Итак, устанавливаем ТМетр на шлюзовую машину и приступаем к настройкам.
Что мы хотим?
Мы ходим - что бы ТМетр считал трафик интернеета по учётным записям AD, отлично, приступаем:

1. Включаем в ТМетре активный режим, выбираем интерфейсы на которых будет производиться подсчёт трафика:


2. Первым делом в наборе фильтров - создаём фильтры для подсчёта трафика серверов компании (например это может быть почтовый сервер или сервер WSUS).
Правило создаётся следующим образом: в качестве источника указывается IP-адрес сервера, в качестве назначения - адреса глобальной сети, протокол ставится любой (что бы считать весь трафик независимо от протокола), указывается что трафикдолжен быть через внутренний сетевой адаптер, остальное по умолчанию (как на картинке):


Если требуется знать трафик каждого сервера (наприер отдельно трафик почтового сервера и отдельно сервера WSUS) - тогда для каждого сервера сождаётся отдельный фильтр с одним индивидуальным правилом, если же такое разделение ненужно - то можно создать один фильтр "трафик серверов" к примеру, а в этом фильтре несколько правил - для каждого сервера по правилу, и тметр одним фильтром будет обсчитывать трафик всех серверов.

3. Добавление пользователей в систему ТМетр.
Выбираем меню "пользователи", изначально список пуст, жмём кнопочку "добавить":


Выбираем режим аутентификации пользователя - доменный, жмем кнопочку  "выбрать" и нам открывается список доменных пользователей (производится выборка из AD), выбираем нужного пользователя из списка, проделываем эту операцию пока не занесем всех пользователей AD в список ТМетра (у меня на работе их штук 50, я делал для каждого) :


выбранный пользователь появляется в списке пользователей, если в данный момент на компьютере пользователя запущен клиента авторизации тметра - то пользователь подсветится в списке зелёненьким цветом и рядом будет указан IP-адрес машины, на которой залогинен в банный момент этот пользователь:


4. Возвращаемся к списку правил ТМетра, создаём правио, которое будет считать трафик нужного нам пользователя, при этом в качесве источника в фильтре правила - надо выбрать "аутетнтифицированный пользователь" и чуть ниже выбрать из списка пользователя, для которого делается фильтр:


В итоге у нас сформируется набор фильтров, где первые несколько фильтров - фильтры для подсчёта трафика серверов по их IP=адресам, а далее - фильтры для подсчёта трафика конкретных пользователей:


После того как фильтр пользователя создан, можно в свойствах пользователя указать этот фильт как доступный для просмотра (просмотреть значение счетчика фильтра пользователь сможет через клиент авторизации ТМетра, который стоит у него на компьютере и отображается значком "светофор" в трее):


5. Для того что бы хитрые пользователи не захотели вас наколоть и сделать так что бы их трафик не считался (ну они могут выгрузить TrafMonitor то есть значек светофора из трея) я сделал так, что при отключенном "светофоре" - пользователю интернет недоступен.
Для этого я создал правило (см. картинку ниже) и поставил это правило в самый низ списка.
Правило блокирует все сетевые пакеты, которые не были подсчитаны предыдущими фильтрами, то есть получается что при отключении светофора - пользователь перестаёт быть авторизованным ТМетром и его трафик - блокируется, при этом трафик серверов (поскольку считается по IP) - не блокируется


В конце концов вот такой список правил у вас появляется:
первыми идут - фильтры трафика серверов
далее - фильры трафика авторизованных пользователей
последнее правило - блокирующее правило

Вот и всё, инструкции вполне достаточно что бы настроить ваш ТМетр. Повторюсь - данная конфигурация является лишь ПРИМЕРОМ, некоторым именно она подойдет, а некоторым требуется как то по-другому организовать подсчёт трафика, тут уж сами.

PS
Как автоматизировать установку клиента авторизации (TrafMonitor) на компьютеры домена - можно прочитать тут.

(C) Kerio-rus.ru

Иногда случается так, что за одним компьютером работают несколько пользователей, а на KWF включена обязательная авторизация пользователей...
При этом Логин пользователи производят вводом пароля и логина на странице авторизации, а при выходе из сеанса Windows (логаут) например что бы залогинился и начал работать другой пользователь - забывают сделать LogOut на KWF  и трафик вновьзалогиненого (другова) пользователя проболжает считаться трафик вышедшего пользователя

LogOut на KWF можно автоматизировать.

Способ первый с использоватнием *.js скрипта.

1. берём скрипт, распаковываем, в тексте скрипта меняем _http://kerio-server:4080 на URL вашей веб-страницы керио (порт соответстенно ставите свой)
2. Active Directory: создаём объект GPO, в котором прописываем этот скрипт в "Logout Scriprs", назначаем политику нужным доменным пользователям
3. В сети без домена AD - поместить данный скрипт в %Windir%\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\ (при этом логаут предыдущего пользователя произойдет во время входа в Windows уже следующего пользователя)

Примечание: Аутентификация на KWF должна осуществляться по NTLM.
Так написано у источника, но у меня при сети без домена и при включенной авторизации на KWF работает вот при таких настроках:



текст скрипта:

var oIE = WScript.CreateObject("InternetExplorer.Application");
oIE.Visible = 0;
oIE.navigate("http://Kerio-server:4080/fw/login");
while (oIE.Busy) WScript.Sleep(300);
while (oIE.ReadyState != 4) WScript.Sleep(300);
oIE.navigate("http://kerio-server:4080/fw/logout");
while (oIE.Busy) WScript.Sleep(300);
while (oIE.ReadyState != 4) WScript.Sleep(300);
oIE.document.forms[0].ButtonLogout.click();

Информация с http://forum.ixbt.com/topic.cgi?id=7:12821-34#4858

Способ второй

Создаём файл logout.bat с содержимым:
Start logout.url

Создаём файл logout.url со слкдующим содержимым:
[DEFAULT]
BASEURL=http://my_host:4080/fw/login?ButtonLogout=1

[InternetShortcut]
URL=http://my_host:4080/fw/login?ButtonLogout=1

Скачать готовые файлы можно тут (только не забыть поправить URL на правильный)

Кладём эти файлики куда то на диск в отдельную папочку, далее запускаем gpedit.msc и прописываем в настройках пользователя - логофф скрипт (указываем путь куда вы положили эти файлики):


Если есть AD - то этот скрипт можно всем прописать через доменную политику, а так - на каждом компе ручками...

Этот способ взят с http://www.winroute.ru/forum/viewtopic.php?t=630&postdays=0&postorder=asc&start=15

Когда то давно перед всеми стояла проблема (или задача) точного подсчёта интернет - трафика, израсходованного пользователями офиса.
Посмотрим на TMeter ...
До недавнего времени он исправно сожительствовал на шлюзе вместе с msISA2004 и считал трафик каждого компьютера сети (пользователь был "закреплён" за компьютером в статистике трафика...
Работало это давно и удовлетворяло полностью (ну пришлось посидеть немного в DHCP резервирование сделать что б определенная машина получала только определенный IP и что б статистика TMeter-а не теряла смысла)
С недавнего времени ТМетр стал уметь работать с учётными записями домена, то есть считать трафик по пользователям....
Единственное что надо сделать - на каждый компьютер поставить клиента авторизации, но это чепуха по сравнению с тем что получится в итоге...

Значит обновил я версию на своём сервере до последней версии 7.х.х, в которой реализована поддержка работы с учётными записями AD, протестировал на нескольких машинах - всё работает как  часики и теперь о подсчёте трафика можно не беспокоиться.

Ну а теперь собственно о том как это работает:

1. Устанавливается на шлюз (KWF или чтото иное - не важно) сам TMeter, естественно "лицензируется" и потом настраивается...
Настройка ТМетра описана в новой инструкции

2. Устанавливается "клиент" на пользовательский компьютер, в его настройках выбирается "доменная аутентификация" и адрес(имя) машины на которой стоит TMeter

Собственно говоря всё настраивается не отходя от рабочего места, вот только установка и настройка клиентов на пользовательских машинах - дело казалось бы хлопотное...
Я поленился ходить руками ставить и сделал "сборку" - то есть клиент, готовый к запуску сразу после распаковки
Несколько тонкостей:
- копируется в c:\program files\tmeter (путь по умолчанию при установке)
- запускается *.reg файл с настройками (если вы решите изменить пусть где будет стоять клиент - в файле реестра надо так же поправить этот путь)

Можно несколько автоматизировать процесс: логон скриптом например копировать клиента на все машины (через GPO), так же скриптом импортировать настройки реестра.

В общем то выкладываю всё в одном архиве, скрипт копирования (копируется содержимое расшареной папки в c:\program files\tmeter), скрипт - определяющий пользовательская сессия является терминальной или нет (ну пользователям на терминал устанавливать клиентов нет смысла)
Если пользовательская сессия не терминальная, то выполняется импорт ключей реестра из *.reg -файла с настройками клиента.
Какой использовать - сами решите...

Содержимое архива:
autorun.reg - файл с ключами рееста для настройки клиента
TMeter_auto_reg.vbs - скрипт для импорта настроек из вышеупомянутого файла, скрипт срабатывает в определенный день недели (например если я решил ввести в работу новую систему подсчёта траффика в этот день централизованно для всех пользователей)
copyreg.vbs - скрипт просто копирует содержимое указанной папки по указанному пути и вносит изменения в реестр из файла *.reg
В VBS-скриптах надо указать вместо \\server\share\TMeter\... - свой путь, желательно это скрипт использовать если пользователи - локальные администраторы на своих рабочих машинах
copy.vbs - скрипт, копирующий клиентскую часть с шары на сервере - на аклиентский комп (как использовать - смотри ниже скриншот)
reg.vbs - скрипт, вносящий изменения в реестр при логине пользователя (как использовать - смотри ниже на скриншоте)

При использовании скриптов copy.vbs и reg.vbs как логон-скриптов в политике - необязательно что бы пользователь на машине был локальным админом...
Copy.vbs выполняется при загрузке компютера (полезен для одновременного копирования на большое количество рабочих мест)
Reg.vbs выполняется при входе пользователя в систему (полезен если за одним компьютером работает несколько человек)

Качать "сборку"

PS
Версия TMeter-а должна быть 7.х.х

Скриншот1: использование copy.vbs


Скриншот2: использование reg.vbs

(C) Kerio-rus.ru

Как блокировать ICQ?

Для блокировки ICQ, необходимо
1. Создать группу адресов (назвать её например "ICQ DENY"), содержащую следующие диапазоны адресов:
81.19.64.0 - 81.19.66.255 - Rambler ICQ
81.19.69.0 - 81.19.70.255 - icq-ws.rambler.ru
205.188.0.0 - 205.188.255.255 - ICQ. America Online, Inc.
64.12.0.0 - 64.12.255.255 - ICQ. America Online, Inc.

2. В Traffic Policy сделать правило, которое будет запрещать весь трафик из локальной сети к ранее созданной группе адресов:
"icq deny" -> "Any" -> "Drop"  >

3. поставить это правило над (выше) чем правило, разрешающее локальной сети выход в интернет