Политики траффика

[Volk1234]

Сильно не ругайтесь, я не волшебник только учусь.
Итак по прочтению мануалов возник вопрос - как разобратся в этих
правилах. например ICQ
Делаю такое правило:
Local - Firewall -ICQ-Permit
ася работает
Firewall-Internet-ICQ-Permit
ася работет
User Name-Internet-ICQ-Permit

ася работет

конечно возможно это связанно с тем что тестирую керио на домашней машине и получается сижу в асе на фаерволе. :o
Но хотелось бы понять и для других правил, как правильно выбрать источник, локалка, или там пользователь или фаервол.....
запусталси.

И второй вопрос: количество соединений на хост, надо ли и какое оптимальное количество - работаю в опере открыто вкладок
20 в настройках поставлено количество соединений -30 всеравно иногда не хватает, превышает количество соединений.

[adm_art]

Цитата

как правильно выбрать источник, локалка, или там пользователь или фаервол

Во первых ты сам для себя должен решить как ты хочешь чтобы это всё работало.
Я например своим юзверян аську не режу, и поэтому у меня в сурсе стоит Lokal. А например в правиле для http/hppts у меня в сурсе стоит Authenticated users.

Добавлено через 2 минуты

Цитата:

Сообщение от Volk1234

количество соединений -30 всеравно иногда не хватает

у меня практически постоянно 600 (из за торента) и нормально работает )))

[С.С. Горбунков]

Цитата:

Сообщение от Volk1234

Local - Firewall -ICQ-Permit ася работает

это правило справедливо, если сервер ICQ установлен на firewall. если же сервер login.icq.com и прочие аоловские - то правило бредовое.

Цитата:

Сообщение от Volk1234

Firewall-Internet-ICQ-Permit ася работет

это правило справедливо, если сервер login.icq.com и прочие аоловские, а асечный клиент запущен на самом firewall либо в локалке, но через непрозрачный прокси (KWF non-transparent proxy)

Цитата:

Сообщение от Volk1234

User Name-Internet-ICQ-Permit ася работет

наконец, в этом правиле, если юзер находится в локалке, и доступ организован через NAT, не хватает этого самого NAT.

[Volk1234]

спасибо.
продолжим
правило
firewall-internet-dns(http\ftp\pop3)-permit
это правило для интернета разрешающее трафик между фаером и интернетом, я правильно понимаю, что для корректной работы пользователей, надо еще задать правило для сети
нечто вроде
lan-firewall-dns(http\ftp\pop3)-permit
вот просто на этом застопорился и туплю, мысли примерно такие-
а нафига тогда фаер если я разрешаю и из сети доступ до фаера и дальше, чего же он тогда фильтрует????

[Babah22]

Volk1234, эта ваша очередная ошибка, зачем создавать правила для лан-фаер, создавайте лан-тынтернет, фирштейн?

[С.С. Горбунков]

Цитата:

Сообщение от Volk1234

нечто вроде lan-firewall-dns(http\ftp\pop3)-permit

это тоже бред. по большей части. ну разве что если на шлюзе расположен веб-фтп-днс-почтовый сервер, и доступ к нему не открыт правилом для локального трафа.

мысли масштабнее! почитай уже, что такое НАТ и как он работает.

[Volk1234]

я как раз таки про нат читал,
и по нату рекомендуют открывать smtp icmp ftp
а все остальное через proxy

понимаете меня всегда грыла такая мысль, ну как же работает
фаервал(чисто логически). Вот назначил я правило
lan-internet-http-permit

И что любое приложение может через http выйти в интернет, даже вирус?
Просто с фаерваломи домашними где блокируются именно приложения, мне понять легче, разрешены только те которые известны, а тут меня тупить начинает.

[Donkey]

Volk1234, Фаервол Обычный-домашний имеет фильтр приложений для облегчения работы клиента. На сервере такая херня не нужна, потому что в проходящих пакетах не указывается какая программа его шлет, а на самом сервере в игрушки не играют

[С.С. Горбунков]

Цитата:

Сообщение от Volk1234

И что любое приложение может через http выйти в интернет, даже вирус?

если не делать авторизацию - то да, любое, и вирус в том числе.

[Babah22]

Volk1234, а что гугль у вас запрещён? что стоит поискать NDIS таки и будет Вам и прокси и нат и пат инапт и какава с макаронами )))) вплоть до драйверов, типа как писать и чё для этого нада ))))) А воопче я поставил кериво, токо потому что мну прокси как прокси заебал и меня интересовал прозрачный фаербол )))) я тоже слышу постоянно, что прокси луче, чем нат и сразу вспоминаю анек - чем армянин луче чем грузин - чем, чем чем грузин )))) типа вот в прокси есть кэш, а что в транспаренте кеши нэту??????
просто прокси сервер воспринимаетца по разному, это универсальное понятие, например, существует 37 БД и 48 сервисов их обслуживающих, можно открыть 48+хз сколько портов на клиенте, чтобы до сервисов достучатца, а можно открыть один порт, и у становив на машине один прокси сервер, распихивать запросы по 48+хз портов наших сервисов, которые в свою очередь хитровы****но буду обращаться к 37и БД )))))

[Volk1234]

Babah22
а вот кстати неплохая статейка от криса касперски
[Для просмотра данной ссылки нужно зарегистрироваться]
можете и остальных посылать туда для начального образования.

Цитата

Если на компьютере установлен Proxy-сервер (а он установлен практически на всех домашних сетях), любое приложение может свободно выходить в сеть и гулять по любым адресам, осуществляя информационный обмен во всех направлениях.

жгеть..

[Volk1234]

Спасибо:
С.С. Горбунков, Babah22, Donkey !
Вижу вы уже годика три в теме(на разных форумах по теме керио), гуры короче вы.

Почемуто были глюки с Оперой. После ошибки недостаточно места на диске С:\ -и последующей очистки диска опера в упор не загружала страницы, причем ослик работал.
Снес все полиси заново прописал. Все работает. Выкладываю свои правила, не бейте сильно, пока тестирую на домашнем компе, т.е. с фаервола хожу в инет.

Версия Kerio 6.5

При построении правил была задача:
1.Выход в интернет по 2 УЗ
2.Ася должна работать
3.Почтовик (4 ящика) должен работать
4.Сеть должна работать
5.ДС++ клиент должен работать
6.Пинг должен работать.

Не достигнуто: с сервера gmail письма не получаются и не отправляются хотя в раздел Определения - Службы добавил в POP3 и SMTP порты 995, 587.

все остальное работает.

С локалкой намудрил, потому как иначе в ДС++ не работает поиск и пока
лень было копатся.

Кстати не открою Америку если скажу всем новичкам: читайте мануалы и будет вам счастие. Сам разобрался почему в Опере у меня фаер пытал пароль, а в осле нет - надо было убрать привязку к IP адресу.
В связи с этим вопрос: а можно сделать привязку пользователя к IP
в логах, но не делать автологон ??

Ну и второе, насколько все плохо в моем трафик полиси? ))

[Donkey]

Volk1234, вы бы лучше не в службы добавили а просто ручками в правилах эти порты прописали 995, 587
В правиле ICQ убейте NAT у вас прямое соединение с инетом
Что такое за Правило Тырнет? Вы выпускаете локального пользователя привязанного к машине с Керио? Если это наружний - то тогда правило бессмысленное, потому как нету Трансляции НАТ

[Volk1234]

PS Причем интересно, завел юзера нового. Зашел под ним на виртуалке, т.е. считай с другого компьютера. И пустило в интернет.
Хотя в трафик полиси только один юзер и фаервол. тоесть получается
юзер зашел под своим логином и через фаервал вышел в интернет?

Donkey
ну ася только пока -прямое соединение, скоро ведь будет на сервере надо делать.
Но в позновательных целях полезно, спасибо учту.

После добавления портов 995, 587 (и там еще остались POP3 SMTP - я их обратно отредактировал на портв 25, 110) почта перестала получатся и с
обычного mail.ru

Добавлено через 14 минут

Цитата:

Сообщение от Donkey

Если это наружний - то тогда правило бессмысленное, потому как нету Трансляции НАТ

Пользователь тот, это я на фаерволе.

А зачем для открытия веб страничек NAT ? То есть если у меня включен непрозрачный прокси и я хочу всех завести на него, кроме почты и аси ??

и как тогда это правило для интернета должно выглядеть на сервере для 35 пользователей?? Аутентифицированные пользователи -интернет-DNS, HTTP,HTTPS -Разрешить ???

[Donkey]

Volk1234, а протокол-инспектор в положение None переведен в правиле почта?
Чтобы не следовало вопроса "а Где это" - Это правой кнопкой мыше на окошке Трафик полиси Modify Columsn и в поле выставить галку протокол-инспектор и добавится дополнительный столбец


и всё-таки он протокол-инспектор
С.С. Горбунков.

[Volk1234]

Сделал как вы предложили, пока не помогло:

[Volk1234]

А вот когда я добавил в источник, кроме пользователя еще и
firewall все заработало

[С.С. Горбунков]

Volk1234,
ты упорно игнорируешь все советы и инструкции. ну и на здоровье, бог в помощь.

[Volk1234]

С.С. Горбунков
Какой именно совет?

Неужели вы думаете, что любой человек если ему растолкуют, что к чему, откажется от полезного для себя?
Если человек не прислушивается к совету, то возможно он его не понимает. Вот вам пример:
я почитал матчасть - уровни Osi, протокол TCP\IP на базовом уровне изучил, про НАТ почитал статейку. Все вроде ясно.
Но мне не ясно чего меня так настойчиво пихают на этот НАТ. Никто мне не обьясняет его преимущества. Мне вот нравится непрозрачный прокси.
Я люблю завершенность. Слово непрозрачный мне нравится
Что плохого в прокси и что хорошего в нате.

[Babah22]

Volk1234, философский вопрос что плохого и что хорошего, проводите социологический опрос, с обоснованием почему так хорошо, а так никак ))))) мне лично нат больше импонирует, потому что работают сквозь него все протоколы, все 128 протоколоффф и на клиентах нихера не нада прописывать и клиентские части не нужны и вообще пользователь в полной уверенности что ***егознает как оно работает ))))))