» Kerio WinRoute Firewall (часть 3)

Yips а мне не важна точность. Мне важно - кто куда и когда ходил. Или пытался ходить. Точность, конечно, хотелось бы. Но инет все равно безлимитка, так что не обязательно. А вот четкость - чтобы было ясно написано, кто куда и когда - это важно.

Народ, чем можно вытащить пароль на POP3, из Kerio? Я уже перепробавал кучу прог, есть что-нибудь опробованное, чтобы наверняка?

Ничего не понимаю.
Задал пользователю IP. Чтобы считать траффик с этого компа. Получилось отлично. Все считает, в логах имя пользователя пишет, активные соединения для пользователя показывает - красота.
Задаю другому. Ничего: пользователь не авторизован, траффик не считается, вместо имени пользователя в логах - его ИП.
В чем разница????
И в догонку вопрос: если я двум разным пользователям укажу один и тот же ИП - что будет? Сам проверить не могу, потому что см выше.

Добавлено:
После апгрейда КВФ с 6.3.0 до 6.4.2 перестало работать непосредственное копирование с ФТП на ФТП. Ошибка - 1:500 Illegal PORT command. В чем может быть проблема - в Керио ли? Или в руках админа, т.е. моих?
Настройки не менял, ставил поверх.

Vali76

Цитата:

С уважением, ваш зануда

Вот тогда ответь на такой вопрос...

Цитата:

пользователь прет в инет по протоколу TCP:1234 (х/з) - случайный для примера взят 1234

Прога к примеру azureus и как ты будеш авторизовать клиента? Ведь окошка для ввода пароля не будет, как не будет и возможности включить в р2р протокол авторизацию.
Остаётся 2-3 варианта...
1. МАС адрес+DHCP.
2. установка клиента как в ISA (керио не подходит хотя можно поизвращаться с локльными проксиками или клиентами).
3. VPN для каждого клиента.
Вот и выбирай...

Добавлено:
INNO SANCTUM

Цитата:

И в догонку вопрос: если я двум разным пользователям укажу один и тот же ИП - что будет? Сам проверить не могу, потому что см выше.

Будет считаться трафик на того кого первого найдёт в списке.


Добавлено:

Цитата:

После апгрейда КВФ с 6.3.0 до 6.4.2 перестало работать непосредственное копирование с ФТП на ФТП. Ошибка - 1:500 Illegal PORT command. В чем может быть проблема - в Керио ли? Или в руках админа, т.е. моих?

Подробнее пожалуйста...
Поставь отдельное правило на фтп и включи логирование на нём и посмотри почему отбрасывается.

Ruza
Так и сделал. При включенном инспекторе протокола выдает
[04/Jun/2008 11:06:28] FTP: Bounce attack attempt: client: 192.168.0.44, server: 77.120.103.197, command: PORT 77,120,103,197,198,116

Настораживает совпадение атрибутов команды PORT с ИП сервера...
Клиент (Тотал Коммандер) сообщает, что "возможно запрещено файрволом".

При отключенном инспекторе протокола клиент вываливает 500 illegal PORT, керио же молчит.
Ну, как - молчит:

Код:
[04/Jun/2008 10:19:41] PERMIT "Alow FTP" packet to Krimar Local, proto:TCP, len:116, ip/port:77.120.103.197:21 -> 192.168.0.10:1343, flags: ACK PSH , seq:4095762155 ack:171685426, win:65535, tcplen:76
[04/Jun/2008 10:19:41] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:40, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK , seq:171685426 ack:4095762231, win:65383, tcplen:0
[04/Jun/2008 10:19:41] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:40, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK , seq:171685426 ack:4095762231, win:65383, tcplen:0
[04/Jun/2008 10:19:41] PERMIT "Alow FTP" packet from TelNet, proto:TCP, len:63, ip/port:77.120.103.197:21 -> 195.138.168.40:1343, flags: ACK PSH , seq:4095762231 ack:171685426, win:65535, tcplen:23
[04/Jun/2008 10:19:41] PERMIT "Alow FTP" packet to Krimar Local, proto:TCP, len:63, ip/port:77.120.103.197:21 -> 192.168.0.10:1343, flags: ACK PSH , seq:4095762231 ack:171685426, win:65535, tcplen:23
[04/Jun/2008 10:19:41] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:46, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685426 ack:4095762254, win:65360, tcplen:6
[04/Jun/2008 10:19:41] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:46, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685426 ack:4095762254, win:65360, tcplen:6
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet from TelNet, proto:TCP, len:93, ip/port:77.120.103.197:21 -> 195.138.168.40:1343, flags: ACK PSH , seq:4095762254 ack:171685432, win:65535, tcplen:53
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet to Krimar Local, proto:TCP, len:93, ip/port:77.120.103.197:21 -> 192.168.0.10:1343, flags: ACK PSH , seq:4095762254 ack:171685432, win:65535, tcplen:53
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:66, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685432 ack:4095762307, win:65307, tcplen:26
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:66, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685432 ack:4095762307, win:65307, tcplen:26
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet from TelNet, proto:TCP, len:119, ip/port:77.120.103.197:21 -> 195.138.168.40:1343, flags: ACK PSH , seq:4095762307 ack:171685458, win:65535, tcplen:79
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet to Krimar Local, proto:TCP, len:119, ip/port:77.120.103.197:21 -> 192.168.0.10:1343, flags: ACK PSH , seq:4095762307 ack:171685458, win:65535, tcplen:79
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:40, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK , seq:171685458 ack:4095762386, win:65228, tcplen:0
[04/Jun/2008 10:19:42] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:40, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK , seq:171685458 ack:4095762386, win:65228, tcplen:0
[04/Jun/2008 10:19:43] PERMIT "Alow FTP" packet from TelNet, proto:TCP, len:63, ip/port:77.120.103.197:21 -> 195.138.168.40:1343, flags: ACK PSH , seq:4095762386 ack:171685458, win:65535, tcplen:23
[04/Jun/2008 10:19:43] PERMIT "Alow FTP" packet to Krimar Local, proto:TCP, len:63, ip/port:77.120.103.197:21 -> 192.168.0.10:1343, flags: ACK PSH , seq:4095762386 ack:171685458, win:65535, tcplen:23
[04/Jun/2008 10:19:43] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:46, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685458 ack:4095762409, win:65205, tcplen:6
[04/Jun/2008 10:19:43] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:46, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685458 ack:4095762409, win:65205, tcplen:6
[04/Jun/2008 10:19:43] PERMIT "Alow FTP" packet from TelNet, proto:TCP, len:92, ip/port:77.120.103.197:21 -> 195.138.168.40:1343, flags: ACK PSH , seq:4095762409 ack:171685464, win:65535, tcplen:52
[04/Jun/2008 10:19:43] PERMIT "Alow FTP" packet to Krimar Local, proto:TCP, len:92, ip/port:77.120.103.197:21 -> 192.168.0.10:1343, flags: ACK PSH , seq:4095762409 ack:171685464, win:65535, tcplen:52
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:60, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685464 ack:4095762461, win:65153, tcplen:20
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:60, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK PSH , seq:171685464 ack:4095762461, win:65153, tcplen:20
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet from TelNet, proto:TCP, len:113, ip/port:77.120.103.197:21 -> 195.138.168.40:1343, flags: ACK PSH , seq:4095762461 ack:171685484, win:65535, tcplen:73
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet to Krimar Local, proto:TCP, len:113, ip/port:77.120.103.197:21 -> 192.168.0.10:1343, flags: ACK PSH , seq:4095762461 ack:171685484, win:65535, tcplen:73
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:40, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK , seq:171685484 ack:4095762534, win:65080, tcplen:0
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:40, ip/port:192.168.0.10:1343 -> 77.120.103.197:21, flags: ACK , seq:171685484 ack:4095762534, win:65080, tcplen:0
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet from Krimar Local, proto:TCP, len:46, ip/port:192.168.0.44:1949 -> 77.120.103.197:21, flags: ACK PSH , seq:731519318 ack:911740217, win:64688, tcplen:6
[04/Jun/2008 10:19:44] PERMIT "Alow FTP" packet to TelNet, proto:TCP, len:46, ip/port:192.168.0.44:1949 -> 77.120.103.197:21, flags: ACK PSH , seq:731519318 ack:911740217, win:64688, tcplen:6

INNO SANCTUM
а можеш лог ftp сервера с этой машины посмотреть 77.120.103.197

Добавлено:
Ну и в догонку попробуй в winroute.cfg в разделе ФТП поставить 0
Короче тут:

Цитата:

<table name="Ftp">
<variable name="BounceProtect">0</variable>
</table>

Код:
[Wed Jun 4 08:55:46 2008] [error] [client 195.138.168.40] FastCGI: server "/home/krimar/data/php-bin/php" stderr: PHP Warning: ini_restore() has been disabled for security reasons in /home/typo3_kernel/typo3_src-4.1.3/t3lib/class.t3lib_db.php on line 897
[Wed Jun 4 08:55:46 2008] [error] [client 195.138.168.40] FastCGI: server "/home/krimar/data/php-bin/php" stderr: PHP Warning: ini_restore() has been disabled for security reasons in /home/typo3_kernel/typo3_src-4.1.3/t3lib/class.t3lib_db.php on line 898

Ruza

ну в принципе я так и думал, но ведь была надежда, ведь керио авторизует по айпи у пользователя, думал может я, что не так делал , не хочу ничего у клиентов ставить, нужно чтобы все прозрачно было для них!!!

короче гемор полный, KWF - для ..., ну для ламерского решения, ведь клиентскую программу не на все поставишь, и VPN-клиента не везде поднимишь, к примеру терминальное оборудование попросту касса с выходом в инет ))

Vali76

Цитата:

ведь керио авторизует по айпи у пользователя

Ну так пусть керио и раздаёт ip адреса как dhcp сервер с прописанными мас адресами.

Добавлено:
И к твоему запросу не подойдёт НИ ОДИН firewall будь то железка или программный продукт.

Цитата:

KWF - для ...,

Ну не совсем понятно твоё заявление. Ведь таже ISA будет вести себя точно также при смене ИП, МАС, украденном сертификате и т.д.

помогите пожалуйста решить проблему! не могу сделать мапинг для банк клиента, который должен коннектиться на порт 1778!
в банк клиенте указываю ip сервера : ip kerio
port: 11778
в полисах прописываю:
source: lan
destination: firewall
service: TCP 11778
action: permit
translation: NAT (translation to IP address of outgoing interface(typical setting) )
MAP 83.242.145.182:1778

керио работает как прокси сервер, пользователи импортированы из домена. инет через проксю у пользователя работает нормально.
в логах connection есть такие записи:

[04/Jun/2008 10:01:25] [ID] 5230 [Rule] New rule [User] aleksandrova [Connection] TCP 192.168.7.117:1380 -> 83.242.145.182:1778 [Duration] 91 sec [Bytes] 144/0/144 [Packets] 3/0/3

[04/Jun/2008 10:06:24] [ID] 5410 [Rule] Local Traffic [User] aleksandrova [Connection] TCP 192.168.7.117:1402 -> kerio.forafarm.lan:4444 [Duration] 22 sec [Bytes] 774/566/1340 [Packets] 7/5/12

ничего не понимаю... в error ничего нет... помогите пожалуйста!

voffka1984
тут надо по другому немного типа:
lan - bank - 1778 - permit - nat (МАР не нужен) - PI (по желанию)

что такое PI ???
bank в смысле IP банка?

voffka1984
PI - это прокси инспектор
bank - это действительно хост банка

Ruza, прости, что за прокси инспектор? это где указывается?!

voffka1984

Цитата:

это где указывается?!

на строке правой кн. мышки - модифицировать колонки - добавить галку на П.И.

voffka1984
Блин!! PI - это protocol inspector
Включается - в Traffic Policy щёлкнуть правой кнопкой выбрать Modify Culumns и там увидишь то что тебе нада

а каково его назначение? зачем он нужен?

voffka1984
поиск...

Ruza ну зачемже ни один есть такой замеееечательный продукт как трафик инспектор так он делает авторизацию как по айпи или по мак или по имени и паролю или комбинируеться, но есть одно маааленькое но мне ТИ чтото не подуше постоянное чувство неудовлетворенности, недоделанности.

насчет раздает айпи дашсп в керио, а что разве в керио есть привязка пользователя к маку - вот незнал будем копать

короче я для себя понял, что я в принципе уже и так знал про КВФ, просто я достаточно само критичен чтобы усомниться в своих знаниях, и решил прозондировать здесь

я извеняюсь если вел себя как либо недостойно

всем привет
может кто подскажеть - заметил такую шнягу - Скайп - создает жутко много содеинений своих и все они висят в керио - в конце концов керио начинает подглюкивать - то днс не разрешает имена - то авторизация... ни кто с такой темой не работал?

Hrist
И еще он срет в логах. Но в твоем направлении я не работал к сожалению...

Кто нибудь проводил систему УкрЗализницы Месплан через Kerio Winroute Firewall.

Как сделать?

Заранее благодарю за ответы!

Уточняю требования для системы МЕСПЛАН:

Для подключения необходимо, чтобы были открыты UDP-порты 1701 (на выход), 500 (на вход и выход) и 4500 (на вход и выход – если используется NAT).
Если компьютер, на котором устанавливается VPN-подключние, имеет IP-адрес из частного адресного пространства (сети 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12), необходимо организовать NAT(PAT)-трансляцию этого адреса во внешний IP-адрес. При этом на компьютере должен быть установлен Service Pack 2.

Используется адресное пространство 192.168.0.0/16.

steelth
а как в керио реализуется выдача публичного айпишника впн клиенту?


Добавлено:
кстати любопытно, может кто знает, керио зохавает впн подключение если к нему будет пытаться подключиться машрутизатор линксайс

Народ,два вопроса - как настроить керио на приемку почты из жмайла(правило https добавлено,но почта не принимается) и почему не открывается версия для печати через керио?

MagistrAnatol

нужно правило что-то вроде:
sourse: lan
destination: firewall
service: tcp 25
action: parmit
translation: nat map xxx.жмайл.ру (посмотри у них смтп нужный тебе)
ну и такое же правило для поп

Подскажите, есть возможность ограничить размер файлов, которые скачиваются? Если нет в керио, поделитесь кто и как выходит из положения?

как правильно написать правила в винроуте при следующих условиях:
Имеется один ПК с установленным винроутом и с двумя сетевыми картами к которым подключены две разных сетки (в том числе Интернет к каждой от разных провайдеров). Нужно чтобы через одну сетевую карту ПК лазил на определенный диапозон IP а через другую везде кроме кроме IP прописаных для первой сетевой. Подскажите плиз...

народ поставил ProxyInspector for WinRoute 2.7x нужно лекарство... может кто поделится?

SHRIKE74

Цитата:

кстати любопытно, может кто знает, керио зохавает впн подключение если к нему будет пытаться подключиться машрутизатор линксайс

У керио свой собственный впн клиент. Врядли "машрутизатор линксайс" его юзает.
Или может я не понял вопроса?