» Kerio WinRoute Firewall (часть 2)

Так что рекомендуете, использовать NAT, и не МУЧАСТЯ.

Народ подскажите как заставить монстра не резать трафик а полностью отпускать,а то по локалке копирповать не возможно =(

KoDAk00, безусловно. Создавай traffic policy для NAT и разрешай там POP3 (или IMAP) и SMTP.

KoDAk00
Уже отвечал ранее. Можно и без НАТ. Надо МАПить порты 110/25 для КАЖДОГО почтовой службы. А их много! Оно вам надо?

трабла следующая перестала вчера получаться почта
у меня настроен винрут, тип соединения OVPN, спутник SATGATE.
запросный канал по адсл.

веб страницы открываются, в настройках винрута ничего не менял

я главное по сети пытаюсь до pop.mail.ru, pop3.vipperm.ru
и по телнету и трасертом пробивать, по телнету вламывается по 110 порту всё ок, трэйсертом хоупы идут до конечного узла.
отправляется у меня всё ok по запросному каналу.

через вебинтерфейс на почтовые ящики заходит всё ok.

В чём тут причина?

ХЕЕЕлППП Ми!


Добавлено:
проблема решилась переустановкой и импортом юзеров и настроек на место.
сам винрут что то глючил, замаялся, но сделал.

Поменяли провайдера, раньше стоял пров без VPN соединения, новый же требует VPN. Не получается объяснить Керио, что интернет брать на VPN а не на сетевой карте, как раньше.

Проблемма возникает при запуске визарда, который не дает выбрать Dial-up интерфейс в типе интернет соединения.

На машине WS2003, 2 сетевые: одна на локальную сеть, а на второй стоит адсл модем, через который создается VPN к провайдеру.

Парадокс в том, что дома WinXP, с 1 сетевой картой и пров то же на VPN соединении. Поставил Керио - дома дает выбрать Dial-Up интерфейс.

Подскажите, как правильно настроить, или что сделать что бы дал выбрать Dial-Up?

JBN
Периодически вижу подобные посты, но подтвердить не могу: траффик по локалке у меня не режется, все в порядке. Единственное - скорость down/up с сервера и на сервер соответственно в четыре раза ниже, чем между машинами в LAN, но это вызвано исключительно тем, что он оптимизирован под выполнение приложений, а не для работы с сетью (на нем крутится citrix).
Так что стоит, наверное, поискать проблему в другом.

JBN
Здесь же писалось уже как в конфиге исключить нужный интерфейс из обработки.

А вообще понижение сокрости работы с сетью тут тоже не раз писалось, даже приводилась ссылка если не ошибаюсь на саппорт их, где говорилось что обычно максимум для керио это 50 мегабит, в идеале (отключены все фичи, типа пи и фильтров всяких) и мощной машине 70. Таково бай дезайн, да и вобщемто вот она расплата за фичастость

motor2hg
проблема [ошибки : 0x80072EE2]
[more]Cуществует сервер с тремя интерфейсами.

1 Сетевая смотрит на провайдера имеет интернет IP постоянный

2 Сетевая- смотрит в локалку имеет адрес 192.168.0.71

3 Модем который принимает звонки от домашних машин и соединяет их с интернет. Для модема определён диапазон ip 192.168.0.80-192.168.0.100 в настройках виндовз XP

Вопрос:
Почему Win XP на машине с адресом 192.168.0.72 не может обновляться??? ([Код ошибки: 0x80072EE2] На веб-узле произошла ошибка, поэтому страница не может быть отображена.)
А если эта-же машина подсоединится к интернету посредством модемного соединения с адресом 192.168.0.88 или 89 или т.д. обновление происходит? Операционка сервера тоже обновляется.

Локальная машина, 192.168.0.72 имеет доступ в инет работают все протоколы, локалка работает идеально.

Этот же вопрос но в другом представлении:

Локальная машина ->Модем-> Серверная Машина(с Керио)->Интернет->WinUpdate - работает!!

Таже локальная машина ->Сетевой кабель-> Серверная Машина(с Керио)->Интернет->WinUpdate - не работает!!

([Код ошибки: 0x80072EE2] На веб-узле произошла ошибка, поэтому страница не может быть отображена.)

С локальной сетью проблем нет, с выходом в инет HTTP WEB Skype ICQ c Локальной машины всё чётко.
Вчём порылась собака? И рылась ли?

З.Ы. Подобный вопрос задавал уважаемый Venchik, но ответа небыло[/more]
Если еще актуально. на днях удалось победить такую же проблему.
Все ФАКи и т.п. не помогло. целый день убил на поиск проблемы.

Цитата:

3 Модем который принимает звонки от домашних машин и соединяет их с интернет. Для модема определён диапазон ip 192.168.0.80-192.168.0.100 в настройках виндовз XP

Цитата:

Локальная машина ->Модем-> Серверная Машина(с Керио)->Интернет->WinUpdate - работает!!

Ответ, потому что пользователь обязан авторизироваться на проксЕ

Цитата:

2 Сетевая- смотрит в локалку имеет адрес 192.168.0.71

Цитата:

Таже локальная машина ->Сетевой кабель-> Серверная Машина(с Керио)->Интернет->WinUpdate - не работает!!

А тут видимо без подтверждения авторизации.

WU - включает 443 порт когда машина подключается к прокси с авторизацией.

По моему так. у меня получилось, только после устаноки пароля и т.п. Потом в логах прокси стали видны подключения к виновсапдате:443.
И успешное прохождение обновления.

AnLe
если не сложно тыкните где искать? а то что-то не могу найти

JBN
Очевидно, AnLe имеет в виду это:

Цитата:

в конфиге прописать для локальных интерфейсов
<variable name="FirewallExclude">1</variable>
исчезают тормоза и загрузка процессора при интенсивной работе локальной сети

Хотя это не у всех решает проблему. Попробуй

Prostoy
немного помогло но все равно остались тормоза

JBN
Все ж глянь в настройках сервера, на выполнение каких операций он у тебя "оптимизирован": на работу с сетью или на работу с приложениями. Если на работу с приложениями (не помню, что там по умолчанию), то это вообще здорово понижает скорость.

Добавлено:
Кстати, с forums.kerio.com:

Цитата:

In short, KWF restricts TCP packet size from its maximum allowed size of 65500 down to 8192. Because the server can't send large packets it has to send more small packets which causes slow performance. So no matter what you guys tweak in KWF it isn't going to help you until you either remove KWF from that machine and put it on a dedicated box or Kerio give us the ability to change the max. packet size allowed.

Prostoy
а где это посмтреть?

Есть пара вапросов:
1)Исходящее по АДСЛ, входящее через спутник через ВПН. Запускаеться керио 6.2.2 и нифига не звонит ни по АДСЛ ни по ВПН. В ручную все коннектиться. Запускаешь Адсл и за ним вслед запускаеться дозвон по ВПН. Я явно не понимаю. Как это сделать? Я канечно прочитаю тему всю, но за это время меня уволят

2)Что со статистикой! Выделять инет по ip машины и устанавливать квоту я могу, а статистика выводиться только по залогиненым пользователям! нехочу. Хочу статистику по IP и по каждому месяцу в течении года. Можт сторонний билинг есть проверенный хороший? Дело в том что есть 5 машин с Виндовс ХР профессионал, 3 с ХР хоум, 1машина 2000 СП4. Так вот те что ХР профессионал СП2 логиняться нормально и прекрасно работают,а все остальные (даже Профессионал СП1) не логиняться! Там есть строчка типа "Все остальные Незалогиненые пользователи" и туда они все суммируються. А мне надо статистику пользования инетом отдельно по каждой машине.

Спасибо.

JBN
Точно сейчас не скажу, нет возможности добраться до машины. Где-то в my computer->properties->advanced.

Добавлено:
Хотя это, скорее всего, к делу отношения не имеет. Читай пост по линку, что я скидывал выше.

Рибята! Привет
Работаю с керио уже год. хорошая програмка...
но вот полгода наза мы подняли сеть с регионами... и начались проблемы с НАТ...

итак маленькая зарисовочка:
наша сеть:
192,168,0,0

Сеть регионов:
192,168,1-20,0

сеть реализирована через Провайдеровский ВПН. у нас есть их коробочка роутер 192,168,0,254
и в каждом регионе такая ж.

Как в этой ситуации поднять НАТ
сецчас он стоит у меня таким образом
ЛокалНет -- Интернет -- Сервис -- Пермит -- НАТ Дефолт

Для нашей сети такая установка катит, а для регионоф нет...

мож кто чево подскажет?

Sir_Lyoshyk
А в чём задачка то собственно?
Точнее даже так, зачем гонять трафик дважды (сначала в головной офис, затем в дочерний) или в этом вся соль типа?

да регионы достали...
НАТ им подавай... написали начальству что мол сеть доконца не доделана. Вот и попал я. Сказали как это так? Ты гриш что все сделано, а какой то НАТ не работает...

Да и самому уже интересно стало. Как это сделать?

Может в шапку русскую инфу по сабжу запихнуть? Типа
"Корпоративный шлюзовый брандмауэр для малого и среднего бизнеса,
защищает от внешних атак и вирусов, а также позволяет ограничить доступ пользователей к ряду сайтов на основе анализа их содержимого.
Оснащенный VPN-сервером, опционально встраиваемым антивирусом McAfee, интегрируемым настраиваемым фильтром ISS Orange Web Filter и возможностями управления, Kerio WinRoute Firewall обеспечивает многоуровневую архитектуру защиты для сетей серверов и пользователей."
Все таки в России живем...

И еще кто-нить вразумит меня про отличие Kerio WinRoute Firewall от Kerio Personal Firewall? Я тока понял, что у одного есть контроль приложений, а другой является корпоративным файером... Чего мне на работу то ставить? (сеть на 50 компов) Третьи сутки думаю...

Lovec
мой совет ставь Kerio WinRoute Firewall ™
имхо он для сетей корпоративных,а другое только для персонального пользования.

JBN
Он у меня в тестовом режиме уже сутки стоит... НО! Во-первых, не нашел функции контроля приложений (видимо потому что ее нет ), чтобы мне файер говорил кто просится куда и спрашивал что с этим делать. Во-вторых, каждые 2-3 часа вылетает Generic Host Process и для продолжения нормальной работы требуется перезагрузка. Думал глючит Винда, пока не снес ее и практически на чистую снова не поставил Вин Роут - таже бадяга началась...
Версия сабжа 6.2.3 (build 2027). Хотел откатиться на более раннюю, но читал что начиная с 6.2 появился лимит по скорости в нем (хотя я его так и не нашел...), а мне его хотелось бы...
Вот и думаю отказаться от ВинРоута, хотя жаль

Sir_Lyoshyk
В смысле сейчас у регионов вообще нет интернета?
Не совсем ясно просто, мож регионам прощще проксю сбацать раз сервак видится без проблем, ибо нефиг натом пользоваться в удалёнке %)
А нежелание ната обосновать отсуствие админа на местах типа, и для обезопашивания (например чтоб вирусы не начали спамит ь элементарно)

Нет... В регионе нет есть. но токо через прокси...

Напрямую он нет не видит, т.к. шлюзом у него в сети стоит роутер который токо к нам направляет.

поэтому регионы видят только наши сервера. Дальше им ничего не видно...

Пообещал человекам просто что АСЮ им подыму... А терь думаю как энто такое сделать.
Ставлю КВИП, и прокси... Там выбираю сокс 4-й 5-й https... ничего не палучаецца...

Рекомендации?

Sir_Lyoshyk
А проксей является машинка с винроутом?
Только што попробовал, поднял проксю на порту 3128, прописал адрес машины с винрутом внутренний в квипе, поставил тип прокси http(s) сразу выставилось что login.icq.com порт 443, завёл юзера и прописал его в настройки квипу.
После чего законектился превосходно.
Предлагаю проврить не дропается ли чтолибо от них по логам винрута.

у меня вопрос

есть winroute firewall на компе с 3я сетевыми интерфейсами
1 internet 62.76.167.х
2 local 192.168.1.1
3 www 192.168.11.1

вобщем всё работает "на ура" но потребовалось поставить web сервер ...
поставил NAT из internet в www + MAP 80го порта на комп с апачем
всё работает, сайт открывается. НО для компа с апачем все запросы приходят от адреса 192.168.11.1 естественно.
а мне надо что бы были оригинальные адреса клиентов.. для корректной работы php скриптов ...

я так понимаю надо роутинг настроить..
но как и чего.. увы в этом не силён
нужно перенаправлять пакеты с внешнего интерфейса на интерфейс www

конечно в MS ISA есть полноценный DMZ ... но к нему переход будет не раньше чем через годик... хочется тут сделать

надо делать не NAT, а port forwarding. При NATе меняется адрес IP источника, при портфорвардинге же пакеты просто пробрасываются куда указал. В NIXах это называется dst-nat(маскарадинг) дла NAT и src-nat для форвардинга портов в КЕРИО.

привет всем.
у меня проблема в том что Kerio не пускает VPN клинтов.
все клиенты которых учетные записи импортируются из AD не пускаются..
когда создаю локального в Kerio, все нормально, все работает.
я пробовал в настройках клиентов выставлять что конфиг. для них указывается доменом,
а в доменной записи разрешал подключение через VPN...
также выставлял что настройки для них индивидуальные и разрешал в закладке Права
подключаться через VPN.
Без толку...
KWF и Clent самые свежие..
Где я протупил..?????

Добавлено:
Да, при подключении вылетает ошибка
161 Сбой при аутентификации..

nnn77

Цитата:

при портфорвардинге же пакеты просто пробрасываются куда указал. В NIXах это называется dst-nat(маскарадинг) дла NAT и src-nat для форвардинга портов в КЕРИО.

это я понимаю.. но увы без NAT не работает ... вероятно из-за того что 3я сетевая это не интерфейс внутренней сети в понимани Керио...

вобщем когда ставлю только MAP на IP компа .. то не работает
если делаю NAT на сетевую которая к компу идёт и MAP на его IP то всё ок ... за исключением описанной выше траблы ((

Цитата:

Нет... В регионе нет есть. но токо через прокси...

Напрямую он нет не видит, т.к. шлюзом у него в сети стоит роутер который токо к нам направляет.

поэтому регионы видят только наши сервера. Дальше им ничего не видно...

Пообещал человекам просто что АСЮ им подыму... А терь думаю как энто такое сделать.
Ставлю КВИП, и прокси... Там выбираю сокс 4-й 5-й https... ничего не палучаецца...

Рекомендации?

В регионе инет раздается через винрут?

Самое простое решение - сделать в регионе НАТ через винрут, указав, естественно, его шлюзом. А для VPN в Routing Table создать соответствующее правило, типа:

Network: 192.168.0.0; Mask: 255.255.255.0; Interface: LAN; Gateway: впн-коробка