» Kerio WinRoute Firewall (часть 2)

Весь

duHA
выше глянь Эт я протупил, а потом дописал.

nwiz
Name (Правило почты)---Source (Firewal, INET)---Destition (INET,Firewal)---Sorce (POP3 SMTP)---Action (Permit)
Name (Правило почты User)---Source (User)---Destition (INET)---Sorce (POP3 SMTP)---Action (Permit)--Translation (NAT Default...)
Тогда ещё вопрос, ты работаешь через NAT или через прокси?
Если через прокси сервер, то ты должен указывать в настройках почтовой программе ip адрес машины с керио и с сответствующим портом прокси (8080, 3128....), если через NAT, то всё остаётся по умолчанию в почтовом клиенте! ИМХО

Focusrite
Авторизация полюбому должна быть и она есть!!!! За этой машиной или за другой!!! (Поставь галку FIREWALL в профиле ADMIN на закладке IP addresses и будет учитываться трафик этого пользователя) в противном случае весь трафик уходящий с машины где KWF будет начислен не авторизованому пользователю!
DNS форвардинг тоже должен быть включён- ты как думаешь кто будет обрабатывать твои запросы, если конечно у тебя не поднят другой ДНС сервер в сети!!!
Ещё можешь мне объяснить вот когда подключён USB модем в компе как бы создаёться виртуальная сетевая карта и в ней прописано ip адрес, маска, шлюз, днс ????
После создания pppoe тоже же создаються с настройками ip адрес, маска, шлюз, днс ????

"FIREWALL в профиле ADMIN на закладке IP addresses "

Такого там нет, в User-Admin есть только:
Пароль, в 12 символов, причем он там прописан, но я его не прописывал, но нигде меня его не спрашивают, только при входе в саму Админке, и пороль у меня 6 символов а не 12:-\, странно что там за пароль прописан тогда.

Далее там есть:
Rights - Full Access to Administration
User can override www rules
User can unlock url
User Can dial RAS

+ правила для контента на хтмл страницах.
Больше там ничего нет.
По поводу авторизации, а как же админ авторизуется при выходе в инет по хттп с шлюзовой машины где уже стоит винроут?
Все правила которые я прописываю в Полиси, действуют на меня, то есть я запрещаю пинг , он запрещается, но ни под кем я не авторизуюсь:-\

ДНС форвардинг отключен.
Команда nslookup работает: показывает днс-ы провайдера.
Днсы провайдера прописываются автоматически на pppoe соединение при конекте к провайдеру.Так что при конфиге 1 комп и винроут +днс провайдера, днсы форвардинг не нужен.

По поводу юсб да, создается вирутал сетевая:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : ZyXEL OMNI ADSL USB (Annex A / LAN adapter)
Физический адрес. . . . . . . . . : физ адрес.
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 12.13.14.15
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 212.188.4.10
195.34.32.116

после подключения по ппп, появлятеся дополнительное соединение:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Физический адрес. . . . . . . . . : физ адрес.
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 85.141.212.166
Маска подсети . . . . . . . . . . : 255.255.255.255
Основной шлюз . . . . . . . . . . : 85.141.212.166
DNS-серверы . . . . . . . . . . . : 212.188.4.10
195.34.32.116
NetBIOS через TCP/IP. . . . . . . : отключен

его же мы и ставим в винроуте как источник инета.

В общем сейчас пинг работает по имени сайта и по айпи нормально.
а трейсрт не работает, имя домена определяет нормально, а трассировка не идет.
Хтттп не работает, хотя правилами все открыто

Поставил файрвол sygate personal посмотреть как идет трафик, по хттп трафик исходящий идет, то есть винроут разрешает "посылку" пакетов во вне, а вот обратно как будто не принимает ничего
Файрвол потом отключил чтоб не мешал винроуту.

обмен данным при pppoe насколько я понимаю идет через RAS PPPOE mini port,
уже много где в интете читал что у винроута проблемы ,он не видит нормально RRAS,не знаю то ли эт и про это ли.

Кто-нибудь сталкивался с таким, во вкладке хост\юзерс есть столбец connections и внизу есть вкладочка connections, по идее число, которое отображается в столбце должно совпадать с колличеством коннектов отображенных во вкладке, но я заметил следующее, почему-то в столбце пишет цифру, например 5, а во вкладке нет не одного коннекта, затем, например, появляется один коннект и число меняется на 6, если рестартануть винроут, то все становится на свои места (нет цифры - нет коннектов, цифра 1 - один коннект и т.д.).

Вобщем этот глюк происходит, когда подключаешься ВПН клиентом, потом отключаешься и остается 1 коннект, т.е. подключаешься еще раз, отключаешься и опять +1 коннект и т.д., кто нить наблюдал у себя такое?

Проблема следующего рода:

На одной из машин локалки установлен небольшой web-сервер (будет использоваться для обмена файлами). IP 192.168.21.5 порт 80. Необходимо получить к нему доступ из инета.
Sourse - Интернет
Distination - Firewall
Servise - TCP 10
MAP - 192.168.21.5

Не идет. Хотя в Полиси существуют еще два аналогичных правила для FTP по порту 21 и HTTP по порту 1521 и они прекрасно работают.

VovikK
тут надо понять то ли мы хотим чтобы через интернет на него заходили по порту TCP 10 то ли он(webserver) работал на 80 порту. если и первое и второе вместе то там где MAP надо указать что MAP port 80 если первое то web сервер перенести на порт 10 или на вкладке service указать порт 80 чтобы всё работало по умолчанию.

Спасибо, разобрался. Забыл в мапинге порт выставить.

Разобрался с одним вопросом, возник второй.
В локальной сети существуют два FTP-сервера. Доступ к одному из них открыт через KWF из Интернета. Как сделать доступ до второго, чтобы избежать конфликтов?

Народ, ну что у меня одног опроблема с доступом через http прокси Керио на внешние фтп? Я уже не знаю что делать, на фтп без пароля ходит , а те что с паролем говорят ошибка. Где этот Керио умудряется вырезать из запроса логин и пароль? Антивир выключен, правило одно - пускать всех и разрешено все.

Всем прива! Такой вопрос, есть домен со шлюзом(прямой ип) на ктором ессна стоит кбан 6.2.3 , в правилах настроенно что каждый пользователь бес проблем коннектитса и получает все сервисы без ограничения, при этом почта не работает. В чем дело не пойму!!!
Если на рабочую станцию ставлю внутренний статичный ип то почта работает, но при динамике отрубаетса! Мож кто сталкивался с подобной проблемой?

короче так как там написано не получилось(чтобы половина сети шла по одному интерфейсу, а вторая по другому) но получилось прописать маршруты и всем ходить на разные сайты (86.*.*.* google.com и т.д.) по разным интерфейсам, что сразу улучшило пропускную способность моей сети : ))) И в принципе дало ожидаемый результат (чтобы одновременно работали 2 выхода в инет)

Цитата:

Разобрался с одним вопросом, возник второй.
В локальной сети существуют два FTP-сервера. Доступ к одному из них открыт через KWF из Интернета. Как сделать доступ до второго, чтобы избежать конфликтов?

Если на первый из интернета заходишь по стандартному порту, попробуй для второго в KWF в трафик полиси указать нестандартный и сделать маппинг портов

Допустим, на первый ты заходишь по адресу ftp://yourdomain.ru/, тогда на второй сможешь зайти через ftp://yourdomain.ru:12345/, где 12345 - порт, который ты укажешь в трафик полиси в столбце Service. В столбце Translation укажи фтп-сервер №2 и порт, на котором он работает

Т.е. в Service просто выставить TCP 12345?
Пробовал. Люди из инета стучатся на этот порт, в логах ftp-сервера они даже видны, но сконнектиться не могут.

Люди !!! Ну хоть кто нить подскажите плз плз плз!!!
Я правда грешу на DNS( чёт у мя nslookup не проходит)

bolurov

Цитата:

при этом почта не работает

подробней. через программу почтовую?
показывай правила

VovikK, создай правило в Traffic Policy повыше:
[name] - [Internet] - [Firewall] - [TCP:12345] - [Permit] - [mapping to ....] (вроде так, пишу по памяти )
а в самом FTP-сервере указал, какой ему порт слушать?
кстати, отмапить можно опять таки на 21 порт
/естессно, что "12345" - это условность. выбери любой свободный порт/

AlOne
Да все так и указано. И мапится на 21-й порт. Из локалки соединения идут, а из инета пытается сконнектиться, но сразу вышибает еще до получения LIST.

VovikK
Вроде все должно работать при таких настройках. Еще, попробуй явно указать подходящий протокол инспектор - FTP - для этого правила

Явно указать FTP не получается, т.к. уже одно правило такое есть с мапингом на другой комп локалки.

Привет всем. Вот какая проблема. Необходима реализация NAT через Kerio
Winroute FireWall 6.3. Конфигурирование правил по данной схеме успехов не принесло:
http://kerio-rus.ru/index.php?option=com_content&task=view&id=34&Itemid=44
Сеть без Домена (Workgroup), одноранговая.
Вот мои настройки:
Клиенты
IP-адрес : 192.168.0.1-192.168.0.255
Маска подсети : 255.255.255.0
Основной шлюз : 192.168.0.1 (Сервер)
DNS-сервер :192.168.0.1 (Сервер)
Сервер (Ось Windows XP SP2)
IP-адрес : 192.168.0.1
Маска подсети : 255.255.255.0

Результаты IPConfig:
LAN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8139/810x Family Fast Ethernet NIC
Физический адрес. . . . . . . . . : 00-19-21-87-DA-63
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.0.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :

Inet - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : D-Link DSL-200 USB ADSL LAN Modem
Физический адрес. . . . . . . . . :
Dhcp включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 10.2.х.х
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 10.2.х.х
DHCP-сервер . . . . . . . . . . . : 10.2.х.х
DNS-серверы . . . . . . . . . . . : 10.10.х.х
10.10.1х.х
Аренда получена . . . . . . . . . : 28 мая 2007 г. 13:20:23
Аренда истекает . . . . . . . . . : 28 мая 2007 г. 15:20:23

Stream - PPP адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Физический адрес. . . . . . . . . :
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 83.221.х.х
Маска подсети . . . . . . . . . . : 255.255.255.255
Основной шлюз . . . . . . . . . . : 83.221.х.х
DNS-серверы . . . . . . . . . . . : 83.221.х.х
83.221.х.х
NetBIOS через TCP/IP. . . . . . . : отключен

Заранее Благодарен.
P.S.
1) Реализация Общего Доступа к Интернету простым расшариванием интерфейса.
2) Замена USB ADSL Модема на ADSL Модем с Ethernet интрефесом
Не приемлемо.

Плюнул на Керио. Сделал "переадресацию" с одного ftp на папку второго. Теперь при заходе на первый и вводе правильных логин-пароль пользователь попадает в папку второго ftp.

VovikK. Я заинтригован блин... Ща попробую сам второй FTPшник настроить

Add:
как и ожидалось, всё тут же зашуршало без каких-либо траблов.

AlOne

А можешь дать адресок твоих двух ftp? Посмотрю снаружи.

VovikK
см. личку
а снаружи я уже проверил (из дому через радмина )

Дарова!
Проблема уже была выше описана, служба Kerio Winroute Firewall падает через каждый час, потом стартует.
Из предложенных решений нашел токо "используй лекарство от Farby", что за лекарство и где его взять? Если можно вышлите на мыло плз.
Версия Kerio 6.3.0
Заранее спасиб!

m0r10k
в варезнике

Добрый день.
Какой-то странный глюк появился после перехода на 6.3 - ругается на якобы сканирование портов, от некоторых сайтов (новостийные известные, открытые доверенные сайты). Такое впечатление, что ВР сам чего-то запрашивает с них, но потом отказывается принимать ответ, а те упорно пытаются его отдать меняя порт.
Вот фрагмент лога:

[30/May/2007 11:24:27] PORTSCAN firewall="xxx" hostip="212.40.43.6" hostname="www.obkom.net.ua" log="protocol: TCP, source: 212.40.43.6, destination: 213.130.x.x, ports: 1283, 1291, 1295, 1263, 1264, 1265, 1266, 1270, 1271, 1272, ..." time="Wed May 30 11:24:27 2007" username="not logged yet"

Рут (6.3 + патч SergoFFan) стоит на W2K Pro+Sp3.

Цитата:

m0r10k
в варезнике

по обеим ссылкам файлов нет
мож есть у кого? скиньте на мыло плз, или если есть другие ссылки

Version 6.3.1 - May 30, 2007
* link to Login Page re-added to Deny Page
* Application Layer Gateway is now detected as conflicting service (it caused FTP connections to fail)
* 'Valid On' Traffic Rule setting now always affect all existing connections
* improvements in Web Interface layout in Safari
- VPN traffic may be dropped by Anti-spoofing on server operating systems
- fragmented packets were not handled correctly under certain
circumstances (some connections were blocked)
- antivirus process sometimes refused to use correctly licensed Avast
- antivirus process could crash with NOD32
- fixed crash caused by malformed StaR database file
- RFC non-compliant e-mail could become corrupted by SMTP inspector
- fixed accounting of FTP traffic through proxy server
- traffic histograms were missing in Administration Console
- redirect to website after successful login sometimes failed
- stability of the Administration Console was improved
- it was not possible to enable Clientless SSL-VPN user right in Administration Console without Kerio VPN installed

[url=http://eu.download.kerio.com/dwn/kwf/wrapped-kerio-kwf-6.3.1-2906-win32.exe
][/url]