FAQ: Авторизация в KWF, в том числе по Active Directory - вопросы сюда

[malike]

Цитата

Сообщение от victorinovich

P.S. Просто сам прочитал страниц 30 форума, реально запутался. Где-то, не помню уже где, нашел эту сцылку. Глядя на то, сколько народу тут уже с одними и теми же вопросами мается, жалко стало всех! JS-скрипты у меня как надо не заработали в Windows 7.

ты также делал через logon.bat?

[alyam]

привет. че-то какая-то шляпа получается с правилом для авторизации ntlm.
lan-inet http nat. это правило я использую для авторизации ntlm.
в http rules: любой пользователь требует авторизации.
пользователь авторизуется и потом начинает ходить по этому правилу в инет

шляпа в том, что не все авторизованные пользователи должны в инет ходить. а только определенная группа...

насколько я понимаю. что должно быть правило, которое позволяет неавторизованным пользователям открыть страницу в инете. и авторизоваться ntlm.
но это правило потом становится дырой

что делать? ставить выше правило, которое запрещает инет группе пользователей (тем кому инет не положен)

Добавлено через 3 часа 35 минут

Цитата

Сообщение от alyam

привет. че-то какая-то шляпа получается с правилом для авторизации ntlm.
lan-inet http nat. это правило я использую для авторизации ntlm.
в http rules: любой пользователь требует авторизации.
пользователь авторизуется и потом начинает ходить по этому правилу в инет

шляпа в том, что не все авторизованные пользователи должны в инет ходить. а только определенная группа...

насколько я понимаю. что должно быть правило, которое позволяет неавторизованным пользователям открыть страницу в инете. и авторизоваться ntlm.
но это правило потом становится дырой

что делать? ставить выше правило, которое запрещает инет группе пользователей (тем кому инет не положен)

разобрался.
Аутентифицированные пользователи - inet - any-drop должно стоять выше правила:
lan-inet http nat
но ниже Аутентифицированные пользователи - inet - any- allow

[GerRmAN]

Ребят, как у Вас происходит авторизация мобильных (андроед, иос) устройств?

Веб-морда авторизации не вылазит, вылазит направление на 173.194.32.130/generate_204 (которая не грузится нифига).
Окна логина и пароля нет(

На обычных компах все появляется и работает.

[TorinMaster]

GerRmAN,

закрыт доступ из внешки

[GerRmAN]

Цитата

Сообщение от TorinMaster

GerRmAN,

закрыт доступ из внешки

Спасибо. Но не подскажите, что именно нужно открыть? Пример правила, если точнее. Откуда куда что.

[TorinMaster]

GerRmAN,

источник Internet | Получатель Бранмауэр | Служба

Kerio Control WebAdmin | Действие разрешить

[GerRmAN]

Цитата

Сообщение от TorinMaster

GerRmAN,
источник Internet -Получатель Бранмауэр-Служба
Kerio Control WebAdmin-Действие разрешить

Спасибо огромное, заработало. Запись в мемориз)

[Infernal Red]

Цитата

Сообщение от A3ex

Ситуация такая-керио 8.2, заведен в домен. Включена авторизация NTLM и непрозрачный прокси (керио в локалке с одним сетевым интерфейсом).
Не могу разобраться как настроить траффик полиси, чтобы доступ к керио-прокси был разрешен только членам определенной группы AD?
Добавление группы AD без добавления ip или доверенных интерфейсов в качестве источника вырубает доступ к Керио.
Соответственно-если добавить доверенные интерфейсы - то вся локалка будет подключаться к керио и теряется смысл.

Если не дать изначальный доступ к керио из локалки - то проверка принадлежности к группе AD не сможет пройти. А если дать доступ-то ограничение для группы не работает.


Похоже сам разобрался - надо дать доступ из локальной сети к керио по 80 порту - тогда авторизация на керио проходит. А уж затем рулить правилами с группами.

А если не использовать непрозразчный прокси, тогда не работает. Пока в правилах не разрешишь, доступ с локалки на интернет интерфейсы доступ по HTTP, но тогда интернет есть у всех, у кого включены учетки. Как то можно это обойти? Если убрать это правило, то автоматическая авторизация не работает. Да и даже включение прокси не помогло.

[Infernal Red]

Прошу помощи в решении проблемы. При доступе юзеров в интернет не выходит окошко авторизации. Соответственно юзеры работают по правилу HTTPS, но доменных юзеров авторизовывает. Если же его отключить тогда интернета нет у всех, даже у доменных. Окошко авторизации также не появляется. Это косяк самого керио или в правилах чего-то нет? Версия такая 8.2.2 patch 1 build 1684
Хочу добиться, чтобы выскакивало это чертово окошко авторизации, так как если компьютер не в домене, авторизации вообще нет и соответственно у юзера и интернета нет.

[cezor137]

Доброго времени суток.
Имеется Kerio 8.1 в домене
Большая часть пользвателей ходит в инет через терминальный сервер.
Настроена принудительная аутенти... прокси 3128
Пользователи логиняться, инет есть, НО СТАТИСТИКА у всех по нулям.
Переключаю на NAT авторизуется только первый пользователь на всю статистику.
Как настроить статистику для терминальных пользователей через прокси?

[genya]

добрый день, помогите решить такую проблему: как создать обязательную авторизацию для ряда пользователей для получения доступа к web-страницам.

[ilnurinfo]

Доброго времени суток, возникла проблема, ответ на который не нашел на просторах Интернета и форума.
Есть сеть без домена на 40 машин + сервер с Windows 2003 и Kerio WinRoute Firewall 6.7 (работает около 4 лет)
Авторизация пользователей по ip, ограничения только по дневному трафику.
Возникает проблема 2-3 раза в год - winroute перестает пускать одного из пользователей (любого, независимо от компьютера) в Интернет.
Как пытался решить данную проблему:
1) Пересоздавал пользователя в Winroute
2) Перезапускал Winroute и сервер
3) Чистил кеш на сервере и клиенте
4) Удалял и восстанавливал пользователя в Политике трафика Доступ к Интернету (NAT)
Не помогало

Единственные решения, которые помогали
1) Смена ip адреса на клиенте
2) Прописывание хоста (ip адреса) в Политике трафика Доступ к Интернету (NAT)

Но в них есть недостатки
1) При смене ip адреса клиента (ip адресов не напасешься)
2) При прописывании хоста в Политике трафика, то трафик не блокируется при превышении лимита.

Заранее благодарен за помощь.

[kkib]

Приветствую.

Заметил неприятную особенность в керио 7.1.0 при включенном dhcp керио - когда, к примеру, один клиентский компьютер долгое время был выключен, его ip снимается с аренды и выдается другому компу, то этот комп авторизуется под пользователем того, который был долго выключен, т.е. статистика на какого-нибудь Иванова собирается, а он то в отпуске))
Как-то этого можно избежать? Или только время аренды увеличивать?

[RT987]

Коллеги прошу помощи.

Имеется Kerio 8.3 со следующими настройками

trafficRules:
Аутентифицированные пользователи - inet - any-allow HTTP,HTTPS
Аутентифицированные пользователи - inet - any-drop HTTP,HTTPS
lan-inet http,https nat

contentFilter:
Запрещено все кроме ya.ru

Ситуация:
При входе на любой сайт из браузера срабатывает переадресация на страницу авторизации, после чего согласно contentFilter открывается только ya.ru как и положено.

Вопрос:
Почему перед авторизацией и после неё у меня разрешено подключение к teamviewer.com по 443 порту из teamviewer.exe, при этом из браузера chrome.exe доступа к teamviewer.com нет. Неужели contentFilter работает только для браузера?

[Leon78]

Kerio 8.3 со следующими настройками,
доверенные/локальные интерфейсы - inet - any-allow HTTP,HTTPS
керио введен в домен, галочки стоят на веб-аутентификации, всегда требовать аутентификацию и на автоматически с помощью NTLM.
Но не работает как мне надо.
Мне нужно чтобы пользователи не вводили логины и пароли, чтобы автоматом это дело было, можно так сделать? Подскажите пожалуйста.

[Mr.Torture]

Групповыми политиками хост с керио внести в зону местной инфрасети и для местной инфрасети в безопасности установить автоматический вход в сеть в пункте "проверка подлоинности пользователя". Также в свойствах каждого пользователя в Керио прописать его IP.

[Leon78]

Mr.Torture,
Ip раздает dhcp, немного сложно будет каждому пользователю прописывать Ip адрес. Тогда можно сделать так чтобы пусть не будет аутентификации, но чтобы монитор статистики показывал статистику по ip адресам?

[energet4]

Добрый день, друзья. Помогите с такой проблемой.
Сделал правила для Kerio Contol (скрин [Для просмотра данной ссылки нужно зарегистрироваться]). Если прописать пользователю прокси - у него инет работает. Причем у любого. Хотя должно только у группы Internet. Аутентификация в AD.
Что не так я сделал? Спасибо.

[Mr.Torture]

Цитата

Сообщение от energet4

Добрый день, друзья. Помогите с такой проблемой.
Сделал правила для Kerio Contol (скрин [Для просмотра данной ссылки нужно зарегистрироваться]). Если прописать пользователю прокси - у него инет работает. Причем у любого. Хотя должно только у группы Internet. Аутентификация в AD.
Что не так я сделал? Спасибо.

В первую очередь - изучать работающие конфиги, которых в этом форуме валом.
И ещё - для себя попробуй ответить - зачем тебе правило "dostup" при наличии чуть выше правила "локальный траффик"?

Добавлено через 12 минут

Цитата

Сообщение от Leon78

Mr.Torture,
Ip раздает dhcp, немного сложно будет каждому пользователю прописывать Ip адрес. Тогда можно сделать так чтобы пусть не будет аутентификации, но чтобы монитор статистики показывал статистику по ip адресам?

Ни когда не понимал смысла в дхцп для постоянных стационарных хостов. Для провайдеров дхцп - необходимость, а какая в нём необходимость в конторе с постоянным штатом? Не - совсем от него не надо отказываться - у меня самого он настроен на свободный от компов и принтеров остаток диапазона, чтоб не было конфликтов случайных при подключении к сети случайных устройств типа гостей или ремонтируемых компов. Но на кой лотереи разыгрывать со стационарными устройствами?
По сабжу. Статистика по ип будет, но разгребать это визуально будет тяжко, ибо индивидуально выдавать будет только по юзерам - не хочешь статику давать - увеличь аренду в дхцп, чтоб не менялись адреса, да вбивай адреса юзерам, которые они займут. Без того прозрачной авторизации тяжело добиться - тут выкладывали скрипты разные, но видать я деревянный - скриптами мне прозрачную авторизацию настроить не удалось. Опять же - чем так плоха ручная авторизация? Если потребовалось контролировть траффик, значит юзеры должны быть кровно заинтересованы в том, чтоб с их компа кто попало куда попало не лазил - у меня так некоторые юзеры специально просили отключать автоматическую авторизацию.

[iminbox]

Всем добра.
В общем вчера случился трабл со шлюзами и авторизацией .
Сначала Kerio написал мне "Проблема с шлюзом по умолчанию"
Потом стал запрашивать авторизацию у юзеров которые не находятся в группе принудительной авторизации.
Схема такая в настройках пользователя Admin указываю ip адреса для которых не требуется аутентификация далее в оснастке "домен и аутентификация" делаю следующие скрин ниже.
Такого не было до момента появления ошибки со шлюзами.
а по поводу шлюзов :
скрин route print и ip config