Kerio Control относится к той категории продуктов, в которых широкий спектр функциональных возможностей сочетается с простотой внедрения и эксплуатации. Сегодня мы разберем, как с помощью этой программы можно организовать групповую работу сотрудников в Интернете, а также надежно защитить локальную сеть от внешних угроз.
Внедрение продукта Kerio Control начинается с его инсталляции на компьютере, играющем роль интернет-шлюза. Эта процедура ничем не отличается от инсталляции любого другого ПО, а поэтому останавливаться на ней мы не будем. Отметим только, что в ходе нее будут отключены некоторые службы Windows, препятствующие работе программы. После завершения установки можно переходить к настройке системы. Это можно сделать как локально, прямо на интернет-шлюзе, так и удаленно, с любого компьютера, подключенного к корпоративной сети.
В первую очередь запускаем через стандартное меню "Пуск" консоль управления. С ее помощью и осуществляется настройка рассматриваемого продукта. Для удобства можно создать соединение, которое в будущем позволит быстро подключаться к Kerio Control. Для этого дважды кликните на пункт "Новое соединение", укажите в открывшемся окне продукт (Kerio Control), хост, на котором он установлен, а также имя пользователя, после чего нажмите на кнопку "Сохранить как" и введите имя подключения. После этого можно установить соединение с Kerio Control. Для этого дважды кликните на созданном подключении и введите свой пароль.
Содержание
Базовая настройка Kerio Control
В принципе, все параметры работы Kerio Control можно настраивать вручную. Однако для первоначального внедрения гораздо удобнее воспользоваться специальным мастером, который запускается автоматически. На первом его шаге предлагается ознакомиться с основной информацией о системе. Также здесь есть напоминание о том, что компьютер, на котором запущен Kerio Control, должен быть подключен к локальной сети и иметь работающее подключение к Интернету.
Второй этап – выбор типа подключения к Интернету. Всего здесь доступно четыре варианта, из которых необходимо выбрать наиболее подходящий для конкретной локальной сети.
- Постоянный доступ – интернет-шлюз имеет постоянное подключение к Интернету.
- Дозвон по запросу — Kerio Control будет самостоятельно устанавливать подключение к Интернету по мере необходимости (при наличии интерфейса RAS).
- Переподключение при отказе – при разрыве связи с Интернетом Kerio Control будет автоматически переключаться на другой канал (нужно два подключения к Интернету).
- Распределение нагрузки на каналы — Kerio Control будет одновременно использовать несколько каналов связи, распределяя нагрузку между ними (необходимо два или более подключений к Интернету).
На третьем шаге нужно указать сетевые интерфейс или интерфейсы, подключенные к Интернету. Программа сама обнаруживает и выводит все доступные интерфейсы в виде списка. Так что администратору остается только выбрать подходящий вариант. Стоит отметить, что в первых двух типах подключений нужно устанавливать только один интерфейс, а в третьем – два. Настройка четвертого варианта несколько отличается от остальных. В нем предусмотрена возможность добавления любого количества сетевых интерфейсов, для каждого из которых необходимо установить максимально возможную нагрузку.
Четвертый этап заключается в выборе сетевых служб, которые будут доступны пользователям. В принципе, можно выбрать вариант "Без ограничений". Однако в большинстве случаев это будет не совсем разумно. Лучше отметить "галочками" те службы, которые действительно нужны: HTTP и HTTPS для просмотра сайтов, POP3, SMTP и IMAP для работы с почтой и т.п.
Следующий шаг – настройка правил для VPN-подключений. Для этого используется всего два чекбокса. Первый определяет, какие клиенты будут использовать пользователи для подключения к серверу. Если "родные", то есть выпущенные Kerio, то чекбокс должен быть активирован. В противном случае, например, при использовании встроенных в Windows средств, его нужно отключить. Второй чекбокс определяет возможность использования функции Kerio Clientless SSL VPN (управление файлами, папками скачивание и загрузка через веб-браузер).
Шестой этап заключается в создании правил для служб, которые работают в локальной сети, но должны быть доступны и из Интернета. Если на предыдущем шаге вы включили Kerio VPN Server или технологию Kerio Clientless SSL VPN, то все необходимое для них будет настроено автоматически. Если же вам нужно обеспечить доступность других служб (корпоративного почтового сервера, FTP-сервера и пр.), то для каждой из них нажмите на кнопку "Добавить", выберите название сервиса (будут открываться стандартные для выбранного сервиса порты) и при необходимости укажите IP-адрес.
Наконец, последний экран мастера настройки представляет собой предупреждение перед началом процесса генерации правил. Просто прочитайте его и нажмите на кнопку "Завершить". Естественно, в будущем все созданные правила и настройки можно менять. Причем можно как повторно запустить описанный мастер, так и отредактировать параметры вручную.
В принципе, после завершения работы мастера Kerio Control уже находится в рабочем состоянии. Однако имеет смысл немного подкорректировать некоторые параметры. В частности, можно установить ограничения на использование полосы пропускания. Больше всего она "забивается" при передаче больших, объемных файлов. Поэтому можно ограничить скорость загрузки и/или выгрузки таких объектов. Для этого в разделе "Конфигурация" нужно открыть раздел "Ограничение полосы пропускания", включить фильтрацию и ввести доступную для объемных файлов полосу пропускания. При необходимости можно сделать ограничение более гибким. Для этого необходимо нажать на кнопку "Дополнительно" и указать в открывшемся окне службы, адреса, а также временные интервалы действия фильтров. Кроме того, тут же можно установить размер файлов, которые считаются объемными.
Пользователи и группы
После первоначальной настройки системы можно приступать к внесению в нее пользователей. Однако удобнее сначала разбить их на группы. В этом случае в будущем ими будет легче управлять. Для создания новой группы перейдите в раздел "Пользователи и группы->Группы" и нажмите на кнопку "Добавить". При этом будет открыт специальный мастер, состоящий из трех шагов. На первом нужно ввести имя и описание группы. На втором можно сразу добавить в нее пользователей, если, конечно, они уже созданы. На третьем этапе необходимо определить права группы: доступ к администрированию системы, возможность отключения различных правил, разрешение на использование VPN, просмотр статистики и пр.
После создания групп можно переходить к добавлению пользователей. Проще всего это сделать, если в корпоративной сети развернут домен. В этом случае достаточно перейти в раздел "Пользователи и группы->Пользователи", открыть вкладку Active Directory, включить чекбокс "Использовать базу данных пользователей домена" и ввести логин и пароль учетной записи, имеющей право на доступ к этой базе. При этом Kerio Control будет использовать учетные записи домена, что, конечно же, очень удобно.
В противном случае нужно будет ввести пользователей вручную. Для этого предусмотрена первая вкладка рассматриваемого раздела. Создание учетной записи состоит из трех шагов. На первом необходимо задать логин, имя, описание, адрес электронной почты, а также параметры аутентификации: логин и пароль или данные из Active Directory. На втором шаге можно добавить пользователя в одну или несколько групп. На третьем этапе есть возможность автоматической регистрации учетной записи для доступа к межсетевому экрану и определенным IP-адресам.
Настраиваем систему безопасности
В Kerio Control реализованы широкие возможности по обеспечению безопасности корпоративной сети. В принципе, защищаться от внешних угроз мы уже начали, когда настроили работу файрвола. Кроме того, в рассматриваемом продукте реализована система предотвращения вторжений. Она по умолчанию включена и настроена на оптимальную работу. Так что ее можно не трогать.
Следующий шаг – антивирус. Тут стоит отметить, что он есть не во всех версиях программы. Для использования защиты от вредоносного ПО Kerio Control должен быть приобретен со встроенным антивирусом, либо на интернет-шлюзе должен быть установлен внешний модуль антивируса. Для включения антивирусной защиты необходимо открыть раздел "Конфигурация->Фильтрация содержимого->Антивирус". В нем нужно активировать используемый модуль и отметить с помощью чекбоксов проверяемые протоколы (рекомендуется включить все). Если у вас используется встроенный антивирус, то необходимо включить обновление антивирусных баз и установить интервал выполнения этой процедуры.
Далее необходимо настроить систему фильтрации HTTP-трафика. Сделать это можно в разделе "Конфигурация->Фильтрация содержимого->Политика HTTP". Самым простым вариантом фильтрации является безусловная блокировка сайтов, на которых встречаются слова из "черного" списка. Для его включения перейдите на вкладку "Запрещенные слова" и заполните список выражений. Однако в Kerio Control есть и более гибкая и надежная система фильтрации. Она основана на правилах, в которых описываются условия блокировки доступа пользователей к тем или иным сайтам.
Для создания нового правила перейдите на вкладку "Правила URL", кликните правой кнопкой мыши на поле и выберите в контекстном меню пункт "Добавить". Окно добавления правила состоит из трех вкладок. На первой задаются условия, при которых оно будет срабатывать. Сначала нужно выбрать, на кого распространяется правило: на всех пользователей или только на конкретные учетные записи. После этого необходимо задать критерий соответствия URL запрашиваемого сайта. Для этого может использоваться строка, которая входит в адрес, группа адресов или рейтинг веб-проекта в системе Kerio Web Filter (по сути, категория, к которой относится сайт). В завершении стоит указать реакцию системы на выполнение условий – разрешить или запретить доступ к сайту.
На второй вкладке можно указать интервал, в течение которого будет действовать правило (по умолчанию всегда), а также группу IP-адресов, на которые оно распространяется (по умолчанию на все). Для этого необходимо просто выбрать соответствующие пункты в выпадающих списках предварительно заданных значений. Если временные интервалы и группы IP-адресов еще не задавались, то с помощью кнопок "Правка" можно открыть нужный редактор и добавить их. Также на данной вкладке можно задать действие программы в случае блокировки сайта. Это можно быть выдача страницы с заданным текстом отказа, отображение пустой страницы или же перенаправление пользователя на заданный адрес (например, на корпоративный сайт).
В том случае, если в корпоративной сети используются беспроводные технологии, имеет смысл включить фильтр по MAC-адресу. Это позволит существенно снизить риск несанкционированного подключения различных устройств. Для реализации данной задачи откройте раздел "Конфигурация->Политика трафика->Параметры безопасности". В нем активируйте чекбокс "Фильтр MAC-адресов включен", затем выберите сетевой интерфейс, на который он будет распространяться, переключите список MAC-адресов в режим "Разрешить доступ к сети только перечисленным компьютерам" и заполните его, внеся данные беспроводных устройств, принадлежащих компании.
Поводим итоги
Итак, как мы видим, несмотря на широкие функциональные возможности Kerio Control, организовать с его помощью групповую работу пользователей корпоративной сети в Интернете достаточно просто. Понятно, что мы рассмотрели только базовую настройку этого продукта. Приобрести Kerio Control можно у партнеров 1Софт.
Все права защищены. По вопросам использования статьи обращайтесь к администраторам сайта
Хотите купить софт? Позвоните партнерам фирмы «1С», чтобы получить квалифицированную консультацию по выбору программ для ПК, а также информацию о наличии и цене лицензионного ПО.
| Kerio Control | |
|---|---|
| Тип | межсетевой экран |
| Разработчик | Kerio Technologies |
| Операционная система | |
| Последняя версия | 9.3.1 |
| Лицензия | проприетарная |
| Сайт | kerio.com |
Kerio Control (ранее назывался Kerio WinRoute Firewall и WinRoute Pro) — это программный межсетевой экран, разработанный компаниями Kerio Technologies и Tiny Software. Основными функциями программы являются: организация безопасного пользовательского доступа в Интернет, надежная сетевая защита ЛВС, экономия трафика и рабочего времени сотрудников за счёт ограничения нецелевого доступа к различным категориям веб-контента.
Содержание
Особенности программы [ править | править код ]
- Многоязычный интерфейс
- Возможность работы с несколькими сетевыми интерфейсами, в том числе одновременно с несколькими внутренними (LAN) и внешними (WAN) интерфейсами, инструменты балансировки нагрузки
- Полная поддержка IPv6
- Реализация собственной технологии VPN, превосходящей по производительности IPSec/L2TP, туннелирование нескольких ЛВС.
- Гибкая настройка правил трафика
- Гибкие инструменты по фильтрации обращений по протоколам HTTP, HTTPS, FTP, пиринговых сетей
- Назначение различных прав доступа отдельным пользователям, использование Служб каталогов, в т.ч. Active Directory в качестве источника базы данных пользователей
- Инструменты распознования внешних угроз: сканирования портов, угадывания паролей, DDoS-атак, фильтрация входящих соединений по геолокационному признаку, спуфинг
- Резервирование полосы пропускания канала, QoS
- Блокировка сайтов в зависимости от категории (нужна отдельная лицензия)
- Расшифровка входящего HTTPS
- Прокси-сервер с настраиваемым кэшем
- Встроенный антивирус Bitdefender — сканирование на лету HTTP, FTP, электронной почты
- Сервер DHCP
- Клиент динамического DNS
- Сбор статистики и её отображение в виде журналов, диаграмм
Версии [ править | править код ]
| Версия | Дата выпуска | Существенные изменения |
|---|---|---|
| С 3 до 4.x | 1998 | Winroute Pro версия 3 и 4, работающая на Windows 98 и Windows NT. |
| 4.x | 1 февраля 2002 | Компания Kerio Technologies была сформирована из экс-сотрудников компании Tiny Software. [1] |
| 5.0 | 21 февраля 2003 | Первая версия продукта под брендом Kerio. Поддержка DOS-версий Windows была остановлена. |
| 5.1 | 25 августа 2003 | Усовершенствован инструмент мониторинга пользовательской активности, поддержка функции переподключения при отказе, протокол инспектор для SIP — прозрачная работа SIP через NAT, расширенные опции протоколирования — поддержка утилит log rotation и syslog, настраиваемая DNS переадресация, настройка страниц переадресации для сайтов запрещенных правилами HTTP, определение использования P2P сетей пользователями, функция автоматического обновления, возможность использования DNS-имен в Политиках Трафика, поддержка NTLM аутентификации через веб-браузер Mozilla (Mozilla 1.4 и выше). |
| 6.0 | 7 июля 2004 | Встроенный VPN, работающий в режимах клиент-сервер и сервер-сервер, система предупреждений и напоминаний, антивирусная проверка электронной почты (протоколов POP3 и SMTP), усовершенствованная система мониторинга пользовательской активности в реальном времени и статистики использования трафика, блокировщик пиринговых(P2P) сетей, поддержка антивируса VisNetic — написан плагин для интеграции. |
| 6.1 | 23 июня 2005 | Прозрачная аутентификация пользователей посредством Active Directory, поддержка нескольких доменов Active Directory, реализация Kerio Clientless SSL-VPN (бесклиентское приложение VPN, доступ к открытым ресурсам локальной сети через любой веб-браузер, в том числе и с мобильного устройства), настраиваемая маршрутизация VPN туннелей |
| 6.2 | 3 марта 2006 [2] | Контроль пропускной полосы канала, двойная антивирусная проверка, регистрация продукта через консоль администрирования, возможность установки VPN клиента на 64-битные платформы Windows |
| 6.3 | 29 марта 2007 | Модуль статистики и отчетности (Kerio StaR), поддержка 64-битных ОС, поддержка Windows Vista, улучшенный блокировщик P2P |
Редактирование определений (групп IP адресов, URL-групп и т.д.) непосредственно в меню редактирования политик Обнаружение резервных DNS-серверов в домене Active Directory Совместимость с веб-обозревателями Internet Explorer 11 и Safari 7 Поддержка операционной системы Mac OS X 10.9 Mavericks клиентом Kerio VPN
Кейс: «Защита сети, контроль и учет трафика на примере KERIO control»
Что такое KERIO Control ?
KERIO Control -это простое в управлении решение включает в себя сетевой файервол и маршрутизатор,систему обнаружения и предотвращения вторжений (IPS), антивирус, VPN и фильтр содержимого. Широкие возможности и непревзойденная гибкость делают Kerio Control хорошим выбором для малых и средних предприятий.
Сразу хочется подчеркнуть, что KERIO Control дороже чем рассмотренный нами в другом кейсе Traffic Inspector.
Для чего нужен KERIO Control?
- Обеспечение безопасного доступа в интернет;
- Экономит затраты на трафик позволяя вводить ограничения по скорости а так же разрешая доступ только к нужным ресурсам (Например можно разрешить доступ только к одному сайту — остальные сайты пользователь не сможет посетить);
- Повышение эффективности работы сотрудников за счет контроля пользования интернетом (Например в конце месяца Вы можете получить отчет по лидерам посещения сайта одноклассники и «премировать» особенно отличившихся;
- Есть функционал фильтрации рекламы, спама и вирусов (соответствующие плагины включаются и настраиваются дополнительно);
Давайте теперь посчитаем стоимость данного кейса:
Условия задачи: Допустим у нас в организации работают 15 сотрудников, есть оборудование на которое мы будем устанавливать KERIO Control
Требуется: Защитить сеть, а так же контролировать использование рабочего времени сотрудниками (что они делают в интернете), иметь возможность объединения офисов через защищенный канал VPN, а так же что бы мобильные сотрудники могли легко и безопасно подключаться к сети офиса через VPN.
Решение: KERIO Control на 15 пользователей на 01.05.2015 г. стоит 32661 рублей, как ранее упоминалось — получается дороже чем у Traffic Inspector.
Что же мы получаем кроме большей стоимости?:
- Очень, ооочень! крутой функционал по настройке и мониторингу сети;
- Отчеты по пользователям — кто и на что тратил свое рабочее время;
- Простая организация подключения через VPN к офисной сети и офисов между собой;
- Чуть не забыл упомянуть — что есть KERIO Control с сертификатом ФСТЭК — оно немного дороже;
Ниже, я подробнее опишу все плюшки данного решения т.к. их много а в данном разделе не всем будет эта информация интересна, лучше посмотрите на скриншот с правилами для трафика и проникнитесь уважением:
Дальнейшая информация будет интересна больше для технических специалистов:
Преимущества: Очень большой функционал с достаточно простой настройкой.
Рекомендации по настройке:
- Хорошо бы понимать структуру сетей, маршрутизацию и назначения сетевых протоколов на хорошем уровне, здесь есть помощники по настройке но из за большего функционала настроек больше и они сложнее чем например в Traffic Inspector;
- Мы бы рекомендовали ставить подумать, стоит ли устанавливать программу под Windows или сэкономить на лицензии и обойтись без ненужной прослойки;
- Не изобретайте велосипед — посмотрите агент KERIO Control — очень удобное решение для безопасного подключения к офисной сети!;
- Не забудьте настроить правильно логи пакетов — рекомендуем для ленивых включать циклическую перезапись логов;
Подводные камни:
- Перед выбором решения — посмотрите отчеты по пользователям, на дату публикации этого кейса отчеты нам больше нравились в Traffic Inspector чем в KERIO Connect — если это критичный момент — возможно стоит присмотреться к Тraffic Inspector;
- Не забудьте что у Вас есть встроенный DHCP сервер при планировании сети и развертывании VPN;
