» Kerio WinRoute Firewall (часть 3)

kpmDragonby
Поддерживаю vimaret'a
Настройки в студию! На всеобщее обозрение.

Вот пример моих правил.
Получить код этого изображения

Айчына - это мой интернет
Монолит - это сеть

Спросите почему в такой именно последовательности, а не наоборот. Для того, чтобы последующие запросы пользователей были не по правилу Avtoriz, а шли по основному правилу NAT.

Если в чем-то заблуждаюсь, направьте на путь истинный.

Возникла следующая проблема:
Пытаюсь пустить две машинки напрямую в интернет по порту 8080, но что то не срастается. Создал правило "Nat User 2" (прикреплено в аттаче), но оно не работает. Работает только в том случае, если разрешаю ходить по нему всей сети. Но удивляет тот момент, когда удаляю сеть из этого правила оно продолжает работать еще некоторое время. Может кто сталкивался, подскажите.

Вложение

А есть ли альтернативная замена Керио Винроут бесплатная? Есть ли в Windows Server 2003 встроенные функции подобные, что бы трафик считался и ограничивался?

TohaDub

Цитата:

есть ли альтернативная замена Керио Винроут бесплатная? Есть ли в Windows Server 2003 встроенные функции подобные, что бы трафик считался и ограничивался?

как говорится в рекламе: "нет, сынок, это фантастика"

NAT, KWRF 6.2.1. Клиент качает с ФТП файло - комп с керио - "тормозит". Если с самого компа качать с ФТП файло - то ноу проблем. В чём может быть косяк?

Кто на ком стоял? © Преображенский Ф.Ф.

РАБОТАЕТ!
спасибо.

AbramDurso
На верх попробуй эти 2 ната подвинуть.
Bodrox NeSe
Это скорее всего проверка антивирусная...
5555555
Это к чему? Советских газет начитались перед обедом?
P_Konev
Оооо да пожалуйста!!! Обращайтесь

добрый...
подскажите, кто уже тестил версию 6.4.2...
проблема с привязкой инета к имени юзера в домене решена?
спасибо...

Dasky
Какая именно проблема? Ссылка давай!

Dasky
Version 6.4.2 - January 24, 2008
* New McAfee anti-virus engine version 5200. All users are encouraged to upgrade. From February 1, 2008 onwards, there will be no further Anti-Virus definition files (DAT files) quality testing with the older engine.
- Live.com was not recognized properly as a search engine
- Fixed occasional false positive P2P detection on legitimate DNS traffic
- Fixed Active Directory mapping timeouts causing delays in user-related operations, authentication, etc...
- Fixed traffic policy rules with unresolvable host names causing blocking of valid DHCP service requests

Спасибо. Разобрался проблема не вправилах была, а в настройках DNS сервера.

Добавлено:
Спасибо. Разобрался, проблема оказалась не в правилах, а в настройках DNS сервера.

Добрый день!
3 интерфейса

Aukcion:192.168.1.1
Инет:81.27.1.1
Spar:192.168.37.1
Spar - это выход в другую масштабную сеть, где присутствует множество подсетей (192.168.133.X, 192.168.131.X и т.д. так же там есть и первая подсеть )
проблема:
Из lan В сеть SPAR сейчас требуется доступ к 192.168.1.253.
есть правило:
aukcion to spar: aukcion spar any permit

есть запись rooting table:
192.168.137.0 255.255.255.0 192.168.137.1 corp
После этого из aukcion 137 подсеть spar доступна

теперь для доступа к адресу сети spar 192.168.1.253 по логике надо добавить правило:
192.168.1.253 255.255.255.255 192.168.137.1 spar

Вот тут то и начинается затык
С firewall я его начинаю пинговать, а вот из локалки - нет
Такое ощущение что для локалки это правило не распространяется.
Я решил что проблема в том, что в aukcion тоже 1 подсеть.
почему так происходит?
для справки:

ipconfig с кириешной машины
C:\Documents and Settings\ras.MNN>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : svr_xxx_xx_01
Основной DNS-суффикс . . . . . . : mnn.ru
Тип узла. . . . . . . . . . . . . : гибридный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : mnn.ru

Inet - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Intel(R) PRO/1000 MT адаптер рабочего сто
ла #2
Физический адрес. . . . . . . . . : 00-07-E9-09-F9-38
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 81.27.55.235
Маска подсети . . . . . . . . . . : 255.255.255.248
Основной шлюз . . . . . . . . . . : 81.27.55.233
DNS-серверы . . . . . . . . . . . : 81.27.48.130
81.27.51.130

Spar - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Intel(R) PRO/1000 MT адаптер рабочего сто
ла
Физический адрес. . . . . . . . . : 00-07-E9-09-F1-4B
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.137.5
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :

Aukcion - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Attansic L1 Gigabit Ethernet 10/100/1000B
ase-T Controller
Физический адрес. . . . . . . . . : 00-1B-FC-FB-EA-6E
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 172.168.100.1
Маска подсети . . . . . . . . . . : 255.255.255.0
IP-адрес . . . . . . . . . . . . : 192.168.1.101
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 192.168.1.102
192.168.1.101
Основной WINS-сервер . . . . . . : 192.168.1.102
Дополнительный WINS-сервер. . . . : 192.168.1.101

Kerio VPN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Kerio VPN adapter
Физический адрес. . . . . . . . . : 44-45-53-54-DA-88
DHCP включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 169.254.33.205
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DHCP-сервер . . . . . . . . . . . : 169.254.33.204
NetBIOS через TCP/IP. . . . . . . : отключен
Аренда получена . . . . . . . . . : 28 января 2008 г. 11:52:46
Аренда истекает . . . . . . . . . : 28 января 2008 г. 11:55:46

route print с кериешной машины


routing table


при таких раскладах у меня все работает (см. картинку), но только с кериешной машины
например с контроллера домена не работает, но с КД пингуется 137 подсеть, значит он имеет выход в сети SPAR
ipconfig КД:
Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : aukcion-94a7c48
Основной DNS-суффикс . . . . . . : mnn.ru
Тип узла. . . . . . . . . . . . . : гибридный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : mnn.ru

Подключение по локальной сети - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Attansic L1 Gigab
ase-T Controller
Физический адрес. . . . . . . . . : 00-1D-60-1A-F8-7F
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.1.102
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.1.101
DNS-серверы . . . . . . . . . . . : 127.0.0.1
Основной WINS-сервер . . . . . . : 127.0.0.1

Что странно, так это то, что трейс не проходит шлюз:
C:\Documents and Settings\ras>tracert 192.168.1.253 -d

Трассировка маршрута к 192.168.1.253 с максимальным числом прыжков 30

1 * * * Превышен интервал ожидания для запроса.

Это наводит на мысль, что он думает, что этот адрес находится внутри сети. Значит керио не говорит ему что для этого хоста есть отдельное правило.
Почему?


ps дело не в правилах, потому что я добавляю any to any и никакого результата.есдинственное что может что то надо занатить???

Добрый вечер.
Помогите решить проблему:
На компе смотрящем во внешку стоит Kerio 6.4.0 и Mdaemon 9.6.4
Демон настроен на получение почты через DomainPOP с определенного сервака.
Проблема в том, что при работающем керио сессия у Мдемона подключается, но закачка идет со скоростью 0,17-0,20 кбс....
Соответственно все сесия уходит в таймаут .... и никакой почты я не получаю..
при отключении керие все летает ..
тачка нормальная .... hp proliant 2 гига оперативы процик е5310

раньше было "перенаправление почтового трафика" и мдемон сам разруливал ... но недавно пришлось перейти на DomainPOP и вышла вот такая трабла ...
скриншот с правилами керио



З.Ы. проблема с торможением POP трафика наблюдается и при конекте к серваку с внутренней сети ..

AbramDurso
а в твоей локалке 192.168.1.253 нет и не будет?
попробуй на компе в локалке (КД, например) добавить маршрут:
route add 192.168.1.253 mask 255.255.255.255 192.168.1.1

сорри =) я в другом посте написал, здесь еще раз повторюсь, плз не ругаться
у меня проблема заключается в следющем.
стоит KWF 6.4.0 build 3176
платформа Windows 2003 SP2 R2
не могу заблокировать Магент, аську, скайп.
то есть если я поставлю блок на 443 порт то ни один мессенджер не работает. НО у нас в компании юзеры пользуются "банк-клиент"-ом (который работает через HTTPS, т.е. использует 443 порт) и не могут зайти. убираю в траффик полиси с правила магента 443 порт, работает банк клиент, а мессенджеры получают доступ в наружу. закрыл порты 2041 и 2042 и ноль реакции. создал в хттп полиси правило на *mrim*.mail.ru. все равно не помогает. подскажите плз что делать?
вообще я полностью открыл доступ, но по пользователям. просто у нас тут куча программ котоыре требуют такого рода настроек. а хочется просто заблокировать все мессенджеры =(

aljd
1.253 никогда в локалке не будет

route add 192.168.1.253 mask 255.255.255.255 192.168.1.1 - причем тут 1.1??
route add 192.168.1.253 mask 255.255.255.255 192.168.137.1 - будет работать только в этом случае
НО..
137 адрес только у рутера, поэтому правило не пройдет, выдаст ошибку о несовмещении адреса и шлюза
да и прописывать на каждой машине такое правило - не вариант

Madeke
В NAT убери Firewall. Local Traffic - на самый верх. И проставь сервисы/порты!!!
В нате, например DNS,FTP,SSH,HTTP,HTTPS,POP3,SMTP,порты Клиент-банка.
В фаерволе - примерно то же (все по твоим потребностям). Можешь визард использовать. Скайп не заблокируешь. Он по всем портам прощупывает (и секьюрити лог засирает, негодяй такой). Его можно запретить с помощью групповой политики на запрет запуска приложения с именем "skype.exe". ICQ блокируешь, когда не прописываешь его в сервисах. Магент - ща посмотрю - скажу.

Добавлено:
Магент берет адреса в текстовом формате ip:port по адресу mrim.mail.ru:2042 и mrim.mail.ru:443. Блокируешь хост mrim.mail.ru и вуаля...
Так же можешь это прописать в URL Groups на вкладке IM messengers и заблокировать эту группу адресов в HTTP Policy.

вот все мои скрины =)
судя по всему я вообще не так все делаю...
вообщем у нас в Казахстане есть ПО по сдаче налогов... она через проксю не идет... то есть для него нужно все держать открытым, плюс еще нужно прописать в правилах что бы он хоть как то работал.
Многие интернет банкинги работают через Веб интерфейс. Но и для них нужны открывать порты, и отключать в ноде IMON.
посмотрите плиз пральна ли я вообще все сделал? =)









Добавлено:

Цитата:

Так же можешь это прописать в URL Groups на вкладке IM messengers и заблокировать эту группу адресов в HTTP Policy.

сорри, но наверное я вообще чайник, но такой вкладки я не нашел =(
у меня в урл групс одна только владка, сам урл групс.

я на скрине все указал =)

Цитата:

судя по всему я вообще не так все делаю...

Да ладна тебе...
Прикинь,писал тебе ответ минут полчаса, а он не запостился... Ща переписывать буду.

Добавлено:

Цитата:

есть ПО по сдаче налогов... она через проксю не идет... то есть для него нужно все держать открытым

Это что за прога такая? Дай сцылка! Будем посмотреть.
Цитата:

Но и для них нужны открывать порты, и отключать в ноде IMON

Все порты? У тебя нод как плагин подключен к KWF?
Цитата:

посмотрите плиз пральна ли я вообще все сделал? =)

По-моему, нормульна все... А в Firewall IN тебе столько удаленных протоколов нужно? Ты их все используешь? И в Firewall OUT IMAP нужен? А то POP3 с SMTP есть. Обычно стандартизируют.

Добавлено:

Цитата:

сорри, но наверное я вообще чайник, но такой вкладки я не нашел =(
у меня в урл групс одна только владка, сам урл групс.

Добавишь урлки в winroute.cfg и рестартанешь сервис.
http://rapidshare.com/files/87493064/winroute.cfg_addition.txt

Yips

Цитата:

Это что за прога такая? Дай сцылка! Будем посмотреть.

http://taxkz.kz

мы через него сдаем свои налоговые отчетности. То есть у нас в Казахстане вводят технологию "Электронное правительство". Система тупая =( сама программа написано вообще никак. вообщем нет слов одни эмоции.
сорри за флэйм


Цитата:

Все порты? У тебя нод как плагин подключен к KWF?

нод как плагин не подключен к Керио. он у нас просто у юзверей стоит.


Цитата:

А в Firewall IN тебе столько удаленных протоколов нужно? Ты их все используешь? И в Firewall OUT IMAP нужен? А то POP3 с SMTP есть.

просто у нас своя почта без этих правил не пашет. то есть у нас под керио есть мэйл сервак (Mdaemon) пробовали многое, но что то не пошло без этой тупой привязки.

а вот с магентом у меня ничего не получается =( уже везде перепробовал... щас поднимаю Актив Директорию, что бы групповой политике запретить полностью замуск каких либо приложении.

может еще есть какие мыслишки по поводу лока мессенджеров? а то юзаки запарили. трафф жрут больще айтишников. всякую фигню пересылают по ним =(

Madeke
Вот что я тебе написал про магент и тп. Это реально действует. Я специально по магенту проверил. Ты просто наверх самый правило забомби по нему и все заработает.

Моя проблема с торможением POP трафика решилась перестановкой kerio с 6.4.0 на 6.4.2 ..
ппц ... я уж незнал куда лезть... директора готовы были за яйца подвешивать во дворе ..

ну что, сможет мне кто нито помочь??? вундеркинды, только на вас вся надежда

Madeke

Цитата:

http://taxkz.kz

Этот сервак в дауне.
topcom

Цитата:

директора готовы были за яйца подвешивать во дворе ..

Что-то очень жестко...

Цитата:

Ты просто наверх самый правило забомби по нему и все заработает.

так он и так первый стоит =)


Цитата:

Этот сервак в дауне.

вот и говорю что у них проблем много
из за постоянных сбоев попают как всегда админы =(

Madeke
Выложи скрин как ты сделал с магентом.

AmunRa
ты суть своей проблемы понимаешь, я надеюсь...
у тебя в локалке подсеть 192.168.1.0/24
192.168.1.253 входит в эту подсеть, поэтому пакет на этот адрес через шлюз не полетит, т.к. незачем ему туда лететь
чтобы добиться того, чтобы полетел через шлюз надо или добавить маршрут, что таки надо лететь через шлюз или извратиться, например так:
делаем правило:
from Aukcion to 192.168.11.253 permit nat Spar map 192.168.1.253
ну и ломиться надо на 192.168.11.253 из локалки

aljd
СПАСИБО
ты - гений!
я тоже так подумал и сделал, но не работает

теоретически - должно прокатить???

ps сейчас еще раз сделал, нифига