Advanced Routing.

 

Advanced Routing - это новая функция, позволяющая полноценно задействовать несколько подключений с Интернет одновременно. Это также называется Source Routing или Policy Routing.

Роутер Windows при выборе внешнего интерфейса использует только один, выбирая его по наличии маршрута по умолчанию. Если имеется несколько маршрутов по умолчанию, то роутер все равно будет отправлять пакеты только по одному, выбирая маршрут с наивысшим приоритетом. Единственный способ в Windows задействовать несколько подключений - это назначение статических маршрутов по адресам назначения.

 

На рынке имеются решения для Windows, где задача роутинга по различным критериям частично решается.  Но это делается реализацией практически параллельного роутера. Наше решение использует роутер Windows, что позволяет полностью задействовать все службы Windows, а также обеспечить корректную работу через прокси и SOCKS.

 

Настройка Advanced Routing сводится к следующему -

 

Advanced Routing решает задачу выбора внешнего интерфейса по различным критериям - клиент, группа, тип трафика и т.д.

По настройкам фильтров см. ниже. Логика применения правил для роутинга аналогична другим. Но имеется еще одна настройка у фильтра на закладке "Роутинг" - факт перенаправления пакета на другой интерфейс может использоваться еще как условие для фильтра. Так как фильтры обрабатываются строго по списку, то размещая такие фильтры после фильтра, который сделал перенаправление, можно собрать логику применения условий в зависимости от используемого внешнего интерфейса. Например, применить скидки (наценки). Тут также следует учесть, что настройки клиентов (групп) применяются позже просмотра списка.

 

В случае использования спутникового подключения, когда трафик принимается с одного интерфейса (DVB карта), а передается через другой, эти оба интерфейса надо обязательно указать в процессе конфигурирования интерфейсов (мастер настройки).

Для анализа работы этой функции в сетевой статистике пользователя сделана запись соотв. атрибута - имя внешнего интерфейса, куда был перенаправлен трафик.

 

Ограничения функции Advanced Routing -

 

Ввиду ограничений п.1 и 2 не следует использовать Advanced Routing, если задача маршрутизации может быть решена средствами роутера Windows.

 

Усовершенствования логики фильтров.

 

Изменения касаются настройки приоритетов в логики фильтрации, работы внутреннего firewall, правил тарификации и шейпера. Новая внутренняя архитектура обеспечит очень большой выигрыш в производительности сервера особенно при применении больших списочных фильтров.

 

По умолчанию для "не клиентов" трафик разрешен -

 

Для упрощения настроек в фильтрах тип применения "для всех" у запрещающих фильтров заменен на тип "не клиенты". Они имеют приоритет над разрешениями "для всех".

В консоли разрешающие фильтры "для всех" и запрещающие "для не клиентов" вынесены в два отдельных списка в разделе "фильтры".

Если включен внутренний firewall, то разрешающие фильтры "для всех" на любой адрес назначения на сам сервер трафик не разрешают. Для разрешения доступа на сам сервер надо прописать разрешающий фильтр "на сам сервер", причем в списке такие фильтры надо обязательно поместить выше других разрешающих фильтров. В других случаях порядок фильтров в этих двух списках на логику работы не влияет, но может влиять на производительность - менее ресурсоемкие фильтры следует помещать в начало списка.

 

Для клиентов при фильтрации и применении параметров теперь применена логика единого списка - разрешающие,  запрещающие и другие типы фильтров при анализе пакета обрабатываются последовательно строго в зависимости от их порядка, заданного в списке консоли, причем порядок разных типов фильтров может быть произвольным. Это теперь позволяет реализовать практически любую логику фильтрации и произвольно переопределять параметры.

 

Логика просмотра списка следующая. Просмотр идет с начала списка и до первого разрешающего или запрещающего фильтра. Если фильтр содержит параметр, то он применяется только если ранее при просмотре списка он не был применен. Под параметрами здесь понимаются дополнительные действия, задаваемые в фильтре - 3

 

Единый список фильтров клиента в консоли разбит на 3 списка в порядке их просмотра при анализе пакета -

 

Помещение общих фильтров в первый или третий список меняет их приоритет относительно списка группы.

Параметры ограничения скорости, заданные н настройках клиента или группы имеют самый низкий приоритет, т.е. фильтры их всегда переопределяют.

 

Если включен внутренний firewall, то разрешающие фильтры клиентов на любой адрес назначения на на сам сервер трафик не разрешают. Для разрешения доступа на сам сервер для клиентов надо прописать разрешающий фильтр "на сам сервер".

Для клиента, у которого включено "является администратором", внутренний firewall не применяется, а также к нему не применяются фильтры на запрет. Это сделано для исключения ситуации недоступности сервера при удаленном администрировании при ошибках в процессе настройки фильтров. Это распространяется только на IP фильтры, для фильтров приложений запрещающие правила действуют обычным образом.

 

Если трафик подпадает под условие разрешения его "для всех" (см. выше), то он всегда считается бесплатным и направляется мимо шейпера. Это также относится к любому трафику в пределах внутренних сетей. Данные от сетях тут берутся на основании таблицы маршрутизации.

 

С целью диагностики работы фильтров и авторизации в сетевую статистику пользователей добавлен отдельный коллектор для неавторизированного трафика. Эта статистика в логи не пишется, доступна только как текущая. Писаться она будет, если в общих настройках сетевой статистики включена опция учета всего трафика.

В консоли фильтры из одних списков могут перемещаются в другие при изменении их соотв. свойств при редактировании.

 

Доработки логики фильтров прокси сервера  и SOCKS.

 

Логика фильтров приложений (прокси и SOCKS) теперь полностью повторяет логику IP фильтров (см. выше), но имеются особенности -

 

Фильтры приложений теперь обрабатывают выражения типа regular expressions (т.н. Регулярные выражения), описание смотрите в разделе "Синтаксис регулярных выражений".

В связи с этим параметр типа поиска (но началу, ключевое слово и т.д.) убран. Если задан список, то в нем анализируется URL с полным путем - хост + относительный путь + параметры. Другие параметры запроса (протокол, порт, пароли) отбрасываются. Если не список, но анализируется относительный путь + параметры запроса. В этом случае выражение вводится в поле URL.

 

Прокси сервер при анализе запроса теперь нормально перекодирует русские буквы, которые могут встретиться в параметрах запроса. Это полезно при обработке запросов поисковых систем. Т.е в выражении фильтра можно явно писать русскими буквами, а не использовать специальную кодировку. Также такие декодированные запросы пишутся и в логи прокси сервера.

 

Доработки в правилах кэширования.

 

В правилах кэширования теперь также используются регулярные выражения.

 

Firewall.

 

Для внешнего и внутреннего сетевого экрана реализованы динамические фильтры для FTP-DATA. Работают как для активного, так и пассивного режима. Это позволяет решить проблему настройки firewall для случая, когда для FTP-DATA используется нестандартный порт (не 20-й).

 

Динамическая фильтрация firewall с пассивным режимом позволяет публиковать любые FTP сервера, причем несколько на разных портах.

156 сборка - добавлена возможность в правилах firewall указать внешний интерфейс.

 

FTP прокси.

 

Убран классический FTP прокси сервер, так как с появлением динамической фильтрации FTP-DATA актуальность его пропала.

 

---

Начат перевод настроек программы в xml формат, в частности настройки сетевой конфигурации и активации. Перевод настроек из старого формата в новый производится автоматически, т.е. никакого повторного конфигурирования программы не требуется.

 

Все эти новые настройки доступны через мастер конфигурирования программы.

 

Доработки мастера активации.

 

Теперь при активации программы, если привязка производится к железу или текущему внешнему IP адресу, привязку можно не вводить.

 

Отчет support report.

 

Реализован новый мастер отправки отчета для техподдержки о конфигурации программы и системы. Он формируется ввиде xml данных. Также может быть автоматически сформирован на сервере и отправлен системный отчет в формате system information. Для отправки отчета наличия почтовой программы не требуется, достаточно только, что-бы сервер был подключен к Интернет.

 

Новый протокол авторизации.

 

С целью реализации большей безопасности, гибкости и быстродействия реализован новый протокол обмена сервера авторизации (версия 2). Его особенности -

 

Переписан заново агент. Главное новшество - многопоточная реализация и, как следствие, отсутствие блокировок на время запроса. Также переделан сервер авторизации, он теперь почти не подвержен блокировкам со стороны других задач программы и, как следствие, должен обеспечить более устойчивую работу.

Для обеспечения обратной совместимости сервер авторизации в полном объеме поддерживает работу агентов со старой версией протокола. Учитывая наличие уязвимости в старом протоколе, добавлена возможность запрета работы со старой версией протокола (Окно общих настроек клиентов, закладка Авторизация).

 

Рассылка сообщений пользователям.

 

Реализована служба рассылки POPUP сообщений пользователям. Основное предназначение - оповещение пользователей администратором сети.

 

Сообщения отправляются через соотв. меню и кнопку в мониторе работы консоли. Есть возможность отправки сообщения индивидуально одному пользователю или всем. Также предусмотрена возможность отмены отправки сообщений также индивидуально или для всех.

Отправленное сообщение запоминается службой программы. Доставляется оно через агента пользователя, а также отображается на главной страничке сервера статистики. После доставки сообщение удаляется. Очередь сообщений в программе не реализована, т.е. запоминается для отправки только одно сообщение. Если сообщение не было доставлено, новое сообщение затирает старое.

 

При отправке сообщения можно ввести дополнительные параметры -

 

Эти функции отправки сообщения также доступны через API. См. справку.

 

Статические ARP.

 

Реализована поддержка статических ARP записей в стеке TCP/IP. Записи вносятся на основании параметров авторизации для клиентов -

 

Запись статических ARP позволяет -

 

Информация о внесении статической ARP записи для клиента отображается в мониторе работы, там где указан тип авторизации.

При обновлении статических ARP записей программа по необходимости производит удаление из ARP таблиц конкретных интерфейсов всех статических записей. Поэтому, если имеются сторонние программы, которые работают со статическими ARP записями, их данные могут быть удалены.

При определении MAC по IP в консоли статические записи не отрабатываются. Т.е. эта функция определяет реальный MAC адрес в сети. Если данный компьютер отключен, то будет возвращена ошибка.

При остановке сервиса программы все ARP записи удаляются, тем самым восстанавливается обычная работа системы.

 

 

Новое в версии 1.1.

 

 В программе теперь используется собственный механизм фильтрации взамен API от Microsoft. Это позволило реализовать много новых возможностей, улучшить стабильность работы программы и обеспечить лучшую совместимость с другими программами и службами самой системы Windows.

Фильтрация теперь работает зеркально как на прием, так и на передачу, что позволило увеличить эффективность firewall и исключить прохождение лишних пакетов как наружу, так и внутри сети.

 

Авторизация.

 

 

Фильтрация трафика клиентов.

 

 

Внутренний firewall.

 

Для ограничения доступа на сам сервер изнутри сети введены настройки внутреннего сетевого экрана. Настройки доступны в окне общих настроек фильтров, а также из главной страницы консоли. Имеются отдельные настройки для локальных и публичных сетей. По умолчанию для локальных сетей firewall отключен, для публичных включен. Кроме включения firewall там можно задать разрешения на некоторые протоколы и службы. Аналогичные настройки сделаны и для внешнего firewall (см. далее).

У клиента появилась настройка "Является администратором". Кроме разрешения доступа в закрытую часть веб сервера она также отключает внутренний firewall.

 

Тарификация.

 

Для клиентов с автоблокировкой добавлена возможность работы в кредит с отрицательным значением баланса. Значение кредитного лимита задается в тарифе вместе с другими параметрами. При работе клиента в кредит можно задать отдельные ограничения или разрешения его параметров его работы -

 

Также появилась возможность ввести общий корректировочный коэффициент при учете исходящего трафика. Может быть полезно в случаях, когда исходящий трафик дорогой, например при подключении через спутник.

 

Virus flood protect.

 

Введена возможность блокировки пользователя при исчерпании лимита количества записей сетевой статистики. Эта мера позволяет эффективно выявить аномальную сетевую активность клиента и заблокировать его для предотвращения перегрузки сети, сервера и каналов подключения к Интернет.

 

Для включения этого надо:

 

События блокировки записываются в лог программы. Также, если настроено оповещение по E-Mail, высылается сообщение администраторам.

Эта функция использует записи текущей сетевой статистики - см. отчет по сетевой статистике в консоли программы. Там же можно и оценить количество записей при нормальной работе клиента. При использовании этой функции блокировки ни в коем случае нельзя отключать функцию группировки записей сетевой статистики по динамическим портам (Окно общих настроек программы, закладка "Сетевая статистика), иначе ее размер будет очень большим даже при нормальной работе клиента и настроить работу блокировки будет просто невозможно.

 

Firewall

 

 

Прокси сервер.

 

 

RAS (VPN) server.

 

Решена проблема работы с интерфейсом internal RAS сервера. Теперь программа может не только считать трафик RAS клиентов, но и нормально управлять их доступом. Также доступны все возможности по фильтрации их трафика.

В текущей версии в качестве dial-in клиента можно использовать любую авторизацию, кроме MAC адреса (в отличие от 109 билда). IP адрес, выдаваемый RAS клиенту, может быть как постоянным, так и переменным. Также через Dial-Up сервер может быть подключена целая сеть. При этом никаких специальных настроек в самой программе делать не надо.

Для настройки программы с RAS сервером надо назначить в ней соотв. внутренний интерфейс и прописать Dial-In клиентов. Также надо ОБЯЗАТЕЛЬНО у этих клиентов на закладке авторизации взвести соотв. галку, иначе они через интерфейс RAS сервера работать не будут. В остальном настройка таких клиентов ничем не отличается от обычных.

Если через RAS сервер подключена целая сеть (например, удаленный офис), то можно всех его клиентов описать как одного, а можно и по отдельности.

 

Особенности WAN интерфейсов.

 

Существующая реализация работы с NdisWAN драйверами стека TCP/IP накладывает ряд ограничений.

 

Bandwidth control (шейпер).

 

Это функция ограничения скорости работы клиентов. Реализована на уровне сетевого драйвера и позволяет работать с любым трафиком на внутреннем интерфейсе. Принцип работы шейпера - это вычисление скорости трафика и внесение задержек передачи пакетов созданием очередей.

 

Основные возможности этого механизма:

 

Совместимость с другими программами.

 

В связи с использованием своего API фильтрации улучшилась совместимость программы.

 

Дополнительные возможности.

 

 

Ограничения версий программы.

 

Интерфейс RAS сервера (internal службы RRAS) учету при ограничениях внутренних интерфейсов в версиях программы LITE+, PRO, HOMENET не подвергается. Т.е. можно во всех версиях программы применить эту службу.

 

Инсталлятор программы.

 

 

 

 

---

Текущая страница справки: help.smart-soft.ru/index.html?whatnew113.htm

Сайт разработчиков Traffic Inspector