KWF как шлюз для нескольких сетей
Итак, предположим стоит следующая задача:
1. Имеется локальная сеть "Local" (192.168.0.1 mask 255.255.255.0)
2. Имеется выделенный сервер Kerio Winroute Firewall (192.168.1.111) с несколькими внешними адресами (111.111.111.111; 222.222.222.222).
3. Имеется вторая локальная сеть "LAN1" (172.25.0.0 mask 255.255.255.0)
4. В сети "Local" располагается корпоративный почтовый сервер, доступный их интернета, обслуживающий сеть "Local".
5. В сети "Local" находится WEB-сервер с сайтами http://site.ru и http://site1.ru, которые должны быть доступны из сети интернет.
6. В сети "LAN1" так же имеется свой почтовый сервер, который должен быть доступен из интернета.
Необходимо:
1. Дать сети "LAN1" доступ в интернет через имеющийся сервер KWF.
2. Ограничить для "LAN1" интернет-канал в 1000 kbps
3. Учитывать интернет-трафик (для обеих сетей).
4. Разграничить доступ из одной сети в другую:
4.1 Сеть "Local" имеет неограниченный доступ в сеть "LAN1" и неограниченный доступ в интернет.
4.2 Сеть "LAN1" имеет доступ только к серверам сети "Local" по определенным протокоам (например HTTP, FTP, RDP).
4.3 Для сети "LAN1" запретить возможность пользования Web-mail (mail.ru и т.п.).
Итак, начнем:
1. Интерфейсы
На сервере имеем несколько интерфейсов:
Internet - интерфейс "смотрящи в интернет" и имеющий несколько реальных адресов (для примера будем использовать 111.111.111.111 и 222.222.222.222).
Local - интерфейс "смотрящий" в локальную сеть.
LAN1 - интерфейс "смотрящий" вовторую сеть.
2. Traffic policy
Поясню смысл политик трафика которыфе видите на картинке ниже:
- Local Traffik - тут понятно, разрешён трафик между локальной сетью и файрволом
- Local Traffic 2 - разрешён трафик между сетью LAN1 и файрволом (сервером керио)
- Firewall 2 Internet - разрешается весь трафик от файрвола в интернет
- SMTP IN 1 - правило, которое разрешает входящий (сто стороны интернета) трафик SMTP (для почты) на IP-адрес 111.111.111.111 и перебрасывает (включен portmapping) этот трафик на почтовый сервер находящийся внутри сети Local.
- HTTP IN - это правило разрешает WEB-трафик из интернета на файрволл (в частности на его внешний IP адрес 111.111.111.111) и этот трафик "мапится" на веб-сервер, находящийся в сети "Local"
- SMTP IN 2 - данное правило разрешает SMTP трафик из интернета уже на ДРУГОЙ внешний IP - адрес (222.222.222.222) и мапит этот трафик на постовый сервер, находящийся уже в сети "LAN1"
- Local 2 Internet - правило разрешающее сети "Local" ходить в интернет через NAT
- LAN1 2 Internet - правило пускает сеть "LAN1" в интернет так же через NAT
- Local 2 LAN1 - правило разрешает любой трафик из сети Local в сеть LAN1
- LAN1 2 Local - правило разрешает только HTTP, FTP, RDP трафик из сети LAN1 в сеть Local и только на группу адресов "Local Servers".
- Ну и последнее дефолтное правило, которое запрещает весь трафик который вы забыли разрешить ручками
2.1 Группы адресов
LAN1 - группа, соответствующяс адресу сети LAN1
Local Servers - группа IP адресов серверов сети Local (используется как пункт назначения в политиках трафика в правиле "LAN1 2 Local")
3. HTTP Policy
3.1 URL Grops
Создаётся группа Local WEB с URL сайтов, которые "крутятся" на веб-сервере расположенном в сети Local
3.2 Создаётся HTTP-правило, которое разрешает доступ без авторизации к ранее созданной URL-группе сайтов
3.3 Создаётся HTTP-правило, запрещающее WEB-mail для сети LAN1, при этом используется встроенный модуль ISS (ранее назывался Cobian), при этом все запросы к запрещённым сайтам - редиректятся на сайт site.ru:
в итоге получаются 2 HTTP-правила:
4. TMeter
Именно его будем использовать для подсчёта трафика и ограничения скорости
4.1 Включаем "активный" режим, только в этом режиме возможно ограничение скорости и корректро считается исходящий траффик, для подсчёта трафика будут задействованы все три интерфейса на сервере Керио:
4.2 Сразу вносятся адреса локальныйх сетей в таблицу LAT для правильнойц работы счётчиков трафика:
4.3 Далее создаются фильтры для подсчёта трафика сети LAN1 и сети Local
в правиле фильтра Local 2 internet задается в качестве источника - IP сеть соответствующая сети "Local", в качестве назначения - указываются "адреса глобальной сети", считатеся ВЕСЬтарфик (то есть любой IP-протокол), остальное как на картинке:
В правиле LAN1 to Internet включается ограничение скорости 128 КБайт\сек что соответствует посталенному условию 2ограничить дла сетя LAN1 интернет канал полосой 1024 kbps:
В прваиле фильтра источником указыватся IP-сеть LAN1, назначение - "IP адреса глоб. сети", подсчёт ведётся для любого IP-протокола, остальное ка на картинке:
в итоге получаем два счётчика трафика - для сети Local и для сети LAN1:
NOD32 для Kerio Winroute Firewall
Есть две версии NOD32 для Windows, одна для Windows 9x/ME, и другая для Windows 2000/XP/2003. Пожалуйста запомните, что Kerio WinRoute Firewall поддерживает только версию для Windows 2000/XP/2003.
Согласно информации с сайта Eset, если Вы переходите с пробной версии до лицензионной, Вы должны сначала деинсталировать пробную версию, перезагрузить компьютер, затем установить лицензионную версию для получения доступа ко всем функциям пакета.
Установка NOD32 (Windows):
1. Загрузите NOD32 2.50 или выше, пробную или комерческую версию. Удостовертесь что Вы выбрали именно ту версию, которая подходит для Вашего языка и Операционной Системы.
2. Установите NOD32. (Если потребуется помощь, на странице руководства NOD32 есть помощник по установке.)
3. Перезагрузите компьютер по требованию.
4. Нажмите на зелено-белую иконку NOD в ситемном трэе (возле часов).
5. Нажмите "AMON" и нажмите на "Setup"
6. Перейдите на вкладку "Exclusion" и выберите "Add..."
7. Нажмите на "Directory..." и укажите расположение директории WinRoute Firewall (Расположение по умолчанию: C:\Program Files\Kerio\WinRoute Firewall
8. Нажмите OK во всех открытых в процессе настройки диалоговых окнах.
9. Нажмите OK во всех открытых диалоговых окнах и закройте NOD32 Control Center.
10. В NOD32 Control Center, нажмите на "IMON".
11. Нажмите "Quit." На запрос, действительно ли Вы хотите остановить, скажите Yes.
12. Закройте NOD32 Control Center.
Привязка лицензионной версии NOD32 к продуктам Kerio:
1. Нажмите на “NOD32 System Setup” и нажмите "Setup."
2. Перейдите на вкладку "License keys" и выберите "Add..."
3. Выберите файл лицензии для NOD32. NOD32 для MailServer и Kerio WinRoute требует специальной лицензии предоставляемой Eset.
4. Нажмите OK во сех диалогах изакройте NOD32 Control Center.
5. Перезагрузите компьютер
6. Откройте Администраторскую Консоль Kerio и соединитесь с Kerio WinRoute Firewall.
7. Перейдите в раздел Configuration->Antivirus.
8. Включите опцию “Use external antivirus” (вверху вкладки).
9. Выберите "NOD32".
10. Нажмите "Apply" (внузу вкладки) для сохранения настроек.
Привязка пробной версии NOD32 к продуктам Kerio:
Важно! Сканирование архивов доступно только в лицензионной версии NOD32.
1. Загрузите и установите пробную версию NOD32 как описано выше.
2. Загрузите и установите NOD32 Модуль для Kerio WinRoute Firewall.
3. ткройте Администраторскую Консоль Kerio и соединитесь с Kerio WinRoute Firewall.
4. Перейдите в раздел Configuration->Antivirus.
5. Включите опцию “Use external antivirus” (вверху вкладки).
6. Выберите "NOD32".
7. Нажмите "Apply" (внузу вкладки) для сохранения настроек.
NOD32 должен работать и сканировать весь Ваш траффик проходящий через файрвол.
источник (c) xerio-ru
Биллинг для продуктов Керио
Написана наливайка логов Керио в MS-SQL сервер, для желающих.
1. Создать базу Billing.
2. Отредактировать строку в kss.ini, изменив имя сервера.
3. Назначить на логин kerio исполнение сторенных процедур.
4. Запустить скрипт.
5. Запустить project1.exe на машине с керио например, хотя можно на любой другой с установленным клиентом MS-SQL сервера.
6. В настройках лог файлов керио указать - сливать логи в сислог сервер, указав IP адрес машины, где запущен Project1.exe.
Примечание !!! Не в коем случае не сливать в этот сервер filter.log. Иначе возможен зависон.
ЗЫ: Администратор, шэйпер и замена ISS Orange Filter в разработке.
Всем удачи !
ЗЫЫ: В архив добавлен dbmonitor для отслеживания правильности исполнения SQL запросов.
Огромный респект товарищу Babah22 за полезную вещь.
Чуть позднее будет подробная инструкция по установке\настройке от афтара.
ВНИМАНИЕ !
Свежая версия программы обсуждается тут: https://kerio-rus.ru/forum/forumdisplay.php?f=305
все вопросы к автору, тестим, обсуждаем, исправляем и так далее....
Велкам
Восстановление утраченного пароля администратора
Короче, это делается предельно просто:
1. Заходим в систему, в которой установлен продукт, где мы утратили пароль пользователя, имеющего права администриратора. Естественно, заходим с правами администратора собственно ОС, ибо нам нужно будет писать на системный диск. Иначе вот никак. :)
2. Открываем каталог, в который был установлен (почему, собсно был?? Он и установлен) то самое, администравтивные привилегии от которого были утеряны.
3. Ищем в этом каталоге файл с описанием собсно пользователей и их параметров, это файл с названием UserDB.cfg для КВФ, и users.cfg для КМС. Название меняется от версии, в самых, так сказать текущих они называются так. Они должны быть в корне того каталога, где стоит почтарь или файер.
4. В файле ищем блок со строкой :
5. В этом блоке ищем строку типа
6. Заходим в систему с именем учетной записи Admin или что там у Вас изменялось (хоть это и не хорошо, и (!ВНИМАНИЕ!) ПУСТЫМ ПАРОЛЕМ.
7. В консоли администрирования СРОЧНО меняем пароль Админа на тот, что мы теперь точно не забудем, иначе это может сделать кто-то еще. 
8. Наслаждаемся привилегиями и возможностью администрить продукт.
Авторизация при NAT
Как сделать так, что бы не используя PROXY, а только NAT (Transparent proxy) - заставить работать авторизацию пользоватля.....
А ничего сложного в этом нет, смотрим статью:
1. НЕ привязываем пользователя к IP:
2. в адвансед опшнсах делаем следующие настройки:
2.1 Включаем встроенный HTTP-сервер для отображения страницы авторизации:
IIS (кабанчик в простонародии) отключается или включается - тут пофигу
Для получения отчётов и алертов по почте - настраиваем SMTP-relay (обычно ваш почтарь)
далее статистика
пожалуй ГЛАВНОЕ правило в Traffic Policy:
в свойствах пользователя включаем обязательную авторизацию
далее пробуем на клиентсой машине достучаться до www.mail.ru ( к примеру ), нас сразуже винроут просит авторизоваться:
после ввода правильных логина и пароля получаем желательную страничку:
ваши клиенты толжни быть сконфигурированы так, сто дефолтгейтвеем указан IP машины с винроутом!!!!!!!! (смотри картинку ниже):
где 192.168.0.2 - IP сервера, на котором установлен Winroute 6.х.х
