|
версия для печати P.S. В СКОРОМ ВРЕМЕНИ ДОДЕЛАЮ ПЕРЕВОД ИНСТРУКЦИИ ПО ПРИМЕНЕНИЮ KERIO MAIL SERVER. ЕСЛИ КОМУ НАДО, ПИШИТЕ Глава обеспечивает детализированное описание на конфигурацию местной
сети и установки WinRoute в штабе компании. То же самое руководство
может также сопровождаться для конфигурации сети в удаленных офисах. Параметры TCP/IP Интернет - Интерфейса должны быть установлены
согласно информации, обеспеченной вашим ISP. В случае связи dial-up
(то есть аналоговый модем или ISDN), Вы должны создать соответствующую
связь dial-up , используя, 'делают новую связь’ волшебником, расположенным
в пульте управления сети. Проверите возможность соединения (то есть
при использовании команды звона или открывая Вебсайт, используя
ваш браузер). Следующие варианты могут использоваться, чтобы выбрать IP адреса
для вашей ЛВС: Частные адреса представлены специальными IP диапазонами, которые сохранены для местных сетей, которые не принадлежат Интернету. Эти адреса не должны существовать в Интернете (Интернет -маршрутизаторы обычно настраиваются, чтобы пропустить все пакеты, которые включают эти адреса). Следующие IP диапазоны сохранены для частных сетей:
192.168.1.0 адреса (частный IP адрес) с 255.255.255.0 масками сети используются для местной сети в следующем примере. Интерфейс ЛВС Следующие параметры будут установлены в Интерфейсе ЛВС: Запустите инсталлятор программы WinRoute и выбирайте Типичную установку. Отключите интернет-Связь, или интернет-Брандмауэр Связи (Windows XP) если сервисы обнаружены инсталлятором программы, иначе WinRoute может функционировать неправильно. Определите имя пользователя и пароль, который будет использоваться для учетной записи администратора .
После установки программы перезагрузите компьютер. После перезагрузки, запустите Kerio (Начало / Программы / Kerio).
Соединитесь с localhost (местный компьютер) с именем пользователя
и паролем, определенным в течение установки. Мастер настройки запуститься
автоматически после первого логина. Установите следующие параметры,
используя Волшебника:
2.4 Конфигурация Сервера DHCP Следующие методы могут использоваться, чтобы назначить адреса IP
на местных Hosts: область DNS будет использоваться в местной сети. Конфигурация Сервера DHCP Пойдите в Конфигурацию / сервера DHCP в Пульте Администрации Kerio.
Откройте предел Возможностей, чтобы создать IP возможности для Host,
на которых адреса будут назначены динамически (Добавление / выбор
Возможностей). Следующие параметры должны быть определены, чтобы
определить возможности адреса: Создайте аренду адреса для сети, принтера, используя Добавление / Резервирование ... выбор{опция}. Адрес, который Вы резервируете, не должен обязательно принадлежать возможностям, описанным выше, однако, это должно принадлежать к указанной сети (в этом примере, эти 192.168.1.3 адреса сохранены). Вы должны знать, что аппаратные средства (МАК адрес) адрес принтера делают резервирование.
Не делайте резервирование вручную, если Вы не знаете адрес аппаратных средств вашего принтера. Запустите сервер DHCP и подключайте устройство к сети. IP адрес от прежде определенных возможностей (см. выше) будет назначен
на принтер. Примечания: 2.5 Конфигурация DNS перенаправления Пойдите в to Configuration / DNS Forwarder, чтобы формировать серверы
DNS, которым будут отправлены вопросы DNS. Проверьте вопросы DNS
указанной альтернативе серверов DNS и определите один или несколько
серверов DNS в Интернете. Серверы DNS вашего Интернет - поставщика
связи - самые удобные с этой целью (лучшая пригодность). Чтобы получить
их IP адреса, свяжитесь с поставщиком. Передовые DNS Forwarder: Для детального описания на этих параметров настройки, обратитесь
к главе 3.1 (или к главе 3.2). Используйте, имя ... вход, чтобы определить company.com местную область DNS. DNS Forwarder тогда будет в состоянии правильно ответить на вопросы относительно hostnames в местной сети (например fw) так же как их полных именах DNS (например. fw.company.com). Использование Edit file... кнопка, чтобы редактировать файл системы HOST. В этом диалоге, определите все IP адреса и hostnames хозяев, на которых IP адреса были назначены вручную (включая брандмауэр). 2.6 Создание Пользовательских Счетов и Групп Пойдите к Пользователям и Группам / секция Пользователей, чтобы создать пользовательские счета на всех пользователей в пределах местной сети. Если область Windows NT или Windows 2000 используется в местной области, пользовательские счета могут быть импортированы и/ИЛИ формироваться в этой области. Все пользователи будут иметь идентичное имя пользователя и пароль, чтобы получить доступ ко всем ресурсам сети. Название Windows NT / область Windows 2000 должно быть определено в соответствующем входе в Advanced Options / User Authentication.
Пойдите к Users and Groups / Groups, чтобы создать пользовательские группы, которые будут использоваться, чтобы управлять пользовательским доступом к Интернету. Откройте Definitions / Address Groups, чтобы создать IP группы, которые будут использоваться, чтобы ограничить доступ, чтобы послать по электронной почте счета (обратитесь к главе 2.11). Эта группа будет состоять из 123.23.32.123 и 50.60.70.80 IP адресов и из всех 195.95.95.128 сетей с 255.255.255.248 масками сети. Добавление IP адреса: Добавление сети: Проистекающая группа адреса: Пойдите в Definitions / Time Ranges, чтобы создать группу, которая будет ограничена доступом к Интернет - услугам в течение трудовых часов (с понедельника до пятницы от 8 утра к 4:30 после полудня, Субботы и воскресенья от 8 утра к 12 утра). Трудовые рабочие дни определения времени (с понедельника до пятницы): Трудовое определение времени в течение выходных (в субботу и в воскресенье):
Примечания: Это - диапазон времени Рабочей силы результата:
Пойдите к Users and Groups / Users, чтобы создать учетные записи на всех пользователей в пределах местной сети. Если Windows NT или Windows 2000/2003 (Active Directory) область используется в местной сети, учетные записи могут быть импортированы и/или заверены в этой области. Все пользователи будут иметь идентичное имя пользователя и пароль, чтобы получить доступ ко всем ресурсам сети. Назначьте права доступа для сервера VPN каждому пользователю, который соединится отдаленно с местной сетью (поскольку клиент VPN – см. главу 2.12). ПОДСКАЗКИ 1. Также возможно импортировать учетные записи от области NT или от Active Directory (то есть загружать пользователей от области и производить пользовательские счета в WinRoute). Эта операция может экономить ценное время и уменьшает объем настроек, требуемого для администрации. 2. Поскольку Active Directory, автоматический импорт пользовательских
счетов доступен. Эта функция требует названия или IP адреса соответствующего
сервера области так же как пользовательского установления подлинности
через имя пользователя, и пароль (любые пользовательские данные
логина, принадлежащие специфической области могут использоваться).
Также возможно определить шаблон, который будет использоваться для
того, чтобы установить связанные параметры определенного WinRoute
(, типа групп, прав, квот, и т.д.) импортированным пользователям.
Индивидуальные пользовательские счета будут произведены автоматически
на первый успешный логин соответствующего пользователя. Пойдите к Users and Groups / Groups, чтобы создать группы пользователей, которые будут позже использоваться для обслуживания пользовательского доступа к Интернету. Выберете Пользователи для каждой группы.
Доступ к Веб-страницам будет ограничен в соответствии с следующими
ограничениями: Следующие основные правила HTTP уже настроены, и доступный в URL Rules tab in Configuration / Content Filtering / HTTP Policy: Позвольте автоматические обновления, Это правило позволяет автоматическим обновлениям WinRoute и Антивирус McAfee от вебсайта Технологий Kerio. Это правило может быть полезным, если правила, отрицающие автоматические обновления определены. Удалите рекламу и Фильтрование баннеров, рекламных объявлений. Согласно этому правилу понижены пропущены все объекты соответствующие с предопределенной группой URL Объявлений/баннеров. Пометьте это правило{правление} что бы активизировать. Позвольте Windows MS автоматические обновления, Которые управляет автоматическим обновлениям Windows операционные системы от серверов Microsoft. Это правило может быть полезным, если правила, отрицающие автоматические обновления определены. Используйте Select Rating... кнопку, чтобы выбрать категории, которые будут блокированы сначала. Выберите соответствующие категории в Порнографической секции, чтобы отрицать доступ к страницам с эротическим/сексуальным содержанием. Примечания:
Orange Filter, оценивающий технологию как страница может быть классифицирован
неправильно, и полезная информация могла бы быть блокирована при
определенных условиях. Все unlock запросы, зарегистрированы в журнале
здесь Вы можете контролировать, все unlock запросы. Правила, которые будут использоваться для определенных пользователей или пользовательских групп, могут быть добавлены после правила, которое требует установления подлинности для всех пользователей. Вы можете добавить правило, которое позволит пользователям, принадлежащим Личной группе Отдела получить доступ к страницам, где предлагается работа. Все правила которые будет запрещать доступ к таким страницам, должно быть добавлено после предыдущего правила. Примечания: Последнее дополнительное ограничение - пользовательское установление подлинности, получая доступ к Веб-страницам. Чтобы позволять это установление подлинности, используйте «Всегда требуют, чтобы пользователи были заверены, получая доступ к выбору веб -страниц в Authentication Options.
Кэш ускоряет доступ к неоднократно открытым Веб-страницам, таким образом уменьшая Интернет траффик. Кэш можно вклюить в Enable cache on transparent proxy на вариантах “on proxy server options in Configuration / Content Filtering / HTTP Policy. Установите Кэш в желательный размер относительно свободной памяти на диске размера Кэш. 2.9 Конфигурация Политики FTP Использование FTP будет ограничено в соответствии с следующими
ограничениями:
Пойдите в Configuration / Content Filtering / FTP Policy , чтобы установить ограничения FTP. Следующие правила предопределены и могут использоваться для всех намеченных ограничений. Запретите upload, это правило запрещает хранить данные в серверах FTP - это правило уже определено, и желательно включить это, если Вы намереваетесь использовать это. Запретите *.mpg, *.mp3 и *.mpeg файлы, Этот правило запрещает передачу звуковых файлов перечисленных форматов. Это правило уже доступно. Запретите *.avi файлы, Это правило будет запрещать передачу видео файлов. Позволите это правило, используйте кнопку Edit, чтобы открыть соответствующий диалог и определить диапазон времени. Предупреждение: правила FTP относится ко всему FTP трафику, В следующем примере, мы намереваемся позволить местный сервер FTP из Интернета. Мы должны добавить правило, которое позволило бы, загрузку к этому серверу прежде, чем правило запрещение загружает правило Примечания:
Любое антивирусное обеспечение, которое Вы намереваетесь использовать, должно быть установлено сначала. Антивируса McAfee встроено в WinRoute, и Вы будете нуждаться в специальной лицензии, чтобы управлять этим. Выберите соответствующее антивирусное обеспечение в Configuration / Content Filtering / Antivirus и выберите протоколы, которые будут просмотрены. Все executables и Microsoft Office файлы будут просмотрены по умолчанию. HTTP, просмотр FTP и просмотр Электронной почты позволяют детализированную конфигурацию просмотра индивидуальных протоколов. Обычно, параметры настройки по умолчанию удобны.
Пойдите в Configuration / Traffic Policy, чтобы добавить правила
для услуг, которые будут доступны из Интернета. Примечания: Заметка: Правила обработаны сверху донизу. Как только правило подобрано,
не будет никакой дальнейшей обработки правил фильтра. Поэтому, все
правила разрешения должны быть расположены предшествующие к правилам
опровержения. Разрешите сервер VPN для защищенного доступа отдаленных клиентов (“клиенты VPN”) к ЛВС в Configuration / Interfaces (для деталей, см. главу 3.1). Никакие дополнительные параметры настройки не требуются. Коммуникация клиентов VPN уже позволена по правилу traffic политикt созданная волшебником – обращаются к главе 2.3. Примечания:
(то есть к 63.55.21.12) и они будут заверены через их имена пользователя и пароли за их счета WinRoute (см. главу 2.6). Для подробной информации, отнесите к Kerio VPN Клиента - документ
Руководства пользователя. Параметры TCP/IP для host, которые используются как файл сервер
и как сервер FTP, должны формироваться вручную (его IP адрес не
должен быть изменен): Установите автоматическая конфигурация (использующий DHCP) во всех автоматизированных рабочих местах (это установлено по умолчанию под большинством операционных систем).
Эта глава обеспечивает информацию относительно взаимосвязи сервера штаба и удаленного офиса зашифрованным каналом (“туннель VPN”). Следующий пример описывает только базовую конфигурацию туннеля VPN между двумя сетями. Никакие подсказки, связанные с получением доступа к ограничениям или другим определенным параметрам настройки тут не описаны. Например более сложной конфигурации VPN, отнесите к Kerio WinRoute Firewall - документ Руководства пользователя. Пример разделен на две секции: первый обеспечивает руководящие принципы для конфигурации штаба, и второй описывает параметры настройки удаленного офиса. Считается, что обе сети уже формировались как описано в главе 2, и связь с Интернетом доступна. Информация, связанная с примером Для лучшей ссылки, рассмотрите фигуру, обеспечивающую графическое описание связанных сетей, включая их IP адреса. Штаб использует IP адреса 192.168.1.x с маской сети 255.255.255.0
и с областью DNS company.com. Удаленный офис использует IP адреса
10.1.1.x с маской сети 255.255.255.0 и с подобластью filial.company.com. 1. Выбрать VPN сервер в счете Интерфейсов под Конфигурацией / Интерфейсы. Щелкните два раза мышью или используйте кнопку Edit что бы открыть диалог, где параметры для сервера VPN могут быть установлены. Проверьте Позволение сервера VPN в общих настройках. Заметка: отобранная свободная подсеть определена автоматически в сети VPN и записях Маски. Нет никакой причины изменять сеть. Нажмите Advanced и затем нажмите на Изменение Свидетельства SSL. Используйте кнопку Generate Certificate, чтобы произвести свидетельство SSL о сервере VPN (удостоверение личности сервера). Заметка: рекомендуют позже заменить это произведенное свидетельство. 2. Создать пассивный конец туннеля VPN (сервер ветви удаленного
офиса использует динамический IP адрес).
3. Закончить правило Local Traffic (созданное Network Rules Wizard – см. главу 2.3) с туннелем VPN. 4. В конфигурации DNS Forwarder (см. главу 2.5), позволите перенаправление.
Определите правила для области filial.company.com. Определите сервер
для перенаправления DNS IP адресом отдаленного интерфейса host брандмауэра
(то есть соединяйте связанный с местной сетью в другом конце туннеля). 1. Выбрать сервер VPN в under Configuration / Interfaces. Щелкните два раза мышью или используйте кнопку Edit что бы открыть диалог, где параметры для Сервер VPN могут быть установлены. Проверьте разрешение сервера VPN в General tab. Заметка: отобранная свободная подсеть определена автоматически в сети VPN и записях Маски. Нет никакой причины изменить сеть. Нажмите Advanced и затем нажмите на Change SSL Certificate. Используйте кнопку Generate Certificate, чтобы произвести свидетельство SSL о сервере VPN (удостоверение личности сервера). Заметка: отпечаток произведенного свидетельства - это требуется в течение определения туннеля VPN в штабе. Заметка: рекомендуют позже заменить это произведенное свидетельство свидетельством.. 2. Создать активный конец туннеля VPN (удаленного офиса, сервер использует динамический IP адрес). Отпечаток свидетельства сервера VPN может быть установлен просто нажатием на Detect remote certificate. 3. Закончить правило Local Traffic (созданное Network Rules Wizard – см. главу 2.3) с туннелем VPN. 4. В конфигурации DNS Forwarder (cм к главу 2.5), позволите перенаправление. Определите правила для company.com область. Определите сервер для отправления{ускорения} DNS IP адресом отдаленного интерфейса хозяина брандмауэра (то есть интерфейс, связанный с местной сетью в другом конце туннеля).
Конфигурация туннеля VPN была закончена к настоящему времени. В этом пункте рекомендуют проверить пригодность отдаленных hosts с каждого конца туннеля (от всех местных сетей). Например, ping или tracert операционные команды системы могут использоваться для этого испытания. Рекомендуют проверить пригодность отдаленных host и через IP адреса и имена DNS. Если отдаленный host проверен через IP адрес, но не отвечает, проверьте конфигурацию traffic правил и узнает, не сталкиваются ли подсети (то есть не используется ли та же самая подсеть в обоих концах туннеля). Если IP адрес проверен успешно, и об ошибке сообщают (Неизвестный
хозяин), когда передача названиz DNS проверено, то проверяйте конфигурацию
DNS. |
|
