источник в правилах: пользователи vs интерфейсы

[BAMBARBIA]

дано
N компьютеров, авторизующихся по IP, поделенных на две большие группы:
S (смертные) Смертным доступны веб и почта, соцсети закрыты.
G (боги) Богам доступны все протоколы и сайты.
Шлюз Kerio Control 7.3.0 build3861 на винXP SP3 (аналогичная проблема с 2000 кстати)

Для того чтобы реализовать эти запреты были сделаны следующие настройки.
Правила трафика:

политики хттп:


при этом вроде бы всё работает, но периодически на разных клиентах интернет пропадает совсем и пинга нет. Причём пинг получает адрес из ДНСа но не получает пакеты.

далее я делаю следующее и у всех всё сразу работает.


Поясните пожалуйста почему керио не любит группы в качестве источника и как кошернее обойти этот угол?

[BAMBARBIA]

два варианта,
1. никто не знает
2. это где-то написано большими красными буквами для идиотов.

[naliman]

а керио купленый?
а количество 2лицензиц" соответствуеьт количеству активнфых пользоваталей?

хз

а судя по кусочкам правил, видимых на картинках - сделано верно

[BAMBARBIA]

Цитата:

Сообщение от naliman

а керио купленый?

Ухаха. был бы купленый я бы в техподдержке спросил.


Проблема возникает именно при выставлении групп в качестве источника, даже не представляю какиеименно другие дополнительные данные нужны и что ещё может на это повлиять.

[Marrab]

BAMBARBIA, это, похоже, продолжение глюков с автоматической аутентификацией по IP-адресу. Решается это очень просто с помощью двух доолнительных правил в самом низу:

1. Запрет всем аутентифицированным пользователям всего.
2. Разрешить из локального интерфейса ходить в инет по всем портам (или выбрать по вкусу). Нат на этом правиле можно не ставить. Хотя, ходят слухи, что без ната это правило перестает работать как надо.

P.S. Где-то здесь на форуме описан этот глюк вместе с решением. Автор, Leshiy, если мне склероз не изменяет.

[BAMBARBIA]

Господа, вы будете смеяться, но история повторяется.

Поставил KCSA 8.1.1 и там ровно та же история.
Авторизация по IP, пользователи добавлены в группы.
Ставлю в источники группы - хосты начинают отваливаться в произвольном порядке. Ставлю в источники интерфейс - всё нормально.

Какой-то неистребимый глюк. Кто знает в чем дело?

[EnMan]

Мне кажется уже язык смочалили объяснять почему так... Группа - это кучка уже авторизованных пользователей!!! По правилу в источнике которого группа пользователей не будет авторизовывать пользователей!!!

[BAMBARBIA]

как-то это странно. Почему авторизация по IP вдруг отключается если в правиле стоит группа? Никакого логически объяснимого затыка не вижу. По идее когда хост ломится в интернет, прокси проверяет ИП, авторизует, определяет имя и группу и применяет правило.

Если так нельзя делать по воле аллаха, тогда как мне дать доступ одной части пользователей только на ХТТП, а другой на FTP например, прописывать их IP вручную?

[EnMan]

Логический затык есть, просто он очень тонкий, не очевидный. Для того, что бы определить принадлежность пользователя группе - Керио его должен уже знать. Если пользователь не авторизован - Керио не разберет в группе он или нет. Так было всегда, копий на эту тему сломано - мама, не горюй. Марраб и прав и не прав одновременно. Это не глюк, это by design, но прав в следующем, решение действительно описывал Леший, это редирект на страницу авторизации средствами http policy, я его и тогда не понимал в силу тугости ума, а сейчас уже и не помню. Но помню, что Витя мне его разжевывал еще на старом winroute.ru и я даже проверял, оно рабочее. Для себя я выбрал это

Цитата:

Сообщение от Marrab

Разрешить из локального интерфейса ходить в инет по всем портам (или выбрать по вкусу). Нат на этом правиле можно не ставить. Хотя, ходят слухи, что без ната это правило перестает работать как надо

и оно действительно без включенного на нем NAT с какой то мохнатой версии также не будет отрабатывать.

[BAMBARBIA]

Цитата:

Сообщение от EnMan

Если пользователь не авторизован - Керио не разберет в группе он или нет.

У керио есть база с IP адресами, пользователями, группами. Что ему мешает сопоставить одно с другим? И потом, когда я ставлю в источник пользователя - всё нормально ходит. То есть источник-пользователя он может авторизовать сам, а когда группу указываешь то он сразу авторизовать не может? Какая-то очень сомнительная логика.

Насколько я понимаю при правиле Марраба, все кто соизволит подключить свой девайс к сети, получат IP от моего DHCP и тут же спокойно полезут в интернеты?
Хоть IP-авторизация и предполагает достаточную свободу, но я бы хотел пускать в интернеты заранее известные мне хосты. Тем более что у начальников отделов мобилки и планшеты с вафлей, соответственно пароль на вафлю известен почти всем. Не хотелось бы выступать спонсором всех имеющихся в здании смартфонов.

сейчас у меня и стоит правило из локала в нет. но это не выход если надо как-то разграничить доступ к разным протоколам для разных групп пользователей.

[EnMan]

У меня создается ощущения, что это я разработчик Керио. Ты спросил почему - я ответил почему. С претензиями к саппорту. Сомнительная или нет - поебать. Это так. Точка. Обсасывалось это в мельчайших подробностях, можно заюзать поиск. В твоем случае, если тебе известны адреса хостов, то создай правило в котором будет группа адресов и поставь его в источнике. Это правило поставь ниже правил с группами. Таким образом авторизация пройдет по нему, а дальше пользователь уже будет известен и группы пользователей отлично отработают.

Цитата

Сообщение от BAMBARBIA

Насколько я понимаю при правиле Марраба, все кто соизволит подключить свой девайс к сети, получат IP от моего DHCP и тут же спокойно полезут в интернеты?

Это не правило Марраба, если совсем быть точным, то копал эту тему я лично. Я же описывал пути решения в ветке по авторизации. Но суть не в этом. Нет, они не спокойно полезут в интернеты. У них будет запрошен пароль через веб форму, которого у них что? Правильно, не будет.

Понял мысль? Если нет, скажи, я объясню на примере.

[BAMBARBIA]

Если я правильно понял то для того чтобы сработала авторизация надо сверху прилепить правило, содержащее 192.168.0.* в источниках, которое может никуда и не вести, главное чтобы по нему пакетам давалась авторизация?

оригинальный ход, ни за что бы не догадался, мои благодарности.