цель сделать виртуальный сервер.

1)Используя DI-604 указал в качестве dmz - 10.0.0.60 - ip опубликованный через ARP на DFL-800
2)10.0.0.60 - это SAT на сервер в сети в которую есть доступ через DFL-800 - из локалки на него можно зайти - работает
3)При попытке зайти с другой сети которая подключена на wan-порт DI-604 не дает - DI-604 светит IP того кто через него ходит

2008-03-04
12:25:51 Warning RULE
6000051 Default_Access_Rule TCP lan
<wan-ip>
10.0.0.60 2468
80 ruleset_drop_packet
drop
ipdatalen=28 tcphdrlen=28 syn=1

Вопрос как это правило перебороть ?

На DFL в качестве шлюза должен быть указан DI, это раз, во вторых IP который вы указываете на DFL должен находиться в одной подсети со шлюзом.

Ммм... немножко не допонял... lan интерфейсы DFL и DI находятся в одной подсетке. Т.е. мне на DFL в качестве шлюза для физического интерфейса lan указать IP-адрес DI ?

Наверно я не допонял вас, опишите вашу схему по точнее, а лучше в графическом виде с IP, кто что откуда и куда.

картинка

http://pix.academ.org/img/2008/03/05/d8 ... b906909ff9

все пакеты что приходят на 10.0.0.60 (ARP Published на DFL-800) перенаправляются на wan2-IP (ip адрес в сети wan2). Переадресация работает - любой локальный адрес из сети lan ходит до wan2-IP,

Далее цепляем сеть wan604 за wan-порт di-604 настраиваем dmz на 10.0.0.60. При попытке доступа из wan604 - di-604 в качестве ip адреса source указывает не свой, а ip источника из wan604 - а такой ip dfl-800 фильтрует при помощи default acces rule.

Вопрос. Какое такое правило надо указать, чтобы перебороть этот default acces rule ?


P.S. wan1 wan2 и dmz порты DFL-800 уже используются

Вам надо прописать роутинг, DFL не знает путь к сети откуда приходит пакет, вам надо указать на DFL маршрут примерно такой LAN -> all-nets -> router_ip (в качестве шлюза)

неа - не помогает
DI604 в режиме dmz выдает не свой IP(10.0.0.61) при обращении из wan604 к dfl800, а IP пользователя сети wan604 - а dfl800 просто фильтрует такие пакеты.
Правила iprules - типа allow адреса сети wan604 через интерфейс lan в lannet не помогают.
Попытка повесить routing rule правило для того что ходить в сеть wan604 через 10.0.0.61 работает - но только для исходящих соединений. А входящее соединений через dmz не получается настроить.

При помощи PBR вы можеет заставить его отвечать через этот интерфейс.