» Kerio WinRoute Firewall (часть 4)

Протокол инспектор выключен точно?

Если в правилах я ставлю deny и когда оно срабатывает происхобит BSoD я в шоке но когда ставлю drop всё ок да и когда я нажимаю kill connection то тоже BSoD, ну помятно что драйвер керио конфликтует но может мона както решить эту проблему

Как настроить чтоб vmware работал через керио
vmware NAT8 в правиле local traffic всё также как на скрине выше тока у меня ещё там NAT8 в Sour/Dest
а то как-то страно получается вкл форвард на проки а vmware пох работает на прямую через мой айпи

DimkaPro, виснет наглухо? Или же просто останавливается процесс?
dawwab, если я ем огурец, то у меня начинается диарея. Если ем хлеб, то диареи нет. Я конечно понимаю, что еда конфликтует с желудком, но разве это нормально?
Мало информации по твоему вопросу, что за система, что стоит из дополнительного по (файеры, антивири.)

Ruza

Я уже разобрался
все гараздо проще
и теперь с любой клиенской машины просто можна организовать VPN через L2TP IPSec

c BSoD разобрался когда ставлю дени то kerio и ess дровами стукаются на низком уровне, пока вижу один выход ставить drop

а как настроить чтоб vmware работал через керио
вы уж подскажите

Дня доброго, такой вопрос. Можно ли редактировать информацию выводимую на дефолтную "страницу аутентификации"? Если да, то как и где? И можно ли вообще сменить ее на, скажем, свой вариант?

Всем привет!
Возникла проблема с винроутером.

Собран мощный двух процессорный сервер, 12 гб памяти, raid контроллер Adpatec 5805, шесть SATA дисков в stripe (скорость чтения/записи 490/450мб в сек)
Windows 2008 x64
Winroute 6.4.2-3672 x64
соответсвенно гигабитная сетка intel

Расшарил диск массива,
с остановленным винроутером, качаю с сервака большие файлы, скорость около 60-57 мегов в сек, заливаю на сервак-скорость тоже около 57 метровв сек, графики загрузки сети практически ровные.
ВКЛЮЧАЮ винроутер скорость записи на сервак падает до 50-45 мегов(терпимо), а чтение до 10-8 мегов!!! причем скорость скачет, графики загрузки сети как пила

В винроутере ни чего не настраивал, единственное правило "pass all any to any".
В win2008 тоже ни чего не настраивал, только поставил все драйвера и отключил браундмауер, ни каких ролей не включал.

Подскажите с чем связано такое значительно падение в скорости, тем более на чтение?
Может есть какое-нить решение?

Beavius

Цитата:

В винроутере ни чего не настраивал, единственное правило "pass all any to any".

НУ так настраивай по людски
как?, читай мой пост на предыдущей странице

noblekey

Цитата:

НУ так настраивай по людски
как?, читай мой пост на предыдущей странице

Как настроить правила я знаю, и в состоянии без подсказки настроить любой хитрозакрученый нат и все остальное.

Не понятно куда вы меня ткнули.
Я же написал у меня единственное правило разрешающее прохождению любых пакетов куда угодно и как угодно.... ни каких натов, ни каких хитрых пралил пока нет и пока не нада.

Вопрос то в другом!
почему скорость с включенным винроутером такая низкая, при том что в фаере одно единственное правило разрешающее всЁ!!

Можете посущественней что нибудь ответить?

Beavius
Попробуй выключить на правиле локальной сети protocol inspector

Beavius

Поробуй правила что отвечает за локалку поднять в самый верх !!!

Arakcheev
Скажите, каким образом отключить Протокол Инспектор для этого правила?
Я создал в Services два сервиса, TCP any и UDP any, в каждом в графе "Protocol Inspector" указал "(none)"
В своем единственном правиле вместо "Service: any" указал два своих сервиса.
Результат НИКАКОЙ! все тоже самое, на чтение скороть 10-8 мбайт в сек.

Cosmit
Я что не правильно выразилса?
правило одно!! см. два моих последних поста.
Source: any; Destination: any; Service: any (теперь уже "TCP any" и "UDP any" без Протокол Инспектора)

Arakcheev
Попробуйте в сервисах тоже ANY указать, а также внесите папку керио в исключение антивирю.

Arakcheev
Антивиря нет, винда 2008 голая
в сервисах сначало как раз и было ANY!!!
ПРАВИЛО ОДНО!!!
Source: any; Destination: any; Service: any; Actoin: Permit

Beavius

Цитата:

ПРАВИЛО ОДНО!!!

Caps не повышай, а то люди обидятся.

Так не бывает, по крайней мере их 2...
Теперь настройки самого керио, начиная с ДНС и заканчивая квотами на трафик покажи пожалуйста... А также ipconfig и route /print
Антивирус в Windows это одно, а встроеннный точно отключен? может у тебя керио DNS форвардит и т.д.

Beavius

Чувак, расслабься, это фича такая. Можешь сходить на официальный сайт керио и там в FAQ синим по белому написано - Звиняйте, скорость SMB-соединений не превышает в лучшем случае 40-50 mbit/sec. Это - нормальное поведение винроута. Если хотите больше - не используйте SMB.
Так что у тебя 8-10 мбайт/сек - это даже много.

Ruza
убейсебяопстену
Starshark2007
ньдя прикольно..... а можешь тыкнуть где это написано?
какая альтернатива?(кроме freebsd+ipnat:)
нужен на самом деле только нат и быстрый SMB, все остольные опции винроута для меня бесполезны....и полюбому на виндах.

Beavius
иди дитятко сначала вот сюда http://support.kerio.com/index.php, а потом наф из ветки Kerio изучать RRAS.

ну зачем же так )))
1. Скорость винроута действительно как написано ))
2. Отключи встроенный антивирь
3. Отключи протокол инспектор (при отключенном кстати и антивирь уже не сканит на этом сервисе)
4. Посмотри что у тебя написано в таблице маршрутизации
5. Посмотри "адвэнсд" в шейпере
6. проверь, что за сетевухи у тебя стоят, могут быть варианты с установкой других карт, обсуждалось. Но быстрее, чем сказано, работать не будет ))) - всё что сказано, поможет только достигнуть этого "максимума" )))

Протокол инспектор отключается с помощью предварительного добавления одноименной графы в ТП.

Beavius

http://support.kerio.com/index.php?_m=knowledgebase&_a=viewarticle&kbarticleid=395&nav=0,2

Честно говоря, под винды я не знаю решения круче чем Winroute. Это не стёб - это правда. Под Unix может быть тебя устроил бы любой линух + Samba.
Не совсем понятно нафик тебе такая мощная машина под шлюз, учитывая, что рекомендуется на шлюзе никаких критичных сервисов не держать.

у меня проблема с https. Через https работают несколько банк клиентов. но один не хочет соединяться, он использует безопасное(типа хочет сертификат) https, в настройках проги стоит галка использовать прокси и порт прокси сервера.

voffka1984
Прокся включена на KWR? Адрес и порт верно указаны? А так понимаю, что другие клиенты через https нормально работают. Если так, то тут дело может быть вообще не в KWR, а, например, в сертификатах. Может необходимо установить/обновить личные сертификаты для клиента.

прокся включена, клиенты работают и этот клиент работает с другими https... но вот при использовании сертификата при https не работает...
можно вот про это поподробнее ".... обновить личные сертификаты для клиента." ???

Такая была проблемка:
Система Win2003 R2 + Kerio 6.4.2 + MDaemon 9.6.4
Керио стал выдавать после сбоя:
Socket error: Cannot switch destination in HTTP proxy server connection.
Интернет работает через раз что с прокси, что без него!

Решилось вроде как ткаим образом:
1. Отключил в HTTP Policy прокси вообще.
2. Перестрартовал систему.
3. Включил прокси
3. Перезапустил службу
Думаю это внутренний баг!

voffka1984

Цитата:

можно вот про это поподробнее ".... обновить личные сертификаты для клиента." ???

ну это вообще-то не имеет отношения к работе KWR. я имел ввиду установку личных сертификатов в IE ("Свойства обозревателя"-"Содержание"-"Сертификаты"-"Личные"). Тут нужно читать доки к клиенту. Может ему этого и не нужно.

Посмотри в логах, вдруг нужно ещё какой-нибудь порт открыть клиенту. Попробуй на время сделать отдельное правило для пользователя/компьютера, которое разрешает любой трафик. Зайди с этого компа или/и под нужным пользователем на любые другие известные тебе странички через HTTPS. Если на другие HTTPS будет заходить нормально, то тут дело не в KWR, скорее всего.

уважаемые спецы, нужна помощь...

стоит машина с Керио 6.4.2,через нее в локалку раздается инет...

нужно некторым пользователям открыть доступ только на определенные сайты , а на все остальные закрыть? какими правилами HTTP policy это можно организовать?

заранее спасибо за ответ.

Last_Hero
1-е правило разрешаюшее хождение выбранных тобой пользователей на сайты из группы "Sait", которую делаешь на закладке урл груп и в ней прописываешь сайты на которые можно ходить
2-е правило запрет хождения на все сайты (*.*) всем пользователям

Должно быть так:
1) Definitions - URL Groups -> Создана группа "Sites". Здесь пропишем разрешенные сайты.
2) Users and Groups - Groups -> Создана новая группа "Allowed". В неё добавлены те пользователи, которым даётся доступ только на определенные сайты.
3) Content Filtering - HTTP Policy -> Создано новое правило "Мона". В него добавляем группу Allowed и ставим радиобатон в положение "is in URL group", где выбираем Sites. Ниже переключатель в положение "Allow access".
4) Content Filtering - HTTP Policy -> Создано новое правило "Низя" с той же группой Allowed и радиобатоном "URL begins with" в значении "*". Преключатель в положении "Deny...".

есть KWF 6.4.2 аутентификация тянется из AD. но при каждой перезагрузке сервера, пользователи для доступа в инет должны руками забивать свой логин и пароль. как можно этого избежать?! чтобы указанные пользователи в AD получали инет автоматически?