Winserver 2003
Для тех кому эти абревиатуры чтото говорят:
Возникла проблема...
Ситуация такая:
есть 2 локальные сети (и следовательно 2 сетевые карты), одна предоставляет интернет вторая создана для группы рабочих компов...
Есть один ПК отдалённо напоминающий сервер (включен постоянно хранит в себе роли файлового сервер АД, ДНС.
Надо обеспечить полноценныйд оступ в интернет из локальной сети №1 всем компъютерам из локальной сети №2 (внутренняя сеть).
Внутренняя есть имеет свой домен для АД и хранения логинов и паролей.
Для начала настроил НАТ, интернет появился но частично... Симтомы такие - открывает только часть сайтов, *.com вообще не открывает, гугл тоже не открывает, хотя если зайти на сервер то всё открывается без проблем.
Если в настройках сетевой карты прописать статический адрес (даже тот который только что был выдан) то на сервере начинается такая же проблема что не все сайты открываются (только .ru и то не все) но если ничего не прописывать в сетевухи и в НАТ (только указать где какая плата) то возвращаемся к тому что описал выше (сервер норм, рабочие компы на половину пашут)
Если использовать прокси (правда я использовал левую програмку в котрой куча сервер (хттп фтп днс и там большой список (если о чём то скажет то прога называется Small hhtp server)) то интернет работает криво но открывает все сайты без исключений (разумеется если сам сайт работает :Р)
Прошу помоч разобратся или предложить другие какие либо варианты по нормальной организации сети.
В крации требуется так:
Через "сервер" в котором воткнуто 2 кабеля от 2х разных сетей (одна сеть с инетом) надо обеспечить доступ в инет.
Сервер так же выполняет функцию так сказать "диска Z".
На сервере хранятся логины и пароли от учёток под которыми можно войти на любом рабочм компе который подключен к домену сервера (в локальной сети 40 компов который подключены к этому домену).
P.S. Надеюсь описал проблему нормально, хотя я часов 5 с этим возился моз уже сварился :)
P.P.S. Тему создал в этом разделе так как другие разделы не подходят под смысл темы.
Я всё ещё нуждаюсь в ответе :)
Причём завтра уже будет не актуально 
Для организации прокси, использую керио, очень удобная для слижения за траффиком пользователей и как фаервол хорош, керио не обязательно должен входить в домен, главное чтобы его айпи входил в диапазон арендуемых контроллером доменов, а для входа в инет пользователи должны либо ввести свой логин и пароль на межсетевом экране либо просто в настройках учеток пользователей привязать учетку к айпи машины
ммм, я не любитель сторонних программ...
Хотелось бы реализовать всё на уровне имеющихся возможностей операционки... знаю что можно но не знаю как...
На данный момент настроил прокси через туже кривую прогу и кое как держится НАТ, но не уверен что это долго проятнет.
Да и вот ещё, после того как включил АД (вренеед обавил роли AD, DNS,DHCP (хз зачем но это автоматом работает и не отключается)) после загрузки ОС перед выдачей окошка с нажатием контрол аль и дел выдаёт сообщение что мол какая я нить одна служба была не запущена из-за ошибки, какая точно не уточняется...
Надо будет к сисадминам обратится которые доступ в инет для сервера обеспеччивают.
За помощь разумеется спасибо 
Ну доступ в инет через "Internet connection share" делается парой кнопок. Ноу меня с этим был косяк - подключение постепенно "засиралось", т.е. инет пахал все медленнее и медленнее. Решение на самом деле простое - для офисной сети в плане раздачи интернета куда проще поставить железяку Linksys WRT54GL. Даже неперепрошитая она отлично пашет. Так-же хороши по цена/качество rackmoun железки TPlink на intel процессорах. Длеать это именно через винду - спорно, она все-же не совсем для этого предназначена. А по поводу открытия только "части" сайтов:
а) - ты проверял, находятся-ли ДНС имена неоткрываемых сайтов?
б) - если находятся - что говорит telnet site.name 80?
Проблемы частичного открыти возникали на практе при работе со стримом( хотя воможны и с другими провами) - сетевуха по умолчанию использует MTU 1500. Если у прова меньше - будут косяки, подобные описанным.
Как вариант решения силами ОС: установка виртуалки с linux на борту. squid + iptables настроить не так сложно, как кажется. Squid - элементарно в opensuse через yast, iptables - шикарная статья на википедии. Такой виртуалке хватит за глаза и уши 256Мб памяти и 2Гб харда. Если постараться - впихивают и в 32Мб ram и 100Mb hdd.
По поводу окошка "ошибка запуска службы" - батенька, ну есть же журналы, копай там. Панель - удминистрирование - просмотр событий тебе в помощь.
— 6
Gradesk: ммм, я не любитель сторонних программ...
Хотелось бы реализовать всё на уровне имеющихся возможностей операционки... знаю что можно но не знаю как...
На данный момент настроил прокси через туже кривую прогу и кое как держится НАТ, но не уверен что это долго проятнет.
Да и вот ещё, после того как включил АД (вренеед обавил роли AD, DNS,DHCP (хз зачем но это автоматом работает и не отключается)) после загрузки ОС перед выдачей окошка с нажатием контрол аль и дел выдаёт сообщение что мол какая я нить одна служба была не запущена из-за ошибки, какая точно не уточняется...
Надо будет к сисадминам обратится которые доступ в инет для сервера обеспеччивают.
За помощь разумеется спасибо
ОС для этого не предназначенна, можно сделать но будет работать кое как, могу даже помочь настроить керио по удаленке, хых насчет ошибки АД, у меня тоже выскакивала ошибка что драйвер неправильно работает или какая то служба не запустилась, пробывал обновлять винду не помогло, просмотр журнала тоже не помог, гемороился около 3-х дней так и не понял в чем проблема была, просто переустановил винду и с нуля настроил АД, ДНС и ДХСП.
Тем более эта ошибка возникала, но все работало, кроме как сбивались политики как контроллера домена так и всех машин в домене, т.е. нельзя было просмотреть компы в сетевом окружении писал типо нету прав, так же принтеры не были доступны и расшаренные папки были доступны, есть еще программа Вингейт она проще керио.
Amazing - с линуксом не хочу сталкиватся (ибо не работал с ним + надо учётки хранить), железки покупать тоже не вариант...
А по поводу "частичных" сайтов - немного не правильно меня поняли (может я не так объяснил).
MO[Z]G - В этом то и нъюанс что винду чистую поставил... И повторная переустановка не помогла.
Ну попробуем по твоему, только без удалёнки, ибо из вне подключится нельзя... для безопасности сделано.
Если не трудно ссылочку на программу или полное имя и номерок аськи если нету в личных данных (сейчас за одно и проверю).
А что касаетс открытия сайтов:
В общем в крации - в локалке с инетом айпишники выставляются автоматически (айпи шлюз днс маски) и всё работает нормально, но еслисамому прописать себе айпи (даже тот который был на автомате полученный) то инет начинает частично работать то есть тупит.
Если оставить получение айпи на автомате то на сервере норм инет работает а на рабочих компах через НАТ частично.
Я поставил туда временно прокси сервер, вроде работает но тоже кривовато, но не всегда.
До меня там чел какой то настраивал но у него так же криво всё работало и он туда понатыкал кучу левого софта... юзер гейт какой то, всякие мониторинги... и после этого у него ОС даже не выключалась, я на ноч ставил рестарт компа... (ну часов 12) по нулям... не выключился даже. И после включения кучу ошибок вин32 генерик хост... и пока их все не "одобриш" инета вообще не было.
В асю тебе отписался, моя 223-838-814, полное название проги Kerio Winroute Firewall
Айпишники с АД лучше выставлять всетаки вручную
Тем более керио отличный фаервол, от досса хорошо спасает, есть возможность закрывать порты и запрещать сайты для пользователей. По умолчанию запрещено все кроме списка разрешенного
Amazing: Ну доступ в инет через "Internet connection share" делается парой кнопок. Ноу меня с этим был косяк - подключение постепенно "засиралось", т.е. инет пахал все медленнее и медленнее. Решение на самом деле простое - для офисной сети в плане раздачи интернета куда проще поставить железяку Linksys WRT54GL. Даже неперепрошитая она отлично пашет. Так-же хороши по цена/качество rackmoun железки TPlink на intel процессорах. Длеать это именно через винду - спорно, она все-же не совсем для этого предназначена. А по поводу открытия только "части" сайтов:
а) - ты проверял, находятся-ли ДНС имена неоткрываемых сайтов?
б) - если находятся - что говорит telnet site.name 80?
Проблемы частичного открыти возникали на практе при работе со стримом( хотя воможны и с другими провами) - сетевуха по умолчанию использует MTU 1500. Если у прова меньше - будут косяки, подобные описанным.
Как вариант решения силами ОС: установка виртуалки с linux на борту. squid + iptables настроить не так сложно, как кажется. Squid - элементарно в opensuse через yast, iptables - шикарная статья на википедии. Такой виртуалке хватит за глаза и уши 256Мб памяти и 2Гб харда. Если постараться - впихивают и в 32Мб ram и 100Mb hdd.
По поводу окошка "ошибка запуска службы" - батенька, ну есть же журналы, копай там. Панель - удминистрирование - просмотр событий тебе в помощь.
Этот способ подойдет только для рабочей группы, для сети с домен не прокатит
Можно в свойствах подключения поставить галочку что бы вторая сеть использовала через этот комп инет.
Но тогда скорости не будут разделяться попалам (если кто то загружает трафик то остальные не смогут зайти)
MO[Z]G:
Этот способ подойдет только для рабочей группы, для сети с домен не прокатит
Ты сейчас про какой именно способ сказал?
Gambit90: Можно в свойствах подключения поставить галочку что бы вторая сеть использовала через этот комп инет.
Но тогда скорости не будут разделяться попалам (если кто то загружает трафик то остальные не смогут зайти)
Скорость будет делиться динамически. Остальные смогут зайти, просто отрежут канал качающего. По поводу "косяки и DHCP" -проверь все-же MTU.
>айпишники выставляются автоматически (айпи шлюз днс маски) и всё работает нормально
MTU получен по DHCP и он в норме.
>еслисамому прописать себе айпи
А вот тут скорее всего берется умолчание - 1500
Как проверить:
ping server_ip -l 1500 -f
Если пишет "требуется фрагментация, но она запрещена" - уменьшает 1500 вниз. 1472 например. Подгоняем максимальное значение, при котором еще работает.Затем, если ip прописываем руками - приписываем еще и MTU. Как его прописывать ->google.ru
— 6
Gambit90: Можно в свойствах подключения поставить галочку что бы вторая сеть использовала через этот комп инет.
Но тогда скорости не будут разделяться попалам (если кто то загружает трафик то остальные не смогут зайти)
это при наличии подключения к интернету которое создатся отдельно, при наличии интернета по локальной сети это не поможет. такого просто нету
Amazing: ...
Как проверить:
ping server_ip -l 1500 -f
Если пишет "требуется фрагментация, но она запрещена" - уменьшает 1500 вниз. 1472 например. Подгоняем максимальное значение, при котором еще работает.Затем, если ip прописываем руками - приписываем еще и MTU. Как его прописывать ->google.ru
Мысля не плохая, надо будет проверить...
Но тут ещё вопрос про то что рабочие компы через нат криво пашут, а вот сервре норм, хот если по дефолту при прописке айпишников ставится 1500 велечина пакета тогда ясно, большой пакет доходит до сервера а дальше сервера уже туго идёт... но это надо только проверять... я думаю врят ли стоит на это эограичение.
За помощь всем спасибо.
Есть ещё пару вопросов, но я думаю прежде погуглить на эту тему (в крации - как установить ОС (в данном случаее винХП и вин7(семрку)) при помощи сети, к примеру образ или файлы будут лежать на сервере а на рабочих компах я начну установку ОС по локалке (да скорость не акти но записывать десятка 2 балванок для убыстрения процесса не горю желанием)).
MO[Z]G
Да выш прям оправдываете свой ник :)
Действительно пакеты велики, сейчас буду смотреть какой максимальный можно установить
Я примерно догадываюсь в чём остальная проблема зарыта... сейчас всё проверю и будет более точно ясно :)
Gradesk: это при наличии подключения к интернету которое создатся отдельно, при наличии интернета по локальной сети это не поможет. такого просто нету
Мысля не плохая, надо будет проверить...
Но тут ещё вопрос про то что рабочие компы через нат криво пашут, а вот сервре норм, хот если по дефолту при прописке айпишников ставится 1500 велечина пакета тогда ясно, большой пакет доходит до сервера а дальше сервера уже туго идёт... но это надо только проверять... я думаю врят ли стоит на это эограичение.
За помощь всем спасибо.
Есть ещё пару вопросов, но я думаю прежде погуглить на эту тему (в крации - как установить ОС (в данном случаее винХП и вин7(семрку)) при помощи сети, к примеру образ или файлы будут лежать на сервере а на рабочих компах я начну установку ОС по локалке (да скорость не акти но записывать десятка 2 балванок для убыстрения процесса не горю желанием)).
MO[Z]G
Да выш прям оправдываете свой ник :)
Действительно пакеты велики, сейчас буду смотреть какой максимальный можно установить
Я примерно догадываюсь в чём остальная проблема зарыта... сейчас всё проверю и будет более точно ясно :)
Хм.. т.е. ты хочешь установить вторую винду на машину? мне просто интересно как можно через сеть установить винду, если при установки все равно все подключения отключаются для переписки виндой, если не хочешь делать болванки сделай загрузочную флешку)
Может забьем на этот геморой и установим проксю?) займет не больше часа!
Gradesk: это при наличии подключения к интернету которое создатся отдельно, при наличии интернета по локальной сети это не поможет. такого просто нету
У меня именно так и сделано. Мой провайдер предоставляет мне интернет через локальную сеть в одну сетевуху.
Дальше я во сторую сетевуху вставляю провод который идёт в свитч, от свича идёт на ноутбук стоящий в другой комнате.
Галочка стоит на сетевом подключение от моего провайдера и на двух компах есть инет.
MO[Z]G:
Хм.. т.е. ты хочешь установить вторую винду на машину? мне просто интересно как можно через сеть установить винду, если при установки все равно все подключения отключаются для переписки виндой, если не хочешь делать болванки сделай загрузочную флешку)
Может забьем на этот геморой и установим проксю?) займет не больше часа!
Не, вторую винду мне ненадо ставить на сервер.
А что касается установки по сети - просто на некоторых компах можно "первую" загрузку указать через LAN. Вот и предположил что гдето на сервере настроена фишка с раздачей ОС...
Про флэшку это тоже самое что и с дисками... надо просто на 30 компах ОС установить... вот по жтому я бы по сети с одного сервера начал бы "раздавать" ОС и ставить на все 30 компов разом (да будет медленее (при рассмотрении 1 компа в целом но не при рассмотрении всех вместе взятых)) а сам бы ушёл чаёк попивать...
А по поводу прокси... не более часа? отжог если честно... у меня минуты 2 ушло причм минуту я искал куда скинул програмку :). Да и прокси этовременно... надо просто с сисадминами сети поговорить в чём косяк...
А вот от АД думаю отказатся, ибо геморойная штука в настройках... хотя надо полазить в инете поискать мануальчики...
Gambit90: У меня именно так и сделано. Мой провайдер предоставляет мне интернет через локальную сеть в одну сетевуху.
Дальше я во сторую сетевуху вставляю провод который идёт в свитч, от свича идёт на ноутбук стоящий в другой комнате.
Галочка стоит на сетевом подключение от моего провайдера и на двух компах есть инет.
Этот вариант отпадает так как инет раздаётся именно по локальной сети а не через какой нить ВПН через локальную сеть (у меня так инет дома предоставляется, локалка а в ней ВПН).
P.S. Может кстати кто посоветует мануальчики по настройки АД таким образом чтобы он распространялся только на одну сетевуху а другую даже не трогал?
Gradesk: Не, вторую винду мне ненадо ставить на сервер.
А что касается установки по сети - просто на некоторых компах можно "первую" загрузку указать через LAN. Вот и предположил что гдето на сервере настроена фишка с раздачей ОС...
Про флэшку это тоже самое что и с дисками... надо просто на 30 компах ОС установить... вот по жтому я бы по сети с одного сервера начал бы "раздавать" ОС и ставить на все 30 компов разом (да будет медленее (при рассмотрении 1 компа в целом но не при рассмотрении всех вместе взятых)) а сам бы ушёл чаёк попивать...
А по поводу прокси... не более часа? отжог если честно... у меня минуты 2 ушло причм минуту я искал куда скинул програмку :). Да и прокси этовременно... надо просто с сисадминами сети поговорить в чём косяк...
А вот от АД думаю отказатся, ибо геморойная штука в настройках... хотя надо полазить в инете поискать мануальчики...
Этот вариант отпадает так как инет раздаётся именно по локальной сети а не через какой нить ВПН через локальную сеть (у меня так инет дома предоставляется, локалка а в ней ВПН).
P.S. Может кстати кто посоветует мануальчики по настройки АД таким образом чтобы он распространялся только на одну сетевуху а другую даже не трогал?
AD не будет трогать другую если она не включена в домен,или на машине где установлен ад 2 сетевухи?А так ад легко настраивается, винда даже сама за тебя настроит ее, тебе просто надо будет пару конфигов под себя сделать(название Домена, айпишники и тд)
MO[Z]G чтото тебя в асе поймать не могу...
А по делу:
Ситуация такая - есть некая сеть настроенная (там есть свой АД свой контроллер доменов свой домен и тд и тп) и кабель от этой стеи идёт ко мне в первую сетевуху (и в этой стеи разумеется раздаётся инет без натсроек (в сетевухи автоматом айпишники получать прописано)). А в из моего компа из второй сетевухи идёт кабель в хаб к которому подключены 40 компов. И мне надо натсроить АД (и все необходимые службы для АД) таким образом чтобы мой домен (и АД разумеется) работал только на эти 40 компов... а на первую сетевуху даже не заглядывался...
Своими силами я пришёл пока что к такой ситуации:
при рестарте сервера в логах ДНС пишется всего 4 ошибки и 1 уведомление (4 ошибки что работа с АД не коректна, там какие то натсройки из АД не загружены и чтото такого плана, а уведомление что только ДНС запущен). До этого ошибок было куча и уведомлений что какие то узлы "А" толи неправильно работают толи не обработанны...
Поговорив с сис админом "первой" сети я ушёл с задачей найти книжку по АД и сидеть самому настраивать :Р...
Но тут остался ещё второй вопрос - как обеспечить контролированный доступ в интернет всем компам из второй локалке. причём желательно контролированный и так сказать прямой...
А почему "прямой" - через систему НАТ столкнулся с проблемой которую описывал выше и ОС не может обновится... и через прокси ОС тоже не может обновится... на сайт майкрософта заходит а обновится не омжет... пишет что не возможно соеденится...
Но я надеюсь что в ближайшее время будет преобретён роутер и проблема с инетом решится... но настройка АД остаётся актуальной...
P.S. Хотя была мысля отказатся от АД ибо на 30 компах должно быть всего 2 учётки - админа и пользователя, а на остальных 10 (если быть точным 9) всего 5-9 учёток... но остаётся дело принципа настроить АД :) для общего развития так сказать...
В общем чуть поднему темку... хоть и во флуде она...
Вроде пока что своими силами настроил как смог. Но проблемы ещё актуальны, правда их решение (мне немного кажется) заключается в удалении вируса Кидо из со всех компов :)...
Надо будет каждый подчистить и поглядеть что из этого выйдет...
Gradesk: В общем чуть поднему темку... хоть и во флуде она...
Вроде пока что своими силами настроил как смог. Но проблемы ещё актуальны, правда их решение (мне немного кажется) заключается в удалении вируса Кидо из со всех компов :)...
Надо будет каждый подчистить и поглядеть что из этого выйдет...
Кидо, он же конфигер очень херовая штука, сам с ним боролся, так и до конца не вылечил, он может творить все что угодно, может отрубить принтер, сетевое соединение, напортачить в ворде и экселе. Вроде все компы лечил но еще где то остался он, хз где теперь у всех каждые 30 мин нод ругается что поймал его(((
MO[Z]G:
Кидо, он же конфигер очень херовая штука, сам с ним боролся, так и до конца не вылечил, он может творить все что угодно, может отрубить принтер, сетевое соединение, напортачить в ворде и экселе. Вроде все компы лечил но еще где то остался он, хз где теперь у всех каждые 30 мин нод ругается что поймал его(((
Ух, не хоче сглазить... но я роде справился с ним у себя на работе (правда не на всех компах)
Начал с самых часто выявляющих его компов - скачал с сайта каспера прогу КК.ехе и там же были ссылки на сайт майкрософта с тремя заплатками (для вин7 одна заплатка).
Так же на сайте касперского есть мануал как его обезвредить и вылечить.
давольно всё просто, но жаль что надо на каждомкомпе это в ручную проделать (есть способы про массовое лечение при помощи касперской тулзы (администратор кит) но я не копался с ней).
Сразу после того как "включил" сеть в компы на некоторых сработал каспер и объявил чт опоймал его опять (кидо), но это было единоразово...
Так же после всех "мероприятий" я провёл полную проверку компа, каспер на некоторых опять нашёл этого червечка, но уже он был не активен. Под активностью я имею ввиду что как только на 1 компе сработал каспер с вирусом, то в течении 1-3х минут на всех компах появляется тоже самое окно от каспера...
P.S. Пример на каспере так как на работе есть его лицензия... да и вообще мне к касперу больше всего доверия нежели к другим антивирям (платным и фришным).
Если хочеш, можеш кстати в асю стункуть мб чем помогу...
P.P.S. А тема с инетом отпадает... просто оказывается на всю сеть выделено 6 мегабит инет канала (а в сети примерно 200-300 компов и процентов 60 заражены этим кидо или иным вирусом котоыре сопкойно жгут траффик)).