~ список маршрутов

Question

После поиска в Google я смог решить эту проблему.

Медленный доступ к общим файлам с SMB на контроллере домена в Windows Server 2012 R2 вызван тем, что GPO перенаправления папок вносит изменения в разрешения в папке профиля пользователя во время процесса перенаправления, когда папка не существует в месте назначения. На основе iamrafic из Microsfot Technet (связь), нам нужно изменить права доступа к папке следующим образом:

Создайте папку в нужном месте. Отключите наследование разрешений от родителя и удалите все унаследованные разрешения, нажав соответствующую кнопку. Одна запись уже будет в DACL: Local Administrators.

Изменить локальных администраторов: Полный доступ: эта папка, подпапки и файлы

Добавить СИСТЕМУ: Полный доступ: эта папка, подпапки и файлы.

Добавить СОЗДАТЕЛЯ-ВЛАДЕЛЬЦА: Полный доступ: Эта папка, подпапки и файлы.

Добавить аутентифицированных пользователей: Список папок / Чтение данных, Создание папок / Добавление данных: Только эта папка

Добавить администраторов домена: Полный доступ: эта папка, подпапки и файлы.

Нажмите ОК.

Другая проблема была в моих правилах iptables, мне нужно было выполнить полностью новые цепочки и исправить порядок для каждого правила FORWARD, потому что это изменяет производительность при анализе пакета. Вот новые.

    #!/bin/ш
    
    #Очистка всех правил
    iptables -P ВХОД ПРИНЯТЬ
    iptables -P ПЕРЕСЫЛАТЬ ПРИНЯТЬ
    iptables -P ВЫВОД ПРИНЯТЬ
    iptables -t nat -F
    iptables -t mangle -F
    iptables-F
    iptables-X
    iptables -t raw -F
    
    # Основные таблицы
    iptables -A ВХОД -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАНО -j ПРИНЯТЬ
    iptables -A ВХОД -i lo -j ПРИНЯТЬ
    
    #
    
    iptables -A FORWARD -o virbr32 -s 192.168.1.0/24 -d 192.168.100.0/28 -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАННОЕ -j ПРИНЯТЬ
    iptables -A FORWARD -i virbr32 -s 192.168.100.0/28 -d 192.168.1.0/24 -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАННОЕ -j ПРИНЯТЬ
    iptables -A ПЕРЕСЫЛКА -o virbr32 -i br0 -j ПРИНЯТЬ
    iptables -A ПЕРЕСЫЛКА -i virbr32 -s 192.168.100.0/2 -j ПРИНЯТЬ
    iptables -A ПЕРЕСЫЛКА -i virbr32 -o virbr32 -j ПРИНЯТЬ
    iptables -A FORWARD -i virbr32 -j LOG --log-prefix "iptables-FORWARD-REJECT: "
    iptables -A FORWARD -i virbr32 -j REJECT --reject-with icmp-port-unreachable
    
    # Маскировка локальной подсети
    iptables -t nat -A POSTROUTING -s 192.168.100.0/28 -j МАСКАРАД
    # Не маскируйтесь под эти зарезервированные блоки адресов.
    iptables -t nat -A POSTROUTING -s 192.168.100.0/28 -d 224.0.0.0/24 -j ВОЗВРАТ
    iptables -t nat -A POSTROUTING -s 192.168.100.0/28 -d 255.255.255.255/32 -j ВОЗВРАТ
    
    # Малый и средний бизнес
    # RPC EPM TCP 135
    # RPC через HTTPS TCP 593
    # SMB (для именованных каналов) TCP 445
    # Эфемерный диапазон, динамический *
    iptables -I ПЕРЕНАПРАВИТЬ 6 -o virbr32 -i br0 -m conntrack --ctstate НОВЫЙ -p tcp -d 192.168.100.12 --dport 445 -j ПРИНЯТЬ
    iptables -I ПЕРЕНАПРАВИТЬ 7 -o virbr32 -i br0 -m conntrack --ctstate НОВЫЙ -p tcp -d 192.168.100.12 --dport 139 -j ПРИНЯТЬ
    
    # Принимать пакеты DNS (порт 53) и DHCP (порт 67) от виртуальных машин.
    iptables -I ПЕРЕНАПРАВИТЬ 8 -o virbr32 -i br0 -m conntrack --ctstate НОВЫЙ -p tcp -m tcp -m multiport --dports 53,67 -j ПРИНЯТЬ
    iptables -I ПЕРЕСЫЛКА 9 -i virbr32 -o br0 -m conntrack --ctstate НОВЫЙ -p udp -m udp -m multiport --dports 53,67 -j ПРИНЯТЬ
    
    #
    
    #
    
    # Два правила ниже гарантируют, что будут проверены только TCP-пакеты. Все остальные
    # продолжаем в таблице *filter.
    iptables -t raw -N TCPFLAGS
    iptables -t raw -A ПРЕДВАРИТЕЛЬНАЯ МАРШРУТИЗАЦИЯ -p tcp -j TCPFLAGS
    iptables -t raw -A PREVEREUTING -j ACCEPT
    
    # Быстро принимать стандартные рукопожатия
    # РАЗРЕШИТЬ ACK или ACK/SYN
    #-A TCPFLAGS -j ПРИНЯТЬ
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,ACK,URG,PSH,RST ACK -j ACCEPT
    
    # Разрешить ACK/FIN с URG или PSH, или обоими, или ни с одним
    # но SYN и RST не могут быть установлены
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,SYN,ACK,RST ACK,FIN -j ACCEPT
    
    # Разрешить SYN или ACK/SYN
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,SYN,URG,PSH,RST SYN -j ACCEPT
    
    # Разрешить RST или ACK/RST
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,SYN,URG,PSH,RST RST -j ACCEPT
    
    # Это правило отлавливает атаки типа "рождественская елка" и "плавник"
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN FIN -j DROP
    # Это правило отлавливает атаки xmas-tree и syn/rst
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags SYN SYN -j DROP
    
    # Это правило отлавливает нулевые атаки
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags ВСЕ НИКАКИХ -j ОТКАЗАТЬ
    
    #-A TCPFLAGS -p tcp -ecn-tcp-cwr -j ОТБРОС
    # эти правила отлавливают плохие комбинации ack
    #-A TCPFLAGS -p tcp --tcp-flags ACK ACK -j ACC
    #iptables -t raw -A TCPFLAGS -j ACCEPT
    
    # Итак, что мы принимаем для TCP?
    # рукопожатия (ACK/FIN), (ACK/SYN), (SYN), (ACK), (RST), (ACK/RST),
    # и пакеты данных с PSH или URG или FIN или ACK
    
    #
    
    #Лог-пакеты сброшены
    iptables -A ВХОД -m limit --limit 2/мин -j ЖУРНАЛ --log-prefix "IPTables-INPUT-Dropped: " --log-level 4
    iptables -A FORWARD -m limit --limit 2/min -j LOG --log-prefix "IPTables-FWD-Dropped: " --log-level 4
    iptables -A ВЫВОД -m limit --limit 2/мин -j ЖУРНАЛ --log-prefix "IPTables-OUTPUT-Dropped: " --log-level 4

Как вы можете видеть, я использовал iptables -I FORWARD вместо iptables -A FORWARD, потому что с этим можно выполнить упорядоченные правила в моей таблице фильтров, поместив сначала более важные правила, а затем более глубоко после DROP или deny остальные. Все правила FORWARD идут перед этой строкой

    iptables -A ВХОД -p icmp --icmp-type 8 -m conntrack --ctstate НОВЫЙ -j ПРИНЯТЬ

Редактировать: Мне нужно только внести некоторые изменения, чтобы увеличить скорость передачи при копировании файлов с виртуальной машины наружу в локальной сети 192.168.1.0/24, я не могу взять больше 4 Мбит/с. Любые советы будут оценены по достоинству!!

Answer 1

После поиска в Google я смог решить эту проблему.

Медленный доступ к общим файлам с SMB на контроллере домена в Windows Server 2012 R2 вызван тем, что GPO перенаправления папок вносит изменения в разрешения в папке профиля пользователя во время процесса перенаправления, когда папка не существует в месте назначения. На основе iamrafic из Microsfot Technet (связь), нам нужно изменить права доступа к папке следующим образом:

Создайте папку в нужном месте. Отключите наследование разрешений от родителя и удалите все унаследованные разрешения, нажав соответствующую кнопку. Одна запись уже будет в DACL: Local Administrators.

Изменить локальных администраторов: Полный доступ: эта папка, подпапки и файлы

Добавить СИСТЕМУ: Полный доступ: эта папка, подпапки и файлы.

Добавить СОЗДАТЕЛЯ-ВЛАДЕЛЬЦА: Полный доступ: Эта папка, подпапки и файлы.

Добавить аутентифицированных пользователей: Список папок / Чтение данных, Создание папок / Добавление данных: Только эта папка

Добавить администраторов домена: Полный доступ: эта папка, подпапки и файлы.

Нажмите ОК.

Другая проблема была в моих правилах iptables, мне нужно было выполнить полностью новые цепочки и исправить порядок для каждого правила FORWARD, потому что это изменяет производительность при анализе пакета. Вот новые.

    #!/bin/ш
    
    #Очистка всех правил
    iptables -P ВХОД ПРИНЯТЬ
    iptables -P ПЕРЕСЫЛАТЬ ПРИНЯТЬ
    iptables -P ВЫВОД ПРИНЯТЬ
    iptables -t nat -F
    iptables -t mangle -F
    iptables-F
    iptables-X
    iptables -t raw -F
    
    # Основные таблицы
    iptables -A ВХОД -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАНО -j ПРИНЯТЬ
    iptables -A ВХОД -i lo -j ПРИНЯТЬ
    
    #
    
    iptables -A FORWARD -o virbr32 -s 192.168.1.0/24 -d 192.168.100.0/28 -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАННОЕ -j ПРИНЯТЬ
    iptables -A FORWARD -i virbr32 -s 192.168.100.0/28 -d 192.168.1.0/24 -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАННОЕ -j ПРИНЯТЬ
    iptables -A ПЕРЕСЫЛКА -o virbr32 -i br0 -j ПРИНЯТЬ
    iptables -A ПЕРЕСЫЛКА -i virbr32 -s 192.168.100.0/2 -j ПРИНЯТЬ
    iptables -A ПЕРЕСЫЛКА -i virbr32 -o virbr32 -j ПРИНЯТЬ
    iptables -A FORWARD -i virbr32 -j LOG --log-prefix "iptables-FORWARD-REJECT: "
    iptables -A FORWARD -i virbr32 -j REJECT --reject-with icmp-port-unreachable
    
    # Маскировка локальной подсети
    iptables -t nat -A POSTROUTING -s 192.168.100.0/28 -j МАСКАРАД
    # Не маскируйтесь под эти зарезервированные блоки адресов.
    iptables -t nat -A POSTROUTING -s 192.168.100.0/28 -d 224.0.0.0/24 -j ВОЗВРАТ
    iptables -t nat -A POSTROUTING -s 192.168.100.0/28 -d 255.255.255.255/32 -j ВОЗВРАТ
    
    # Малый и средний бизнес
    # RPC EPM TCP 135
    # RPC через HTTPS TCP 593
    # SMB (для именованных каналов) TCP 445
    # Эфемерный диапазон, динамический *
    iptables -I ПЕРЕНАПРАВИТЬ 6 -o virbr32 -i br0 -m conntrack --ctstate НОВЫЙ -p tcp -d 192.168.100.12 --dport 445 -j ПРИНЯТЬ
    iptables -I ПЕРЕНАПРАВИТЬ 7 -o virbr32 -i br0 -m conntrack --ctstate НОВЫЙ -p tcp -d 192.168.100.12 --dport 139 -j ПРИНЯТЬ
    
    # Принимать пакеты DNS (порт 53) и DHCP (порт 67) от виртуальных машин.
    iptables -I ПЕРЕНАПРАВИТЬ 8 -o virbr32 -i br0 -m conntrack --ctstate НОВЫЙ -p tcp -m tcp -m multiport --dports 53,67 -j ПРИНЯТЬ
    iptables -I ПЕРЕСЫЛКА 9 -i virbr32 -o br0 -m conntrack --ctstate НОВЫЙ -p udp -m udp -m multiport --dports 53,67 -j ПРИНЯТЬ
    
    #
    
    #
    
    # Два правила ниже гарантируют, что будут проверены только TCP-пакеты. Все остальные
    # продолжаем в таблице *filter.
    iptables -t raw -N TCPFLAGS
    iptables -t raw -A ПРЕДВАРИТЕЛЬНАЯ МАРШРУТИЗАЦИЯ -p tcp -j TCPFLAGS
    iptables -t raw -A PREVEREUTING -j ACCEPT
    
    # Быстро принимать стандартные рукопожатия
    # РАЗРЕШИТЬ ACK или ACK/SYN
    #-A TCPFLAGS -j ПРИНЯТЬ
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,ACK,URG,PSH,RST ACK -j ACCEPT
    
    # Разрешить ACK/FIN с URG или PSH, или обоими, или ни с одним
    # но SYN и RST не могут быть установлены
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,SYN,ACK,RST ACK,FIN -j ACCEPT
    
    # Разрешить SYN или ACK/SYN
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,SYN,URG,PSH,RST SYN -j ACCEPT
    
    # Разрешить RST или ACK/RST
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN,SYN,URG,PSH,RST RST -j ACCEPT
    
    # Это правило отлавливает атаки типа "рождественская елка" и "плавник"
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags FIN FIN -j DROP
    # Это правило отлавливает атаки xmas-tree и syn/rst
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags SYN SYN -j DROP
    
    # Это правило отлавливает нулевые атаки
    iptables -t raw -A TCPFLAGS -p tcp --tcp-flags ВСЕ НИКАКИХ -j ОТКАЗАТЬ
    
    #-A TCPFLAGS -p tcp -ecn-tcp-cwr -j ОТБРОС
    # эти правила отлавливают плохие комбинации ack
    #-A TCPFLAGS -p tcp --tcp-flags ACK ACK -j ACC
    #iptables -t raw -A TCPFLAGS -j ACCEPT
    
    # Итак, что мы принимаем для TCP?
    # рукопожатия (ACK/FIN), (ACK/SYN), (SYN), (ACK), (RST), (ACK/RST),
    # и пакеты данных с PSH или URG или FIN или ACK
    
    #
    
    #Лог-пакеты сброшены
    iptables -A ВХОД -m limit --limit 2/мин -j ЖУРНАЛ --log-prefix "IPTables-INPUT-Dropped: " --log-level 4
    iptables -A FORWARD -m limit --limit 2/min -j LOG --log-prefix "IPTables-FWD-Dropped: " --log-level 4
    iptables -A ВЫВОД -m limit --limit 2/мин -j ЖУРНАЛ --log-prefix "IPTables-OUTPUT-Dropped: " --log-level 4

Как вы можете видеть, я использовал iptables -I FORWARD вместо iptables -A FORWARD, потому что с этим можно выполнить упорядоченные правила в моей таблице фильтров, поместив сначала более важные правила, а затем более глубоко после DROP или deny остальные. Все правила FORWARD идут перед этой строкой

    iptables -A ВХОД -p icmp --icmp-type 8 -m conntrack --ctstate НОВЫЙ -j ПРИНЯТЬ

Редактировать: Мне нужно только внести некоторые изменения, чтобы увеличить скорость передачи при копировании файлов с виртуальной машины наружу в локальной сети 192.168.1.0/24, я не могу взять больше 4 Мбит/с. Любые советы будут оценены по достоинству!!

~ список маршрутов

~ список маршрутов

~ brctl шоу

~ правила iptables

решение1

Связанный контент