» Kerio WinRoute Firewall (часть 5)

adjuster

через актив я одну машину сразу нашел, убил (переставил винду), через нее не идет, по крайней мере активно и постоянно смтп соединений я не вижу ни от кого, анализ лога дебаг по правилу: direc = out & port = 25 говорит, что смтп трафик появляется с интервалом в 10мин-120мин на 7-120 секунд, что может быть и спамом и трафиком юзверей
спам продолжает идти клиентам(майл.ру и рамблер уже наши письма не принимают, а это жопа, т.к. у нас рассылка нашим клиентам - шлем ручками с других адресов, после матюгов от клиентов, но этож не дело), причем спамеры оборзели - мы сами получаем письма со спамом, со своим обратным адресом! найду спамера - кинусь бить морду через 1 секунду.

Напомню. Пошел спам. Нашел 1 заразный компутер - убил. Спам продолжает приходить клиентам, более того стали блокироваться наши е-майл рассылки. В логе дебаг написал правило: direc = out & port = 25 по которому найти спамбота внутри сети не могу, очень редко записи появляются - похоже на обычный трафик юзверей, может правило надо поменять? Спам уходит на открытый релей провайдера (скорее всего). Как отловить через лог дебаг? Какой экспрессион написать? Спасибо заранее...

Az4H

Цитата:

tserv это сервер на котором стоит kerio, да проксю тоже использую.
ip tserva 192.168.3.15

Тогда все правильно - через прокси пользователи ходят по правилу для Firewall машины:
сурс Firewall
дест Inet
протокол HTTP
пермит

Поэтому они сейчас и ходят через Локальный трафик.

harit
Показывай ТП. Тебе нужно вычислить IP адрес спамера - подумай, как дебаг настроить.

adjuster

Цитата:

Поэтому они сейчас и ходят через Локальный трафик.

Но с другим провайдером они не ходили, а в запрет упирались, а прокся и раньше была, и все эти правила. Сверху вниз читает правило, верхнее запрещает, блин ничего не пойму.((
Объясни плз поподробнее.

Где-то месяца 3 не подходил в Керио (у меня сейчас 6.6 стоит). И про новую версию тоже совсем недавно услышал Подскажите, не появилась ли в ней возможность авторизации юзеров, сидящих в терминале (сервер терминалов и керио на разных машинах стоят).

подскажите пожалуйста правило для того чтоб заработало iptv по локалке которое идет, мультикаст..

Az4H

Цитата:

Но с другим провайдером они не ходили, а в запрет упирались, а прокся и раньше была, и все эти правила. Сверху вниз читает правило, верхнее запрещает, блин ничего не пойму.((

Запрещает твое правило - можешь проверить с машины 205 попробуй через CMD пингануть или протелнетить в инете адрес - банан получишь!!!

А вот через HTTP прокси с твой машины можно выйти, так как нет запрещающего правила:
сурс firewall
дест Inet
протокол HTTP
DENY

И не нужно спрорить, что раньше все также было и блок работал - все равно не поверю - провайдер здесь ТОЧНО не причем.

VovikK
Нет поддержки терминала все еще

AlexRT

Цитата:

подскажите пожалуйста правило для того чтоб заработало iptv по локалке которое идет, мультикаст..

Хрен там.... IPTV можно настроить только с помощью вещания UDP в локалку через винду, либо прогами UDPtoTCP

еще вопросик, добавлял пользователей по несколько раз, потом удалял, а теперь в статистике через вебинтерфейс они все задвоились..

как убрать задвоенных пользователей?

adjuster
может я не правильно спросил, спрошу так, провайдер вещяет iptv, как мне сидя за керио его посмотреть? никак? ))

adjuster

Цитата:

сурс firewall
дест Inet
протокол HTTP
DENY

Спасибо, буду пробовать

Получилось заблокировать, а вот как мне теперь открыть доступ определенным адресам ??

AlexRT

Цитата:

как убрать задвоенных пользователей?

1) стоп kwf
2) cd \kerio\winroute firewall\star\data
3) ren star.fdb star.old
4) старт kwf

Добавлено:
Az4H
блокируй по пользователям через url правила

AlexRT

Цитата:

как убрать задвоенных пользователей?

Редактировать базу firebird


Цитата:

может я не правильно спросил, спрошу так, провайдер вещяет iptv, как мне сидя за керио его посмотреть? никак? ))

Я уже ответил, что решение есть - 2 варианта. Либо с помощью windows server (где керя) пробрасывать широковещательные пакеты в локалку, либо использовать прогу UDPtoTCP
Короче - читай ветку - настраивай и наслаждайся - решение найдено http://avsoft.ru/forum/read.php?PAGEN_1=2&FID=21&TID=2291&phrase_id=9713#nav_start

Az4H

Цитата:

а вот как мне теперь открыть доступ определенным адресам ??

)))) а теперь никак.
Либо блокируешь доступ к проксе провинившимся и убираешь правило, которое блокирует firewall по HTTP, либо отказываешься от проксика вообще.

Tihon_one

Цитата:

блокируй по пользователям через url правила

Ты имеешь ввиду политику http ?
Мне нужно некоторым пользователям разрешить, тестирую на 443 (icq служба). Запретить то, я запретил, а вот как 3-ем машинам разрешить теперь - не пойму..

Добавлено:
adjuster

Цитата:

)))) а теперь никак.
Либо блокируешь доступ к проксе провинившимся и убираешь правило, которое блокирует firewall по HTTP, либо отказываешься от проксика вообще.

Если откажусь от прокси, то инет будет по NATу ходить, да ?? и тогда я смогу некоторым личностям открывать ? Все = не пойму, раньше блокировал так, мб кто-то что-то там понажимал...

Az4H
по нату замечательно ходит. даже если ты используешь прокси, просто в том или ином случае разные правила в политике трафика работают.
а поповоду всем запретить асю, закрывай доступ не через ТП а через http policy, короче покури немного и вкуришь, сча объяснять немного не сруки.

p.s.>> 443 это не асикушный порт

Tihon_one

Цитата:

p.s.>> 443 это не асикушный порт

Квип пишет 443, но я и 5190 добавил вместе с ним.

В общем, если я отключу проксю, я с этого что-нибудь потеряю, или все будет как и есть, только я смогу еще блоки и запреты выдавать ???

Az4H
отключаешь непрозрачный прокси в квф, убераешь все галки в настройках клиентских браузеров, относящиеся к настройке lan, и получешь чистый nat, который прекрасно рулиться и ТП и http рулесами.

Tihon_one

Цитата:

отключаешь непрозрачный прокси в квф, убераешь все галки в настройках клиентских браузеров, относящиеся к настройке lan, и получешь чистый nat, который прекрасно рулиться и ТП и http рулесами.

Спасибо !!!! Вот теперь я понял, в чем было дело В воскресенье на работу пойду делать

Привет,всем!
Подскажите,есть серв. с 2мя сетевухами,одна смотрит в сеть с инетом по впн,другая на мой комп. Пока керио не устанавливаю с моего компа и сеть и нет работают.Ставлю винроут,создаю правило: эни, эни, эни, разрешить,антивирь и проверку трафика отключаю.
И с моего компа выход в локалку и нет пропадает,могу только по удаленке подключиться к серву(на котором и сеть и нет работают).Кстати настраиваю Керио тоже через удаленку
Подскажите в чем грабли,а то уже 2-й день ковыряюсь.

Lushpen
Скрины ПТ и интерфейсов давай

Lushpen

Цитата:

Подскажите в чем грабли,а то уже 2-й день ковыряюсь.

Ответ:

Цитата:

создаю правило: эни, эни, эни, разрешить

NAT у тебя при таком правиле работать не будет - а ДЫРА во весь канал - ты тупо отказался от фаервола на этой машине таким правилом.

Az4H, скрины вечером попробую сделать,когда дома буду,только не знаю,что такое ПТ (новое это все для меня)
adjuster, я понимаю, что отказался от фаервола, но не понимаю почему не работает (без винрута же все работало!!!). Изначально правила были другими, но так,как ничего не работало,решил попробовать в самое начало такое правило поставить,а те поотключать.

Lushpen
Политика трафика это .

Lushpen

Цитата:

но не понимаю почему не работает (без винрута же все работало!!!).

Могу предположить, что используется виндовый NAT (win server), который конфликтует с KWF NAT, а при остановке KWF, виндовый работает нормально.
Делай выводы.

Помогите кто может, трахаюсь уже целый день, и ничего не помогает!
Клиенты могут зайти на ya.ru, на несколько других сайтов, но на другие не могут, причем те узлы, которые в браузере недоступны, могут пинговаться по имени и nslookup'ится, а могут и нет.
Установил на свежепоставленный Win2003 R2 Kerio WinRoute 6.7.0 6228, эта версия у меня уже стоит в двух сетях, полет нормальный. Патч ukp-1.8-final-vityan. Настройки интерфейсов такие:
Internet - Ethernet адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8139
Физический адрес. . . . . . . . . : 00-80-48-29-BC-10
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.1.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.1.1
DNS-серверы . . . . . . . . . . . : 213.135.97.131
195.128.128.1
LAN - Ethernet адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8139
Физический адрес. . . . . . . . . : 00-1D-7D-4E-22-BE
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 10.0.0.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :

Настраивал через мастер, разрешил все исходящие соединения всем компам из локалки, снял все ограничения по максимуму - не помогает! DNS forwarding включил. Пробовал его отключить, поднять стандартный DNS - не помогло. Куда копать? Очень странное поведение, я такого в своей практике ещё не встречал. Пробовал настройки в соответствии с местным FAQ - только усугубил ситуацию, вообще работать перестало.
Клиентов тоже пробовал настраивать по-разному: DNS прописывал и провайдера, и шлюза - монопенисуально, ни так, ни так эффект один и тот же. В чём может быть затык? Я не понимаю, каким образом доступна только часть сайтов! В чём тут дело? Заранее всем благодарен

AndrewAks

Цитата:

Заранее всем благодарен

Угу. Понаписал много и без толку.
1. На самой KWF проблеммные сайта открываются?
2. Пингуются ли проблемные сайты по IP в момент, когда сайта не пингуются по имени?

Прокси используешь? Кеш выруби пока.

VovikK

Цитата:

Где-то месяца 3 не подходил в Керио (у меня сейчас 6.6 стоит). И про новую версию тоже совсем недавно услышал Подскажите, не появилась ли в ней возможность авторизации юзеров, сидящих в терминале (сервер терминалов и керио на разных машинах стоят).

Может вот это поможет ? -


Цитата:

В версиях, предшествующих Windows Server 2008 R2, всем сеансам на сервере Узел сеансов удаленных рабочих столов назначался один и тот же IP-адрес. В Windows Server 2008 R2 с помощью IP-виртуализация удаленных рабочих столов можно назначать IP-адреса на уровне сеансов или программ

Если будешь пробовать - отпишись сюда.

Помогите начинающему, не пинайте сильно.
На W2K3 сервере с тремя сетевухами стоит KWF 6.7.0, два интернета(резервирование) и локалка, все подсети разные, локаль -192.168.0.0. В неё же заведен филиал по VPN IPSec на DI-808, подсеть 192.168.1.0 (таковы требования VPN, разные подсети).
Проблема следующая - внутри локалки между подсетями всё OK. пинги ходят, шары по айпи открываютя в обе стороны - а инет филиалу не идет. В KWF в политиках трафика в источниках доступа к инету прописал и подсеть с маской, и конкретные IP-шники, не идет. В определениях создал группу адресов, добавив и её - нету инета. В филиале шлюзом прописан LAN DI-808(192.168.1.1) DNS - LAN KWF 192.168.0.1. Из 0-ой подсети все гуд, из 1-й - фиг. Помогите разобраться пожалуйста. Третью ночь за чтением инета не переживу.
Решил следующим способом- на клиентах в браузерах указал проксю с KWF, инет пошел а почта нет.
http://s47.radikal.ru/i118/0910/eb/5862a7436c98.jpg

IPCONFIG с клиента
Имя компьютера . . . . . . . . . : client
Основной DNS-суффикс . . . . . . :
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет

Internal - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : NVIDIA nForce Networking Controller
Физический адрес. . . . . . . . . : 00-16-17-92-3A-46
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.3.25
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.3.1
DNS-серверы . . . . . . . . . . . : 192.168.0.1

IPCONFIG и ROUTE PRINT с сервера
Имя компьютера . . . . . . . . . : server
Основной DNS-суффикс . . . . . . :
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет

Prov 1 - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Intel(R) PRO/1000 MT Desktop Adapter
Физический адрес. . . . . . . . . : 00-0E-A6-4B-F3-01
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.5.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 192.168.0.1
NetBIOS через TCP/IP. . . . . . . : отключен

Kerio Virtual Network - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Kerio Virtual Network Adapter
Физический адрес. . . . . . . . . : 44-45-53-54-4F-53
DHCP включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 10.253.18.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DHCP-сервер . . . . . . . . . . . : 10.253.18.2
NetBIOS через TCP/IP. . . . . . . : отключен
Аренда получена . . . . . . . . . : 25 октября 2009 г. 4:21:40
Аренда истекает . . . . . . . . . : 26 октября 2009 г. 4:21:40

Prov 2 - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Marvell Yukon 88E8050 PCI-E ASF Gigabit E
thernet Controller
Физический адрес. . . . . . . . . : 00-04-23-D3-DF-29
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 111.111 от лихих людей
Маска подсети . . . . . . . . . . : 255.255.255.252
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 194.88.14.2
194.88.14.134

Dom.ru - PPP адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Физический адрес. . . . . . . . . : 00-53-45-00-00-00
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 92.255.142.200
Маска подсети . . . . . . . . . . : 255.255.255.255
Основной шлюз . . . . . . . . . . : 92.255.142.200
DNS-серверы . . . . . . . . . . . : 212.33.224.136
212.33.225.212
NetBIOS через TCP/IP. . . . . . . : отключен

Lan - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Intel(R) PRO/1000 MT Network Connection
Физический адрес. . . . . . . . . : 00-04-23-D3-DF-28
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.0.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 192.168.0.1

route print

IPv4 таблица маршрута
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x2 ...00 0e a6 4b f3 01 ...... Intel(R) PRO/1000 MT Desktop Adapter - Kerio Win
Route Firewall
0x10005 ...44 45 53 54 4f 53 ...... Kerio Virtual Network Adapter - Kerio WinRou
te Firewall
0x10006 ...00 04 23 d3 df 29 ...... Marvell Yukon 88E8050 PCI-E ASF Gigabit Ethe
rnet Controller - Kerio WinRoute Firewall
0x20007 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
0x30003 ...00 04 23 d3 df 28 ...... Intel(R) PRO/1000 MT Network Connection - Ke
rio WinRoute Firewall
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 92.255.142.200 92.255.142.200 1
10.253.18.0 255.255.255.0 10.253.18.1 10.253.18.1 20
10.253.18.1 255.255.255.255 127.0.0.1 127.0.0.1 20
10.255.255.255 255.255.255.255 10.253.18.1 10.253.18.1 20
83.229.185.9 255.255.255.255 шлюз Prov 2 stat Ip Prov 2 1
83.229.185.12 255.255.255.255 шлюз Prov 2 stat Ip Prov 2 1
83.229.211.229 255.255.255.255 шлюз Prov 2 stat Ip Prov 2 1
92.255.142.200 255.255.255.255 127.0.0.1 127.0.0.1 50
92.255.255.255 255.255.255.255 92.255.142.200 92.255.142.200 50
94.138.134.224 255.255.255.252 stat Ip Prov 2 stat Ip Prov 2 20
stat Ip Prov 2 255.255.255.255 127.0.0.1 127.0.0.1 20
94.255.255.255 255.255.255.255 stat Ip Prov 2 stat Ip Prov 2 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.0.0 255.255.255.0 192.168.0.1 192.168.0.1 20
192.168.0.1 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.0.255 255.255.255.255 192.168.0.1 192.168.0.1 20
192.168.1.0 255.255.255.0 192.168.0.15 192.168.0.1 1
192.168.3.0 255.255.255.0 192.168.0.15 192.168.0.1 1
192.168.5.0 255.255.255.0 192.168.5.2 192.168.5.2 10
192.168.5.2 255.255.255.255 127.0.0.1 127.0.0.1 10
192.168.5.255 255.255.255.255 192.168.5.2 192.168.5.2 10
212.33.232.77 255.255.255.255 92.255.142.200 92.255.142.200 1
224.0.0.0 240.0.0.0 10.253.18.1 10.253.18.1 20
224.0.0.0 240.0.0.0 stat Ip Prov 2 stat Ip Prov 2 20
224.0.0.0 240.0.0.0 192.168.0.1 192.168.0.1 20
224.0.0.0 240.0.0.0 192.168.5.2 192.168.5.2 10
224.0.0.0 240.0.0.0 92.255.142.200 92.255.142.200 1
255.255.255.255 255.255.255.255 10.253.18.1 10.253.18.1 1
255.255.255.255 255.255.255.255 92.255.142.200 92.255.142.200 1
255.255.255.255 255.255.255.255 stat Ip Prov 2 stat Ip Prov 2 1
255.255.255.255 255.255.255.255 192.168.0.1 192.168.0.1 1
255.255.255.255 255.255.255.255 192.168.5.2 192.168.5.2 1
Основной шлюз: 92.255.142.200
===========================================================================
Постоянные маршруты:
Отсутствует

Az4H, вот скрины:
http://narod.ru/disk/14383933000/int.JPG.html
http://narod.ru/disk/14383992000/tp.JPG.html
И уточнение при отключении винрута выхода из сети в украинка.лан нет,а при удалении работает и даже в инет ломится.

Цитата:

Угу. Понаписал много и без толку.
1. На самой KWF проблеммные сайта открываются?
2. Пингуются ли проблемные сайты по IP в момент, когда сайта не пингуются по имени?

Прокси используешь? Кеш выруби пока.

Спасибо за ответ, проблему решил. WinRoute оказался ни при чём, глюканул роутер ZTE. Выключил-включил - всё заработало. Обидно, целый день потерял, промучил клиентов постоянными перезагрузками сервера. Ну да ладно, и на старуху бывает проруха. Сейчас возник тот же глюк, но при других обстоятельствах, о чем на пост ниже...

Добавлено:
Уважаемые спецы, подскажите ICQ sniffer, совместимый с Winroute 6.7.0 patch 1 build 6228? Собственно, необязательно конкретно с этой версией, хотя бы с шестой веткой. Поставил Safety-Lab Shadow IM Sniffer v4.21 - инет начал глючить, не все сайты доступны. Вероятнее всего, конфликтуют виртуальные драйвера KWF и данного сниффера - у меня такое было при инсталляции Winroute 6.7.0 и NOD32 4.0.467 businnes edition на одном сервере, решилось отключением защиты интернета и эл.почты на ноде. Прошу гуру поделиться опытом, заранее спасибо!

AndrewAks
Стоит NetResident 1.6, проблем не замечал, работает и с веб, и с почтой итд. (Керио 6.6.0)

Уже моск поломал и видимо плохо поиском пользуюсь.

Дано:
Kerio Winrout Firewall 6.7
У него айпи 192.168.0.1
Имя gate
В домене как gate.xxx.local
Но он не резолвится по имени в браузере
То есть когда юзер заходит в интернет, выскакивает страница авторизации, он вбивает свой пароль и работает в сети. Это в идеале. Но у меня у всех пользователей закладка на сервер не по имени а по ай пи адресу. По айпи заходит нормально. по - имени нет.

Домен и днс на другой машине. В зонах ДНС все прописано. Пинг по имени идет. Но не открывается по имени. ни по RDP, ни по WEB.

Как сделать так, что бы сервер с керио все таки резолвился по имени?

Kot_RRR
политики трафика в студию

что там у тебя резолвится покажи,
ipconfig /all с керива тоже сюда приложи.
и скрин доп-параметры-вкладка веб интерфейс.