BM и NAT

Есть NW5.0 с установленным BM 3.5, к нему подходит выделенка. Часть юзеров ходит в инет через BM. Поставили себе тарелку на отдельный прокси на Винде, этот прокси шлет запросы через BM. Но для этого пришлось поднять Nat на NW5.0. Теперь юзеры, которые не были прописаны на BM могут ходить в инет через BM. Как разрешить тарелке отправлять запрос не поднимая Нат?

NAT+пакетные фильтры должны помочь. Т.е. выпускать наружу надо пакеты только с определенных машин. ИМХо - с бордюра и той машины, куда воткнута спутниковая карта.

Спасибо за ответ! Где и как можно это настроить?

т.е. где фильтры настраиваются я знаю, только что-то у меня непонятки с ними, как-то криво они работают
мне б подробнее как их прописать, только не отсылайте к инструкции, пожалуйста

**Владимир Горяев** » 11 окт 2006, 15:10

Можно по разному. Например по-простому так:
1. Грохаем все фильтры.
2. Делаем 2 правила - разрешить все самому на себя внешнему интерфейсу и разрешить все самому на себя внутреннему интерфейсу.
3. Делаем 2 правила разрешить все извне тарелочному адресу и разрешить все изнутри ему же.
4. Дальше тюним и закручиваем гайки на свой вкус.

ЗЫ обязательно накатить все паки.

**Владимир Горяев** » 11 окт 2006, 15:33

3-й пункт примерно так:

Код: Выделить всё: Source Interface Type: Interface Source Interface: <All> Source Circuit: Destination Interface Type: Interface Destination Interface: <All> Destination Circuit: Packet Type: <ANY> Protocol: IP Src Port(s): Dest Port(s): ACK Bit Filtering: Stateful Filtering: Disabled Src Addr Type: Any Address Src IP Address: Dest Addr Type: Host Dest IP Address: ТАРЕЛКИН_ИП Logging: Disabled

Код: Выделить всё: Source Interface Type: Interface Source Interface: <All> Source Circuit: Destination Interface Type: Interface Destination Interface: <All> Destination Circuit: Packet Type: <ANY> Protocol: IP Src Port(s): Dest Port(s): ACK Bit Filtering: Stateful Filtering: Disabled Src Addr Type: Host Src IP Address: ТАРЕЛКИН_ИП Dest Addr Type: Any Address Dest IP Address: Logging: Disabled

У меня сейчас в фильтрах стоит:
Public - <ANY> <All>
<All> - <ANY> Public

В исключениях:
Public - Accel-Auth <All> -
Public - dns/udp-st <All> -
Public - NMAP <All> -
Public - pop3-st <All> -
Public - SGDS <All> -
Public - smtp-st <All> -
Public - www-http-st <All> -
<All> - Accel-Auth Public -
<All> - dns/udp-st Public -
<All> - NMAP Public -
<All> - pop3-st Public -
<All> - SGDS Public -
<All> - smtp-st Public -
<All> - www-http-st Public -

Правильно ли это?

Удалил все фильтры вообще и пока не прописывал ничего, но добавил в исключения то, что советует Владимир Горяев. Все равно при отключении NAT наземный канал на тарелке пропадает.

**Владимир Горяев** » 12 окт 2006, 09:16

Лукашенко Константин писал(а):Удалил все фильтры вообще и пока не прописывал ничего, но добавил в исключения то, что советует Владимир Горяев. Все равно при отключении NAT наземный канал на тарелке пропадает.

Ну дык, все логично, как же оно работать будет баз НАТа.

В общем НАТ все равно нужен? Хорошо, но как мне ограничить юзеров? На BM стоит проверка по IP, и если юзер не прописан на BM, то ему 403 на экран. А с НАТом получается что любой при прописывании у себя шлюзом BM имеет выход инет!

**Владимир Горяев** » 12 окт 2006, 10:34

Лукашенко Константин писал(а):В общем НАТ все равно нужен?

Как один из вариантов. Можно попробовать и без него, напр через transparent telnet proxy,

Лукашенко Константин писал(а):А с НАТом получается что любой при прописывании у себя шлюзом BM имеет выход инет!

Что-то не так с фильтрами, мб. в п.2 (сомневаюсь, однако, когда-то я вроде так и делал), а может паки нужно.

Мне писали:

1. Грохаем все фильтры.

Грохнул. Но что взамен написать?

2. Делаем 2 правила - разрешить все самому на себя внешнему интерфейсу и разрешить все самому на себя внутреннему интерфейсу.

Я привел пример своих исключений - они не правильные?

3. Делаем 2 правила разрешить все извне тарелочному адресу и разрешить все изнутри ему же.

Их мне расписал Владимир - я их сделал, но оставил свои, которые не понятно правильные или нет.
А в transparent telnet proxy какой порт указать?[/quote]

**Владимир Горяев** » 12 окт 2006, 11:07

Лукашенко Константин писал(а):Но что взамен написать?

взамен п. 2 и 3.

Лукашенко Константин писал(а):Я привел пример своих исключений - они не правильные?

не нужны после п.2

Лукашенко Константин писал(а):А в transparent telnet proxy какой порт указать?

ну какие... 53, 80, 25, 110, 21,20, etc. Попробовать конечно можно, но думаю вариант етот не очень...

Но ведь пункты 2 и 3 это же касательно исключений, а в самом фильтре что написать?

**Владимир Горяев** » 12 окт 2006, 14:58

Лукашенко Константин писал(а):Но ведь пункты 2 и 3 это же касательно исключений, а в самом фильтре что написать?

Не факт.
Если Action: Deny Packets in Filter List, то все на все.
Если Action: Permit Packets in Filter List, то ничего.

BM и NAT

BM и NAT

Кто сейчас на конференции