Аутентификация пользователей при доступе к веб странице

[ramshik]

Всем доброго дня, прошу помощи вот по какому вопросу


Домена у меня нет!!!

Есть сервер WS2012R2 на нем есть VM на которой крутится KERIO CONTROL 8.5.3


Создал группу LOCAL прописал всех пользователей с ихними статическими IP адресами. пример Бухгалтер - 192.168.xx.xx


Хочу сделать доступ к интернету только после Аутентификации.

Захожу в раздел ДОМЕНЫ И АУТЕНТИФИКАЦИЯ ПОЛЬЗОВАТЕЛЕЙ ставлю маркер на пункт Всегда требовать аутентификации пользователей...



Перезагружаю VM запускаю у пользователей Браузер ломлюсь на страницу mail.ru через https соответвено и на ya.ru через http пускает без запросов на АУТЕНТИФИКАЦИЮ ПОЛЬЗОВАТЕЛЯ.


Захожу с телефона сначала ругается на сертефикат затем просит АУТЕНТИФИКАЦИЮ... Как и должно быть ..


Подскажите что сделал не так ???

--------------------------------------------------------------------------------

Разобрался если присваивать пользователю IP то он считается АВТОМАТИЧЕСКИ ЗАЛОГИНЕНЫМ странная логика ну да ладно, теперь другая проблема с сертификатом итак

Cоздал сертификат для локального центра

имя }{оста 192.168.xx.xx

Cоздал новый сертификат для SSL

имя }{оста 192.168.xx.xx

Оба сертификата на 10 лет

Выгрузил сертификат (для локального центра) в РЕМ


Открываю его на серваке и заношу в доверенные центры сертификации все проходит успешно как положено.


На клиенте так как у меня нет домена делаю те же действия, открываю IE хавает нормально ХРОМ ругается хоть ты тресни, взял сертификат занес его через хром в доверенный перезапустил все ровно не нравится ему..


Как выход вижу только отключение SSL для вебки - НО не безопасно((((


Скачал мазилку портативную внес в нее все плагины добавил сертефикат керио и поставил всем пользователям..... Задача достигнута криво коса но всех все устраивает при запуске любых других браузеров все так же работает но ругается в некоторых на сертификат....

Цитата

Сообщение от ramshik

если присваивать пользователю IP то он считается АВТОМАТИЧЕСКИ ЗАЛОГИНЕНЫМ странная логика

любая активность с "прописанного" IP автоматически зачисляется на пользователя
в чём странность?

Цитата

Сообщение от ramshik

Как выход вижу только отключение SSL для вебки - НО не безопасно(((

ну да, у тебя ж в сети йУнЫйЕ кУлХацКиРы целыми днями сидят друг дружкины паорли сниферят
так ведь всё происходит?

Цитата

Сообщение от ramshik

Домена у меня нет!!!

ну, кагрится, бедность не порок, к чему такая экспрессия?

Цитата

Сообщение от ramshik

Создал группу LOCAL прописал всех пользователей с ихними статическими IP адресами.

если присваивать пользователю IP то он считается АВТОМАТИЧЕСКИ ЗАЛОГИНЕНЫМ странная логика

Стат. адреса внезапно прописываются не там.

Цитата

Сообщение от ramshik

Подскажите что сделал не так ???

Не прочитал мануал к ПО, там все написано.

Цитата

Сообщение от exchar

Стат. адреса внезапно прописываются не там.

он имел ввиду "привязку" пользователя к IP, которая в свойствах пользователя делается

безусловно IP-адреса компьютеров в сети должны быть "постоянными", либо установлены руками либо зарезервированы в дхцп

Цитата:

Сообщение от naliman

он имел ввиду "привязку" пользователя к IP, которая в свойствах пользователя делается

Ну да. Однако, судя по эффекту результат было для него неожиданным , т.е. человек думал, что делает что-то другое с именами пользователей и айпишниками. А что еще умозрительно можно с ними делать - разве что так назначить магическим образом пользователям статику...

[ramshik]

Цитата:

Сообщение от naliman

любая активность с "прописанного" IP автоматически зачисляется на пользователя
в чём странность?

Статистика ключевое слово причем тут статистика посещения и запрет на доступ.


Если я присвоил пользователю статику в kerio, значит я автоматом разрешил ему без аутентификации смотреть в нет ПИПЕЦ ЛОГИКА.


Статистика и Доступ разные вещи мне кажется

Добавлено через 4 минуты

Цитата:

Сообщение от naliman

ну да, у тебя ж в сети йУнЫйЕ кУлХацКиРы целыми днями сидят друг дружкины паорли сниферят
так ведь всё происходит?

Сети обычные но токены от банков работают только через HTTPS

А так же торговые площадки, + используются сертификаты.


Угнав пароли хоть и временные от ЛК в БАНКЕ это значит открыть сейф и уйти.


Не зная реализации работы не нужно ГЛУМИТСЯ не чего ответить дельного ЛУЧШЕ не пишите чухни.


На МАНУАЛ ВРЕМЕНИ НЕТ поэтому и задал вопрос , но как вижу ГУРУ страдают херней а не дают дельные советы. Спасибо!!!

Цитата

Сообщение от ramshik

Если я присвоил пользователю статику в kerio, значит я автоматом разрешил ему без аутентификации смотреть в нет ПИПЕЦ ЛОГИКА.

это и есть аутентификация - ты подтвердил что с этого Ip заходит в сеть именно Вася а не Петя и Коля, зачем керио еще раз спрашивать кто это?
А вот куда ходить и что смотреть Васе настраивается правилами именно для Васи или для группы в которую Вася входит.

Цитата

Сообщение от ramshik

На МАНУАЛ ВРЕМЕНИ НЕТ поэтому и задал вопрос , но как вижу ГУРУ страдают херней а не дают дельные советы. Спасибо!!!

добавлю на всякий чуть более развернуто

в свойствах пользователя прописывается автологин пользователя с конкретного ip, mac и т.п., т.е. автоматическая авторизация пользователя на шлюзе. без пароля. заполнять не обязательно, а в твоем случае вообще вредно =)

для пропуска только авторизованных в нужных правилах политики трафика в столбце "источник" должна стоять группа пользователей или список пользователей.

статика задается по mac в настройках dhcp и нигде более.

и да, я не понесу деньги в банк, админы которого не читают мануалов к фаеру

[ramshik]

Цитата

Сообщение от Valery12

это и есть аутентификация - ты подтвердил что с этого Ip заходит в сеть именно Вася а не Петя и Коля, зачем керио еще раз спрашивать кто это?
А вот куда ходить и что смотреть Васе настраивается правилами именно для Васи или для группы в которую Вася входит.

Я думал что логика идет так

Вася это ПК с Ip 192.168.xx.xx

А вот Авторизация пользователя ВАСЯ у которого ПК 192.168.xx.xx должен ввести логин пароль

Даже если KERIO знает что ВАСЯ это ПК 192.168.xx.xx (При условии что я поставил маркер на пункт требовать аутентификацию ) должен просить хотя бы пароль.

А получается что KERIO знает ВАСЮ с его паролем и 192.168.xx.xx но на сколько я думал, знает он это только для того что бы собирать статистику.

Добавлено через 2 минуты

Цитата

Сообщение от exchar

добавлю на всякий чуть более развернуто

в свойствах пользователя прописывается автологин пользователя с конкретного ip, mac и т.п., т.е. автоматическая авторизация пользователя на шлюзе. без пароля. заполнять не обязательно, а в твоем случае вообще вредно =)

для пропуска только авторизованных в нужных правилах политики трафика в столбце "источник" должна стоять группа пользователей или список пользователей.

статика задается по mac в настройках dhcp и нигде более.

и да, я не понесу деньги в банк, админы которого не читают мануалов к фаеру

Достойный ответ спасибо все стало Яснее

Добавлено через 7 минут

Цитата

Сообщение от exchar

добавлю на всякий чуть более развернуто

в свойствах пользователя прописывается автологин пользователя с конкретного ip, mac и т.п., т.е. автоматическая авторизация пользователя на шлюзе. без пароля. заполнять не обязательно, а в твоем случае вообще вредно =)

для пропуска только авторизованных в нужных правилах политики трафика в столбце "источник" должна стоять группа пользователей или список пользователей.

статика задается по mac в настройках dhcp и нигде более.

и да, я не понесу деньги в банк, админы которого не читают мануалов к фаеру

Поделитесь мануалом к 8.5 версии буду благодарен

Цитата

Сообщение от ramshik

Поделитесь мануалом к 8.5 версии буду благодарен

Идешь в прикрепленную [Для просмотра данной ссылки нужно зарегистрироваться], по открываешь по [Для просмотра данной ссылки нужно зарегистрироваться] выбор продуктов, находим свой продукт и релиз, жмем показать файлы, листаем список до секции documentation, выбираем [Для просмотра данной ссылки нужно зарегистрироваться].

также есть [Для просмотра данной ссылки нужно зарегистрироваться], где весьма внятно многое описано.

Цитата

Сообщение от ramshik

На МАНУАЛ ВРЕМЕНИ НЕТ

вот это логика, та самая - ахуенная

[ramshik]

Цитата

Сообщение от exchar

Идешь в прикрепленную [Для просмотра данной ссылки нужно зарегистрироваться], по открываешь по [Для просмотра данной ссылки нужно зарегистрироваться] выбор продуктов, находим свой продукт и релиз, жмем показать файлы, листаем список до секции documentation, выбираем [Для просмотра данной ссылки нужно зарегистрироваться].

также есть [Для просмотра данной ссылки нужно зарегистрироваться], где весьма внятно многое описано.

Спасибо большое.

Добавлено через 1 минуту

Цитата:

Сообщение от naliman

вот это логика, та самая - ахуенная

Я думаю у каждого есть такая ситуация когда говорят что бы через час уже все бвло настроено , в таком варианте точно не до мануала, надеешься на форумы и опыт людей, а получаешь море грязи и нареканий. Так что как то так.

Цитата

Сообщение от ramshik

Я думаю

конечно бывают разные обстоятельства, даже когда "нужно вчера", и конечно в этих обстоятельствах приходится искать помощь "прямо сейчас", но это никак не отменяет необходимости изучить руководство, так же как и не отменяет необходимости найти то самое время
вы же не круглосуточно на работе находитесь, в конце концов есть ночь и vmware, ставьте "тестовую" инфраструктуру в виртуальной среде и крутите её в свободное от работы время (ночь)

Цитата

Сообщение от ramshik

когда говорят что бы через час уже все бвло настроено

а тут впору задуматься о нормальности этих людей
мой личное имхо - они сами никогда ничего не делали, но всегда знают что реально нужно и как правильно это сделать
есть такой сорт специалистов - теоретики

логика их рассуждений примерно такая:
"футбол, хуле там сложного? одного обвёл, второго третьего обвёл, ударил, забил гол, ВСЁ ! чего эти 20 мудаков 2 часа по полю бегают с околонулевым результатом? непонятно. неспособные потому что игроки и неэффективные тренеры"

при этом никаких аргументов, поясняющих "почему нельзя так" - они не воспринимают, ибо они верят в себя и свою правоту

ну или как "ёбарь теоретик" - знает как чего когда и куда сувать, а сам ниразу тёлку за сиську не трогал

вот примерно такие люди и рождают задачи "сделать в течение часа"

да, это трудности, цирк и балаган

но мы ведь не заставляем никого работать в балагане
и винить нас в том что мы "не помогли в трудную минуту" - не следует
мы можем помочь разобраться с какой то технической непоняткой (при чём, если обратите внимание на название ресурса - узкотехнической)
и нам не интересны истории леденящие кровь про "нужно ещё вчера"
всем сопереживать сопереживалка быстро сломается, в конце концов мы не красный крест и у нас в штате нет матери Терезы

PS
всё это не нужно принимать ни личный счёт, всё это - "про вообще" а не персонально для вас

[cRYSMAS]

Добрый день, подскажите кто делал так:
ПО: Kerio Control 9.1.0 Домен 250 пол.
Есть домен, доменные учетки, аутентификация пользователей через доменные учетки, функция аунтификации NTLM фключина, но вбивать руками логин и пароль нужно - не критично. Главный вопрос есть 10 человек которым нужно сделать доступ к интернету без аутентификации пол. на так. устройствах планшеты айпады айфыоны обы. теле и т.д. набирать в лом а требует авторизацию что подскажите? Как можно пропустить их но напрямую без аутентификации?
Уже все сделал:
Для тех кто в танке, чтоб все пользователи ходили через аутентификацию а некоторые пользователи сразу без ввода логина/пароля нужн опол .указывать айпи адрес с того устройства котого он заходит. но еще не получилось аутентификацироватся по доменной учетке сразу... отпишу как сделабю

Цитата

Сообщение от ramshik

присвоил пользователю статику в kerio

Значит именно то, что ты разрешил системе индентифицировать пользователя по его IP номеру. Причем не важно, для статистики, или для любых других действий, например, для доступа в интернет, ибо ты его уже индентифицировал. Ты индентифицировал в системе пользователя. Это надеюсь понятно?? Где твоя логика, "йуный падаван"??

Цитата

Сообщение от ramshik

Статистика и Доступ разные вещи

Естественно. На, для учета и того и другого (по ID пользователя) требуется иентифицировать действия пользователя по его учетной записи, что ты и сделал, выдав пользователю статический IP. Где у тебя логика??

Цитата

Сообщение от ramshik

токены от банков работают только через HTTPS

Ну, так они организуют защищенный канал связи SSL по сертификату сервера банка, а не твоему. Учи матчасть. Твой сертификат нужен только для защиты учетных данных пользователя при авторизации на файрволе и/или VPN сервере.

Цитата

Сообщение от ramshik

Не зная реализации работы

тебе не стоит нести хуйню, мил человек. Ты бы сам, для начала, подучил матчасть, в части принципов организации защищенных каналов связи по SSL, ну и логических умозаключений для общего понятия, что-ли...

Цитата

Сообщение от ramshik

Поделитесь мануалом к 8.5 версии

download.kerio.com как собственно вообще всего что связано с продукцией Kerio Technologes.

Добавлено через 13 минут

Цитата

Сообщение от ramshik

надеешься на форумы и опыт людей

несмотря на то, что надеяться следует только на самого себя, ну, или на плечо надежного друга. И все. А то, читать руководство у тебя времени нет, а вот написать русскую букву "Х" псевдографикой и обвинять старожилов форума время есть... Опять странная логика.

P.S. Тебе здесь ничего ничего не должен.

Добавлено через 16 минут

Цитата

Сообщение от cRYSMAS

Главный вопрос есть 10 человек которым нужно сделать доступ к интернету без аутентификации

А ты не противоречишь сам себе?? Как файрвол должен узнать, что это именно те 10 человек?? Очевидно (и логично) - авторизовать их. Выдай им локальные на файрволе имена пользователей и назначь им статические IP на DHCP, привяжи эти IP номера у этим 10-ти учеткам, и все.

[cRYSMAS]

Цитата:

Сообщение от HOG

А ты не противоречишь сам себе?? Как файрвол должен узнать, что это именно те 10 человек?? Очевидно (и логично) - авторизовать их. Выдай им локальные на файрволе имена пользователей и назначь им статические IP на DHCP, привяжи эти IP номера у этим 10-ти учеткам, и все.

да но у меня проблема с аунтификацией автоматической, полуается когда авторизированный пол. домена запускает мозилу/хром/оперу/браузер и переходит на любой сайт ему выбивает окошечко о том что требуется аунтификация пользователя, хотя пользователь аунтифицировался в компьюетере домена, и в настройках стоит аунтификация согласно NTLM. А теперь представьте пол. ТОП(шеф большой) хочет черз свой смартфон подключится через точку доступа к интернету, ему приходится аунтифицироватся как пользователь, что приводит к дискофорту, а конда нужному поль. указываешь айпи то он сразу авторизируется у керио.

назначение ip по мак-адресам похоже вопрошающему в голову не помещается.

вообще клевая способность у определенных людей - при чтении пропускать незнакомые слова и выражения )

Цитата

Сообщение от cRYSMAS

выбивает окошечко о том что требуется аунтификация пользователя, хотя пользователь аунтифицировался в компьюетере домена

означает то, что у тебя в файрволе неправильно указаны какие-либо настройки, либо, собстно, сам файрвол не является членом доменной структуры.

Цитата

Сообщение от cRYSMAS

у меня проблема с аунтификацией автоматической

очевидно означает то, что ее нужно решать, а не разглагольствовать об этом. Для начала, стоит проверить внесен-ли файрвол в зону доверенных локальных узлов, которым разрешается автоматическая авторизация посредством NTLM/Kerberos... Это так, к слову...

Цитата

Сообщение от cRYSMAS

А теперь представьте пол. ТОП(шеф большой) хочет черз свой смартфон подключится через точку доступа к интернету, ему приходится аунтифицироватся как пользователь, что приводит к дискофорту

Именно поэтому я тебе и сказал, что нужно

Цитата:

Сообщение от HOG

локальные на файрволе имена пользователей и назначь им статические IP на DHCP, привяжи эти IP номера у этим 10-ти учеткам, и все.

именно для того, чтобы у тебя

Цитата

Сообщение от cRYSMAS

приводит к дискофорту

большого шефа. И чтоб этого не случалось, то нужно сделать локального для файрвола "большого шефа", выдать ему резервирование по МАС адресу на DHCP и авторизовывать его именно по связке IP+MAC+local firewall username. Всего делов-то...

Цитата

Сообщение от exchar

назначение ip по мак-адресам похоже вопрошающему в голову не помещается.

А я ему немного выше об этом именно и говорил. Только походу, он не слышит.

P.S. Орфография источника сохранена полностью.

[Nirraen]

Цитата

Сообщение от exchar

и да, я не понесу деньги в банк, админы которого не читают мануалов к фаеру

чот в голосину))