велкам

[naliman]

сабж

[EnMan]

Машина с рутом управляеццо Windows 2003 Server. На нем же поднят сервер терминалов. В качестве антивируса используется Kaspersky Antivirus for File Server. Макака выключена. Интернет - выделенная ADSL линия. Модем настроен роутером. Авторизация пользователей - автоматом по IP. Квоты пользователям не установлены. Непрозрачный прокси выключен. Локалка идет через NAT. Т.е. набор правил минимален для стабильной работы интернета в локальной сети.

Правила переписаны. Добавлены правила, которые зачастую вызывают затруднения и вопросы. Дабы чтобы было во что "ткнуть носом", в свои рабочие полтси я натолкал кучу всего, что не использую сам, но может понадобиться другим.

Local Traffic - разрешает любой трафик между компьютерами сети, а также VPN тунелями и VPN клиентами. По обще принятому правилу загнано в самый верх дабы за счет непрохождения всей таблицы с правилами увеличить скорость в сети.
ICMP Traffic - разрешает пинговать любой хост с компьютера на котором установлен Киря (aka Firewall).
ISS OrangeWeb Filter - правило созданое визардом, видимо нужной для нормальной работы кабанчега. У меня включен, поэтому и правило активно. Кто кабанчега не пользует - думаю, оно нафег не нуно.
RA on Firewall позвляет соединяться RA (RAdmin) клиенту из внешней сети (интернета) с RA сервером, установленным непосредственно на фаервол хостс по стандартному порту.
RA on Firewall non standart port позвляет соединяться RA (RAdmin) клиенту из внешней сети (интернета) с RA сервером, установленным непосредственно на фаервол хостс по НЕ СТАНДАРТНОМУ (выбранному вами) порту. В этом случае пакеты мапятся на порт, который стандартно слушает RA.
TS on Firewall правило созданое для доступа из вне (aka Internet) к серверу термминалов, крутящемуся на фаервол хостс.
TS on local network правило созданое для доступа из вне (aka Internet) к серверу термминалов, крутящемуся в локальной сети. В этом случае, пакеты мапятся на IP хоста с установленным TS и на стандартный порт, который слушает TS.
TS on Firewall non standart port - правило созданое для доступа из вне c указанных IP к серверу термминалов, крутящемуся на фаервол хостс. Но... по определенному порту. Все пакеты приходящие на этот порт мапяццо, на внутренний фейс и на стандартный порт RDP.
Service FTP разрешает доступ из вне на фаервол хостс по протоколу FTP. Для доступа к местному FTP серверу.
Service KWF Radmin позволяет обмен пакетами между сетевыми интерфейсами Интернета и локалки по KWF Admin, т.е. позволяет админить Кирю с удаленного хоста (иногда это бывает нужно). Конечно можно залезть в терминал и админить через него, но через Админ консоль установленную на удаленном хосте - как то гламурнее.
Service Kerio VPN разрешает доступ из вне к фаерволу используя Kerio VPN Service. Служит для работы VPN тунеля.
STOP ICQ Service это правило запрещает доступ с фаервола и локальной сети к группе адресов "ICQ Servers", предварительно заведенных в Adress Groupe. По просту запрещает аську. Стоит обратить внимание, что ЛЮБОЕ запрещающее правило должно стоять ДО (выше) разрешающего.
Firewall Traffic разрешает выход наружу с файервол хостс используя сервисы, указанные в Service. Думаю, что все сервисы знакомы. Но стоит, наверное, объяснить назначение сервиса NTP. Именно этот сервис использует Windows для доступа к службе времени. Если хотите, чтобы часы синхронизировались с часами в интернете, этот сервис должен быть разрешен.
NAT - разрешает доступ трем авторизированых пользователей к DNS, FTP, HTTP, ICQ, POP3, SMTP сервисам, а попросту позволяет им получать почту и ходить в интернет, болтать в аське.

Назначение остальных правил, думаю, объяснять нецелесообразно. Все знают.

Маленькое оступление. КРАЙНЕ НЕБЕЗОПАСНО держать на сервере открытый порт слушающий RA или RDP. Гораздо более безопасней пускать эти протоколы внутри ВПН тунеля. Но если ВПН поднимать не охота, то хотябы укажите в источнике конкретный IP (диапазон IP). Не открывайте доступ ВСЕМУ МИРУ. Не искушайте судьбу.

[adm_art]

Вот решил поделиться своими наработками, сильно не ругайте, т.к. юзаю я керю месяца три и до сих пор учусь .
Сетка простая рабочая группа (будут расширяться сделаю домен), у части юзеров которые ходят инэт поднят DHCP керио, у остальных айпишники вбиты в настройку винды.
Теперь немного об интерфейсах:
- local_host – сетевуха смотрящая во внутрь сетки;
- inet_host - сетевуха смотрящая на ADSL модем (работает в режиме бриджа);
- Ukr – PPPoE соединение с инэтом.
Теперь сам Traffic Policy:
1.Local Traffic - разрешает любой трафик между компьютерами сети;
2.ICMP – пинги с сервера;
3.Firewall Traffic – весь трафик который уходит с сервака, мне нужно только отправлять sms на мобилу;
4.RDP – вход в админ консоль кери из инета (ну точнее только с одного айпи);
5.Admin RDP - вход в админ консоль кери с моего компа (из локалки);
6.Admin_ICMP – пинги от меня в инэт;
7.FTP In – доступ к FTP серверу (в FTP Policy прописано правило кому можно коннектиться);
8.Admin FTP – я выхожу в инэт по FTP;
9.Люда – посредством виндозного RAS соединения к сетке коннектиться удаленный склад (вместо Any можно поставить и MS-SQL но как то руки не доходят );
10.DHCP – DHCP Server для локалки и виндозного RAS соединения (ну это типа из дома коннектиться);
11.Web Kerio – доступ web странице керио;
12.NAT Http – без авторизации инет не получишь :gigi:;

13.NAT – нат для остальных сервисов;
14.Bank – клиент банк (админы банка очень сильно настаивали что бы использовался порт TCP 443, но наверное так и не поняли что это HTTPS), я знаю что это правило дублирует 12 пункт но оно как бы запасное ;

15.Proxy – прокся керио которая пропускает группу юзеров AVG (апдейт антивируса по HTTP Policy), клиент банк (как бы запасное) и виндозный RAS (типа из дома);
Все остальные правила наверное понятные.
[Для просмотра данной ссылки нужно зарегистрироваться]

[djvini]

adm_art, у тебя что получается пользователи, которые авторизовались, работают в интернете без прокси?

[EnMan]

Цитата:

Сообщение от djvini

которые авторизовались, работают в интернете без прокси?

Которые неавторизировались у него вобще сосут сасангу. :lol:

[Коля]

Я сделал проще ... в домене создал группу ползователь Inet и уже прописываю правило

Отправитель группа Inet получатель Внешний интерфейс нужные порты Нат на внешний интерфейс ну и все другие правила так же.

[С.С. Горбунков]

Коля, вот так и надо :very_cool:

[Ganz]

EnMan,Подскажи пжалста как описан в твоей политики локальный траф предназначенный для инета ? в частности локальный запрос по порту 80

хм короче порусски мне надо чтоб все ходили из локалки только через проксю , это гдето в полиси твоей описанно ?

[naliman]

Ganz, попробуй подумать головой

[Ganz]

Цитата:

Сообщение от naliman

Ganz, попробуй подумать головой

Аты знаешь другие варианты , чем можно думать ?

короче подумал еще раз : я правильно понял , нет не одного разрешения из локалки в интернет только из фаервола в интернет ? этим я запрещаю напрямую выход в инет локальным пользователям ? Тобишь 80 порт я закрываю в фаере ?

[С.С. Горбунков]

Ganz, ты хочешь научиться разбираться в Traffic Policy или чтоб тебе жевали и в рот клали? если второе - то ты не по адресу обратился..
если первое - мануал, инструкции и логика тебе в помощь..
по моему, EnMan всё достаточно подробно описал, чтоб понять можно было..

[Lovec]

Народ хелп!

Пересмотрел кучу ТП, но все юзают НАТ! А я не хочу через НАТ! Кому не жалко выложите ТП у кого БЕЗ НАТа инет юзается.

Просто никак не могу решить для себя банальный вопрос. Как надо правильно организовать доступ юзеров к инету.
Щас сделано примерно так:

- Firewall - Any - permit
Firewall - - - Permit

При таком раскладе получается что в http.log пишется не полная информация, а в connection.log она хоть и полнее, но там весь траф пишется от имени прокси и проанализировать на какой локальный IP действительно ушел траф - невозможно

[С.С. Горбунков]

Lovec,
известно как правильно - надо авторизацию задействовать. как именно - не знаю, поскольку неизвестно, скоко юзеров и как организована сеть, есть ли домен, нет ли домена и тп..
так что подробности в студию.
и вопрос - а чем НАТ не устраивает?

[Lovec]

Только что закончил читать топик по авторизации. От корки до корки Попытаюсь сделать как советовали. Только чтобы приступать, мне надо в голове решить, как у меня будет настроено правило(а) для выхода юзеров в сеть.

О сети:
1 домен - в нем около 200 юзеров, инет нужен примерно 50
2 домен - юзеров менее, инет нужен пока 5
Доверит. отнош. - нет, но можно сделать.
Все юзеры кому нужен инет логинятся в домене (в том или в ином).

Комп с керио имеет несколько сетевух, по ним приходят по оптоволокну удаленные сети. На одной сетевухе висит выделенка от прова - инет собственно.

НАТ не хотелось бы по причинам безопасности прежде всего. Я считаю что инет через прокси более безопасен. Или не прав? Ведь комп через НАТ - практически комп напрямую подключенный к инету, а это вирусы, хакеры, ненужная скачка обновлений, другие траблы...
Юзеров пока устраивает ICQ, почта, браузер.

ОФТОП
Почему я читаю форум снизу вверх, а не как на других форумах? Так задумано? Меняется?
ОФТОП

[С.С. Горбунков]

Lovec,
при большом количестве юзеров у меня прокси херней страдал.. а именно - периодически выдавал пустые страницы или недокачанные.. щас народ ходит через НАТ - такого не наблюдаю..
насчет опасений твоих скажу так: трафик, проходящий через НАТ, также фильтруется антивирусом, как и проходящий через прокси.. обновления отключаются (если надо) доменными политиками, либо ставится WSUS и все качают обновления с него опять же через доменные политики..
правда у меня до сих пор 6.1.2-603.

насчет порядка прочтения - конечно меняется, зайди в настройки профиля и поменяй.

[redalex]

Lovec,

Цитата

Сообщение от Коля

Я сделал проще ... в домене создал группу ползователь Inet и уже прописываю правило

вот имхо самый нормальный для тебя вариант. апдейты и прочую фигню рубишь в хттп и фтп полисях, там же можно бан по расширеню файла сделать. и будет тебе шасце

Цитата:

Сообщение от С.С. Горбунков

при большом количестве юзеров у меня прокси херней страдал.. а именно - периодически выдавал пустые страницы или недокачанные..

тоже такое видел, особенно если конекшн лимит стоит и какой нить скайп запущен прокся начинает с ума сходить. да и задержки при обращении на проксю дольше

[Mitchman]

Back Ping - включается только когда нать с Провайдером разобраться о проходимости пакетов

ну дальше понятно станет если дать список подсетей

Home - моя домашняя в ней ща сам Файерволл, моя машинка и клиенты(в настройке, ремонте) - которым DHCP от керио дает адреса - они под именем Users

Соседи - даю инет соседке от ся - шоб она со своими вирусами в меня не лезла - ну а мени все мона

Trion - местная городская локалка - куча атак, быстрая связь для игр и ТимСпика

Trion VPN местная городская в другие районы города и интернет

забыл добавить версия 6.1.3 789 - если эта шось меняет

е еще одна настройка - у кореша на работе но та попроще(хоть там и более сотни машин)(простой НАТ но с Квотами и фильтрами от порнухи) - здесь хоть и маленькие но все таки две подсети и Маппинг серверов


ну вот - думал все нормально но пришлось в строках соседи- Local Trion и Соседи - Trion VPN поменять источник на название сетевухи "Соседи" бо почемуто соседка не всегда конектица - но не люблю я давать доступ на всю подсеть(хотя пока там тока один и комп)

[djvini]

Я понил, что здесь многие работают просто через НАТ без прокси по порту 3128
А кто только с прокси есть?

[Babah22]

а зачем нужен прокс, недостатки очевидны нада бегать настраивать браузеры клиентов на использование связки сервер порт, можно же включить маскарадинг и также использовать кэшируемое соединение для хттп совместимых протоколов, только без настройки у клиентов, точнее они дажеть не в курсе будут есть прокс или нет ))))

[djvini]

Цитата:

Сообщение от Babah22

а зачем нужен прокс, недостатки очевидны нада бегать настраивать браузеры клиентов на использование связки сервер порт,

Это настроил, пользователей благо не много

Цитата:

Сообщение от Babah22

включить маскарадинг

А что это? И где настраивается?

Хотябы Тему открыли с пояснениями для тех, кто пользуется прокси