» Kerio WinRoute Firewall (часть 2)

Зачем в пм, мне например тоже интересно как в этом случае керио настраивать толково

Здраствуй коллеги!
Необходимо было перенести постовый сервер на машину внутри сети. Настроил порт мапинг по мануалу. 192.168.3.1 старый сервер 192.168.3.2 новый сервер.
Почта отправляеться с нового сервака, но не приходит на него.
правило вот такое:

Source - интернет.
Destination - 192.168.3.2.
Service - pop3, smtp.
Action - permit.
Translation - Destination NAT (Port Mapping) - Translate to IP address - 192.168.3.2.

может в (Source) NAT надо написать ип нового сервера?

в трансляции выбери нижний вариант и порты там пропиши

AnLe, в ПМ на случай, если вариант с сабжем не удался, а получился какой либо другой способ... иначе оффтопик получиться!

SHRIKE74
Translate to IP address - 192.168.3.2
Translate port to 25, 110.
вот так?
з.ы. к сожелению до вечера не смогу проверить, поэтому и спрашиваю.

Gunslinger
Дестинейшен - фаервол хост.

Добавлено:
ICY_fire
Вариант с сабжем какраз возможен, потомушто у нас в городе спутниковые фирмы предлагают настройки спутника делать как раз на его основе.

AnLe, глянь тут: http://www.u-antona.vrn.ru/forum/showpost.php?p=1779881&postcount=29. Если найдешь еще что полезное, по данной теме, дай знать.

Помощи прошу!!!!!!!!!
На сервере стоит Kerio 6.2.1. Все работает. Интернет раздает в локальную сеть.
На рабочих станциях интерент работает без проблем. Не пускает только на ru-board ни по каким ссылкам.
Что можно сделать?

Заранее благодарю

Cool_Pilot
Кабан, возможно, ограничивает или http правило (forbidden words). логи смотри.

Не получается настроить автоматическую авторизацию пользователей из AD.
Доменные учетные записи он понимает но все равно выбрасывает на страницу авторизации и надо вручную опять вводить логин и пароль. kerio 6.2.1

Единственный выход, который я нашел, это на локальной машине в Панель управления -> Учетные записи пользователей -> Дополнительно -> Управление паролями прописываешь имя сервера с керио, имя пользователя и пароль. Тогда автоматом регистрируется. А как заставить пользователя при регистрации в домене автоматом регистрироваться в керио без участия локальной машины я не нашел.

[24/Nov/2006 16:25:34] (1019) Internal error: Failed to accept packet.
[24/Nov/2006 16:25:34] (1005) Internal error: Failed to retrieve packet from driver.
__________________________________
Служба сабжа при этом отваливается...
У кого подобное было? Куда копать? 1-3 раза в неделю такое происходит, что на новой версии сабжа (6.2.3) что и на 6.2.1

ICY_fire
Случайно не на хп стоит?
У меня подобное на ней творилось

[25/Nov/2006 15:52:14] (4503:10065) Socket error: Failed to forward DNS query to xxx.xxx.155.2.
[25/Nov/2006 15:52:49] (4503:10065) Socket error: Failed to forward DNS query to xxx.xxx.154.2.
[25/Nov/2006 15:52:51] (0) Failed to send DNS query to server xxx.xxx.154.2: 10065
[25/Nov/2006 15:52:56] (0) Failed to send DNS query to server xxx.xxx.154.2: 10065
[25/Nov/2006 15:53:06] (0) Failed to send DNS query to server xxx.xxx.155.2: 10065
[25/Nov/2006 16:05:05] (0) Failed to send DNS query to server xxx.xxx.155.2: 10065
[25/Nov/2006 16:05:08] Last message repeated 3 times
[25/Nov/2006 16:05:11] (0) Failed to send DNS query to server xxx.xxx.155.2: 10065
[25/Nov/2006 16:05:14] (0) Failed to send DNS query to server xxx.xxx.155.2: 10065
[25/Nov/2006 16:05:14] (0) Failed to send DNS query to server xxx.xxx.155.2: 10065
[25/Nov/2006 16:05:17] (0) Failed to send DNS query to server xxx.xxx.154.2: 10065
[25/Nov/2006 16:05:23] Last message repeated 3 times
[25/Nov/2006 16:12:29] (4503:10065) Socket error: Failed to forward DNS query to xxx.xxx.154.2.
[25/Nov/2006 16:12:29] (4503:10065) Socket error: Failed to forward DNS query to xxx.xxx.154.2.
[25/Nov/2006 16:19:39] (4503:10065) Socket error: Failed to forward DNS query to xxx.xxx.154.2.
[25/Nov/2006 16:19:55] (0) Failed to send DNS query to server xxx.xxx.155.2: 10065
[25/Nov/2006 16:20:00] (0) Failed to send DNS query to server xxx.xxx.155.2: 10065

кто подскажет, что за ерунда?

стоит форвард днс на сервера провайдера. другого днс в сети нет.
ошибка вылазит примерно раз в неделю.

есть подозрение, что провайдер что-то у себя настраивает - вот и лезут ошибки при пеерезагрузках (ну или при перегрузках на сервере провайдера) и т.д.
но провайдер честно глядя в глаза говорит, что у них все стабильно работает и это просто где-то ТАМ в инете какой-то ДНС сервер не ответил на запрос.

помогите с iss фильтром для версии 6.2.3

вот что пишет лог

[26/Nov/2006 14:54:22] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.
[26/Nov/2006 14:59:07] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.
[27/Nov/2006 02:59:28] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.
[27/Nov/2006 08:21:32] (8300) Antivirus Server error: Cannot get file /products/datfiles/4.x/nai/dat-4904.zip from download.nai.com
[27/Nov/2006 14:59:51] (7106:-601039) ISS OrangeWeb filter: Unable to activate Cobion service. Error Invalid errno: No text available!.

заранее благодарен

Возник не большой трабл по аутотификации керио на файервольной машине.
Там выходит окошко логина (не веб интерфейс а 2 способ) вводишь пароль логин керио не аутотифицирует...с помощью веб интерфеса вся в проде нормально...
подскажите плизз в чем проблема...

scriptserver
может тебе сюда?
http://forum.ru-board.com/topic.cgi?forum=35&topic=28826&start=1540#lt

Добавлено:
andy_smaliss
насколько я понимаю, у керио три способа аутентификации (если без впн)
1 веб-интерфейс
2 NTLM
3 IP

что есть "второй способ"?

Такая проблема.
KWF6 HTTPS трафик пускает выборочно, то есть некоторые страницы работаю, некоторые - нет. по каким критериям происходит отбор - представления не имею.(
а https ну очень надо чтоб работал.
нашел только одно решение - в службах у протокола HTTPS поставить protocol inspector RAP и порт любой. Но в таком случае не идет pop3 трафик...
проблему по форумам многие озвучивали, но решения нигде не нашел, кроме указанного выше...

dirty rose
А в трафик полиси не пробовал добавить в сервис HTTPS протокол
правило
инет - фаервол - http - перминт
https

AnLe

Цитата:

Случайно не на хп стоит?
У меня подобное на ней творилось

Нет, сервер 2003.
А так ты как из проблемы вышел, на сервер перешел?

ICY_fire
Пока стояло на хп, там вообще странности пёрли, оно с момента установки работало ок пару недель, а потом шли вот такие косяки. Спасал ребут. У меня мысли что возможно изза плюшевых карточек типа реалтека 8139 такое творилось. Хотя даж спецом встроеные дрова тока юзались и никакой самодеятельности.

AnLe,

Цитата:

возможно изза плюшевых карточек типа реалтека 8139 такое творилось

Читал где-то, что Керио нормально работает только с Интеловскими картами. Хотя недавно люди признавались, что у них и на Реалтеке пашет

ICY_fire
AnLe

а это не может быть ограничение на кол-во одновременных подключений к оси (у ХР вроде только 10)?

vicwanderer
честно говоря, ни разу не видел, чтоб у керио были траблы с железом. т.е. может и есть, но я не видел и не слышал про такое

noblekey
само-собой, пробовал. и any-any-https-permit. и много чего еще, все уже не вспомню. толку - ноль.

dirty rose
а в логах керио эти блокировки отражаются

ALL
У меня KWF стоит на одном компе с DС (не было денег на другой)
Решил разнести их на разные, все почитал, все понятно..
один вопрос только:
надо ли комп на котором будет KWF заводить в домен??

nii294
имхо,
работает? НЕ ТРОГАЙ!

по делу можно заводить, можно не заводить, разница не велика
но, например
На контроллере домена в свойствах DNS нужно разрешить пересылку на IP-адрес компьютера с Winroute.

Logrim
Насчет пересылки уже в курсе.

Спасибо!

nii294
хочу уточнить.
если будешь использовать NTLM
Если используется Microsoft Internet Explorer (версия 5.01 или выше), то пользователь может регистрироваться автоматически (используя NTLM). Для этого метода аутентификации необходимы следующие условия:
-Сервер (т.е. узел WinRoute) должен принадлежать соответствующим доменам Windows NT или Kerberos 5 (Windows 2000/2003).
-Узел клиента должен принадлежать домену.
-Пользователь узла-клиента должен пройти аутентификацию в этом домене (т.е. локальная учетная запись пользователя для этого не годится).
-WinRoute Брандмауэр должен работать как сервис или под учетной записью пользователя с правами администратора для узла WinRoute.
-NTLM нельзя использовать для аутентификации во внутренней базе данных.

если по аутентификация ИП или через Веб интерфейс, то разницы нет.

вроде так.

Сорри за возможно ламерский вопрос. Суть проблемы в следующем. В KWF поднят прокси, и все юзеры офиса ходят в нет по паролю. Для себя я хочу сделать беспарольный доступ и поэтому для своей машинки поднял NAT. Все работает без проблем, но в браузере керио запрашивает аутентификацию (1 раз), после перезагрузки снова спрашивает. Где подкрутить, чтобы не спрашивал? Заранее спасибо за ответ.