» Kerio WinRoute Firewall (часть 2)

Lovec
а где инструкцию брал для настройки керио и спутника?
Ато заделился бы с народом...

Всем большое спасибо, особенно andrejvb! Его совет как раз и помог.

AnLe
Инфу по настройке Керио и skyDSL брал здесь.

Прошу прощения, если тема была - лопатил долго, не нашел.
Смотрю логи Керио (из админской консоли) - все нормально, все по-русски. А вот в log-файлы уже пишутся вместо русских слов кракозяблы. Естественно, в Прокси-инспекторе ничего не разберешь. Кодовую страницу в реестре на 1251 поменял - результат тот же.

Вопрос снят - дал логу другое имя - записи пошли по-русски.

Подскажите, как проще посмотреть что именно юзер сейчас льет? Т.е. хорошобы прямую ссылку увидеть, чтобы понять что это: mp3, фильм etc. А то вижу что у него входящая скорость высокая уже давно, видимо какое-то файло льется...

Ветку форума чуть позже почитаю, надо побыстрее разобраться что у меня юзеры льют.

Lovec
Status -> host / users -> выбери нужного пользователя -> show details -> connnections

Привет all

А есть ли в WinRoute возможность заблокировать web upload? В данный момент просто блокирую странички содержащие теги TYPE=file и TYPE="file", но это не надежно, т.к. можно открыть локально страничку содержащую форму для отсылки файла. Есть ли какой-нибудь другой способ блокировки?

Arakcheev
Смотрел я там. Ничего конкретного. Есть там столбцы типа Traffic Rule, Service, Source. Последний мог бы быть интересен, но это только DNS-имя. А что делает пользователь - просматривает этот сайт или льет с него фильм - не понятно.
Вопрос остается открытым.

samds
ставь запрет по расширениям файлов

Lovec
Ага. А вот есть нажать на эти самые столбцы правой пимпой мыши и выбрать еще порядка 10 столбцов, то инфы будет столько...

Интересно..
придумали ли решение для совместимости консоли администратора Керио и Висту?

Как год назад не работало на бетах висты, так и сейчас не работает

andrejvb

да вроде не отключал ничего....
как же всетаки побороть проблему чтобы докачка была....

Artur2316
Поставь логирование на Default traffic rule, посмотри, что блокируется. Посмотри в качалке ( Dounload Master например) лог закачки, что говорит? Попробуй поиграться с активным-пассивным режимом. А со шлюза этот же сервер держит докачку? Пересоздай правила мастером. У тебя один канал на прием и передачу?

Имеем выделенный adsl с выделенным ip. В сети стоит внутренний dns и dhcp. В dhcp прописано не выдавать ip на 172.16.0.1
-он зарезирвирован за машиной с Керио. И в качестве днс указаны 172.16.0.1 и 172.16.0.4 и днс провайдера(3 штуки). Фаирвол,6-ка, поставлен на отдельной машине. Машина с 2003 английским сервером. Сервер контроллером домена не является. На карточке смотрящей в инет(Inet) прописано:
Ip-выделенный ip
Маска - 255.255.255.0
Gate - IP adsl модема
Prefer dns 194.8.160.90
На карточке смотрящей в локалку прописано(Local):

Ip-172.16.0.1
Маска - 255.255.255.224
Prefer dns 194.8.160.90
Secondary dns 172.16.0.4(адрес машины с dns и dhcp)

В керио включены следующие правила

И включен dns форвандинг

С шлюзовой машинки в инет ходится на ура с фаерволом и без
С машинки из локалки инет не идет.
Пинг на 172.16.0.1
- идет и иедт ан выделнный ip
ip adsl модема не пингуется, dns провайдера-не пингуется.
Пробовал на машинках прописать настройки tcpip, указывая в качестве шлюза 172.16.0.1

Трассировку пока не делал. Грешу на днс или правила керио.
В чем ошибка?

Здравствуйте.
Есть ли у кого нибудь готовое!!! решение по настройке трафик полиси в KWF 6.2.2.
В АТС панасоник тда200 поставил плату VoIP протокол H.323. В WinRoute есть поддержка Н.323. как только не перестраивал правила - нету обмена пакетами в обоих направлениях. по TCP порт 1719-1721 пакеты ходят - попытка установить соединение ( длинные гудки)... Далее устанавливается соединение и плата с внутр. адреса начинает отправлять пакеты на внешний интерфейс в диапазоне UDP 30000-40000. Обратно пакенты не приходят... Порт маппинг внутрь включен ANY для 192.ххххх наружу NAT.
Спасибо.

obtim
1. Чёт в трафик полиси ната нигде не виднеется.
2. покажите ipconfig /all с сервака с керио.

Подскажите плиз, у кого-нить клиент-банк (сбербанка) стоит в локалке, через керио ходит? Настройки нужны какие нить дополнительные?

Bear39
любой клиент банк ходит через керио, главное его выпустить наружу

SHRIKE74
Как выпустить?

Здравствуйте, кто пользовался ограничением скорости входящего и исходящего трафика. Керио 6.2.3. почему ограничение идёт на активное соединение(солько бы много у пользователя их не было) а не на юзера целиком...
Все пользователи подключены через НАТ

obtim
в правиле "Nat" в колонке Translation надо поставить галку в поле Translate to default outgoing interface или явно выбрать сетевой интерфейс Inet. После этого, если у компа в локалке шлюзом прописан локальный адрес компа с керио в инет пустит без проблем

Добавлено:
Bear39
надо знать 2 вещи: на какой айпи сберовкий клиент в инете должен попасть и по какому порту, после этого делаешь правило с такими условиями с Натом трафика, удовлетворяющего этим двум условиям, наружу и все

aljd
AnLe
Спасибо. Слона-то я и не заметил

Вопрос №2
Ставлю керио mail server
Для него надо какое-нибудь спец. правило прописывать?

obtim
с теми правилами, что сейчас, почтовик почту отправить в инет сможет, а вот получить не сможет ничего

Подскажите, ивестны ли случаи когда KWF подвешивает комп? Просто у меня сервак на 2003 eng+MUI sp2 KWF 6.2.3.2027. Так вот после 2-3х дней работы он перестает отвечать на пинги. Перерыл все. В логах ничего "страшного" не обнаружено. Железо и винда стабильны. Кто может вешать?

Нарооод Привет Всем!!! у меня на работе чудеса такие происходят с инетом, мне почему то кажется что всё таки с настройками инета в файрволе (winroute 6,2) не так, у нас тарелка на сатгейте на 42 градусе, обратный канал по адсл идёт практически каждый день происходит такая фигня - я открываю какой нить сайт у себя на компе (не на самом файрволе) у меня глухо , пишет сайт не найден, а на файрволе этот сайт открывается, почему так может?


дальше же, через некоторое время может всё нормально открываться, вообще все сайты в поряде становятся

obtim

Цитата:

Ставлю керио mail server
Для него надо какое-нибудь спец. правило прописывать?

достаточно создать правило
инет - фаервал - smtp- перминт
фаервал - инет - pop

подскажите пожалуйста что то я завис уже
у меня стоит 6,2,2 (1746) на этой же машине стоит бат, и фаер не дает бату ничего получить, пишет превышено кол-во подключений, хотя если отрубить это правило один чёрт бан не получает почту, в коннектах видно очень большое количество подключений, как тока стоп сервис керио сразу забирает почту, если бат стоит вне этой машины всё нормально

DrFucker
телепатов/экстрасенсов сегодня не завезли...
traffic policy в студию, потом разбираться будем

DrFucker
Отключи протокол инспектор для почты

Здраствуйте, уважаемые участники форума

Помогите пожалуйста, возникшей проблемой.

Возможно ли в керио врф 6.х осуществить так чтобы происходила автоматическая авторизация клиента по текущему имени пользователя в Active Directory?
Т.е. грубо говоря, клиент включил комп, залогинился в домен, и без всяких лишних действий (например авторизация через веб интрефейс) мог спокойно начать работать в Инете

-----------------------------
ситуация
комп1 - виндоуз2000сервер, котроллер домена, дхсп, днс.
комп2 - керио, интерфейс с выходом в инет
------------------------------------

что проделано
комп1
старый рабочий контроллер домена, ветеран зарекомендовавщий себя в боях с багами и глюками (айпи адрес хоста с керио прописан в настройках ДНС для отдачи всех данных)
комп2
настроен НАТ, с ручным прописыванием пользователей по их IPадресам
керио забирает учетные записи пользователей с домена, но практической пользы от них нет: прописывание в Traffic policy имени пользователя вместо айпишника его компа нежелательно в силу особенностей работы (разные пользователи на компе - а траффик должен учитываться отдельно для каждого).
Возможно ли в керио врф 6.х осуществить так чтобы происходила автоматическая авторизация клиента по текущему имени пользователя в Active Directory?
Т.е. грубо говоря, клиент включил комп, залогинился в домен, и без всяких лишних действий (например авторизация через веб интрефейс) мог спокойно начать работать в Инете (шлюз прописан)

Если это возможно, подскажите, пожалуйста, как это сделать?

господа как сделать так чтобы ВР не следил тоесть у пользователя при регистрацыи не выскакивало что он заходит через вин роут .
и вобше со срраницы регистрацыи убрать логотип винроута а разместить свой например компании?