Предложения по расширению функционала

[exchar]

Не нашел более правильной темы, поэтому скажу здесь.

Control совершенно штатно (при использовании прокси) ведет себя интересным образом криво: если пользователь аутентифицирован, то после удалении этого пользователя его соединения автоматически не рвутся.
Т.е. пользователя в базе уже нет, а в интернет он ходит и при поддержании своей регулярной активности может ходить практически вечно.
Был заведен багрепорт [#IJU-904088] и получен ответ, что "все работает корректно, так как Kerio Control имеет свою кэш (соответсвие IP-адреса и пользователя). Для выхода пользователя перейдите в раздел "Активные хосты" найдите пользователя и выберите опцию "Выход пользователя".

Если я грохнул пользователя, то я - очевидно - уже прямо сейчас не хочу, чтобы он продолжал работать в системе как ни бывало как пользователь. И система должна порвать все его соединения и осуществить его выход автоматом. А в место этого имеем дыру в безопасности.

[tihon_one]

уважаемый, exchar,эта проблема известна давно, но назвать её дырой, как-то языке не поворачивается, да это такой не очень привычный by design, суть в том, что у вас, скорее всего выставленно время сессии пользователей на хостах, так что рано или поздно ваша учётка отвалится сама с хоста и больше аутентифицироваться на нём не сможет. Аутентифицироваться на другом хосте она не сможет сразу как вы её удалите\заблокируете.

[exchar]

Цитата

Сообщение от tihon_one

скорее всего выставленно время сессии пользователей на хостах

Согласен, про действие времени сессии как-то не подумал.

Цитата

Сообщение от tihon_one

так что рано или поздно ваша учётка отвалится сама

Бывают такие организации, где счет может идти на минуты.
Но все это, конечно, редкость.

UPD:
tihon_one, письмо об оповещении увидел, спасибо!

[Mr.Torture]

В продолжение предыдущего оратора - траббла явно связанная - юзаем версию ФСТЭК - может, конечно, и сам дурак и что-то не так делаю, в общем, при редактировании уже существующих юзеров имеется неприятный эффект - добавление или удаление юзера из групп, на которые распространяются различные запреты, ни какой реакции Керио даже после кика юзера и повторной авторизации - приходится останавливать и запускать заново Керио.

[tihon_one]

Mr.Torture,, хз в актуальной версии не встречал, ждём новый сертификат на аплианс версию по ФСТЭК, там такого вроде не было уже.

[Valery12]

Цитата

Сообщение от tihon_one

там такого вроде не было уже

тут вопрос как часто контрол проверяет состав группы, вряд ли при прохождении каждого пакета (слишком затратно), наверняка кеширует.

[exchar]

Хочется увидеть в control несколько неожиданную, но абсолютно очевидную фичу.

Иногда бывает добавлено слишком много правил, интерфейсов, маршрутов, групп и прочего, чтобы для некоего конкретного пакета можно было быстро понять, что с ним сделает control, и почему сделает именно это.

Обычно мы тратим драгоценное время шаримся по весьма разным частям админки в сочетании с маршрутами, дергаем логи, тралим wireshark, выполняем 100500 танцев с бубном, чтобы для начала понять где именно "пошло не так" всего один момент - ошибка в настройках control или где-то еще?

В винде есть отличная штука - проверка действующих разрешений для пользователя папки.
По аналогии хочется иметь инструмент в админке control, куда можно ввести реквизиты пакета и увидеть последовательно, что с ним в соответствии с отдельными правилами и другими настройками сделает control и куда пакет в итоге направит. Какие именно правила применятся и как отработают маршруты.

В плане детальности - уровня wieshark будет достаточно любой удобный вариант на первое время.

[Valery12]

Цитата

Сообщение от exchar

Хочется увидеть в control несколько неожиданную, но абсолютно очевидную фичу.

Иногда бывает добавлено слишком много правил, интерфейсов, маршрутов, групп и прочего, чтобы для некоего конкретного пакета можно было быстро понять, что с ним сделает control, и почему сделает именно это.

Обычно мы тратим драгоценное время шаримся по весьма разным частям админки в сочетании с маршрутами, дергаем логи, тралим wireshark, выполняем 100500 танцев с бубном, чтобы для начала понять где именно "пошло не так" всего один момент - ошибка в настройках control или где-то еще?

В винде есть отличная штука - проверка действующих разрешений для пользователя папки.
По аналогии хочется иметь инструмент в админке control, куда можно ввести реквизиты пакета и увидеть последовательно, что с ним в соответствии с отдельными правилами и другими настройками сделает control и куда пакет в итоге направит. Какие именно правила применятся и как отработают маршруты.

В плане детальности - уровня wieshark будет достаточно любой удобный вариант на первое время.

так это выглядит у cisco
[Для просмотра данной ссылки нужно зарегистрироваться]

[exchar]

Цитата

Сообщение от Valery12

так это выглядит у cisco

Да, что-то подобное. Только с заданием большего количества параметров пакета и времени его "отправки".

[tihon_one]

Так в контрол есть:

1) тест правил трафика(по заданным(простым) параметрам)
2) встроенный снифер, условия работы которого можете задавать какие угодно, если вы в теме wireshark то составить какое-нибудь правило вам фильтрации не сложно, если с правилами сложно, но понимание детализации WS есть, просто ANY и вперёд.

[exchar]

Цитата

Сообщение от tihon_one

Так в контрол есть:
1) тест правил трафика(по заданным(простым) параметрам)

Есть, но:
а) всего три параметра (смотрел в 8.4.2). Даже порт назначения не разбивается на tcp/udp.

б) обрабатываются только правила трафика, остальные настройки control, непосредственно влияющие на действия с пакетом - не учитываются. А хорошо бы.

Цитата

Сообщение от tihon_one

2) встроенный снифер, условия работы которого можете задавать какие угодно, если вы в теме wireshark то составить какое-нибудь правило вам фильтрации не сложно, если с правилами сложно, но понимание детализации WS есть, просто ANY и вперёд.

Не всегда есть возможность заранее физически сгенерировать пакет, чтобы ловить его потом сниффером.
Допустим у нас куча правил и т.п., нужно в пятницу прокинуть некие порты на сервер в dmz, чтобы в субботу фирма-контрагент X настроила некое оборудование Y (которого мы в руках не держали) на доступ через них. Возникает нехилое желание заранее проверить полную отработку control по этому вопросу, чтобы не получить утром в субботу звонок от X: "не работает, может у вас IPS лочит". Или что-то в этом духе.

[lext89]

а что на счет работы с API от яндекса или гугла, для встроенного безопасного поиска? Я тут подумал, было бы неплохо добавить в функционал керио фильтра, что-то вроде "встроенной учетной записи google или яндекс" для фильтрации https результатов по умолчанию типа "безопасного (семейного) поиска". Или такое уже обсуждалось ?