» Настройка Kerio Winroute серии 5.x и 6.х

NeveR_Mind
В качестве Source используй Firewall

Действительно без проблем обновился до версии 6.2.0, в целом всё нормально, кроме сообщений об ошибках при включеном сканировании POP3.

Однако возникла другая проблема, если кто-то в курсе, подскажите плз:
В моей организации есть 2 группы пользователей, группе №1 можно посещать любые страницы, группе №2 только mail.ru. Всем запещено качать музыку, видео и архивы. В HTTP Policy созданы следующие правила (сверху-вниз):
1. Гр. №1 - * - Allow
2. Гр. №2 - http://*.mail.ru* - Allow
3. Гр. №1 и №2 - *.mp*,*.wma,*.wmv,*.avi,*.ogg,*.zip,*.rar - Deny
4. Гр. №1 и №2 - * - Deny
В итоге никто не качает музыку, видео и архивы, Гр №1 имеет всё остальное, Гр №2 ничего вообще.
Что неправильно прописано? Уже всю голову поломал! HLP!

Такой вопрос:
есть три интерфейса: 10.1.0.0, 10.2.0.0 и 10.3.0.0
соответсвенно три ip: 10.1.0.10, 10.2.0.10 и 10.3.0.1
10.1.0.0 - primary connection
10.2.0.0 - secondary
Сеть 10.3.0.0 - через NAT связана с сетями 10.1.0.0 и 10.2.0.0
(для компов сети 10.3.0.0 комп с винроутом 10.3.0.1 - шлюз)
Подключены все три соединения одновременно, но шлюз в настройках винды указан только на primary.
Вопрос:
Как сделать так чтобы при переключении винрута на secondary connection
Internet Explorer на компе с винрутом и другие проги также меняли шлюз на прописанный в винруте secondary?

NeveR_Mind
Не уверен что правильно понял ситуацию:

Инет раздаётся из разных источников (от 2-х провайдеров)?

для компов сети 10.3.0.0 комп с винроутом 10.3.0.1 - шлюз
а для сетей 1 и 2 что - шлюз?

Запусти через комп с винрутом все 3 сети и переключай их как хочешь, а у этого компа в любом случае всё будет.

cutlasss
ent
Да вот в этом и проблема! почему то нету у компа с винроутом нифига. отрубаю его - есть. врубаю - нет инета. что за лажа?
даже пробовал делать правило source any, destination any, service any!!! не работает!!!
почему???

добрый день, хотелось бы услышать мнения народа на счет работы с глобаксом,
задача у меня стоит такая: нуна раздавать инета пользователя локальной сети их пока 10 но планируеться увеличиться до 30-40 пользователей, как обстоит ситуация с работой по абонементу или ваще как тут идет стоатистика входящего и исходящего трафика ?
что можете сказать о нем по сравнению с UserGate 4.0, счас им и пользуюсь, ?

Устроился недавно на работу,есть почтовый сервер, все нормально работает, мне интересно откуда берется именно такой почтовый адрес, надо ли где-то регистрировать его в интернете,

NeveR_Mind
На компьютере с винроутом выставлен шлюз по-умолчанию?

NeveR_Mind
Если служба отключена - инет есть на гейте, но нет в сетях?
Если служба работает - инета нет на гейте, но есть в сетях?
Any-Any-Any как верхнее правило не помогает?
Значит не Traffic Policy, значит возможно Users, Quotas и Url Rules
Если так, то может у тебя на Firewall забит User, который входит в группу, на которую распространяется запрет или квота?
Стоит галка Exclude Firewall from quota actions в Advanced Options?
Нет всего трафика, или только HTTP?

Fotonet
винрут при чем тут???

NeveR_Mind
в броузере прокся не прописана по ходу...

Вопрос у меня.
Кто-нибудь ставил сабж на домашний комп? Возможно ли такое.
Уж больно понравился он мне. блин. squid отдельно не надо ставить. контроль удобный.
только не разберусь как контролировать трафик изнутри.

Да и еще постоянная надпись "multiple gateways detected", когда создешь vpn-соединение при помощи винды. То есть, у меня эзернет соединение смотрит на локалку (местная провайдерская сеть - не офис ) и vpn клиент, навинченные на эзернете. Чего он хочет - так и не пойму.

Выход в инет разрешил только пока что по http и по dns сервисам. Не знаю, правильно ли я сделал. А на ругань "multiple gateways detected" просто закрыл глаза. Не знаю, что там делать. Просто подумал, ведь, и на серванте может быть так, что инет берется не на прямую с эзернетовского фейса, а с туннелинга, что есть надстройка над этим интерфейсом. Там действительно две сетки получается. Одна интранетовская, но не офиса, и сетка обычная. то бишь инет. Ну и третья. Офисная внутренняя сетка. Первые две должны быть как одна - на одной стороне. И третья на другой - внутренней. Что с гетвеями делать на двух "внешних" интерфейсах - ума не приложу.

Сожет ли Керио динамически распределять нагрузку между двумя каналами в интернет??? У нас в шлюзе 3 сетевушки, две смотрят в инет, одна в локалку...

cutlasss

Цитата:

Если служба отключена - инет есть на гейте, но нет в сетях?

угу

Цитата:

Если служба работает - инета нет на гейте, но есть в сетях?

угу

Цитата:

Any-Any-Any как верхнее правило не помогает?

угу

Цитата:

Значит не Traffic Policy, значит возможно Users, Quotas и Url Rules

логично

Цитата:

Если так, то может у тебя на Firewall забит User, который входит в группу, на которую распространяется запрет или квота?
Стоит галка Exclude Firewall from quota actions в Advanced Options?
Нет всего трафика, или только HTTP?

я давно разобрался..всё никак время небыло зайти на форум....
Вобщем там оказалось что стояла галка authenticate users всегда, а webinterface был выключен...он зачем то пытался редиректить на web интерфейс (отключенный)..кароче разобрался всё норм...
всё равно спасиб!
IceFusion

Цитата:

Сожет ли Керио динамически распределять нагрузку между двумя каналами в интернет??? У нас в шлюзе 3 сетевушки, две смотрят в инет, одна в локалку...

Нет, не может походу...можно только одно из них сделать как резервное...
Либо маршрут прописать конкретно для каждого...но динамичемки он не умеет вроде


Добавлено:
А вот у меня такой вопрос, он ващето не для этой темы но косвенно связан с winroute, поэтому я постараюсь его адаптировать
На компе стоит прокси сервер винроута.
К прокси разрешено коннектиться с внешнего ip "A.B.C.D" (A,B,C,D=const

Компа (A.B.C.D) ваще не связан с первым...т.е. он допустим где нить через провайдера X выходит в нет.
Так вот, на компе A.B.C.D я прописываю прокси винроута....
Вопрос: трафик проходит через прокси полностью или тока запрос?
Т.е. фактически машина с винроутом трафик не потребляет?
Или по такой схеме за входящий траф прийдется платить.....
???
П.С. прокси винроута естественно тоже на внешнем айпишнике висит

какое правило должно быть, чтобы сервак был виден в сети? разрешил все для протоколов netbios и microsoft-ds, все равно не виден в сети и обзор компов не робит. XP кое-как видят сервер, а 98 вобще никак
в логе например пишет:
DROP "Default traffic rule" packet from ****, proto:UDP, len:238, ip/port:172.16.1.78:138 -> 172.16.255.255:138, udplen:210

GOODmen
local - firewall - any permit
firewall - local - any permit

всё в одном правиле и задвинь его на самый верх

Помогите бестолковому!
После переустановки винды и соответственно винроута творятся странные вещи:
Трафик полиси
firewall - inet- any- permit
local - firewall - any permit
firewall - local - any permit
any- any -any - drop

Раньше все работало, сейчас ни в какую.
В локалке все работает.
В инет не идет.
Где собака порылась?

inet - firewall - any - permit ?

Добавлено:
Mikes
то есть разрешить все для локалки? не, так не надо

GOODmen

Читай внимательно!
Таким правилом ты разрешиш все обращения из инета на комп с керио. Это чревато.
А то что написал Mikes разрешает весь трафик между файерволом и локалкой.

sim1246
В инет на лезит ваще или только из локалки? Сам комп с керио в инет лазит?
Сделай правило local-inet-<Нужные сервисы типа ftp, http, icq...>-permit
и поставь его перед any-any-any-drop

LostWarrior
Это понятно, я хочу разобраться, почему нет доступа к серверу, хотя нужные службы разрешены? Раз фаер стоит, он должен работать, а не разрешать все подряд, хоть и для локалки

GOODmen

Судя по твоей цитате из лога у тебя не разрешен UDP/138 или компы с IP 172.16.1.78 и 172.16.255.255 (хотя я вообще не уверен что у тебя такой есть) не включен в список локальных адресов.

LostWarrior
UDP разрешен, а вот 172.16.255.255 - это маска сети. Диапазон адресов у нас от 172,16,0,1 до 172,16,2,255. Может в этом дело?

Облазил форум в поисках ответа, но что-то не нашел, может полхо искал... не знаю...
Прошу о помощи. Уже второй день бьюсь и не могу понять в чем же дело.

А дело собвственно в том, что на машинке с KWF работает только ping в "Inet", больше ничего не работает, совсем

Правила:
Name | Source | Dest. | Service | Action |
------------------------------------------------------------
"Ping" | Firewall | Any | Ping | Allow
"Me -> LAN" | Firewall | LAN | Any | Allow
"LAN -> Me" | LAN | Firewall | Any | Allow
"Me -> Inet" | Firewall | LAN | Any | Allow
"LAN -> Inet" | LAN | LAN | Any | Allow (NAT)
"HTTP -> Me" | LAN | Firewall | HTTP | Allow

Расшифровка:
"LAN" - PPPoE соединение через которое раздается инет и работает локалка

Как я уже говорил - при включеном KWF работает только пинг (работает как по имени так и по адресу), но ничто другое так и не работает, а надо бы... Где грабли?
Help. Спасибо.

Странно... Что же не за PPPoE соединение, на сколько мне известно, хотя и не профессионал в Kerio, но как я понимаю исходящее соединение через модем в керио должно отдельным интерфейсом прописываться, а создаеться во вкладке interfece. Вроде так. А то как то не логично, и тогда Nat будет прописываться (Назовем этот новый интерфейс WAN):
"LAN -> Inet" | LAN | WAN | Any | Allow | (NAT)

Добавлено:
Ну и конечно разрешенные протоколы прописывам вместо any и тогда поидее все должно работать. А все лишние разрешения убираем, если ты конечно не хочешь полной анархии =)

Я наверное не дообъяснил...
Вобщем в данном случае iface "LAN" это PPPoE мое соединение, через которое у меня работает инет, представляет собой коннект по ethernet к раздающему инет сверверу, при это мне выдается IP к примеру 192.168.20.20 mask 255.255.255.255, то есть изначально я сам за сетевым NAT'ом, но думаю это не важно. Так вот нужно сделать чтобы через "LAN" инет и работал, при отключенном KWF все пашет, включаю - работает только PING. Вот такие пироги и вареники ...

Помогите пожалуйста, немогу разобраться с настроиками правил доступа для разных груп пользователей и учётом входящего почтового трафика. Всё работало нормально пока было 2 группы - 1 можно всё по паролям на каждого пользователя. 2 - некоторое кол-во сайтов можно всем и без пароля, ну и через нат почта и аська. Щас стало надо полный учет всего входящего трафика и почты в том числе, с аськой в идеале. Щас такие TRAFFIK POLICY :
1. icmp traffic - firewall - any - ping - permit
2. nat - внутрь - наружу - any - permit
3. local traffic - внутрь/firewall - внутрь/firewall - any - permit
4. Firewall traffic - firewall - наружу - fye - permit
5. remote - 192.168.0.3 - firewall - kwf admin - permit
6. ident - наружу - firewall - ident - deny
7. default rule - any - any - any - deny

внутрь - сетёвка в локалку 192.168.0.1, наружу - сетёвка в адсл модем 192.168.1.2

URL RULES:

1 правило - можно все - выбраны пользователи разрешено всё доступ по паролю
2 правило - можно не всё - выбраны пользователи и указана группа сайтов, доступ по паролю.
3 правило - можно всем - без пароля , выбрана группа сайтов.
4 правило - нельзя всем - выбрана группа пользователей как в правиле 2 и всё запрещено.

Вроде работает, но както ненадёжно, я в первой группе и закрытие логина поставленое через 1 минуту срабатывает невсегда.

Главное! Подскажите, как можно почту работающюю через нат учитывать на каждого пользователя чтобы она не залазила в OTHER трафик.

Везде рассматривают вариант с двумя сетевыми карточками. Подскажите, какие особенности настройки такой конфигурации: ADSL модем включен в хаб, 2 компьтера в хаб. На первом XP и Winroute, прописаны шлюз и днс от провадера + 2 ip, один от провайдера 10.ххх.ххх.ххх, другой для локалки 192.168.1.1. На второй Win2000, ip 192.168.1.2, шлюз и днс - 192.168.1.1. На второй машине интернет прокси через ip 192.168.1.1 порт 3127.
Оба пингуют друг друга. Интернет с первой машины есть. Как настроить выход в интернет со второй? WinRoute определил только один интерфейс - 192.168.1.1.

Дайте пожалуйста совет, помощь поставил Керио вчера, маился с ним несколько часов, прога отличная, но настроек куча, настроил вот с этой странички =http://kerio-rus.ru/workgroup.html, керио на машине которая у меня будет выступать маршрутизатором (192,168,0,3), практически всё ок, сеть пингуется во всех направлениях с этого компа на адреса (192,168,0,1 и в 172,17,8,1) так же и на машинах лок сети 192,168,0,* тоже пинг проходит! Но Керио не пускает не в инет не в чат локальный на машине где установлен керио???
чат на порту 8167 в сеть 172,17,*,*, так же не работает инет, так как нужно запустить ихнию прогу которая показывает мой счёт, она на 5555 порту на адрес 172,17,8,1
НУ и исходя из этого не пингуется и днс 195,*,*,*!!
Я дополнительно той мурзилке что по ссылке, делал в Меню SERVICES: соответствующие правила и нечего? Подскажите пожалуйста!
Платформа везде WinXP Sp2
локалка 192,168,0,1
255,255,255,0
инет 172,17,8,43
255,255,252,0
172,17,8,1
195,*,*,*
P.S.Хелп по керио такой здоровый, я всё так быстро не прочту! Но обязательно дочитаю!

Народ, подскажите, плз!
Поставил КВФ 6.2.0 патч 1, лечу, настраиваю - все ок, работает.
Файлы настройки меняются по отношению к bak-файлам. Т.е. если
сразу после установки winroute.cfg был 21 байт, скажем, и
winroute.cfg.bak столько же, то после настройки winroute.cfg
стал N килобайт. Но после остановки фаервола и последующего его
старта, такое впечатление, что настройки он считывает не из
winroute.cfg, а из winroute.cfg.bak, т.е. захожу в админку и
вижу все по-умолчанию, и без всяких правил...
Уже голову себе сломал - почему так???
Я так понимаю, что при старте фаер должен копировать winroute.cfg
в winroute.cfg.bak (и прочие файлы настроек)? Тогда почему он этого
не делает, а делает наоборот???

Saftor
ещё раз и немного понятнее откуда куда чего ходить будет..
а то так нависал что ничё не понятно

гвооришь dns не пингуется.. а что? обязательно должен?
разрешение имён идёт?

Добавлено:
errare
как вариант найстрой что надо а потом удали bak файлы .. а вообще переставь.. или лекарство кривое

У меня такой вопрос! Если серверу внутри сети я делаю MAP-ing то и трансляцию наружу я должен обеспечить (NAT), (сами серверы вовсе не обязательно будут инициаторами соединения, главное доступ с наружи). Ну тоесть так:
1) "Inet -> FTP" | Inet | Firewall | FTP | Allow | MAP : 192.168.1.2
2) "FTP -> Inet" | 192.168.1.2 | Inet | FTP | Allow |(NAT)
Или второго правила не надо делать? (сервер FTP)