» Kerio WinRoute Firewall (часть 4)

DzOOMer, у тебя модем рутером стоит? Если да, то копайся в настройках его фильтров.

StBender
а как узнать рутер он или нет?

модем у меня ZyXЕL OМNI АDSL USВ.

DzOOMer
Если в качестве шлюза указываешь ip модема - он роутер, если запускаешь соединение с компьютера - он бридж.

соединение по этому модему я вручную запускаю с рабочего стола...

Leo1000

Цитата:

соединение по этому модему я вручную запускаю с рабочего стола...

Логично предположить, что

Цитата:

он бридж.

DzOOMer
А в настройках TCP случаем не стоит галка "Разрешить NETBIOS...."?

Leo1000
StBender

тогда в этом случае как запрятать 137 и 138 порты?

DzOOMer, хм честно с бриджами никогда не сталкивался, поэтому не могу сказать что у тебя, но если следовать тому, что говорит Leo1000, то у тебя наверное бридж.
Попробуй отключи нетбиос на карточке, смотрящей в нет.

StBender

Ну можно ведь и "автологин" через скрипт сделать.

DzOOMer
Поставить файерволл и в нем их заблокировать.

Starshark2007, можо, только я в скриптах ничерта не шарю( Да и нужды острой пока нет.

Leo1000
так а что то что у меня щас стоит Kerio WinRoute Firewall не файрвол чтоли?
или ты чтото другое имееш ввиду?

StBender
нетбиос везде отключен, также служба нетбиос через TCP/IP остановлена...

DzOOMer, хм попробуй конкретно указать не эни эни, а инетфейс на файервол, и дропнуть эти порты, но сдаётся мне что они какие либо дефолтные, хотя могу ошибаться.
ЗЫ: у меня модем рутером, просканил порты: все нетбиосы закрыты.

StBender

дык закрыты (closed) и невидимы (stealthed) - разные вещи... надо чтобы были не закрыты, а невидимы...

DzOOMer

Цитата:

так а что то что у меня щас стоит Kerio WinRoute Firewall не файрвол чтоли?

Сорри, виноват, задумался...

Цитата:

надо чтобы были не закрыты, а невидимы...

Ну это в принципе не критично, не будут же вам фаер ломать ради этих портов. А закрыты они могут быть и по причине провайдера - в целях безопасности.

Подскажите пожалуйста как считать статистику в такой ситуации: WinRoute установлен на терминальном сервере, домена нет. Пользователи работают в терминальных сессиях.

niichavo

Добрый день, помогите решить мою проблему.

Пытаюсь настроить на сервере 2003 VPN от Microsoft.
На этом же компе стоит Керио.
Сервер в инет выходит через ADSL модем. (192.168.20.1) На модем смотрит интерфейс Lan1 (192.168.20.2)
Lan2 (192.168.10.1) смотрит в локальную сеть.
На модеме открыт порт PPTP.

Если соединяюсь клиентом с сервером без Kerio, то все работает, как минимум сервер и клиент пингуются.
Если включаю Kerio то клиент пишет что присоединился, ему даже IP выдается, на сервере видно что клиент занимает порт.
Но пинги не ходят от клиента к серверу и наоборот.

Настройки сервера 2003:
1. Lan1 - 192.168.20.2
2. Lan2 - 192.168.10.1
3. Поднимается VPN сеть (192.168.30.1 - 192.168.30.10) у сервера 192.168.30.1 клиенту выдается 192.168.30.2


Настройки Kerio:
1. DNS, DHCP отключен.
2. Прокси работает на порту 3128.
3. Имя группы адресов VPN "VPN Microsoft"
4. Правила для VPN. Правило поднято вверх, все остальные просто выключены.
    Source (Dial-In,VPN Microsoft, Lan1, Firewall)
    Destination (Dial-In,VPN Microsoft, Lan1, Firewall)
    Service (PPTP, GRE, Any ICPM, RDP)
    Permit

Подскажите что я не так делаю и что нужно настроить.

reznik123
А как работают пользователи - PROXY/NAT?
Если первое то поставить галку "Force non-transparent proxy server auth..."
Если второе то никак, только общий

kharkovmax

Цитата:

Если соединяюсь клиентом с сервером без Kerio, то все работает, как минимум сервер и клиент пингуются.

Так всё работает или не всё? Хотя бы по IP-адресам можешь зайти на компы локальной сети? Они к тебе? Ты по имени пингуешь или по IP? Какой адрес, если по IP? Возможно с маршрутизацией у тебя трудности. Разбей задачу на 2 этапа. Пусть у тебя вначале всё заработает без Kerio, а потом уже можешь врубать его и ковыряться в правилах.

Цитата:

3. Поднимается VPN сеть (192.168.30.1 - 192.168.30.10) у сервера 192.168.30.1 клиенту выдается 192.168.30.2

Ты выделяешь для VPN-клиентов IP-адреса из подсети отличной от твоей локальной - 192.168.10/24. У тебя с маршрутизацией всё в порядке? Когда включаешь Kerio, в маршрутах есть путь, обеспечивающий связь между VPN-клиентами и твоей локалки? Проще было бы выделить для VPN-клиентов IP-адреса из твоей локальной сети 192.168.10/24. Тогда не нужно заботиться о маршрутах.

Цитата:

Правила для VPN...

Убери из своего первого и единственного правила группу VPN Microsoft. Это правило только для PPTP туннеля. В качестве сервисов достаточно оставить PPTP и GRE. Второе правило создай для локального трафика, куда положи в source и destination DialIn и VPN Microsoft (мне кажется, что необходимости в этой группе нет). Ещё раз рекомендую посетить первую страничку и посмотреть на мои правила.

помогите написать правило HTTP Policy для блокировки cookie

вот тут можно почитать особенности: http://ru.wikipedia.org/wiki/Cookie

reznik123, если у тебя включён НАТ, то никак. Если же включён прокси и версия винрута не ниже 6,3,1 то в настройках аутентификации есть специальная галка: enable non-transparent proxy authentification или как-то так называется, её включаешь и теперь каждый запуск браузера будет вызывать окно аутнтификации.
kharkovmax, попробуй к едрене фене отключить прокси. Причём отключить, остановить сервис рестартнуть и посмотреть зарабит или нет.

StBender

Да в том то и дело что прокси отключал, и сервер перегружал .....

kharkovmax, хм... Тогда теряюсь в догадках. Единственное что смущает, это обилие сетевых фейсов у тебя. А так правила должны работать по-любому.

Люди, не могу найти ответ на такой вопрос, кто знает - подскажите. Каким образом раздается адресация на концы ВПН туннеля, если на обеих сторонах стоит "Получать адрес автоматически"?

marakez
в системах есть впн адаптеры, они то всё и получают а тебе советую не задумываться об этом, керио сам всё делает и лучше настройки в этих адаптерах не менять

Народ, подскажите. Может кто сталкивался?
Пытаюсь настроить NTLM аутентификацию.
Бьюсь уже месяц, Керио выкидывает окно авторизации для доступа к шлюзу (я так понимаю, чтобы получить от шлюза список учетных записей).
Трабла похоже в политике или доступах шлюза или домена (win2008), но никак не найду причину.
Раньше уже настраивал NTLM на win2003, все бегало с полпинка.

Имеется:
1. Windows XP Professional SP2.
2. Kerio WinRoute 6.4.1 build 3519.
3. Три сетевые карты:
3.1 Локальная сеть.
3.2 Интернет-провайдер по Ethernet.
3.3 Интернет-провайдер через VPN (подключение устанавливается через другой Ethernet).

Надо:
Разделить трафик, то есть:
1. Трафик с FireWall пускать через 1-го провайдера, а трафик из локальной сети пускать через 2-го провайдера.
ИЛИ
2. HTTP трафик пускать через первого провайдера, весь остальной трафик (HTTPS, ICQ, POP3, DNS, FTP, MySQL и т.п.) через другого провайдера.

Кратко объясню, зачем. Каждый из провайдеров в состоянии дать только 512 Кбит/с, я хочу таким образом распределить нагрузку.

Когда я пытался весь трафик из локалки отправить через одного провайдера, а весь трафик из FireWall отправить через другого провайдера, то работало только то правило, где Интернет раздавался через VPN, а через Ethernet-провайдера Интернет (HTTP и ICQ) отказывался идти.

Заранее большое спасибо.

superpalych
Не умеет керио на настоящий момент такого делать...

Правда в 6,5 бета есть балансировка нагрузки между провайдерами - её попробуй поставить.

stalker780
Не совсем понятно кто от кого и какой список хочет получить. Может не работать NTLM, если учётки на русском: Василиса@premudra.ya

Вопрос, у меня сеть с доменом, у разных пользователей разные права для доступа в инет. Шас я прописываю IP в каждом пользователи, но сейчяас собираемся переходить на автоматическую раздачу IP, и вопрос, как Юзверей Домена привязывать к юзверям керио?
Спасибо