Прошу помочь с керио!

[VampirBFW]

Итак господа зубры, прошу только не пинать ногами очень сильно я сам с керио только неделю как работаю!
Итак, что именно мне нужно!
1 Раздать инет юзерам (ну эт опонятно)
2 Ограничить оных по трафику, в часности 100 метров на день, НА ВСЕ! включая почту и прочее!
А теперь в чем суть, аутентификацию по имени я ставить не могу, по причине того, что меня юзвери зарежут (одних токо финдиректоров 6 штук, и рассказывыать им как коннектится по имени я повешусь), потому остается только привязыватся к ип адресу, но после привязки прет какой то странный глюк, сильно растет трафик нерегестрированого пользователя, хто это такой, я не знаю, но видать кто то толстый ибо качает!
И опять таки, мне необходимо раздолбить юзеров на 2 подгруппы, юзеры и неюзеры, у неюзеров ограничений нет, но их трафик так же считается!
Посему выставляю вопросы!
1) как убрать этого нерегеного юзверя
2) как правильно отрезать трафик? А то то настроил в юзерах темплейты, но что то он не то считает!
3) как пустить ВЕСЬ трафик по привязке к конкретному юзверю?

приклабываю скрины полисей интерфейс 123 это нет!

[Leshiy]

1 Создать в Винроуте юзеров и сопоставить им их IP адреса
2 Убрать из Source правила NAT "Подключение по локальной сети", поставить в него тех юзеров, которым разрешён ограниченный набор сервисов.
3 Создать второе правило NAT в в котором в Source поставить "неюзеров" которым всё разрешено. "Неюзеров" также создать в Винроуте и также сопоставить их с их IP адресами

[VampirBFW]

Итак что я сделал!
в пункте Group создал 2 группы юзвери и неюзвери
При попытки изменить правило Nat с подключение оп локальной на групу юзеры инет пропадают у всех!
Я создал УРЛ группу с названием запрет! куда вношу список запрещенных сайтов, и в ХТТП полисях создал правило запрет куда занес группу пользователи, теперь запрет на них работает, но как угрохать этого незарегестрированного пользователя?
Ах да, совсем забыл, а можно как нибудь запинать керио что бы он трафик не в килобайтах считал а в метрах?
И сервисы им должны быть доступны все, им нужно впаять ограничение по трафику, то есть пуст ьделают что хотят но не более чем на 100 метрах в день + заблочить им некоторые сайты, но эт оя уже сделал!

[Leshiy]

Да, забыл совсем.
Второе снизу правило:
Source "Подключение по локальной сети"
Destination any
Service any
Action Permit
NAT НЕ ВКЛЮЧАТЬ!
После этого пойдёт авторизация по IP.

Квоты по траффику в свойствах юзеров винроута ставятся.

[С.С. Горбунков]

VampirBFW,
ниже свежесозданных правил NAT поставь такое правило -
local -> 123 : HTTP : Permit (NAT не надо!)
оно даст возможность авторизации юзерам.

откуда хочешь угрохать незарегистрированного пользователя? из статистики? через месяц он сам оттуда исчезнет. кстати, у тебя есть доступные ИЗ инета сервисы? (см. первые 2 правила) если есть, незарегистрированный трафик вполне может писаться на них.

[С.С. Горбунков]

Leshiy, апиридил!!! :gigi:

[Leshiy]

Твоё правило лучше в плане секурности. Моё лучше в плане авторизации, авторизация будет по любому запросу.
Если автора заботить секурность, то третьим снизу правилом можно сделать:
Source "Всеюзеры-Все группы"
Destination any
Service any
Action Drop

Тогда авторизованные юзеры не будут попадать на правило авторизации. :0)

[VampirBFW]

Меня заботит что бы небыло этого непонятного трафика, просто извне никто не коннектится, а трафик увеличивается постоянно!
А я квоты по трафику, закачиваемому установил в юзерс теплейт! будет работать али как?
Ага, все по вашим указаниям сделал! работает, правда не знаю правильно ли считается трафик но узнаю завтра когда проверю!
А трафик незарегенного юзера растет! Просто у меня на этом же серваке стоит админ консоль касперыча, которая качает обновы с нета, не может он этим страдать?
Хм, однако теперь список запрещенных веб страниц действует на всех, это плохо! Как от этого избавится?
Привожу свой конфиг, может что то напортачил? А то половина сайтов умерла! не грузится, и все правила запрещения теперь на всех распространились!

[Leshiy]

А трафик незарегенного юзера растет! Просто у меня на этом же серваке стоит админ консоль касперыча, которая качает обновы с нета, не может он этим страдать?
Сопоставь учётную запись Admin с Firewall host, после этого посмотри, на кого записался анрекогнайзед траффик. Вполне вероятно шо он теперь на Админе.
Покажи скрины новых траффик полиси.

Хм, однако теперь список запрещенных веб страниц действует на всех, это плохо! Как от этого избавится?
Есть два варианта.
1) В правиле ТП, которое выпускает юзеров из группы "можно всем всё" отключаешь Protocol Inspector. Не очень хорошее решение.
2) Наверное идёшь в HTTP Policy, открываешь правило запрещающее доступ к некоторым сайтам, и меняешь область действия со ВСЕ ЮЗЕРЫ на ОПРЕДЕЛЁННАЯ ГРУППА юзеров, как сам думаешь?

[VampirBFW]

Многоуважаемый леший, прошу прощения чт опо русски, но я ДОГАДАЛСЯ что нужно указывать список запрещенных вебсайтов для определенной группы! и это я сделал!
Скрины новых трафикполиси я положил!
ЭЭ!!! а вот про "Сопоставь учётную запись Admin с Firewall host, после этого посмотри, на кого записался анрекогнайзед траффик. Вполне вероятно шо он теперь на Админе."
можно поподробнее если не сложно?
Суть такова, что юзеры гуляют нормально то что им запрещено, то им запрещено, но те кому не должно быть запретов (админы) теперь половину сайтов не могут грузануть, ни гугл не грузится, ни яндекс ни одноклассники!

[Leshiy]

Многоуважаемый VampirBFW, ничего что не по-русски?
Если у вас ПРАВИЛЬНО сделаны группы пользователей, то есть без "перекрещивания" юзеров в них, если у вас в запрещающем правиле прописана только ОДНА группа, а не все группы, или одна группа+юзеры из другой группы, то всё у вас ДОЛЖНО работать.

[VampirBFW]

Нет, перкрещивания юзверей точно нет! И в запрещаюзщем правиле указана только 1 группа, пользователи! но увы, юзеры ходят в сеть нормально ая не могу туда никак попасть! Да теперь еще и с ретрансляцией ДНС что то после того как я угрохал юзера, созданного первым, ретрансляция днс накрылась, да что же за е мое!

[Babah22]

VampirBFW, не нервничайте и не спешите и всё будет пучком.

[VampirBFW]

Уважаемый БАБАХ, да я не нервничаю! Ребята спасибо огромное что помогаете, но правда я по моему сын папы карло!
Да, забыл совсем. если отключитть этот совет.
Второе снизу правило:
Source "Подключение по локальной сети"
Destination any
Service any
Action Permit
NAT НЕ ВКЛЮЧАТЬ!
После этого пойдёт авторизация по IP.
То сеть начинает работать, но теперь у меня почемуто не работает ретрансляция ДНС с контроллера домена! то есть почтовиками внешние ящики не забираются, помогите а! ПОЖАЛУЙСТОО!!!!

[Babah22]

ipconfig /all с сервера и со станции рабочей покажи.

[Leshiy]

Спакойна, гражданин! Не истерите.
Запомни - винроуту глубоко насрать, кто контроллер домена, а кто юзер из плоти и крови! Контроллеру домена сопоставлен юзер в винроуте? В винроуте сервис DNS Forwarder заглушен? Какого ты юзера удалил из винроутских юзеров, не Admin случаем?
Когда выкладываешь траффик полиси - выкладывай их полностью, а не обрезками. В траффик полиси играет роль последовательность правил, иногда критическую донельзя.

Пока у тебя есть только одна _ПРОБЛЕМКА_, не можешь залочить сайты некоторые для некотой группы юзеров. Не превращай эту проблемку своими _НЕРВНЫМИ_ действиями в настоящую проблему обвала сети.

[VampirBFW]

ЭЭЭ!!! В винроуте сервис ДНС форвардинг работает, вернее включен! Юзера, нее, не админа, но того который был первым и судя по вашим словам сделал это зря! (я при установке создавал не юзера админ, а ввел свое имя) это сильно плохо?
Да неееее!!! спасибо, блокировка пашет для тех для кого нужно и не пашет для тех, для кого не нужно, эта проблема решена!
Выкладываю скрин полного трафикполиси!

[Leshiy]

Юзера, нее, не админа, но того который был первым и судя по вашим словам сделал это зря! (я при установке создавал не юзера админ, а ввел свое имя) это сильно плохо?
Было бы плохо, если бы это был Админ. А так пофиг.
У тебя ДНС с контроллера перестал в инет ходит когда? Когда ты создал правило по моему совету, то, которое "с форума". Почему перестал ходить? Юзера на него не заведено в винроуте.

[VampirBFW]

Юзер заведен в винруте! ходить перестал после того как я угробил этого юзера! у меня никогда и не было юзера Admin

[Donkey]

VampirBFW, а вообщето это узер по умолчанию