Доступ из одной подсети в другую
-
@oxigen1987 Нет
это должно быть модифицированное первое правило ( второе в Вашем списке)
Вам не сложно четко сформулировать ТЗ ?
Вам надо чтобы хост 74 имел только доступ к 10.10.10.1 ?
Тогда Вам надо
вариант 1
1 раззрешить весь весь трафик от хоста 74 к 10.1
2 запретить весь остальной трафик для хоста 74
итого будет 2 правила
вариант 2
1 запретить весь трафик от хоста 74 не для 10.1 (см мою картинку)
итого 1 правило -
Т.е. картина по 2 му варианту должна быть такой?
-
Инверт отметили для 10.1?
Там галочка рядом с 10.1 должна стоять -
@konstanti said in Доступ из одной подсети в другую:
Инверт отметили для 10.1?
Там галочка рядом с 10.1 должна стоять
Это вот это?
Простите а для чего он? -
Ох! Поставил и потерял даже доступ к шлюзу!!! И ничего не грузится!!!
-
@oxigen1987 Так , стоп , спокойно
Восстановили доступ ?
Если нет , расскажите , что делали ???
Просто Вы вносите одновременно столько изменений , что я не успеваю за ходом Ваших мыслей
Вы создали только правило , которое блокирует весь трафик от CreoUsers ( не знаю что это в Вашем варианте) ко всему , кроме 10.10.10.1
Или еще что-то ? Что такое CreoView Users ?
Вы пробовали подключиться к шлюзу с других компов ?
С другой сети ?
На крайний случай , у Вас есть доступ к консоли шлюза ?
Или доступ к шлюзу по ssh ? -
Доступ восстановил из другой подсети.
CreoView Users там прописаны пользователи подсети 192.168.10.0/24.Которые будут иметь доступ к 10.10.10.1 -
Так заново. Чудеса. Вчера все работало -сегодня нет. При доступе 192.168.10.74 к Server.corp.local (IP 10.10.10.1) - пишет в браузере
Не удается получить доступ к сайту
Не удается найти DNS address сервера server.corp.local.Сейчас картина такая.
CreoView Users там прописаны пользователи подсети 192.168.10.0/24.Которые будут иметь доступ к Server.corp.local (IP 10.10.10.1)
Нужно настроить таким образом чтобы- Некоторые пользователи из списка
CreoView Users (IP 192/168/10/0/24) имели доступ к Server.corp.local (IP 10.10.10.1/24) в браузере и не имели доступа к интернет - Некоторые пользователи из списка
CreoView Users (IP 192.168.10.0/24) имели доступ к Server.corp.local (IP 10.10.10.1/24) в браузере и имели выход в интернет
До этого всего доступ к интернету для подсети 192.168.10.0/24 регулировался так-
В SquidProxyServer (вкладка ACL) добавлялся IP, которому запрещается выход в интернет. Больше ничего - Некоторые пользователи из списка
-
@oxigen1987
Да , все понятно
Моя ошибка , дело в том , что правило с инвертом я советовал Вам в расчете на то , что останется правило разрешающее все . Сейчас его нет
Поэтому вариантов 2
1 Или вернуть правило - разрешить всем все ( что не есть хорошо)
2 Или вернуться к варианту 2-х правил
а. разрешить creousers доступ к 10.1
б. след пунктом запрещаем creousers все ( в этом случае к инету никто не будет иметь доступа) -
Вот так получается?
-
@oxigen1987 Поменяйте местами 2 и 3 правило
Там где block - Invert не нужен
Но , помните , в такой конфигурации доступ у CreoUsers только к 10.10.10.1 , к интернету доступа не будет -
Для того чтобы был доступ нужно будет создать другое правило так? Но уже без запрещающего?
-
Еще один момент.
Правило работает, но браузер выдает ошибкуНе удается получить доступ к сайту
Не удается найти DNS address сервера server.corp.local.Настройки сетевой карты
Ip 192.168.10.74
Маска 255.255.255.0
Шлюз 192.168.10.4
DNS 192.168.10.1
Альтернативный DNS 10.10.10.1Если я ставлю следующее
Ip 192.168.10.74
Маска 255.255.255.0
Шлюз 192.168.10.4
DNS 10.10.10.1server.corp.local - доступен и работает, но не работает сетевой широкоформатный плоттер
-
@oxigen1987
Поясняю
Альтернативный ДНС нужен тогда , когда основной не доступен
Получается , что основной доступен 192.168.10.1 ,и он говорит , я ничего не знаю про windchill и вылезает ошибка
опять же вариантов 2
1 Настроить ДНС 192.168.10.1 ,чтобы он знал , про Server.corp.local
или
2 Настроить ДНС 10.10.10.1 , чтобы он знал про плоттер
По поводу правил
Добавление разрешить все ситуацию не изменит
По-моему , надо группу Creo делить на 2
Одна , у которой есть доступ к 10.10.10.1
Вторая, у которой есть доступ к 10.10.10.1 и интернету
И уже для каждой группы настраивать правила и squid , если надо -
Подскажите где посмотреть как настроить пункт 1
-
@oxigen1987 Увы , тут я Вам не помощник
а не проще вбивать в строке браузера вместо имени сразу ip адрес ?
или путь к плоттеру прописывать не по имени а тоже по ip ? -
@konstanti said in Доступ из одной подсети в другую:
а не проще вбивать в строке браузера вместо имени сразу ip адрес
Да, но после авторизации он автоматически подменяет его на server.corp.local....
-
@oxigen1987 а путь к плоттеру нельзя прописать по ip ?
-
@konstanti said in Доступ из одной подсети в другую:
а путь к плоттеру нельзя прописать по ip ?
Он прописан по Ip. Сейчас указал просто ДНС 10.10.10.1. Плоттер вроде работает. Пока работает!
-
@oxigen1987 Мой Вам совет
Судя по количеству экспериментов с настройками PF , я бы на Вашем месте , делал бы Backup копии работающих конфигов PF
Или есть другой вариант вернуться назад (но тут , сохраняются , по-моему , только 30 копий конфигов)
