Bloquear Netbios do Windows

ola, tenho um provedor Internet Via Rádio e gostaria de saber como configuro meu Slackware, que é meu gateway para que meus clientes nao se encherguem uns aos outros.


exemplo:
maria IP 10.0.0.2
joão IP 10.0.0.3
Zé IP 10.0.0.4 só que se maria ou jão ou zé forem no ambiente de rede do Windows ele vai ver que existe outros computadores além do dele. e se algum deles estiver com o C compatilhado eles podem simplemente copiar dados de uma maquian pra outra correto ??? mas isto não é o meu caso, eu uso ip ALIAS e cada cliente em minha rede tem uma rede só pra ele, exemplo

Rádio ligado a Eth1 de meu servidor
IP do Radio 10.0.0.1
IP do Servidor 10.0.0.2
IP dos Radios dos clientes 10.0.0.10, 10.0.0.11, 10.0.0.12 e ai vai

agora o ip dos computadores de meus clientes.
joao 10.0.12.3
maria 10.0.13.3
roberto 10.0.14.3 -> com isto eles não se enchergam correto ??? mas no entanto com o crescimento da rede, ou seja varias redes em uma unica ethernet a latencia de meus clientes cresceram muito.

Sei que já estou com um numero grande de clientes em meu Access Point mas hoje por exemplo instalei um cliente e coloquei um ip temporario que uso pra configurar o radio pela primeira vez, exemplo 10.0.0.249 ai dei um ping pra meu gateway e o tempo era emtre 2, 3 e no máximo 10 ms, quando coloquei o ip dele, que é 10.0.71.3 a latencia aumentou pra 600ms, 800 ms, 1000 ms, ai eu retornei pro ip 10.0.0.249 e a latencia voutou 2ms 4ms 10 ms então
constatei que devido ao grande numero de redes em meu gateway eles esta aumentando bastante o trafego dos meus clientes.

Será que não tem uma forma de barrar o NetBios ? via Netfilter ? acho que talvez bloqueando o NetBios funcione, mas como é esta regra no iptables ?

conselho de amigo...

faça o seguinte...

faça a segurança da rede por switch gerenciaveis .. criando VLAN's independentes por cliente.. e uma VLAN com a placa do seu gateway que ve todas as VLANs.. porem.. cada VLAN individual so ve seu gateway., mais ninguem.. isso ae é super simples de se fazer..

pronto.. ninguem ve ninguem...


assim.. vc nao precisa ficar separando em redes logicas diferentes...

mais esse negocio ae que vc falou.. de simplesmente aumentar de 10ms para 1000ms so para causa de passar por outra rede logica.. nao acontece... provavelmente sua rede esta com problemas... e /ou mal configurada...

eu ja montei redes com mais de 30 subredes logicas... e nao existe problema nenhum com isso...

Bloqueia a porta utilizada pelo netbios:

$IPTABLES -A INPUT -s 0/0 -p tcp --dport 139 -i $WAN_INTERFACE -j DROP
$IPTABLES -A FORWARD -s 0/0 -p tcp --dport 139 -i $WAN_INTERFACE -j DROP

ok.. se vc nao tem como segmentar a rede direto por switchs...

vai ficar mais complicado.. pois vc usa alias de rede.. entao.. na verdade nao existe segmentacao logica entendeu..

vc apenas esta fazendo aliases na placa do servidor para o cliente enxergar a rede...

por isso que fica complicado sua situacao .. pois na verdade os clietes e o seu servidor nesse caso vai estar como se fosse uma rede só... pois a sua segmentacao é por aliases de rede no servidor.. e nao por roteamento ... se eu entendi bem..

e essa latencia que acontece quando vc usa um Ip da rede que vc criou com alias.. deve ficar lento justamente pelo fato de vc estar fazendo esses aliases sem segmentar a rede por rotas.. algum problema com broadcast local.. algo assim.. pacotes de broadcast pela mesma interface com destino a mesma interface.. mais em redes diferentes.. resolucao ARP.. coisas desse tipo..

acredito que vc tenha apenas uma placa de rede no servidor certo?

e é ae que mora seu problema.. para vc poder controlar a fundo o acesso entre as redes e o acesso das redes a internet.. vc tera que rotear a saida de internet por outra interface... e deixar uma interface local.. com os aliases para cada rede...

ae via iptables... vc configura o FORWARD para so deixar passar pacotes de tiver como saida final a placa de RADIO...

e os pacotes que chegam no seu servidor.. com saida pela mesma interface.. vc barra.. ae vc ja mata as redes de se enxergarem...

cria algumas redes virtuais e coloquem esse pessoal em redes diferentes
ex.
eth0 recebe a internet
eth1 manda a internet

ifconfig eth1:classe1 192.168.1.100 up
ifconfig eth1:classe2 192.168.2.100 up
ifconfig eth1:classe3 192.168.3.100 up

etc

e coloque essa regra

iptables -t filter -A FORWARD -d 192.0.0.0/8 -s 192.0.0.0/8 -j DROP
eles nao se enxergaram mais..

obs.: eh soh uma dica, pode trava a netbios do pessoal tbm ;)
abraços

iptables -t filter -A FORWARD -d 192.0.0.0/8 -s 192.0.0.0/8 -j DROP

a partir do momento que tiver essa regra ae.. nao precisa se preocupar com netbios.. a regra acima ja esta barrando qualquer porta e protocolo entre essas redes...

só lembrando que é interessante informa a placa de entrada e saida do pacote...


iptables -t filter -A FORWARD -i eth1 -d 192.0.0.0/8 -o eth1 -s 192.0.0.0/8 -j DROP


assim o iptables so ira barrar os pacotes que entram e saem pela mesma interface.. que é o caso de uso do nosso amigo..

nao que seja obrigatorio.. mais é interessante..

Olá amigo, bem vc pode usar o ap 2000 proxim para bloquear as portas do netbios, faca o seguinte:

cofigure->filtering->TCP/UPD Port

Marque a opcao "Enable TCP/UPD Port Filtering" e de "ok", logo abaixo existe as portas do netbios, clique em "edit" e arme todas as portas o adicone alguma outra caso vc queira e depois dê "ok". Pronto se clientes nao podem mais usar o netbios. Agora se vc quer que seus clientes nem se pinguem uns nos outros faca o seguinte:

configue->Bridge->Intra BSS

na opcao "intra BSS Traffic Operation" coloque "Block" e dê "ok"

[]'s