Форум по информационной безопасности: обсуждение продуктов Смарт-Софт

Как позволить юзеру работать без прокси

User

23.09.2011 16:19:00

Только начал работать с ТИ. ВОзник следующий вопрос - как дать юзеру интернет в обход прокси? А то интернет есть только тогда когда в конфигурации пользователя выставляю "Перенапралять ТСР/80 на прокси сервер". Проблема в том что у бухгалтерии много банковского софта и не в каждом есть настройка прокси.

DmitryPC Administrator Сообщений: 7065 Регистрация: 02.03.2021	#2 0 23.09.2011 16:38:00 настроить NAT\ICS - инструкции в документации на сайте.

mr_Neo

User

23.09.2011 21:22:00

еще бы добавил, в настройках ТИ снять галку использовать

прокси и принудительно конфигурировать браузер, и если у

вас клиенты уже работали через прокси, то в свойствах

обозревателя убрать - использовать скрипт сценария.

dima_home

User

06.10.2011 11:00:00

Что то по "инструкции в документации на сайте." не получается запустить NAT в локальной сети с доменом.

У мну сеть с Сервером 2000 в локальной сети AD/DNS/DHCP+ Сервер 2008 TI/NAT/DNS(только forwading).

В инет всегда ходили через прокси.

Пытаюсь настроить через нат - не получается ..а именно

1.на сервере смотрящий в инет интернет есть по всякому (и спрокси и без прокси)

2. на клиентской машине DNS имя преобразует в IP это видно по команде ping mail.ru показывает адрес ip ...но не пингуется, в браузере если не стоит галочка использовать прокси тоже имя mail.ru видется, но сайт не открывается.

3. Если включить на клиентской машине шлюз на адрес инет сервера 10.0.0.50 то интернет начинает работать без прокси...однако пропадают все сетевые дески внутри доменной сети (думаю потеря связи с АD/DNS сервером локальной сети).

Конфик с сервера

Настройка

протокола IP для Windows

Имя компьютера . . . . . . . . . : INETSERVER

Основной DNS-суффикс . . . . . . : agros2.ru

Тип узла. . . . . . . . . . . . . :

Гибридный

IP-маршрутизация включена . . . . : Да

WINS-прокси включен . . . . . . . : Нет

Порядок просмотра суффиксов DNS . :

agros2.ru

Ethernet adapter Office:

DNS-суффикс подключения . . . . .

:

Описание. . . . . . . . . . .

. . : Intel® PRO/100+ Server Adapter (PILA8470B)

Физический адрес. . . . . . . . . :

00-D0-B7-3C-F3-38

DHCP включен. . . . . . . . . . . : Нет

Автонастройка включена. . . . . . : Да

IPv4-адрес. . . . . . . . . . . . : 10.0.0.50(Основной)

Маска подсети . . . . . . . . . . :

255.255.255.0

Основной шлюз. . . . . . . . . :

DNS-серверы. . . . . . . . . . . : 10.0.0.48

NetBios через TCP/IP. . . . . . . . :

Включен

Ethernet adapter Inet:

DNS-суффикс подключения . . . . .

:

Описание. . . . . . . . . . .

. . : Realtek RTL8139/810x Family Fast Ethernet сетевой адаптер

Физический адрес. . . . . . . . . :

00-19-66-61-39-C8

DHCP включен. . . . . . . . . . . : Нет

Автонастройка включена. . . . . . : Да

IPv4-адрес. . . . . . . . . . . . :

192.168.1.11(Основной)

Маска подсети . . . . . . . . . . :

255.255.255.0

Основной шлюз. . . . . . . . . : 192.168.1.1

DNS-серверы. . . . . . . . . . . :

195.162.32.5

195.162.41.8

NetBios через TCP/IP. . . . . . . . :

Включен

Конфик клиентской машины:

Настройка

протокола IP для Windows

Имя компьютера . . . . . . . . . : SYS0

Основной DNS-суффикс . . . . . . : agros2.ru

Тип узла. . . . . . . . . . . . . :

Гибридный

IP-маршрутизация включена . . . . : Нет

WINS-прокси включен . . . . . . . : Нет

Порядок просмотра суффиксов DNS . :

agros2.ru

Ethernet adapter

Подключение по локальной сети:

DNS-суффикс подключения . . . . . :

agros2.ru

Описание. . . . . . . . . . . . . : Marvell

Yukon 88E8053 PCI-E Gigabit Ethernet Controller

Физический адрес. . . . . . . . . :

00-11-D8-49-D4-67

DHCP включен. . . . . . . . . . . : Да

Автонастройка включена. . . . . . : Да

IPv4-адрес. . . . . . . . . . . . :

10.0.0.51(Основной)

Маска подсети . . . . . . . . . . : 255.255.255.0

Аренда получена. . . . . . . . . . : 6

октября 2011 г. 10:01:54

Срок аренды истекает. . . . . . . . . . : 7

октября 2011 г. 10:01:51

Основной шлюз. . . . . . . . . : 10.0.0.50

DHCP-сервер. . . . . . . . . . . : 10.0.0.48

DNS-серверы. . . . . . . . . . . : 10.0.0.48

10.0.0.50

NetBios через TCP/IP. . . . . . . . :

Включен

Горячие умы...подскажите как заставить клиенские машины искать ip за пределами 10.0.0.0/255 через NAТ сервер по адресу 10.0.0.50.

DmitryPC

Administrator

Сообщений: 7065 Регистрация: 02.03.2021

06.10.2011 11:06:00

для нормальной регистрации клиентских машин в домене, в настройках сетевого подключения нужен только адрес днс сервера AD, т.е. шлюзом Вы можете как раз прописать сервер с ТИ, а на DC настроить пересылку днс запросов на вышестоящий днс сервер(машина с ти(если она не входит в домен и имеет кэширующий днс), или днс сервера провайдера) с запретом рекурсии и передачи зон(придется только для DC разрешить днс трафик).

ipconfig /all с клиентов и с серверов покажите.

DmitryPC2011-10-06 11:09:19

dima_home

User

06.10.2011 12:12:00

Не понял вашего объяснения.

Еще раз все подробно:

У нас и так локальные пользователи работают в локальной сети 10.0.0.* нормально. Есть сервер Win2000Srv который AD/DNS/DHCP сервер - то 10.0.0.48. Все прекрасно работают и ходят в инет через отдельный сервер без ролей через прокси сервер.

Все работает прекрасно... вот только я решил разрешить пользователям ходить в инет не через прокси а через NAT.

Добавляю роль NAT в отдельном сервере где стоял TI смотрящий в инет...прогоняю конфик ti ...снимаю галочку на клиентской машине в браузере использовать прокси... инета нет совсем... вижу что даже преобразование dns имен не выполняет... на команду ping mail.ru пишет не такого адреса.

Добовляю роль DNS на сервере интернета...только корневые ссылки...проброс DNS на DNS провайдера в интернете. DNS в локальной сети (с AD) никак не связан с DNS на интернет сервере. У клиента указал второй DNS сервер.

На всякий случай в DHCP добавил default getway 10.0.0.50

Проверяю на клиенте ping mail.ru пишет...обмен пакетами с mail.ru [90.100.191.203]...делаю вывод что преобразование имени DNS выполняет... но пакеты не доходять... вот и думаю почему пакеты не идут через цепочку:

Клиентский компьютер(10.0.0.51)>КомутаторDLINK>КомутаторCisko>(100.0.0.50)WinServer2008 с включенным NAT/TI(192.168.1.11)>(192.168.1.1)Роутер ADSL(96.***.***.***)>Итернет

Стоит поставить галочку использовать прокси - в браузере инет появляется.

Пинг От клиентского компьютера есть до 192.168.1.11, пинга до 192.168.1.1 нет. Если пропинговасть с самого инетсервера то интернет и пинг на 192.168.1.1 есть.

Почему не осуществляется проброс пакета на внешний адрес до роутера ADSL не знаю... Тут вычитал якобы, если ADSL модем работает как роутер то значит в нем работает NAT и за ним второй nat ставить на сервер нет смысла, а надо лан роутер ставить или в ADSL модеме делать мост (чтоб белый ip был прямо на сетевой карте сервера). Так ли это?

ipconfig уже приводил выше.

ZAN

User

06.10.2011 12:29:00

Цитата
На всякий случай в DHCP добавил default getway 10.0.0.50

А до этого какой основной шлюз был указан? Или никакого?

DmitryPC

Administrator

Сообщений: 7065 Регистрация: 02.03.2021

06.10.2011 13:16:00

Цитата
Не понял вашего объяснения.

1.для того чтобы пользователь выходил в инет не только через прокси, в настройках его сетевого интерфейса должен быть указан шлюзом адрес маршрутизатора(с натом или без оного).

2.если пользователь должен быть в домене(а маршрутизатор не(!) является DC), то необходимое и достаточное условие - наличие(на том же сетевом интерфейсе компьютера пользователя)прописанных адресов днс серверов домена(в Вашем случае, ими вероятно являются контролеры домена).

пример(комп-маршрутизатор(машина с ти) имеет только 2 сетевых интерфейса - один внешний и один внутрений):

комп DC: ip - 10.0.0.1, mask - 255.255.255.0, gate - 10.0.0.50(если нужно, чтобы машина могла пересылать(если это настроено) днс запросы и, вообще, выходить в инет без прокси), dns - 127.0.0.1(+настроенная пересылка днс запросов на вышестоящие днс сервера - возможно и\или на сервер с ти, если там есть днс сервер, - хотя бы в кэширующем режиме)

комп с ТИ(внутренний интерфейс): ip - 10.0.0.50, mask - 255.255.255.0, gate - отсутствует, dns - 127.0.0.1(если есть локальный кэширующий с настроенной пересылкой запросов на вышестоящие днс сервера провайдеров) или отсутствует или 10.0.0.1(если нужно чтобы машина входила в домен и днс пересылкой будет заниматься исключительно контролер домена)

комп с ТИ(внешний интерфейс): наверное, описывать не требуется как и настройку RRAS(?)

комп пользователя: ip - 10.0.0.2, mask - 255.255.255.0, gate - 10.0.0.50(потому что!), dns - 10.0.0.1(если машина должна входить в домен) или 10.0.0.50(если машина не должна входить в домен и на шлюзе есть днс сервер в том или ином виде) или прописать днс сервера провайдеров.

надеюсь, теперь понятно.

DmitryPC2011-10-06 13:18:41

dima_home

User

06.10.2011 13:27:00

Понятно.

Но я продвинулся в разбере полетов. Отключив службу ТИ на интернет сервере и убрав галочки в в драйверах сетевых карт... ИНТЕРНЕТ ЗАРАБОТАЛ (без прокси и ТИ агента)

Буду разбирать теперь ТИ - думаю гдето в области фильтрации пакетов мимо прокси - хотя странно...с самого сервера итернет нормально работал.

dima_home User	#10 0 06.10.2011 14:57:00 А ларчик просто открывался... оказывается в ТИ на группе пользователей в заглатке Ограничение не стояла галочка "разрешить через NAT", а стояла только "разрешить через прокси" Вот я му...ак. ))

Читают тему (гостей: 2)

Форум компании Смарт-Софт