Установка и настройка Kerio Control: пошаговое руководство от нуля до рабочего шлюза

<h2>1. Диагноз: почему именно Kerio Control и что тебя сюда привело</h2> <p>Установка Kerio Control нужна тебе здесь и сейчас — значит либо поднимаешь новый шлюз для офиса, либо старый что-то не так работает, либо мигрируешь с <a class="wpil_keyword_link" title="Windows Server" href="https://it-apteka.com/category/windows-server/" target="_blank" rel="noopener" data-wpil-keyword-link="linked" data-wpil-monitor-id="2422">Windows</a>-версии на Appliance. Все три сценария разберём.</p> <p>Kerio Control — это UTM-решение (Unified Threat Management): межсетевой экран, маршрутизатор, IPS, антивирус на шлюзе, два VPN-сервера (собственный Kerio VPN и стандартный IPSec/L2TP), веб-фильтрация и <a class="wpil_keyword_link" title="Мониторинг" href="https://it-apteka.com/category/monitoring/" target="_blank" rel="noopener" data-wpil-keyword-link="linked" data-wpil-monitor-id="2419">мониторинг</a> трафика. Начиная с версии 8.0 продукт поставляется только в виде <a class="wpil_keyword_link" title="Linux" href="https://it-apteka.com/category/linux/" target="_blank" rel="noopener" data-wpil-keyword-link="linked" data-wpil-monitor-id="2425">Linux</a> Appliance — Windows-версии больше нет.</p> <p>Что получишь в итоге: работающий корпоративный шлюз с NAT, правилами трафика, VPN для удалённых сотрудников и инструментами мониторинга того, кто и куда ходит по интернету в твоей сети.</p> <p>Нужно: сервер или VM с двумя сетевыми адаптерами, 30-60 минут и этот текст.</p> <p><strong>Что разберём в статье:</strong></p> <ul> <li>Системные требования и варианты развёртывания</li> <li>Установка Kerio Control Appliance на железо и в виртуалку</li> <li>Первичная настройка: интерфейсы, NAT, DNS</li> <li>Правила трафика — основа всего</li> <li>VPN: Kerio VPN и IPSec для удалённых пользователей</li> <li>Пользователи и аутентификация</li> <li>SSH-доступ к системе</li> <li>Типовые ошибки и как их чинить</li> <li>Аналоги, если Kerio Control не подходит</li> </ul> <h2>2. Системные требования и варианты развёртывания</h2> <p>На момент публикации актуальна версия 9.4.5 Patch 2 (build 8629). Перед <a title="Установка и настройка Uptime Kuma: self-hosted мониторинг сайтов за 5 минут" href="https://it-apteka.com/uptime-kuma-alerting-bez-zamorochek-dlja-admina-kotoryj-cenit-vremja/" target="_blank" rel="noopener" data-wpil-monitor-id="2406">установкой проверяй свежие релизы на сайте</a> GFI Software.</p> <table> <thead> <tr> <th>Параметр</th> <th>Минимум</th> <th>Рекомендовано</th> </tr> </thead> <tbody> <tr> <td>Архитектура</td> <td>i386, amd64</td> <td>amd64</td> </tr> <tr> <td>CPU</td> <td>500 MHz</td> <td>2+ GHz dual-core</td> </tr> <tr> <td>RAM</td> <td>2 GB</td> <td>4 GB и больше</td> </tr> <tr> <td>Диск</td> <td>12 GB</td> <td>40+ GB (под логи и статистику)</td> </tr> <tr> <td>Сеть</td> <td>2x Ethernet 10/100</td> <td>2x Gigabit Ethernet</td> </tr> <tr> <td>Ядро Linux</td> <td>3.16</td> <td>совместимое оборудование</td> </tr> </tbody> </table> <p>Kerio Control Appliance работает на урезанном <a class="wpil_keyword_link" title="Debian" href="https://it-apteka.com/tag/debian/" target="_blank" rel="noopener" data-wpil-keyword-link="linked" data-wpil-monitor-id="2424">Debian</a> с ядром Linux 3.16. Это старое ядро — некоторые новые серверы и NIC могут не поддерживаться. Если стоит ошибка при установке с ошибкой монтирования разделов, скорее всего контроллер дисков не поддерживается этим ядром.</p> <p><strong>Три варианта развёртывания:</strong></p> <ul> <li><strong>Software Appliance</strong> — ISO-образ (~300 МБ), ставится на голое железо. Самый простой путь для физических серверов и выделенных ПК.</li> <li><strong>VMware Virtual Appliance</strong> — готовый OVA/OVF для VMware ESXi, Workstation, Player. Рабочий вариант для виртуальных сред.</li> <li><strong>Hyper-V Virtual Appliance</strong> — аналогично для Hyper-V. Подходит если вся инфраструктура на Microsoft.</li> </ul> <h3>Таблица портов Kerio Control</h3> <table> <thead> <tr> <th>Порт</th> <th>Протокол</th> <th>Назначение</th> <th>Снаружи?</th> </tr> </thead> <tbody> <tr> <td>4081</td> <td>TCP (HTTPS)</td> <td>Веб-консоль администрирования</td> <td>Нежелательно</td> </tr> <tr> <td>4090</td> <td>TCP</td> <td>Kerio VPN сервер</td> <td>Да (если нужен VPN)</td> </tr> <tr> <td>500</td> <td>UDP</td> <td>IKE (IPSec VPN)</td> <td>Да (если нужен IPSec)</td> </tr> <tr> <td>4500</td> <td>UDP</td> <td>IPSec NAT-T</td> <td>Да (если нужен IPSec)</td> </tr> <tr> <td>1701</td> <td>UDP</td> <td>L2TP</td> <td>Да (если L2TP/IPSec)</td> </tr> <tr> <td>22</td> <td>TCP</td> <td>SSH (включается вручную)</td> <td>Только для диагностики</td> </tr> <tr> <td>3128</td> <td>TCP</td> <td>HTTP прокси</td> <td>Нет</td> </tr> <tr> <td>53</td> <td>UDP/TCP</td> <td>DNS-сервер</td> <td>Нет</td> </tr> </tbody> </table> <h2>3. Архитектура: как Kerio Control стоит в сети</h2> <pre class="mermaid">%%{init: { 'theme': 'base', 'themeVariables': { 'primaryColor': '#ffffff', 'primaryTextColor': '#1e293b', 'primaryBorderColor': '#94a3b8', 'lineColor': '#64748b', 'fontSize': '15px', 'fontFamily': 'ui-sans-serif, system-ui, sans-serif' }, 'flowchart': {'curve': 'linear', 'nodeSpacing': 50, 'rankSpacing': 50} }}%% flowchart TD A["Интернет / Провайдер"] --> B["Kerio Control WAN eth0"] B --> C["Kerio Control LAN eth1"] C --> D["Коммутатор LAN"] D --> E["ПК пользователей"] D --> F["Серверы DMZ"] G["VPN клиент удалённый"] --> B style A fill:#f8fafc,stroke:#94a3b8,stroke-width:2px,color:#1e293b style B fill:#f8fafc,stroke:#3b82f6,stroke-width:2px,color:#1e40af style C fill:#f8fafc,stroke:#3b82f6,stroke-width:2px,color:#1e40af style D fill:#f8fafc,stroke:#94a3b8,stroke-width:2px,color:#1e293b style E fill:#f8fafc,stroke:#22c55e,stroke-width:2px,color:#15803d style F fill:#f8fafc,stroke:#f97316,stroke-width:2px,color:#9a3412 style G fill:#f8fafc,stroke:#22c55e,stroke-width:2px,color:#15803d </pre> <p>Kerio Control встаёт между провайдером и локальной сетью. WAN-интерфейс смотрит наружу, LAN — внутрь. Минимум два сетевых адаптера — это не опция, это требование. Одной картой не обойтись.</p> <h2>4. Установка Kerio Control Software Appliance на железо</h2> <h3>Шаг 1 — Подготовь загрузочный носитель</h3> <p>Скачай ISO с официального сайта GFI: <a href="https://www.gfi.com/products-and-solutions/network-security-solutions/kerio-control" target="_blank" rel="noopener">gfi.com/kerio-control</a>. Образ весит около 300 МБ.</p> <p>Запиши на USB. На Windows используй Rufus:</p> <pre><code class="language-bash"> # На Linux записывай через dd: sudo dd if=kerio-control-appliance-9.4.5-linux.iso of=/dev/sdX bs=4M status=progress sync </code></pre> <p>Замени /dev/sdX на свою флешку. Проверь через lsblk перед записью — не перепутай диск.</p> <h3>Шаг 2 — Установка</h3> <p>Загрузись с USB. Начнётся текстовый установщик Kerio Control Appliance. Он спросит:</p> <ul> <li>Язык интерфейса</li> <li>Лицензионное соглашение — нажми F8 для принятия</li> <li>Подтверждение форматирования диска — введи 135</li> </ul> <p>Установка занимает 5-10 минут. После перезагрузки видишь текстовую консоль с IP-адресом LAN-интерфейса.</p> <h3>Шаг 3 — Начальная настройка сети через консоль</h3> <p>После установки в текстовом интерфейсе настрой IP-адреса. По умолчанию адаптеры пытаются получить IP через DHCP. Если DHCP нет — настрой статику прямо здесь.</p> <p>Для LAN-интерфейса установи адрес из диапазона твоей локальной сети, например 192.168.1.1/24. Именно на этот адрес потом открывай веб-консоль.</p> <h2>5. Установка в виртуальную машину VMware/VirtualBox</h2> <p>Для VMware ESXi/Workstation скачай Virtual Appliance в формате OVA и импортируй. Это проще.</p> <p>Для VirtualBox через ISO — создай новую VM:</p> <ul> <li>Тип: Linux, версия: Other Linux (64-bit)</li> <li>RAM: 2 GB минимум</li> <li>Диск: 20 GB минимум</li> <li>Два сетевых адаптера: первый — NAT (имитирует WAN), второй — Internal <a class="wpil_keyword_link" title="Сети" href="https://it-apteka.com/category/networks/" target="_blank" rel="noopener" data-wpil-keyword-link="linked" data-wpil-monitor-id="2420">Network</a> или Host-only (LAN)</li> </ul> <p>Дальше установка идентична физическому железу — загружаешься с ISO, проходишь установщик.</p> <h2>6. Первичная настройка через веб-консоль</h2> <p>Открой в браузере:</p> <pre><code class="language-bash"> https://192.168.1.1:4081 # Замени IP на тот что показала консоль после установки </code></pre> <p>Браузер выдаст предупреждение о самоподписанном сертификате — это нормально. Добавь исключение и продолжи.</p> <p>Мастер настройки проведёт через основные шаги.</p> <h3>Настройка интерфейсов</h3> <p>Перейди в раздел «Интерфейсы». Kerio сам определит подключённые адаптеры.</p> <ul> <li>WAN-интерфейс: укажи тип подключения (DHCP от провайдера, статический IP или PPPoE)</li> <li>LAN-интерфейс: задай IP-адрес и маску, например 192.168.10.1/24</li> </ul> <p>Если подключений к интернету несколько — добавляй интерфейсы без ограничений, Kerio поддерживает балансировку нагрузки по нескольким WAN.</p> <h3>Настройка DNS</h3> <p>По умолчанию Kerio работает как DNS-форвардер. Запросы от клиентов идут на Kerio, он пересылает их на внешние DNS. Если в сети есть домен AD — укажи в DNS-настройках IP-адрес контроллера домена.</p> <h2>7. Правила трафика — основа безопасности</h2> <p>Правила трафика — это сердце Kerio Control. Без правильных правил ничего не работает или работает неправильно. Раздел «Правила трафика» в боковом меню.</p> <p>По умолчанию после установки есть три базовых правила. Они нужны и менять их структуру не стоит — лучше добавлять свои выше или ниже.</p> <p><strong>Обязательный минимум правил:</strong></p> <table> <thead> <tr> <th>Правило</th> <th>Источник</th> <th>Назначение</th> <th>Действие</th> <th>Зачем</th> </tr> </thead> <tbody> <tr> <td>Local traffic</td> <td>Firewall, LAN</td> <td>Firewall, LAN</td> <td>Разрешить</td> <td>Трафик внутри сети и к самому Kerio</td> </tr> <tr> <td>Internet access (NAT)</td> <td>LAN, VPN клиенты</td> <td>Internet</td> <td>NAT</td> <td>Выход клиентов в интернет</td> </tr> <tr> <td>VPN service</td> <td>Internet</td> <td>Firewall</td> <td>Разрешить (порты VPN)</td> <td>Входящие VPN-подключения</td> </tr> </tbody> </table> <p>Правила читаются сверху вниз. Первое совпадение — действие применено, дальше не проверяется. Ставь более специфичные правила выше, общие — ниже.</p> <p>После любого изменения правил нажимай «Применить» — без этого изменения не сохранятся.</p> <h3>Публикация внутренних сервисов (dNAT)</h3> <p>Нужно пробросить порт внутрь сети — например, RDP на сервер 192.168.10.50:</p> <pre><code class="language-text"> Правило dNAT: Источник: Internet Служба: RDP (3389/TCP) Назначение: [внешний IP Kerio] Перенаправление: 192.168.10.50:3389 Действие: Разрешить + NAT (Destination NAT) </code></pre> <h2>8. Настройка VPN в Kerio Control</h2> <p>Два типа VPN. Kerio VPN — проприетарный, работает через клиент для Windows/Mac/Linux. IPSec/L2TP — стандартный, встроен во все ОС без доп. клиента. Для удалённых пользователей на мобильных устройствах — только IPSec.</p> <h3>Kerio VPN (проприетарный)</h3> <p>Перейди в «Интерфейсы» — найди «VPN-сервер» — двойной клик для настройки.</p> <ul> <li>Включи VPN-сервер</li> <li>Порт оставь стандартным — 4090</li> <li>Выбери SSL-сертификат</li> <li>Укажи VPN-сеть (диапазон адресов для клиентов, отличный от LAN)</li> <li>Если нужен доступ клиентов в интернет через VPN — поставь галочку «Отправлять весь трафик через VPN»</li> </ul> <h3>IPSec VPN (L2TP/IPSec)</h3> <p>В свойствах VPN-сервера включи <a title="Какой VPN сервер установить на Ubuntu для нативного подключения" href="https://it-apteka.com/kakoj-vpn-server-ustanovit-na-ubuntu-dlja-nativnogo-podkljuchenija/" target="_blank" rel="noopener" data-wpil-monitor-id="2403">«Сервер IPSec VPN»</a>. Отметь галочки:</p> <ul> <li>«Использовать предопределённый ключ» — введи Pre-Shared Key</li> <li>«Включить аутентификацию MS-CHAP v2» — обязательно для Windows-клиентов</li> </ul> <p>Укажи VPN-сеть для IPSec-клиентов.</p> <pre><code class="language-bash"> # Проверка что VPN-порты слушаются (выполни на Kerio через SSH): netstat -tulnp | grep -E "4090|500|4500|1701" </code></pre> <h3>Правила трафика для VPN</h3> <p>После включения VPN-сервера добавь или проверь правила:</p> <table> <thead> <tr> <th>Правило</th> <th>Источник</th> <th>Назначение</th> <th>Служба</th> <th>Действие</th> </tr> </thead> <tbody> <tr> <td>VPN service</td> <td>Internet</td> <td>Firewall</td> <td>VPN (4090, 500, 4500, 1701 UDP)</td> <td>Разрешить</td> </tr> <tr> <td>Internet access (NAT)</td> <td>LAN, VPN clients</td> <td>Internet</td> <td>Any</td> <td>NAT</td> </tr> <tr> <td>Local traffic</td> <td>LAN, VPN clients</td> <td>LAN, Firewall</td> <td>Any</td> <td>Разрешить</td> </tr> </tbody> </table> <p>Пункт «VPN clients» в источнике — обязательно добавить в правила NAT и Local traffic, иначе VPN-пользователи не будут видеть ни интернет, ни локальную сеть.</p> <h3>Настройка пользователей VPN</h3> <p>Раздел «Пользователи» — выбери пользователя — «Права» — поставь галочку «Пользователь может подключаться через VPN».</p> <p>Если нужно назначить VPN-клиенту фиксированный IP — вкладка «Адреса» в свойствах пользователя.</p> <h3>VPN-туннель сеть-сеть (site-to-site)</h3> <p>Для объединения двух офисов через IPSec-туннель:</p> <ul> <li>Перейди в «Интерфейсы» — «VPN-туннели»</li> <li>Добавь новый туннель, выбери «Активное подключение»</li> <li>Введи внешний IP второго Kerio</li> <li>Укажи локальные сети с обеих сторон</li> <li>Убедись что настройки зеркально повторяются на втором Kerio</li> </ul> <p>Туннель поднимается автоматически. Статус видно в разделе «Клиенты VPN».</p> <h2>9. Пользователи и аутентификация</h2> <p>Kerio Control поддерживает три источника пользователей: локальная база, Active Directory и Apple Open Directory.</p> <p>Если в сети есть домен AD — подключи в разделе «Пользователи» — «Использовать базу данных пользователей домена». Это самый удобный путь: пользователи входят с доменными учётками без дополнительных паролей.</p> <p>Без домена — добавляй пользователей вручную. Для каждого задай имя, логин и права.</p> <h3>Группы пользователей</h3> <p>Создавай группы с разными правами: одним — полный доступ, другим — только рабочие сайты, третьим — VPN.</p> <p>Правила трафика можно привязывать к группам. Это удобнее чем настраивать права для каждого пользователя по отдельности.</p> <h2>10. Прокси-сервер Kerio Control</h2> <p>Kerio Control proxy работает на порту 3128 по умолчанию. Включается в разделе «Прокси-сервер».</p> <p>Прокси нужен если хочешь кешировать веб-трафик или фильтровать HTTPS через инспекцию. Для большинства офисов достаточно NAT-правил без явного прокси.</p> <p>Если включаешь HTTP-инспекцию для HTTPS — нужно установить корневой сертификат Kerio на клиентских машинах, иначе браузеры будут показывать ошибки сертификата.</p> <h2>11. SSH-доступ к Kerio Control</h2> <p>SSH в Kerio Control скрыт и включается через недокументированный способ. Нужен для диагностики или работы с командной строкой.</p> <h3>Как включить SSH в Kerio Control 8.3 и выше</h3> <ul> <li>Открой веб-консоль администратора</li> <li>Перейди в «Состояние»</li> <li>Удерживай Shift и кликни на «Состояние системы»</li> <li>Рядом с кнопками «Перезагрузка» и «Выключить» появится «Включить SSH»</li> <li>Нажми её</li> </ul> <pre><code class="language-bash"> # Подключайся по SSH: ssh root@192.168.1.1 # Пароль - тот же что у локального администратора Kerio Control </code></pre> <p>Корневая файловая система примонтирована в режиме read-only. Для внесения изменений перемонтируй:</p> <pre><code class="language-bash"> mount -o remount,rw / # Делай что нужно # После - верни обратно: mount -o remount,ro / </code></pre> <h2>12. Проверка: убедись что всё работает</h2> <h3>Проверка интернет-доступа клиентов</h3> <pre><code class="language-bash"> # С клиентской машины: ping 8.8.8.8 ping google.com # Если 8.8.8.8 пингуется а google.com нет - проблема с DNS # Если ничего не пингуется - проверь правила трафика и NAT </code></pre> <h3>Проверка статуса VPN</h3> <pre><code class="language-bash"> # В веб-консоли: Состояние -> Клиенты VPN # Там видны все подключённые пользователи # Через SSH: /etc/init.d/kerio-kvc status </code></pre> <h3>Проверка логов</h3> <p>В веб-консоли раздел «Журналы» — смотри «Журнал ошибок» и «Журнал безопасности». Там же «Журнал отладки» если нужна подробная диагностика.</p> <pre><code class="language-bash"> # Через SSH: tail -f /var/log/kerio-kvc/error.log tail -f /var/log/kerio-kvc/security.log </code></pre> <h3>Диагностика из консоли Kerio</h3> <p>В текстовой консоли Kerio (Alt+F2 или локально на мониторе сервера) — нажми Alt+F4 или Alt+F5 для вывода отладочной информации.</p> <h2>13. Типичные ошибки и как их чинить</h2> <h3>Kerio Control VPN ошибка подключения</h3> <p>Самая частая причина — неверный Pre-Shared Key или отсутствие правила трафика для VPN-сервиса.</p> <table> <thead> <tr> <th>Ошибка</th> <th>Причина</th> <th>Решение</th> </tr> </thead> <tbody> <tr> <td>VPN не подключается, ошибка 809</td> <td>Блокировка UDP 500/4500 провайдером или файрволом</td> <td>Проверь правило VPN в Kerio, убедись что провайдер не блокирует UDP</td> </tr> <tr> <td>VPN подключается но сеть недоступна</td> <td>В правилах нет VPN-клиентов как источника</td> <td>Добавь «VPN clients» в правила Local traffic и NAT</td> </tr> <tr> <td>IPSec не поднимается</td> <td>Несовпадение PSK или параметров шифрования</td> <td>Проверь Pre-Shared Key на обеих сторонах, логи смотри в журнале безопасности</td> </tr> <tr> <td>Kerio <a title="VPN на MikroTik: полный гайд 2026 — WireGuard, L2TP/IPsec, IKEv2, настройка сервера и клиента" href="https://it-apteka.com/vpn-na-mikrotik-polnyj-gajd-2026-wireguard-l2tp-ipsec-ikev2-nastrojka-servera-i-klienta/" target="_blank" rel="noopener" data-wpil-monitor-id="2402">VPN клиент не находит сервер</a></td> <td>Порт 4090 не открыт или неверный IP</td> <td>Проверь правило трафика для порта 4090, проверь внешний IP в настройках клиента</td> </tr> <tr> <td>L2TP/IPSec — ошибка аутентификации</td> <td>Не включен MS-CHAP v2</td> <td>В свойствах VPN-сервера включи «Включить аутентификацию MS-CHAP v2»</td> </tr> </tbody> </table> <h3>Клиенты не выходят в интернет</h3> <pre><code class="language-bash"> # Проверь маршрут на клиенте (Windows): route print # Шлюз по умолчанию должен указывать на LAN IP Kerio # Проверь NAT на Kerio (через SSH): iptables -t nat -L -n -v </code></pre> <p>Часто причина — забыли нажать «Применить» после изменения правил трафика. Это классика.</p> <h3>Веб-консоль не открывается</h3> <pre><code class="language-bash"> # С того же сегмента сети: ping 192.168.1.1 telnet 192.168.1.1 4081 # Если Kerio только что установили - проверь что подключаешься к LAN-интерфейсу # а не к WAN </code></pre> <h3>Ошибка при установке: не может создать разделы</h3> <p>Проблема с совместимостью дискового контроллера и ядра Linux 3.16. Kerio использует старое ядро. Попробуй другое железо или поставь в виртуалку.</p> <h3>Kerio Control не запускается после обновления</h3> <pre><code class="language-bash"> # Через SSH: /etc/init.d/kerio-kvc stop /etc/init.d/kerio-kvc start # Смотри вывод на ошибки # Логи: cat /var/log/kerio-kvc/error.log | tail -50 </code></pre> <h3>Уязвимость CVE-2024: обновись немедленно</h3> <h2>14. Профилактика: мониторинг, бэкап и обновления</h2> <h3>Резервное копирование конфигурации</h3> <p>В веб-консоли: «Конфигурация» — «Экспорт конфигурации». Сохраняет всё — правила, пользователей, настройки VPN.</p> <pre><code class="language-bash"> # Бэкап конфига через SSH (файлы конфигурации): cp -r /etc/kerio-kvc/ /tmp/kerio-backup-$(date +%Y%m%d)/ # Перенеси архив на отдельный хост: tar czf kerio-config-$(date +%Y%m%d).tar.gz /etc/kerio-kvc/ scp kerio-config-*.tar.gz user@backup-server:/backups/ </code></pre> <p>Бэкап конфига делай перед каждым обновлением и после любых крупных изменений в правилах.</p> <h3>Мониторинг</h3> <p>В разделе «Состояние» — «Статистика» видны все активные соединения и нагрузка по пользователям. Если кто-то выжирает весь канал — сразу видно.</p> <p>Для автоматических алертов настрой уведомления по email в «Конфигурация» — «Уведомления».</p> <h3>Управление полосой пропускания (QoS)</h3> <p>Раздел «Политика трафика» — «Ограничение полосы». Создай правила:</p> <ul> <li>Критичный трафик (VoIP, VPN, видеоконференции) — высокий приоритет, гарантированная полоса</li> <li>Рабочий трафик (веб, почта, FTP) — средний приоритет</li> <li>Развлечения (YouTube, стриминг) — низкий приоритет или ограничение по времени</li> </ul> <p>Важно: в <a title="QoS в MikroTik: настройка приоритизации и ограничений скорости" href="https://it-apteka.com/qos-v-mikrotik-nastrojka-prioritizacii-i-ogranichenij-skorosti/" target="_blank" rel="noopener" data-wpil-monitor-id="2407">настройках укажи реальную скорость</a> канала, не заявленную провайдером. 20% от указанной цифры всегда резервируется для системных нужд.</p> <h3>Безопасное обновление</h3> <ul> <li>Сделай бэкап конфига перед обновлением</li> <li>Обновляй в нерабочее время — сервис перезапустится</li> <li>Проверь совместимость оборудования с новым ядром если обновляешься через несколько мажорных версий</li> <li>После обновления проверь правила трафика — они иногда сбрасываются в дефолтные</li> </ul> <h3>Закрытие доступа к консоли из интернета</h3> <p>Никогда не оставляй порт 4081 открытым снаружи без крайней необходимости. Если нужен удалённый доступ к консоли — только через VPN.</p> <p>В правилах трафика добавь явный блок: источник Internet, назначение Firewall, порт 4081, действие Deny.</p> <h2>15. Аналоги Kerio Control: когда стоит смотреть в другую сторону</h2> <p>Kerio Control платный. Лицензия — на количество пользователей, и стоит ощутимо. Если бюджет ограничен или нужен более гибкий инструмент — вот что смотреть.</p> <table> <thead> <tr> <th>Решение</th> <th>Цена</th> <th>Плюсы против Kerio</th> <th>Минусы против Kerio</th> </tr> </thead> <tbody> <tr> <td><a href="https://www.pfsense.org/" target="_blank" rel="noopener">pfSense</a></td> <td>Бесплатно (open source)</td> <td>Бесплатен, гибко настраивается, большое сообщество</td> <td>Нет готового GUI для пользователей AD, сложнее в настройке</td> </tr> <tr> <td><a href="https://opnsense.org/" target="_blank" rel="noopener">OPNsense</a></td> <td>Бесплатно (open source)</td> <td>Современный UI, активное развитие, NG Firewall возможности</td> <td>Нет интеграции с AD из коробки как в Kerio</td> </tr> <tr> <td><a class="wpil_keyword_link" title="mikrotik" href="https://it-apteka.com/tag/mikrotik/" target="_blank" rel="noopener" data-wpil-keyword-link="linked" data-wpil-monitor-id="2421">MikroTik</a> RouterOS</td> <td>Бесплатно при покупке железа</td> <td>Производительность, гибкость маршрутизации, цена железа</td> <td>Крутая кривая обучения, нет UTM в классическом смысле</td> </tr> <tr> <td>Sophos XG</td> <td>Бесплатно для home use</td> <td>Современный UTM, хороший веб-фильтр</td> <td>Платная коммерческая лицензия дороже Kerio</td> </tr> </tbody> </table> <p>Если нужна простота для 20-50 пользователей в офисе с AD и не хочется тратить время на настройку — Kerio Control оправдан. Если бюджет ноль и есть навыки — pfSense закрывает 90% задач. Всё, что тебе нужно выбрать — сколько стоит твоё время.</p> <h2>16. FAQ</h2> <h3>Почему Kerio Control VPN не работает после настройки?</h3> <p>Три самых частых причины: нет правила трафика разрешающего подключение к VPN-сервису (порты 4090/TCP для Kerio VPN или 500/4500 UDP для IPSec), не включена галочка у пользователя «может подключаться через VPN», или Pre-Shared Key не совпадает. Проверяй по порядку. Смотри журнал безопасности в Kerio — там видно на каком шаге рвётся соединение.</p> <h3>Как проверить что Kerio Control работает правильно?</h3> <p>Минимальная проверка: с клиентской машины пинг 8.8.8.8 — если идёт, NAT работает. Потом пинг по имени (google.com) — если идёт, DNS работает. Подключись через VPN-клиент с <a title="HTTPS-скрипты: как правильно подключать JS и внешние ресурсы через HTTPS" href="https://it-apteka.com/https-skripty-kak-pravilno-podkljuchat-js-i-vneshnie-resursy-cherez-https/" target="_blank" rel="noopener" data-wpil-monitor-id="2408">внешней</a> сети — проверь доступ к внутренним ресурсам. В веб-консоли «Состояние» — смотри активные соединения и клиентов.</p> <h3>Что делать если не могу подключиться к веб-консоли Kerio Control?</h3> <p>Убедись что подключаешься с машины в той же сети что LAN-интерфейс Kerio. Веб-консоль слушает на LAN, не WAN. Адрес: https://[LAN-IP]:4081. Протокол обязательно HTTPS, не HTTP. Если IP неизвестен — смотри на мониторе самого сервера Kerio, он показывает адреса в текстовой консоли.</p> <h3>Чем Kerio VPN отличается от IPSec VPN?</h3> <p>Kerio VPN — проприетарный протокол, работает через порт 4090 TCP. Нужен клиент Kerio VPN на устройстве. Преимущество — один порт, проще пробить через NAT. IPSec/L2TP — стандартный протокол, встроен в Windows, macOS, Android, iOS без доп. ПО. Преимущество — не нужно ставить клиент на каждую машину. Для мобильных устройств выбирай IPSec, для корпоративных ноутбуков — Kerio VPN удобнее.</p> <h3>Можно ли установить Kerio Control на обычный Linux?</h3> <p>Нет. Начиная с версии 8.0 Kerio Control поставляется только как Appliance — собственная Linux-система на базе Debian. Устанавливается на голое железо целиком, занимая весь диск, или разворачивается как виртуальная машина. Установить его как пакет поверх существующего <a title="Настройка статического IP в Ubuntu 22.04-24.04 и Debian 12-13: Новый мир Netplan" href="https://it-apteka.com/nastrojka-staticheskogo-ip-v-ubuntu-22-04-24-04-i-debian-12-13-nov/" target="_blank" rel="noopener" data-wpil-monitor-id="2405">Debian или Ubuntu</a> нельзя.</p> <h3>Как настроить фильтрацию по пользователям Active Directory?</h3> <p>В разделе «Пользователи» включи «Использовать базу данных пользователей домена». Введи IP контроллера домена, имя домена и учётные данные для подключения. После этого пользователи AD появятся в Kerio, им можно назначать права и создавать правила трафика привязанные к конкретным аккаунтам или группам AD.</p> <h2>17. Итог</h2> <p>Установил, настроил, проверил. Теперь у тебя рабочий корпоративный шлюз: NAT для выхода в интернет, правила трафика под конкретные нужды, VPN для удалённых пользователей, мониторинг того кто куда ходит. Это не «поднял и забыл» — раз в неделю смотри журналы, раз в квартал обновляйся, раз в полгода пересматривай правила трафика на предмет мусора.</p> <p>Если что-то не заработало — пиши в комментарии. Разберёмся.</p>

%%{init: {
  'theme': 'base',
  'themeVariables': {
    'primaryColor': '#ffffff',
    'primaryTextColor': '#1e293b',
    'primaryBorderColor': '#94a3b8',
    'lineColor': '#64748b',
    'fontSize': '15px',
    'fontFamily': 'ui-sans-serif, system-ui, sans-serif'
  },
  'flowchart': {'curve': 'linear', 'nodeSpacing': 50, 'rankSpacing': 50}
}}%%
flowchart TD
    A["Интернет / Провайдер"] --> B["Kerio Control WAN eth0"]
    B --> C["Kerio Control LAN eth1"]
    C --> D["Коммутатор LAN"]
    D --> E["ПК пользователей"]
    D --> F["Серверы DMZ"]
    G["VPN клиент удалённый"] --> B
    style A fill:#f8fafc,stroke:#94a3b8,stroke-width:2px,color:#1e293b
    style B fill:#f8fafc,stroke:#3b82f6,stroke-width:2px,color:#1e40af
    style C fill:#f8fafc,stroke:#3b82f6,stroke-width:2px,color:#1e40af
    style D fill:#f8fafc,stroke:#94a3b8,stroke-width:2px,color:#1e293b
    style E fill:#f8fafc,stroke:#22c55e,stroke-width:2px,color:#15803d
    style F fill:#f8fafc,stroke:#f97316,stroke-width:2px,color:#9a3412
    style G fill:#f8fafc,stroke:#22c55e,stroke-width:2px,color:#15803d

# На Linux записывай через dd:
sudo dd if=kerio-control-appliance-9.4.5-linux.iso of=/dev/sdX bs=4M status=progress
sync

https://192.168.1.1:4081
# Замени IP на тот что показала консоль после установки

Правило dNAT:
Источник: Internet
Служба: RDP (3389/TCP)
Назначение: [внешний IP Kerio]
Перенаправление: 192.168.10.50:3389
Действие: Разрешить + NAT (Destination NAT)

# Проверка что VPN-порты слушаются (выполни на Kerio через SSH):
netstat -tulnp | grep -E "4090|500|4500|1701"

# Подключайся по SSH:
ssh root@192.168.1.1
# Пароль - тот же что у локального администратора Kerio Control

mount -o remount,rw /
# Делай что нужно
# После - верни обратно:
mount -o remount,ro /

# С клиентской машины:
ping 8.8.8.8
ping google.com

# Если 8.8.8.8 пингуется а google.com нет - проблема с DNS
# Если ничего не пингуется - проверь правила трафика и NAT

# В веб-консоли: Состояние -> Клиенты VPN
# Там видны все подключённые пользователи

# Через SSH:
/etc/init.d/kerio-kvc status

# Через SSH:
tail -f /var/log/kerio-kvc/error.log
tail -f /var/log/kerio-kvc/security.log

# Проверь маршрут на клиенте (Windows):
route print
# Шлюз по умолчанию должен указывать на LAN IP Kerio

# Проверь NAT на Kerio (через SSH):
iptables -t nat -L -n -v

# С того же сегмента сети:
ping 192.168.1.1
telnet 192.168.1.1 4081

# Если Kerio только что установили - проверь что подключаешься к LAN-интерфейсу
# а не к WAN

# Через SSH:
/etc/init.d/kerio-kvc stop
/etc/init.d/kerio-kvc start
# Смотри вывод на ошибки

# Логи:
cat /var/log/kerio-kvc/error.log | tail -50

# Бэкап конфига через SSH (файлы конфигурации):
cp -r /etc/kerio-kvc/ /tmp/kerio-backup-$(date +%Y%m%d)/

# Перенеси архив на отдельный хост:
tar czf kerio-config-$(date +%Y%m%d).tar.gz /etc/kerio-kvc/
scp kerio-config-*.tar.gz user@backup-server:/backups/