Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Kerio WinRoute Firewall (часть 2)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

emx (21-06-2007 15:56): http://forum.ru-board.com/topic.cgi?forum=8&topic=22219  Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104

   

Widok



Moderator-Следопыт
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Kerio WinRoute Firewall ™





Kerio WinRoute Firewall sets new standards in versatility, security and user access control. Designed for corporate networks, it defends against external attacks and viruses and can restrict access to websites based on their content.  
 
Текущая версия:
Kerio WinRoute Firewall ™ 6.3.1 build 2906 от May 30, 2007 - win32 | win64 | Release history
 
Kerio WinRoute Firewall with McAfee Anti-Virus and Kerio WinRoute Firewall with antivirus plug-ins share one installation package.

C 30.04.2007 старые библиотеки внутреннего сканера McAfee не поддерживаются и автоматически не обновляются... Если Вы хотите продолжать использовать ранние версии KWF, необходимо заменить mcscan32.dll  
(Никаких взломов, просто более свежие версии):
Библиотеки отдельно (две версии 5.0.00 и 5.01.00): (необходимо докачать свежие AV базы).
http://rapidshare.com/files/30041771/mcscan32_dll.rar  (File-Size: 1,99 Mb)
 
Полные комплекты (mcscan32.dll v5.01.00 + AV базы): File-Size: 10,35 Mb [updated]
[версия баз 5039] - http://rapidshare.com/files/33993453/mcafee5.1.00_base5039_kwf6.3.0b2683.rar
[версия баз 5040] - http://rapidshare.com/files/33997256/mcafee5.1.00_base5040_kwf6.3.0b2683.rar


Manual на Русском
Manual Eng (PDF)
Step-by-Step installation guide Eng (PDF)
Kerio VPN Client Manual (PDF)
 
Настройка, русификация, полный русский мануал
Ключи для Kerio WinRoute Firewall

FAQ составлен по материалам форумов "Windows FAQ" - Форум - "KWR 5.0 (Kerio Winroute 5.0)" (стр.1-93 вопр. 1-122) и "XBT Hardware BBS » Системное  
администрирование, безопасность » Winroute FAQ" - "Просьба все вопросы по Winroute задавать в этой ветке?" (стр. 1-18 вопр. 123-171)

_http://12kms.fatal.ru/_kwf.html
 
Тут одна компания полностью на русский язык перевела хелп  
Kerio WinRoute Firewall 6.0. Руководство Администратора  
Может кому надо: _http://www.internetaccessmonitor.com/rus/support/docs/winroute/
Офлайновая версия этого перевода: http://fronik.narod.ru/kwf/ (1.5Мб)
 
также много полезной информации по настройке на сайтах: ввв.xerio.kiev.ua и ввв.kerio-rus.ru


WinRoute Spy – программа анализа файлов логов популярного прокси-сервера и Internet-шлюза Winroute (версии 4.Х) и Kerio Winroute Firewall 5.Х.
 
Внимание, KWF является корпоративным сетевым фаерволом, поэтому, в его функционал не входит и не может входить контроль приложений. Для этого пользуйтесь персональными фаерами, и не нагружайте топик лишними вопросами.

Всего записей: 24190 | Зарегистр. 07-04-2002 | Отправлено: 22:36 06-04-2006 | Исправлено: Hrist, 15:09 20-06-2007
Arakcheev



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Djedaev
Конечно. У меня так и работает.

Всего записей: 771 | Зарегистр. 06-04-2005 | Отправлено: 14:21 21-02-2007
Djedaev

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Arakcheev
Спасайте дорогой друг
не понимаю..  
сделал по мануалам - в них насколько я понял подразумевается аутентификация именно таким способом (автоматически ) на 3х виртуальных машинах сетка из:
 
-2003керио(политики Керио: локальныйтраффик без ограничений)  
 
-2003домен контроллер (Днс)
 
-рабочая станцая ХР с пользователем прописанным в домене
 
Итог: автоаутентификации по пользователю винды не происходит.
 
Что я делаю не так? что нужно сделать дополнительно?
Возможно какие то неявные тонкости связанные с конфигурацией контроллера домена ?

Всего записей: 2 | Зарегистр. 20-02-2007 | Отправлено: 18:16 21-02-2007
Artur2316



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Тут  люди до меня тоже мучались с загрузкой процессора и вот что писали.... см цитату  
а у меня почему то не поборолось.... на каком то форуме видел мнение. что нужно Вместо 1 поставить 0 - ни так ни сяк у меня не получилось разгрузить процессор.  
помогите советом. (стоит Version 6.2.3(build 2027)
в службах ничего лишнего нету.
 
начало цитаты
 
вообщем, проблему решил (загрузка компа под 100%):  
В winroute.cfg изменил параметр на внутреннем интеррфейсе  
 
Цитата :  
<listitem>  
<variable name="Id">\DEVICE\{741774E8-E324-43A6-829F-F89243CB7079}</variable>  
<variable name="Name">Ethernet</variable> --- Внутренний интерфейс  
<variable name="Medium">0</variable>  
<variable name="Bandwidth">0</variable>  
<variable name="Outside">0</variable>  
<variable name="FirewallExclude">1</variable> -- Вместо 0 поставить 1  
</listitem>  
 
Тобишь исключил из обработки внутренний интерфейс. Эта проблема решилась, проц не нагружает
конец цитаты

Всего записей: 135 | Зарегистр. 17-12-2004 | Отправлено: 21:18 21-02-2007
armanim

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Как правильно создать правило разрешающее доступ, предположим, к гуглу. Создаю группу с хостом www.google.ru Гугл откроется если ввести www.google.ru Если вести google.ru уже не откроется Если ввести Ip гугла тоже не откроется либо вводить два - который на пинг отвечает и на который гугл перебрасывает через пару секунд (увидел по монитору керио) Как быть в таких ситуациях

Всего записей: 83 | Зарегистр. 14-06-2006 | Отправлено: 10:08 22-02-2007
ne0_2002



Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
armanim
1. В разделе "HTTP Policy" на закладке "URL Groups" создай новую группу с адресами:
  • http://www.google.*
  • http://google.*
    2. Теперь на закладке "URL Rules" создаешь правило:
  • If user accessing the URL is any user
  • And URL matches criteria is in URL group: (здесь выбираешь свою созданную группу адресов)
  • Action Allow access to the Web site
     
    И будет тебе счастье...
     
    ЗЫ. Не понятно зачем тебе:
    Цитата:
    который на пинг отвечает

  • Всего записей: 601 | Зарегистр. 18-06-2002 | Отправлено: 10:21 22-02-2007
    AnLe

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Artur2316
    Хм, там вроде какойто косяк жеж всплывает после этого, толи с публикацией портов машин что за кмс толи ещё как?
    Или я чото путаю?

    Всего записей: 569 | Зарегистр. 12-11-2005 | Отправлено: 11:15 22-02-2007
    ilkulibin

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Опять про Авторизацию ...
     
    Что произойдет если два пользователя авторизуются по одному логину/паролю ?  
     
    А произойдет то, что оба будут работать....  
     
    Вопрос... Как это запретить...

    Всего записей: 32 | Зарегистр. 18-08-2005 | Отправлено: 11:45 22-02-2007 | Исправлено: ilkulibin, 13:11 22-02-2007
    Arakcheev



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Djedaev
    Давай в личку свою почту.

    Всего записей: 771 | Зарегистр. 06-04-2005 | Отправлено: 15:39 22-02-2007
    Fizik512



    Junior Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    ilkulibin

    Цитата:
    Что произойдет если два пользователя авторизуются по одному логину/паролю ?  
     
    А произойдет то, что оба будут работать....  

     
    Конечно, оба авторизируються и будут работать... и трафик пойдёт на один логин с 2-х ip адресов... А зачем запрещать, по моему это специально сделано, что бы пользовотель мог работать на несколких машинах офиса под своим логин/паролем... А что б пользователя не было на двух машинах, так на то он и пароль чтоб его не знали остальные... и комуже и трафик пойдёт на его имя... и потом думай трафик ушёл..=)

    Всего записей: 44 | Зарегистр. 24-01-2007 | Отправлено: 03:25 23-02-2007
    LokAr



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    А произойдет то, что оба будут работать....  
     
    Вопрос... Как это запретить.

     
    Можно разрешить пользователю заходить только с одного IP-шника

    Всего записей: 437 | Зарегистр. 15-03-2005 | Отправлено: 08:23 23-02-2007
    Artur2316



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Ну вообщем полечил я ситуацию с 100% загрузкой процессора у себя! Дело было не в бобине.....  
    а вот в чем...  
    вообщем пытаясь добиться докачки на ftp я переусердствовал с настройками DNS Forwarder  
     
    сделал по другому все встало на свои места. (как надо см картинку)
    http://ifolder.ru/1192348

    Всего записей: 135 | Зарегистр. 17-12-2004 | Отправлено: 09:45 23-02-2007
    ThinkerZZ



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Правильно ли я понимаю то что аунтификация пользователей в керио нужна лишь для того что бы получить доступ к NAT далее учетные записи уже не используются, т.е. с ними нельзя оперировать при составлении правил. Например нельзя по учетной записи   - одному пользователю разрешить ICQ а другому HTTP (можно рулить лишь с помощью разрешений на IP адрес).    
     
    Если я правильно понимаю данный вопрос - то это очень и очень печально

    Всего записей: 37 | Зарегистр. 01-08-2006 | Отправлено: 10:29 23-02-2007
    Fizik512



    Junior Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    ThinkerZZ

    Цитата:
    Правильно ли я понимаю то что аунтификация пользователей в керио нужна лишь для того что бы получить доступ к NAT далее учетные записи уже не используются, т.е. с ними нельзя оперировать при составлении правил. Например нельзя по учетной записи   - одному пользователю разрешить ICQ а другому HTTP (можно рулить лишь с помощью разрешений на IP адрес).    
     
    Если я правильно понимаю данный вопрос - то это очень и очень печально  

     
    Нет не правильно... аунтификация нужна для того чтобы пользователь мог воспользоваться теми сервисами которые прописаны в правилах. Далее, с учётными записями можно оперировать и добавлять их в правила и по учётной записи можно одному пользователю разрешить ICQ а другому HTTP (даже если ip динамические)  
     
    Р.S. У меня вопрос ко всем кто знает...  если в правилах Sourse назначена локальная честь, а  Servise - Any то Аська работает без авторизаии... не пойму почему??!)
    Хотя выходов есть несколько...но оних потом

    Всего записей: 44 | Зарегистр. 24-01-2007 | Отправлено: 21:30 23-02-2007
    ThinkerZZ



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Нет не правильно... аунтификация нужна для того чтобы пользователь мог воспользоваться теми сервисами которые прописаны в правилах. Далее, с учётными записями можно оперировать и добавлять их в правила и по учётной записи можно одному пользователю разрешить ICQ а другому HTTP (даже если ip динамические)  
     

     
    Интересно, но почему же тогда у меня складывается ситуация при которой если я открываю доступ одному пользователю в ICQ - доступ получают все пользователи и почему не имея ни одного правила где присутствует учетная запись юзера - этот самый юзер получает доступ в инет через прокси на том основании что он заведен в базе юзеров керио.
     
     
    P.S. сетка у меня имеет такую специфику при которой шлюзом на машинах прописанна совсем не машинка с керио а циска (через которую получает инет машинка с керио и раздает его другим в сети, т.е. все работает через прокси).

    Всего записей: 37 | Зарегистр. 01-08-2006 | Отправлено: 14:30 24-02-2007
    ne0_2002



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    ThinkerZZ

    Цитата:
    но почему же тогда у меня складывается ситуация при которой если я открываю доступ одному пользователю в ICQ - доступ получают все пользователи и почему не имея ни одного правила где присутствует учетная запись юзера - этот самый юзер получает доступ в инет через прокси на том основании что он заведен в базе юзеров керио.

    А может в правиле записано "Any user" или "Do not require authorization" или включена автоматическая авторизации на основе IP адреса? А может у этого самого пользователя ася вообще не через прокси подключается?
    Неплохо было бы привести описание:
  • этого самого разрешающего правила;
  • пользователя, которому разрешено по этому правилу работать;
  • пользователя, который "подмазывается" к предыдущему.

  • Всего записей: 601 | Зарегистр. 18-06-2002 | Отправлено: 15:46 24-02-2007
    AFT



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    KWF 6.2.3 2027
    Маппинг портов
     
    Надо маппить удалрабстол RDP, при подключении без маппа попадаю на сервак с винрутом. Включаю маппинг - глухо. Маппил по http://kerio.kiev.ua/winroute_exemple5.htm
    Подскажите плиз, в чем может быть причина отказа от маппа.
     
    Добавлено:
    как ваще проверить работает NAT или нет?

    Всего записей: 693 | Зарегистр. 15-10-2002 | Отправлено: 16:16 24-02-2007
    ThinkerZZ



    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    А может в правиле записано "Any user" или "Do not require authorization" или включена автоматическая авторизации на основе IP адреса? А может у этого самого пользователя ася вообще не через прокси подключается?  

     
    Помоему я разобрался - отключив галку в поле Allow tunelled connections to all TCP ports все заработало как надо
     
    В понедельник проверю - отпишу.

    Всего записей: 37 | Зарегистр. 01-08-2006 | Отправлено: 18:12 24-02-2007
    snayper7



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    помогите плз.
    имею 1 локалку, 2 интерфейса на firewall'e.
    NAT - выключил, я галку снял с этого правила(этого ведь хватает, чтобы оно не работало?)
    мне нужно чтобы:
    1. все пользователи ходили только на 1 сайт, и больше ни куда;
    2. избранные(adress group) визде, чтобы шлялись;
    в url rules пробовал:
    1. только 1 сайт можно всем;
    2. для созданной adress group ставил - любой сайт можно;
    3. всем на любой сайт нельзя.
    по идее должно работать, но не пашет - adress group пускает только на один сайт, который для всех разрешен.
     
    заранее спб.

    Всего записей: 1088 | Зарегистр. 18-07-2006 | Отправлено: 13:07 25-02-2007
    ne0_2002



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    snayper7
    Попробуй поставить правило для "Address group" перед правилом "одного сайта" для всех остальных.

    Всего записей: 601 | Зарегистр. 18-06-2002 | Отправлено: 23:23 25-02-2007
    noblekey



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    snayper7
    все правила в керио обрабатываются сверху вниз

    Всего записей: 902 | Зарегистр. 01-07-2005 | Отправлено: 09:30 26-02-2007
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Kerio WinRoute Firewall (часть 2)
    emx (21-06-2007 15:56): http://forum.ru-board.com/topic.cgi?forum=8&topic=22219


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru