[kim-aa]

Flick
В первую очередь Вам нужно срочно почитать про SMTP
Во-вторую, все определяется на DNS-сервере который держит Ваш домен (правильнее сказать зону), т.е. скорее всего у провайдера.
В принципе ни кто не запрещает делать такой финт ушами, как отправка непосредственно на почтовый сервер минуя разрешение Имен на DNS-серверах, или напрямую по IP, или прописав домены в файле hosts или еще где (Наприме в M-Daemon, можно напрямую можно забить соответствия в текстовый файл почтовый домен<->SMTP сервер. Оочень выручало при падении DNS провайдера).

[Butunin Klim]

Есть свич програмируемый 3812
Нужно вот что сделать.
1. Запретить пакеты при изменении ip адреса

Есть сеть, мы хотим создать еще одну подсеть поставить туда сервак и админа туда поставить. Но нужно сделать так что бы он не видел основую сеть компании (туда ходит только интернет и всё). Мы беспокоимся что если дать админу полные права на сервер он изменить айпи адрес на адрес основной сети и под своим логином в основной сети скачать информацию на его сервер и записать её на борлванку или на дискету (это уже не важно на что). Или подскадите что можно сделать?

Если на пальцах то ...
Если какой нить админ сменить IP адрес этой сетевой карты не имел доступ в другую подсеть.

[kim-aa]

1) Картинка красивая, но непонятная
а) Не виден сервер который собираетесь выносить в отдельны сегмент.
б) В отдельном сегменте будет судя по всему целая подсеть? С сервером и станциями?
в) S - это сервер для доступа в интернет? Дорисуйте пожалуйста.

2) Фильтрацию можно проводить на разных уровнях, за сим чем точнее схема, тем более детальные рекомендации можно дать.

3) При изображении сетевых схем надо пользоваться стандартными значками
см. предпоследний пост
http://forum.oszone.net/thread-65280.html

4) Что подразумевается под словосочетанием "только интернет"?
web, ftp, icq? Или все за исключением NetBIOS (сетей Win)?

[kim-aa]

1) Домино живет на отдельном сервере? Конфигурацию как програмную так и аппаратную сервера где живет Домино.
2) Сервер с Домино в домене?
3) Каковы возможности для выделения домино в DMZ? Управляемый свич? Маршрутизатор?
4) Давайте договоримся что Вы будете излагать часть своих мыслей графически. Одна схемка, даже кривая как турецкая сабля, обычно стоит многих страниц текста.

[Flick]

Вот посмотрите тут что есть а внизу что я хочу сделать, правильно это или есть варианты лучше?

нет главный сервер домино сидит на контроллере домена, (денег нет млин)
да возможность прикупить интернет марш. есть , что-нибудь типа D-link DI-804HV присматриваю, дешево и сердито.
Доимно в домене, но это не проблема поскольку на домен домино не опирается. (за редким искл.)

+ хотя прокси и предполагаемый почтовик не в домене но подсеть одна, домен настроен соответствующим образом.
внизу на схеме, марш и почтовик сейчас отсутствуют это то что хочу сделать


на схеме косяк - на самом деле инет и прокси соединены..(((

[kim-aa]

В общем пока почтовик живет физически на одном сервере сконтроллером домена о всякой фильтрации (DMZ) можно забыть.
Рекомендации:
1) Прокси и почта должны жить отдельно, лучше каждой по серверу, но вполне терпимо и на 1й
2) Пока не будет выделенного фаервола (именно фаервола в чистом виде) будет тяжело говорить о сегментации. Вобще идеал это 1 функция 1 сегмент (сервер).
3) Фаервол можно купить (только нужен обязательно трехвходовый, т.е. у него 3 группы портов WAN, LAN, DMZ)
Можно собрать из чего-либо старого.

Подитоживаю.
Необходимо получить 1 выделенный компьютер под почту + прокси, а лучше 2.
Купить или собрать 3х портовый фаервол.

В общем можно и при имеющейся конфигурации мапить 25й порт наружу, угроза для безопасности минимальна.
DMZ нужен как средство контроля трафика от сервера на внутреннюю сеть. Если у вас не шибко интеллектуальный свич, то боюсь даже при разделении функций на сервера ограничить доступ тяжко.
А вслучае проживания всех в "общаге" причем DC - в случае чего будет "алесмахен, 31415здохен шварц"

[Flick]

подойдет ли для ваыполнения задачи вот эта штукенция
http://dlink.ru/products/prodview.php?type=15&id=150

все дело в деньгах , а на такую маленькую коробочу за 500 у.е минимум мне никто не даст к сожалению..((((
Поэтому вот такую штуку присмотрел....что скажете,
если за ней спрятать 1 почтовый сервер
на одном компьютере. ?

[kim-aa]

Я предлагал нечто другое, поставить коробочку фаервол у которой Wan выход смотрит в к провайдеру.
За DMZ портом живет субсеть с почтой и WEB, а к LAN порту подключается собственно LAN.
D-Link Модель DFL-200 - стоит 7000 руб (Если Вы тяготеете к D-link) - это вроде "чистый" фаервол

Однако мне больше нравится (Люблю аккуратные железные вещи)
http://www.trendnet.com/ru/products/TW100-BRV304.htm
за 150$
Это роутер с функцией фаервола.

Кстати, как вы получаете интернет? По какому порту, Ethernet Или USB?

[Flick]

интернет идет по Ethernet с адресом "серым" локальной сети провайдера, собственно его планируется оставить чтобы выпускать пользователей в инет, а новый белый адрес прописать на железке а за ней спрятать почтовик воть... сначала хотел добавить сетевой и-фейс на сервер с прокси и опубликовать порты с помощю isa server выходит лучше через железку.