» Kerio Control (ex Kerio WinRoute Firewall)

Kamikaze13
читай внимательно Valery12
он не поленился расписать всё круто.

Существует:
DC + керо (7), 2 сетевых, одна на ADSL (2 ppoe соединения), вторая на внутреннюю сетку.
На DC стоит торрент-клиент.
В нерабочее время весь канал с 2-х соединений (512 кб/с на внешку и 2.8 Мб/с на внутреннюю сеть провайдера) отдается торрент-клиенту.

Вопрос:
В рабочее время мне надо отдать (гарантированно) на внутреннюю сетку 50% пропускной способности от первого соединения и 5% от второго. Остальное оставить на торрент, чтоб он даже и не пытался занять остальное.
Поставить ограничение в торрент-клиенте не получается, потому как он не разделяет соединений, а просто ограничивает суммарный трафик.

JC_D
Может скрин всех правил покажешь?

Shweper
Конечно покажу ))

Вот правила



Вот интерфейсы



Ради интереса - перебросил RDP со стандартного порта - то же самое

JC_D
Шайтан какой-то... Полчаса уже втыкаю, всё вроде правильно, у меня в трех местах такое работает. Действительно повключай везде логи на соединение и погляди что пишет при попытке подключиться

РЕШИЛОСЬ

не работает https в NAT (http работает)

вообщем все интерфейсы были в группе "другие"
как только перенес интерфейс который связывался с инетом в группу "Интернет" - https заработал

Valery12
Громадное спасибо за исчерпывающий ответ, а DNSы нельзя было убирать, поднят VPN, в будущем он превратится в туннель который свяжет офисы.

А есть ли возможность в KWF 6.7.1 резать полосу пропускания для отдельных пользователей или для групп? Например бухам 64 кбит на лицо, а начальству 256 кбит.

KOVALok
1. Создай группу BUH куда войдут все бухгалтера
2. KWRF -> Конфигурации -> Ограничение полосы пропускания -> поле Передачи данных большого объема -> ставь галки на Ограничение загрузки (и, если нужно, Ограничение отдачи)
3. вводи, на сколько нужно ограничить
4. Дополнительно -> вкладка Ограничения -> выбирай Применить только к указанной группе адресов
5. Группа IP-адресов -> выбирай созданную в п.1 группу
6. Дополнительно -> вводи порог определения данной передачи как передачи большого объема. Например 256 КБ, 20 сек значит, что при передаче более 256КБ в течение 20сек, данная передача будет считаться передачей большого объема и к ней будет применяться ограничение, проставленное в п.3
7. ОК -> Применить
К сожалению так можно только одну группу создать, но применительно к стоящей перед тобой задаче, достаточно.

Подскажите, к установленному Kerio Control под Linux возможно прикрутить crontab (или еще какие пакеты)?

ребята, для чего этот пункт?


ps пытаюсь решить пробелмы с переодическим зависанием PPoE соед до провайдера, где то раз в неделю повисает.
вот и думаю как заставить керио либо перегружаться раз в неделю либо принудительно рвать подключения например раз в сутки.

terence
я написал не больщой батник

Код:

@set @x=0 /*
@echo off
Set $KKK=0
rem ip Computer
Set $IP=www.mail.ru
:LOOP
cscript //nologo /e:jscript "%~f0" 10000
Ping -n 1 %$IP% >Nul
If ErrorLevel 1 GoTo SDN

cls
echo -----------------
echo Intrnet is Work
echo -----------------
Set $KKK=0
GoTo LOOP

:SDN
cls
echo -----------------
echo INTERNET DON'N WORK
echo -----------------

If %$KKK% EQU 4 GoTo Discon

Set /A $KKK=%$KKK%+1
ECHO %$KKK%
GoTo LOOP

:Discon
ipconfig /flushdns
RASDIAL PPOE /DISCONNECT
Set $KKK=0
cscript //nologo /e:jscript "%~f0" 40000
GoTo LOOP
goto:eof */ if(isFinite(WScript.Arguments(0))) WScript.Sleep(WScript.Arguments(0))

кодинг на уровне вижл басик))))
конечно раскажи, например куда этот скрипт запихивать?

принцип вроде виден, пингуем какой-либо сайт, в данном случае маил, если пинга нет до запускаем какой-то скрипт.

короче интересно, давай подробнее

terence

Цитата:

для чего этот пункт?

Перевод "правильный" Имеется ввиду: Отбой при отсутствии активности ХХ мин.
Что это, думаю понятно.

Подскажите, в чем может быть причина. При запуске Kerio Contro вылетает синий экран и комп перезагружается. Настраиваю впервые поэтому мало что понимаю)))

BOY063
В чем угодно. Например драйвер сетевой карты не подходящий, vmware и т.д. и т.п.
Для начала, убери автоматическую перезагрузку системы при BSOD-е и посмотри, что BSOD сообщает. Потом анализ лога системы, там обязательно написано кто виноват. Как минимум есть намеки. Далее, как ставился КС? Ну, и неплохо бы, так, пущей важности ради, знать систему, на которой все это имеет происходить .

Система винда сервер 2003 А когда комп вкл то выскакиивает окошко "отказ системы : ошибка стоп" 0x000000d1 (0x00000020, 0xd0000002, 0x00000000, 0xaa239ca9)

Здраствуйте
Поставлен Kerio WinRoute Firewall, настроены клиенты, интернет нормально раздаеться.
Пользователям поставлено ограничение обьема трафика, при привышении оного пользователя просто блокирует. В браузере стандартная ошибка страница недоступна.
Можно ли как то перенаправлять пользователя на внутренний сервер? Вообще обработать эту ситуацию с помощью "политики трафика" или "политики Http" Чтоб они (пользователи) знали что это не у меня интернет не работает а трафик у них закончился. Может кто решал эту проблему.

З.Ы.
Про отсылку уведомления через почту я знаю, предлагать не надо.

Доброго дня!
Ребята, есть ситуация, которая полностью ставит в тупик. Помогите, плиз, мозги на место поставмить... или Kerio или мои...
Вот примерно описание вопроса:

Собствено с чего все началось - канал в Мир с 1 М заменили на 100 М.
На шлюзе стоял и стоит Kerio WinRoute Firewall 6.7.1 Patch 2 Released 6544.
На этой же машине стоит FTP сервер доступный из мира. Ограничений на полосу скачивания сейчас нет.

Для тестирования запустили слив из внешнего мира .. и получили скорость ~ 2 Мбайта/сек. Что естественно нас из принципа неустроило.

Подумали что ISP что-то у себя недостроил. Позвонили - поговорили - с их стороны ограничений нет. Поверили, хотя и решили проверить.
Для этого подняли еще один сервер на Win 2K3. На нем подняли FTP и включили на еще один внешний адрес (благо есть они).
Получили скорость отдачи в мир около 8Мбайт/сек.

Почесали репу.... Установили Kerio WinRoute Firewall 6.7.1 Patch 2 Released 6544 на новой машине. .. и получили скорость ~ 2 Мбайта/сек. Аналогично и с 7-кой.

Бр... стало как-то непонятно.. Отключили все что можно лишнего в Kerio. Скорость немного поднялась, но это что-то не то..

Остановили KWF. Скорость опять 8-10 Мбайт/сек. Из принципа решили разобраться где собака порылась.

Сниффером сняли пакеты .. и ужаснулись в полном непонимании происходящего.

Вот, что получили с KWF при пинге на ukr.net :

1 0.000000 00:11:6b:98:8a:d0 ff:ff:ff:ff:ff:ff ARP Who has 195.xxx.xxx.177? Tell 195.xxx.xxx.180
2 0.000020 00:11:6b:98:8a:d0 ff:ff:ff:ff:ff:ff ARP Who has 195.xxx.xxx.177? Tell 195.xxx.xxx.180
3 0.001471 00:17:95:ac:92:e8 00:11:6b:98:8a:d0 ARP 195.xxx.xxx.177 is at 00:17:95:ac:92:e8
4 0.001476 195.xxx.xxx.180 194.xxx.108.2 DNS Standard query A ukr.net 53
5 0.001590 195.xxx.xxx.180 195.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
6 0.003129 194.xxx.108.2 195.xxx.xxx.180 DNS Standard query response A 195.214.195.105 48200
7 0.004308 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=8448/33, ttl=128)
8 0.004378 195.xxx.xxx.180 194.187.108.2 DNS Standard query PTR 105.195.214.195.in-addr.arpa 53
9 0.004405 195.xxx.xxx.180 195.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
10 0.004439 195.xxx.xxx.180 195.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
11 0.005283 194.187.108.2 195.xxx.xxx.180 DNS Standard query response, No such name 1175
12 0.005297 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=8448/33, ttl=61)
13 1.004152 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=8704/34, ttl=128)
14 1.004258 195.xxx.xxx.180 195.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
15 1.005195 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=8704/34, ttl=61)
16 2.004142 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=8960/35, ttl=128)
17 2.004246 195.xxx.xxx.180 195.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
18 2.007344 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=8960/35, ttl=61)
19 3.004130 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=9216/36, ttl=128)
20 3.004235 195.xxx.xxx.180 195.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
21 3.007445 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=9216/36, ttl=61)

А это без KWF:

1 0.000000 00:11:6b:98:8a:d0 ff:ff:ff:ff:ff:ff ARP Who has 195.xxx.xxx.177? Tell 195.xxx.xxx.180
2 0.000017 00:11:6b:98:8a:d0 ff:ff:ff:ff:ff:ff ARP Who has 195.xxx.xxx.177? Tell 195.xxx.xxx.180
3 0.000859 00:17:95:ac:92:e8 00:11:6b:98:8a:d0 ARP 195.xxx.xxx.177 is at 00:17:95:ac:92:e8
4 0.000865 195.xxx.xxx.180 194.187.108.2 DNS Standard query A ukr.net 53
5 0.002090 194.187.108.2 195.xxx.xxx.180 DNS Standard query response A 195.214.195.105 43185
6 0.003237 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=9472/37, ttl=128)
7 0.004276 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=9472/37, ttl=61)
8 1.003179 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=9728/38, ttl=128)
9 1.004214 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=9728/38, ttl=61)
10 2.003166 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=9984/39, ttl=128)
11 2.004036 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=9984/39, ttl=61)
12 3.004137 195.xxx.xxx.180 195.214.195.105 ICMP Echo (ping) request (id=0x0200, seq(be/le)=10240/40, ttl=128)
13 3.005986 195.214.195.105 195.xxx.xxx.180 ICMP Echo (ping) reply (id=0x0200, seq(be/le)=10240/40, ttl=61)


Прошу помощи и мнения All:

- Как завставить KWF работать нормально на отдачу? У кого-то на 100 М/бит сетке стоит KWF? и как работает? Какая реальная скорость отдачи в Мир с FTP сервера в 1 поток?

- ПОЧЕМУ и ОТКУДА идут "левые" ICMP Unknown ICMP (obsolete or malformed?) на шлюз? внутренности этих пакетов аналогичны исходящим перед ними пакетам...

что не пробывали и не смотрели - получается, что при работающем KWF появляются лишние пакеты на шлюз.

Сорри, если что-то непонятно в вопросе и или нужны доп. данные - с удовольствием сообщуь.

З.Ы. Просьба сильно не бить за вопрос, если чего-то непрояснил в нем.

BOY063

Читай, определяй.

Germanus
Спасибо, почитаю)))

Всем привет.
Сразу скажу faq по настройке курил.
НО везде мануал на 6 версию.
Я же поставил 7 linux
все не плохо но нет при прозрачном прокси, переадресации на страницу аутентификации.
Куда копать.
Спасибо.

Rustamodessa
проверяйте DNS

пожалуйста

Такая проблема.
Поставил керео - настроил (сеть одноранговая)
Все работало как часы, но увидел в шапке "ПРАВИЛЬНАЯ настройка DNS и сетевых интерфейсов!!!"
сделал все как там описано (1способ) - и все - перестал раздаватся нет.
вернул настройки назад - тишина. удалял сетевые, обнулял настройки ИП, переставлял керео - не работает.
Получилось запустить нет только на компе, подключенном к АДСЛ модему и только с отключенной второй сетевой.

В чем может быть проблема? куда копать?
спасибо.

LEDRA
логи скрины?

Логи чего?
Если керео - то там вообще не видно что хоть какое то обращение к интернету идет - логи пустые.
Скрины - опять же чего?

LEDRA
Скрины Политик трафика, и логи керио. Они не могут быть пустыми, если он работает. Вероятно настройки сетевого интерфейса неправильны. Как раз в области DNS.

Политики трафика - от "мастера" - все разрешено. С дефолтными настройками и работало до этого.
Как я уже писал - я удалил сетевые, сбросил настройки IP через командную строку, переставил керео - т.е. все вернулось к тому, как было в первый раз - когда работало, - только теперь не работает.
Сетевой интерфейс с настройками по умолчанию.

Комп с керео
сетевая на АДСЛ модем - все настройки берутся автоматом
Сетевая на сеть - 192.168.0.2 (192.168.0.1 - адрес модема)
маска 255.255.255.0
шлюз - пусто
ДНС - и пустым оставлял и вводил 192.168.0.2 и 192.168.0.1 - не помагает.

что-то мне кажется у Вас напутано с IP-адресами.
Цитата:

Сетевая на сеть - 192.168.0.2 (192.168.0.1 - адрес модема)

Адреса карточек смотрящей в интернет и в сеть должны находиться в разных подсетях. Например адрес модема и карточки смотрящей на модем должен быть 192.168.0.Х, а карточки смотрящей в сеть 192.168.1.Х

Цитата:

Адреса карточек смотрящей в интернет и в сеть должны находиться в разных подсетях. Например адрес модема и карточки смотрящей на модем должен быть 192.168.0.Х, а карточки смотрящей в сеть 192.168.1.Х

Мм.. чего вдруг. Не - может быть, спорить не буду, но я первый раз об этом слышу.
И, опять же, повторюсь - первоначально при такой настройке все работало.