» Deerfield VisNetic Firewall 2.0

Цитата:

"block incoming fragments" появляеться только в разрешаюших правилах

- И оставляй их там, не убирай.

у меня вопрос почему когда я создаю правило на закрытие какого-нибудь порта, он по идее должен быть закрыт. Но когда я в этом файрволе открываю вкладку "Ports" у меня показан что этот порт открыт.

например:
правило - Block My address [139] <-> All addresses [1024-65535]
должен блокироваться этот порт, но
во вкладке Ports - TCP 139 c:\windows\system32

он получаеться открыт ???

Цитата:

когда я в этом файрволе открываю вкладку "Ports"

- Какая версия стенки?
У меня такой вкладки нет.
Или по-другому как-то зовется, может?

у меня 2.26
но у меня 8signs firewall
я читал что по идее это одно и тоже, только иконки в трее разные.
вкладка рядом с вкладками - Tarpit, connections, ban list, log

loat

Цитата:

правило - Block My address [139] <-> All addresses [1024-65535]
должен блокироваться этот порт, но
во вкладке Ports - TCP 139 c:\windows\system32
он получаеться открыт ???

1) На закладке ports тебе показываются открытые порты и программы, которые эти порты слушают
2) файрвол закрывает тебе доступ к порту из вне через конкретный интерфейс.

Т.е. с внешней стороны он будет закрыт, но это не значит, что программа не будет его слушать или не будет доступа к этому порту с локальной машины (если ты и это не закроешь правилом)

Цитата:

вкладка рядом с вкладками - Tarpit, connections, ban list, log

Ясно, пора мне обновляться (уже годик не менял, всё на 2,2 первой сборки сижу)

Хм, это так задуманно или глюка? стоит 2.26, поставил чтобы в выключенном состоянии блокировал все. Захожу под собой, все ок, все работает, после меня работет мой братишка, у него другой профиль. Так вот когда я выхожу из своего профиля файрвол выгружается, и потом больше автоматом не загружается, те братишка сидит без инета.

Как его так настроить чтобы он с запуска системы висел постоянно, не выгружаясь?

Цитата:

Как его так настроить чтобы он с запуска системы висел постоянно, не выгружаясь?

- А может, изначально под админом заинсталлить? Чтоб его записи сидели не в ветках реестра Hkey_current_user , а в ветке Hkey_local_machine..
С ХР мало работал, но вроде как там еще можно чего-то добиться, добавляя проги в раздел стартап папки all users (типа в любой профиль загружает)

Заметил интересный глюк: некоторые ИП адреса из банлиста сбрасывает, правда они вскоре снова там появляются (снизу) благодаря автобану..
Ни у кого такого не было?

Люди, помогите с настройкой фаера (visnetic 2.26). Фаер стоит на серваке (win2000Server). Поднят nat виндозовскими средствами (RRAS). Две сетевухи (инет и локалка). Доступ до прова происходит с помощью vpn. Для локальной сетевухи разрешен полный доступ, для vpn адаптера (он в фаере определился как диалап адаптер) прописаны правила. Проблема в том что с сервака инет робит, а вот с локальных машин нет, причем пинги с них до удаленных узлов ходят. Причем если в правилах отключить block incoming fragments, а в configuration - use stateful inspection, то все работает. Но как я понял, при таких настройках теряется большая часть "прелестей" этого фаера. На серваке также стоит tmeter3.25 (используется драйвер winpcap 3.0). Есть ли какие-нибудь соображения?

Kopyloff

Цитата:

Две сетевухи

Если в новых версия ничего не исправили то эта проблема уже обсуждалась:
http://forum.ru-board.com/topic.cgi?forum=5&bm=1&topic=8649&start=140

Kopyloff
в справке пишут про General Routing Encapsulation, может поможет если снять галку?

[q][/q]
Уже снимал, а также разрешал tcp трафик на 1723 порт провайдера...не помогает....буду экспериментировать дальше. Походу виснетик как то некорректно работает с vpn. Кстати, ставил Winrout 4.24, дык он даже БЕЗ включенных правил фильтрации весь трафик блокирует.

Цитата:

дык он даже БЕЗ включенных правил фильтрации весь трафик блокирует.

- Если в конфигурации указано (а по дефолту указано!), что пакеты, не подходящие ни под одно правило, блокируются, то именно так и должно быть.
Если охота блокировать исключительно то, что указано правилами, а остальное пропускать (и этим создавать возможность пролезть к тебе пакетами без идентификатора ака "неизвестный пакет") - заходи в конфигурацию - адвансед - и выставляй галки.

Есть 2 компа - [more=ноут и десктоп]

ноут:

ipconfig /all

Windows IP Configuration

Host Name . . . . . . . . . . . . : xxx
Primary Dns Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Local Area Connection:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Marvell Yukon Gigabit Ethernet 10/100/1000Base-T Adapter, Copper RJ-45
Physical Address. . . . . . . . . : 00-11-D8-8B-1A-CF
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.0.10
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.0.1



десктоп:

ipconfig /all

Windows IP Configuration

Host Name . . . . . . . . . . . . : abc
Primary Dns Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Local Area Connection:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethernet NIC
Physical Address. . . . . . . . . : 00-0D-88-42-62-96
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.0.11
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :
[/more]

Соединены кроссовером, IP прописаны ручками:
Пока VisNetic (8Signs тоже пробовался) стоит на ноуте, пинги не ходят! Пробовалось: разрешение ARP, разрешение пингов, разрешение всего траффика, выгрузка фаера. Ни в какую! Снос фаера - все работает!

Во время пингов, пока правил никаких не было, VisNetic (8Signs) писал следующее:
[more]...
2005/06/13, 23:22:29.484, GMT +0400, 1005, Device 1: Address=0.0.0.0, "Dial-Up Adapter"
2005/06/13, 23:22:29.500, GMT +0400, 1005, Device 2: Address=192.168.0.10, "Local Area Connection"
2005/06/13, 23:23:18.921, GMT +0400, 2011, Device 2, Blocked outgoing UDP packet (no matching rule), src=192.168.0.10, dst=192.168.0.255, sport=137, dport=137
2005/06/13, 23:23:19.656, GMT +0400, 2011, Device 2, Blocked outgoing UDP packet (no matching rule), src=192.168.0.10, dst=192.168.0.255, sport=137, dport=137
2005/06/13, 23:23:20.406, GMT +0400, 2011, Device 2, Blocked outgoing UDP packet (no matching rule), src=192.168.0.10, dst=192.168.0.255, sport=137, dport=137
2005/06/13, 23:23:26.515, GMT +0400, 2019, Device 2, Blocked outgoing ARP packet (no matching rule), src=192.168.0.10, dst=192.168.0.11
2005/06/13, 23:23:32.015, GMT +0400, 2019, Device 2, Blocked outgoing ARP packet (no matching rule), src=192.168.0.10, dst=192.168.0.11
2005/06/13, 23:23:37.515, GMT +0400, 2019, Device 2, Blocked outgoing ARP packet (no matching rule), src=192.168.0.10, dst=192.168.0.11
2005/06/13, 23:23:43.015, GMT +0400, 2019, Device 2, Blocked outgoing ARP packet (no matching rule), src=192.168.0.10, dst=192.168.0.11
...[/more]

А вот лог того outgoing ARP packet'a:

[more]2005/06/13, 23:26:39
Adapter:Local Area Connection
Packet was:Blocked
Device 2, Blocked outgoing ARP packet (no matching rule), src=192.168.0.10, dst=192.168.0.11

Packet size = 42 bytes

- - - - - - Ethernet header - - - - - -

Destination: FF-FF-FF-FF-FF-FF (Broadcast)
Source: 00-11-D8-8B-1A-CF
Protocol Type: 08-06 (ARP)

- - - - - - ARP header - - - - - -

Hardware Address Space: 1
Protocol Address Space: 08-00
Hardware Address Length: 6
Protocol Address Length: 4
OpCode: 1 (ARP request)
Sender Hardware Address: 00-11-D8-8B-1A-CF
Sender IP Address: 192.168.0.10
Target Hardware Address: 00-00-00-00-00-00
Target IP Address: 192.168.0.11

0000: FF FF FF FF FF FF 00 11 D8 8B 1A CF 08 06 00 01 ........Ш..П....
0010: 08 00 06 04 00 01 00 11 D8 8B 1A CF C0 A8 00 0A ........Ш..П....
0020: 00 00 00 00 00 00 C0 A8 00 0B ..........
[/more]

Что пробовалось:
1. Разрешение ARP траффика.
Результат - логи пустые, arp -a выдает "No ARP Entries Found".

2. arp -s ... и ручками IP=MAC.
Результат - в логах блокируется ICMP траффик, arp -a выдает то, что должен.

3. Разрешение ICMP траффика.
Результат - логи пустые, arp -a выдает то, что должен, ПИНГИ, есесснно, НЕ ХОДЯТ!!!

4. Разрешение всего траффика, выгрузка VisNetic'a.
Результат - пинги не ходят.

Что делать? Очень не хочу с сабжа слезать.

Сам спросил, сам отвечаю .
С самого начала я подозревал, что проблема была именно в совместимости фаера с сетевушкой. Вобщем, так и оказалось. Новые дрова решили проблему.

Помогите с проблемой!!!
Есть Server 2003 EE ставлю прокси WinGate 5.2.3 и файрвол VisNetic 2.2.6 - блокируются все сетевухи WinGate перестаёт их видеть и VisNetic их не определяет. Когда стоит или прокси или файрвол один всё нормально. В чём моя проблема???

Цитата:

Во время пингов, пока правил никаких не было, VisNetic (8Signs) писал следующее:
...
Device 2, Blocked outgoing UDP packet (no matching rule),

- Разумеется! Ведь по умолчанию при отсутствии правила идет блок.
Если охота это сменить - адаптер - конфигурация - адвансед - третья закладка - действия для неопознанных пакетов - разрешить. (хотя, как упоминал, это небезопасно)

ЗЫ. а чего при инсталле выни модем ставил? Если интегрированный, надо было еще до инсталла в биосе вырубить..

Цитата:

Что пробовалось:
1. Разрешение ARP траффика.
Результат - логи пустые, arp -a выдает "No ARP Entries Found".

- А в правиле указал, что кроме allow, надо еще и log /log packet? (для разрешающих это часто забывается и выглядит, будто их (пакетов) нет)
Цитата:

3. Разрешение ICMP траффика.
Результат - логи пустые, arp -a выдает то, что должен, ПИНГИ, есесснно, НЕ ХОДЯТ!!!

- А какого трафика разрешение делал? Если сервис "пинговать других" (out=8 (ping request), in=0 (ping reply)), тогда должон пропускать. Если что-либо другое - фига.



Добавлено:
multiki

Цитата:

ставлю прокси WinGate

- А он своих функций стенки не имеет случаем? Конфликтов на тему "кто первый получит и обработает пакет" не происходит случаем?

Поставил сабж версии 2.2.6 на win2003 server EE + SP1. Обнаружил такие глюки :
- Не отображаются открытые порты во вкладке Ports
- Криво работет автоматическая прокрутка лога. Т.е. открываю лог, бегунок прокрутки
окна лога стоит вверху, а новые записи добавляются где-то в конце лога.

Это у всех так или у меня руки кривые?

ЗЫ На win2000 Srv все нормально работает...

Цитата:

- Криво работет автоматическая прокрутка лога. Т.е. открываю лог, бегунок прокрутки
окна лога стоит вверху, а новые записи добавляются где-то в конце лога.

- Тоже заметил на последней - 2,6. Лог то нормально идет - по последним значениям, то вверх страницы убегает. Закономерность (чего делаю не так, или чего не делаю) пока не установил.

Цитата:

- Не отображаются открытые порты во вкладке Ports

- Что на 98, что на ХРпро прекрасно отображает. В реальном времени добавляет и убирает при работе прог.

как побороть следующий момент, ставлю пароль на доступ к файрволлу а потом запустив визард и создав новую конфигурацию пароль аннулируеся и файрволл грузится с полным доступом

Hi, All!
Никто часом не встречался с такой проблемой?
Стоит w2k3 сервер + Visnetic.
Все прописано, все работает. И в один прекрасный момент обнаруживается, что есть проблема с забором почты по протоколу POP3
Сейчас объясню подробнее.
Есть правило, на основе стандартного...
мой адрес любой порт <> любой адрес 110 порт
забирается почта со всех адресов, кроме одного.
спотыкается система на командах
TOP
UIDL
RETR
а точнее на первой встретившейся.
При этом USER, PASS, STAT, LIST работают нормально.
В логах есть только строчка о том что пакет на 110 порт пропущен...
При отключенном фаере все работает.
В процессе экспериментов было выяснено, что если убрать галку "blocking incoming fragment" в настройках правила для 110 порта и убрать галку "Use Stateful inspection" то соединение работает нормально.
Самое интересное, что такая ситуация появлялась только на одном почтовом ящике. Забирание почты по тому-же POP3 с других ящиков происходит без проблем.
Может кто сталкивался с подобными граблями, что было-то?

Цитата:

и убрать галку "Use Stateful inspection" то соединение работает нормально.

- Согласно ману, это правило запрещает поступление любого пакета, если он не был запрошен изнутри. С технологией работы почт. сервисов не знаком, эта ли причина - зависит от того, посылается ли при нормальной работе какой-либо запрос с компа каждый период времени, в ответ на который может прийти сообщение о приходе почты.

Если не это, то, вероятно, на том адресе настройки фрагментации пакетов отличаются от общепринятых и поскольку фрагменты не пускает, получается, что весь пакет не прошел. Могу предложить поглядеть в этом направлении..

Цитата:

- Согласно ману, это правило запрещает поступление любого пакета, если он не был запрошен изнутри. С технологией работы почт. сервисов не знаком, эта ли причина - зависит от того, посылается ли при нормальной работе какой-либо запрос с компа каждый период времени, в ответ на который может прийти сообщение о приходе почты.

Если не это, то, вероятно, на том адресе настройки фрагментации пакетов отличаются от общепринятых и поскольку фрагменты не пускает, получается, что весь пакет не прошел. Могу предложить поглядеть в этом направлении..

да, но по идее опция "Use Stateful inspection" - это трассировка пакетов для сборки фрагментированных, подобно модулю ip_conntrack в iptables, а посему, если дефрагментация не производится - это баг

Teo

Цитата:

но по идее опция "Use Stateful inspection" - это трассировка пакетов для сборки фрагментированных,

Цитата:

Stateful inspection firewalls determine whether packets can get through the firewall based on the protocol, port, and source and destination addresses. For every request that is allowed by the strategy, stateful inspection firewalls open up a limited time window to allow response packets, but ONLY from the same host. Also, by maintaining information about previous packets, stateful inspection firewalls can quickly verify that packets meet the criteria for authorized traffic, making them inherently fast.

(C)help->glossary

а-а-а, типа RELATED ...
всё, тогда понял...
это надо посмотреть tcpdump'ом конечно, как проходит траф, но тут я не спец, хотя послушать и сюда принести можно, может навскидку чё и придёт в голову

Народ подскажите в visnetic у одного меня группы по ip и портам не работают (причем это пошло с какйто версии не помню, помню что работало до одного из обновлений), V2.26 и 2.3 beta. В 8signs все ок.
Еще глюки с порядком отображения логов по времени у когонить были, в обоих версиях, в бете вроде нет (долго не изучал, из-за глюков с группами наверное снесу).
Если мне разрешать мои шары с 5 компов то че 10 правил чтоли писать, если они это не доглядели то какие еще ошибки в обороне.

P.S. Юзаю сабж уже года полтора, димаю перейти но зоне аларм, но там правила по дурному пишуться. Блин выпускали бы CheckPoint Home Edition

alex st
Создай IP-группу для шар, впиши туда все нужные компы. Затем при создании разрешительного правила фильтрации для шар, укажи эту группу.
Когда указываешь IP-адрес в группе (и не только), лучше не указывать IP/маска, а выбрать диапазон IP и вписать одинаковое значение в оба окна. IP/маска, бывает, глючит.
Возможно, придётся Визнетик деинсталлировать, очистить папку, и установить заново.

2АЛЛ.
Не пытайтесь скрестить два файрволла или файрволл/роутер, т.к. они оба ставят низкоуровневые драйверы, которые конфликтуют. Например Sygate с Визнетиком работать не будет. Или Визнетик с Винрутом. Можно бездрайверный файрволл поставить, например BlackIce 3.6 отлично работает с Визнетиком 2.26.

По поводу логов - лог обновляется ежедневно, кроме того при сбросе буфера в лог-файл, буфер в памяти очищается, поэтому, видимо, и есть вопросы, что лог файл неравномерно идёт в окне (имхо)

Кроме того любой файрволл (особенно драйверный) лучше ставить на чистую винду, а не на ту, где куча файрволлов до него перебывала.. Могут остаться пакетные драйверы или мешающие записи реестра.

Iliasla
Ну блин так все и делаю ничего не помогает даже переустановка, с 8signs все ок.
Если указываеш IP/маска то бывает вообще в группе не запоминается.

Кстати если сделать группу портов 139 и 445 например то в настройки девайса полоска портов с 1 до445 все будет зеленая- тоже глюк.

Все на win2003+ХР.

На чистую ставить не всегда получится, но все глюки вышеописанные были системах на 4.

alex st
Я использую Визнетик версию 2.26 с кейгеном.
Работает нормально. XP SP1, SP2, 2003...
Может у Вас версия кривая?

>Кстати если сделать группу портов 139 и 445 например то в настройки девайса полоска
>портов с 1 до445 все будет зеленая- тоже глюк.
Я посмотрел (у меня куча правил) - вся полоска в любом положении красная, хотя раньше помню, что и зеленый цвет был.. странно... но тем не менее всё работает..