Clientes se exergando atraves de nano, tem como bloquear atraves de router?

Amigos eu tenho router conectadas em todas as torres adicionei umas nanos estou percebendo que os clientes estão se enxergando, tem como criar um filtro direto na interface de rede, pois antes eu tinha o filtro pelo cartão, então resolvi colocar mas dai eu travo a comunicaçao das torres atraves do dude, tem com deixar passar a regra, sem travar a comunicaçao do dude?

Desde já agradeço atenção de todos!

Obrigado.

Se for para bloquear o tráfego entre os clientes conectados no nano (ap) eu já tentei bloquear o netbios através do air-os da ubiquiti más não tive sucesso, acredito que pelo fato de ele está em bridge. Se alguém conseguir acredito que ajude bastante a dica.

Olha o que eu achei no forum da ubiquiti só não testei

netbios-ns 137/tcp # NETBIOS Name Service
netbios-ns 137/udp
netbios-dgm 138/tcp # NETBIOS Datagram Service
netbios-dgm 138/udp
netbios-ssn 139/tcp # NETBIOS session service
netbios-ssn 139/udp

Be should that you used 0.0.0.0/0 for rules that applies to any IP.
Also the rules for bridge mode should be kind of these:

ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-sport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-dport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-sport 445 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-dport 445 -j DROP

ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-sport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-dport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-sport 445 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-dport 445 -j DROP

You can do the same thing through Web UI as well. Go to Network tab Enable Firewall: Configure...
__________________
Ubiquiti Networks, Inc.
System programmer

se os clientes estão no mesmo gateway basta criar regra filter para range de ip.

opa,
para resolver este problema na aba advanced ative a opção
Enable Client Isolation:
com isso os clientes conectados a este AP não se comunicarão.

Nao seria o caso de habilitar a opcao de isolacao de clientes no nano?
dessa forma um cliente nao encherga o outro.

Amigo uma vez em bridge(que tem a funcao de enxergar uns aos outros), creio que nao tenha como eles nao se enxergarem . O que vc pode fazer é tirar os nanos da bridge e controla-los na router desde que essa interface nao fique na bridge.

Possuo uma rede em bridge.
segue basicamente o seguinte:

Gateway mk - Switch Overtek - ring com Nano 5 ou rocket.

- no Nano 5 ou rocket eu habilito a isolacao do cliente, assim um cliente nao encherga o outro que esta conectado naquele AP
- devido ao Switch, um AP e os clientes conectados nele nao enchergam o outro AP e seus clientes.

No final, é como se tive-se um tunel entre o cliente o Gateway mk... o cliente nao consegue encherga nada que esteja do lado.

SW overtek: http://www.ispshop.com.br/vitrine/sw...8si-vn-ux.html

Citação:

---

Postado originalmente por izaufernandes

Se for para bloquear o tráfego entre os clientes conectados no nano (ap) eu já tentei bloquear o netbios através do air-os da ubiquiti más não tive sucesso, acredito que pelo fato de ele está em bridge. Se alguém conseguir acredito que ajude bastante a dica.

Olha o que eu achei no forum da ubiquiti só não testei

netbios-ns 137/tcp # NETBIOS Name Service
netbios-ns 137/udp
netbios-dgm 138/tcp # NETBIOS Datagram Service
netbios-dgm 138/udp
netbios-ssn 139/tcp # NETBIOS session service
netbios-ssn 139/udp

Be should that you used 0.0.0.0/0 for rules that applies to any IP.
Also the rules for bridge mode should be kind of these:

ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-sport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-dport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-sport 445 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto tcp --ip-dport 445 -j DROP

ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-sport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-dport 137:139 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-sport 445 -j DROP
ebtables -A FORWARD -p IPv4 --ip-src 0.0.0.0/0 --ip-dst 0.0.0.0/0 --ip-proto udp --ip-dport 445 -j DROP

You can do the same thing through Web UI as well. Go to Network tab Enable Firewall: Configure...
__________________
Ubiquiti Networks, Inc.
System programmer

---

Agradeço muito a ajuda de todos, uma duvida por onde eu consigo por essas regras? Na opção firewall, entro pelo ssh?

Agradeço a atençao de todos, vou ativar a opção isolamento cliente!

mas essa sua dica aqui é muito boa pois evita trafego na rede desnecessario!

Obrigado.

Só essa marcação no AP Nano resolve com certeza o problema, alguem já testou?

Eu usava filter net-bios mas não adiantou nada mas deixei ela mesmo assim e aproveitei e fiz um filter de DHCP vindo de cliente pois já me deu muita dor de cabeça DHCP vindo de roteador de cliente quando usava hotspot, no caso eu só conseguir isolar os clientes mesmo depois que marquei a opção em todas as Nanostation M5 AP client isolation pois ela só aparecem em modo AP, e mudei a autenticação para PPPoE em modo router no cliente, alem dos cliente não se enxergarem ficou melhor e mais profissional trabalhar em PPPoE pois você tem acesso ao equipamento do cliente de qualquer lugar da sua rede podendo atualizar firmware mas tome muito cuidado para o cliente não desligar o equipamento na hora da atualização da firmware, você também pode conectar o cliente ao ap que tiver melhor sinal se caso você adicionar mais AP na sua torre e por ai vai.

Muito legal essa migração para o PPPOE, mas vc tambem poderia continuar com o hotspot, marcar a opção - isolamento de cliente - e fazer uma vpn e ter acesso aos radios de cliente e demais equipamentos da rede, em qualquer faixa.