» Kerio WinRoute Firewall (часть 4)

Аналогичная проблема. Стоит WS2008Ent. После обновления рубит весь сетевой трафик вообще. в таблице маршрутеризации одна локальная сетевуха и та не пингуется. Откатился. Скорее всего намутили что-то с ipv6. пока не разобрался.

Мне помогло отключение Anti-Spoofing. Пробуйте.

Камрады!
Анти-спуфинг был выключен.
Добавил в правило, где нат, в назначение кроме Интернета (vpn-соединение) ещё и сеть в которую vpn уходит, заработало.
Кстати, забыл уточнить в посте, что прокси-сервер работает. Т.е. если у клиента в браузере прописать прокси-сервер, то интернет работает.

Форумчане. Требуется помощь...
в результате действий Kido пришлось переставить KWF 6.5.1.5000 (заменил на 6.5.2.5172).
проблема: в 6.5.1.5000 статистика на пользователей, авторизовавшихся принудительно ("принудительная аутентификация для непрозрачного прокси сервера") считалась нормально, следовательно квоты тоже работали.
сейчас же, при аналогичных правилах - траффик засчитывается "неопознанному пользователю", а у реального пользователя в статистике 0.

Кто-нть сталкивался с таким? как решили проблему? что можете посоветовать? (ман курил, "убицца ап стену" не выход)

Пользователь авторизуется, в Star и в Web-статистике имя пользователя учитывается ([12/Apr/2009 20:33:04] 192.168.168.10 ana "КомпьютерраЛаб - КомпьютерраЛаб" http:/).

2 сетевухи - в инет и в локалку. KWF на контроллере домена, с рабочим DNS, DHCP, WINS... Авторизация в керио на прокси обязательно нужна - юзеры сидят в терминальных сессиях. Если использовать NAT то ни о каком квотировании и речи быть не может...

PS. установил на виртуальную машину 6.5.1.5000, восстановил из бекапа старые конфиги... авторизуюсь - и здесь статистику не считает.
PPS. если отключить принудительную авторизацию, оставить только "всегда требовать аутентификации при доступе к веб-страницам" - статистика считается верно (но не на терминальном сервере, потому что все начинают ходить в инет под тем логином пользователя, который авторизовался первым).
скрины правил выложу по первому требованию.

Заранее всем ответившим спасибо.

Добавлено:
пока вышел из положения создав нового пользователя, которому ограничил объём входящего траффика и привязав его к ip-адресу сервера терминалов.
Юзеры будут логиниться под своими учётками (по ним будет собираться статистика посещаемых сайтов и будут обрабатываться ограничения пользователя), а сам сервер будет якобы залогинен под учёткой server, на которую будет "вешаться" весь траффик.

ЗЫ. всё эти пляски с проксёй из-за "безлимитки" с ограничением в 10 гигов входящего траффика, и последующим урезанием скорости с 0,5 мбит/с до 16 кбит/с. знаю как обойти, но это незаконно...

NegoroX
Вообще-то, не пробовал... Как-то даже в голову не приходило...

Доброго времени суток, у меня трудность с Kerio WinRoute версия 6.5.2 build 5172.
Дело в том, что после обовления, Керио стал крыть порт 4899, в правилах всё прописано, не понимаю в чем дело.. откат не помогает(( может кто сталкивался.. или уже на крайний случай... переустановка - то поможет?

Товарищи, а кто в связке с керио 6.5.2 пользуется Bandwidth Controller'om 1.21??? У меня такая проблема - поставил, создал нужные правила, сначала все нормально работало. Через некоторое время, после перезагрузки кампа отвалился tcp/ip в сетевых интерфейсах. Все как бы подключено, но сетевухи не получают айпишников, ессно ничего не работает - 0 получено, 0 отправлено. Кто сталкивался?

Нужна помощь. Вопрос тут
Спасибо заранее.

Как продиагностировать, кто виноват в нерабочести IIS?
Стоит IIS на сервере, на котором стоит и керио фаерволл и мейл сервер. Такое у меня чувство, что воюют они между собой за порты жестоко. Как проверить, что висит на портике 80? Должен IIS. На данный момент при попытке открыть сайт, крутящийся на сервере в IIS с незапамятных времён - ошибка. Но иногда у него начинает просыпаться советь и сайт начинает работать. Порт в Керио 80 открыт для IIS... Заранее пасип )

kaskad

Цитата:

Как продиагностировать, кто виноват в нерабочести IIS?
Стоит IIS на сервере, на котором стоит и керио фаерволл и мейл сервер

Виноват мейл сервер, он заюзевает 80-й порт, зайдите на нем в службы и поменяйте номер порта. Или ищите решение, как использовать IIS для задач КМС, а в нем службу вообще отключите.

читал русский мануал, но не нашел: можно ли встроенными средствами (или расширениями) разделить канал равными долями для каждого клиента/машины, дабы он не превышал положенную ему скорость доступа/скачки?

Блин, ваще пипец, они что-либо тестируют?

В русской админ консоли нельзя ip-адрес в группу добавить - "неправильный адрес". В английской все ок.

читал русский мануал, но не нашел: можно ли встроенными средствами (или расширениями) разделить канал равными долями для каждого клиента/машины, дабы он не превышал положенную ему скорость доступа/скачки?

Можно!

ууу! правда!? как вы хорошо ответили! ну всё, теперь благодаря вашему ответу я всё настроил за 5 секунд! Ведь вы всё так расписали подробно, что только полный ламо не разберется!

vimaret
Не похоже, в сервисах прописан порт 8080 (( Поменял теста ради на 8088 - посмотрим.

Спасибо всем кинувшимся скопом помогать по вопросу!
Как и ожидалось, сам разбирался. В конце концов просто пришлось откатиться на прежнюю версию и ещё потанцевать с бубном, чтобы восстановить.
6.6 признана сырой.

Собирался перелезть с глючного UG на Kerio , как раз вышла версия 6.6 и благодаря лекарству уважаемого лекаря FARBY установил сие чудо вместо чудовища на 2003 окошки серверного типа. Первые впечатление по сравнению с UG просто небо и земля. Сейчас пока могу единственно добавить Anti-Spoofing у меня включен и инет работает как часы. Все соответственно ставил и настраивал с нуля, те не поверх предыдущей версии. Может поэтому и не наблюдаю глюков.

Привет ВСЕМ!!!
У меня такая проблема, тот чел, каторый настроил Kerio, он уехал заграницу и не сказал как его настроивать. Сервак зболел и его надо переустановить. Можно ли как то скопировать настройки, и присвоивать его на сервак после переустановки.
Заранее БЛАГОДАРЕН!!!

Короче для крутых перцов - как я ставлю новую версию сабжа
1) Бэкапим из папки с сабжем папки License (если генерировали себе ее собстно кейгеном от SSG) и папку SSLCerts, ибо там уже нужные отпечатки пальцев есть сервера, что необходимо для создания ВПН тунуля.
2) Копируем все .cgf файлы из корня папки Керио. (Если прям не нужна статистика и журналы старые, копируем тока User.DB-это пользователи наши и winroute.cfg-самый главный файл с настройками проги и политиками)
3) Удаляем сабж.. Ребутимся (на 2008 серваке даже не надо перезагружаться)
4) Ставим новую версию сабжа, останавливаем службу, убиваем Engine Monitor, применяем патч от farby для соответсвующего сабжа! Накатываем поверх все то, что забэкапили, подгружаем Engine Monitor и включаем службу. Ждем пару минут чтоб отработала служба, заходим в сабж и чистим страые сетевые интерфейсы, а новые правильно обзываем и закидываем по группам ИНТЕРНЕТ Интерфесы и ДОВЕРЕНННЫЕ.

ВСЕ!!!!!!!!

ofj
Все настройки хранятся файлах с расширением cfg (кроме ofclient2.cfg это лицензия), только если сохраните старые настройки, то получите старые проблемы.

Кстати насчет новой версии. Работает на ура (ставил поверх). Один глюк маленьки вылез, но оправил другими средствами. (перестала давать возможность Имя cepвepa WinRoute: Этo имя, кoтopoe бyдeт oтoбpaжaтьcя в cтpoкe URL oбoзpeвaтeля.)

У меня керя при удалении пишет, что произошла непредвиденная ошибка, изменения не были внесены в систему, хотя на половину он удаляется. При установке та же проблема. Как можно вообще полностью снести, чтобы занова установить?

DJ_Diablo
Бекапить так же нужно папки:
Cache - Смсыл терять гигабайт закешированных запросов?
Logs - думаю даже не нуждается в пояснениях
MCafee - опять же смысл терять лишний трафик и заново перекачивать всю базу
Star - логи... логи... логи...
Кроме того можно все это оставить в пути по умолчанию (вместе с тем что ты описал, конечно), тогда, во-первых, при установке керио оставит логин и пароль админ консоли таким как было, и во-вторых, после установки все старые настройки останутся. Но одно НО есть в любом случае - ID сетевых интерфейсов, в случае переустановки драйверов, либо смены карточки(карточек).
В этом случае нужно зайти в ветку реестра:
HKLM\System\CurrentControlSet\Control\Network\{буквенно-цифровой-ID}\...
Здесь будут подпапки ID сетевых интерфейсов. В каждой есть строка Name отображающая имя так как в "Сетевых подключениях" наименовано. Соответствующий ID нужно скопировать и заменить им ID с соответствующим именем в Winrout.cfg (в конце почти, список интерфейсов..
Тогда после старта керио все сетевые интерфейсы останутся так как и были ранее.

P.S. ту же информацию, в принципе можно получить по route print в коммандной строке. Но там не будет строгого соответствия.

DJ_Diablo

Цитата:

Короче для крутых перцов - как я ставлю новую версию сабжа
1) Бэкапим из папки с сабжем папки License (если генерировали себе ее собстно кейгеном от SSG) и папку SSLCerts, ибо там уже нужные отпечатки пальцев есть сервера, что необходимо для создания ВПН тунуля.
2) Копируем все .cgf файлы из корня папки Керио. (Если прям не нужна статистика и журналы старые, копируем тока User.DB-это пользователи наши и winroute.cfg-самый главный файл с настройками проги и политиками)
3) Удаляем сабж.. Ребутимся (на 2008 серваке даже не надо перезагружаться)
4) Ставим новую версию сабжа, останавливаем службу, убиваем Engine Monitor, применяем патч от farby для соответсвующего сабжа! Накатываем поверх все то, что забэкапили, подгружаем Engine Monitor и включаем службу. Ждем пару минут чтоб отработала служба, заходим в сабж и чистим страые сетевые интерфейсы, а новые правильно обзываем и закидываем по группам ИНТЕРНЕТ Интерфесы и ДОВЕРЕНННЫЕ.

извени брат, но я не усек.

Добавлено:
Germanus

Цитата:

Cache - Смсыл терять гигабайт закешированных запросов?

не возожно бекапит: файл используется другим.
я приостановил керои, не все равно так говорит

ofj

Цитата:

не возожно бекапит: файл используется другим.

Все вышеописанное бекапить нужно ПОСЛЕ остановки KWRF!

Цитата:

Бекапить так же нужно папки:
Cache - Смсыл терять гигабайт закешированных запросов?
Logs - думаю даже не нуждается в пояснениях
MCafee - опять же смысл терять лишний трафик и заново перекачивать всю базу
Star - логи... логи... логи...

Проксю не юзаю поэтому на кэш навалить
Макакуу тож не юзаю - везде авира
Писал на своем примере))) Так что не кидайте в меня огурцами...

Цитата:

Писал на своем примере))) Так что не кидайте в меня огурцами

Я так и понял, потому и дополнил чтобы не было потом нареканий, что мол "делал как написано, а получилось не так..."
Впрочем... нарекания все равно будут... Селявух такой.

Че то в поиске не нашел. У прова инет через VPN. На сетевухе смотрящей в инет стоит "шлюз по умолчанию" из внутреннего диапазона провайдера. Коннекчусь к VPN, коннект получает внешний адрес, новый "шлюз по умолчанию" (внешний)....... И KWF активно ругается "Multiple default gateway found" - что напрягает, хотя и всё работает. Если снимать галку в свойствах VPN "не использовать шлюз" - то соответственно нет инета, ясно откуда ж шлюз во внешний мир возьмется.

Как правильно поступить?

Starshark2007
оставь как есть для такой конфигурации это нормально (что б не раздражала можешь галку поставить "не показывать"

NegoroX

Да вероятно придется забить на это, но imho из-за этого и счетчик трафика дуплит. Некошерно как-то.

Starshark2007

Цитата:

счетчик трафика дуплит

в трафик полиси локальное правило в самый верх и отключи протокол инспектор на нем