virus na rede, clientes se enxergando ..

Boa Tarde ..
amigos estou com o seguinte problema,
na minha rede tem alguns clientes infectados com virus, aí essas maquina fica gerando arquivos ( .eml) e enviando para todas as maquinas da rede, com isso a rede vai ficando lenta, e as maquinas de todos os clientes infectadas, acredito que isso esteja ocorrendo tambem porque as maquinas estão se enxergando umas as outras, então gostaria de saber dos amigos se tem uma solução para eu consertar esse problema ?
minha rede uso dhcp para atribuir os ips aos clientes, já vi em alguns topicos que eu poderia usar mascara 30 ou 32, mas ainda não entendi como implantar isso, se uso dhcp na rede ?
agradeços a todos que puderem me ajudar nesse problema

Att
Helder

do mesmo jeito que vc criou essa rede ja existente
va criando varias outras... uma para cada cliente...
no dhcp-server qdo pedir a mascara.. vc coloca /30 ou /29

amigo, então por exemplo se tenho 100 clientes ..
tereii que criar 100 redes no dhcp-server , tipo:
10.10.10.0/30
10.10.20.0/30
10.10.30.0/30 .

e assim por diante ?

amigo, então por exemplo se tenho 100 clientes ..
tereii que criar 100 redes no dhcp-server , tipo:
10.10.10.0/30
10.10.20.0/30
10.10.30.0/30 .

e assim por diante ?


Cara eu sou novo aki mas eu tbm estou com essa mesma duvida..

sim... se vc quer separar os clientes pela mascara... teras que criar uma rede para cada.

vc tem que criar uma rede para cada cliente...: ip address
ip dhcp-server network

restante é normal.
em ip dhcp-server leases vc envia o ip que vc quer para o cliente... alem de vc prender o cliente a esse ip.
em ip arp, vc tbm prende o cliente a esse ip
no firewall vc libera o acesso ou faz nat da rede dele... eu geralmente adiciono a faixa da rede em IP FIREWALL ADDRESS-LIST... assim fica mais facil fazer essa liberacao.

vc pode ir fazendo isso aos poucos... de acordo com que recebe chamados.

im... se vc quer separar os clientes pela mascara... teras que criar uma rede para cada.

vc tem que criar uma rede para cada cliente...: ip address
ip dhcp-server network

restante é normal.
em ip dhcp-server leases vc envia o ip que vc quer para o cliente... alem de vc prender o cliente a esse ip.
em ip arp, vc tbm prende o cliente a esse ip
no firewall vc libera o acesso ou faz nat da rede dele... eu geralmente adiciono a faixa da rede em IP FIREWALL ADDRESS-LIST... assim fica mais facil fazer essa liberacao.

vc pode ir fazendo isso aos poucos... de acordo com que recebe chamados.

Ok entendir.. agora eu vi em agums fórum.. que vc pode tbm fazer uma regra de firewall..
um dos fórum foi esse ai: "http://linuxadm.blogspot.com/2008/02/bloqueando-netbios-no-mikrotik-bridge.html"
esse encina vc bloquar compartilhamento de arquivos entre clientes..

agora eu fiz e não deu certo os clientes ainda continam compartilhando arquivos..
fiz uma regra aki de firewall que bloqueia as portas
135-139 protoc TCP
135-139 protoc UDP
445 protoc TCP
Chain: input protc: 6tcp src port: 135-139 action: drop
Chain: input protc:17udp serc port: 135-139 action: drop
Chain: input protc: 6tcp serc potr: 445.

mesmo assim existe o compartilhamento de arquivo como bloquar usando o firewall?

desabilita a opcao forward do wireless

"desabilita a opcao forward do wireless"

Ok essa opção eu desativei mas eu
tem clientes cabiados.. intende
direto do meu servidor para um switch..

Citação:

---

Postado originalmente por bamikrotik

"desabilita a opcao forward do wireless"

Ok essa opção eu desativei mas eu
tem clientes cabiados.. intende
direto do meu servidor para um switch..

---

entao.. com clientes cabeados vc so ira conseguir bloquear o compartilhamento se:
usar rede /30 (resolve em parte)
usar swich com vlan

aqui eu optei pelos 2

Se não criar uma rede para cada cliente usando a mascara /30 não há forma alguma que impeça que seus clientes se enxerguem e mecham nos arquivos compartilhados e abertos se usar a mascara /24.

pessoal tambem ja tentei separar em cada rede mais n deu certo alguem ai teria uma explicaçaozinha mais pratica pq sou meio leigo nessa parte...

Citação:

---

Postado originalmente por exclusivenet

Boa Tarde ..
amigos estou com o seguinte problema,
na minha rede tem alguns clientes infectados com virus, aí essas maquina fica gerando arquivos ( .eml) e enviando para todas as maquinas da rede, com isso a rede vai ficando lenta, e as maquinas de todos os clientes infectadas, acredito que isso esteja ocorrendo tambem porque as maquinas estão se enxergando umas as outras, então gostaria de saber dos amigos se tem uma solução para eu consertar esse problema ?
minha rede uso dhcp para atribuir os ips aos clientes, já vi em alguns topicos que eu poderia usar mascara 30 ou 32, mas ainda não entendi como implantar isso, se uso dhcp na rede ?
agradeços a todos que puderem me ajudar nesse problema

Att
Helder

---

a melhor coisa a fazer, é fazer o modo PPPoE, acada esta dor de cabeça, ai cria automatico no cliente IP/32

Citação:

---

Postado originalmente por Nando

pessoal tambem ja tentei separar em cada rede mais n deu certo alguem ai teria uma explicaçaozinha mais pratica pq sou meio leigo nessa parte...

---

voce deve mudar, o tipo de configuração do seu mk, configura ele em modo PPPoE, é bem rapido, e elimina as dores de cabeça.

estou testando o mikrotik e coloquei aquele ip 192.168.200.1 ate 254
com hotspot
como configuro passo a passo os ips 10.10.1.2 ,10.10.2.2
gostaria passo a passo como fazer
e como eu colocaria no cliente

Pessoal no forum tem bastantes tópicos relacionados a isso, creio que não precisava nem abrir mais um...Entretanto conclamo a todos a usar PPPOE, VPN, IPEC, etc. Quer uma rede mais segura faça direito e sem preguiça. HOTSPOT não é seguro muito menos fazer DHCP amarrando MAC+IP e isolando com mascará.

Quem entende de rede sabe do que eu estou falando. Defina sua politica de rede e configure seu FIREWALL de maneira correta! Serás muito mais feliz.

Espero ter ajudado;

Para configurar seu DHCP vc usa:

Ps. meu DNS abaixo uso um servidor proprio, vc pode colocar seu gatway como DNS se deixar marcado na config do seu servidor mikrotik do DNS, a opcao allow resquest remotes.

/ip dhcp-server network
add address=10.189.224.0/24 comment="" dns-server=10.253.0.1,10.252.0.1 \
gateway=10.189.224.1 netmask=32

No seu firewall para bloquear o tráfego:

add action=accept chain=forward comment="Trafego entre clientes liberado" \
disabled=no dst-address-list=radios src-address-list=radios
add action=drop chain=forward comment="Bloqueio de Trafego entre Clientes" \
disabled=no dst-address-list=Geral src-address-list=Geral
add action=drop chain=forward comment="FORWARD ENTRE A REDE" disabled=no \
in-interface=rede out-interface=rede

Depois de add a regra, vc vai no firewall, em Address List e adciona na lista GERAL somente os ips que vc quer que fique fora do controle, por exemplo os do seus AP´S mikrotik e o IP de seu computador de casa ou loja, para ter acesso aos rádios, isso para nao ficar desabilitando a regra o tempo todo.
Pode add também quando preciso o IP de algum cliente que deseje ter acesso a ele pelo IP.

Nos AP´S vc pode fazer outros bloqueio úteis:
Ps. onde fala interface Rede abaixo é a minha interface por onde entra o link ether0 na minha rb tem esse nome, vc coloca a sua. Para que o filtro bloqueio todo o tráfego que estiver indo de um cartao para o outro, para evitar tbm de os clientes se enxergarem.

/interface bridge filter
add action=drop chain=input comment="Spanning Tree" disabled=no \
dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF
add action=drop chain=forward comment="Boqueia Pacotes entre Interfaces" \
disabled=no in-interface=!rede out-interface=!rede
add action=drop arp-hardware-type=!1 arp-packet-type=!0x800 chain=forward \
comment="Descartando ARP esp\FArios " disabled=no mac-protocol=arp

Nao esquece de deixar Default Foward desmarcado nos seus cartoes...

Citação:

---

Postado originalmente por mascaraapj

sim... se vc quer separar os clientes pela mascara... teras que criar uma rede para cada.

vc tem que criar uma rede para cada cliente...: ip address
ip dhcp-server network

restante é normal.
em ip dhcp-server leases vc envia o ip que vc quer para o cliente... alem de vc prender o cliente a esse ip.
em ip arp, vc tbm prende o cliente a esse ip
no firewall vc libera o acesso ou faz nat da rede dele... eu geralmente adiciono a faixa da rede em IP FIREWALL ADDRESS-LIST... assim fica mais facil fazer essa liberacao.

vc pode ir fazendo isso aos poucos... de acordo com que recebe chamados.

---

eu uso32 no netmask no dhcp do mikrotik, isso isola os clientes.

+ ou - o certo mesmo e separar os clientes em redes ja to tentando implantar a soluçao.