» Kerio WinRoute Firewall (часть 4)

сейчас проверил, у меня не влияет антивирус. Точнее не так ощутимо

sadasaf
Керио - программый роутер, и скорость его увы не оч.высока. Ваш эксперимент можно считать хорошим тестом ))). По сути, пробовать стоит:
1. Создать правильные правила.
2. Отключить протокол-инспекторы на Ms-DS (ну их там и не должно быть по умолчанию)
3. Поэксперементировать с антивирусным плагином в винроуте (однако, если нет протокол-инспектора, то вроде бы и сканирования нет )
4. Изучить влияние установленного на компе антивирусного сканера
5. В вашей версии отключить контроль путём установки "1" в исключениях брандмауэра в конфиге программы (текстовый файлик в корне папки установки)
6. Привести в актуальное состояние Кабана (ISS filter) и выключить его
7. Поставить более новую версию (только не 6.5.1 !!!) и проверить какая скорость будет там.

Однако, после этого всего, как я думаю, влияние программы на скорость будет гораздо значительнее, чем хочеться ))) Если скорость нужна действительно высокая, нужно использовать соответствующее задаче железное решение, и кстати, в вашем случае, может оказаться значительно дешевле (6 хардов и ghx будут не нужны )))

sadasaf

Цитата:

ВКЛЮЧАЮ винроутер скорость записи на сервак падает до 50-45 мегов(терпимо), а чтение до 10-8 мегов!!! причем скорость скачет, графики загрузки сети как пила

А вы не смотрели подскакивает ли при этом загрузка процессора службой winroute.exe?


Добавлено:
Да, и еще, а если керио и файл сервер на разных компах, это повлияет на скорость чтения-записи, или нет?

ПОдскажите пожалуйста где можно установить время, которое KWF хранит логи, по которым можно проследить кто куда в интернет ходил.

Ruza, спасибо !
Есть ещё один вопрос. Не получаеться настроить port mapping, нужно сделать переаправление с внешнего интерфейса, тобишь из интернета на локальный сервак по RDP. Kerio 6.2.2, поиск юзал, читал созданные на форуме темы, сделал всё так как написано но нифига не хочет работать. подскажите пож-та в что настроено неверно. прилагаю скрин правил.

oldGuest
Номер порта можно в данном случае убрать из раздела MAP (вместе с его галочкой), и надо включить NAT в этом правиле. Если ничего не путаю, то на внутренний интерфейс, но на какой-то точно.

oldGuest
Была проблема с RDP на одной фирме, хотя на другой все нормально с этими же правилами. Решилось прописанием на сервере терминалов в качестве основного шлюза IP машины с керио.

Shweper, спасибо !
в Source NAT нужно было поставить трансляцию на адрес сетевухи, смотрящей в локалку. Всё работает, ещё раз спасибо !


Добавлено:
Shweper, Спасибо !
В Source NAT нужно было сделать трансляцию на адрес сетевухи, смотрящей в локалку.
Ещё раз спасибо !

Цитата:

ПОдскажите пожалуйста где можно установить время, которое KWF хранит логи, по которым можно проследить кто куда в интернет ходил.

в правой кнопке мыши по окну лога...

Shweper

Цитата:

Номер порта можно в данном случае убрать из раздела MAP

Не влияет.

oldGuest

Цитата:

в Source NAT нужно было поставить трансляцию на адрес сетевухи, смотрящей в локалку. Всё работает, ещё раз спасибо !

Угу , или правильно прописать маршруты на целевой машине.

Доброе время суток ) Не подскажете такую весчь - есть керио, настроенный не мной, как мне понять, какой на нём используется тип прокси-сервера (socks4, socks5, http аль какой ещё?)? Пытаюсь тупо выпустить аську в нет - а она не алё ( Есть правила на доступ из внутренней сети к серверу + с сервера в нет, видимо фишка такая настройки, чтобы только через прокси шли запросы. Если в настройках браузера пишешь в прокси имя_сервера и 3128 порт, то брявзер автоматически связку логин-пароль спрашивает - его вводишь и сёрфишь в нете. В настройках аси прописываю адрес сервера, порт 3128, выбираю тип прокси http, прописываю логин и пароль для авторизации - не коннектит ( Как в керио в принципе мониторить обращения к серверу с конкретного компа, чтобы мучительно не пытаться глазами поймать в разделе коннектионз нужные тебе обращения? Какой-нить фильтр монитора, что-нить такое. Заранее спасибо за ответ.

Классическая сетка (W2k3, AD). Но, на DC установлен терминальный сервер WoIP, к нему коннектятся 6 корейских ультратонких клиентов nComputing OfficeStation L110.
На шлюзе - KWFv6.4.2, AD-авторизация, непрозрачный прокси. Неавторизованный трафик близок к 0. Но! Как считать трафик для OfficeStation? Весь сыплется на IP терминального сервера. Могут ли быть решения для раздельного учёта терминальных пользователей?
Спасибо.

Моя проблема решилась... В очередной раз я убедился, что Dr. WEB - говнище (простите мне мой французский)! Снёс его и Керио заработало как надо. До этого пробовал его просто выключать (полностью) - не помогало. Так что всем спасибо, все свободны

Да, кстати. Изначально Керио и с Вебом работало. Но через пару дней Веб обновил что-то у себя и убил Керио... Веб лицензионный, кстати...

А у меня после установки KFW 6.5.0.4794 значительно увеличился входящий трафик, не пойму почему. Причем раза в два-три, по размеру сравним с исходящим. До этого стоял wipfw и все было нормально. Стал перебирать правила, последовательно отключая их, в результате выяснил, что входящий трафик генерируется правилом с порт-маппингом на внутренний WEB-сервер: Source=Internet, Destination=Firewall, Service=HTTP, Action=Allow, Translation=MAP 192.168.0.3. И это для меня совсем не понятно. Отключаю это правило - нет лишнего входящего трафика, включаю его - опять появляется. Не подскажете в чем тут может быть дело?

мот кто подскажет как пустить vpn клиентов в нет (у мня на vps одна сетевуха).

AlNinyo
По существу:

Цитата:

_нttр://www.keriо.соm/manual/wrp/en/429.htm
Conflicting software
...
Anti-Virus
Some Anti-Virus programs act as a mail server by binding to common mail ports such as 25 for simple mail transfer or 110 for POP. If you would like to run anti-virus software on the WinRoute computer you must change the ports that WinRoute uses. This is done in the advanced settings of the mail server.
...

Цитата:

В очередной раз я убедился, что Dr. WEB - говнище

PS. А то прям как в _нttр://www.osudim.org/vw/3484/1322600/ ...

Добавлено:
5opuc
Пропиши автоматически добавляемый маршрут на VPN-адаптере (закладка Advanced), а подключенных клиентов через прокси пускай.

Цитата:

Пропиши автоматически добавляемый маршрут на VPN-адаптере (закладка Advanced), а подключенных клиентов через прокси пускай.

дык с прокси пнятно, а полноценный доступ низя разве сделать, мне с торрентов качать надо.
прокси разные ставил и через socks и через http пробывал ничего не вышло, качать качает коекак, а раздавать невкакую.
виндусовски впн вродь пускает с сеть впн клиентов, но настроить я его не смогу.

ne0_2002
Это я читал (правда на русском языке). Но когда программы работают вместе 3 дня и работают нормально - мне начинает думаться, что они достаточно совместимы... Кроме того, в Вебе я отключал прослушку этих портов...
"я сам Пастернака не читал, но осуждаю", ага

a1cor

Цитата:

входящий трафик генерируется правилом с порт-маппингом на внутренний WEB-сервер: Source=Internet, Destination=Firewall, Service=HTTP, Action=Allow, Translation=MAP 192.168.0.3.

Попробуйте Destination=Firewall заменить на Destination="Внешний IP вашего WEB сервера". Не уверен, что поможет, но немногу подрежет маппинг. Потом напишите результат.

Помогите настроить аутификацию пользователей.. Раньше я тупо привязывал юзера к Ip машины в настройках пользователя. Статистика прекрасно работала. В другом офисе все сделано по другому. Есть домен, используется DHCP (соответственно прописывать IP бессмысленно). Использую базу пользователей из Active Directory. Но теперь не могу настороить аутификацию. Все хосты видны, но поле "пользователь" пустое. Соответственно в статистике весь трафик списывается на неопознанного пользователя.
В закладке аутификация поставил галочку "включить аутификацию ACTIVE Directory" Вроде все должно работать. Если поставить галочку "Всегда требовать аутификацию пользователей при доступе к веб странице", то открывается страница керио но логин и пароль пользователя из ACTIVE Directory не подходят. Помогите советом.

Всем привет
При попытке войти на ftp (любой)
Выдает такое в окне IE


Error
FTP server return:

530 Login incorrect.

[Logo] Generated by SERVINTERNET (Kerio WinRoute Firewall 6.2.3 build 2027)

Что блокирует?

2vimaret:
Спасибо, но это вообще перекрыло трафик к веб-серверу внутри сети. Но ситуация разрешилась: оказывается насчет трафика врал мой устаревший BWMeter (2.3.1). Стоило посмотреть статистику у провайдера, как там оказались вполне ожидаемые (т.е. нормальные) цифры. BWMeter почему-то стал считать трафик совсем с другого адаптера (адаптера локальной сети), и, видимо, конфликует с KWF, потому что настроить его на нужный адаптер не удалось.

esel

Цитата:

Помогите настроить аутификацию пользователей..

А почитать вначале шапку, а так же поискать по форуму в лом что ли? Эта тема здесь обсасывалась в мельчайших подробностях, а она очень объемная для того, чтобы повторяться.


Добавлено:
a1cor

Цитата:

это вообще перекрыло трафик к веб-серверу внутри сети..

Потому что он Вэб сервер смапился только на внешний адрес. Для локалки лучше добавить ему еще один локальный адрес, который не мапится и настроить прослушивание на два адреса.

Цитата:

Но ситуация разрешилась: оказывается насчет трафика врал мой устаревший BWMeter (2.3.1). Стоило посмотреть статистику у провайдера, как там оказались вполне ожидаемые (т.е. нормальные) цифры. BWMeter почему-то стал считать трафик совсем с другого адаптера (адаптера локальной сети), и, видимо, конфликует с KWF, потому что настроить его на нужный адаптер не удалось.

Возможно здесь тоже маппинг мешал, ведь когда пишешь в правиле Dist=firewall то мапятся все адреса, которые прописаны на всех адаптерах файервола, в том числе и локальный.

vimaret

Можно ссылочки конкретные. Здесь слишком много страниц, что бы все это перелопачивать.

Доброго времени суток. Поставил ВинРоут 6.5.2 (Был 6.2.2)
Устраивает пока всё (кроме тухлого кабана).

Вопрос: Работает Сервер Статистик (StaR). Как его можно админить? Почистить мёртвых пользователей? Сделать очистку полную?

vimaret

Цитата:

это вообще перекрыло трафик к веб-серверу внутри сети..

Потому что он Вэб сервер смапился только на внешний адрес. Для локалки лучше добавить ему еще один локальный адрес, который не мапится и настроить прослушивание на два адреса.

я так понял - вы ему посоветовали смапить на ип внешний - а унего првило то и было - с внешнего ип пакет переправлялся на внутренний веб сервер в локалке - выполнив ваше предложение - он смапил пакет приходящий с ип внешнего на ип внешний же - кольцо.

а по локалке я так подозреваю у него и так локальный сервер и так заходят без указания внешнего ип или днс-имени а через указание имени или ип компа в локалке где стоит веб-сервер

a1cor
я правильно догадался?

Цитата:

а по локалке я так подозреваю у него и так локальный сервер и так заходят без указания внешнего ип или днс-имени а через указание имени или ип компа в локалке где стоит веб-сервер

a1cor
я правильно догадался?

В общем, я думаю, все верно. То правило, о котором я говорил, это обычный маппинг порта 80 с внешнего интерфейса файрвола на внутренний веб-сервер в локальной сети. Внешние пользователи ходят на наш сервер через этот маппинг, а внутренние пользователи - по локалке. KWF установлен на отдельной машине, непосредственно подключенной к линии провайдера.

В общем - все просто.

Меня ошарашила статистика выдаваемая BWMeter'а. А я ей так доверял Скорее всего эта прога не совместима с KWF. Я ее снес. А статистика, подсчитываемая и выдаваемая файрволом похожа на то. что выдает биллинг провайдера (плюс/минус несколько мегабайт).

Вопрос разрешился. Спасибо всем откликнувшимся

(( Никто не ответил - видимо так спросил Попробую ещё раз. Очень хочется выпустить аську через Kerio. Проблема в том, что не коннектит ни фига ( В качестве клиента пытаюсь использовать qutIM. Вот никак не пойму, как создать правило корректно. Пробовал создать такое: Source - IP компа в сети, Destination - Firewall и Intel Pro 100 (сетевуха, смотрящая в нет), Service - ICQ, DNS, HTTPS, HTTP-Proxy и NAT для него включал. Не работает ( В клиенте прописывал адрес сервера в качестве прокси, типом выбирал http (не https, не поддерживает клиент такую), в разделе авторизации вводил логин-пароль одного из пользователей. Порт указывал 3128. Т.е. вроде как клиент аськи ломится на сервер на порт 3128 с логином и паролем на доступ в зубах, но не коннектится опять же. Где искать косяк? Как мониторить хоть?

kaskad

Цитата:

Очень хочется выпустить аську через Kerio......Source - IP компа в сети, Destination - Firewall и Intel Pro 100 (сетевуха, смотрящая в нет),Service - ICQ, DNS, HTTPS, HTTP-Proxy и NAT для него включал. ....Где искать косяк? Как мониторить хоть?

Временно исправте правило так: Source - IP компа в сети, Destination - Any, Service - ANY, Log - C, NAT
и смотрите в Logs>Connection и Status>Connection какие порты используются при работе аськи. Никакие прокси и авторизации на компе пока не прописывайте, просто укажите дефолтовым гейтом IP файервола.
Если не заработает попробуйте воткнуть этот комп вообще без файервола эффект скорей всего будет тот же, тогда возможно причина на нем.


Добавлено:
Hrist

Цитата:

я так понял - вы ему посоветовали смапить на ип внешний - а унего првило то и было - с внешнего ип пакет переправлялся на внутренний веб сервер в локалке - выполнив ваше предложение - он смапил пакет приходящий с ип внешнего на ип внешний же - кольцо

Я то посоветовал ему правильно. А именно: Src-any, Dist-"Внешний IP сервера", Serv-HTTP, Map-"Внутренний IP сервера". В этом случае в приходящем на "Внешний IP сервера" пакете идет замена "внешнего" dst -addr на "внутренний" dst-addr, т.е. перенаправление пакета в локалку. Как там у него реально получилось не знаю, может еще что-то с чем-то не стыкуется. Напр. сеть неверно настроена, не туда маршрутизирует, неправильно разрешает имена, ну и т.д.
Если написать правило, как у него было, типа: Src-any, Dist-Firewall, Serv-HTTP, Map-"Внутренний IP сервера". Оно будет делать тоже самое + все остальные пакеты, которые могут приходить на 80 порт, но не на "Внешний IP сервера", а на любой другой адрес, имеющийся на интерфейсах файервола, тоже полетят на "Внутренний IP сервера". Это может добавить паразитный трафик (на который Он, собственно, и жаловался) ну и еще какие-нибудь конфликты вызвать.
Поэтому правила для мапинга конкретного сервиса лучше писать с указанием конкретного адреса (вместо Firewall), который нужно сопоставить внутреннему. ИМХО

Помогите с реализацией такой задачи:

Имеем сервер с Exchange 2003. Exchange обслуживает 2 домена, допустим, domain1.ru и domain2.ru. В качестве шлюза в сетке стоит комп с Kerio WinRoute Firewall v. 6.4.2 с двумя сетевухами, одна смотрит в сетку, другая в интернет. Сейчас все письма Exchange
с обеих доменов шлет через сетевую карту которая смотрит в интет. Пускай это будет провайдер "А".

Что нужно: Нужно подключить еще одного прова "Б" в шлюз, и почту с домена domain2.ru слать через прова "Б"

Добавлено:
Мыслю что надо в Керио прописывать правило. Вот только как оно выглядит неочень себе представляю.