» Kerio Control (ex Kerio WinRoute Firewall)

walcot
надо на локальной машине смотреть что за софтина шалит

Цитата:

Добавлено:
BeliyIV
 Просто создаете правило источник\адрес сервера с которого будете управлять керио
назначение\хост керио
порт\служба керио вэб админ
разрешить.

Правила трафика -> Добавить
-> Источник
IP физ. машины где стоит виртуальная машина с Kerio
-> Назначение
ТУТ НЕ ПОНЯЛ
-> Службы
Kerio Control WebAdmin ТУТ ПРАВИЛЬНО?

Кто-н игрался с сертификатами? В частности, чтобы пускало без предупреждений в веб-панель. Наткнулся на эту инструкцию http://kerio-rus.ru/forum/showpost.php?p=119682&postcount=12. Подскажите как верно всё настроить?

walcot
Смотря какая у тебя среда.
В рабочей группе с тремя компами - да, все по инструкции получится.
Только вместо IP адреса можешь использовать DNS-имя машины с керио

Добавлено:
Коллеги, подскажите, пожалуйста:

Имею виртуальную машину HyperV 2008R2 с керио 9.0 (сразу отмечу, что от версии керио беда не зависит - наблюдаю её еще с 7хх в разных сценариях)

Железо имеет две сетевые карты, к каждой из них создан виртуальный коммутатор и, соответственно, виртуалке с керио назначено две сетевые карты. Одна - в мир с белым адресом, вторая в локалку в сегменте 192.168.1.0/24.

Все работает.

Возникла необходимость ввести вторую IP-подсеть 192.168.2.0/24 со стороны локалки.

Добавляю к виртуалке третью сетевую карту, которая "подключена" к ранее существующему виртуальному коммутатору и физически смотрит в локальную сеть.

Получаю в керио:
eth0 - 1.2.3.4 - белый адрес провайдера - интернет-интерфейс
eth1 - MAC 24-fd-52-65-3e-7d - 192.168.1.1 - первая (существующая) подсеть
eth2 - MAC 08-60-6e-e7-a7-51 - 192.168.2.1 - вторая подсеть, которую нужно ввести в работу

В результате, на компах в обоих подсетях начинает хаотично отваливаться связь с миром.
Разборки показали, что хост керио постоянно спамит широковещательными arp-пакетами, постоянно меняя свой адрес.
Т.е. в кэшированных таблицах arp на клиентских компах из первой подсети периодически получается картина:

Код:
Интерфейс: 192.168.1.198 --- 0x6
адрес в Интернете Физический адрес Тип
192.168.1.1 08-60-6e-e7-a7-51 динамический

progmike, а вариант добавить еще один ИП адрес к eth1 не подойдет?

drsmoll

Да, пробовал так. возникат перебои с маршрутизаций межды полсетями

Работает как-то странно: то есть пинг из 192.168.2.х в 192.168.1.х, то нету

progmike, странно все это у тебя, никогда ни с первой, ни со второй схемой проблем не было.

Создал правила через мастера.
Как понимаю по умолчанию должен быть интернет у компьютеров, но его нет.
-------------------------------------------
2. Те IP адреса что раздает DHCP они относятся к доверенным локальным сетям ?

progmike
Может проблема с драйвером к конкретной сетевой карте ? Надо взглянуть, разные ли используются драйвера в винде, и, если разные прописать второй ип на другой карте, если одинаковые, то поиграть с версиями дров.

progmike
А можно вывести всю информацию по интерфейсам керио через консоль!? (ifconfig)

и желательно таблицу маршрутизации

attaattaatta
Это серверный тазик с двумя одинаковыми сетевыми и Win2008R2 на борту.
Роль одна - HyperV, виртуальных машин 6 штук и с сетью все исправно работают.

Думаю, дело не в драйверах сетевых карт, т.к. arp-хаос создает сам керио.

С драйверами попробую "поиграться", но это сложно - остановить 6 сервисов

Добавлено:
AdmDiks
да, сделаю вечером - сейчас сервер под нагрузкой..

Добавлено:
drsmoll
По варианту с двумя адресами на одной сетевой:

Скрины с Керио
Два адреса на интерфейсе:


Правило трафика:


Доп.инфо из консоли Керио:

Код:
~ # ip a
...
3: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
link/ether 00:15:5d:01:c6:26 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.33/24 scope global eth2
valid_lft forever preferred_lft forever
inet 10.10.15.254/24 scope global eth2
valid_lft forever preferred_lft forever
...

~ # ip r
...
10.10.15.0/24 dev eth2 proto kernel scope link src 10.10.15.254
192.168.1.0/24 dev eth2 proto kernel scope link src 192.168.1.33

progmike

Цитата:

3: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
link/ether 00:15:5d:01:c6:26 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.33/24 scope global eth2
valid_lft forever preferred_lft forever
inet 10.10.15.254/24 scope global eth2
valid_lft forever preferred_lft forever

Что то я не дочитал или не прочитал не суть.

На сколько я понял тут два IP на одной сетевой карте!?

В настройках виртуальной машины же 3 виртуальные сетевые!?

Почему тогда на eth2 два адреса?

AdmDiks

Это второй вариант реализации задачи. вместо двух локальных сетевых - два локальных адреса на одной карте.

В такой ситуации нет проблем с arp, но есть с работой маршрутизации

(может кто увидит, где я ошибся)

Всем добрый. Недавно грохнулся сервак, восстановил всё из резервной копии, в т.ч. и керио, вроде всё пашет, в панели мониторинга ошибок нет, снорт пишет, что работает правильно, но в журнал стало валиться вот такое:
IPS Error: Unable to start Snort process (-1)
Что за ошибка (-1)? Где исправить, куда лезть? Версия 7.4.2 вин2003, версия правил снорта 1.306/2.1082
Может, правила надо поновее? Давненько не обновлял. Если есть у кого свежЕе, киньте ссыль.

Daemon2

Попробуйте включить дебаг сообщения для снорта:

Журналы - Debug - (в поле лога пкм - сообщения - поставить галку у Intrusion Prevention System) - и понаблюдать лог

progmike
Хммм.
У меня Керио работает под Windows, седьмая версия. с arp все нормально, 3 сетевые карты.

progmike
Спасибо за совет. Понаблюдал. Вижу такое:
[27/Jun/2016 21:27:47] {ips} Creating input Pipe
[27/Jun/2016 21:27:47] {ips} Snort state changed: Error: Unable to start Snort process (-1)
[27/Jun/2016 21:27:47] {ips} Restarting Snort in 300s

Для меня ничего не изменилось. То, что он пытается перезапуститься каждые 5 минут, я и так видел. Но вот почему он не стартует, вот непонятно... Может, службу какую надо принудительно запустить? Вроде всё до крэша работало как надо...
Походу, туплю сегодня, сорри, у жены др отмечаю...
Есть у кого правила для снорта поновее? Может, криво встали... Киньте ссыль, если не жалко...

Daemon2
Жаль, я думал, больше информации будет.

Проблем с нехваткой ОЗУ нет?
Думаю, имеет смысл также проверить права на папки Керио (в службах посмотреть, от имени какого пользователя работает сам Керио и проверить, имеет ли этот пользователь доступ к папкам Керио и, в часности, снорта)

Как ещё один вариант - загляни в смежную ветку по сабжу. Там публикуют свежие правила - замени свои точно рабочим комплектом.

Daemon2

Кстати, а в журналах самой винды ничего нет?

progmike
Да не стал разбираться, снёс всё, по-новой восстановил. Никаких ошибок. Походу, дело в правилах было. Криво встали. Надо было сразу сносить. Дольше сюда писал. Спасибо за участие.

Провел эксперимент с двумя локальными сетевыми картами:

1. Интерфейсы Керио:



Код:
~ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
3: eth2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
link/ether 00:15:5d:01:c6:26 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.33/24 scope global eth2
valid_lft forever preferred_lft forever
5: eth5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
link/ether 00:15:5d:01:6f:19 brd ff:ff:ff:ff:ff:ff
inet 10.10.15.254/24 scope global eth5
valid_lft forever preferred_lft forever

~ # ip r
10.10.15.0/24 dev eth5 proto kernel scope link src 10.10.15.254
192.168.1.0/24 dev eth2 proto kernel scope link src 192.168.1.33

~ # ifconfig
eth2 Link encap:Ethernet HWaddr 00:15:5d:01:c6:26
inet addr:192.168.1.33 Bcast:0.0.0.0 Mask:255.255.255.0
inet6 addr: 2a01:d0:96f7::33/64 Scope:Global
inet6 addr: fe80::215:5dff:fe01:c626/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:72843884 errors:0 dropped:708294 overruns:0 frame:0
TX packets:94736330 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:4229811689 (3.9 GiB) TX bytes:3791279663 (3.5 GiB)

eth5 Link encap:Ethernet HWaddr 00:15:5d:01:6f:19
inet addr:10.10.15.254 Bcast:0.0.0.0 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:297437 errors:0 dropped:65257 overruns:0 frame:0
TX packets:20583 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:25335522 (24.1 MiB) TX bytes:22948618 (21.8 MiB)

lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:22713464 errors:0 dropped:0 overruns:0 frame:0
TX packets:22713464 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:958869708 (914.4 MiB) TX bytes:958869708 (914.4 MiB)

подскажите в каком файле в керио (9.1.0) лежат настройки сетевых карт

progmike
Мало имел дело с Microsoft, но по аналогии с VirtualBox в Microsoft нельзя сделать не виртуальную сеть, а Сетевой мост?


Вот это описывает вроде что то похожее!??

http://www.ixbt.com/soft/windows-8-hyper-v.shtml

Сложность же возникает оттого, что сетевая инфраструктура Hyper-V основывается на виртуальном коммутаторе, который дифференцирует пакеты по MAC-адресам виртуальных адаптеров.

wwladimir

Цитата:

Если он обслуживает клиентов снаружи, придется мапить порты из списка 13000, 14000, 15000, 13292, 17100, 17000 на существующий виндовый серер (так они и сейчас для этого должны быть открыты). Если нет, то после остановки службы керио контрол с касперским ничего не должно случиться.

KSC теперь на 192.168.1.94, был на 192.168.1.100
Агент администрирования на ПК пытается обратиться по старому адресу, но ответа не получает

необходимо перенести статистику интернет активности по пользователям с одного сервера на другой. подскажите как это сделать.

dimelis001
"Проброс" портов работает только для "транслируемых" адресов (из внешней сети-интернета во внутреннюю, например). Это ж подмена одного адреса:порта на другой при маршрутизации ИЗ ОДНОЙ СЕТИ В ДРУГУЮ (здесь нудно, непонятно но верно) . NAT и соответственно отображение адрес:порт внутри одной сети не происходит.
Итак
- если клиенты сервера Касперского в "интернете" - то все должно работать (но адрес сервера=ваш внешний белый адрес).
- внутри локальной сети меняем адрес сервера штатными методами от "производителя"

Лучшим методом было бы использование DNS и обращение к серверу по имени (еще не поздно переделать) - проблем с IP бы не было...

Цитата:

wwladimir

Цитата:

Лучшим методом было бы использование DNS и обращение к серверу по имени (еще не поздно переделать) - проблем с IP бы не было...

спасибо! Все, проблема решена!

progmike
случайно вспомнил, тут не читали?
#

trigger

winroute.cfg

после
Код: <list name="Interfaces_v2">

progmike спасибо, нашел. статистика говорят лежит в star\data\star.fdb но у меня почему-то не подцепилась