FAQ: Авторизация в KWF, в том числе по Active Directory - вопросы сюда

[malike]

Цитата

Сообщение от victorinovich

P.S. Просто сам прочитал страниц 30 форума, реально запутался. Где-то, не помню уже где, нашел эту сцылку. Глядя на то, сколько народу тут уже с одними и теми же вопросами мается, жалко стало всех! JS-скрипты у меня как надо не заработали в Windows 7.

ты также делал через logon.bat?

[alyam]

привет. че-то какая-то шляпа получается с правилом для авторизации ntlm.
lan-inet http nat. это правило я использую для авторизации ntlm.
в http rules: любой пользователь требует авторизации.
пользователь авторизуется и потом начинает ходить по этому правилу в инет

шляпа в том, что не все авторизованные пользователи должны в инет ходить. а только определенная группа...

насколько я понимаю. что должно быть правило, которое позволяет неавторизованным пользователям открыть страницу в инете. и авторизоваться ntlm.
но это правило потом становится дырой

что делать? ставить выше правило, которое запрещает инет группе пользователей (тем кому инет не положен)

Добавлено через 3 часа 35 минут

Цитата

Сообщение от alyam

привет. че-то какая-то шляпа получается с правилом для авторизации ntlm.
lan-inet http nat. это правило я использую для авторизации ntlm.
в http rules: любой пользователь требует авторизации.
пользователь авторизуется и потом начинает ходить по этому правилу в инет

шляпа в том, что не все авторизованные пользователи должны в инет ходить. а только определенная группа...

насколько я понимаю. что должно быть правило, которое позволяет неавторизованным пользователям открыть страницу в инете. и авторизоваться ntlm.
но это правило потом становится дырой

что делать? ставить выше правило, которое запрещает инет группе пользователей (тем кому инет не положен)

разобрался.
Аутентифицированные пользователи - inet - any-drop должно стоять выше правила:
lan-inet http nat
но ниже Аутентифицированные пользователи - inet - any- allow

[GerRmAN]

Ребят, как у Вас происходит авторизация мобильных (андроед, иос) устройств?

Веб-морда авторизации не вылазит, вылазит направление на 173.194.32.130/generate_204 (которая не грузится нифига).
Окна логина и пароля нет(

На обычных компах все появляется и работает.

[TorinMaster]

GerRmAN,

закрыт доступ из внешки

[GerRmAN]

Цитата

Сообщение от TorinMaster

GerRmAN,

закрыт доступ из внешки

Спасибо. Но не подскажите, что именно нужно открыть? Пример правила, если точнее. Откуда куда что.

[TorinMaster]

GerRmAN,

источник Internet | Получатель Бранмауэр | Служба

Kerio Control WebAdmin | Действие разрешить

[GerRmAN]

Цитата

Сообщение от TorinMaster

GerRmAN,
источник Internet -Получатель Бранмауэр-Служба
Kerio Control WebAdmin-Действие разрешить

Спасибо огромное, заработало. Запись в мемориз)

[Infernal Red]

Цитата

Сообщение от A3ex

Ситуация такая-керио 8.2, заведен в домен. Включена авторизация NTLM и непрозрачный прокси (керио в локалке с одним сетевым интерфейсом).
Не могу разобраться как настроить траффик полиси, чтобы доступ к керио-прокси был разрешен только членам определенной группы AD?
Добавление группы AD без добавления ip или доверенных интерфейсов в качестве источника вырубает доступ к Керио.
Соответственно-если добавить доверенные интерфейсы - то вся локалка будет подключаться к керио и теряется смысл.

Если не дать изначальный доступ к керио из локалки - то проверка принадлежности к группе AD не сможет пройти. А если дать доступ-то ограничение для группы не работает.


Похоже сам разобрался - надо дать доступ из локальной сети к керио по 80 порту - тогда авторизация на керио проходит. А уж затем рулить правилами с группами.

А если не использовать непрозразчный прокси, тогда не работает. Пока в правилах не разрешишь, доступ с локалки на интернет интерфейсы доступ по HTTP, но тогда интернет есть у всех, у кого включены учетки. Как то можно это обойти? Если убрать это правило, то автоматическая авторизация не работает. Да и даже включение прокси не помогло.

[Infernal Red]

Прошу помощи в решении проблемы. При доступе юзеров в интернет не выходит окошко авторизации. Соответственно юзеры работают по правилу HTTPS, но доменных юзеров авторизовывает. Если же его отключить тогда интернета нет у всех, даже у доменных. Окошко авторизации также не появляется. Это косяк самого керио или в правилах чего-то нет? Версия такая 8.2.2 patch 1 build 1684
Хочу добиться, чтобы выскакивало это чертово окошко авторизации, так как если компьютер не в домене, авторизации вообще нет и соответственно у юзера и интернета нет.

[cezor137]

Доброго времени суток.
Имеется Kerio 8.1 в домене
Большая часть пользвателей ходит в инет через терминальный сервер.
Настроена принудительная аутенти... прокси 3128
Пользователи логиняться, инет есть, НО СТАТИСТИКА у всех по нулям.
Переключаю на NAT авторизуется только первый пользователь на всю статистику.
Как настроить статистику для терминальных пользователей через прокси?

[genya]

добрый день, помогите решить такую проблему: как создать обязательную авторизацию для ряда пользователей для получения доступа к web-страницам.

[ilnurinfo]

Доброго времени суток, возникла проблема, ответ на который не нашел на просторах Интернета и форума.
Есть сеть без домена на 40 машин + сервер с Windows 2003 и Kerio WinRoute Firewall 6.7 (работает около 4 лет)
Авторизация пользователей по ip, ограничения только по дневному трафику.
Возникает проблема 2-3 раза в год - winroute перестает пускать одного из пользователей (любого, независимо от компьютера) в Интернет.
Как пытался решить данную проблему:
1) Пересоздавал пользователя в Winroute
2) Перезапускал Winroute и сервер
3) Чистил кеш на сервере и клиенте
4) Удалял и восстанавливал пользователя в Политике трафика Доступ к Интернету (NAT)
Не помогало

Единственные решения, которые помогали
1) Смена ip адреса на клиенте
2) Прописывание хоста (ip адреса) в Политике трафика Доступ к Интернету (NAT)

Но в них есть недостатки
1) При смене ip адреса клиента (ip адресов не напасешься)
2) При прописывании хоста в Политике трафика, то трафик не блокируется при превышении лимита.

Заранее благодарен за помощь.

[kkib]

Приветствую.

Заметил неприятную особенность в керио 7.1.0 при включенном dhcp керио - когда, к примеру, один клиентский компьютер долгое время был выключен, его ip снимается с аренды и выдается другому компу, то этот комп авторизуется под пользователем того, который был долго выключен, т.е. статистика на какого-нибудь Иванова собирается, а он то в отпуске))
Как-то этого можно избежать? Или только время аренды увеличивать?