» Kerio Control (ex Kerio WinRoute Firewall)

Добрый день. Server 2008 + Kerio Control 7.0.1
Имеется корпоративная сеть, пользователи которой делятся на 2 группы:

1. постоянные сотрудники нашей компании - у них должен быть интернет, почта, агент и тд
2. приезжающие сотрудники подрядчиков - у них должны быть почта+агент+выход на 1 сайт

DHCP раздает IP-адреса, созданы учетные записи пользователей с заданными IP адресами, сделано 2 группы, названы Интернет и Почта.

Создаю такое правило:

http://s017.radikal.ru/i425/1111/80/8db5e1a5c61f.jpg

Перезагружаю службу Kerio..

..и всё становится колом.

В активных хостах отобржажается только firewall и никто никуда не ходит

никто не подскажет куда копать?

ребят?

WhoIsInsik
читайте вот это: http://manuals.kerio.com/control/adminguide/en/sect-usersinrules.html

решил попробовать версию под линуксом, подскажите как мак адрес сетевой карты сменить? у провайдера привязка. в интерфейсе не нашел что-то

Tihon_one
читал ведь

Ес
..."если хотите задать интернет только для определенных пользователей или групп, выберите их как источник.." - выбрал группу "Интернет", направление "Интернет", служба - любая, разрешить, НАТ

добавил 2 правила в HTTP Политике:
- правило "Разрешить WWW группе Интернет"
- правило "любой пользователь - запретить доступ к веб-узлу"

Так у группы "Интернет" есть, у остальных нету.

Теперь есть 2я группа, которой нужно дать доступ на ICQ, Mail.ru агент и Почту.

Делаю выше правило для группы "Почта":

Источник - Почта; Направление - Интернет; Службы ICQ, Mail.ru, POP3, SMTP; действие - разрешить; НАТ

и у них все равно ничего не происходит

VPN через Kerio и проблема с аутентификацией по айпи

описание схемы:
Есть две сети, первая с домен контроллером (адрес сети 192.168.1.0), вторая рабочая группа (адрес сети 192.168.3.0). Есть общий провайдер, который предоставил нам VPN канал между этими офисами. VPN канал не на уровне интерфейса, а на уровне их внутренних шлюзов. Адреса шлюзов следующие:
1. 192.168.6.1, который смотрит в сторону сети 192.168.1.0
2. 192.168.10.1, который смотрит в сторону сети 192.168.3.0

Для полной надежности, чтобы админы провайдера (да и любые другие не нужные элементы) не могли сниферить, мониторить и т.п. трафик проходящий через их шлюзы, я поставил с наших сторон по шлюзу, где поднял Kerio Control с VPN сервером. Это пришлось делать из-за конфиденциальности передаваемого трафика.
На скриншоте привожу кусок правил Керио.

С обеих сторон он идентичный. всем машинам в сетях задал соответствующие маршруты со шлюзами, т.е. из сети 192.168.1.0 ходить в 192.168.3.0 через шлюз1 и из сети 192.168.3.0 ходить в 192.168.1.0 через шлюз2.
Получается следующая ситуация, что люди которые заходят с сети 192.168.3.0 идентифицируются в сети 192.168.1.0 от адреса шлюза в данной сети. И наоборот.
что не очень удобно, так шлюз выхода в интернет для обех сторон находится в первой сети. Достаточно принести любое устройство, подрубить его ко второй сети, забить там шлюх выхода в инет и данное устройство выпустит в инет, так как оно будет выходить через NAT VPN шлюза.
Вопрос, как сделать так, чтобы компы со второй сети выходя в первую сеть, все таки проходили аутентификацию имея свои айпи. Понимаю, что этого не добъешся через NAT. Но без NAT не получается сделать VPN канал между офисами.
Помогите люди добрые советами!

Цитата:

Tihon_one
читал ведь

Ес
..."если хотите задать интернет только для определенных пользователей или групп, выберите их как источник.." - выбрал группу "Интернет", направление "Интернет", служба - любая, разрешить, НАТ

добавил 2 правила в HTTP Политике:
- правило "Разрешить WWW группе Интернет"
- правило "любой пользователь - запретить доступ к веб-узлу"

Так у группы "Интернет" есть, у остальных нету.

Теперь есть 2я группа, которой нужно дать доступ на ICQ, Mail.ru агент и Почту.

Делаю выше правило для группы "Почта":

Источник - Почта; Направление - Интернет; Службы ICQ, Mail.ru, POP3, SMTP; действие - разрешить; НАТ

и у них все равно ничего не происходит

Ерунда, сделал рестарт сервера и снова никто никуда не ходит.

WhoIsInsik авторизация юзеров по IP?

созданы пользователи, пользователям во вкладке IP-адреса присвоены заданные IP-адреса
веб-аутентификации нет, непрозрачный прокси отключен

Группа "Почта" всё же заработала и я даже сделал для этой группы правило выхода в Интернет по времени и это правило работало! =)

Но вот когда я добавил нового пользователя и закрепил его за группой "Интернет", правило для него уже не работало

и после:
перезагрузил сервисы Kerio и у всех всё пропало, ээх, чертяга такая )

ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : SERVER
Основной DNS-суффикс . . . . . . : tpt.tpt
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Да
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : tpt.tpt

Ethernet adapter внешняя:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : D-Link DFE-520TX PCI Fast Ethernet Adapter
Физический адрес. . . . . . . . . : 00-26-5A-79-96-A4
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 82.194.*.*(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 82.194.*.*
DNS-серверы. . . . . . . . . . . : 192.168.0.1
NetBios через TCP/IP. . . . . . . . : Включен

Ethernet adapter внутренняя:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Realtek RTL8168D/8111D Family PCI Gigabit Ethernet
Физический адрес. . . . . . . . . : 00-25-22-4B-34-EC
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 192.168.0.1(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . :
DNS-серверы. . . . . . . . . . . : 192.168.0.1
NetBios через TCP/IP. . . . . . . . : Включен

Ethernet adapter Подключение по локальной сети 24:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Kerio Virtual Network Adapter
Физический адрес. . . . . . . . . : 44-45-53-54-4F-53
DHCP включен. . . . . . . . . . . : Да
Автонастройка включена. . . . . . : Да
Локальный IPv6-адрес канала . . . : fe80::6004:8848:5b37:a353%16(Основной)
IPv4-адрес. . . . . . . . . . . . : 172.27.184.1(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Аренда получена. . . . . . . . . . : 18 ноября 2011 г. 16:37:41
Срок аренды истекает. . . . . . . . . . : 19 ноября 2011 г. 16:37:40
Основной шлюз. . . . . . . . . :
DHCP-сервер. . . . . . . . . . . : 172.27.184.2
DNS-серверы. . . . . . . . . . . : fec0:0:0:ffff::1%1
fec0:0:0:ffff::2%1
fec0:0:0:ffff::3%1
NetBios через TCP/IP. . . . . . . . : Отключен

Туннельный адаптер Подключение по локальной сети* 9:

Состояние носителя. . . . . . . . : Носитель отключен
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
Физический адрес. . . . . . . . . : 02-00-54-55-4E-01
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

а айпи адреса у юзеров статические? (в смысле зажаты в DHCP?)
вопросы конечно глупые, но все же

в Керио включена служба DHCP, адреса зарезервированы

следовательно у пользователей адреса арендуются от сервера автоматом те, которые указаны

ну тогда хз почему правила перестают работать после рестарта
надо логи керио смотреть в момент когда юзера отфильтровывает

Инспектор протокола выключен везде, журнал тоже

в которых логах смотреть? filter?

еще не пойму, почему когда я в стандартном правиле меняю "Доверенный/Локальный интерфейс" на группу, всё пропадает?

http://s017.radikal.ru/i413/1111/ae/ce5b0f5b522bt.jpg
http://s017.radikal.ru/i442/1111/c0/8e7bc6cf87cet.jpg

Как пример IPCONFIG с Клиента

ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : tranzit
Основной DNS-суффикс . . . . . . :
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : tpt.tpt

Подключение по локальной сети - Ethernet адаптер:

DNS-суффикс этого подключения . . : tpt.tpt
Описание . . . . . . . . . . . . : Realtek PCIe GBE Family Controller
Физический адрес. . . . . . . . . : 20-CF-30-89-6A-F8
Dhcp включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 192.168.0.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.0.1
DHCP-сервер . . . . . . . . . . . : 192.168.0.1
DNS-серверы . . . . . . . . . . . : 192.168.0.1
Аренда получена . . . . . . . . . : 18 ноября 2011 г. 18:19:09
Аренда истекает . . . . . . . . . : 22 ноября 2011 г. 18:19:09

VirtualBox Host-Only Network - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : VirtualBox Host-Only Ethernet Adapte
r
Физический адрес. . . . . . . . . : 08-00-27-00-C0-4E
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.56.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :

C:\Documents and Settings\111>

WhoIsInsik

если читать умеем, то вот

Such a rule enables the specified users to connect to the Internet (if authenticated). However, these users must open the Kerio Control interface's login page manually and authenticate (for details, see chapter 12.1 Firewall User Authentication).

However, with such a rule defined, all methods of automatic authentication will be ineffective (i.e. redirecting to the login page, NTLM authentication as well as automatic authentication from defined hosts). Automatic authentication (redirection to the login page) is performed at the very moment of establishing connection to the Internet. However, this NAT rule blocks any connection unless the user is authenticated.

и как бы чтобы всё работало надо делать так как написано в главе enabling automatic authentication,

но в твоём случае нечего выпендриваться и раз уж у тебя все пользователи используют фиксированные IP адреса, то и в правилах трафика используй группы IP а не пользователей.

то есть я в группе IP-адресов задаю IP-шники пользователей и для этой группы создаю правило? думал об этом, пожалуй завтра и попробую сей вариант
а почему думал - когда добавлял правило и указывал себя как IP - инет робил

текст да, прочитал, жаль что такой способ не работает с автоматическим установлением подлинности, интересно в новой версии Kerio это исправлено?

WhoIsInsik
причём здесь исправлено, это не баг это фича )

Привет, поставил себе Kerio Control Software Appliance и спустя некоторое время обнаружил в логах следующее:
[18/Nov/2011 12:27:37] Connection limit of 600 outbound connections reached for host 192.168.1.18.
[18/Nov/2011 12:27:49] Connection limit of 600 outbound connections reached for host 192.168.1.18.
[18/Nov/2011 12:28:00] Connection limit of 600 outbound connections reached for host 192.168.1.18.
[18/Nov/2011 12:28:11] Connection limit of 600 outbound connections reached for host 192.168.1.18.
[18/Nov/2011 12:28:22] Connection limit of 600 outbound connections reached for host 192.168.1.18.
[18/Nov/2011 12:28:33] Connection limit of 600 outbound connections reached for host 192.168.1.18.
[18/Nov/2011 12:28:44] Connection limit of 600 outbound connections reached for host 192.168.1.18.
[18/Nov/2011 12:28:55] Connection limit of 600 outbound connections reached for host 192.168.1.18.
и изрекда случается
[17/Nov/2011 16:59:49] Particular network traffic lost or was modified by conflicting software or Kerio Control driver disabled on some interface!
после чего отваливается интернет.
Количество хостов в локальной сети 10, но конфликтует только 1. На вирусы его проверял и ничего не нашел.
Не подскажете в чем может быть проблема?

Metodon

Цитата:

Connection limit of

Такая же шляпа была у меня, когда народ пользовался p2p сетями или торрентами без ограничения количества соединений.

Lizun

Цитата:

Такая же шляпа была у меня, когда народ пользовался p2p сетями или торрентами без ограничения количества соединений.

Я сходил, проверил и убедился, что торрент-клиентов на этом компе не установено, поэтому проблема не в этом =(

Metodon
Ну, количество соединений на хост можно и увеличить в керио просто, тогда не будет появляться такое сообщение в журнале.
А вот если инет отваливается, то я ХЗ.
Керио для всех сетевых интерфейсов включен?
У меня на одном гигабитном для локальной сети выключен и поэтому сообщение появляется:
Particular network traffic lost or was modified by conflicting software or KWF driver disabled on some interface

Неужели ни кто не сможет помочь с вопросом по этой теме?

Lizun
Да, для всех интерфейсов включено.
Я уже грешил на то, что локальный интерфейс(который отваливается) прикручен к встроенной сетевой, а комп старый. Хоту наконец докупить дискретную , потому что с дискретным интерфейсом интернета все окей.
И еще одна боязнь - малое кол-во ОЗУ. Но тогда думаю в логах другая ошибка писалась.
А где поменять кол-во подключений на хост в Kerio не подскажешь ?

Metodon

Цитата:

А где поменять кол-во подключений на хост в Kerio не подскажешь ?

Конфигурация, Дополнительные параметры, вкладка "настройка безопасности", включить ограничение подключений и выставить необходимое количество.
(у меня версия керио 6.7.0)

Люди кто работал с домен группами, отзовитесь!!!

В HTTP Policy добавляю доменную группу на запрет на сайт, но Керио игнорирует рул...

Керио 7.2 » Windows 2008 x64 (AD)

Ребят, подскажите, пожалуйста, а то намучался уже...
Ставлю керио 7.2.1 (с другими проверял - то же самое, вплоть до 7.0) - крякаю его по инструкции, что с вебфильтром - что без ( кряк витяна пишет что все мол саксефул ). Т.е. генерю лицензию керио, потом кряк с параметрами для вебфильтра - ввожу там номер актуальный под решеткой, кладу геткейпхп на локальный вебсервак.
Но галочка во вкладке вебфильтра - недоступна. И не пашет именно хтпп протокол! Т.е. джаббер,аська, хтппс например по порту 6003 пашет (исходящие внутренней сети в инет) - а исходящие по 80му не пашут!
Настройки дефолтовые, нат врублен, т.е. по мастеру чисто делал. Сам я раньше настраивал керио 5й - он без проблем как часы работал, вообще классная штука.. А тут чего-то намудрили )
Авторизацию юзерам настроил, тестовому тончее -можно залогиниться или он автоматически по айпишнику подцепит юзера.
В общем как лечить подскажите?
Нужна эта штука очень. Т.е. гугл меил например пашет, и другой хтппс, аська, джаббер, а сами веб странички нифига ((
Инет подрубается через мтс-коннект - может в этом трабла? Но другие протоколы ведь работают...
А вот в вебфильтре что с кряком его что без - галочка не доступна, так и должно быть?
И кстати пишет тоже что достигнут лимит 600 соед. и что-то про дрова иногда.

Хелп плиз!) Заранее спасибо.

Проблема со скоростью аплоада:
Без Керио 20Мбит, с Керио 2-3Мбита
Юзаю версию 7.2.0. Никаких ограничений по скорости нет.
Все настройки перерыл - безрезультатно. Может кто сталкивался ?

SlayerGTX295

Цитата:

Без Керио 20Мбит, с Керио 2-3Мбита

У меня такая же проблема на версии 6.7.0 на win2k3. Имеет периодический характер, не понятно от чего зависящий.
ЗЫЖ
а вообще, вроде как обнаружил я эту проблему после переключения на оптику и создании dialup для нее в интерфейсах. Раньше не замечал (был АДСЛ).
Собираюсь попробовать в декабре переустановить все с нуля на более новые версии. Посмотрим.

Помогите пожалуйста решить проблему: Kerio Control 7.0.1 не хочет считать трафик каждого пользователя отдельно, вместо этого он записывает весь трафик на хост Firewall и все время от одного и того же пользователя.
В ветке активные хосты: http://s54.radikal.ru/i146/1111/70/743d53216629.jpg
В разделе "правила трафика":
интерфейс S - интерфейс который смотрит в локальную сеть
интерфейс BestNet - интерфейс который смотрит в интернет
группа S - группа пользователей (туда входят пользователи СЦ 1, СЦ 2, СЦ 3)
http://s017.radikal.ru/i423/1111/b6/d74acbab7af9.jpg
пробовал и так, но ни чего не поменялось:
http://s61.radikal.ru/i172/1111/db/19c3da3750e5.jpg
Используется внутренняя база пользователей, аутентификация по IP.
Подскажите пожалуйста в чем я ошибся и как сделать чтоб трафик каждого пользователя считался.

leosart
ipconfig /all и route print с сервера KWF приложи сюда

ipconfig /all:

Цитата:

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : gate
Основной DNS-суффикс . . . . . . :
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : site.adress.ua

site - Ethernet адаптер:

DNS-суффикс этого подключения . . : site.adress.ua
Описание . . . . . . . . . . . . : IC Plus IP100 10/100 Fast Ethernet Adapter #3
Физический адрес. . . . . . . . . : zzz
DHCP включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : x.x.x.210
Маска подсети . . . . . . . . . . : 255.255.254.0
Основной шлюз . . . . . . . . . . : x.x.x.1
DHCP-сервер . . . . . . . . . . . : x.x.x.1
DNS-серверы . . . . . . . . . . . : x.x.y.20
Аренда получена . . . . . . . . . : 29 ноября 2011 г. 17:15:06
Аренда истекает . . . . . . . . . : 29 ноября 2011 г. 17:25:06

Kerio Virtual Network - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Kerio Virtual Network Adapter
Физический адрес. . . . . . . . . : yyy
DHCP включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 10.189.25.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DHCP-сервер . . . . . . . . . . . : 10.189.25.2
NetBIOS через TCP/IP. . . . . . . : отключен
Аренда получена . . . . . . . . . : 29 ноября 2011 г. 12:42:20
Аренда истекает . . . . . . . . . : 30 ноября 2011 г. 12:42:20

SMT - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek PCIe GBE Family Controller
Физический адрес. . . . . . . . . : xxx
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.0.114
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.0.112
DNS-серверы . . . . . . . . . . . : 85.90.192.9
85.90.192.8

route print

Цитата:

IPv4 таблица маршрута
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x2 ... zzz ...... IC Plus IP100 10/100 Fast Ethernet Adapter #3 - Kerio Control
0x10004 ... yyy ...... Kerio Virtual Network Adapter - Kerio Control
0x10005 ... xxx ...... Realtek PCIe GBE Family Controller - Kerio Control
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.0.112 192.168.0.114 3
0.0.0.0 0.0.0.0 x.x.x.1 x.x.x.210 1
192.168.0.0 255.255.255.0 192.168.0.114 192.168.0.114 3
192.168.0.114 255.255.255.255 127.0.0.1 127.0.0.1 3
10.189.25.0 255.255.255.0 10.189.25.1 10.189.25.1 20
10.189.25.1 255.255.255.255 127.0.0.1 127.0.0.1 20
10.255.255.255 255.255.255.255 192.168.0.114 192.168.0.114 3
10.255.255.255 255.255.255.255 10.189.25.1 10.189.25.1 20
x.x.x.0 255.255.254.0 x.x.x.210 x.x.x.210 1
x.x.x.210 255.255.255.255 127.0.0.1 127.0.0.1 1
80.255.255.255 255.255.255.255 x.x.x.210 x.x.x.210 1
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
224.0.0.0 240.0.0.0 192.168.0.114 192.168.0.114 3
224.0.0.0 240.0.0.0 10.189.25.1 10.189.25.1 20
224.0.0.0 240.0.0.0 x.x.x.210 x.x.x.210 1
255.255.255.255 255.255.255.255 192.168.0.114 192.168.0.114 1
255.255.255.255 255.255.255.255 10.189.25.1 10.189.25.1 1
255.255.255.255 255.255.255.255 x.x.x.210 x.x.x.210 1
Основной шлюз: x.x.x.1
===========================================================================
Постоянные маршруты:
Отсутствует