WinRoute - все вопросы и ответы здесь - Сети - Страница 80

18.05.2002, 17:48

В этом топике задаём все вопросы касательно Kerio Winroute а также отвечаем на них, кроме вопросов "где взять программу", "где взять лекарство от жадности для программы", "как сломать" и т.д., для которых создан специальный топик в варезном разделе!

Как настраивать винроут для работы с eMule, DC++ и прочими расказано тут.

Cartman · 10.05.2007, 18:24

mrvain, кэш ДНСа включен?
Вообще-то что-то дофига конечно. Проследи в активных соединениях запросы шлет. Проверь на вири.

PulseDiver · 10.05.2007, 20:50

мда...накрутил... проще было бы оставить одно верхнее правило... =)

что стоит в Content Filtering/FTP Policy?
не запрещены ли FTP команды?

Alex_TAV · 11.05.2007, 06:39

Цитата:

Сообщение от PulseDiver

мда...накрутил... проще было бы оставить одно верхнее правило... =)

что стоит в Content Filtering/FTP Policy?
не запрещены ли FTP команды?

верхнее правило поставил от безисходности(чтоб значит ничто не мешало)

в FTP Policy стоит разрешить все

Alex Dark · 17.05.2007, 15:04

расшифруйте пожалуйста сообщение из лога Alerts
[05/Apr/2007 13:55:24] PORTSCAN hostip="83.143.168.168" hostname="83.143.168.168" log="protocol: UDP, source: 83.143.168.168, destination: 255.255.255.255, ports: 29900, 29901, 29902, 29903, 29904, 29905, 29906, 29907, 29908, 29909, ..." time="Thu Apr 05 13:55:24 2007" username="not logged yet"
потнимаю что сканируют порты но кто откуда и как

shiraza · 17.05.2007, 17:08

Цитата:

Сообщение от Alex_TAV

P.S.: Еще понравилось что в Керио легко можно перенести настройки с одного компа надругой, + поодержка антивируса,+фаервол(который не бывает лишним). Вообщем плюсов много и хотелось бы перейти именно на него.

Можно подробнее, как именно перенести настройки между двумя машинками? Вручную править xml с настройками? Или есть еще что-то?

Цитата:

Сообщение от Alex_TAV

Но я все же как несколько параноидальный тип всегда любил чтобы для NAT была отдельная прога, ну чтоб гарантированно не попало в логи, что там передается и странно что с Kerio такая программа перестает работать. Я всегда думал что создав правило Source - Any, Dest - Any, Service - Any, Action -Permit - я автоматически как бы выключаю фаервол вообще(разрешаю все), или я заблуждаюсь?

Для керио это не так - разработчики много всяких приколов внутрь понапихали. Самая заметная особенность - прямое нарушение собственных правил самим керио для автообновления.
Чтобы все было гарантированно - поставить керио на виртуальную машинку. В таком варианте можно решить все вопросы.
Соединению по FTPS может помешать антивирус, он у тебя стоит?

Цитата:

Сообщение от Alex Dark

[05/Apr/2007 13:55:24] PORTSCAN hostip="83.143.168.168" hostname="83.143.168.168" log="protocol: UDP, source: 83.143.168.168, destination: 255.255.255.255, ports: 29900, 29901, 29902, 29903, 29904, 29905, 29906, 29907, 29908, 29909, ..." time="Thu Apr 05 13:55:24 2007" username="not logged yet"

По всей видимости на самом рутере троян. Хотя подобные сообщения могут возникать и от деятельности некоторых легальных программ. Для начала посмотри автозапуск с помошью например autoruns, потом можешь посмотреть еще rootkitrevealer

Alex_TAV · 18.05.2007, 06:27

Цитата:

Сообщение от shiraza

Можно подробнее, как именно перенести настройки между двумя машинками? Вручную править xml с настройками? Или есть еще что-то?

Вот здесь есть wradmin603.en.chm на русском описание переноса настроек.

Цитата:

Сообщение от shiraza

Для керио это не так - разработчики много всяких приколов внутрь понапихали. Самая заметная особенность - прямое нарушение собственных правил самим керио для автообновления.
Чтобы все было гарантированно - поставить керио на виртуальную машинку. В таком варианте можно решить все вопросы.
Соединению по FTPS может помешать антивирус, он у тебя стоит?

Стоит Nod32 , но ведь когда выхожу на фтп с паролем через SquidNT с тем же самым NOD32 все работает. IMON отключен.

Black_NAiL · 18.05.2007, 09:56

Цитата:

Сообщение от Alex Dark

расшифруйте пожалуйста сообщение из лога Alerts
[05/Apr/2007 13:55:24] PORTSCAN hostip="83.143.168.168" hostname="83.143.168.168" log="protocol: UDP, source: 83.143.168.168, destination: 255.255.255.255, ports: 29900, 29901, 29902, 29903, 29904, 29905, 29906, 29907, 29908, 29909, ..." time="Thu Apr 05 13:55:24 2007" username="not logged yet"
потнимаю что сканируют порты но кто откуда и как

откуда - с IP 83.143.168.168.
занеси его в группу "бан", а первым повесь правило, дропающее пакеты от этой группы.

shiraza · 18.05.2007, 13:20

Цитата:

Сообщение от Alex_TAV

Стоит Nod32 , но ведь когда выхожу на фтп с паролем через SquidNT с тем же самым NOD32 все работает. IMON отключен.

Я имел ввиду включенный антивирус на самом Керио. Там он есть?

Цитата:

Сообщение от Black_NAiL

откуда - с IP 83.143.168.168.
занеси его в группу "бан", а первым повесь правило, дропающее пакеты от этой группы.

Может я не понял такой нотации, но 83.143.168.168, destination: 255.255.255.255 - это вроде как с самой же тачки и идет сканирование локальных портов.

Цитата:

Сообщение от Alex_TAV

Вот здесь есть wradmin603.en.chm на русском описание переноса настроек.

Не уловил, где именно. Это появилось в версии 6.3?

Цитата:

Сообщение от Alex Dark

расшифруйте пожалуйста сообщение из лога Alerts
[05/Apr/2007 13:55:24] PORTSCAN hostip="83.143.168.168" hostname="83.143.168.168" log="protocol: UDP, source: 83.143.168.168, destination: 255.255.255.255, ports: 29900, 29901, 29902, 29903, 29904, 29905, 29906, 29907, 29908, 29909, ..." time="Thu Apr 05 13:55:24 2007" username="not logged yet"
потнимаю что сканируют порты но кто откуда и как

Появился еще один вопрос: не стоит ли там NOD? Если да, то похоже это нормальное поведение.

Alex_TAV · 18.05.2007, 15:30

Цитата:

Сообщение от shiraza

Я имел ввиду включенный антивирус на самом Керио. Там он есть?

нет, там он выключен

NOD фоном отдельно работает , но IMON выключен

Black_NAiL · 20.05.2007, 17:41

Alex_TAV, 83.143.168.168 - это ip машины с винроутом?

Alex Dark · 21.05.2007, 06:59

Прошу прощения за молчание.

Цитата:

Сообщение от shiraza

По всей видимости на самом рутере троян. Хотя подобные сообщения могут возникать и от деятельности некоторых легальных программ. Для начала посмотри автозапуск с помошью например autoruns, потом можешь посмотреть еще rootkitrevealer

Трояна не нашел. Искал Nod32. Вообще то нашел, но в темпорарах роутера, судя по всему это почта пришедшая в момент проверки.
Машина - роутер. Больше на ней нет ни чего, кроме NOD32 и Касперского Антихакера (почему именно так, объясню в привате, если кому интересно)
В автозагрузке нет ни чего
Не совсем понял autoruns и rootkitrevealer это проги чтоли?

Цитата:

Сообщение от Black_NAiL

откуда - с IP 83.143.168.168.
занеси его в группу "бан", а первым повесь правило, дропающее пакеты от этой группы.

Я уже выяснил что за IP - Это один из пользователей моего провайдера
Занесу в баны. Вот беда - всех не занесешь...

Alex_TAV · 21.05.2007, 16:03

Цитата:

Сообщение от Kuzma@IMHO

запусти мастер правил по моему он тебе как раз все настроит как надо ... я тоже долго соображал как должно работать, потом включил мастера посмотрел и подправил как мне надо уже сгенеренные правила

запустил мастер заново, все то же самое. На фтп с паролем не пускает, хочу убить себя об стену

((, в чем траблы то? На обычные фтп без проблем.

Кстати интересно что в активных хостах подключение к фтп не отображается, несмотря на то что к фтп идет подключение через http прокси режим.

shiraza · 21.05.2007, 17:19

Цитата:

Сообщение от Alex Dark

Не совсем понял autoruns и rootkitrevealer это проги чтоли?

Да, очень полезные тулзы от Sysinternals, imho must have на машинках с инетом.

Цитата:

Сообщение от Alex Dark

Я уже выяснил что за IP - Это один из пользователей моего провайдера
Занесу в баны. Вот беда - всех не занесешь...

Не понятна тогда только нотация керио. Лучше не бань, а позвони им и расскажи о наблюдениях - мож спасибо скажут тебе и наблюдательности керио.

Alex Dark · 22.05.2007, 14:39

Цитата:

Сообщение от shiraza

Лучше не бань, а позвони им и расскажи о наблюдениях

Ну так откуда я узнал что это

Цитата:

Сообщение от Alex Dark

Это один из пользователей моего провайдера

С тулсами поковырялся (rootkitrevealer ). Вроде ни чего не показал страшного
rootkitrevealer

Цитата:

HKLM\SECURITY\Policy\Secrets\SAC* 03.02.2005 13:11 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 03.02.2005 13:11 0 bytes Key name contains embedded nulls (*)
C:\Documents and Settings\ 22.05.2007 9:37 0 bytes Hidden from Windows API.
C:\Documents and Settings\ 22.05.2007 8:59 0 bytes Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\ 22.05.2007 9:42 0 bytes Visible in directory index, but not Windows API or MFT.
C:\Documents and Settings\ 22.05.2007 9:05 3.41 MB Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\ 22.05.2007 9:05 0 bytes Visible in Windows API, but not in MFT or directory index.
C:\System Volume Information\_restore{5F2C17C0-9740-4FCB-80AE-F92696118849}\RP310\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-2245641024-4230493894-3374578533-1004 17.01.2006 16:59 256.00 KB Visible in Windows API, but not in MFT or directory index.
C:\System Volume Information\_restore{5F2C17C0-9740-4FCB-80AE-F92696118849}\RP310\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-2245641024-4230493894-3374578533-1006 08.02.2006 20:52 256.00 KB Visible in Windows API, but not in MFT or directory index.
.....

В C:\System Volume Information\_restore... много чего он написал и все.
В описании утилиты написано что она только выдает "подозрительные" факты, и типа принимать результаты сразу за истинну и принимать кл действия не стоит.

Вот сижу и думаю, что дальше?
Дело в том что керио выдает еще и еще аналогичные алерты.

Цитата:

[17/May/2007 08:36:37] PORTSCAN hostip="192.168.15.151" hostname="Orenburg-#####.ru" log="protocol: TCP, source: 192.168.15.151, destination: 192.168.15.76, ports: 1553, 1554, 1562, 1563, 1574, 1575, 1584, 1586, 1587, 1428, ..." time="Thu May 17 08:36:37 2007" username="not logged yet"

192.168.15.151 - внутренний IP роутера
Orenburg-#####.ru - Локальная страничка для тех кому нельзя в инет
Соответственно комп 192.168.15.76 я посмотрел. Нет ни чего подозрительного. rootkitrevealer - ом еще посмотрю и autorun-ом . На маомент этого алерта, комп от инета был отключен средствами роутера

Кроме того Каспер-Антихакер начал каждый час сообщать о сканировании портов извне

Alex_TAV · 23.05.2007, 12:48

так и не получилось научиться ходить на фтп под паролем через http прокси Керио, самое смешное берем мини прокси типа Small HTTP Server 3.05.11 (100кБ) - все работает, а Керио такой большой и не хочет.

shiraza · 28.05.2007, 06:43

Цитата:

Сообщение от Alex Dark

В C:\System Volume Information\_restore... много чего он написал и все.
В описании утилиты написано что она только выдает "подозрительные" факты, и типа принимать результаты сразу за истинну и принимать кл действия не стоит.

Да все нормально, ниче там и правда нету. Используй еще TCPview от них же, если и правда чувствуешь что что-то не так.

Цитата:

Сообщение от Alex Dark

[17/May/2007 08:36:37] PORTSCAN hostip="192.168.15.151" hostname="Orenburg-#####.ru" log="protocol: TCP, source: 192.168.15.151, destination: 192.168.15.76, ports: 1553, 1554, 1562, 1563, 1574, 1575, 1584, 1586, 1587, 1428, ..." time="Thu May 17 08:36:37 2007" username="not logged yet"

Так у тебя там поднята IIS что-ли? Может вообще вся эта история из-за какого-то софта на сервере?

kasper2007 · 29.05.2007, 12:17

А подскажите пожалуйста версию под Вин98?

Cartman · 29.05.2007, 12:45

kasper2007, 4.2.5.

31.05.2007, 11:34

Привет всем!
Помогите кто чем может!

Настраиваю новый проксяк: 2k pro, KWF 6.3.0, KMS 6.3.1.
Всьое работает нормально, только KMS не хочет отсылать письма на внешние почтовики!
Пишет: 4.4.1 Cannot connect to remote host.

В KWF порти для SMTP открыты, в списке соединений появляется соединение с нужным сервером (IP проверял через "C:\>nslookup -type=mx mail.ru") но оно долго висит (хотя в письме только слово "ТЕСТ")

Black_NAiL · 31.05.2007, 12:04

Цитата:

Сообщение от lavren

В KWF порти для SMTP открыты

этого мало. KMS на этой же машине? тогда надо еще мап почтовых портов сделать на локалхост (или на машину с KMS).

10.05.2007, 18:24	# 1581
Cartman Migel Mod Volos Регистрация: 09.09.2003 Адрес: МПЛ-в почетной д Сообщения: 7 486	mrvain, кэш ДНСа включен? Вообще-то что-то дофига конечно. Проследи в активных соединениях запросы шлет. Проверь на вири. __________________ Все "спасибы" - в приват и в репутацию! не засоряйте форум!!!! © Plague Небьющаяся игрушка - это игрушка, которой ребенок может разбить все свои остальные игрушки. IMHO - отдых в Анапе

10.05.2007, 20:50	# 1582
PulseDiver Junior Member Регистрация: 12.09.2002 Адрес: Kaliningrad Сообщения: 80	мда...накрутил... проще было бы оставить одно верхнее правило... =) что стоит в Content Filtering/FTP Policy? не запрещены ли FTP команды? __________________ Кто к нам с мечем придет - тому его и засунем!

23.05.2007, 12:48	# 1595
Alex_TAV Junior Member Регистрация: 24.08.2006 Адрес: Омск Сообщения: 188	так и не получилось научиться ходить на фтп под паролем через http прокси Керио, самое смешное берем мини прокси типа Small HTTP Server 3.05.11 (100кБ) - все работает, а Керио такой большой и не хочет. Последний раз редактировалось Alex_TAV; 28.05.2007 в 06:35.

29.05.2007, 12:45	# 1598
Cartman Migel Mod Volos Регистрация: 09.09.2003 Адрес: МПЛ-в почетной д Сообщения: 7 486	kasper2007, 4.2.5. __________________ Все "спасибы" - в приват и в репутацию! не засоряйте форум!!!! © Plague Небьющаяся игрушка - это игрушка, которой ребенок может разбить все свои остальные игрушки. IMHO - отдых в Анапе

18.05.2002, 17:48	# 1
666 Guest Сообщения: n/a	WinRoute - все вопросы и ответы здесь В этом топике задаём все вопросы касательно Kerio Winroute а также отвечаем на них, кроме вопросов "где взять программу", "где взять лекарство от жадности для программы", "как сломать" и т.д., для которых создан специальный топик в варезном разделе! Как настраивать винроут для работы с eMule, DC++ и прочими расказано тут. Последний раз редактировалось FantomIL; 30.11.2005 в 15:25.

17.05.2007, 15:04	# 1584
Alex Dark КОТовский Регистрация: 12.03.2003 Адрес: ОренБюргер Пол: Male Сообщения: 1 569	расшифруйте пожалуйста сообщение из лога Alerts [05/Apr/2007 13:55:24] PORTSCAN hostip="83.143.168.168" hostname="83.143.168.168" log="protocol: UDP, source: 83.143.168.168, destination: 255.255.255.255, ports: 29900, 29901, 29902, 29903, 29904, 29905, 29906, 29907, 29908, 29909, ..." time="Thu Apr 05 13:55:24 2007" username="not logged yet" потнимаю что сканируют порты но кто откуда и как

20.05.2007, 17:41	# 1590
Black_NAiL Папараций Регистрация: 25.04.2003 Сообщения: 806	Alex_TAV, 83.143.168.168 - это ip машины с винроутом?

29.05.2007, 12:17	# 1597
kasper2007 Junior Member Регистрация: 28.02.2007 Адрес: Украина Пол: Male Сообщения: 122	А подскажите пожалуйста версию под Вин98?

31.05.2007, 11:34	# 1599
lavren Guest Сообщения: n/a	Привет всем! Помогите кто чем может! Настраиваю новый проксяк: 2k pro, KWF 6.3.0, KMS 6.3.1. Всьое работает нормально, только KMS не хочет отсылать письма на внешние почтовики! Пишет: 4.4.1 Cannot connect to remote host. В KWF порти для SMTP открыты, в списке соединений появляется соединение с нужным сервером (IP проверял через "C:\>nslookup -type=mx mail.ru") но оно долго висит (хотя в письме только слово "ТЕСТ")