» Kerio Control (ex Kerio WinRoute Firewall)

urodliv
Спасибо огромное.... Все работает...

Доброе время суток. Чего то плин так и не получается заблокировать майл агент...все перепробовал что то походу не так делаю( может кто знает как его заблокировать?)

P.S. Заранее благодарен.

Привет Всем.
керио 6.7, можно ли удалить определеные Мб у конкретного пользователья в статистике пользователья?
Если да, то подскажите.
Заранее благодарью!

stoun
поднимаем повыше правило)
destination:
128.69.217.in-addr
178.100.94.in-addr
217.69.128.0-217.69.128.23
94.100.178.0-94.100.189.255
mail.ru
service:
https
tcp 2041
tcp 2042
tcp 2043
tcp 5190
action:
drop


Добавлено:
ofj
нет,можно грохнуть только весь

Добавлено:
AdmDiks
можно, для этого нужно либо поправить "шаблон"кнопка в правом нижнем углу в раздели пользователи.
или если править для отдельного пользователя,то нужно поставить в свойствах пользователя на первой закладке, что он имеет свои настройки, галка над отлчюением пользователя

А можно ли в Software Appliance создать VPN соединение до провайдера с необязательным шифрованием и с незашифрованным паролем (PAP) ?

HedRis
смотри версию 7.1

Народ, объясните пожалуйста на пальцах на сколько полезен Snort?
В моем случаи, Kerio Control прогоняет через себя трафик по 80-ому порту с внешнего мира по туннелю (в городе большая локальная сеть) на организацию, наверно понимаете почему это сделано))
Так же под ним есть небольшая сеть (домашняя) 7 пк инет раздается по НАТ

Есть:
1. Сервер
2. Керио Контрол
3. Вмваре терминальная ОС

Какие правила прописать, что'б на ВМ был инет а на Сервере небыло

VAnO_2

Исходя из твоего развёрнутого и детального описания я состряпал пару правил, которые идеально подходят для решения твоей задачи.
Правила:
1.
Сорс = Сервер
Детс = Интернет
Акшин = Дроп
2.
Сорс = ВМ
Детс = Интернет
Акшин = Аллоу.



Добавлено:
PAV2
Если трафик только по одному порту, то полезность IDS стремится к нулю.

faust72rus ыыы)
не так все просто
на Серваке хттп = дроп
мб тунель создавать надо? или просто порм ВМвары прописать какой-то?


подробнее:
Серв 2008 Р2
Локал 192.168.0.1
Инет 10.10.10.10
Керио Впн

ВМвара ХП

Керио Контрол


Задача:
на серваке инета нихдалжно быть, а на хп пустить инет
в вм ставил мост, хост, нат... в кеорио направлял на ип вм - нихтарбайтен (((

VAnO_2
Попробуйте так:
В вм конфигурация сети - мост.
На вмке шлюзом сервер.
на серваке правило:
IP-виртуалки->Интернет->Any->Allow->NAT
Firewall->Интернет->Any->Drop

если неполучится - выложите ipconfig /all сервера и виртуалки+правила на сервере.

VAnO_2
во первых, проверьте что у вас виртуальная машинка подключена через бриджед вм сетевой интерфейс, ей назначен свой, отличный от хостовой ОС, IP, и уже блокируй на основе IP адресов.

Добавлено:
Romeo_sh
о не заметил верного ответа

Привет Всем!
Стоит Керио 6.7...
Политика траффика:
-----------------------------------------------------------------
Inet -- Firewall-- любой -- разрешить
Firewall -- Lan -- любой -- разрешить
Lan -- Firewall-- любой -- разрешить
Firewall -- Inet -- любой -- разрешить
access -- Inet -- любой -- разрешить -- NAT
------------------------------------------------------------------
access-группа пользователей приклеплен с ip
В Политика НТТР--Прокси сервер вставленно галка на Включить непрозрачный прокси-сервер Порт: 8080
Интернет раздается всем, а хотя должен раздаватся только группе access.
1. Подскажите где и как изменить чтоб только членам access был доступ к инету?
2. и еще утром у некоторых пользователей не принемается почта(The Bat), если эти пользователи заходят на какой нить сайт потом почта будет принимать и отправлять письма. Подскажите где проблема и где нужно изменить.
Заранее СПС!

ofj
Сделай скриншот политики и странички с настройками прокси, что то ты не договариваешь. (не забудь все белые адреса замазать если есть)

Romeo_sh вот ёмаё, забыл про трансяцию)))
спасибо огромное, пашеД

faust72rus
политика
http://www.10pix.ru/img1/3002/3093811.jpg
и настройка прокси
http://www.10pix.ru/img1/3066/3093816.jpg

ofj
1. Сделай 7 правило LAN -> Inet (только тут не карта сетевая а именно WAN - абстракция) = Drop
2. Они не могут авторизоваться пока не зайдут по вебу видимо. Делай исключение для 25\110 портов (хотя может кто то подскажет в чём проблема)

Цитата:

только тут не карта сетевая а именно WAN - абстракция

я что-то не понял, можно по подробнее.?

ofj


Цитата:

я что-то не понял, можно по подробнее.?

т.е. когда добавляешь "назначение" в правило то в диалоге "Сеть подключена к...", выбираешь "Интернет интерфейсы", а не сетевую карту из списка - так кошернее считается среди кериоводов

Добавлено:
А к вопросу, что они не могут выйти по смтп, прежде чем не зайдут через веб - это нужно снять галку "всегда требовать аутентификации польз. при доступе к веб-страницам" в параметрах аутенитификации.

ofj
Romeo_sh
Я не из соображений "кошерности" советую +) (хотя из-за них тоже)
Просто в полисях стоит распределение нагрузки в НАТ, значит интерфейсов несколько, значит нужна абстракция, а не отдельная сетевая карта.

Romeo_sh

Цитата:

А к вопросу, что они не могут выйти по смтп, прежде чем не зайдут через веб - это нужно снять галку "всегда требовать аутентификации польз. при доступе к веб-страницам" в параметрах аутенитификации.

у меня галка на "Включить автоматическое выполнение аунтентификации пользователья веб-обозревателья"- я убрал и эту галку и перезапустил керио. Все равно не полчается.

faust72rus

Цитата:

Сделай 7 правило LAN -> Inet (только тут не карта сетевая а именно WAN - абстракция) = Drop

Сделал, но не работет, любой чел. в браузере задаст прокси-сервер, то он получит интернет
Как сдалать чтоб только access получили доступ к инету?

ofj
Привило:

Любой чел -> Firewall -> Proxy - > Deny

не подойдёт?

ofj

Цитата:

А к вопросу, что они не могут выйти по смтп, прежде чем не зайдут через веб - это нужно снять галку "всегда требовать аутентификации польз. при доступе к веб-страницам" в параметрах аутенитификации.
у меня галка на "Включить автоматическое выполнение аунтентификации пользователья веб-обозревателья"- я убрал и эту галку и перезапустил керио. Все равно не полчается.

так это же разные галки...


А не понимаю, зачем вообще вы сделали инет через прокси? Ведь прекрасно работает стандартная авторизация, когда указывается шлюз в настройках dhcp, а потом при выходе в инет клиент авторизуется через браузер, можно автоматически.

Romeo_sh

Цитата:

так это же разные галки...

вот я и об этом.


Цитата:

А не понимаю, зачем вообще вы сделали инет через прокси? Ведь прекрасно работает стандартная авторизация, когда указывается шлюз в настройках dhcp, а потом при выходе в инет клиент авторизуется через браузер, можно автоматически.

Если не трудно, скажите где и как изменть чтоб все работало как Вы сказали.
Заранее благодарен.

ofj
На всех компах должен быть прописан шлюз - сервер с керио.

сделать правило
Юзеры->Инет->HTTP,SMPT,...->Allow->NAT

Проставить галочку
всегда требовать аутентификации польз. при доступе к веб-страницам

Если еще настроите маппинг пользователей из АД и проставите
Включить автоматическое выполнение аунтентификации пользователья веб-обозревателя
то инет будет автоматом даваться без ввода пароля, как только они запустят браузер.

вообще в мануале к керио все это расписано более подробно, так что если так будет не понятно, то прочитайте подробное описание, а там уже что непонятно будет - подскажем.

faust72rus

Цитата:

Любой чел -> Firewall -> Proxy - > Deny

не получается.

Ребята я что-то запутался в этих политиках.
Если сможете сделайти политику от 1-ой до последней.
Задача состоит в том, что в организации имеются 2 группы(inet, post). inet-у интернет полностью(включая почту) а post -только почта корпоративная(cor.mail.ru, ip -95.142.80.11)

ofj
Как ты идентифицируешь пользователей? По IP или по логин\паролю?

faust72rus
по ip

ofj
Т.е. в поле IP у каждого пользователя забит его адрес или в списках адресов есть две группы? Ну не важно

Политики в общем случае (без прокси):

Internet -> Firewall -> Какиетосервисы = Allow
Firewall -> Internet -> Какиетосервисы = Allow
Группа 1 -> Internet -> Разрешённые сервисы = Allow -> NAT
Группа 1 -> Internet -> Всё = Deny
Группа 2 -> Internet -> Разрешённые сервисы = Allow -> NAT
Группа 2 -> Internet -> Всё = Deny
Local -> Firewall = Allow
Firewall -> Local = Allow
All -> All = Deny

Вопросы?