» Kerio WinRoute Firewall (часть 3)

WebFX
то ли с 6.3.0 то ли с 6.4.0 стали включать...

crapaud
Чёт я не понял. У меня 6.4.2 и нет русского вроде.

да вот у меня тоже 6.4.2, и русского Я там не нашел

Может дополнительно устанавливается и у кого-то есть невзначай? Поделитесь "русским языком" для 6.4.2, пожалуйста!

В чем прикол? На непрозрачной проксе логинюсь разными юзерами, а трафик считается на неавторизованного пользователя...
При чем инодна пробивает и начинает считать на того юзера, которым зашел.
Пробовал перегружаться, пробовал создавать новых, прибивать юзеров, менять правила - фиг все равно глючит. версия 6.1.4.3519.

И еще с квотами, не работает блокировка квот, что в терминале, что с компов в локальной сетке. Счетчик доходит до 100% лампочка краснеет, но ограничение не работает, так же не работает ограничение по скорости трафика.

ну просто засада какая то... может все раки traffic policy ковырять?

А Ты галочку поставил блокировать любой траффик, во вкладке квоты

ну канэчна поставил, я же писал. пробовал и блок и ограничение полосы - ничо не помогает.

Мужики! Нужна помощь. У меня следующая ситуевина:
Есть две локалки: 1 - наша, 2 - соседи. Обе локалки воткнуты в сервак к разным сетевухам.
На серваке поднят домен (не знаю зачем, но он нафиг не нужен)
Соседи не в домене (естессно)
Все ходят в Инет по НАТу
У нас есть Инет, а у соседей нету. Ладно, бы совсем не было - открываются у них только определенные порты: ICQ, ... и все
Что делать? Кто сталкивался с такой ситуевиной?


А все, будто бы до этого работало. Когда я к ним пришел, то бардак страшенный - переустановил полностью DNS, может в нем проблема?

demo06
trafic policy, http policy показывай и тут почитай

Не работает ограничение квот. Индикатор уже покраснел, галка у юзера стоит блокировать, а он все продолжает качать. Выходит, заходит заново и дальше качает.

Цифры трафика прибавляются а трафик не блокируется хоть тресни.

Сижу второй день пробую всякие варианты, хоть ты тресни. Никто не может нормальную инструкцию написать что ли? Отправляют на kerio-rus там инструкции есть, но неполные и по ним тоже не получается.

Народ! Подскажите кто встречал подобное.
КВФ 6.4.2.3672
Кабан нормально работает пока не начнут появляться сообщения в логе error:
[24/Mar/2008 16:39:28] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:40:34] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:41:44] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:42:46] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:44:15] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:45:17] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:46:36] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
И так пару дней может работать! Потом:
[24/Mar/2008 16:47:45] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:49:15] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:50:16] (7104:101) ISS OrangeWeb filter: URL categorization has been skipped due to internal error
[24/Mar/2008 16:51:32] (7101:263875716) ISS OrangeWeb filter: Authentication failed!
И частично зависает сервис Winroute.exe. Инет есть только тот который до зависания начал закачку данных, новие соединения иногда устанавливаются, но большенство говорить сбой подключения к серверу!
После рестарта службы инет появляется, а кабан совсем дохлый! Только рестарт ОС помогает вернуть пациента к жизни!

Цитата:

А все, будто бы до этого работало. Когда я к ним пришел, то бардак страшенный - переустановил полностью DNS, может в нем проблема?

Однозначно в DNS. Поищи на форуме.
Вот почитай. Я думаю поможет.

vasla9
Для начала необходимо определить какому шаблону подчиняются настройки квот пользователя: доменному или персональному. В любом случае для каждого из шаблонов есть опция Block any further traffic на закладке Quota. При срабатывании хотя бы одного правила контроля квот будет выполнено блокирование трафика пользователя или ограничение пропускной способности для пользователя в соответствии с настройками Bandwidth Limiter.

такой вот проблемс вышел с новой версией... kerio-kwf-6.4.2-3672-win32
обновился, работает все вроде нормально, но вот на удаленном компе очень тормозит админ консоль и часто отваливается коннект
может кто подскажет где грабли ?

ну просто ужасно тормозит

lavren
Кабан сама себя банит, и блокирует хттп-поток. Не излечимо. Вызод - только отключение кабана.

Цитата:

Для начала необходимо определить какому шаблону подчиняются настройки квот пользователя: доменному или персональному. В любом случае для каждого из шаблонов есть опция Block any further traffic на закладке Quota. При срабатывании хотя бы одного правила контроля квот будет выполнено блокирование трафика пользователя или ограничение пропускной способности для пользователя в соответствии с настройками Bandwidth Limiter.

Я же писал, что галка блокировать трафик стоит персонально на пользователя - не блокируется. Пробовал ограничение полосы до 1 кб/с как прописано в Bandwidth Limiter, не блокирует и не ограничивает. Может это работает только когда идет определение через шаблон на группу?

Arakcheev
А возможно узнать на какие IP кабанчик бегает и добавить их в исключения для кабана?
Как думаешь, может сработать? А IP на какие кабанчик бегает статичные или постоянно меняются?

Ребята, подскажите не слишком умудренному опытом. У меня для выхода в Инет настроена авторизация пользователей по http. Можно ли сделать так, чтобы всякие там антивирусы и баннерорезки типа Ad Muncher'а обновлялись бы автоматом без обязательного захода на веб-страничку авторизации и прописывания в ней логина и пароля. Если можно, пошагово. Заранее спасибо!

piroJOKE
а инструкцию к KWF читал? или "ридми - удел тупиц"?

Цитата:

Для доступа в Интернет VNP клиенты используют свое текущее Интернет соединение. VPN клиентам не разрешается связываться с Интернет через WinRoute (настройки шлюза по умолчанию для клиентов установить невозможно).

Отсюда (в самом низу пункт 2)

Добрый день!

Нужно расшарить свой Sharepoint (NTLM используется)
сайт миру,
на керио сервере сделал мап для
mydomain:3080 ---> mysharepointserver:80

Но появилась проблема:
NTLM не работает, и непонятно почему,
вроде сервис Kerberos маплю тоже на mysharepointserver,
но не работает

Подскажите кто чем сможет

Заранее благодарен,
Николай

Добавлено:

Нашел такой интересный момент:

Если тестировать в Firefox то он выдает вот такое сообщение,
в IE же ничего не пишется,

"Firefox can't find the server at www.mysharepointserver.com."

Никак не могу понять как керио сервер дал веб - клиенту имя сервака внутри сети,
Если кто-нить знает, то поясните пожелуйста,


С наилучшими пожеланиями,
Николай

Добавлено:

Нашел еще таку штуку:

если на клиенте прописать в LMHOSTS
222.222.222.222 (мой внеш IP) mysharepointserver

То чудо свершается и начинает работать сайт!

Но в чем дело и зачем это нужно я не могу понять,
как это можно залечить?

Ведть не редактировать на каждом клиенте LMHOSTS

А вот и вопрос

У меня каждый день KWF качает с McAfee dat файлик весом примерно 25 мегов. Понятно, что в настройкай выставлено проверять обновления каждые 8 часов (по дефолту).
НО, зачем так много каждые 8 часов ???
Просто вопрос бы не возник если был бы безлимит. А это машинка рулит инетом на складе, а там лимитирован инет.

Что посоветуете? Отрубить? Поставить другой интервал?

piroJOKE
AlOne

Цитата:

то проблема в том, что вот - я подключился, но и-нетовский трафик по прежнему идет через местный файрвол. Как его запихать в VPN?

Цитата:

Для доступа в Интернет VNP клиенты используют свое текущее Интернет соединение. VPN клиентам не разрешается связываться с Интернет через WinRoute (настройки шлюза по умолчанию для клиентов установить невозможно).

Коллеги. Есть обходной маневр, которым я с успехом пользуюсь. Нужно войти в удаленную сеть по VPN. Там подключиться по RDP к какому нибудь серверу. А с удаленного рабочего стола уже идти в инет как user сидящий на том сервере. Конечно нужно иметь соответсвующие права. И трафик в инет будет считаться из той сети + (локальный, местный) из вашей в ту.

Проблемы 3.
1. На одном из них был поднят AD + dns. Как авторизовать в kerio по учетным записям? (то есть юзер заходит под учеткой в windows, потом в инет и winroute уже его определяет управляет и считает)

В общем ничего кроме авторизации в броузере нет?

2. На обоиих машинах не пишутся логи web, http, connection.

Для того чтоб нормально писался веб приходится дублировать правило NAT, и ставить protocol inspector на http. Почему так хз.

3. На сервере которая пока без AD загрузка процесса winroute - 48-56% -стабильно. Отключаешь лан все спокойно. Включаешь хоть один комп в нет - снова под 50. Настройки на обоих идентичны за исключением dns fowarding (где есть dns он выключен)

Решилось установкой на машину контроллера доменв.

AnyDust
Обновите керио до актуальной версии (или саму библиотеку макафи). В ней как раз сделано обновление в прямом понимании этого слова, т.е. скачиваются только новые базы.

Arakcheev

Благодарен. Попробую.

ещё вопрос, может не в тему:
Керио ведёт прекрассный лог по веб трафику (какая машина на какие сайты заходила), можно ли получить аналогичный лог о том какие файлы на машине с керио открывались машинами в сети?

alin

Цитата:

Компьютеры своей сетки, при подключенном vpn не находят локальные ресурсы провайдера и теряют связь с ip 10.2.1.89.

Вы неправильно прописали адреса на сетевухе. Нужно: основным написать адрес 10.2.14.128, а дополнительным 10.2.1.89. Потому что vpn будет подключен через основной адрес, при этом изменится таблица маршрутизации и приоритет(метрика)маршрута к основному адресу понизится. Также изменится дефолтовый гейт он будет через динамический vpn адрес . А вот для дополнительного адреса все останется по прежнему. Поэтому локалка должна ходить через него. Правило NAT уберите вообще оно просто лишнее.

Цитата:

Что-то очень сильно подгружает сервер, в какой-то момент появляется сообщение о нехватке памяти, раньше такого не наблюдалось. Где может быть засада?

Здесь могу сказать только одно: у меня через KWF 6.3.1 на Win2003 SP1, 2.8GHz HT, 1.0GB роутится более трех десятков сетей и еще есть приличный запас ресурсов.
Смотрите какие процессы грузят.

есть правило
host inet any allow NAT(inet)
веб, аська работает. а почтовик работает только POP3. SMTP только исходящие пакеты. т.е. smtp не работает никаким боком. как быть?

smiclek

Цитата:

SMTP только исходящие пакеты. т.е. smtp не работает никаким боком.

Для входящих SMTP нужно правило причем разное для почтовика и файервола на одном компе и почтовика на отдельном от файервола компе в локалке:
1. inet host SMTP allow
или
2. inet (Внешний IP для вашего почтового домена) SMTP allow (MAP локальный IP почтовика)

vimaret
спасибо. но не помогло
оно и до этого как-то проблесками работало. поставил wareshark. получается что логон проходит, а когда идёт передача оно не идёть. программа помечает пакеты как bad, но вот в чём грабли понять не могу. то работает, то не работает.