Настройка DNS ,DHCP, Proxy в закрытой сети?

Question

[Andrewbakh]

Всем привет. Опытнейшие коллеги, подскажите если не сложно путь к решения моей задачи если он вообще есть ))

Недавно провайдер забубенил нам инфраструктуру.

3 свича, 20 точек доступа. На одном из свичей, выделен порт под лан. От него я и пляшу.

Система такая. По одному физ. каналу, работают две сети (я так понимаю, сорри за нубство).

Первая сеть. Открытая.
Клиент подключается по wi-fi или провод к свичу, который в свою очереднь подключен к выделенному под лан порту.
Тут адреса получаются следующие:
10.40.хх.хх
255.255.254.0

После получения адреса от dhcp, который где то там в какой то каморке у провайдера и к которому у меня доступа нет, клиент перенаправляется на страницу авторизации ЕСИА, вводит данные и получает доступ в цивилизованный мир...то бишь интернет, без всяких ограничений в виде фильтрации.

Вторая сеть. Закрытая.
Настраивается статикой.
Адреса будут следующие
10.72.хх.хх
255.255.255.0

Также используется корневой сертификат и прокси сервер, для фильтрации.
Здесь авторизации нет.

Задача следующая. Есть контроллер домен. Нужно загнать в него +-40 клиентов и настроить закрытую сеть с фильтрацией, заблочить все настройки через гпо что ни одна пад*а рученкая волю дать не смогла.

Домен естественно статичный.
10.72.хх.7
255.255.255.0
хх.1

dns 10.72.177.7

Фильтрация работает. Дабы упростить себе работу, придумал dhcp к домену и днс добавить, выделил адреса все вроде гуд.
Клиент адрес получил. А вот выхода в инет нету, не пингуется майл. Как будто вообще в лан не включен. Отсюда прошу подсказать ответы на пару вопросов.
1)Шо за бабуйня и как настроить инет для клиентов.

2)На серваке, где все зло сосредоточено в виде ad, dns, dhcp, в самом dhcp можно указать чтобы при аренде присваивал еще и адрес прокси ?

3)Может в DNS че настроить нужно ? Перенаправление какое. И кстати, чтоб комп загнать в домен, нужно указать ему DNS домена, а после того как он вступил в партия в виде домена, адрес из настроек можно убрать ? или он при следующей авторизации его потеряет и не залогинится ?))) Вот я ламер ))

Comments

[Ивор Барханский]

вы по dhcp не забыли шлюз передать?

[XRave]

Учебное заведение, еспд ?

[Andrewbakh]

XRave, оно самое

[XRave]

Andrewbakh, держите в курсе , а то мне то же светит. Сетевики подрядчика на подобный вопрос сказали что по человечески не объединить сети.

[Andrewbakh]

XRave, да ничего сложного там нет, если особенно не мудрить, это я просто полез с АД возиться и пытаться автоматизировать настройки.

Без АД на каждом пк вообще проблем нет настроить, просто это капец как долго будет )

[XRave]

Andrewbakh, мне даже инструкций не дали как инет по маку дать. Сказали тока что мак прописывать, но где не сказали )) да и управлять тем железом не дают.

[Andrewbakh]

XRave, ЕСПД по маку ? у меня IP только.

Answer 1

[mikes]

Если у вас там все так секурно и круто, то скорее всего NAT тупо нет и есть тока прокси.
соотв нет ни пинга ни dns

для того что бы отдать прокси клиентам есть следующие варианты
GPO через active directory
WPAD через dhcp options
WPAD через dns name

Но вообще прокси конечно прошлый век. купите себе норм DPI и используйте NAT

Comments

[Andrewbakh]

Если у вас там все так секурно и круто, то скорее всего NAT тупо нет и есть тока прокси.
соотв нет ни пинга ни dns

Не знаю на счет NAT, не разбираюсь.

для того что бы отдать прокси клиентам есть следующие варианты
GPO через active directory

Спасибо. Подозревал что можно через политики, но думал может через dhcp также можно.

Но вообще прокси конечно прошлый век. купите себе норм DPI и используйте NAT

Что за DPI ?
Зачем NAT ? Он будет фильтровать контент ? Чет сомнительная идея.
Тут вся сетка админится провайдером по сути, мой функционал это статику прописать на клиентах, прокси в браузере включить и сертификат запихать.

[XRave]

К сожалению всю эту хлабуду ставит Ростелеком по школам. И нам приходится как то на этом выживать. Вся секьюрность придумана ростелекомом и при построении архитектуры там не учитывали что на местах будет вообще какая либо сеть. И ситуация в школах - страдать всем кто пытается на этом сеть наладить. Мне придется на linux домен поднимать ибо по этой же программе поставили 30 ноутов на астре. Но это совсем другая история.

[Andrewbakh]

Опаньки ))) Прикол-монгол)) а ты откуда ?
Там не предусмотрено админство на этой линии, вот и все. Под сервера например статиков не дали, резервных портов на свиче, 1 дали под лан, а что будет если он сгорит ? ))) Короче как обычно все)

Answer 2

[Andrewbakh]

И так, вести с полей. Утро вечера говорят мудренее. Или синергетика форума помогла, но решил я глянуть полусонным взглядом сет.настройки домена, и заметил там ммааааленькие такие цифры в виде 8.8.8.8, убрах их к чертовой матери и вуаля, инет пропал на домене.

Полез курнуть ман от провайдера. Заметил что для настройки сети днс поля в настройках вообще заполнять не нужно. Указываешь адрес, маску, шлюз и все. Ок. Только не работает нихрена без них. А ведь раньше работало, точно знаю.

Нашел в мане днс провайдера, пинганул, ответ получил, прописал, инет появился.

Прописал его как альтернативный днс на КД, вроде заработало все.
Клиент предварительно вывел из домена, прописал адрес статикой+днс провайдера, о чудо, работает! На радостях добавил его в домен, скинул настройки сети, чтоб получал адрес от дхсп, днс оставил статикой:
1. адрес АД
2. адрес провайдера

все пи$да рулем просто, опять пропал на клиенте. Что ж за полтергейст то ептыть.

Видимо проблема здесь:

В логах DNS ошибка:

DNS-сервер ожидает от доменных служб Active Directory (AD DS) сигнала о том, что первичная синхронизация каталога завершена. Службу DNS-сервера невозможно запустить до завершения первичной синхронизации, так как критические данные DNS могут быть еще не реплицированными на этот контроллер домена. Если журнал событий AD DS показывает, что имеются проблемы с разрешением DNS-имен в адреса, рассмотрите возможность добавления IP-адреса другого DNS-сервера для этого домена в список DNS-серверов в свойствах протокола IP этого компьютера. Такое событие будет записываться в журнал каждые две минуты, пока служба AD DS не сообщит об успешном завершении первичной синхронизации.

Может кто подсказать чего ? Или я гоню это потому что нет второго домена и нет репликации между ними ? Почитал сейчас на технете.

Comments

[XRave]

А какие настройки на обоих контроллерах, и по дхцп что раздаёт?

[Andrewbakh]

XRave, завтра отпишусь, у меня 17.00, я сваливаю на*уй с этой конторы ))) в двух словах, работает, но хз в чем была проблема.

[Andrewbakh]

XRave, короче удалил я дхсп, ввел комп в домен, прописал настройки статикой, адрес, маску, шлюз + днс локальный свой, работает. Добавил дхсп, он как установился, сразу подтянул старые настройки которые были до удаления, видимо где то они сохраняются. Указал на клиенте получать настройки от дхсп, днс оставил локальный, пока работает.