServer (вкладка ACL) добавлялся IP, которому запрещается выход в интернет. Больше ничего

Konstanti

@oxigen1987
Да , все понятно
Моя ошибка , дело в том , что правило с инвертом я советовал Вам в расчете на то , что останется правило разрешающее все . Сейчас его нет
Поэтому вариантов 2
1 Или вернуть правило - разрешить всем все ( что не есть хорошо)
2 Или вернуться к варианту 2-х правил
а. разрешить creousers доступ к 10.1
б. след пунктом запрещаем creousers все ( в этом случае к инету никто не будет иметь доступа)

oxigen1987

Вот так получается?

Konstanti

@oxigen1987 Поменяйте местами 2 и 3 правило
Там где block - Invert не нужен
Но , помните , в такой конфигурации доступ у CreoUsers только к 10.10.10.1 , к интернету доступа не будет

oxigen1987

Для того чтобы был доступ нужно будет создать другое правило так? Но уже без запрещающего?

oxigen1987

Еще один момент.
Правило работает, но браузер выдает ошибку

Не удается получить доступ к сайту
Не удается найти DNS address сервера server.corp.local.

Настройки сетевой карты
Ip 192.168.10.74
Маска 255.255.255.0
Шлюз 192.168.10.4
DNS 192.168.10.1
Альтернативный DNS 10.10.10.1

Если я ставлю следующее
Ip 192.168.10.74
Маска 255.255.255.0
Шлюз 192.168.10.4
DNS 10.10.10.1

server.corp.local - доступен и работает, но не работает сетевой широкоформатный плоттер

Konstanti

@oxigen1987
Поясняю
Альтернативный ДНС нужен тогда , когда основной не доступен
Получается , что основной доступен 192.168.10.1 ,и он говорит , я ничего не знаю про windchill и вылезает ошибка
опять же вариантов 2
1 Настроить ДНС 192.168.10.1 ,чтобы он знал , про Server.corp.local
или
2 Настроить ДНС 10.10.10.1 , чтобы он знал про плоттер
По поводу правил
Добавление разрешить все ситуацию не изменит
По-моему , надо группу Creo делить на 2
Одна , у которой есть доступ к 10.10.10.1
Вторая, у которой есть доступ к 10.10.10.1 и интернету
И уже для каждой группы настраивать правила и squid , если надо

oxigen1987

Подскажите где посмотреть как настроить пункт 1

Konstanti

@oxigen1987 Увы , тут я Вам не помощник
а не проще вбивать в строке браузера вместо имени сразу ip адрес ?
или путь к плоттеру прописывать не по имени а тоже по ip ?

oxigen1987

@konstanti said in Доступ из одной подсети в другую:

а не проще вбивать в строке браузера вместо имени сразу ip адрес

Да, но после авторизации он автоматически подменяет его на server.corp.local....

Konstanti

@oxigen1987 а путь к плоттеру нельзя прописать по ip ?

oxigen1987

@konstanti said in Доступ из одной подсети в другую:

а путь к плоттеру нельзя прописать по ip ?

Он прописан по Ip. Сейчас указал просто ДНС 10.10.10.1. Плоттер вроде работает. Пока работает!