Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Kerio WinRoute Firewall (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

ShriEkeR (13-05-2010 16:38): Kerio WinRoute Firewall (часть 6)  Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101

   

emx



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Kerio WinRoute Firewall ™





Kerio WinRoute Firewall™ является межсетевым экраном (МСЭ) корпоративного уровня, созданным специально для малого и среднего бизнеса. Надежная защита от хакерских атак, клиент-серверная VPN-технология, интегрированный McAfee Antivirus, мощные инструменты для управления доступом в Интернет на базе IBM Orange Web Filter, гибкие настройки и удобное управление: эти и многие другие уникальные особенности делают Kerio WinRoute Firewall идеальным решением для защиты Вашей сети от враждебного Интернет-окружения.
 

Последняя версия:
Kerio WinRoute Firewall 6.7.1 Patch 2   Released on: March 09, 2010  Сборка 6544
 
Скачать последнюю версию с оффсайта -> win32 | win64 | Release history
 
Kerio WinRoute Firewall с интегрированным McAfee Antivirus и без него теперь поставляется в едином дистрибутиве. Активизация соответствующих функций происходит автоматически в зависимости от типа приобретенной лицензии. Дистрибутив WinRoute Firewall также содержит Administration Console. Переключение языков доступно непосредственно в интерфейсе пользователя.

C 30.04.2007 старые библиотеки внутреннего сканера McAfee не поддерживаются и автоматически не обновляются...  

Manual на Русском [?]
Бета версии
Manual Eng (PDF)
Step-by-Step installation guide Eng (PDF)
Kerio VPN Client Manual (PDF)
 
Сброс пароля администратора [?]
 
Настройка, русификация, полный русский мануал
Ключи для Kerio WinRoute Firewall [?]

F.A.Q. на PC Security - F.A.Q. - Часто задаваемые вопросы
На Winroute.ru - ПРАВИЛЬНАЯ настройка DNS и сетевых интерфейсов!!!
 
FAQ составлен по материалам форумов "Windows FAQ" - Форум - "KWR 5.0 (Kerio Winroute 5.0)" (стр.1-93 вопр. 1-122) и "XBT Hardware BBS » Системное  
администрирование, безопасность » Winroute FAQ" - "Просьба все вопросы по Winroute задавать в этой ветке?" (стр. 1-18 вопр. 123-171)

_http://12kms.fatal.ru/_kwf.html
 
Тут одна компания полностью на русский язык перевела хелп  
Kerio WinRoute Firewall 6.0. Руководство Администратора  
Может кому надо: _http://www.internetaccessmonitor.com/rus/support/docs/winroute/
Офлайновая версия этого перевода: http://fronik.narod.ru/kwf/ (1.5Мб)
 
также много полезной информации по настройке на сайтах: ввв.xerio.kiev.ua и ввв.kerio-rus.ru


WinRoute Spy – программа анализа файлов логов популярного прокси-сервера и Internet-шлюза Winroute (версии 4.Х) и Kerio Winroute Firewall 5.Х.
 
Внимание, KWF является корпоративным сетевым фаерволом, поэтому, в его функционал не входит и не может входить контроль приложений. Для этого пользуйтесь персональными фаерами, и не нагружайте топик лишними вопросами.

Всего записей: 11868 | Зарегистр. 05-06-2002 | Отправлено: 12:47 24-05-2009 | Исправлено: Hrist, 11:51 10-03-2010
lizun



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
В сети большинство клиентов подключены через kerio-клиента. Для некоторых компов пришлось включить прокси. Вроде работает, но есть два вопроса:
1. Как сделать так, чтобы нельзя было выйти в инет (ну, считай, что подключиться к прокси) без логина и пароля, тупо прописав в настроках Internet Explorer адрес прокси? Сейчас как раз так и происходит. Пока что ограничил по IP.
2. Будет ли статистика привязываться к пользователю в этом случае (в текущих подключениях сейчас вместо логина пользователя отображается IP его компа)?

Всего записей: 440 | Зарегистр. 16-01-2007 | Отправлено: 14:07 08-09-2009
dariusii



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Кто может посоветовать, как правильно резать нежелательные url через kerio?
 
делаю.
создаю url лист bad_hosts типа
*odnoklassniki*
*vkontakte*
 
в политиках http вбиваю правило перенаправлять адреса группы bad_hosts на локальный ресурс наш (пусть это будет www.ourdomain.com). применяю все это дело.
 
результат 0
 
вбиваю адрес www.odnoklassniki.ru и попадаю на эти одноклассники, вместо того, что бы попадать на "www.ourdomain.com".
 
перечесал всю программу. все перепроверил. в чем может быть загвоздка?

Всего записей: 2502 | Зарегистр. 08-11-2003 | Отправлено: 15:25 08-09-2009
adjuster



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
dariusii
Возможно ты используешь HTTP проксю - если так, то тебе нужно использовать 2 правила URL - первое разрешает избранным (если они есть), второе (ниже первого) запрещает всем, даже пользователю, привязанному к firewall.
Да, и не забывай использовать "http://"
 
Добавлено:
lizun
это называется авторизация по логин/паролю через проксю.
Да, будет считаться статистика, если в ТП в правиле NAT указаны в источнике Аут юзеры, а не Локал(или группа IP)

Всего записей: 1369 | Зарегистр. 31-10-2006 | Отправлено: 17:13 08-09-2009
AlekSey54RUS

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Кто может посоветовать, как правильно резать нежелательные url через kerio?

 
в группах URL указывай к примеру: *.odnoklassniki.ru/* и odnoklassniki.ru/*  
У меня все работает по такому принципу

Всего записей: 3 | Зарегистр. 19-08-2009 | Отправлено: 09:49 09-09-2009
lizun



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
adjuster

Цитата:
это называется авторизация по логин/паролю через проксю.

Спасибо, навели на рабочую мысль!
 
1. Создал группу IP (IPs_using_proxy), пользователи с которых будут пущены в инет через прокси.
2. Создал группу Users (Inet_Clients_proxy) - пользователи, которые будут пользоваться прокси для выхода в инет.
3. Каждому пользователю сопоставил в его учетной записи IP компа как заданные IP-адреса хоста (это на вкладке учетки пользователя). Как я понял, это для того, чтобы весь трафик с этого IP шел в статистику пользователя (а-ля привязка IP к User).
4. В параметрах аутентификации включил принудительную аутентификацию для непрозрачного прокси сервера.
5. Включил флажок применить только к IP адресам и указал группу IPs_using_proxy.
6. Поставил автоматическое завершение сеанса пользователя при его неактивности - 180 минут.
7. Создал правило для поключения к прокси: источник IPs_using_proxy, Назначение FireWall (хотя, подика, лучше указать конкретный адрес интерфейса локалки), порты TCP 3128 и UDP 3128 (не знаю, нужны оба или нет), действие разрешить.
8. Создал правило для выхода в инет через прокси: источник Inet_Clients_proxy, Назначение сетевой интерфейс inet, Служба любой, Нат -> Inet.
 
Вроде работает. Интересует вопрос, правильно ли я всё сделал или можно лучше?

Всего записей: 440 | Зарегистр. 16-01-2007 | Отправлено: 11:46 09-09-2009 | Исправлено: lizun, 13:27 10-09-2009
Andy_Urb



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Установил Kerio WinRoute Firewall 6.6.0  с указанием внешнего и внутреннего интерфейсов.
В правилах разрешил все всем.
Пользователей из NT импортировать не получилось - прописал ручками.
Поставил галочки на обязательную аутентификацию - запрос не проходит.
Пинг с самого сервере в мир проходит а вот трафик ни в какую бегать не хочет(http, frp, icq, p2p)
Где что можно еще покрутить чтоб для начала хотябы аутентификацию запрашивало?
 
 
Добавлено:
http://www.pictureshack.ru/view_8166img1.jpg

Всего записей: 1190 | Зарегистр. 24-09-2003 | Отправлено: 13:30 09-09-2009
utp_ss



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
омогите плз с реализацией следующего:  
Есть почтовый домен XXX.com.ua, сервер со статическим внешним ИП, WIN server 2003, без домена, с установленными Kerio Winroute Firewall и Kerio Mail Server, есть несколько филиалов, которые сидят в инете через диалап. Нужно завести почтовые ящики этим филиалам на сервере и дать им доступ к ним. Как это лучше реализовать, разжуйте пожалуйста подробно. Спасибо.
П.С.на филиалах, поменьше действий бы производить, в связи с проблемой выезда к ним

Всего записей: 308 | Зарегистр. 02-03-2007 | Отправлено: 18:02 09-09-2009 | Исправлено: utp_ss, 18:15 09-09-2009
Tihon_one



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Andy_Urb
Чего ты там намудрил с доменом? настроечки скинь
скинь ipconfig /all с kwf и ipconfig /all с любого клиента
 
 
Добавлено:
utp_ss
ящики по поп3, правило в квф источник интернет-назначение фаервол, служба поп3 смтп разрешить

Всего записей: 1522 | Зарегистр. 26-07-2005 | Отправлено: 18:09 09-09-2009
utp_ss



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
ящики по поп3

вот это момент пожалуйста подробнее можно...
Как эти филиалы будут обращаться к серверу?

Всего записей: 308 | Зарегистр. 02-03-2007 | Отправлено: 18:18 09-09-2009
Tihon_one



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
utp_ss
 
 
 
 
Добавлено:
из соседней темы  
 
ArgonOL
Чтобы опубликовать майл сервер на той же машине, нужно создать правило  
1. источник инет, получатель фаэрвол, служба smtp, разрешить, без нат
и если нет другого более общего исходящего правила, то
2. источник фаэрвол, получатель инет, служба smtp, разрешить, без нат
 
 
Добавлено:
если нужно из внешки получать почту по pop или imap, то
3 1. источник инет, получатель фаэрвол, служба pop/imap, разрешить, без нат

Всего записей: 1522 | Зарегистр. 26-07-2005 | Отправлено: 18:26 09-09-2009
utp_ss



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Tihon_one
C правилами все ясно, спасибо. Мне не понятно, как удаленный юзер будет обращаться к этому серверу чтобы выбрать с него свою почту, или передать почту через него?

Всего записей: 308 | Зарегистр. 02-03-2007 | Отправлено: 18:33 09-09-2009 | Исправлено: utp_ss, 18:34 09-09-2009
dddimmm



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
доброго всем времени суток...
 
Решил установить kerio-kwf-6.6.0-5729.
Сетка из 25 комп, на всех XP SP2.
А вопрос у меня по поводу настроек АДСЛ модема...
сейчас они выглядят так и так
 
я так понимаю настройки DSN провайдера можно и в kwf прописать? и что насчет галочек NAT и Firewall, их я думаю тоже следует убрать? в kwf же есть NAT...
я в этом деле новичок, так что не судите строго...

Всего записей: 1890 | Зарегистр. 28-07-2007 | Отправлено: 06:58 10-09-2009 | Исправлено: dddimmm, 09:17 10-09-2009
lizun



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
После включения прокси и настроек, которые я указал выше тут [?], появились проблемы у одного пользователя. Этот пользователь отличается от остальных тем, что мой сервер 10.27.42.15 и его комп 10.27.42.115 в одной подсети локальной сети города (один дом). Может, быть с этим что-то связано?
Этот пользователь подключался через VPN (до включения прокси), все было нормально. Вчера вдруг у него выдалось сообщение:  

Цитата:
"Сбой соединения. Ошибка 104. невозможно добавить соединение."
и вопрос
Цитата:
"продолжить установление соединения? да/нет"  

Нажимает "да" и ничё не происходит, а через какое-то время в правом нижнем углу всплывает
Цитата:
"Ошибка (104) Невозможно добавить соединение"

В текущей активности пользователей я заметил, что у этого пользователя метод аутентификации почему-то стал SSL, в то время как у остальных VPN, либо Automatic (если через прокси). Как это случилось, ума не приложу, но инет у него не работает.
 
Попробовал этого пользователя пустить через прокси тогда (при этом Kerio VPN client отключен у него, естественно). В принципе, инет работает. Но не работает QIP. Даже если в QIP выбрать тип прокси HTTP(S), прописать адрес прокси 10.27.42.15 и порт керио 3128 (то есть все как в Internet Explorer), и даже если забить туда логин/пароль, то все равно не коннектит
 
Вот какие там настройки:
Сервер авторизации:
сервер: login.icq.com
порт: 443
Настройки прокси:
тип прокси: HTTP(S)
Прокси-сервер: 10.27.42.15
Порт: 3128
галочка Аутентификация (опционально) - ставили и не ставили
Логин: логин пользователя как в керио
пароль: соотвествующий ему пароль
Галочка NTLM аутентификация снята
в левом нижнем углу галочка Поддерживается соед-е - ставили
 
После всех этих действий qip выдает что-то типа связь прервана или коннект with прокси Failed...
 
Почитал в инете про настройку qip через прокси, говорят, что прокси должен поддерживать метод connect. Поддерживает ли такой метод kerio?
 
Собственно пока два больших вопроса:
1. Как настроить QIP (не infinum) через прокси?
2. Как вернуть возможность подключения через Kerio VPN Client (ибо в этом случае проблем с аськой и всем остальным не возникало)?
 
 
Добавлено:
dddimmm

Цитата:
и что насчет галочек NAT и Firewall, их я думаю тоже следует убрать? в kwf же есть NAT...

У меня NAT включен в модеме и в kwf, и Firewall в модеме тоже включен. Два НАТа, наверное, надёжней, чем один. Да и провайдер будет думать, что у вас один комп, а не подсеть, хотя...
Firewall в модеме аппаратный - не жрет лишние ресурсы сервера, защищает извне, зачем отключать?

Всего записей: 440 | Зарегистр. 16-01-2007 | Отправлено: 09:47 10-09-2009 | Исправлено: lizun, 13:25 10-09-2009
adjuster



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lizun
Можно и проще - без привязки к IP, то есть убираешь правило "группа IP  в инет" - пользователю все равно придется авторизовываться через проксю - и трафик будет течь и считаться по правилу "список пользователей ту инет". Но смотря какая перед тобой стоит задача - решай как тебе удобнее контролировать .
 

Цитата:
Пользователей из NT импортировать не получилось - прописал ручками.  
Поставил галочки на обязательную аутентификацию - запрос не проходит.  

Твои правила разрешают без аутентификации ходить в инет - привяжи пользователей к IP (если позволяют настройки/политики). Еще бы ipconfig /all  с клиента и KWF  и скрин Интерфейсы увидеть.
 

Цитата:
После всех этих действий qip выдает что-то типа свзяь прервана или коннект with прокси Failed...  

Возможно проблема с версии клиента.
 

Цитата:
Два НАТа, наверное, надёжней, чем один.

По определению - ни как не связан NAT  с безопасностью (учим теорию).

Всего записей: 1369 | Зарегистр. 31-10-2006 | Отправлено: 10:42 10-09-2009
dddimmm



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
lizun
ну что ж будем знать....
 
adjuster

Цитата:
По определению - ни как не связан NAT  с безопасностью (учим теорию).

я так понимаю в настройках модема его можно отключить?

Всего записей: 1890 | Зарегистр. 28-07-2007 | Отправлено: 11:24 10-09-2009
Andy_Urb



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ipconfig /all (на сервере) Подробнее... [?]  
ipconfig /all (на клиенте)Подробнее... [?]
route print Подробнее... [?]
 
Добавлено:
С инет трафиком разобрался - конфликт был с NOD32 4.x

Цитата:
Q: не работает интернет при связке Kerio+Nod32 4.x
A: NOD32 - Настройка - Дополнительные настройки(F5) - Защита доступа в интернет - Веб-браузеры
   поставить красный крест вместо галочки на winroute.exe

 
Добавлено:
А вот с авторизацией на проксе так и не разобрался. Хелп ми плиз.

Всего записей: 1190 | Зарегистр. 24-09-2003 | Отправлено: 11:32 10-09-2009 | Исправлено: Andy_Urb, 11:38 10-09-2009
lizun



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Andy_Urb

Цитата:
А вот с авторизацией на проксе так и не разобрался. Хелп ми плиз.

Может, что-то в ТП не то? Выложи картинку посмотреть.
Попробуй пункты 7, 8 как у меня сделано [?], работает все, кроме QIP пока что (

Всего записей: 440 | Зарегистр. 16-01-2007 | Отправлено: 13:19 10-09-2009
Andy_Urb



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Все необходимые галочки для авторизации стоят.
На попытку открыть любую страницу выдает
https://server.company.local:4081/nonauth/login.php?dest=aHR0cDovL2ZvcnVtLmxhbnMuYnkvaW5kZXgucGhwPw==&ID=MjEzMTQwNDk5Mg==&DBL=0
и на этом останавливается. Хотя, как минимум, должно после этого выдать страницу авторизации.

Всего записей: 1190 | Зарегистр. 24-09-2003 | Отправлено: 10:40 11-09-2009
Andy_Urb



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Правила Подробнее... [?]
Авторизация Подробнее... [?]
В итоге не запрашивает авторизацию у клиента. Как побороть.

Всего записей: 1190 | Зарегистр. 24-09-2003 | Отправлено: 13:01 11-09-2009
Tihon_one



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Andy_Urb
Слухай у тебя домен на nt, что ли  поднят?
 
По поводу https ссылки, может он предлагает добавить сертификат, а ты просто это игноришь?

Всего записей: 1522 | Зарегистр. 26-07-2005 | Отправлено: 15:46 11-09-2009
   

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Kerio WinRoute Firewall (часть 5)
ShriEkeR (13-05-2010 16:38): Kerio WinRoute Firewall (часть 6)


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2025

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru