» Kerio WinRoute Firewall (часть 3)

4kusnik
Ты запретил доступ сетевым компам на машину с керио и только!

vimaret

Цитата:

Enable Anti-spoofing

Отключено уже давно!

Я здесь нарыл: С помощью активного FTP, сервер открывает соединение с приложением. При определенных условиях этот тип соединения не может быть произведен через брандмауэр, поэтому FTP может использоваться только в пассивном режиме. FTP protocol inspector определяет, что FTP активен, открывает соответствующий порт и переадресует соединение соответствующему приложению в локальной сети. Благодаря этому, пользователи локальной сети не ограничены брандмауэром и могут использовать оба режима FTP (активный/пассивный).
Насколько я понял если включен protocol inspector то через КВФ можно соединятся с FTP-сервером в активный и пассивный, а если отключен то только пассивный.
Если это так то почему в логе системы безопасности пишет: Ответ: 227 Вход в пассивный режим. Значит изначально если включен protocol inspector все соединения создаются в активном режиме и переходят в пассивный?
Я правильно мыслю или уже перемудрил?

Добавлено:
Если это так то стает ясно почему КВФ блокирует ФТП:
[15/Apr/2008 15:10:24] FTP: Bounce attack attempt: client: 195.114.ххх.ххх, server: 192.168.0.1, command: PORT 10,255,255,253,168,0
[15/Apr/2008 15:10:24] FTP: Bounce attack attempt: client: 195.114.ххх.ххх, server: 192.168.0.1, command: PORT 10,255,255,253,144,194
[15/Apr/2008 15:10:24] FTP: Bounce attack attempt: client: 195.114.ххх.ххх, server: 192.168.0.1, command: PORT 10,255,255,253,226,62

Как сказал один админ

Цитата:

это называется пассивный режим работы фтп - тоесть комп 10.255.255.253 стоит за натом 195.114.ххх.ххх так и должно быть - пропишы у себя в керио чтобы не блокировал эти пакеты и фтп заработает

Но как это сделать?

Tantos
но при этом он будет проверять только трафик, а не файлы..
попробую что-то типа нода поставить, правда он мне не очень нрафится.

спецов по Керио прошу помочь.
есть шлюз, на нем стоит керио 6.4.1 билд 3519. нужно получить доступ извне на эту тачку через RDP или какой то софт стороннего производителя.
пробовал через RDP,соединение не устнавливается.
правило такое прописано:
Source: Any
destination:firewall
Service: tcp 3389
action:permit
translation: nat (typical setting)
protocol inspector: none

Last_Hero

Цитата:

translation: nat (typical setting)

отключи

Цитата:

отключи

всё равно не прёт

Last_Hero
У тетя пинг из вне на машину с керио идет (внешний IP реальный)?
Поставь правило повыше!
У меня так:


Добавлено:
Это ля доступа к машине в сети! Убери МАР и имя машины в Destination, и будет то что тебе надо!!!

Last_Hero

Цитата:

пробовал через RDP,соединение не устнавливается

А из локалки то устанавливается? Может RDP на самой "тачке" не разрешен?

Цитата:

У тетя пинг из вне на машину с керио идет (внешний IP реальный)?
Поставь правило повыше!

да комп без проблем пингуется.правило стоит самым первым.
так все таки map нужен?

Цитата:

А из локалки то устанавливается? Может RDP на самой "тачке" не разрешен?

из локалки соединяется через внутр. ip, то бишь через 192.168.0.1
RDP на тачке разрешен.
На проксе кстати стоит Win2003



Добавлено:

Цитата:

Это ля доступа к машине в сети! Убери МАР и имя машины в Destination, и будет то что тебе надо!!!

не пашет ...не хочет
Source-internet
destination-firewall
service-RDP,UDP 3389
......

Добавлено:
может из-за настроек модема...стоит D-Link DSL-500t

Цитата:

может из-за настроек модема...стоит D-Link DSL-500t

У тебя перед керио стоит модем? А он точно 3389 порт передает на керио?

Last_Hero
tracert на машину к которой по РДП подключаешься проходит?
подключаешься Администратором пароль не пустой?
на 2003 разрешено подключение по РДП?

Цитата:

Last_Hero

Если модем включен роутером, то на нем надо сделать MAP с порта 3389 на твой 192.168.0.1 на порт 3389, тогда получешь доступ к РДП снаружи. (подключаться надо к внешнему IP)

lavren
NegoroX
drsmoll
Коллеги, как-то все на кофейной гуще у нас получается.
Last_Hero
Давайте ipconfig /all сюда пожалуйста, проблема то смотрится плевой.

Цитата:

Давайте ipconfig /all сюда пожалуйста, проблема то смотрится плевой.

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : PROXY
Основной DNS-суффикс . . . . . . :
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет

Локалка - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : VIA Rhine II Fast Ethernet адаптер
Физический адрес. . . . . . . . . : 00-0D-87-№-№-№
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.0.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :

Интернет - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8139 Family PCI Fast Ethernet
NIC
Физический адрес. . . . . . . . . : 00-80-48-№-№-№
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.1.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.1.1
DNS-серверы . . . . . . . . . . . : 217.30.№.№
195.161.№.№

Цитата:

Если модем включен роутером, то на нем надо сделать MAP с порта 3389 на твой 192.168.0.1 на порт 3389, тогда получешь доступ к РДП снаружи. (подключаться надо к внешнему IP)

можно сразу правило для Керио в этом случае

Добавлено:
NegoroX

Цитата:

tracert на машину к которой по РДП подключаешься проходит?

да проходит

Цитата:

подключаешься Администратором пароль не пустой?

естственно Администратор под паролем

Цитата:

на 2003 разрешено подключение по РДП?

разрешено,если вы имеете ввиду => Свойства системы=>Удалённое использование=>Вкл.удал.доступ к раб столу

схема такая?
Inet--------модем-------сервер-----локалка
Inet----ExtIP-192.168.1.1-------192.168.1.2-192.168.0.1--------192.168.0.0
RDP стоит на (192.168.1.2-92.168.0.1)
надо - их Инета получить доступ к серверу?
тогда однозначно на модеме Port Map с 3389 на 192.168.1.2:3389 и разрешаюшееправило в керио типа any to firewall port 3389 permit

Помогите кто-нибудь!
Не могу заставить заработать NOD32 3 c Kerio WinRoute Firewall 6.4. Скачал nod_kwf_en.exe, но тот ругается "Could not copy nod32.dll". Да и вообще интернет пропадает, когда включаю NOD32. При том McAfee выключен из Kerio, Web access protection из NOD32 тоже. Сделал, как сказано на сайте Kerio. Ну кто что скажет? Помогите разрулить ситуацию.
Спасибо

Цитата:

тогда однозначно на модеме Port Map с 3389 на 192.168.1.2:3389 и разрешаюшееправило в керио типа any to firewall port 3389 permit

в том то и беда в настройки модема не могу зайти...ну походу без этого не получится.

Last_Hero

Цитата:

в том то и беда в настройки модема не могу зайти

Сделайте ему аппаратный Reset, всегда есть такая кнопочка, или дырочка и перенастройте заново. А лучше после ресета оставить модем как есть (бриджом), а все настройки на провайдера сделать на компе (файерволе).

Цитата:

Сделайте ему аппаратный Reset, всегда есть такая кнопочка, или дырочка и перенастройте заново. А лучше после ресета оставить модем как есть (бриджом), а все настройки на провайдера сделать на компе (файерволе).

попробую в понедельник...
да я знаю про эту кнопочку, да вот только не хочется потом в техподдержку звонить...
вообще что то нужно будет настраивать в модеме помимо PortMap и устанвокой его в роли моста(модем D-Link DSL-500t)?
ЗЫ:прошу прощения за оффтоп

Если модем выставить мостом, то а нем ПортМап делать не надо , тогда все настройки на керио.

на виртуальной машине подымаю конструкцию:
Сервер (AD+DNS+DHCP - все средствами Windows, Kerio Winroute Firewall)
+
Клиентская тачка (windows XP SP2)

винду установил, все поднял по мануалам ФГУП ГНИВЦ если интересно - могу выложить книгу

AD+DNS+DHCP поставил - все не чихает (в журналах никаких сообщений об ошибках, есть пару восклицательных знаков по поводу Win32Time)

Подключил в домен клинтскую тачку - все ок

Установил Kerio Winroute, настройки сетевых интерфейсов сделал по FAQ'у из шапки...

соответственно в FAQе у меня ситуация номер 3 - когда AD+DNS+KERIO на одном сервере (просьба конфигурацию не хаять не поленюсь найти пост который меня оправдает в данном топике:"когда денег уже нет, а настраивать надо")

так вот теперь я понять не могу,, проходит у меня тест или всетаки что-то недонастроено? смущает в тестах: "*** Can't find server name for address 192.168.5.4: Non-existent domain"

информация:
[more=ipconfig /all]
Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : virt-actdir
Основной DNS-суффикс . . . . . . : virtnet.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : virtnet.local

VirtNet - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Intel 21140-Based PCI Fast Ethernet адаптер (Универсальный) #2
Физический адрес. . . . . . . . . : 00-03-FF-5A-89-34
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.5.4
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 192.168.5.4

ADSL - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Intel 21140-Based PCI Fast Ethernet адаптер (Универсальный)
Физический адрес. . . . . . . . . : 00-03-FF-5B-89-34
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.1.3
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.1.254
DNS-серверы . . . . . . . . . . . : 192.168.1.3
NetBIOS через TCP/IP. . . . . . . : отключен

Kerio VPN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Kerio VPN adapter
Физический адрес. . . . . . . . . : 44-45-53-54-2C-A8
DHCP включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 169.254.126.253
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DHCP-сервер . . . . . . . . . . . : 169.254.126.252
NetBIOS через TCP/IP. . . . . . . : отключен
Аренда получена . . . . . . . . . : 19 апреля 2008 г. 20:30:08
Аренда истекает . . . . . . . . . : 19 апреля 2008 г. 20:33:08
[/more]

[more=nslookup]Microsoft Windows [Версия 5.2.3790]
(С) Корпорация Майкрософт, 1985-2003.

C:\Documents and Settings\Администратор>nslookup yandex.ru
*** Can't find server name for address 192.168.5.4: Non-existent domain
Server: UnKnown
Address: 192.168.5.4

Non-authoritative answer:
Name: yandex.ru
Addresses: 213.180.204.11, 77.88.21.11, 87.250.251.11

C:\Documents and Settings\Администратор>nslookup 213.180.204.11
*** Can't find server name for address 192.168.5.4: Non-existent domain
Server: UnKnown
Address: 192.168.5.4

Name: yandex.ru
Address: 213.180.204.11[/more]

OS: Windows 2003 SP 1 RUS

решил посмотреть что пишут на клиентской машине (Windows XP SP2)
[more=ipconfig /all]Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : wxp_new1
Основной DNS-суффикс . . . . . . : virtnet.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : virtnet.local
virtnet.local

Подключение по локальной сети - Ethernet адаптер:

DNS-суффикс этого подключения . . : virtnet.local
Описание . . . . . . . . . . . . : Intel 21140-Based PCI Fast Ethernet адаптер (Универсальный)
Физический адрес. . . . . . . . . : 00-03-FF-57-89-34
Dhcp включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 192.168.5.20
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.5.4
DHCP-сервер . . . . . . . . . . . : 192.168.5.4
DNS-серверы . . . . . . . . . . . : 192.168.5.4
Аренда получена . . . . . . . . . : 19 апреля 2008 г. 20:36:23
Аренда истекает . . . . . . . . . : 27 апреля 2008 г. 20:36:23
[/more]

[more=nslookup]Microsoft Windows XP [Версия 5.1.2600]
(С) Корпорация Майкрософт, 1985-2001.

C:\Documents and Settings\fresh.VIRTNET>nslookup yandex.ru
*** Can't find server name for address 192.168.5.4: Non-existent domain
*** Default servers are not available
Server: UnKnown
Address: 192.168.5.4

Non-authoritative answer:
Name: yandex.ru
Addresses: 213.180.204.11, 77.88.21.11, 87.250.251.11


C:\Documents and Settings\fresh.VIRTNET>nslookup 213.180.204.11
*** Can't find server name for address 192.168.5.4: Non-existent domain
*** Default servers are not available
Server: UnKnown
Address: 192.168.5.4

Name: yandex.ru
Address: 213.180.204.11[/more]

а по факту с клиентской машины интернет робит только все ли верно и корретктно (в данных условиях конешно) робит

Добавлено:
пока ждал ответа на мой пост, решил вновь включить сервер...

зашел в журнал событий... написано "DNS служба запущена", я насторожился

сделал nsloockup - никаких ошибок все в порядке

в общем до рестарта в журнале несколько матерных сообщений (тип сообщения: ошибка), о том что ДНС неробит и все плохо.... рестарт всем помог

п.с. из подключенного "обычного виртуального компа" тоже все нормально детектиться nslookup проходит без ошибок всем спасибо за советы;););)

уряяяяяяяяяяяяяяяяяяяяяяяяяяяяяяя

Хочу поставить в локалку (несколько подсетей, роутер KWF на отдельной машине, инет- прокси KWF на другой) почтовик и вебсервер, почитал в нете, что для этого надо создать DMZ . Как создать DMZ на KWF ? Ставим сетевуху, а дальше? какие правила , что писать на интерфейсах керио, почтовика, и вебсервера? Трафик почтовика надо обсчитывать, веб сервер не надо.

Liderdomofon
смотрим шапку там доки все читаем до посинения устанавливаем настраиваем по приведенным примерам конфигурации - внимательно изучаем что выросло ещё раз перечитываем доки включаем мозг и доводим до ума свою конфигурацию.

примирил в трафик полису спутник и наземнку
(входящие со спутника, исходящие по земле)
вопрос: можно ли на определенный внешний IP,
весь трафик пустить по земле? где копать?

Цитата:

вопрос: можно ли на определенный внешний IP,
весь трафик пустить по земле? где копать?

Прописать роутинг. Можно прямо в керио, как у меня и сделано.

Есть доменная система, есть некая группа, которой надо запретить пользоваться ICQ. Если не открываю порт, то запрещаяю всем, через http политики, чего-то не вышло. Можно как-нибудь это реализовать?

NegoroX не уместна здесь эта реплика , можно весь руборд прикрыть и повесить ваш ответ. Если есть что ответить, отвечайте, если нет, то лучше другой раз и помолчать. Об этом, кстати, и в правилах форума написано, читайте уже тогда Вы их, и внимательнее. А мне нужен реальный совет как правильно создать DMZ для размещения почтовика (KMS ) и вебсервера.

Vsevolod
в trafic policy разреши 5190,
а в http policy сделай правило на login.icq.com и в него пользователей добавь, которым можно, ниже правило запрет на все.

Цитата:

а в http policy сделай правило на login.icq.com и в него пользователей добавь, которым можно, ниже правило запрет на все.

а не работает этот запрет, а вот http://icq.com попасть действительно нельзя
правило, как *icq.com* Deny

Vsevolod
Попробуй так!