KERIO WinRoute

[Centaur]

так вот это и есть,  аутентификация средствами НТ
Создай пользователя без пароля, и вперед

[pitty]

Суть проблемы:  
На предприятии есть:
     1) Интернет сервер с ip(1) ... ... .. ..  
     2) Почтовый сервак (др. машина), на нем Микрософт эксчандж. с   ip(2) ... ... .. ...
     3) есть 3 ip(3) провайдера.

    После переустановки винроутера почта на эксчадже перестала приниматься и отправляться. На сколько я знаю нужно прописать всего лишь 2 правила ( распределения портов). Одно правило я прописал ( Протокол ТСP, ip ожидания = ip(3) порт 25,  ip адресата = ip(2) порт 25  ) и почта теперь принимается, но попрежнему не отправляется. Какое второе правило пожскжите пожалуйста. Перепробовал наверное все, что можно.......

Заранее благодарен.

[Negativ]

тебе еще 110 порт надо открыть.
Но ИМХО 25 порт это SMTP и используется он на отправку почты.
а 110 это POP3 и он соответственно на прием.

[esalmin]

надо поднять нат

[Full User]

Не проблема, конечно, но хотелось бы знать...
Кто может популярно обьяснить, чем отличается "запретить" от "игнорировать" в настройках фильтров? Если можно подробнее, как себя ведет WinRoute в том и другом случае?

[Sadok]

В 1-ом случае будет выдаваться сообщение об ошибке (forbidden, например), а во 2-ом - клиент просто отвалится по таймауту.

[DeepProg]

Давайте-ка воскресим темку еще раз.
Сеть из двух машин сконфигурирована по примеру в help'e winroute.
Доступ в I-net *- Dial-up.
Адреса в сетке статическиие(идут подряд);
DHCP(для LAN), proxy, smtp,pop3 не используется.
В данной конфигурации отключен firewall и отсутствует политика фильтрации пакетов у WinRoute - вобще ничего не устанавливал ксательно безопасности.
Клиенту разрешен контроль Dial/Hang-up и чтение log'ов (ему скопирована программа администрирования WinRoute)
При одинаковой конфигурации
XP(WinRoute)+XP - доступ *к I-net есть.
XP(WinRoute)-ME - * * * * * * * * * * * * *нет.
В последнем случае проведена следующая диагностика:

ping к роутеру *- нормально
ping на назначенный(динамически) провом IP нормально
ping на IP провайдера - соообщение об ошибке "Запрашиваемая(или что-то в этом роде...) сеть недоступна"

Еще одна интересноть - Включеный WinRoute,(LAN unplugged) оказывается имеет свойство не пускать меня к WWW - только что кое-как пробился - вынес процесс из памяти. *
Ну гед я его неправильно настроил, что он так упирается???

Кстати
Что есть NAT?
NAT - это в первую очередь система защиты. Реальный IP заменяется на "левый", и этот "левый" подсосвывается агрессивному внешнему миру, т.е. Internet. При этом у WinRoute существует табличка, в которую он ппишет на что он подменил реальный IP и пользутся ей для перенаправления запросов. В общем это сделано, кажется, для невозможности угона IP и обхода таким образом firewall'a. То есть в winroute она и реализуется именно как IP-masquerading
Я правильно понял?

[Vich]

nat и masquerading - в принципе синонимы.
masquerading - замена адреса на адрес машины, выполняющей маскарад.
nat - network adress translation - *замена адреса на любой указанны. т.о. nat позволяет транслировать адреса не только из сети в inet, но и наоборот (например чтоб сделать доступным веб-сервер находящийся внутри локальной сети).
так что про nat нельзя сказать, что это система защиты - это скорее роутинг хитрый ;)
[hr]
про WinGate. здесь стоит как раз добавить политику фильтрации: из локальной сети на dialup, те протоколы которые нужны, разрешить и nat на outgoing interface.
отдельным правилом тоже самое только себя и без nat
+ в оба конца себя и локалку

Добавлено:

да, nat в WinGate работает именно как nat. он просто активизируется и выставляет правила именно в мемент дозвона и получения сетевого адреса

[DeepProg]

насчет NAT ясно, только везде, наверное, следовало читать "WinRoute".
WinGate - это же прокси, и, кажется, без NAT. Ну, по крайней мере, при знакомстве с WinGate никаких акцентов на наличие и настройку NAT я там не видел.

У меня тут колебания по поводу настройки сети:
Как правильно настроить DNS для моей локалки(в т.ч. *и *WinRoute DNS), если
она является частью другой локалки(хотя бы по общей настройке), но не подключена к ней постоянно, т.е. адреса DNS-серверов в установках TCP/IP прописаны как для той сети(ей они выделены провайдером Internet). В моей miniLAN(пусть так называется) компы узнают друг друга по именам, но в это время никакого доступа к машинам с IP, прописанными как DNS, они не имеют, в HOSTS машины так же не прописаны. В общем, получается, что miniLAN вообще не использует DNS провайдера большой LAN.
MiniLAN выходит (пока только пытается выйти, для чего, собственно и WinRoute завел) в I-net через другого провайдера(Dial-up), и в настройках TCP/IP для Dial-up подключений установлено автоматическое получение всех адресов.

Похоже, что вырубить его надо, то есть установить автоматическое назначение...

И тут еще одно наблюдение: Когда работает Winroute Engine
и NAT для RAS включен - постоянно DNS error can't find server;
отключаю NAT - работает. - Это касается пока только доступа *непосредственно моей машины - что-то не так с провом?

Добавлено:

О! Все. DNS у себя затер - заработало! Только коннкет при прежнем показателе в 49kbps жуть какой медленный! Что случилось?


Исправлено: DeepProg, 14:47 30-01-2004

[Vich]

конечно же WinRoute. да, WinGate - проски, но nat всетаки поддерживает
Похоже, что вырубить его надо, то есть установить автоматическое назначение...
можно конечно и так. у WinRoute в св-вах "dns forwarding". можно было указать принудительный форвардинг на днс dialup'а.
про скорость - посмотри по логам куда идут соединения - лишнее перекрой по порту исходящему

[DeepProg]

Допустим у себя на машине я смогу это сделать. Но, только как - ведь все от прова назначается динамически. А что в этом случае нужно прописать в DNS у Client?
Сетка в I-net так и не может выйти(из под XP - тоже). В политиках на NIC - разрешил все.
на RAS *- исходящие = любые
входящие TCP ,UDP 53 *и все больше 1024 - на остальное поставил Drop.

Просмотр Debug log'a показал, что Client потыкается по указанным DNS - пошлют его везде и все - молчок.
Себя что- ли сервером назначать?
Но на что, все-таки принудительный forwading назначать - на имя RAS что ли? *

Насчет тормозов: Почему подобые соединения не тормозят обычный коннект. Сам процесс маршрутизации разве не кушает ресурсы?

Исправлено: DeepProg, 19:10 30-01-2004

[DeepProg]

А вот еще нюанс:
Я могу ошибаться *в интерпретации, но в About Application... version=1.2.4.14
- это просто старый WinRoute или очень старый WinRoute? Я накнулся на инфу(официальную), сообщающую, что XP не будет поддерживаться вплоть до 5-й версии. Существует способ попытаться подключить неподдреживаемую платформу с помощью ключа реестра, но только спасет ли это положение?

Исправлено: DeepProg, 22:25 30-01-2004

[Vich]

провайдер выделяет тебе один и тотже днс (свой собственный). и именно его и нужно прописать в форвардинге. на клиентах поставь шлюз - свой ip и в порядке просмотра dns - свой же ip укажи первым.
маршрутиризация немного отжирает. но не от канала.
по поводу версии: если не ошибся - то это совсем древность. у меня щас стоит Kerio WinRoute Firewall 5.1.9. Поройся по Кряковарезу (http://forum.oszone.net/forums.cgi?forum=10). там есть.

[DeepProg]

Наверное, все-таки, ошибся: winRoute при запуске в своем *Log'e пишет *4.1 и драйвер 3.1 built 17 - это не совсем древность
Хотя народ говорил, что удавалось заставить работать без доп. настроек версию 4.2, думаю, что эта тоже может, если захочет.

Я так и не понял, почему возникает такая ситуация:
на интерфейсе RAS включаешь NAT - не могу выйти в Internet(речь о моей машине, где WinRoute и установлен), не разрывая коннекта, выключаю NAT - Выход есть.

DNS forwarding назначается на Server IP из Dial-up connection Status'a? При просмотре лога я нашел еще один адрес(назовем его R_DNS), на котороый перенапрявляются запросы DNS от меня - пробовал ставить форвардинг на него, потому что это больше всего похоже на правду, хотя бы в сравнении в Server IP.
result=nil

Еще о маршрутах хождения запросов DNS(RAS NAT is OFF) - они идут так(построчно из лога):
LAN client->My static LAN IP
My dynamic Dial-up IP-> My static LAN IP
и так несколько раз - на мой взгляд, к LAN Client ответы просто не приходят, при этом все транзакции по NIC разрешены.
Отсюда эрго: WinRoute DNS forwarding DOES NOT WORK!!!!

Когда я(машина с WinRoute) пытаюсь открыть страницу DNS запрос идет так:
My dynamic Dial-up IP->R_DNS
все - далее идет пересылка TCP пакетов и страница нормально грузится!

Если RAS NAT is ON - у меня ничего не грузится, а у LAN Client'a и подавно - DNS запросы опять идут только ко мне и с Client и с My Dynamic Dial-up IP.
Отсюда эрго: WinRoute DNS forwarding DOES NOT WORK!!!!

Важно: RAS NAT OFF устанавливалось галкой Exclude this computer from NAT!
В обоих вариантах NAT для NIC отключен полностью.
Пробовал прописать R_DNS у себя и у Client *
result=0. *- ответы не достигают Client'a

Неужто все из-за несовместимости платформы и софтины?
Тогда дилемма: upgrade or proxy? defence терять не хотелось бы...

[Vich]

попробуем по порядку :)

версия: действительно не древность. хотя мне не очень приглянулась. не заморачиваясь взял последний - поставил, все работает сразу после установки (модно было и не ковыряться там руками)

о доступе в Internet с локала: в политиках (Traffi Policy) для DialUp создано две политики - NAT (из сети на диалап + NAT on) и Firewall (с локальной машины на диалап + NAT off). именно в таком порядке. в св-вах сети порядок просотра dns не включен. ну и само собой нужные протоколы должны юыть прописаны на выход.

чтоб узнать какой dns назначил сервер в консоли набери для XP ipconfig /all (там строки будут - "DNS Servers") и для ME winipcfg (аналогично). именно эти адреса и нужно ставить в forwarding.
то, что DNS запросы зацикливаюся - это похоже ты сам ссылаешься в dns на себя (св-ва tpc/ip).

а по поводу дилемы... попробуй обновить WinRoute


Исправлено: Vich, 12:08 2-02-2004

[DeepProg]

DNS
сервер прова: я нашел правильно - это тот самый R_DNS.
На машине-сервере в DNS прописаны только адреса провайдера большой LAN и провайдера моего Dial-up'a(этот идет как preffered).
о доступе в Internet с локала
ты здесь описал настройки у себя, что ли? - тогда:
Traffic policy... Это *пока еще 4.1 - так что есть только
Packet Filter - конфигурация firewall только по пакетам и протоколам, Anti-spoofing - валидно все, Port mapping - я не предоставляю никакиж служб, доступных из I-net поэтому ничего не настраивал, NAT(Advanced NAT) - руками не трогал, поля чистые.
Значит создано две политики - это, как я понял, нужно настроить в последнем, попробую( вот так: outGoing NIC - DO nat with Default IP; Any->Any do not NAT) - ага меня !!пропустил!! при включенном NAT на Dial-up - сетку попробовать смогу позднее, ну а пока:
порядок просотра dns не включен - то есть поля DNS в настройках LAN на сервере - чистые?
похоже ты сам ссылаешься в dns на себя
мой LAN_IP, как DNS, прописан только у Client, но не у меня.

[Vich]

На машине-сервере в DNS прописаны только адреса провайдера большой LAN и провайдера моего Dial-up'a(этот идет как preffered).
запутался чуток. машина сервер - это твоя машина?
где прописаны эти вты. если в св-вах NIC -> tpc/ip то dns от dialup совершенно лишний там. при дозвоне он выдается dialup интерфейсу.

нет, не у меня так настроено. я делал просто..

[DeepProg]

машина сервер - это твоя машина?
Да, и это всегда так, если не указано иное.
если в св-вах NIC -> tpc/ip
Именно там - так как пров выделяет DNS динамически (хотя всегда один и тот же), руками в свойства TCP/IP Dial-up'a я его не приписывал.
Ты так и не ответил правильно ли я понял смысл фразы
порядок просотра dns не включен
Чистить эти поля смысла нет - я потеряю связь с большой LAN

dns от dialup совершенно лишний там
Но, кажется, это не может быть причиной нефункциональности.

Я так и не проверил работу сети, так что придется подождать.

Но касательно Advanced NAT настройка выполнена верно?(то что пускает меня - хорошо, но это не значит, что будет пускать LAN_Client'a)

[DeepProg]

Vich А как тебе то, что при Dial-up'e для моей машины ipconfig /all: Default gateway: My_Dynamic IP - не это ли есть причина зацикливания запросов DNS, надо попробовать вырубить, ух, скорее бы до сети добраться...

Исправлено: DeepProg, 6:56 4-02-2004

[Guest]

Всех с праздничком!!
И прошу помочь. Возникла проблемка с winroute. В факе ничего не нашел про это. Значит есть сервер win2000 adv srv eng. На нем стоял winroute. Одна карта смотрела в инет, вторая в локалку. Был поднят НАТ. Все работало на ура! Но недавно сетевой карте, смотрящей в инет сделали uninstall, после повторной установки оной в winroute появился третий сетевой интерфейс с ip 0.0.0.0 Я удалил лишний и все осталось как положено: на инете НАТ, на локалке нет.
Но инет на компах не пашет. Пингуя яндекс, к примеру, пишет: обмен пакетами с www.yandex.ru [213.180.194.129]
превышен интервал ожидания
Сносил винрут, ставил заново, сносил сетевую ставил заново. Не могу понять в чем дело, ничего не помогает:-((
Помогите разобраться!