» Kerio WinRoute Firewall

ну вот - смотрел смотрел и решился поставить KWRF 6.0.1 - поброл DNS, настройки все по умолчанию, в инет ходить можна... Вопрос про НАТ - я понимаю что НАТ создает что то типа таблицы подставки ip с внутреннего на внешний и тем самым позволяет ходить в инет всем машинам сети без особых настроек.. судя по настройкам по умолчанию - НАТ у меня включен... но я не могу понять как это сказывается на самой работе приложений? чем работа с Нат отличается от работы без НАТ? как проверить - работает и ичпользуется ли он? ведь все равно в ИЕ приходится указывать ИП и порт машины на которой стоит Керио?

Цитата:

ведь все равно в ИЕ приходится указывать ИП и порт машины на которой стоит Керио?

Вот как раз тем что НЕ НАДО и отличается.
Ставишь в свойствах шлюз по умолчанию- машинку с KWRF и всё, все проги сами инет "найдут" и ничего не надо указывать

neva102502
ааагромное спасибо - вот уже года два юзаю проксики - и только теперь допер как ентот Нат пользуется...

а что насчет конфликтов с КМС по портам смтп и поп? не будет?

и еще назрел вопрос - Выставил Automatic Logout d 1 минуту - но если кто нить запустит ИЕ в этот промежуток но без логина и пароля зайдет в Инет - а нельзя ли сделать так что бы при закрытии ИЕ - сразу коннект обрывался?

Hrist
я тоже над этим вопросом бьюсь..
Мне нравится авторизация што была в WR 4.2.5... тама каждая сессия авторизировалась. И если я закрыл все окна то при запуске новой копии браузера приходилось авторизироваться заноГо.. а тут этого нету к сожалению. И если один слез с компа а другой в течении минуты влез на него то ему и авторизироваться не нужно..

СПЕЦЫ!!! Не подскажете? Есть ли возможность сделать метод авторизации в 6ке ка в 4ке? В проксе в смысле...

таак.. с НАТ разобрался - работает,кстати а в DNS машины клиента тоже пришлось дополнительно указать ИП машины с керио а то она в упор не понимала адреса - только ИП сайтов

порты кажись конфликтовать не будут, если сделать прпавило по поп и смтп без протокол инспектор - то без проблем бат забирает и отправляет почту.... вообще конечно с этими правилами еще разбираться и разбираться - круть неимоверная - можно сделать все что хош...

есть есще два вопроса:

1) протокол инспектор - это просто требование авторизации или что то большее? (я заметил что когда отключаешь протокол инспектор то при выходе в Инет не требуется авторизоваться...)

2) как заставить авторизоваться пользователя что работает за машиной на которой стоит этот самый керио я разобрался (создал отдельное правило на http и ftp Firewall->net и включил на него протокол инспектор), но что занятно он потом не отрубается после закрытия ИЕ и на этой машине можно заходить в инет даже после 1-5 и далее минут... почему так?

и третий)
чито тоакое кобиен - нафиг он нужен и что будет ежели я его отключу?

Добавлено
ах да... и зачем мне нужна прокси (прозрачный или непрозрачный) ежели работает НАТ, ну кроме кеширования страниц? если я его включать не буду - не нарвусь ли на какие грабли?
думал может для статистики нужно - но и без прокси при включенном нате и протокол инспекторе все пишется в логи и в http и в web и считается в трафике...

Serg0FFan
тут наверное такое сработает когда врубишь непрозрачную прокчи, т.е. когда направишь всех через порт 3128, хотя я не пробовал.
Я сам не дорубаю нахрена нажна непрозрачная прокся - единственное предположение чтобы прикрыться одним портом, чтобы трафик шел от одного порта, но нафига это надо, когда прозрачная прокся итак умеет все и даже больше чем непрозрачная.

А инспектор протокола они пишут для обработки логов, если убиваешь инспектор для POP и SMTP (т.к. с ними в 6.0.1 большие письма не принимаются) то подсчет трафика по почте работать не будет и как следствие квотирование трафик абудет работать только по HTTP & FTP.

Ждем пока поправят

CoolVik

Цитата:

когда прозрачная прокся итак умеет все и даже больше чем непрозрачная

а что конкретно может непрозрачная прокся по сравнению с НАТ? помимо кеширования? Вопрос не праздный - просто не знаю что выбрать и на чем остановится - какой политики придерживаться? Если отрубить НАТ то так конечно спокойнее - через проксю не так просто пройти, не всякий сможет настроить, и далеко не все сможет через нее рабоать и точно будет учитываться все то что прошло... с НАТ конечно нужно держать ухо в остро - особенно если на протоколах отключен протокол инсперктор, вот например-

хочу сделать icq, по дефолту у него отключен протокол инспектор, врубаю НАТ на icq - работает без проблем и без всякой аутоидентификации и соответсвенно похоже нигде не учитывается, ну и фиг с ним - аська не много ест. А что если один юзверь захочет через аську передать другому файл размером в 700мб? по какому протоколу его аська будет передавать? и что он так нигде и не учтется? дырка получается? а если НАТ отрубить на аську и пустить ее через проксю- то будет наверное безопаснее?

Этот вопрос не совсем наверное туда но возник он в связи с Керио:
Что бы клиент пользовал нат - нужно в совйствах сет. карты указать шлюз и дополнительный ДНС (который на керио разрешает имена сайтов) - можно ли и как сделать на сервере что бы при подключении машины к домену и получении ИП с dhcp машина получила и эти настройки для своей сетевой карточки (что бы все машины имели без особых настроек возможность выходить в инет)... сервак dhcp у меня отдельно от машины что служит проксей... и мне точно не хочется менять глобальные настройки сервера и днс - нужно что бы менялись только настройки локальных машин... (не хотелось бы что бы сервак сети начал отсылать запросы днс в интернет - это у некоторых заждрало столько трафа - что мама не горюй)

Kerio WinRoute Firewall Version 6.0.2 - August 10, 2004
http://download.kerio.com/dwn/kwf/kerio-kwf-6.0.2-win.exe

+ possibility to specify file size limit for antivirus
+ possibility to duplicate rule in HTTP/FTP policy
+ firewall can be excluded from quota actions
* address group can be used for user automatic login
* several minor improvements in administration console
- fixed several bugs in SMTP protocol inspector and antivirus
- fixed memory leak if DNS forwarder was disabled
- fixed non working proxy if DNS forwarder was not configured
- fixed crash when removing DHCP scope exclusion
- fixed bug in SIP inspector
- fixed minor bug in IRC protocol inspector
- installer sometimes failed to update Kerio VPN Adapter driver and returned error 0x80070103 - fixed
- Kerio VPN adapter sometimes lost it's primary IP address - fixed
- authentication method for user imported manually from NT domain is now correctly set
- fixed non working automatic login from firewall host

Changes in Kerio VPN client since 1.0.0:
- configuration was not saved sometimes - fixed
- "SSL error 0/5" during connection establishment replaced with more specific message

ну вот блин... а я тока сегодня решился ставить 6.0.1... кхе - все равно поставлю 6.0.1 а пото не поздно по верх поставить и 6.0.2...

все же как то непонятно с авторизацией получается - ну нафиг мне нужен автоотключение юзера после простоя - читает он страничку и пусть читает хоть часа 3 (это для диалапа хорошо, а для выделенки и не надо). зато если юзер поработал и закрыл ИЕ то другой может подскачить к компу и продолжить работу под предыдущим пользователем - что не есть гуд - что есть очень даже плохо - ужасно... как побороть..

кстати я не силен в англицком (ленивый я) - что там в новом керио лучше стало серьезного - ну протокл иснпектор на смтр поправили - теперь наверное письма больше 2 метров буде пропускать - это есть гуд... а что там еще такого серьезного?


Цитата:

- fixed non working proxy if DNS forwarder was not configured

вот это интересно... может это то что у меня было и у друга? пока не указал явно ип днс серверов - днс не работал - днс имена не разрешались...

извиняюсь... это скорее к варезу....

Hrist
Та же самая фигня "обрадовала" и меня с утра сегодня.. Засада! Скорее всего еще чвота вкорячили в защиту...Чего небыло в 6.0.1....а т.к. патч сделан на основе 6.0.1 то я думаю он и не нашол этой самой новой засады...

меня вопрос - очень нужжжный - чем можно создавать отчеты по трафику и посещаемым сайтам? у меня есть proxy inspector 2.5 но тот похоже логи 6-ки смотреть не умеет... оччень нужно и срочно...

Hrist
есть proxy inspector 2.7c - он это делает (пробовал). Пиши в ПМ.

Serg0FFan

Цитата:

Што на ето скажут уважаемы крякеры?
Ждём от вас нового лекарства.

Разделы не путай

ilion
спасиб... то что пробовал... да работает.. но траф показал какой то непонятный 17мб... когда у меня через проксик закачано 6мб а через НАТ 45мб...

и еще вопрос - не грузятся теперь аватары с http://i.ru-board.com и некоторые картинки с сайтов - че можно сделать и где и как...

Hrist

Порт 8080 на исходящий трафик открой, он по умолчанию закрыт.

KeyPresser

Цитата:

Порт 8080 на исходящий трафик открой, он по умолчанию закрыт.

ага спасибо... это как делать то...
я зашел туда где все службы есть, нашел http и поставил destination port - list - 80,8080
и заработало...
это я правильно сделал или можно было по другому?

кто смог раздолбать кериевский ВПН ?

у меня соединение устанавливает ... пакеты принимает но не отправляет
что не так сделал?
как правильно настроить?

Hrist

прально...

Помогите разобраться со следующей проблемой.
Не могу настроить почту на локальных компьютерах.

Ситуация следующая.
SMTP работает - письма уходят.
POP не работает - письма не принимает.
Почтового сервера в сетке нет. Домена нет. Почта забирается с бесплатных почтовых ящиков (например, newmail)

25 порт открыт. Bat заголовки скачивает. Могу зайти телнетом на POP сервер, авторизоваться там, просмотреть список сообщений. Но после ввода команды RETR n(номер сообщения) ответа нет. Где то через минуту вываливается ошибка (соединение с с сервером прервано).
Антивирус отключен. Инспектор на POP отключен. В настройках почтового клиента POP сервер прописан ip.
На сервере Winroute почта принимается. Да еще, на локальных компьютерах почта принимается, если размер письма меньше 1кб. Еще раз говорю антивируса нет нигде, а встроенный в Winroute отключен.

defcon
отключите протокол инспектор для POP3, или ставьте последнюю (по-моему 6.0.2) версию - там вроде пофиксили этот баг..
да, и в сл. раз читайте топик внимательней! это уже было!

RedSnapper
c РОР3 не пофиксили... в смтп пофиксили.
Т.е. смтп можно не трогать (используя 6.0.2) а вот в поп3 придёцца отключить инспектора..

Народ. А ткните пальцем где этот протокол инспектор обретаетца?
Мне и самому интересно стало. Все настройки облазил а так и не нешол.

О чудо, поставил 6.0.2. Включил протокол инспектор для POP3 и все заработало.
С версией 6.0.1 не работало, что с включенным инспектором что с выключенным.

vrough
Инспектор отключается в сервисах Configuration-Definitions-Services в свойствах сервиса можно убрать протокол инспектор.

vrough
а еще можно в traffic Policy щелкнуть правой клавишей и выбрать Modify Colums и выьрать показ колонки Protocol Inspector

Version 6.0.3 - August 17, 2004
http://download.kerio.com/dwn/kwf/kerio-kwf-6.0.3-win.exe
+ support for Windows Security Center in Windows XP SP2
- fixed incorrect handling of TLS-secured POP3 and SMTP
- dates in alert emails are now properly formated
- traffic rules with interface source no longer permit packets from firewall
- fixed file name matching in ftp policy when using MS IE as client
- "Error: function called with invalid parameters" no longer appears when clearing a log

Помогите, пожалуйста, разобраться в настройках Kerio WinRoute Firewall 6.0.2 со всеми лекарствами:
Настроено:
На моей машине выход в Интернет и WinRoute
В Traffic Policy:
Source: Firewall
Destination: Dial-Up
Service: Any
Action: Premit

В сервисах прописаны все протоколы.

Опера с настройками 192.168.0.1 (мой IP) порт 3128 работает у всех
Проблемы:
1. Не работает Socks
2. У всех не работает Аутлук, но работает IE. А у меня – наоборот ( с РОРа Protocol Inspector убрал)
3. У всех (кроме меня) не работает Миранда, но с теми же настройками работает ICQ.

spetiolizer


Цитата:

Note: The Proxy server in WinRoute supports only the HTTP and HTTPS protocols. Use direct access to support traffic using the FTP protocol unless you use a parent proxy server that supports FTP protocol (WinRoute's proxy server can “get” FTP to the parent proxy server).

Цитата:

2. У всех не работает Аутлук, но работает IE. А у меня – наоборот ( с РОРа Protocol Inspector убрал)
3. У всех (кроме меня) не работает Миранда, но с теми же настройками работает ICQ.

шлюз на машинах прописан???

прочитал первые 7 страниц, и как будто бы ни у кого с аськой не было проблем. как ее запускать через данный прокси, подскажите плзз .. понимаю что наверно не раз спрашивали но никак не могу разобраться ...

где СОКС найти?? или только через http можно ее запускать????

и параллельно вопросик ...
при создании правила мол:
с такого-то ипа на такой-то ип через такой-то порт ... порт в обе стороны открывается ... или где .. не нашел как в обычных фаэрволах настроет типа IN OUT ANY.