» Kerio Control (ex Kerio WinRoute Firewall)

butch9383
хрен знает что там у тебя, у меня, только что проверил всё работает так как надо.

Tihon_one
если в виндовом vpn поставить галку исп. шлюз в удаленной сети, то при подключении метрика существующего маршрута на компе меняется на бОльшую, а у установленного vpn она меньше - всё валиться на удаленный шлюз. В случае с керио просто добавляется еще один маршрут, но системный все равно используется из-за меньшей метрики

butch9383
ещё раз повторюсь, только что прогнал это дело и всё заработало трафик побежал через vpn, я не знаю что у тебя там с системой, у меня на 7ке метрика основного маршрута равна 276, на XP на сколько помню метрика равна нулю по умолчанию, замени это значение на более и всё будет бегать ровно.

Это тема в продукте керио вообще не была заявлена до версии 7,3,1 так что, либо обновляй версию контрола или ковыряй свои системы и меняй метрику для основных маршрутов заранее.

Tihon_one
ок, спасибо.
Еще вопрос по клиенту. Постоянно отваливается соединение, причем, к разным kerio серверам. Из этой же сети pptp к виндовому rras работает отлично. Куда копать?

butch9383
не знаю, проверяй как пакеты ходят.

Причем, само соединение, типо, висит подключенным. Просто перестает работать.

Привет всем. Столкнулся с такой проблемкой.
Хочу установить Connect и Control на одну машину.
Поставил, всё вроде нормально кроме одного. При включенном Control письма из Оутлука не идут на сервер. (Оутлук пишет, что всё ОК, но письмо остается в исходящих, и до адресата не доходит). В то-же время через Web всё прекрасно пашет.
Чего только не пробовал. Даже создал правило пропускать всё и везде - ноль реакции. Более того, если на саевере включён Control, Outlook даже не запускаеся, выводи ошибки. Есть огромное подозрение на то, сто Kerio connect не может пробиться через Kerio Control.
Заренее прошу прощения, если такой ворос уже задавался.

butch9383
ответ всё тот же, смотри что с пакетами, со стороны клиента и сервера.

Добавлено:
kvccih

Цитата:

подозрение на то, сто Kerio connect не может пробиться через Kerio Contr

ну в целом логично, попробуй отключить инспектор на правиле локального трафика.

Tihon_one
они ходят Просто проблема не прямо постоянная. Может отвалиться за 5 минут, может 2 часа нормально работать. Имхо, косяк в керио клиенте.

butch9383
хз, эитот клиент у меня сейчас работает, подключен к 3 сервакам и везде связь стабильная, имхо проблема с подключением к Интернет со стороны клиента.

kvccih

Цитата:

Kerio connect не может пробиться через Kerio Control

Tihon_one

Цитата:

ну в целом логично, попробуй отключить инспектор на правиле локального трафика

Совсем даже не логично, всю жизнь у меня на шлюзе живут почтовик с фаером и никакие инспекторы я не отключал, и вообоще какой конкретно из инспекторов вы советуете человеку отключить?
К тому же он пишет что через веб-морду почта уходит - откуда становится очевидным, что фаер почте не мешает.
Я почти уверен, что дело тупо в кривом аутлуке, или кривой его настройке.

sw0rd

Цитата:

К тому же он пишет что через веб-морду почта уходит - откуда становится очевидным, что фаер почте не мешает.

не путайте отправку через web и отправку через smtp.
Конечно я не исключаю кривость настройки почтового клиента, но это уже выходит за рамки обсуждаемой темы.

Tihon_one

Цитата:

не путайте отправку через web и отправку через smtp

хм... уважаемый, отправка почты в любом случае идет по smtp-протоколу,
просто доступ к почтовому ящику вы имеете либо с помощью почтового клиента, либо через веб-интерфейс, вы же не будете спорить что web-протокола как бэ и нету)))

Добавлено:
kvccih
В этой ситуации в первую очередь на почтовике в логе Debug(Отладка) нужно включить просмотр сообщений от smtp-клиента и smtp-сервера, и затем проанализировать его после отправки почты.

sw0rd
будь внимательней, вот что пишет
kvccih

Цитата:

Поставил, всё вроде нормально кроме одного. При включенном Control письма из Оутлука не идут на сервер.

т.е. нарушена передача письма от клиента к серверу, а не от конекта в интернет.

а вот подсказка по поводу протоколирования smtp server корректна, т.к. надо посмотреть доходят ли вообще подключения от клиента(аутлук) к серверу(конект), хотя скорее всего доходят, но надо смотреть сколько и на чём обрываются. smtp client надо смотреть только тогда когда сам конект пытается доставлять письма во внешний мир, но с жтим проблем нет, т.к. письма отправленные непосредственно с сервера по webmail интерфейсу отправляются на ура, опять же со слов вопрошавшего.

Tihon_one

Цитата:

т.е. нарушена передача письма от клиента к серверу, а не от конекта в интернет

ВОТ! - абс согласен, фаер почтовику не мешает, все дело в клиенте(аутлуке). Причем меня удивляет, аутлук не может писать "все ОК" а письмо висеть в исходящих, значит аутлук не смог соединиться с почтовиком. Я подозреваю что у него просто неверно настроена учетка в аутлуке, или он чего-то нам недоговаривает
ну а смотреть и smtp-клиент и smtp-сервер на мой взгляд надо "для полноты картины" чтобы видеть как они меж собой общаются, я вот в офисе только их в дебаге включенными и держу. И поэтому когда прибегает юзер и кричит что его письмо не получили, я сразу вижу на какой стороне проблема)

Цитата:

ну если не было значит можно оставить как есть.

так в том и проблема, что "как есть" - не работает. 3-5 VPN-подключений сделаешь - и все захлебывается, комп перестает отвечать...

IgorBelykov
3-5 vpn каких rras-овских что ли? может тебе железку поменять пора?

Пипл
У меня вот эти правила прописанны и NAT почемуто не работает, может быть намекнетье мне в чем дело...
http://s011.radikal.ru/i315/1206/6b/09766366a27d.jpg

Цитата:

3-5 vpn каких rras-овских что ли? может тебе железку поменять пора?

это, например, из какого расчета?
а то у меня получается, что надо двухголовый четырехядерный ксеон на 20+ подключений, хотя раньше и E7200 двухядерного на 15+ подключений вместе с файлопомойкой и 1Cv7 в терминале вполне хватало.
конкретно, пробовал и атом D525 и селерон E3400 - оба одинаково захлебываются на 3-5 подключениях. думаю, дело не в проце, а в софтовой части.

PS: Тут вообще есть люди у которых ВинРоут и RRAS на одной машине нормально работают и при этом в RRASе не два-три подключения, а существенно больше - хотя-бы десяток?

IgorBelykov
да ни из какого расчёта, сообщение из разряда "а я фиг знает почему у тебя система наедается" т.е. тут скорее всего надо снять дамп памяти и проанализировать что в моменты умирания происходит, тогда думаю сможешь понять причины. Если у тебя лицензия от контрола есть пиши им, сапорт их анализирует дампы процесса winroute.exe и может сказать является ли он причиной косяка или что-то другое надо чинить.

giorgit
В смысле нат не работает? инет вапще есть?
если фаер остановить интет есть?
Раздел Интерфейсы покажи.

sw0rd

Цитата:

giorgit
В смысле нат не работает? инет вапще есть?
если фаер остановить интет есть?
Раздел Интерфейсы покажи.

Профиксил
Заработало, все было правильно, просто не шел нат, сделал резет правил, потом автоматом загрузил правила и все пошло...
часа 3 бился не смог понять в чем было дело.


(инет на винде работал, просто для сетки не выдавал NAT на прокси все работало)

Добавлено:
Вопрос назрел такой
У меня 3 Сетевые карты:
1. LAN (локалка) и Inet-1 Inet-2 (разные провайдеры)
можно ли настроить так чтобы LAN юзеры шли в инет в основном через Инет-1 а на некоторые адреса шли через Инет-2?

giorgit
Нет, средствами кери ты так не разрулишь, второй интет может быть только на подхвате в случае падения первого (или наоборот, но не одновременно)

Вопрос:
есть правило:
выглядит оно так источник:192.168.1.45 назначение: интернет порт: любой протокол инспектора: нет.
т.е. некая дырка.

при ширине канал 10мегабит, скорость всего 2. хотя шеипинг на умолчании.

кто подскажет из зачего может быть урезка скорости.??? керио 7,2,0

Заканчивается срок дейсвтия Kerio Control 7.3.1, подскажите как можно вылечить, где можно ключ взять.... Спасибо!

sw0rd
Ну вот что ты лепишь?

giorgit

Цитата:

можно ли настроить так чтобы LAN юзеры шли в инет в основном через Инет-1 а на некоторые адреса шли через Инет-2?

да это возможно, вот эта глава вам в помощь http://manuals.kerio.com/control/adminguide/en/sect-policyrouting.html

sw0rd

Цитата:

Нет, средствами кери ты так не разрулишь, второй интет может быть только на подхвате в случае падения первого (или наоборот, но не одновременно)

Разрулил Все ОК.
Policy Routing работает
Tihon_one
Спасибо.
Разобрался.

народ!
Подскажите как сделать правило что-б в локалке Google Talk работал?

у мну его нет но на google http://support.google.com/talk/bin/answer.py?hl=ru&answer=27930 пишут так:

Код: Какие порты нужны для Google Talk?

Если у Вас возникают проблемы при подключении к Google Talk через брандмауэр или прокси-сервер, это может быть вызвано тем, что заблокированы необходимые порты.

Чтобы подключиться к Google Talk и начать обмен мгновенными сообщениями, необходимо разрешить подключения по протоколу TCP к talk.google.com с использованием порта 5222 или 443.

Если Вы хотите звонить с помощью Google Talk , выполните следующие действия.

Разрешите подключения по протоколу UDP к любому серверу с использование любого порта.
Разрешите подключения по протоколу ТСР к любому серверу с использование порта 443.

Если работаете в общедоступной или корпоративной сети, которая блокирует эти порты или протоколы, обратитесь к местному администратору сети для получения дальнейших инструкций.

На 5222 создал службу - открыл (как сделать НАТ куй его знает, пробовал все варианты - без толку)
https открыт давно. Но не работает все одно

Добавлено:
Ну UDP все на всех конечно сильно жирно. Открыть не могу в целях безопасности