FAQ: Авторизация в KWF, в том числе по Active Directory - вопросы сюда

[С.С. Горбунков]

Evheni
так елы-палы, отними у юзеров на компах админские права, и не будут они менять сетевые настройки.. либо домен и NTLM-авторизация спасут отца усской демократии. и не надо будет привязывать юзеров к IP

[Alex71]

Прошел месяц
Полет нормальный
Встречается глюк - часть процессов остается от прошлого пользователя но их трафик копеечный
Так что скрипты можно юзать

Всем кто принял участие в обсуждении огромное спасибо!

PS да если кто будет юзать, то необходимо обеспечить постоянную доступность сервера (в смысле раутера) иначе при старте или завершении у пользователей будет выскакивать ошибка скрипта

PPS и еще AVAST (установленный на рабочих станциях), а точнее WEB экран блокирует страницу регистрации Kerio (к скриптам отношения не имеет) и пользователь неможет зарегится

[naliman]

Цитата

Сообщение от Alex71

PS да если кто будет юзать, то необходимо обеспечить постоянную доступность сервера (в смысле раутера) иначе при старте или завершении у пользователей будет выскакивать ошибка скрипта

сервер помоему на то и сервер что бы быть в работе - всегда

Цитата

Сообщение от slaver

Да, и еще - может проконсультирует кто по ISS фильтру? Он работает отдельно от прокси-сервера, т.е. можно использовать связку: KWF+ISS и сквид?

зачем сквид тебе?
ISS в керио работает как веб-фильтр, и ему пох есть прокси или нет проски, или стоит другой прокси типа сквида, он лишь блочит запросы на те сайты, которые ты запретишьв хттп-полиси, а откуда пришёл запрос - от сквида или от пользователя - ето как настроишь опять же в хттп правиле
то есть фильтровать контент с помощью ISS можно по-разному для рразных пользователей\IP

[Димон]

Скрипт работает при АД авторизации. При обычной, через запрос пароля, вылетает ошибка, если пользователь не логинился в инет и выходит с компа. Господа спецы в JS подстрагайте скрипт пож-ста, чтобы он проверял залогинен юзер или нет и только если залогинен нажимал кнопку логаут. А то задолбало сообщение об ошибке, а скрипт правильный и нужный.

[Alex71]

Димон
Изначально вопрос и стоял именно про АД

А в скрипте выхода строка:

oIE.navigate("http://server:4080/fw/login");

На сколько я понял как раз и обеспечивает отсутствие ошибки, только не проверкой пользователя, а принудительной его регистрацией перед выходом.

[Димон]

Alex71

Так я о том и говорю, у меня нет АД авторизации, поэтому если пользователь не авторизовался, скрипт вылетает с ощибкой. Я думаю спецам по JS беспроблемно поправить скрипт, чтоб он проверял наличие на странице кнопки логаут и только при ее присутствии ее кликал.

[GeSchaft]

кстате авторизоваться можно .tp всяких скриптов ссылкой:
хттп://SERVER:PORT/fw/auth?user=USER&pass=PASSWORD
(SERVER,PORT,USER и PASSWORD) это конечно шаблон

[random]

Доброго времени суток, all!

Поставил керио, настроил по инструкции для рабочей группы.
Врубил нат, настроил авторизацию для пользователей через веб - интерфейс без привязки к IP. Так уж случилось, что за компьютером, на котором стоит КВФ работает пользователь - но для него не срабатывает авторизация через веб - интерфейс , интернет у него работает сразу. Подскажите пожалуйста, в чём я ошибся? И как исправить мою ошибку. Заранее, огромное спасибо.
[Для просмотра данной ссылки нужно зарегистрироваться]

[С.С. Горбунков]

random

сделай HTTP Rule
if user is _тот_кто_работает_на_шлюзе_ (СНЯТЬ галку do not require auth)
and URL is *
allow access

и выкладывай уже существующие HTTP Rules, посмотрим...

[oia]

а не проще на компе котором стоит керео установить в ie прописать ip этого компа в прокси и снять галочку не использовать прокси сервер для локальных адрессов

[naliman]

oia
а разве проще пользоваться проксёй на компе напрямую подключенным к инету????
чёто мне кажется это маразм

[milk]

Юзеры по IP не верно идентифицируются!
проблема в скриншоте!
У всех стоит авторизация по IP.
Юзер IP20 - это последний заведенный.
соответственно не верно считается трафик!
Что делать?

[milk]

Цитата:

Сообщение от naliman

версия винроута - ?
версия 6.3.0
настройки пользователей - ?
автризация по IP
телепатов нет

скриншот в файле

[naliman]

рестрт керио что б скинул все авторизации, дальше на одной машине интернет лезешь, смотришь керио как идентифицировал
сморишь параметры компа
потом тоже самое на второй машине

адреса как выдаются компам в сети?

[milk]

Цитата:

Сообщение от naliman

рестрт керио что б скинул все авторизации, дальше на одной машине интернет лезешь, смотришь керио как идентифицировал
сморишь параметры компа
потом тоже самое на второй машине
- ок, буду пробовать!
адреса как выдаются компам в сети?

- на одном из компов запушен WINS - все к нему обращаюся.

[С.С. Горбунков]

IP адреса в сети статические? динамические? ipconfig /all>c:\1.txt сделай на клиентах и шлюзе, результат из текстовика - сюда.

[Android80]

Подскажите пожалуйста по настройкам Kerio Winroute Firewall.
У меня домен с AD под Win2003, хочу иметь статистику по учета трафика по каждому пользователю и общий.
Настроил следующее: Во вкладке Users на табе 'Active Directory / NT Domains' настроил параметры домена и импортировал пользователй из AD.
После установки Kerio никаких настроек не делал, воспользовался только мастером настроек.
На вкладке Users на табе 'Authentication options' поставил флаги:
- Always require users to be authenticated...
- Enable user authentication automatically...
Т.о. получается пользователь сначала логиниться на компьютере под своей учетной записью, а потом еще приходиться при первом выходе в инет в браузере вводить пользователь и пароль, что не очень удобно.

Если убрать флать - Always require users to be authenticated..., то пользователь в статистике не отображается, а есть только unrecognised users.

Подскажите что мне еще нужно настроить, для того чтобы логиниться под доменныйм пользователем и инет сразы бы был, со статистикой данного пользователя.

[suppit]

насколько я понял - нужно чтобы правильно были прописаны данные по NT Domain. В этом случае юзер автоматом проходит аутентификацию в KWF. Пропиши правильно в Users - autentification options AD/kerberos autentification и NT Domain autentification. И галка чтоб стояла - enable User aut autom. web browser

[С.С. Горбунков]

1. НЕ НАДО импортировать юзеров из AD, надо делать МАППИНГ.
2. Какой браузер используется? не все умеют делать NTLM-авторизацию.

[Android80]

1. Так и делаю. Во вкладке 'Active Directory / NT Domains' настроены параметры домена. Во вкладке 'User Accounts' выбираю домен. В списке появляются пользователи прописанные в AD.
2. Используется IE7, Mozila FireFox 2, Opera 8.5