» Kerio WinRoute Firewall (часть 5)

Установлен Kerio WinRoute Firewall Software Appliance 6.7.1 Patch 2,
периодически пропадает всякая связь с интернетом. Причем раз в сутки.
В логах чисто. Помогает жесткий ребут. В чем может бы дело?
Использую VPN тунель с удалённым офисом и обычный стандартный набор правил.
Грешу на VPN.

xstaford
с лицензией проблем нет? скрин первого экрана консоли кинь (айдишник можешь замазать)

Добавлено:
Serg0FFan
давай погрешим на дебаг логи. покажи их.

faust72rus
Вот первое что увидел. Логи включил не все, сейчас включу максимум.

Код:
[31/Mar/2010 10:24:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:25:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:26:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:27:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:28:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:29:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:30:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:31:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:31:32] {vpncore} oldapi: KVpnGetLocalRoutes() -> KVPN_STATUS_ERROR_BUFFER_TOO_SMALL
[31/Mar/2010 10:31:32] {vpncore} oldapi: KVpnGetLocalRoutes() -> SUCCESS
[31/Mar/2010 10:32:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:33:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:34:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:34:33] {vpncore} oldapi: KVpnCipherAdd() -> SUCCESS
[31/Mar/2010 10:35:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:36:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:37:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:37:42] {vpncore} oldapi: KVpnGetVpnAdapterIndex() -> SUCCESS
[31/Mar/2010 10:38:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:39:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:40:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:41:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:41:32] {vpncore} oldapi: KVpnGetLocalRoutes() -> KVPN_STATUS_ERROR_BUFFER_TOO_SMALL
[31/Mar/2010 10:41:32] {vpncore} oldapi: KVpnGetLocalRoutes() -> SUCCESS
[31/Mar/2010 10:42:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:43:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:44:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 10:45:32] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS

xstaford
а ты резку скорости для группы IP настроил? или для всех?

Serg0FFan
такое происходит, если KWF ломаный - это так? - если да, то придется еще раз ломать...

faust72rus
Какие сообщения в debug нужно включить чтобы "не утонуть" в куче лишней инфы?

Добавлено:
adjuster
Ага, ломанный %) С помощью ukaip-2.2-final-vityan.7z как описано в шапке.
Кряк кривоват?

Добавлено:
to All
вопрос чуть не в тему. Есть ли способ перехода с апплянса 6.7.1 на control 7.0.0?
Если тупо сохранить настройки в kwf-export.tgz, а потом через веб интерфейс подсунуть их контролу, то он их "проглотит"?

Serg0FFan
вероятно всего всё что связанно с VPN, но я согласен с коллегой по поводу некорректного "лицензирования".

faust72rus
Понял, т.е. просто по новой повторить установку и т.д. и т.п.?

Serg0FFan
для начала да, потом посмотрим.

спасибо за помощь

я создал пару правил и наверное они не совсем правильные если можно подкоректировать их то был бы признателен.

Interfaces Несколько подкличений к Интернет - распределение нагрузки на каналы

1. трафик по стране направляю на 100MB interface:

Source Destination
Russia IP Blocks Interface 100MB Разрешить
Interface 100MB Russia IP Blocks

2. трафик по стране блокирую на 10MB interface:

Source Destination
Russia IP Blocks Interface 10MB Удалить
Interface 10MB Russia IP Blocks

3. Пропускаю инет групу из 2 интерфэисов (100МВ и 10МВ) через Файерволл

Source Destination
Interface 10MB Файерволл Разрешить
Interface 100MB

4. Пропускаю трафик Файервол к инет групе из 2 интерфэисов (100МВ и 10МВ)

Source Destination
Файерволл Interface 10MB Разрешить
Interface 100MB

5. Прописываю правило NAT
Source Destination
LAN Interface 10MB Разрешить NAT
Interface 100MB

PS:
По идее есле правильно настройл по стране должен показывать один IP а по миру другой, так у меня показывает и там и там один и тотже IP

faust72rus
Переустановил, но сообщение
{vpncore} oldapi: KVpnGetLocalRoutes() -> KVPN_STATUS_ERROR_BUFFER_TOO_SMALL
периодически вылетает все же. Как бы этот буфер увеличить?

Serg0FFan
что за система у тебя? сколько памяти, дисков, проца?

faust72rus
Kerio WinRoute Firewall Software Appliance 6.7.1 Patch 2
Процессор Intel Pentium IV 3ГГц (socket 775) с гиперсридингом
Память DDR - 2 шт по 512 Мб == 1Гб
Винт IDE 40Гб.

Цитата:

а ты резку скорости для группы IP настроил?

Да, ну и соответственно это не та группа которую пускаю через второй пров.


Цитата:

скрин первого экрана консоли кинь

с лицензий вроде проблем нет но вебфильтр не работает (он мне особо и не нужен)

вот я даун Все пошло нармально правило подправил и все ок Спасибо за помощь !!!

sergiu2005

Цитата:

вот я даун Все пошло нармально правило подправил и все ок Спасибо за помощь !!!

Покажешь?? - как решил?

Serg0FFan

Цитата:

Ага, ломанный %)

Читай руководство по ломалке внимательнее, не достаточно просто ломануть...

нет, к сожелению не получилось, правила видешь више, слишком рано обрадовался
по прежнему грузит один канал до лимита (10МВ) а потом переходит на второй(100МВ)


подправил в смысле оставил в правилах только
соурс dest
russian ip blocks 100MB interface разрешить

russian ip blocks 10 MB interface удалить

10MB interface russian ip blocks удалить


но почемуто как шел инет по 10 метровому интерфэйсу по стране так и идет
и 100метровка по прежнему ломится в зарубежие

adjuster
Все сделал именно так написано в руководстве (в шапке) для версии 6.7.1-6544 патч 2
запомнил номерок, нужный подставил, через веб консоль скачал настройки, что нужно в них поменял, все запустилось. А толку чуть.

Переставил вот в обед все по новой, процедуру "адаптации" повторил, уже с новыми данными и с номерком из под коврика. Все работало вот до недавнего момента, в 17:35 все накрылось медным тазом. А именно, темный экран на всех консолях и никакой реакции на нажатие ввода,Alt+F1,Alt+F2,Alt+F3... Тупо повисло все. Именно в этот момент был разорван впн туннель сабжем с удалённого офиса.
На удалённом офисе та же версия но под вин32, все адаптированно. Удалённый офис выступает активной стороной туннеля, сервер 9который виснет зарраза) пассивной стороной. Вот именно в момент разрыва туннеля (выключается комп в удалённом офисе) виснет роутер под апплянсом. Причем вчера где то в это же время была такая же проблема.

Serg0FFan
Я не читал руководств для патчей - не могу сказать, есть там это, или нет:
необходимо закрыть доступ для обновления KWF, чтоб firewall не сходил и не пожаловался разработчикам, иначе ломать тебе после каждого хождения KWF на сайт.

adjuster
понятно. Эх, процедуру взлома придётся повторять получается.

Вот что выдал сабж в логи перед тем как повис намертво, последние строки:
[more]
[31/Mar/2010 17:18:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[31/Mar/2010 17:18:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:18:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:18:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:18:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received Q_KEEPALIVE message
[31/Mar/2010 17:19:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:19:51] {vpnkripl} Tunnel[0001]('Tunnel to office2') routesSent - maintenance started
[31/Mar/2010 17:19:51] {vpncore} oldapi: KVpnGetLocalRoutes() -> KVPN_STATUS_ERROR_BUFFER_TOO_SMALL
[31/Mar/2010 17:19:51] {vpncore} oldapi: KVpnGetLocalRoutes() -> SUCCESS
[31/Mar/2010 17:19:51] {vpnkripl} Tunnel[0001]('Tunnel to office2') routesSent - route 192.168.0.0/255.255.255.0 (loc) touched
[31/Mar/2010 17:19:51] {vpnkripl} Tunnel[0001]('Tunnel to office2') routesSent - maintenance done
[31/Mar/2010 17:19:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - VPN routes has not changed, but sending periodical update
[31/Mar/2010 17:19:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending routes
[31/Mar/2010 17:19:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending message ROUTES, 1 routes in the list, flags = SE
[31/Mar/2010 17:19:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:19:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received Q_KEYCHANGE message
[31/Mar/2010 17:19:53] {vpncipher} BLF[9/1]: processing incoming config message
[31/Mar/2010 17:19:53] {vpncipher} BLF[9/1]: allocated memory for blowfish cipher configuration.
[31/Mar/2010 17:19:53] {vpncipher} BLF[9/1]: configured from message
[31/Mar/2010 17:19:53] {vpncipher} BLF[9/1]: generating config message
[31/Mar/2010 17:19:53] {vpncipher} BLF[9/1]: generating config message
[31/Mar/2010 17:19:53] {vpncore} oldapi: KVpnCipherAdd() -> SUCCESS
[31/Mar/2010 17:19:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - primary cipher added in driver
[31/Mar/2010 17:19:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending R_KEYCHANGE message
[31/Mar/2010 17:19:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:19:53] {vpnkripl} Tunnel[0001]('Tunnel to office2') routesReceived - maintenance started
[31/Mar/2010 17:19:53] {vpnkripl} Tunnel[0001]('Tunnel to office2') routesReceived - route 192.168.2.0/255.255.255.0 (sys) touched
[31/Mar/2010 17:19:53] {vpnkripl} Tunnel[0001]('Tunnel to office2') routesReceived - maintenance done
[31/Mar/2010 17:20:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[31/Mar/2010 17:20:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:20:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:20:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:20:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received Q_KEEPALIVE message
[31/Mar/2010 17:21:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:21:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:21:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:21:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received Q_KEEPALIVE message
[31/Mar/2010 17:22:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[31/Mar/2010 17:22:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:22:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:22:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:22:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received Q_KEEPALIVE message
[31/Mar/2010 17:23:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:23:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:23:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:23:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received Q_KEEPALIVE message
[31/Mar/2010 17:24:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[31/Mar/2010 17:24:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:24:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:24:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received complete command
[31/Mar/2010 17:24:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - received Q_KEEPALIVE message
[31/Mar/2010 17:25:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:25:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:26:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[31/Mar/2010 17:26:51] {vpncore} oldapi: KVpnConnectionGetStatus() -> SUCCESS
[31/Mar/2010 17:26:51] {vpntunnel} Tunnel[0001]('Tunnel to office2') - sending Q_KEEPALIVE message
[31/Mar/2010 17:26:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - connection timeout, terminating connection
[31/Mar/2010 17:26:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - SSL_free TID = 19350, ID:1
[31/Mar/2010 17:26:53] {vpncore} Refcount for IP address 172.27.160.2 decremented to 0, address deleted
[31/Mar/2010 17:26:53] {vpncore} oldapi: KVpnConnectionDelete(1) -> SUCCESS
[31/Mar/2010 17:26:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - connection deleted in driver
[31/Mar/2010 17:26:53] {vpncore} oldapi: KVpnSysRouteDelete() -> SUCCESS
[31/Mar/2010 17:26:53] {vpnag} VPN AG(1) cleared
[31/Mar/2010 17:26:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - tunnel deregistered
[31/Mar/2010 17:26:53] {vpntunnel} TUNNEL_STATUS_CHANGE 'Tunnel to office2' - 0:0
[31/Mar/2010 17:26:53] {vpncore} oldapi: KVpnGetVpnAdapterIndex() -> SUCCESS
[31/Mar/2010 17:26:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - flushing ARP cache for adapter 0xD, IP 172.27.160.1
[31/Mar/2010 17:26:53] {vpntunnel} Tunnel[0001]('Tunnel to office2') - tunnel closed
[31/Mar/2010 17:26:53] {vpncore} oldapi: KVpnGetHwAddress(44:45:55:55:45:55) -> SUCCESS
[31/Mar/2010 17:26:54] Service "DNS" bound to address 172.27.160.2 stopped
[31/Mar/2010 17:26:54] Service "DHCP" bound to address 172.27.160.2 stopped
[31/Mar/2010 17:26:54] Service "WebInterface" bound to address 172.27.160.2 stopped
[31/Mar/2010 17:26:54] Service "WebInterfaceSSL" bound to address 172.27.160.2 stopped
[31/Mar/2010 17:26:54] Service "VPN" bound to address 172.27.160.2 stopped
[31/Mar/2010 17:27:00] {vpncore} UdpSocket: socket 0x65 closed
[31/Mar/2010 17:28:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[31/Mar/2010 17:28:44] {licensing} Licensing: Removing host 192.168.0.8, entry expired.
[31/Mar/2010 17:30:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[31/Mar/2010 17:32:41] {vpn} VPN Interface Primary IP address handler: no change (UP 10.10.10.1/255.255.255.0)
[/more]

Serg0FFan
Попробовал опять, если активно использовать консоль связаная с сервером по VPN'у, при изменении какого-нибудь параметра - VPN соединение рвется. При этом если подключаться к серверу удаленно напрямую, не по VPN - соединение консоли с сервером не прервалось. Если просто лазить смотреть статистику или подключение, то проблем нет. Может и действительно из-за кряка, а может так задумано )

Billtm
Думается мне что это просто косяк программы, ибо в RC2 говорится о каком то фиксе VPN, может именно это и пофиксили?

В RC2 те же самые грабли, с утра раз 5 подвисало все.
Снёс все, установил с нуля, конфигурацию с нуля, зарегить пробную версию не удаётся почему то, сайт недоступен, работаю пока так.

помогите решить задачу:
1. Cервер-шлюз с KWF имеет адрес LAN 10.0.0.1
2. Файловый сервер с FTP имеет адес LAN 10.0.0.2
3. Сервер шлюз доступен из интернет и локальной сети по доменному имени domain.com

как сделать чтобы из локальной сети подключаясь по ftp://domain.com я подключался к 10.0.0.2?

делаю правило:/ LAN=>Firewall / FTP,FTPS / Разрешить / Map 10.0.0.2 - никак, если в ftp-клиенте вбить адрес ftp://domain.com, то все равно ломитя на 10.0.0.1 из локальной, т.е. переадресации на 10.0.0.2 не происходит (

mar1boro
Наверное нужно тебе правило создать
источник локальная сеть, назначение 10.0.0.1, сервис FTP, разрешить, MAP 10.0.0.2 (нат не нужен!)

Добавлено:
Хотя у тебя так и есть вижу. А зачем такие выкрутасы?

Serg0FFan, да чтоб на ноутбуке у человека был доступ и из дома и с работы через одно и то же соединение. Я вроде все же пробился описанным способом, но есть 2 момента:

1. для ftp сервера на 10.0.0.2 получаетсячто все такие соединения приходят с 10.0.0.1 а не с других компьютеров в LAN, т.е. 10.0.0.1 не сообщает ftp-серверу ip истояника а действует как бы от себя. Можно ли как-то попросить его подставлять источник?

2. ftps, то бишь ftp с SSL не рабоатет по такой схеме ( - начинается как-то бесконечный цикл с редиректами.

Цитата:

как сделать чтобы из локальной сети подключаясь по ftp://domain.com я подключался к 10.0.0.2?

Если речь идет о доступе по DNS имени, то необходимо для локальных машин на FTP прописать правило:
сур local
дест domain.com
пермит
PortM на 10,0,0,2
протокол FTP

Это правило необходимо поднять в самый верх - выше локального правила.

Serg0FFan
Похоже у тебя проблема не с лицензиями, а с версией ((.

adjuster посмотри пажалуйста мои правила, выше, они правильные для задачи прописаной выше ? или я не правилльно понял и что-то делаю не так ?

http://xmages.net/upload/5c81c396.jpg

Serg0FFan
adjuster
спасибо за поддержку, все вопросы сняты. Подключается даже с SSL. Научить бы еще KWF подставлять ip источника при мапинге...

Добрый день, проблема в следующем - не открывается сайт smartec.ru, с сайтом все нормально. На сервере стоит Kerio WinRoute Firewall, в настройках "Политика HTTP" данного сайта нет, т.е. он не заблокирован. Плюс если подключаться через WiFi сайт работает, а по шнурам ни один комп не может зайти. Помогите плииз с проблемой(

Народ так почему керио может резать скорость до 50 Кб?
никто не сталкивался с этим?