Отключение Инспектора Протокола

В определенных обстоятельствах, применение инспектора протокола (protocol inspector) к определенным соединениям может быть нежелательным. Для выключения проверки инспектором протокола (protocol inspection), укажите IP адреса отправителей и получателей, а также правило траффика(traffic rule) для определенного сервиса.

Пример: Банковский клиент соединяется с банковским сервером  через соответствующий протокол, поверх протокола TCP  через порт 2000. Этот порт используется протоколом Cisco SCCP .Если инспектор протокола (protocol inspector) применяется к несовместимому протоколу , соединение не работает.

Предположим клиент банка запущен на хосте с адресом IP 192.168.1.15 и соединен с сервером server.bank.com.

По умолчанию порт 2000  используется Cisco SCCP. Инспектор протокола SCCP будет применятся к траффику банковского клиента в обычных условиях. Как бы там ни было,  это может повлиять на приложение и подвергнуть опасности защиту.

Следующее правило траффика будет определено для всего траффика банковского приложения:

1.      В секции Configuration / Definitions / Services , определите сервис с именем Internet Banking: этот сервис будет использовать протокол TCP с портом 2000 и инспектор протокола не будет использоваться для соединений с таким сервисом.

2.      В секции Configuration / Traffic Policy , создайте правило, которое разрешит траффик для этого сервиса между локальной сеткой и сервером банка. Укажите, что инспектор протокола выключен для этого случая.

Замечание: По умолчанию в конфигурации секции Traffic rules ,  колонка инспектора протокола не показывается. Чтобы показать ее, ткните правой клавишей машипулятора типа "мышь"  на названии отображаемых колонок и измените установки в диалоге  Modify columns.

Предупреждение: Для выключения инспектора протокола, не достаточно определить сервис который не использует инспектор! Инспекторы  проверяют весь траффик в соответствующих протоколах по умолчанию. Для выключения инспектора протокола ,специальное правило траффика должно быть указано.

Kerio WinRoute Firewall 6.0

Kerio WinRoute Firewall 6.0 - это комплексный инструмент для соединения локальной сети с Интернет и защиты сети от несанкционированного доступа. Он разработан для операционных систем Windows NT 4.0, 2000, 2003 и XP.

Базовые Свойства

Прозрачный доступ в Интернет

Технология Передачи Сетевого Адреса (Network Address Translation (NAT))позволяет соединять локальную сеть с Интернет через один общий IP адрес (статический или динамический). В отличие от прокси серверов, технология NAT делает доступным все Интернет службы с любой рабочей станции. При этом можно использовать стандартные сетевые приложения, как если бы все компьютеры локальной сети имели собственные соединения с Интернет.

Безопасность

Интегрированный брандмауэр защищает всю локальную сеть, включая рабочую станцию, на которой он установлен, независимо от того, используется ли функция NAT (передача IP) или WinRoute используется как "нейтральный" маршрутизатор между двумя сетями. Kerio WinRoute Firewall предлагает такой же стандарт безопасности, как и гораздо более дорогие программные продукты.

Контроль Доступа

Всеми установками безопасности в WinRoute можно управлять через так называемые правила политики трафика. Это обеспечивает эффективную защиту сети от внешних атак, при этом обеспечивая легкий доступ ко всем службам, работающим на серверах в пределах защищенной локальной сети (например, Web сервер, почтовый сервер, FTP сервер и др.). Правила Коммуникации в политике трафика могут ограничивать доступ локальных пользователей к определенным службам в Интернет.

Поддержание Протоколов (Инспекторы Протоколов)

Вам могут встретиться приложения, которые не поддерживают стандартные связи, которые могут использовать несовместимые протоколы соединений, и т.д. Для решения этой проблемы WinRoute включает так называемые инспекторы протоколов (protocol inspectors), которые определяют необходимый приложению протокол и динамически модифицируют работу брандмауэра, например, обеспечивая временный доступ к определенному порту (при этом будет временно открываться требуемый серверу порт). FTP в активном режиме, Real Audio или PPTP - вот лишь несколько примеров.

Конфигурация Сети

WinRout имеет встроенный сервер DHCP, который устанавливает параметры TCP/IP для каждой рабочей станции вашей локальной сети. Параметры для каждой рабочей станции могут устанавливаться централизованно из одного места. Это уменьшает затраты времени, необходимые для конфигурации сети и минимизирует возможность ошибки.

Модуль DNS форвардер обеспечивает легкую конфигурацию DNS и ускоряет ответы на запросы DNS. Это простой тип кэширования имени сервера, при котором запросы пересылаются другому серверу DNS. Ответы хранятся в кэш-памяти. Это значительно повышает скорость ответов на частые запросы. В комбинации с сервером DHCP и системными файлами узлов, DNS форвардер может использоваться как динамический DNS сервер для локального домена.

Удаленное Администрирование

Все настройки выполняются в Администраторском Терминале (Kerio Administration Console), это независимый администраторский терминал, используемый для управлением всеми функциями сервера Kerio. Он может работать и на рабочей станции с WinRoute, и на другом узле в пределах локальной сети или Интернет. Связь между WinRoute и администраторским терминалом кодируется и защищена от перехвата или несанкционированного использования.

Различные Операционные Системы в Пределах Локальной Сети

WinRoute работает со стандартным протоколом TCP/IP. С точки зрения рабочих станций локальной сети, он действует как стандартный маршрутизатор, при этом не требуется никаких специальных приложений для клиентов. Следовательно, в локальной сети может работать любая операционная система с TCP/IP, например, Windows, Unix/Linux, Mac OS и др.

Примечание: WinRoute может работать только с установками протокола TCP/IP. Он не влияет на работу других протоколов (т.е. IPX/SPX, NetBEUI, AppleTalk и др.).

Дополнительные Свойства

Фильтр Контента

WinRoute может отслеживать все коммуникации HTTP и FTP и блокировать объекты, не отвечающие установленным критериям. Установки могут быть глобальными или определяться отдельно для каждого пользователя. Скаченные объекты могут также прозрачно проверяться внешними антивирусными приложениями.

Антивирусная проверка

WinRoute может выполнять антивирусную проверку передаваемых файлов. Для этого доступны встроенный антивирус McAfee или внешние антивирусные программы (например, NOD32, AVG и др.). Проверка на вирусы может применяться к протоколам HTTP, FTP, SMTP и POP3.

Почтовые уведомления

WinRoute может отправлять пользователям почтовые уведомления, информируя их о различных событиях. Эта функция облегчает работу администратора, т.к. не приходится часто соединяться с WinRoute и полностью его проверять. Все отправленные уведомления сохраняются в регистрационный файл.

Пользовательские квоты

Для каждого пользователя можно установить ограничения по передаче данных. Эти ограничения можно устанавливать на количество скачиваемых/выгружаемых данных в день/месяц. Эти ограничения называются квотами. Если квота превышена, то для соответствующего пользователя будет блокироваться соединение с Интернет. Пользователю может быть отправлено почтовое уведомление.

Блокировка сетей P2P

WinRoute может определять и блокировать так называемые "равноправные" сети (Peer-to-Peer networks) (это сети, применяемые для общего использования файлов, например, Kazaa, DirectConnect и др.)

Статистика

WinRoute позволяет просматривать подробную статистику интерфейса брандмауэра (текущая скорость передачи данных, количество переданной информации за определенный период) и отдельных пользователей (количество переданной информации, используемые службы, категории посещаемых сайтов и др.).

Личный VPN сервер и клиент

WinRoute также решает проблему личного VPN, который можно использовать в режимах сервер-сервер и клиент-сервер. VPN может с обоих сторон использовать NAT (даже множественный). Программа Kerio VPN Client включена в пакет WinRoute и может использоваться для создания клиент-сервер VPN (соединение удаленных клиентов с локальной сетью).

Конфликтующие Программы

Узел WinRoute можно использовать как рабочую станцию, хотя это не рекомендуется, т.к. работа пользователя может негативно повлиять на функциональность операционной системы и на работу WinRoute.

WinRoute может работать с большинством распространенных приложений. Однако, есть определенные приложения, которые не следует использовать на том же узле, что и WinRoute, т.к. это может привести к конфликтам.

Коллизии низкоуровневых драйверов

WinRoute может конфликтовать с приложениями, использующими низкоуровневые драйверы таким же или сходным способом. Типичными являются следующие приложения:

·        Приложения для разделения Интернет соединения - например, Microsoft Internet Connection Sharing, Microsoft Proxy Server, Microsoft Proxy Client и др.
·        Сетевые брандмауэры - т.е. Microsoft ISA Server, CheckPoint Firewall-1, WinProxy (by Ositis), Sygate Office Network и Sygate Home Network и др.
·        Персональные брандмауэры - т.е. Kerio Personal Firewall, Internet Connection Firewall (included in Windows XP), Zone Alarm, Sygate Personal Firewall, Norton Personal Firewall и др.
·        Программы для создания частных виртуальных сетей (VPN) - т.е. приложения, разработанные следующими компаниями: CheckPoint, Cisco Systems, Nortel и др. Существует много подобных приложений, и их свойства различаются у разных производителей.

В надлежащих условиях рекомендуется использовать VPN, включенный в WinRoute (подробную информацию см. в главе Kerio VPN). Иначе мы рекомендуем протестировать конкретный сервер VPN или VPN клиент на совместимость с пробной версией WinRoute или связаться с нашей службой технической поддержки (http://www.kerio.com/).

Примечание: WinRoute поддерживает использование VPN, включенного в операционную систему Windows (на базе протокола Microsoft PPTP).

Конфликты порта

Приложения, использующие те же порты, что и брандмауэр, не могут работать на одном узле с WinRoute (или нужно изменить конфигурацию портов). При задействовании всех служб, WinRoute использует следующие порты:

·        53/UDP — DNS Форвардер ·        67/UDP — сервер DHCP ·        1900/UDP — Служба поиска SSDP ·        2869/TCP — Служба узла UPnP

Две упомянутые выше службы относятся к поддержке UPnP

·        3128/TCP — HTTP прокси сервер (см. главу) ·       44333/TCP+UDP — трафик между Администраторским Терминалом Kerio и Брандмауэром WinRoute. Этот сервис остановить нельзя.

Следующие службы по умолчанию используют указанные порты. Для этих служб порты можно изменять.

·        3128/TCP — HTTP прокси сервер.

·        4080/TCP — интерфейс web администрирования .·        4081/TCP — безопасная (SSL-кодированная) версия интерфейса web администрирования. ·        4090/TCP+UDP — личный сервер VPN.

Антивирусные приложения

Если на узле WinRoute работает антивирусное приложение, способное сканировать файлы на диске, следует отменить проверку кэшированных файлов HTTP и субдиректории tmp (используемой для сканирования объектов HTTP и FTP). Если антивирус используется вручную, исключать эти файлы не обязательно, но прежде чем запускать антивирус, нужно выключить Брандмауэр WinRoute (что не всегда желательно).

Примечание: если WinRoute использует антивирус для проверки объектов, загружаемых через протоколы HTTP или FTP, кэш- директорию можно исключить без всяких опасений - файлы в этой директории уже проверялись антивирусом

Схема подключения локальной сети к интернету выглядит например следующим образом:

Можно приступать к настройке :

1.  Первое что вам нужно сделать это конечно же установить данный софт, перегрузиться, ввести лицензию и после этого приступить к конфигурации, открываем пункт меню "Interfaces":

 

поясню назначения интерфейсов:
LOCAL - сетевуха , смотрящая в локальную сеть (домашнюю или как ты её назовёшь, пох)
OPENVPN - виртуальнй интерфейс (в нашей инструкции он не используется)
SUBNET - сетевушка, смотрящая в сеть провайдера, через этот интерфейс поднимается VPN-соединение
INET - в моём случае VPN- подключение к Internet-у через сеть провайдера (может быть и ДИАЛАП, назвать можно как хочешь, суть от этого не меняется)

примечание: в интернет может "смотреть" так же и просто сетевушка, это не принципиально

1.1 свойства интерфейса.  Если вам необходим автоматический дозвон по VPN ( или диалапу) то вам нужно залезть в свойства интерфейса и там выбрать режим работы и указать логи и пароль для вашего соединения:

2. Переходим к самому главному - пункту TRAFFIC POLICY, где будем настраивать ( в моём примере ручками) доступ в интернет для локальной сети:

поясню смысл полей и правил в целом: 

- поле SOURCE - ИСТОЧНИК трафика ( то есть КТО )
- поле DESTINATION - получатель траффика ( то есть КУДА )
- поле SERVICE - типа трафика ( протоколы) которые вы хотите разрешить\запретить создаваемым правилом
- поле ACTION - запрет\разрешение трафика для созданного правила
- поле TRANSLATION - тут включается трансляция адреса ( NAT) и так же делается Port-mapping
- поле VALID ON - тут можно выбрать в какой интервал времени действует данное правило ( интервалы времени можно определить в меню TIME RANGES ( в данной инструкции рассматривать не будем)
- поле LOG - для включения записи в лог результата действия данного правила

- правило "пинг" разрешает пинговать любые хосты с "сервера" ( с компа где установлен Kerio )
- правило "я в локалку" разрешает любой трафик от сервера в локальную сеть
- правило "локалка ко мне" разрешает любой трафик из локалки к серверу
- правило "я в инет" разрешает любой трафик от сервера в интерфейс , подключенный к интернету, то есть в инет
- правило "локалка в инет" разрешает любой трафик из интерфейса подключенного к локальной сети в интерфейс интернета
- правило "почтарь" разрешает работу почтового сервера ( как видно в обоих направлениях из инета и в инет)
- правило "HTTP ко мне" разрешает доступ ИЗ интернета к WEB серверу находящемуся на том же сервере где и установлен Kerio ( показано с портмаппингом для наглядности , в качестве IP можно указать IP внутрисетевого WEB сервера, тогда приходящие из интернета на IP вашего сервера HTTP запросы будут пересылаться на указанный IP )
- правила "FTP" и "NNTP" - по аналогии с правилом "HTTP"
- последнее правило " дефолтное" , оно запрещает весь остальной трафик, неоговоренный правилами

примечание: правила обрабатываются сверху вниз и действуют по принципу " запрещено ВСЁ кроме разрешенного"

3. DNS FORVARDER - служит для включения перенаправления ДНС запросов ( для разрешения имён интернета)

можно использовать файл HOSTS для разрешения имени в ИП

4. HTTP POLICY:

в URL RULES можно создавать правила доступа к тем или иным сайтам ( группам сайтов), настраивать редирект для авторизации, редирект например на страничку внутреннего сервера (обычно используется при запрете порно и т.п.) 

Закладку CONTENT RULES можно не трогать , в закладке CASHE включается\отключается КЭШ + дополнительные настройки кеша

на закладке PROXY отключаем непрозрачный (non-transparent) прокси , работающий на 3128 порту (для данной конфигурации)

на закладке URL GROUPS можно понаделать кучу групп сайтов, которые потом использовать в URL RULES дла разрешения\запрещения

5. ANTIVIRUS
включение встроенного антивируса, либио дополнительных плагинов, настройка антивируса

6. ADDRESS GROUPS. служит для составления групп адресов локальных или интернетовских, эти группы адресов можно применять в политиках трафика для создания "индивидуальных" правил ( так же можно создавать индивидуальные правила для доступа к определенным страничкам в HTTP рулесах )

7. TIME RANGES. Тут настраиваются временные интервалы , которые потом могут быть указаны в политиках трафика для действия правил в указанные часы( интервалы)

рисунок не привожу, там ребенку понятно 

8. Меню SERVICES:

приведен пример создания нового "сервиса" для винрута  с названием "http ( на нестандартном порту)", это обычно становится нужно если в трафик полисях вы указываете только конкретные протоколы , доступные пользователям при выходе в интернет

примечание: в поле PORT NUMBER вводится номер порта цифрой  

9. ADVANCED OPTIONS:

стоит пояснить лишь закладку " USER AUTENTICATION":  цифрой "1" обозначена настройка времени, по истечение которого ПРИ НЕАКТИВНОСТИ пользователь будет отключен от файрвола ( просто потом придётся ввести заново логин и пароль). Цифрой "3" обозначена настройка, при которой авторизация будет запрашиваться не через страничку веб интерфейса, а всплывающим виндошным кошком в браузере, Цифрой "2" обозначен мастер создания сертификата при использовании авторизации черезWEB SSL

примечание: все эти настройки имеют смысл если у вас используется доступ в интернет " по пользователям" и в HTTP RULES есть правило "AUTENTICATE ALL USERS" (смотри картинку в пункте 4)

Закладка COBION SETTINGS:

Включать или выключать ISS-фильтр решайте сами.
Зачем он нужен?  - затем что бы фильтровать посещаемые страницы\сайты\ресурсы по категориям и давать\запрещать доступ к выбранным категориям (потрудитесь почитать мануал)

Закладка UPDATE CHECKING:

Автоматический поиск свежих версий отключаем. Думаю комментировать "почему" - излишне.

9. меню  USERS и GROUP - там ты создаете пользователей и группы, распихиваете пользователей по группам, это сделано для того что бы можно было делать разные трафик полиси для пользователей\групп, а так же применять HTTP -правила доступа для юзеров\групп индивидуально
в общем тут фантазий хватит

10. последнее что нам остается сделать - настроить клиентские компьютеры для того что бы они ходили в инет через наш УЖЕ настроенный Kerio Winroute Firewall ( напомню что данная инструкция оглашает как настроить винрут что бы пользователи ходили в инет через NAT или transparent proxy )

скриншот настройки одного из пользовательских компьютеров:

Типичные настройки сетевых интерфейсов:
1. сервер керио, сетевуха "внешняя"
IP - 123.123.13.180
M - 255.255.255.240
DG - 123.123.13.177
DNS1 - провайдерский
DNS2 - провайдерский

2. сервер керио, сетевуха "внутренняя"
IP - 192.168.0.2
M - 255.255.255.0
DG - НЕТУ !!!!!!!!!!!!!!!!!!
DNS1 - 192.168.0.2

3. клиентская машина
IP - 192.168.0.10-254
M - 255.255.255.0
DG - 192.168.0.2 (kerio)
DNS - 192.168.0.2 (kerio)

P.S. 

данные настройки приведены в самом простом  виде, думать практически не надо, для более тщательной настройки ВЫ сами в силах придумать и создать правила, ведь конфигурации сетей у всех разные и требования у всех разные

СКАЧАТЬ ОРИГИНАЛЬНУЮ документацию на версию 6.x.х можно  ТУТ

(C) Kerio-rus.ru