Как продиагностировать и устранить проблемы с интернетом: проверка интерфейсов, авторизации, DNS и правил файрвола.
Last updated
Was this helpful?
Если при первоначальной настройке Ideco NGFW у пользователей отсутствует интернет, выполните шаги для диагностики и решения проблемы.
Перейдите в раздел Управление сервером -> Лицензия и проверьте, привязана ли лицензия к серверу.
Перейдите в раздел Правила трафика -> Файрвол и отключите в разделах FORWARD и INPUT правила, запрещающие все.
Перейдите в Сервисы -> Сетевые интерфейсы. Если Ideco NGFW использует выделенный интерфейс для подключения к провайдеру и не работает только как прокси, установите тип Подключение к провайдеру. При типе Локальный интерфейс удалите и добавьте интерфейс заново с типом Подключение к провайдеру:
1. Проверьте настройку VLAN:
Если провайдер требует VLAN, убедитесь, что тег указан.
Если в реквизитах провайдера VLAN не указан, убедитесь, что тег не указан.
2. Проверьте ICMP-запросы.
Удалите все адреса из списка.
Выполните команду ping до шлюза провайдера. Если отвечает, добавьте шлюз в список адресов для проверки связи.
Рекомендуем перейти на приватную адресацию.
В качестве временного решения создайте правило SNAT, где источник - ваша локальная сеть, назначение - внешний интерфейс.
Используйте опцию только для диагностики.
В правой верхней части окна Ideco NGFW нажмите на иконку технической поддержки и включите настройку Разрешить интернет всем. После включения:
Фильтрация трафика выполняться не будет.
Сбор веб-статистики будет отключён.
Доступ к серым IP-адресам за NGFW из внешней сети будет закрыт.
Пользователям будет разрешен доступ в интернет без авторизации.
Если интернет появился, то проблема в неверно настроенной авторизации, правилах файрвола или маршрутизации.
В Ideco NGFW для авторизации пользователей обязательно требуется сопоставление IP-адреса с пользователем.
На этапе первоначальной настройки не рекомендуем использовать настройку Постоянная авторизация пользователя и Обнаружение устройств.
Пользователи Active Directory должны быть выгружены в Ideco NGFW.
Интеграция с RADIUS должна быть настроена.
Сопоставление IP-адреса и пользователя не требуется для авторизации пользователей терминального сервера через прямой прокси.
Если пользователь успешно авторизован в системе, то проверьте, какой тип авторизации используют:
Если используется MAC и IP+MAC авторизация, то на компьютере клиента шлюзом по умолчанию должен быть указан Ideco NGFW. Если шлюз не настроен корректно, авторизация не будет работать.
Если используется Веб-аутентификация, то пользователю необходимо открыть браузер и попытаться перейти на любой внешний сайт (например, google.com).
Если используется Авторизация по логам, то проверьте настройки на стороне контроллера домена. Не рекомендуем использовать этот тип авторизации.
Перейдите в Управление сервером -> Терминал и выполните команду nslookup ya.ru.
Если разрешение имен работает, то укажите IP-адрес Ideco NGFW в качестве DNS-сервера на рабочих станциях (в одноранговой сети) или в настройках внутреннего DNS-сервера, в разделе серверов перенаправления (в доменной сети).
Если не указать серверы DNS, Ideco NGFW использует корневые серверы DNS, которые может блокировать провайдер. В таких случаях попробуйте указать в качестве DNS 8.8.8.8, 1.1.1.1 и 77.88.8.8. Если провайдер блокирует доступ и к ним тоже, используйте серверы провайдера в качестве серверов DNS.
В созданном подключении иконка должна быть , в ином случае:
Выполните команду ping до адреса, указанного в разделе Сервисы -> Балансировка и резервирование –> Адреса для проверки связи. Если провайдер блокирует ICMP-запросы, то значок останется , Ideco NGFW не сможет построить внешние маршруты, и интернет работать не будет. В этом случае:
Внутренняя сеть должна относиться к . Если используются публичные IP-адреса:
Если не удалось решить проблему, обратитесь в
