» Kerio WinRoute Firewall (часть 5)

УРА!!! Я подружил Керио 6.6.0 дома и Аутпост Про последний!)) Все работает, траф считаеться, приложения лишние ходят в лес)))))) УРА!

BigBear
Правила маршрутизации, ipconfig и route /print с керио и с машины на которую МАРится порт...

Добавлено:
DJ_Diablo


Цитата:

УРА!!! Я подружил Керио 6.6.0 дома и Аутпост Про последний!)) Все работает, траф считаеться, приложения лишние ходят в лес)))))) УРА!

Я конечно, несказанно рад за Вас коллега и дабы полностью разделить радость от Вашего достижения, в таком поистине великом начинании, как совмещение не совмещаемого, не могли бы Вы толком объяснить нах это вообще нужно? Или это новый вид извращения???

Нада для того, чтобы керио обсчитывал трафик хотящий с моего компа и держал VPN туннель, а Аутпост для того, чтоб лишнее никуда не ходило по уже открытым портам на керио! Вопрос другой, щас вот смотрю ФТП у меня не пашет из локалки....(((
Сделал вот как люди пишут в Аутпосте
Правило 1:
Гдe пpoтoкoл TCP
и Гдe нaпpaвлeниe Bxодящee
и Гдe лoкaльный пopт FTP
Paзpeшить эти дaнныe
Щелкните ОК, чтобы сохранить правило.

Правило 2:
Гдe пpoтoкoл TCP
и Гдe нaпpaвлeниe Исxодящee
и Гдe лoкaльный пopт FTPDATA
Paзpeшить эти дaнныe
Щелкните ОК, чтобы сохранить правило.

Правило 3:
Гдe пpoтoкoл TCP
и Гдe нaпpaвлeниe Вxодящee
и Гдe лoкaльный пopт (введите диапазон номеров: 1024-65535)
Paзpeшить эти дaнныe
Щелкните ОК, чтобы сохранить правило.

В керио у меня вообще всегда правило откуда и куда ANY служба FTP и инспектор FTP и все всегда гуляло!)))

Щас вот не могу цепануться к себе, думал аутпост - вырубал нифига, остановил керио, сразу защел! ФТП Сервер Serv-U в пассивном на 21 порту, слушает ANY


Щас вообще удалил Правило 1,2,3 и просту тупо серву сказал в правилах разрешать всю активность, без керио цепляюсь гуд и аутпост пишет что и где открываеться..
SERV-U.EXE    TCP    192.168.2.10    1199    Allow all activity for SERV-U.EXE    2 246    244
Врубаю керио и опять тишина!
На винроутные все экзешники стоит тоже полный доступ
WINROUTE.EXE    UDP    192.168.2.1    DNS    Allow all activity for WINROUTE.EXE    73    169

Ruza

Windows IP Configuration

Host Name . . . . . . . . . . . . : router1
Primary Dns Suffix . . . . . . . : xxx.kz
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : Yes
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : xxx.kz

Ethernet adapter LocalLan:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) PRO/1000 MT Network Connection
Physical Address. . . . . . . . . : 00-0E-0C-3D-F8-BF
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.1.1
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :
DNS Servers . . . . . . . . . . . : 192.168.1.1

Ethernet adapter WAN:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : 3Com EtherLink XL 10/100 PCI TX NIC (3C90
5B-TX)
Physical Address. . . . . . . . . : 00-50-04-09-D5-2B
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : x.x.x.158
Subnet Mask . . . . . . . . . . . : 255.255.255.252
Default Gateway . . . . . . . . . : x.x.x.157
DNS Servers . . . . . . . . . . . : 192.168.1.1


IPv4 Route Table
=========================================================================
Interface List
0x1 ........................... MS TCP Loopback interface
0x2 ...00 0e 0c 3d f8 bf ...... Intel(R) PRO/1000 MT Network Connection -
WinRoute Firewall
0x10004 ...00 50 04 09 d5 2b ...... 3Com EtherLink XL 10/100 PCI TX NIC (
TX) - Kerio WinRoute Firewall
=========================================================================
=========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metr
0.0.0.0 0.0.0.0 92.46.46.157 92.46.46.158
92.46.46.156 255.255.255.252 92.46.46.158 92.46.46.158
92.46.46.158 255.255.255.255 127.0.0.1 127.0.0.1
92.255.255.255 255.255.255.255 92.46.46.158 92.46.46.158
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1
192.168.1.0 255.255.255.0 192.168.1.1 192.168.1.1
192.168.1.1 255.255.255.255 127.0.0.1 127.0.0.1
192.168.1.255 255.255.255.255 192.168.1.1 192.168.1.1
224.0.0.0 240.0.0.0 92.46.46.158 92.46.46.158
224.0.0.0 240.0.0.0 192.168.1.1 192.168.1.1
255.255.255.255 255.255.255.255 92.46.46.158 92.46.46.158
255.255.255.255 255.255.255.255 192.168.1.1 192.168.1.1
Default Gateway: 92.46.46.157
=========================================================================
Persistent Routes:
None
Со второй машины сейчас дать не могу - другой конец города
трафик полиси я выкладывал - выложить еще раз?
на терминальный сервак с других машин сеи все конектится без проблем - там бухи работают

Короче гемор) Такая связка прокатит если на компе нет сервисов нужных для доступа из сети, тоесть тупо сервить с такого компа) Все входящие протоколы типа FTP или HTTP на такую тачку не проходят при одновременно включенных ФАЕРАХ...Жаль( А цель была так близка

Возможно ли отправить сигнал сервису winroute, типа нажатие кнопки "Применить" в консоли администрирования.

Требуется для обновления квот пользователей не рестартуя сервис. т.е. изменяем userdb и отправляем сигнал сервису чтоб он подхватил новую базу пользователей.

VOLVO
думаю нет - что бы подхватить измененный конфиг нужна перезагрузка сервиса

вопрос в другом - а зачем так? админ панель совсем ни как не заюзать?

в 6.7 обещают сделать вебадминистрирование - то же вариант.

DJ_Diablo
два низкоуровненвых фаера - обещают геморой жуткий 100% не там так здесь.
хотя - согласен - может быть керио и не помешал контроль не только по портам но и по приложениям - понимаю и соглашаюсь что керио не того уровня фаер и все такое - но как минимум смотреть что за приложение с самого сервака лезет в интернет то же могло бы быть полезным.

BigBear
не совсем понял задачу - вы хотите терминальное подключение к машине стоящей в нутри сетки? или радмином зайти на машину стоящую внутри сетки? с радмином я в свое время тюкался то же - действительно как ни плясал не мапится порт и все тут - но на самом деле и не нужно %) ведь на машину с самим керио заходит радмин? заходит. а в клиенте радмина просто ставишь галку в настройках соединения той машины в нутри сети - что подключение производить через машину на которой стоит керио - и все работает отлично уже не в одной сетке проверено.

Hrist
Проблема в другом
Я вообще не могу ничего промапить внутрь сети. НИЧЕГО
И с машны с керио я тоже попасть никуда не могу (хотя внути сети все работает)

Помогите плс. До этого времени не работал с Керио. Проблема пока такая: после 7 часов вечера скорость интернета в из локальной сети падает до неприличия . В настройах и правилах ничего ограничивающего не нашел (может плохо искал).

в bandwith limiter никаких ограничений нет. Спасибо заранее.

Версия 6,4,0.

DJ_Diablo

Цитата:

Нада для того, чтобы керио обсчитывал трафик хотящий с моего компа и держал VPN туннель, а Аутпост для того, чтоб лишнее никуда не ходило по уже открытым портам на керио!

Ну так tmeter (dumeter) + openvpn + Outpost по идее решат ту же проблему но без BDSM...

BigBear

Цитата:

трафик полиси я выкладывал - выложить еще раз?

Дал бы линку на пост что ли... Я не особо слежу за темой и искать отдельный пост довольно лениво...

Цитата:

на терминальный сервак с других машин сеи все конектится без проблем

Да не суть кто "входит и выходит" ты route /print с него покажи...
Удалённая машина не особо нужна...

Сервак две сетевухи
Стоит Керио WinRouteFirewall 6.5.0

Появилась такая проблема
перегрузил сервер
и Служба "Телефония" запускаеться и сразу останавливаеться
из- за этого не работает подключение удаленного доступа

В логах пишет:
Служба "Телефония" на "Локальный компьютер" была запущена и затем остановлена. Некоторые службы автоматически останавливаются, если им нечего делать, например,
служба журналов и оповещений производительности.

независимо от того запущена ли KWF

Может это не совсем проблема Керио
не пинайте сильно - просто скажите где копать.

kerio firewall 6.5.2 - "статистика пользователей", закладка "по объему трафика" я каждый месяц распечатываю отчет о потреблении трафика, интересен только входящий, хочу отделить трафик по протоколам почты(у всех пользователей стоят почтовые клиенты) и интернет. В этой вкладке("по объему трафика") можно выбрать протоколы web ,ftp и т.д. но при выборе протокола отображается лишь общий трафик, можно ли отобразить входящий по протоколу?

Столкнулся с задачей: учета статистики входящего трафика по пользователям организации.
Когда пользователи аутоинтефицируются используя внутреннюю базу данных все норм, статистика ведется. Захотел сделать аутоинтефикацию под доменными учетными записями и тут возникла проблема: KWF 6.5.5 сопоставляет пользователей домена с пользователями внутренней базы данных только если в свойствах пользователся указать его ip, иначе аутоентификация проходит но сопоставления нет => статистика не ведется.
Возможно ли решение проблемы без привязки пользователей к ip?

с dyndns опять трабла:
прописал все как надо, на динднс конечно создал хост, пишет ошибку при нажатии обновитьв керио: сообщение об ошибке динамического ДНС-сервера 'nohost'. подскажи что делать, плз?

А возможно ли редактировать статистику в керио. речь про биллинг.
Неверно, в начале, настроил его и он посчитал не только то, что через pptp фейс шло, но и по локалке. благо, в такой момент лишь один пользователь по локалке ходил и инет в тот момент не работал. легко отнять.

собственно, вопрос. может, кто в курсе.

Хотелось бы вернуться к своему вопросу. Удалось получить [more=следующую]PERMIT "Enable RDP" packet from ADSL, proto:TCP, len:52, ip/port:Клиент_IP:21979 -> IP_pppOe:3389, flags: SYN , seq:472191156 ack:0, win:65535, tcplen:0
PERMIT "Enable RDP" packet to LocalNet, proto:TCP, len:52, ip/port:Клиент_IP:21979 -> IP_LockServer:3389, flags: SYN , seq:472191156 ack:0, win:65535, tcplen:0
PERMIT "Enable RDP" packet from ADSL, proto:TCP, len:52, ip/port:Клиент_IP:21979 -> IP_pppOe:3389, flags: SYN , seq:472191156 ack:0, win:65535, tcplen:0
PERMIT "Enable RDP" packet to LocalNet, proto:TCP, len:52, ip/port:Клиент_IP:21979 -> IP_LockServer:3389, flags: SYN , seq:472191156 ack:0, win:65535, tcplen:0
PERMIT "Enable RDP" packet from ADSL, proto:TCP, len:52, ip/port:Клиент_IP:21979 -> IP_pppOe:3389, flags: SYN , seq:472191156 ack:0, win:65535, tcplen:0
PERMIT "Enable RDP" packet to LocalNet, proto:TCP, len:52, ip/port:Клиент_IP:21979 -> IP_LockServer:3389, flags: SYN , seq:472191156 ack:0, win:65535, tcplen:0

ADSL - название(имя) соединения pppOe для дозвона к провайдеру.
LocalNet - интерфейс, смотрящий в локальную сеть.
IP_pppOe - IP адрес получаемый от провайдера при установлении соединения ADSL.
IP_LockServer - IP адрес внутреннего терминального сервера к которому нужно подключиься.

[/more] инфу в логах Керио. Т.е вроде и правило срабатывает и мэпинг. Что-то с авторизацией на внутреннем сервере или что. Не пойму.

Цитата:

Проблема в другом
Я вообще не могу ничего промапить внутрь сети. НИЧЕГО

понятно. если честно то у меня то же - правда задачи были не критичные и я забил.
а уж как не пытался - там вобщем то и крутить нечего - и казалось бы элементарное правило - и ведь оно как бы работае - т.е. коннект есть, программа работать начинает - а по сути вылет, глюки и прочее - почти не рабочее решение...



Цитата:

И с машны с керио я тоже попасть никуда не могу (хотя внути сети все работает)

а вот это уже очень и очень странно! с машины керио в сетку идет верхнее постейшее правило открывающее все порты и все такое? так ведь? и на сетевухе смотярщей в сетку вы не ставили шлюза и днс? комп не в домене?

тут нужен скриншот тарфик полисей и результаты комманд
ipconfig /all
print route
с пояснениями - какой ип и какая сетевуха зачем и на что смотрит

Всем привет! Подскажите, можно ли сделать, так, чтоб керио требовал авторизацию для всех сайтов, коме одного или двух??? А то тут у меня такая ситуация, что есть внутренний корпоративный сайт, и когда на него пытаются зайти люди из филиалов (филиалы со мной по ВПН соединены), то натыкаются на веб автризацию.

technotrance
попробуй добавить в "политику HTTP" правило, разрешающее вход на http://your-corp-site любым пользователям без аутентификации с любого IP.

Хорошо. задам вопрос иначе.
Можно ли базу статистики kerio загнать в mysql?
Как, если бы статистика считалась через ipcad (Linux/*BSD)

Ребята есть вопрос. Суть: есть 2 сети так называемая "внешняя", та что у провайдера (GoldenTelecom) с адресным пространством вида 10.0.0.0 и "внутренняя", по которой раздается инет по ICS в квартире с адресным пространством вида 192.168.0.1. В компе 2 сетевые карты, по одной инет от GoldenTelecom, по другой идет раздача инета на все остальные компы в квартире. Сам вопрос - нужно сделать так, чтобы был выход во "внешнюю" сеть у компов из "внутренней"? По идее нужно сделать маршрутизацию между сетями, но как? Спасибо за ответы!

Dem0N91
Тебя что в Гугле забанили?
набери в поисковике "строим сеть подключаем интернет" - море инфы

Dem0N91
#по твоему вопросу №1
echo 1 > /proc/sys/net/ipv4/ip_forward
# Увеличение размера очередей
echo 32000000 > /proc/sys/net/ipv4/netfilter/ip_conntrack_max
# Время ожидания до закрытия соединения
echo 14400 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
# Время ожидания до посылки FIN пакета
echo 60 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_fin_wait
# Время ожидания до посылки FIN пакета
echo 10 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_syn_sent
# Для защиты от syn флуда
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
# Увеличиваем размер backlog очереди
echo 1280 > /proc/sys/net/ipv4/tcp_max_syn_backlog
# Число начальных SYN и SYNACK пересылок для TCP соединения
echo 4 > /proc/sys/net/ipv4/tcp_synack_retries
echo 4 > /proc/sys/net/ipv4/tcp_syn_retries
#Сколько секунд ожидать приема FIN до полного закрытия сокета
echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
# Как часто посылать сообщение о поддержании keep alive соединения
echo 1800 > /proc/sys/net/ipv4/tcp_keepalive_time
# Сколько пакетов проверки keepalive посылать, прежде чем соединение будет закрыто.
echo 2 > /proc/sys/net/ipv4/tcp_keepalive_probes
# Зaпрещаем TCP window scaling
echo 0 > /proc/sys/net/ipv4/tcp_window_scaling
# Запрещаем selective acknowledgements, RFC2018
echo 0 > /proc/sys/net/ipv4/tcp_sack
# Запрещаем TCP timestamps, RFC1323
echo 0 > /proc/sys/net/ipv4/tcp_timestamps
# Уличиваем размер буфера для приема и отправки данных через сокеты.

echo 1048576 > /proc/sys/net/core/rmem_max
echo 1048576 > /proc/sys/net/core/rmem_default
echo 1048576 > /proc/sys/net/core/wmem_max
echo 1048576 > /proc/sys/net/core/wmem_default
# Через какое время убивать соединеие закрытое на нашей стороне
echo 1 > /proc/sys/net/ipv4/tcp_orphan_retries

#по твоему вопросу №2
iptables -t nat -A POSTROUTING -s 192.168.0.2 -o $OUT -j MASQUERADE
#где 192.168.0.2 - адрес, который нужно разрешить

шутка))))))

блин.. вот зачем забивать ветку. ведь, разжевано же...
пипец.
одинм словом - ветка по керио. вот, связался-то с ним, его маму.

Повторю вопрос:
"возможно ли редактировать статистику в керио. речь про биллинг.
Неверно, в начале, настроил его и он посчитал не только то, что через pptp фейс шло, но и по локалке. благо, в такой момент лишь один пользователь по локалке ходил и инет в тот момент не работал. легко отнять. "

у меня следующая проблема...ка ктолько включаю керио, то сразу пропадает инет в браузере...в чем причина?уже все правила подуалял..а инета нет....в аську зашло....

Добрый день,
Помогите решить проблему.
Есть сервер роутер: 192.168.0.1
Есть клиенты: 192.168.0.ххх
Есть интернет интерфейс: 10.0.0.1
Есть интернет PPPoE соединение с постоянным адресом: 89.209.81.183

Помечу со следующими настройками KWF клиенты не могут ходить в интренет?
P.S.: Проблема появилась после обновления до версии: 6.6.0. До этого все работало (но все настройки делал заново, может где-то ошибся?)





Добавлено:
Никаких идей?

SLDay
А, вот, в таком виде выложить - не судьба?

"Добрый день,
Помогите решить проблему.
Есть сервер роутер: 192.168.0.1
Есть клиенты: 192.168.0.ххх
Есть интернет интерфейс: 10.0.0.1
Есть интернет PPPoE соединение с постоянным адресом: 89.209.81.183

Помечу со следующими настройками KWF клиенты не могут ходить в интренет?
P.S.: Проблема появилась после обновления до версии: 6.6.0. До этого все работало (но все настройки делал заново, может где-то ошибся?)






Добавлено:
Никаких идей?"

ппц. я реально попал к "пользователям kerio", похоже))

если это так принципиально - пожалуйста... только вот вопрос остался не решенным

SLDay
ты не все показал. добавлены ли пользователи. как авторизация оных идет.

кстати. вопрос всем. а разве нельзя отобразить удобочитаемые конфиги этой программы. только, скриншоты?

[more=пример конфига у меня]
OUT="eth0" # Имя исходящего интерфейса, смотрящего в интернет.
OUTADDR="172.16.10.1" # Адрес исходящего интерфейса
IN="eth1" # Имя входящего интерфейса, смотрящего в локальную сеть
INADDR="172.16.11.1" # Адрес входящего интерфейса
NETWORK="172.16.11.0/24" # Адресация вашей локальной сети
ANYWHERE="0.0.0.0/0" # Назначение, любое.
PORTS="1024:65535" # Порты, которые считаются локальными
MULTICAST="224.0.0.0/4" # Мультикаст пакеты, если у вас не используется оставьте как есть,

##############################################################################################
case "$1" in
stop)
echo "Shutting down firewall..."

iptables --flush
iptables --delete-chain
iptables --table nat --flush
iptables --table filter --flush
iptables --table nat --delete-chain
iptables --table filter --delete-chain

iptables -t filter -P INPUT ACCEPT
iptables -t filter -P OUTPUT ACCEPT
iptables -t filter -P FORWARD ACCEPT

echo "...done"
;;
status)
echo $"Table: filter"
iptables --list
echo $"Table: nat"
iptables -t nat --list
;;
restart|reload)
$0 stop
$0 start
;;

##############################################################################################
start)
echo "Starting Firewall..."
echo ""

iptables --flush
iptables --delete-chain
iptables --table nat --flush
iptables --table filter --flush
iptables --table nat --delete-chain
iptables --table filter --delete-chain

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

modprobe ip_nat_ftp
modprobe ip_nat_pptp
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc

# Изменение параметров SYSCTL
# Включение форвардинга
echo 1 > /proc/sys/net/ipv4/ip_forward
# Включение форвардинга для VPN
#echo 1 > /proc/sys/net/ipv4/ip_dynaddr
# Увеличение размера очередей
echo 32000000 > /proc/sys/net/ipv4/netfilter/ip_conntrack_max
# Время ожидания до закрытия соединения
echo 14400 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
# Время ожидания до посылки FIN пакета
echo 60 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_fin_wait
# Время ожидания до посылки FIN пакета
echo 10 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_syn_sent
# Для защиты от syn флуда
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
# Увеличиваем размер backlog очереди
echo 1280 > /proc/sys/net/ipv4/tcp_max_syn_backlog
# Число начальных SYN и SYNACK пересылок для TCP соединения
echo 4 > /proc/sys/net/ipv4/tcp_synack_retries
echo 4 > /proc/sys/net/ipv4/tcp_syn_retries
#Какие порты использовать в качестве локальных TCP и UDP портов
echo "16384 61000" > /proc/sys/net/ipv4/ip_local_port_range
#Сколько секунд ожидать приема FIN до полного закрытия сокета
echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
# Как часто посылать сообщение о поддержании keep alive соединения
echo 1800 > /proc/sys/net/ipv4/tcp_keepalive_time
# Сколько пакетов проверки keepalive посылать, прежде чем соединение будет закрыто.
echo 2 > /proc/sys/net/ipv4/tcp_keepalive_probes
# Зaпрещаем TCP window scaling
echo 0 > /proc/sys/net/ipv4/tcp_window_scaling
# Запрещаем selective acknowledgements, RFC2018
echo 0 > /proc/sys/net/ipv4/tcp_sack
# Запрещаем TCP timestamps, RFC1323
echo 0 > /proc/sys/net/ipv4/tcp_timestamps
# Уличиваем размер буфера для приема и отправки данных через сокеты.
echo 1048576 > /proc/sys/net/core/rmem_max
echo 1048576 > /proc/sys/net/core/rmem_default
echo 1048576 > /proc/sys/net/core/wmem_max
echo 1048576 > /proc/sys/net/core/wmem_default
# Через какое время убивать соединеие закрытое на нашей стороне
echo 1 > /proc/sys/net/ipv4/tcp_orphan_retries

##############################################################################################

# Silently Drop Stealth Scans
# All of the bits are cleared
iptables -A INPUT -p icmp --icmp-type timestamp-request -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
# SYN and FIN are both set
iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
# SYN and RST are both set
iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
# FIN and RST are both set
iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
# FIN is the only bit set, without the expected accompanying ACK
iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP
# PSH is the only bit set, without the expected accompanying ACK
iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP
# URG is the only bit set, without the expected accompanying ACK
iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP

##############################################################################################

# Multicast - ignore
iptables -A INPUT -s $MULTICAST -j DROP
iptables -A INPUT -d $MULTICAST -j DROP

# any established or related conns are welcome
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Loopback
iptables -A INPUT -i lo -j ACCEPT

# Statistics and auths for customers, ping tests
for net_ips in $NETWORK; do

iptables -A INPUT -p icmp -i $IN --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp -i $OUT --icmp-type echo-request -j ACCEPT

done

############ Открываем нужные нам порты.
# FTP
iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT
# PASSIVE FTP
iptables -t filter -A INPUT -p tcp -m tcp --dport 50000:50500 -m state --state NEW -j ACCEPT
iptables -t filter -A INPUT -p udp -m udp --dport 50000:50500 -m state --state NEW -j ACCEPT
# APACHE
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT

########### OUTPUT

iptables -A OUTPUT -p icmp --icmp-type timestamp-reply -j DROP

########### NAT Вписываем сюда IP своих компьютеров в локальной сети.

iptables -t nat -A POSTROUTING -s 172.16.11.3 -o $OUT -j MASQUERADE

############ PORT FORWARD Сюда вписываем проброс портов локальную сеть.

#iptables -t nat -A PREROUTING -p tcp -d $OUTADDR --dport 8230 -j DNAT --to-destination 2.2.2.10:8230
#iptables -t filter -A FORWARD -i $OUT -d 2.2.2.10 -p tcp --dport 8230 -j ACCEPT

echo "...done"

echo "--> IPTABLES firewall loaded/activated <--"
##--------------------------------End Firewall---------------------------------##

;;
*)
echo "Usage: firewall (start|stop|restart|status) EXTIF INTIF"
exit 1
esac

exit 0
[/more]
все видно. найти можно. не нужно постоянно перебегать, кликая по вкладкам. да, и показать удобно, если какие проблемы.

Добавлено:
эх...
мне бы базу статистики перенести в mysql, из керио..
руками перезабью..

dariusii
при чем тут авторизация пользователей? я их никогда не забивал и без них все отлично работала...

SLDay
где про это написано, что ты этого не делал.

hint: у тебя журнал выключен.