Versão Imprimível
Alguem sabe o que fazer no caso: eu tenho uma rede wireless... de um provedor dai todos usam como rota o servidor gateway que faz a conexao deles liberando para faixa de ip 10.0.0.0 a conexao de internet dai todos estão se vendo na rede como posso fazer para bloquear a visão de todos na rede interna? por exemplo que o ip 10.0.0.23 nao veja o ip 10.0.0.24 para não ter acesso ao seu pc via rede que eles não se vejam?
Amigo vai no seu cartao de radio em propriedades e desativa todas as opçoes deixando somente tcp/ip, faz isso em todos os seus clientes !!!
Valeu !!!
não sei se leu corretamente mas na pergunta eu disse que não tinha interesse em uma solução que fosse a ser aplicada nos clientes devido ao fato de isso deixar a critério de qualquer cliente mala que quiser ver a rede estar dentro.. mas depois de perder o domingo na frente do server... consegui via regra de firewall fazer esse bloqueio... valew amigo pela tentativa =)
Tenta fazer isso no seu ap entao, tipo filtragem de mac address e desativar as opçoes de netbios sobre tcp/ip !!!
No propio server nunca fiz e desconheço essa tecnica mas se alguem souber estou disposto a aprender !!!
Valeu !!!
Olá amigo! Você pode postar o que você fez para conseguir bloquear? No meu eu bloqueio as portas IPX e Netbeui, mas as vezes não sei como os clientes se enxergam!
Se puder colocar as tuas regras de firewall usadas para fazer o bloqueio, agradeço!
Obrigado pela atenção!
Um forte abraço a todos!
Caro amigo tb gostaria que se possível compartilhasse conosco as regras que vc colocou no firewall .
Obg
Companheiro,
essa eu tb gostaria muito de aprender. Agradeço.
Té+.
entre em contado comigo que eu resolvo isso pra vc
isso tenho proteção para isso
Edielson Santana
MSN [email protected]
celular 93-91714588
Pô pessoal! Isto é um forum de linux, todo mundo devia se ajudar e contar como resolveram os problemas!
Este é o espirito do proprio linux.
edilesonps ,podia colocar a sua solução ai no forum.
glowbat , se você achou uma solução posta ai tambem, acho que têm bastante gente que precisa.
Ficaria grato, assim como a comunidade linux pela ajuda de vocês!
Um forte abraço a todos!
Eu acho uma grande bobagem esse lance de ficar segurando informação, acho que um fórum é pra ajudar e ser ajudado, uma consultoria ai sim ja é diferente, mas algo assim tão banal não vejo porque não passar, e por isso ai vai como eu resolvi bem detalhado!!!!!!
Normalmente os adm tem preguiça de fazer dessa forma, mas com ela eu garanto que é 100% eficaz!!
1º ) Cada cliente deve estar em redes diferentes, ou seja
192.168.200.1 ==> João
192.168.202.1 ==> Manoel
192.168.203.1 ==> Maria mas como fazer isso????
Cada cliente tera um alias na placa de rede do server, se sua lan for a eth0, ficaria assim
ifconfig eth0:1 192.168.200.1 netmask 255.255.255.252 broadcast 192.168.200.3
ifconfig eth0:2 192.168.202.1 netmask 255.255.255.252 broadcast 192.168.202.3
ifconfig eth0:3 192.168.203.1 netmask 255.255.255.252 broadcast 192.168.203.3
2º ) Agora em seus clientes fica assim!!
João
IP :192.168.200.2
Masc: 255.255.255.252
Gw: 192.168.200.1
Manoel
IP :192.168.202.2
Masc: 255.255.255.252
Gw: 192.168.202.1
Maria
IP :192.168.203.2
Masc: 255.255.255.252
Gw: 192.168.203.1
Feito isso, agora basta uma simples regra de iptables que ira bloquear quaquer forward entre as subnets do seu servidor, e com isso nenhum cliente nem mesmo pinga no ip de outro cliente, para isso adicione a regras abaixo no seu FW
iptables -t filter -A FORWARD -d 192.0.0.0/8 -s 192.0.0.0/8 -j DROP
Com isso seus clientes jamais conseguiram se enxergar, mas mesmo assim se eles deixar os protocolos NetBios e IPX instalados todos iram se enxergar, é sempre bom acompanhar pra ver quem ta com esses protocolos instalados...!! MAS COMO????
Instale em sua maquina os dois protocolos e depois va no ambiente de rede, ele ira listar todos os clientes que tiverem com esses protolos instalados, ai basta ir nesses clientes e desistalar!!
SÓ ISSO!!! :D :D :D
Bem, se o meu ap suportasse mais de uma faixa de ip eu até faria isso, o problema e que ele não suporta, e todos os clientes ficam na mesma faixa, e não adianta de nada se um cliente mais experto pode romper o bloqueio mexendo nas propriedades da placa de rede.
Mas valeu pela atenção!
É tb achei a solução bastante .... simplória se posso dizer isso.
Concordo com o Gaúcho da Lagoa.
Mas se te atende, vai lá.
Valeu.
Té+.
colegas, é o seguinte, tudo isso dá pra fazer com iptables!
como eu sei?
há cerca de 3 anos, quando fui trabalhar para a empresa, precisavamos de uma solução para partilhar a internet, na altura eu n tinha mto conheçimento de linux, entao encontrei uma distro que já fazia o masquerading por defeito
a distro pertence á antiga mandrake, actual mandriva, chama-.se "Mandrake secure linux", basicamente era, ou é um fork do mandrake 8.2, mas sem X, sem gcc, etc etc, mto bom para firewalls, vinha num CD da PCmaster, após tudo instalado. a partilha de internet funcionava mto bem! mais tarde recbi queixas dos utilizadores a dizer que n conseguiam ligar á impressora de rede, que n conseguiam aceder aos discos compartilhados, etc etc, na verdade no ambiente de rede, cada estação só se conseguia ver a si mesma.. os outros clientes nem seker apareçiam!
qntos aos IP's eram todos da mesma gama, e tinham todos o memso gateway...
kndo eu fazia um flush das regras de iptables no firewall, todos voltavem a ver-se..
como podem ver, com iptables é possivel!
é uma questão de analisar as regras que vêm lá.. :)
Kros amigos!!!
Qualquer tipo de AP ( Acess POints ) trabalham com qtas faixas de ips que vc quiser, ele funciona como um HUB, como um Switch.
Vamos enteder como os computadores se "enchergam", para uma maquina poder enchergar a outra precisa-se haver trafego de rede liberado entre elas no protocolo tcp/ip nas portas 137,138,139. Certo!!!
Entao para poder barrar isto simplesmente eh vc filtrar em teu ap as portas citadas do tcp/ip. Mas para isto seu ap deverá suportar esta funcao. Nao sei qual eh o teu ap, mas a familia Orinoco ap 1000, ap2000 e acima todos aceitam, tbem os aps da sansumg e outros.
Vc pode tbem barrar estas portas no seu firewall, por ex:
iptables -A FORWARD -s 10.0.0.0/8 -d 10.0.0.0/8 -m tcp -p tcp --dport 137:139 -j DROP
Soh que isto nao funcionaria na mesma classe de ip, pq o usuario nao precisa passar pelo seu firewall para poder acessar a outra maquina que esta na sua mesma classe de rede, entende?
Vc deveria Utilizar varias classes de redes certo, utilizando o IP alias do linux. Onde vc pode associar varias classes de ips em uma unica interface de rede. Ex:
Cliente 01- ip : 10.0.1.1/255.255.255.0
Cliente 02 - ip: 10.0.2.1/255.255.255.0
Assim vc conseguiria barrar atravez do seu firewall pq os clientes estao em classes de ips diferentes, portanto para um poder acessar o outro devera obrigariamente passar pelo seu gateway, que eh seu firewall, onde o mesmo analizara as regras e vera que o trafego para tal maquina estara barrado e dropara o pacote.
Soh que se o teu cliente trocar a classe para a mesma da maquina que ele deseja acessar conseguiram sem problemas.
Amelhor maneira eh filtrar no ap, pq dae ele barra de qquer classe para qquer classe de ip.
Nao Eh dificil, sofri bastante com isso, Mas dah pra resolver.
cara,
No meu predio a net é compartilhada com os visinhos, então eles usam uma confg p n deixar os pcs se enchergarem, eu n sei direito que config é essa mais oq tem de diferente é a mascara.
o ip vem por dhcp com a mascara 255.255.255.255, assim, cada ip vai estar em uma rede diferente e n estando na mesma rede eles n conseguem se ver....
Eu acho q isso daria certo, ate prq eu coloquei uma rede aki em casa e por causa da mascara q o dhcp mandava eu n conseguia compartilhar a impressora e arquivos, ai eu mudei o ip p estatico e coloquei mascara 255.255.255.0 nos pcs da minha rede e funcionou, estão se enxergando...
Testa aew e ve no q q da...
flw