» Kerio WinRoute Firewall

Подскажите плиз. каждые 4 часа прекращается выход в интернет у всех. проверил вроде керио выходил на свой уптаде. как его отключить. вроде все галки сняты всеравно выходит

SNFR1C
Закрыть доступ надо было к *.kerio.com* и выше открыть только для закачки download.kerio.com*

Цитата:

Тут одна компания полностью на русский язык перевела хелп
Kerio WinRoute Firewall 6.0. Руководство Администратора
Может кому надо: _http://www.internetaccessmonitor.com/rus/support/docs/winroute/

Я слил этот мануал, порезал банеры и их меню, оставил только сам мануал.
Для тех кто не хочет или не может читать мануал в онлайне можете слить офлайн версию и читать на локальной машине: _http://fronik.by.ru/kwf/

А Winroute Firewall 6 будет нормально работать с прокси usergate?
Я так понял что должен, но хотелось бы знать точно.

Jazz2
А зачем такая связка? Winroute Firewall 6 содержит в себе прокси. У меня сначала была мысль использовать такую связку, чтобы использовать авторизацию из usergate. Но потом мне все же удалось настроить авторизацию на проксе в Winroute Firewall 6.

Дело в том, что usergate уже стоит и в нем происходит весь учет и квотирование с логами. Не хотелось бы сносить то, что работает уже. Вообще связка такая будет нормально работать?

У меня тут возник такой вопрос. Есть машина поставленная на роутинг в некольких сетях(причём доступ идет с одного интерфейса). ТО есть её ип пускают в три закрытые сети(на ней стоит винроут насьроен нат и модемный пул). Нужно насть впн, да так чтобы он роутился на одну из закрытых сетей. Пока получилось настроить тока на приматную сеть которую создает модемный пул. Если клиент подключается из одной зактытой сети то он получает досту к приватному доапазону ипов модема. НО нат за придела приватнй сети не пашет.

В общем кто-нить настраивал впн сервак в Винроуте.

А Юзергейт с Винроутом пашет на ура. Я им пользуюсь.. Так как встроенный прокси корявый.

А для того чтоб работала эта связка там надо будет указать parent proxy, его ip и порт, верно?Или ничего не трогать?Что это вообще за настройка "parent proxy"?

Yuushi
А чем плох встроенный прокси и как это проверить?

Jazz2
Очень похоже на правду. Тебе нужно посмотреть _http://www.usergate.ru/download/UserGate_help.zip или в топике по Usergate спросить.

Хм... я просто отключил встроенную прокси и пустил напрямую. То есть открыл порты на авторизацию на этой проксе. То что что вы делаете это называется каскадирование прокси, этого делать не нужно. (Только если вы хотите чтоб весь траффик с юзергейта считался например как прокси. Правда разделения по юзерам конечно не получиться. Ну или применение встроеннных в Винроут фильтров).
Насчёт каскадирования оно довольно существенно замедояет времмя отклика на запрос, так как запрос обрабатывается обоими прокси сервера по отдельности.
Меня не удовлетворила встроеннная прокси так как мну для некоторых сервисов нужен был socks сервер. В стандартной это нет.. так как есть нат .
Ну, а кто-нибудь мне скажет про впн ?

А никто не подскажет нужно ли что-либо открывать для 1С Прелприятия 7.7.? А то она работает через раз. Выдает странные ошибки у юзеров на предмет того что задача уже используется, приходится запускать в мнопольном режиме и только потом уже открывается нормально.

Jazz2
Ты топиком не ошибся?? =))

подробнее расскажи..
вот я ничего не понял из твоего поста. А мысли читать не юмеем..я по кр. мере..

Да нет, не ошибся думаю. Потому что ботва обострилась после установки Kerio.
Я бы сам рад знать точнее в чем дело, но с 1С Предприятием никогда дела не имел и не в курсе что ему нужно для нормальной работы по сети. Хотелось просто узнать может ли Kerio блокировать какой-то его трафик. Хотя логи чистые. В самом Kerio стандартные правила установлены + разрешен Remote Admin, отключен прокси.

При просмотре логов (web, http) текстовыми редакторами или эксел, вместо имен сайтов на русском языке пишутся иероглифы, хотя в самом winroute те же логи отображаются прекрасно. Чем же можно их просмотреть и составить отчет. InternetAccessMonitor показывает только URL, без названия.

Jazz2
не блокирует керио трафика 1с - если бы блокировало - то раз и навсегда

а вот ресурсы жрать может еще как...

ИМХО не стоит ставить керио на сервак с 1С - лучше на отдельную машину - может и не мощьную но отдельно для задачи Инернет прокси - сервера....

kliv1
А ProxyInspector для WinRoute пробовал? И еще что-то я не понял: что есть название сайта? и чем оно отличается от url? Лично мне в отчетах важно видеть на какие сайты люди ходят, т.е. url мне достаточно.

Господа! Кто нибудь может прояснить вопрос с настройкми WRF такими как борьба с патчем кода при работе в броузере и т.д. И вообще - кроме фильтрации траффика какие ещё плезные функции есть в WRF???

All возникла такая неприятная фишка. Стоит kwf 6. Поднят dial-in в виндах. В kwf 6 все настроено на dial-up с полным доступом. Фигня в следующем - по аське при использовании dial-up не принимается файло, хотя когда сидишь в локалке все нормально. Уже все traffic policy перерыл, но ничего в голову не приходит. В чем дело может быть?
P.S. При использовании dial-up выдаются адреса локальной сетки и аська соответственно настроена на работу с firewall. C локалки все нормально, а по dial-up хрен

Mystical
Хм.... у тебя стоит фильтр на исходящие порты? Насколько я помню для передачи файлов через протокол ICQ используется отдельное соединение. И в аське можно указать диапазон портов. Думаю тэто же стоит сделать и в винроуте.... Так как если ты принимаешь то я думаю твой собесседник ломиться к те и обрабатывается винроутом как входящий контакт... я точно помню что жёстко порты задавать можно в миранде.... насчёт других клиентов незнаю .

И я смотрю впн никто толком не юзал? Что-то никакой активности по теме.

WINNIEPOOH2000 кроме фильтрации трафика он может быть использован для создания впн туннеля, управления адресацией сети. Маршрутизиции некольких интерфейсов. А насчёт патч кода.. я немного не понял вопроса. Ты насчёт дыры которая приводит к зависанию сервера? То она исправлена ... По завлению разработчиков.

Yuushi
Фильтр... хм... Не совсем понятно, но думаю что не стоит. Потому-что для dial-up я все специально открыл, т.е. правила такие Source (Dial-IN), Destination (Internet), Service (Any), Action (Permit), Translation (NAT (default...)) и соответственно второе Source (Dial-IN), Destination (Ethernet, Firewall), Service (Any), Action (Permit). Вроде все что можно разрешено. В локалке для admin'ов тоже самое, только естественно вместо Dial-IN в Source админские ip и все пашет. Короче ничего не понимаю
Насчет VPN так я вполне доволен родным от мелкомягких

Mushroomer

Цитата:

kliv1
А ProxyInspector для WinRoute пробовал? И еще что-то я не понял: что есть название сайта? и чем оно отличается от url? Лично мне в отчетах важно видеть на какие сайты люди ходят, т.е. url мне достаточно.

Да, но в заголовке отражена тематика сайта, что очень удобно для анализа, например:

07/Feb/2005 08:48:33] 192.168.0.3 programmer 1 "Официальный сайт МегаФон - все новости от сети МегаФон" http://www.megafon.ru/
[07/Feb/2005 08:49:21] 192.168.0.3 programmer 1 "МегаФон - Северный Кавказ" http://www.megafonkavkaz.ru/main
[07/Feb/2005 08:49:47] 192.168.0.3 programmer 1 "Отправка SMS" http://www.megafonkavkaz.ru/sms

и сразу видно кто чем дышит, а по url не всегда это видно, пока сам не зайдешь. ProxyInspector для WinRoute пробовал.

Yuushi
Меня интересут функции Фаервола!!! Маршруты и прочее я одолел без проблем. Просто при проверке одним из тестов обнаружилось - сколько не бейся головой в стену а проблема с патчем памяти при работе в броузере не исчезла...


Добавлено:
Yuushi
А вообще WRF может маскировать порты, блокировать кукисы и всё прочее чем славится скажем Outpost Firewall???

WINNIEPOOH2000

Хм.. маскировка портов.... Я немного не понял сути высказывания. Объясни пожалйусто. Кукисы он не блокирует(напрямую... через встроенную прокси это осуществить возможно). Но хотелось бы заметить, что функции фаерволла полностью реализованны в Kerio Personal Firewall http://www.home.ru/alros/PCSecurity/KPF_Rus/kpf4_rus_home.html <- там всё популярно расскажут .

Mystical

Да, у тебя все разрешенно. А как дела обстоят без винроута? Возможно это ещё и провайдер провинился?

Yuushi
Я правильно понял- WRF это просто рутер и никакаих нормальных функций фаервола там нет???


Добавлено:
Mystical
Будь так любезен - поясни, пожалуйста!!!! Всё разрешено это что значит?

WINNIEPOOH2000

ты немного перепутал назначение программ. KWF не блокирует куки, не маскирует порты, не создает автоматом правила для приложений, т.к. это прежде всего корпоративный прокси сервер, у него задачи несколко другие, более масштабные чтоли. Он нужен для решения общих задач по рутингу, безопасности и разграничению прав юзверей в локальной сети на пользование инетом. Он по умолчанию закрывает все неиспользуемые порты. Ты же можешь открыть конкретным пользователям конкретные порт или запретить трафик по ним. От основных распространенных атак он тоже защищает (если много всякого лишнего не откроешь). Так что все "нормальные" функции присутствуют. Да, надо все делать ручками, если хочешь дать доступ определенным группам пользователей до определенным программам (FTP, ICQ PtoP), ну дык это софт не для ламеров а для сисадминов, да и сложно тут что-то автоматизировать. А то, что ты хочешь, решается на уровне конкретного локального компьютера посредством персональных фаеров (как раз вроде Outpost). Это несколько другой класс програм. В идеале все сетевые машины, несмотря на наличие корп. фаерволов, должны быть ими оснащены. Как здесь уже говорили, у керио есть персональный фаер, попробуй его, если тебе нужно это на одной локальной машине.

Yuushi
Провайдер думаю непричем. Мы сами покупаем инет с десятком фиксированных ip через оптику и цель его раздавать тоже присутствует.
Без WinRoute не проверял, но думаю, что все должно работать, так как ограничения все и вовсе пропадут. Короче сам не понимаю чего за фигня. Конечно можно будет попробовать разрешить типа internet->firewall все порты, но это слишком жестко, считай, что сидишь без firewall , но для проверки сделаю и сообщу результат.

Mystical

Так... а версия у тябе какя? Возможно я пропустил. Просто у меня большие траблы были с 6.0.8 версией. Она не хотела поддерживать соединеие на dial-in сервере, не работала докачка, ну вобщем непонятные траблы....

WINNIEPOOH2000

это не персональный фаерволл, это прежде всего межсетевой экран тут я полностью согласен с crapaud'oм. Серверу не к чему персональный фаерволл....

Yuushi
У меня 6.0.8 отлично работала, кроме пересылки файлов в асе по dial-up Нет там точно никаких очень заметных траблов! Докачка может на ie не работать если стоит в policy протоколов проверка на вирусню. Dial-IN тоже великолепно работал! У меня стоял Windows 2000 Server SP4 Russian.
Теперь стоит последняя версия 6.0.9, причем пока не крякнутая, а 30-ти дневный триал. Просто начисто переставил сервак на Windows Server 2003. Короче я думаю дело тут в хитрой настройке. Ася как я понял шлет файло если оба в контактах и она использует peer2peer. Кстати если eMule запускать из локалки под WinRoute то получаю LowID. Где чего надо прописать в правилах, чтобы получить HighID? Port Mapping что-ли какой хитрый делать? Чего, откуда, куда и какой порт маппить?

Mystical
ммм.... Щас стоит 2003 standart и 6.0.9 крякнутая.. так как триал кончился . Ну в общем стоит и проврка на вирусню.. Сканер внешний NOD32 не триал . Докачка работает, а вот в 6.0.8 не работала, хотя ОС та же. В общем дело тёмное. А насчёт lowID это обусловленно NATом. Исправить для всех клиентов ты это не сможешь. Ну если конечно у тя не раздаются реальныен ипы. Так как в снове п2п протокола лежит то, что на каждое соединение определяется свой порт в диапазоне от 20000 до 40000(вроде). В общем тут никакими порт-маппингом не поможешь. Кстати уменя вроде нормально всё пашет.... и аська и джаббер... Файлы пересылаються без повреждений.

Yuushi
Спасибо, у меня XP Pro... К сожалению нет возможности использовать комп на одного. Просто сетка у меня дома на 3 компа и надо выходить под 1 айпишником в инет. Стандартные средства Виндов для общего доступа в инет какие-то глючные и по этому приходится изъёживаться.

Добавлено:
crapaud
Спасибо и Вам, мил человек... Ну ламером в вобшем-то себя не считаю (и очень давно) - просто у меня другие задачи стоят. По этому и советуюсь, а иначе зачем эти форумы??? А вообще-то сервак это такая штучка, интерес к которой у определённых лиц имеется весьма и весьма не малый!!! И если Вы хороший админ, то возможности поведения в локалке проникших туда уродов Вы должны понимать... Но всё равно спасибо за ответ.