*    Установка Windows XP Mode на Windows 7 Basic и Premium - 2010-05-01 09:56:33    *    Демонстрация прототипов устройств с USB 3.0 - 2008-11-21 11:49:49    *    Microsoft официально анонсировала Windows Azure - 2008-10-28 08:18:19    *    Тестеры получили первый билд Vista SP2 - 2008-10-28 08:14:07    *    NVIDIA Hybrid SLI: теперь и для платформы Intel - 2008-10-16 10:54:38    *    Быстрая DDR3-память опасна для процессоров Intel - 2008-10-05 08:01:03    *    Руководство по включению PhysX на ноутбуках с GPU NVIDIA - 2008-09-02 12:08:00    *    Ежедневно десять миллионов зомби распространяют спам и вредоносные коды - 2008-08-25 09:38:09    **

             Обратная связь | Внести в избранное | Сделать домашней

Поиск по сайту



Вход
Имя

Пароль

Ещё не зарегистрировались?
Вы можете это сделать ЗДЕСЬ.

Содержание
 Главная

 Навигация
 Статьи
 Форум
 Файлы
 Ссылки
 Ваш Профайл
 Связь с автором
 Мировые новости
 Экзамены MCSE
 Обзор фильмов
 Самое популярное
 Фотогалерея
 Куплю-Продам
 Статьи
 Форум

 Профессиональное обслуживание компьютеров и сетей в России и в Израиле

 Учебники on-line
 Flash MX
 ISA Server
 Office XP
 PhotoShop 7
 Linux Red Hat
 Visual Basic. NET
 Visual Studio.NET
 Citrix Metaframe
 Citrix MetaFrame XP
 ВСЕ КНИГИ

Наполнение сайта
 Добавить файл
 Добавить статью
 Добавить ссылку

 Статьи по разделам
 MCSE 2000
 MCSE 2003
 Операционные Системы
 Новости Microsoft
 Безопасность
 Software
 Hardware
 Новости Интернета
 MCSE 2000 за 15 минут
 MCSE 2003 за 15 минут
 CISCO Systems


Реклама


Будьте с нами!
Кнопка на Ваш сайт

Скорая помощь для Ваших компьютеров и сетей!

Сделать стартовой
Связаться с автором


Реклама


Реклама

  


Защита: Настройка Kerio Winroute Firewall 6 в сети с доменом





Опубликовал michaeldmitriev Tuesday, September 06


Раздел: Безопасность

Kerio WinRoute Firewall 6.0 - это комплексный инструмент для соединения локальной сети с Интернет и защиты сети от несанкционированного доступа.



Настройка Kerio Winroute Firewall 6 в сети с доменом

Автор статьи , его сайт . На сайте автора доступны дополнительные материалы о настройке Kerio Winroute Firewall 6, русификации интерфейса и руководства пользователя на русском языке.

Назначение Kerio Winroute Firewall

Kerio WinRoute Firewall 6.0 - это комплексный инструмент для соединения локальной сети с Интернет и защиты сети от несанкционированного доступа.

Базовые Функции:

  • Network Address Translation (NAT) позволяет соединять локальную сеть с Интернет через один общий IP адрес (статический или динамический).
  • Интегрированный брандмауэр (файрвол) защищает всю локальную сеть, включая рабочую станцию, на которой он установлен, независимо от того, используется ли функция NAT (передача IP) или WinRoute используется как "нейтральный" маршрутизатор между двумя сетями.
  • Всеми установками безопасности в WinRoute можно управлять через так называемые правила политики трафика. Это обеспечивает эффективную защиту сети от внешних атак, при этом обеспечивая легкий доступ ко всем службам, работающим на серверах в пределах защищенной локальной сети (например, Web сервер, почтовый сервер, FTP сервер и др.). Правила Коммуникации в политике трафика могут ограничивать доступ локальных пользователей к определенным службам в Интернет.
  • Вам могут встретиться приложения, которые не поддерживают стандартные связи, которые могут использовать несовместимые протоколы соединений, и т.д. Для решения этой проблемы WinRoute включает так называемые инспекторы протоколов (protocol inspectors), которые определяют необходимый приложению протокол и динамически модифицируют работу брандмауэра, например, обеспечивая временный доступ к определенному порту (при этом будет временно открываться требуемый серверу порт). FTP в активном режиме, Real Audio или PPTP - вот лишь несколько примеров.
  • Фильтр Контента может отслеживать все коммуникации HTTP и FTP и блокировать объекты, не отвечающие установленным критериям. Установки могут быть глобальными или определяться отдельно для каждого пользователя. Скачанные объекты могут также прозрачно проверяться внешними антивирусными приложениями.
  • WinRoute имеет встроенный сервер DHCP, который устанавливает параметры TCP/IP для каждой рабочей станции вашей локальной сети.
  • Модуль DNS Форвардер обеспечивает легкую конфигурацию DNS и ускоряет ответы на запросы DNS. Это простой тип кеширования имени сервера, при котором запросы пересылаются другому серверу DNS. Ответы хранятся в кеш-памяти.
  • Удаленное Администрирование.
  • WinRoute может выполнять антивирусную проверку передаваемых файлов. Для этого доступны встроенный антивирус McAfee или внешние антивирусные программы (например, NOD32, AVG и др.). Проверка на вирусы может применяться к протоколам HTTP, FTP, SMTP и POP3.
  • WinRoute может отправлять пользователям почтовые уведомления, информируя их о различных событиях.
  • Для каждого пользователя можно установить квоты по передаче данных. Эти ограничения можно устанавливать на количество данных в день/месяц.
  • Блокировка P2P сетей.
  • WinRoute позволяет просматривать подробную статистику интерфейса брандмауэра (текущая скорость передачи данных, количество переданной информации за определенный период) и отдельных пользователей (количество переданной информации, используемые службы, категории посещаемых сайтов и др.).
  • WinRoute также решает проблему личного VPN, который можно использовать в режимах сервер-сервер и клиент-сервер. VPN может с обоих сторон использовать NAT (даже множественный). Программа Kerio VPN Client включена в пакет WinRoute и может использоваться для создания клиент-сервер VPN (соединение удаленных клиентов с локальной сетью).

Следует обязательно помнить о том, что на компьютере, где установлен WinRoute, не должно использоваться следующее программное обеспечение, т.к. оно конфликтует с Kerio:

  • Приложения для Общего Соединения с Интернет — например, Microsoft Internet Connection Sharing, Microsoft Прокси-сервер, Microsoft Proxy Client, и т.д.
  • Сетевые брандмауэры, такие как Microsoft ISA Server, CheckPoint Firewall-1, WinProxy (компании Ositis), Sygate Office Network and Sygate Home Network, и т.д.
  • Персональные брандмауэры: Kerio Personal Firewall, Internet Connection Firewall (включенный в Windows XP), Zone Alarm, Sygate Personal Firewall, Norton Personal Firewall, и т.д.
  • Программное обеспечение, разработанное для создания частных виртуальных сетей (VPN): CheckPoint, Cisco Systems, Nortel, и т.д. Примечание: Решение VPN, включенное в операционную систему Windows (основанное на протоколе Microsoft PPTP) поддерживается WinRoute.

Приложения, которые используют те же самые порты что и брандмауэр, нельзя запускать на хосте WinRoute (или конфигурация портов должна быть изменена). Если все службы запущены, WinRoute использует следующие порты:

  • 53/UDP — DNS Форвардер
  • 67/UDP — DHCP Сервер
  • 1900/UDP — SSDP Discovery service
  • 2869/TCP — UPnP Host service
  • 3128/TCP — HTTP Прокси-сервер
  • 44333/TCP+UDP — связь между Администраторский Терминал Kerio и Брандмауэр WinRoute. Эта служба не может быть остановлена.

Следующие службы используют соответствующие порты по умолчанию. Порты для этих служб могут быть изменены.

  • 3128/TCP — HTTP Прокси-сервер
  • 4080/TCP — Администрирование Web Интерфейса
  • 4081/TCP — безопасная (SSL-encrypted) версия Администрирования Web Интерфейса
  • 4090/TCP+UDP — личный VPN сервер

Настройка Kerio Winroute Firewall 6.0.11 в сети с доменом

Для более наглядной настройки файрвола составим схему локальной сети, пример которой показан на рисунке 1.

Схема локальной сети
Рис. 1. Схема локальной сети.

Щелкните по рисунку для увеличения

Первое что вам нужно сделать - это конечно же установить Kerio Winroute на компьютер, ЖЕЛАТЕЛЬНО не являющийся DC. Перегрузиться, зарегистрировать файрвол и после этого приступить к конфигурации.

  1. Открываем пункт меню Interfaces:

    Interfaces
    Рис. 2. Interfaces.

    Поясню назначения интерфейсов:

    • LAN - сетевая карта, смотрящая в локальную сеть
    • INTERNET - сетевая карта, смотрящая в интернет и имеющая реальный IP
  2. Переходим к самому главному - пункту Traffic policy, где будем настраивать (в моём примере ручками) доступ в интернет для локальной сети:

    Traffic policy
    Рис. 3. Traffic policy.

    Щелкните по рисунку для увеличения

    Поясню смысл полей и правил в целом:

    • поле Source - источник трафика (то есть КТО)
    • поле Destination - получатель траффика (то есть КУДА)
    • поле Service - типа трафика (протоколы) которые вы хотите разрешить или запретить создаваемым правилом
    • поле Action - запрет или разрешение трафика для созданного правила
    • поле Translation - тут включается трансляция адреса (NAT) и также делается Port-mapping
    • поле Valid on - тут можно выбрать в какой интервал времени действует данное правило (интервалы времени можно определить в меню Time Ranges (в данной статье рассматривать не будем)
    • поле Log - для включения записи в лог результата действия данного правила
    Пояснения по правилам, показанным на рисунке 3:
    • правило 1 разрешает серверу "ходить" в локалку
    • правило 2 разрешает любой трафик из локалки на сервер
    • правило 3 разрешает любой трафик от самого сервера в интернет
    • правило 4 разрешает любой трафик из локалки в интерфейс, подключенный к интернету, то есть в инет, при этом включена трансляция адресов (NAT) и пользователи имеют прозрачный доступ в интернет по любому протоколу
    • правило 5 разрешает доступ из интернета на сервер по HTTP и производит перенаправление пакетов на WEB-сервер, находящийся во внутренней сети (то есть внутренний веб-сервер становится доступен из сети интернет)
    Примечание: правила обрабатываются сверху вниз и действуют по принципу "запрещено ВСЁ кроме разрешенного"
  3. Пункт DNS Forvarder служит для включения перенаправления ДНС запросов (для разрешения имён интернета) на указанные сервера + возможна настройка файла HOSTS

    DNS Forvarder
    Рис. 4. DNS Forvarder.

    Можно для определенных доменов и IP-диапазонов (обычно если имеются всякие "дружественные" подсети) настраивать жёсткую привязку к определенным ДНС:

    Custom DNS Forvarding
    Рис. 5. Custom DNS Forvarding.

    Для нормальной работы компьютеров в домене вы должны настроить ваш доменный DNS-сервер для пересылки неразрешенных запросов на адрес машины с КЕРИО:

    Настрока пересылки
    Рис. 6. Настрока пересылки.

    Эти настройки находятся в свойствах ДНС в Win2k(3), при этом сервер не должен быть корневм, т.е., должна быть удалена зона . (точка). На машине с Керио в свою очередь должен быть включен DNS Forwarding.

  4. HTTP Policy:

    В URL Groups можно создавать группы, в которые вносить сайты, схожие по содержанию (например банерные сети, порноресурсы) и потом использовать эти группы для ограничения к ним доступа локальных пользователей (будет показано чуть ниже):

    HTTP Policy
    Рис. 7. HTTP Policy.

    На рисунке 7 создана группа "локал" и она содержит маску внутрисетевых ресурсов, далее мы к ним разрешим доступ БЕЗ авторизации.

    На следующей картинке показаны HTTP - правила, с применением групп адресов:

    HTTP Policy
    Рис. 8. HTTP Policy.

    Авторизации к локальным ресурсам веб (например, если на шлюзе поднят веб-сервер), второе правило разрешает автоматическое обновление антивирусов установленных на шлюзе (где наш Керио) так же без авторизации, третье правило разрешает доступ снаружи к локальному сайту к определенным страницам (не показано), четвертое правило запрещает доступ к остальным страницам (не указаным в группе), последнее правило позволяет прользователю "генка" доступ по HTTP - БЕЗ авторизации.

    Контентные правила оставляем по умолчанию:

    Content Rules
    Рис. 9. Content Rules.

    Кеш отключаем:

    Cache
    Рис. 10. Cache.

    На закладке Proxy отключаем непрозрачный (non-transparent) прокси, работающий на 3128 порту (для данной конфигурации):

    Proxy Server
    Рис. 11. Proxy Server.

    Закладку Forbidden words не трогаем.

  5. Переходим к пункту Antivirus и отключаем его (грузит машину, из-за него не работает докачка, да ещё непонятно вообще, он работает или нет):

    Antivirus
    Рис. 12. Antivirus.

    Следующая закладка для настроек того, какое содержимое будет сканировать антивирь (если включён конечно же):

    HTTP, FTP Scanning
    Рис. 13. HTTP, FTP Scanning.

    Можно настроить отсылку сообщений на мыло администратора (или, например, начальника) когда антивирус кериовский обнаружит в почтовом трафике (который, в принципе, проходит через ваш шлюз) вирусы + он (Керио) может вставлять в тему письма предупреждающее слово (**VIRUS**):

    Email Scanning
    Рис. 14. Email Scanning.

  6. Пункт меню Address Group служит для составления групп адресов локальных или интернетовских, эти группы адресов можно применять в политиках трафика для создания "индивидуальных" правил (запрещать или разрешать кому либо или всем доступ к этим адресным группам):

    Address Group
    Рис. 15. Address Group.

  7. В меню Time Ranges настраиваются временные интервалы, которые потом могут быть указаны в политиках трафика для действия правил в указанные часы (интервалы):

    Time Ranges
    Рис. 16. Time Ranges.

  8. Меню Services:

    Services
    Рис. 17. Services.

    Список всевозможных "сервисов", которые применяются в трафикполисях (собственно говоря, применяются в настройках пакетного фильтра), красным обведено включённое использоватние так называемого "протоколинспектора", призванного следить за "правильностью" пакетов и отличать настоящий трафик от "ложного".

    Ниже приведен пример создания нового "сервиса" для винрута с названием "http (на нестандартном порту)", это обычно нужно если требуется выход в интернет некоторым сервисам, работающим на НЕСТАНДАРТНОМ порту:

    Создание сервиса
    Рис. 18. Создание сервиса.

    Данная картинка показывает, как сделать "сервис", например, для web-сервера, работающего на НЕСТАНДАРТНОМ (отличном от общепринятого) порту, то есть, вместо 80-го на 888. Далее этот сервис можно указывать в политиких трафика для разрешения или явного запрета.

  9. Меню Advanced Options:

    Advanced Options
    Рис. 19. Advanced Options.

    Отключаем все галочки.

    Advanced Options
    Рис. 20. Advanced Options.

    Включаем встроенный web-интерфейс, через который будет происходить авторизация пользователей.

    Advanced Options
    Рис. 21. Advanced Options.

    В общем, настройки ISS (оранж фильтра) у меня вот такие...

    Advanced Options
    Рис. 22. Advanced Options.

    Настроечки для автоматической проверки новых версий.

    Advanced Options
    Рис. 23. Advanced Options.

    Тут настраиваем через какой почтовый сервер винроут сможет отправлять письма (предупреждения о найденых вирусах в почтовом трафике + всевозможные алерты).

    Advanced Options
    Рис. 24. Advanced Options.

    Тут включаем пользовательскую статистику.

    Настраиваем логи:

    Logs and Alerts
    Рис. 25. Logs and Alerts.

    Ниже показано как сделать Алерт (который пошлётся по емайлу), сообщающий о начале сканирования портов:

    Add Alert
    Рис. 26. Add Alert.

  10. Меню Users и Group - там вы создаете пользователей и группы и размещаете пользователей по группам. Это сделано для того, что бы можно было делать разные трафик полиси для пользователейгрупп, а так же применять HTTP-правила доступа для юзеровгрупп индивидуально.

    Users
    Рис. 27. Users.

    На картинке так же показано как "привязать" пользователя к определенному IP (или имени компа), в этом случае будет происходить АВТОМАТИЧЕСКАЯ АВТОРИЗАЦИЯ и весь трафик от указанного IP (компа) будет ассоциироваться с данным пользователем и начисляться в его (пользовательскую) статистику.

    В общем, тут всё понятно.

  11. Включаем обязательную авторизацию (работает только для HTTP ):

    Users
    Рис. 28. Users.

    Ставим галочку для того, чтобы всегда запрашивалась авторизация перед посещением страниц интернета.

    Users
    Рис. 29. Users.

    Можно идентифицировать доменных пользователей.

Последнее, что нам остается сделать - настроить компьютеры локальной сети для того что бы они ходили в инет через наш УЖЕ настроенный Kerio Winroute Firewall, являющимся роутером + NAT в интернет.

Приведен скриншот настройки одного из пользовательских компьютеров:

Настройка компьютера пользователя
Рис. 30. Настройка компьютера пользователя.

В качестве основного шлюза указываете адрес вашего Керио-маршрутизатора, а в качестве предпочитаемого DNS-сервера следует указывать адрес локального DNS (во избежание долгого входа в домен).

P.S. Данные настройки приведены в самом простом виде, думать практически не надо. Для более тщательной настройки защищенности сервера от локальной сети и от интернета ВЫ САМИ в силах придумать и создать правила, ведь конфигурации сетей у всех разные и требования у всех разные.

,
 



Комментарии к статье
Ваше имя: Неизвестный [ Новый пользователь ]

Тема:

Комментарий:




Дата опубликования - 2006-07-20 18:32:20
Re: Настройка Kerio Winroute Firewall 6 в сети с доменом
прочитал - ясно как день!
Идея и воплощение: Михаил Дмитриев
Страница оптимирована под разрешение от 1024х768 для IE 5.0+
Copyright © 2001-2008 by Michael Dmitriev - Создание и поддержка сайтов

Сайт работает на домашнем компьютере. OS Windows Server 2003. Находится в Израиле.


Web site engine's code is Copyright © 2003 by . Время создания страницы - 0.440 сек. и 45 запрос (а,ов) к базе данных

Введите URL своего сайта: