Firewall + LAN

[Gość: wch]

Mam spięte kompy, na jednym jest skonfigurowane połączenie internegowe,
udostępniane pozostałym komputerom. Chcę postawić firewalla (soft).

Czy muszę kupować firewalla na każde stanowisko, czy wystarczy tylko
na „serwer internetowy”?

[Gość: wojtek]

> Mam spięte kompy, na jednym jest skonfigurowane
połączenie internegowe,
> udostępniane pozostałym komputerom. Chcę postawić
firewalla (soft).

rozumiem że na windowsie?
>
> Czy muszę kupować firewalla na każde stanowisko, czy
wystarczy tylko
> na „serwer internetowy”?

zwykle program na jedno stanowisko jest darmowy np:
Kerio,Sygate.Są też programy płatne na jedno stanowisko
ale z bardziej rozbudowanymi funkcjami

[Gość: Doki]

Ja bym zrobil tak: gateway z porzadnym stateful firewall,
np iptables, a na stanowiska robocze jakies darmowe, np
wymienione przez Ciebie. I niczego nie trzeba kupowac.

[Gość: zdzichu]

a najlepiej na server linuxa z firewallem który jest za darmo (mozliwosci
konfiguracji przewyzszaja inne produkty pod wina) a na winy jakies darmowe
programy tylko ze darmowe w wiekszosci przypadków oznacza ze sa darmo ale
tylko na uzytek domowy w firmie musisz kupic licencje

[Gość: wch]

Dzięki za odpowiedzi. Kompy mam na Windzie.

Ale chodzi mo o coś innego - może nie byłem precyzyjny. Czy jeżeli postawię
firewalla na „bramie internetowej”, to pozostałe komputery w LAN będą chronione
czy nie?

[Gość: Doki]

Gość portalu: wch napisał(a):

> Dzięki za odpowiedzi. Kompy mam na Windzie.
>
> Ale chodzi mo o coś innego - może nie byłem precyzyjny. Czy jeżeli postawię
> firewalla na ?bramie internetowej?, to pozostałe komputery w LAN bę
> dą chronione
> czy nie?

To zalezy na ile dobrze skonfigurujesz firewalla. Np ochrona przed trojanami bedzie trudna.

[Gość: zdzichu]

dobrze skonfigurowany firewall na linuxie wyglada mniejwiecej tak
jezeli z sieci z wewnatrz jest zapytanie na jakims porcie do jakiegos ip z
zewnatrz np www.wp.pl na 80 to server przekazuje zapytanie ze swoim ip
zewnetrznym do serwerw np wp,pl i po otrzymaniu odpowiedzi przekazuje go
komputerowi w wewnatrz z sieci
innej mozliwosci nie ma np ktos z zewnatrz chce wejsc na twuj komputer to
automatycznie zostaje to odrzucone bo server nie ma ip zapisanego ze ktos
wysylal do niego zapytanie.
Mozliwosc wlamania sie do wewnatrz sieci jest jednak mozliwa jak na jakims
komputerze jest zainstalowany trojan lub programy szpiegujace (chociaz niewiem
do konca czy to dziala bo server zmienia ip wwnetrzne na zewnetrzny a porty
nie sa sforwardowane)
ja jeszcze blokuje porty które u mnie w sieci sie nie używa czyli tak od 100
do 3000 odpada czesciowo problem kazy po 3000 znajduja sie porty które uzywaja
chaty potem blokuje sie do portu gg czyli gdzies kolo 8000 itroch niepamietam
i pozostale w gure a jeszcze blokuje port komunikacji z serveram na putty
czyli 23

[Gość: wch]

Dzięki za odpowiedź. Co prawda na temat Linuksa nie mam zielonego pojęcia ;-),
ale dostałem odpowiedź na to, co chciałem.

Pozdrawiam!
________________________________________
Piosenka roku: „Bring Me To Life” – Evanescence

[stratoos]

Gość portalu: zdzichu napisał(a):


> ja jeszcze blokuje porty które u mnie w sieci sie nie używa czyli tak od 100
> do 3000

czyli nikt u was w sieci nie uzywa maila albo czytnika newsow

> chaty potem blokuje sie do portu gg czyli gdzies kolo 8000 itroch niepamietam
> i pozostale w gure a jeszcze blokuje port komunikacji z serveram na putty
> czyli 23

czyli gdy ktos chce uruchomic sesje telnetu na jakis zewnetrzny host to nie
moze...

[Gość: zdzichu]

port 23 jest blokowany z zewnatrz i tylko na kmpaa z serverem gdzie jest
linuch a co do poczty to ten port jest odblokowany tylko ze jak wpisuje
blokade a potem zwalniam porty ktore niemaja byc blokowane a co do poczty to
zapomnialem dopisac na forum i tyle

[Gość: zdzichu]

a tak poprostu niepamietam bo system był 6 miesiecy temu zrobiony i dotej pory
działa a port poczty zwalniłem napewno bo poczta działa
a w linuxie nie siedze na codzien i podaje przykład jak ja blokowałem i
zabezpieczyłem siec

[Gość: Doki]

stratoos napisał:


> czyli gdy ktos chce uruchomic sesje telnetu na jakis zewnetrzny host to nie
> moze...
>

I bardzo dobrze, ze nie moze. Po co komu telnet, to raz, a po drugie, telnet to nie jest protokol, ktorego chcialoby sie uzywac w publicznie dostepnej sieci, prawda?

[stratoos]

Gość portalu: Doki napisał(a):

> I bardzo dobrze, ze nie moze. Po co komu telnet,

nie wszyscy udostepniaja ssh

, a po drugie, telnet to
> nie jest protokol, ktorego chcialoby sie uzywac w publicznie dostepnej
sieci,

mozna go latwo snifowac, tekst jest niekodowany itp, itd... zgadza sie. Tylko
zwroc uwage, ze port na routerze powinien byc otwarty dla userow chcacych
skorzystac ze zdalnego logowania.

[Gość: Doki]

stratoos napisał:

> nie wszyscy udostepniaja ssh

A wlasnie, czy jest klient ssh dla Windowsow?

> Tylko
> zwroc uwage, ze port na routerze powinien byc otwarty dla userow chcacych
> skorzystac ze zdalnego logowania.

Oczywiscie, ale dlaczego zaraz telnet? Moze wystarczyloby okno przegladarki, ewentualnie pare skryptow, w najgorszym wypadku VPN...

[stratoos]

Gość portalu: Doki napisał(a):

> A wlasnie, czy jest klient ssh dla Windowsow?

standartowo w systemie nie ma, pozostaje cos zew. np. putty

> Oczywiscie, ale dlaczego zaraz telnet? Moze wystarczyloby okno przegladarki,
ew
> entualnie pare skryptow, w najgorszym wypadku VPN...

telnet na niektorych serwerach jest jedyna mozliwoscia dostania sie do shella.
Gdy ktos juz z niego korzysta zazwyczaj wie doskonale jakie niesie to ze soba
potencjalne zagrozenie.

VPN fajna rzecz, ale druga strona musi przyjac takie polaczenie....

[Gość: Doki]

stratoos napisał:


> telnet na niektorych serwerach jest jedyna mozliwoscia dostania sie do shella.

Nie wiem, czy to rozsadne, by dopuszczac uzytkownikow do shella, zdalnie czy nie. Poza tym: gdzie sa uzytkownicy, ktorzy chca ogladac shella?

> VPN fajna rzecz, ale druga strona musi przyjac takie polaczenie....

To sie da skonfigurowac...

[stratoos]

Gość portalu: Doki napisał(a):

> Nie wiem, czy to rozsadne, by dopuszczac uzytkownikow do shella, zdalnie czy

zaraz, zaraz, my chyba cos mylimy... czy uzytkownik nie moze miec konta z
dostepem do shella na jakims zewnetrznym hoscie ???

> e. Poza tym: gdzie sa uzytkownicy, ktorzy chca ogladac shella?

wiekszosc w miare zaawansowanych uzytkownikow serwerow linuxowych/unixowych
zabiega wlasnie o dostep do shella.