[es] - Razlicito workgroup ime - dovoljno za izolaciju?

borneo

Član broj: 57852
Poruke: 69
*.dialup.sezampro.yu.

Profil

Razlicito workgroup ime - dovoljno za izolaciju?

^{10.03.2007. u 19:53}

Zelim da izolujem jedan racunar iz p2p mreze, i dodelim mu samo internet (adsl) pristup preko rutera.
Svaka druga komunikacija sa radnim stanicama treba da bude blokirana (iz sigurnosnih razloga).

To sam vec postigao preko lokalnih firewallova, medjutim pitam se da li je mozda dovoljno za blokadu, pomenutom racunaru dodeliti samo workgroup ime drugacije od aktuelnog workgroup imena ostalih racunara u mrezi (sto je i trenutno stanje)?

Hvala

^{10.03.2007. u 19:53}

broker

Član broj: 2415
Poruke: 8521
91.150.108.*

Profil

Re: Razlicito workgroup ime - dovoljno za izolaciju?

^{10.03.2007. u 20:13}

Nije. Imas u opcijama za podesavanje mreze da iskljucis NetBIOS.

^{10.03.2007. u 20:13}

borneo

Član broj: 57852
Poruke: 69
*.dialup.sezampro.yu.

Profil

Re: Razlicito workgroup ime - dovoljno za izolaciju?

^{10.03.2007. u 23:08}

Da li ce onda moci da komunicira sa ruterom?

^{10.03.2007. u 23:08}

rj444
Radomir Jakovljevic
Beograd

Član broj: 48212
Poruke: 353
*.rcub.bg.ac.yu.

Profil

Re: Razlicito workgroup ime - dovoljno za izolaciju?

^{11.03.2007. u 00:58}

Citat:

Da li ce onda moci da komunicira sa ruterom?

Hoce, jer da bi komunicirao sa ruterom on koristi protokol treceg sloja TCP/IP arhitekture (to je IP sloj i IP protokol). NetBios je protokol aplikacionog sloja koji je iznad IP sloja u pomenutoj arhitekturi. Tj. NetBios koristi IP protokol, a ne obrnuto => iskljucis NetBios, nisi ukinuo komunikaciju na IP sloju. Ovo ti verovatno nije jasno, ali ako te zanima procitaj nesto o TCP/IP i OSI arhitekturama racunarskih mreza.

Citat:

Nije. Imas u opcijama za podesavanje mreze da iskljucis NetBIOS.

Iskljucivanjem NetBios-a neces spreciti korisnika tog racunara da pristupi drugim racunarima u LAN-u, samo ces ga spreciti da vidi te racunare u Network Neigbourhood-u. Ako je dovoljno pametan, koristeci IP adrese drugih racunara moci ce da im pristupi.

Ako je taj racunar kome je zabranjeno sto sta, direktno povezan sa ruterom, onda mozes na ruteru da definises pravila kojima ces saobracaj sa njegove IP adrese ka LAN-u da filtriras i na taj nacin mu zabranis pritup.

Ukoliko je racunar povezan preko switch-a u LAN, onda je jedini nacin da mu zabranis pristup ostalim racunarima taj da mu na njihovim firewall-ovima zabranis pristup, kao sto si i uradio.

Pozdrav

http://www.linkedin.com/in/radegm

^{11.03.2007. u 00:58}

borneo

Član broj: 57852
Poruke: 69
*.dialup.sezampro.yu.

Profil

Re: Razlicito workgroup ime - dovoljno za izolaciju?

^{11.03.2007. u 02:13}

Hvala na preciznom odgovoru.

1)

Citat:

Iskljucivanjem NetBios-a neces spreciti korisnika tog racunara da pristupi drugim racunarima u LAN-u,

Da li to znaci da racunar iz druge workgrupe moze da se pinguje?
(nisam siguran, ali ako se dobro secam - ne moze (?) )

2)

Citat:

Ako je taj racunar kome je zabranjeno sto sta, direktno povezan sa ruterom, onda mozes na ruteru da definises pravila kojima ces saobracaj sa njegove IP adrese ka LAN-u da filtriras i na taj nacin mu zabranis pritup

.
Mozes li mi u najgrubljim crtama opisati kako izgleda u menadzmentu rutera (u opstem smislu) to filtriranje (blokiranje) pristupa sa jedne lokalne IP adrese ka ostatku LANa (nisam trenutno pri ruteru, pa pitam za svaki slucaj)

3)

Citat:

Ukoliko je racunar povezan preko switch-a u LAN, onda je jedini nacin da mu zabranis pristup ostalim racunarima taj da mu na njihovim firewall-ovima zabranis pristup, kao sto si i uradio

Da, povezan je preko switch-a.

4)

Citat:

Ovo ti verovatno nije jasno, ali ako te zanima procitaj nesto o TCP/IP i OSI

Znam ponesto o OSI modelu.

Pozdrav

^{11.03.2007. u 02:13}

broker

Član broj: 2415
Poruke: 8521
91.150.108.*

Profil

Re: Razlicito workgroup ime - dovoljno za izolaciju?

^{11.03.2007. u 09:47}

Citat:

rj444: Iskljucivanjem NetBios-a neces spreciti korisnika tog racunara da pristupi drugim racunarima u LAN-u, samo ces ga spreciti da vidi te racunare u Network Neigbourhood-u. Ako je dovoljno pametan, koristeci IP adrese drugih racunara moci ce da im pristupi.

Ako je na mreznom adapteru dozvoljen samo TCP/IP i iskljucen NetBIOS na TCP/IP, onda mu windows networking nece raditi.

^{11.03.2007. u 09:47}

Mister Big Time
Consulting / Dev
Belgrade

Moderator
Član broj: 15306
Poruke: 3711
*.yubc.net.

Jabber: matrix@elitesecurity.org
Sajt: beogradjesvet.com

Profil

Re: Razlicito workgroup ime - dovoljno za izolaciju?

^{11.03.2007. u 14:42}

Citat:

broker: Ako je na mreznom adapteru dozvoljen samo TCP/IP i iskljucen NetBIOS na TCP/IP, onda mu windows networking nece raditi.

Citat:

Each computer running Microsoft Windows has a NetBIOS name which can viewed or changed in the identification tab of the System Control Panel → Network or Computer Name tab. Various services & client tools, including Network Neighborhood and NET USE, typically use NetBIOS names.

The NetBIOS name is specified when Windows networking is installed/configured. In order to connect to a computer running TCP/IP via its NetBIOS name, the name must be resolved to a network address, usually today this is an IP address (the NetBIOS name-IP address resolution is often done by either broadcasts or a WINS Server — NetBIOS Name Server). A computer's NetBIOS name is often the same as that computer's host name (see below), but it doesn't have to be.

Sto ce reci da je rj444-ova konstatacija na mestu.

There are wars that can't be won.

IT'S ALL THE SAME,
ONLY THE NAMES WILL CHANGE.

^{11.03.2007. u 14:42}

rj444
Radomir Jakovljevic
Beograd

Član broj: 48212
Poruke: 353
*.ETF.BG.AC.YU.

Profil

Re: Razlicito workgroup ime - dovoljno za izolaciju?

^{12.03.2007. u 01:04}

Citat:

Hvala na preciznom odgovoru.

Nema na cemu.

Citat:

Da li to znaci da racunar iz druge workgrupe moze da se pinguje? (nisam siguran, ali ako se dobro secam - ne moze (?) )

Moze!!! Ja imam mrezu od 50-ak korisnika ciji workgroup nije MSHOME (sto je podrazumevano), pa kada se prikljuci novi korisnik mogu lepo da koristim njegove resurse preko "My Network Places" ili cega vec.

Citat:

Mozes li mi u najgrubljim crtama opisati kako izgleda u menadzmentu rutera (u opstem smislu) to filtriranje (blokiranje) pristupa sa jedne lokalne IP adrese ka ostatku LANa (nisam trenutno pri ruteru, pa pitam za svaki slucaj)

Prakticno podesavanje zavisi od rutera, ali sustinski je uvek isto. Potrebno je da ruter ima nekakav firewall na sebi. Onda u tom firewall-u definises pravila za tretiranje IP paketa koji pristizu na ruter (i na firewall program) i koja kazu nesto ovog tipa: ako je izvor paketa IP adresa 192.168.0.55, protokol viseg TCP/IP sloja (transportni) je TCP, a port 8080 onda paket odbaci (DROP, REJECT...). Tako ce svaki paket koji se salje sa racunara sa datom IP adresom, preko porta 8080, pri cemu je koriscen TCP protokol komunikacije biti odbacen - filtriran na firewall-u.

Postoji jos nesto sto se zovu inbound i outbound paketi (konekcije na transport sloju - malo sam pojednostavio terminologiju radi jednostavnosti izlaganja) gde se za inbound podrazumeva da je odrediste racunar (IP adresa) na kom je firewall, a za outbound data adresa nije racunar sa firewall-om. Ako se budes igrao sa podesavanjem nekog firewall-a lako ces na osnovu ove sustine napraviti sve sto ti treba. Danasnji firewall programi su dovoljno fleksibilni.

Pozdrav

http://www.linkedin.com/in/radegm

^{12.03.2007. u 01:04}