Вход в личный кабинет Базовая настройка kerio control
В принципе, все параметры работы Kerio Control можно настраивать вручную. Однако для первоначального внедрения гораздо удобнее воспользоваться специальным мастером, который запускается автоматически. На первом его шаге предлагается ознакомиться с основной информацией о системе.
Второй этап – выбор типа подключения к Интернету. Всего здесь доступно четыре варианта, из которых необходимо выбрать наиболее подходящий для конкретной локальной сети.
- Постоянный доступ – интернет-шлюз имеет постоянное подключение к Интернету.
- Дозвон по запросу – Kerio Control будет самостоятельно устанавливать подключение к Интернету по мере необходимости (при наличии интерфейса RAS).
- Переподключение при отказе – при разрыве связи с Интернетом Kerio Control будет автоматически переключаться на другой канал (нужно два подключения к Интернету).
- Распределение нагрузки на каналы – Kerio Control будет одновременно использовать несколько каналов связи, распределяя нагрузку между ними (необходимо два или более подключений к Интернету).
На третьем шаге нужно указать сетевые интерфейс или интерфейсы, подключенные к Интернету. Программа сама обнаруживает и выводит все доступные интерфейсы в виде списка. Так что администратору остается только выбрать подходящий вариант. Стоит отметить, что в первых двух типах подключений нужно устанавливать только один интерфейс, а в третьем – два.
Настраиваем систему безопасности
В Kerio Control реализованы широкие возможности по обеспечению безопасности корпоративной сети. В принципе, защищаться от внешних угроз мы уже начали, когда настроили работу файрвола. Кроме того, в рассматриваемом продукте реализована система предотвращения вторжений. Она по умолчанию включена и настроена на оптимальную работу. Так что ее можно не трогать.
Следующий шаг – антивирус. Тут стоит отметить, что он есть не во всех версиях программы. Для использования защиты от вредоносного ПО Kerio Control должен быть приобретен со встроенным антивирусом, либо на интернет-шлюзе должен быть установлен внешний модуль антивируса.
Для включения антивирусной защиты необходимо открыть раздел “Конфигурация->Фильтрация содержимого->Антивирус”. В нем нужно активировать используемый модуль и отметить с помощью чекбоксов проверяемые протоколы (рекомендуется включить все).
Настройка kerio winroute firewall 6 в сети с доменом
Рис. 1. Схема локальной сети.
Первое что вам нужно сделать – это конечно же установить Kerio Winroute на компьютер, ЖЕЛАТЕЛЬНО не являющийся DC. Перегрузиться, зарегистрировать файрвол и после этого приступить к конфигурации.
Рис. 2. Interfaces.
Поясню назначения интерфейсов:
- LAN – сетевая карта, смотрящая в локальную сеть
- INTERNET – сетевая карта, смотрящая в интернет и имеющая реальный IP
Рис. 3. Traffic policy.
Поясню смысл полей и правил в целом:
Пояснения по правилам, показанным на рисунке 3:
Примечание: правила обрабатываются сверху вниз и действуют по принципу “запрещено ВСЁ кроме разрешенного”
Рис. 4. DNS Forvarder.
Можно для определенных доменов и IP-диапазонов (обычно если имеются всякие “дружественные” подсети) настраивать жёсткую привязку к определенным ДНС:
Рис. 5. Custom DNS Forvarding.
Для нормальной работы компьютеров в домене вы должны настроить ваш доменный DNS-сервер для пересылки неразрешенных запросов на адрес машины с КЕРИО:
Рис. 6. Настрока пересылки.
Эти настройки находятся в свойствах ДНС в Win2k(3), при этом сервер не должен быть корневм, т.е., должна быть удалена зона . (точка). На машине с Керио в свою очередь должен быть включен DNS Forwarding.
В URL Groups можно создавать группы, в которые вносить сайты, схожие по содержанию (например банерные сети, порноресурсы) и потом использовать эти группы для ограничения к ним доступа локальных пользователей (будет показано чуть ниже):
Рис. 7. HTTP Policy.
На рисунке 7 создана группа “локал” и она содержит маску внутрисетевых ресурсов, далее мы к ним разрешим доступ БЕЗ авторизации.
На следующей картинке показаны HTTP – правила, с применением групп адресов:
Рис. 8. HTTP Policy.
Авторизации к локальным ресурсам веб (например, если на шлюзе поднят веб-сервер), второе правило разрешает автоматическое обновление антивирусов установленных на шлюзе (где наш Керио) так же без авторизации, третье правило разрешает доступ снаружи к локальному сайту к определенным страницам (не показано), четвертое правило запрещает доступ к остальным страницам (не указаным в группе), последнее правило позволяет прользователю “генка” доступ по HTTP – БЕЗ авторизации.
Контентные правила оставляем по умолчанию:
Рис. 9. Content Rules.
Кеш отключаем:
Рис. 10. Cache.
На закладке Proxy отключаем непрозрачный (non-transparent) прокси, работающий на 3128 порту (для данной конфигурации):
Рис. 11. Proxy Server.
Закладку Forbidden words не трогаем.
Рис. 12. Antivirus.
Следующая закладка для настроек того, какое содержимое будет сканировать антивирь (если включён конечно же):
Рис. 13. HTTP, FTP Scanning.
Можно настроить отсылку сообщений на мыло администратора (или, например, начальника) когда антивирус кериовский обнаружит в почтовом трафике (который, в принципе, проходит через ваш шлюз) вирусы он (Керио) может вставлять в тему письма предупреждающее слово (**VIRUS**):
Рис. 14. Email Scanning.
Рис. 15. Address Group.
Рис. 16. Time Ranges.
Рис. 17. Services.
Список всевозможных “сервисов”, которые применяются в трафикполисях (собственно говоря, применяются в настройках пакетного фильтра), красным обведено включённое использоватние так называемого “протоколинспектора”, призванного следить за “правильностью” пакетов и отличать настоящий трафик от “ложного”.
Ниже приведен пример создания нового “сервиса” для винрута с названием “http (на нестандартном порту)”, это обычно нужно если требуется выход в интернет некоторым сервисам, работающим на НЕСТАНДАРТНОМ порту:
Рис. 18. Создание сервиса.
Данная картинка показывает, как сделать “сервис”, например, для web-сервера, работающего на НЕСТАНДАРТНОМ (отличном от общепринятого) порту, то есть, вместо 80-го на 888. Далее этот сервис можно указывать в политиких трафика для разрешения или явного запрета.
Рис. 19. Advanced Options.
Отключаем все галочки.
Рис. 20. Advanced Options.
Включаем встроенный web-интерфейс, через который будет происходить авторизация пользователей.
Рис. 21. Advanced Options.
В общем, настройки ISS (оранж фильтра) у меня вот такие…
Рис. 22. Advanced Options.
Настроечки для автоматической проверки новых версий.
Рис. 23. Advanced Options.
Тут настраиваемчерезкакойпочтовыйсервер винроут сможет отправлять письма (предупреждения о найденых вирусах в почтовом трафике всевозможные алерты).
Рис. 24. Advanced Options.
Тут включаем пользовательскую статистику.
Настраиваем логи:
Рис. 25. Logs and Alerts.
Ниже показано как сделать Алерт (который пошлётся по емайлу), сообщающий о начале сканирования портов:
Рис. 26. Add Alert.
Рис. 27. Users.
На картинке так же показано как “привязать” пользователя к определенному IP (или имени компа), в этом случае будет происходить АВТОМАТИЧЕСКАЯ АВТОРИЗАЦИЯ и весь трафик от указанного IP (компа) будет ассоциироваться с данным пользователем и начисляться в его (пользовательскую) статистику.
В общем, тут всё понятно.
Рис. 28. Users.
Ставим галочку для того, чтобы всегда запрашивалась авторизация перед посещением страниц интернета.
Рис. 29. Users.
Можно идентифицировать доменных пользователей.
Последнее, что нам остается сделать – настроить компьютеры локальной сети для того что бы они ходили в инет через наш УЖЕ настроенный Kerio Winroute Firewall, являющимся роутером NAT в интернет.
Рис. 30. Настройка компьютера пользователя.
В качестве основного шлюза указываете адрес вашего Керио-маршрутизатора, а в качестве предпочитаемого DNS-сервера следует указывать адрес локального DNS (во избежание долгого входа в домен).
P.S. Данныенастройки приведены в самом простом виде, думать практически не надо. Для более тщательной настройки защищенности сервера от локальной сети и от интернета ВЫ САМИ в силах придумать и создать правила, ведь конфигурации сетей у всех разные и требования у всех разные.
§
Пользователи и группы
После первоначальной настройки системы можно приступать к внесению в нее пользователей. Однако удобнее сначала разбить их на группы. В этом случае в будущем ими будет легче управлять. Для создания новой группы перейдите в раздел “Пользователи и группы->
Группы” и нажмите на кнопку “Добавить”. При этом будет открыт специальный мастер, состоящий из трех шагов. На первом нужно ввести имя и описание группы. На втором можно сразу добавить в нее пользователей, если, конечно, они уже созданы.
Установка и настройка kerio control | softmagazin
Для обеспечения соединения между двумя удаленными точками, например, главным офисом и филиалом, можно использовать не подключение не только по VPN-протоколу, но и IPSec. С помощью программы, находящейся в центральном офисе, нужно создать новый туннель IPSec. В параметрах задайте ip-адрес, предопределенный ключ, локальный и удаленный ID, а также другие необходимые настройки.
Далее добавьте правила фаервола, политики шифрования и поработайте с настройками Peers. Так как в программе задана возможность автоматической генерации политик, при установке соединения они будут сразу же созданы. На роутере в удаленном офисе также появится политика для подсети, и туннель будет создан.
Поводим итоги
Итак, как мы видим, несмотря на широкие функциональные возможности Kerio Control, организовать с его помощью групповую работу пользователей корпоративной сети в Интернете достаточно просто. Понятно, что мы рассмотрели только базовую настройку этого продукта. Приобрести Kerio Control можно у партнеров 1Софт.
Марат Давлетханов
(1 оценок, среднее: 4,00 из 5)
Загрузка...