|
Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2008/2008 R2 » 2008 - Изоляция одной сети от другой. Необходим совет. |
|
|
2008 - Изоляция одной сети от другой. Необходим совет.
|
Новый участник Сообщения: 12 |
Имеем:
10.0.0.1-10.0.3.255 - основная сеть 10.0.0.1/255.0.0.0 - основной шлюз сети 192.168.1.0/255.255.255.0 - сеть которая должна быть изолированна, но с доступом в интернет. 10.0.0.5/255.0.0.0(192.168.1.1/255.255.255.0) - сервер сети 192.168.1.0 (шлюз, ад, днс, нат и тп). Интернет в сети 192.168.1.0 после настройки службы маршрутизации есть, через нат. Но эта сеть через этот же нат свободно ходит в сеть 10.0.0.0-10.0.3.255. Вопрос: Как можно запретить хождения в 10.0.0.0-10.0.3.255? Я предполагаю, что нужно смотреть в сторону встроенного фаера. Но не знаю как правила там зарулить. Если судить из моего опыта во фре то нужно писать запрет на входящие подключения от 192.168.1.0 к 10.0.0.0-... по всем протоколам и портам. Проверить сейчас не могу - рулю сервером удаленно, а 192.168.1.0 сейчас вся выключена. Надеюсь получить помощь. Заранее спасибо. |
|
Отправлено: 18:45, 11-11-2010 |
Ветеран Сообщения: 630
|
Профиль | Отправить PM | Цитировать В W2003 вопрос с фильтрами решался в свойствах интерфейса (через оснастку RRAS) - там можно задать фильтр входа и выхода для любого интерфейса.
|
Отправлено: 23:36, 11-11-2010 | #2 |
Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети. Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля. |
Старожил Сообщения: 383
|
Профиль | Сайт | Отправить PM | Цитировать DemonSKED, я FreeBSD совсем не умею управлять, но если Вы "рулили сервером во фре", то это по ходу несложно. Исхожу из предположения, что "рулят" обычно сисадмины, а не эникейщики или пользователи, знающие больше других и кажущиеся себе сисадминами. Почему у меня возникло такое ощущение? NAT - это зло, которое мы вынужденно используем в силу ограниченности числа глобально маршрутизуемых IP-адресов (обычные люди называют их "внешними" или "публичными
![]() Для этого нужно: a) удалить протокол маршрутизации NAT на сервере b) на маршрутизаторе 10.0.0.1 указать маршрут до сети 192.168.1.0/24 После этого можно 'изолировать': IPv4->General; выбираете интерфейс 192.168.1.1; Свойства->Кнопка ''Входящие фильтры..." (Inbound Filters...): Новый, Сеть назначения, IP 10.0.0.0, маска 255.63.0.0 (закрывает диапазон 10.0.0.1-10.0.3.255) либо для простоты IP 10.0.0.0 и маска 255.0.0.0 (закрывает всё на 10.x.x.x), все протоколы, Ok, переключатель оставляем на "Принимать все пакеты, кроме ...". |
Отправлено: 07:33, 12-11-2010 | #3 |
Новый участник Сообщения: 12
|
Профиль | Отправить PM | Цитировать Isotonic,
Жаль что у вас сложилось впечатление обо мне такое. Ну вот нравится мне фраза рулю, а не администрирую. А двойные нат, ну так мне вообще не особо дают руки распускать, так как администраторов нас два, причем второй протеже начальника и его решения "по умолчанию верные". Ваш совет приму к сведению. Видимо вы делали такое, так как выглядит весьма убедительно. Мне последние пару лет приходилось заниматься фрёй. Сама идея как оно должно блокироваться мне пришла верная ведь. |
Отправлено: 06:54, 13-11-2010 | #4 |
Старожил Сообщения: 383
|
Профиль | Сайт | Отправить PM | Цитировать Не, я имел ввиду 'рулю' не синонимом к 'администрирую' в том контексте. А - 'управляю, имея права, навыки и знания для этого'. Рулю - это звучит гордо, когда не просто как-то настраиваешь, а с пониманием, как это работает и как это должно быть настроено. Извините, что резко среагировал. Вы развеяли это впечатление.
По моему определению 'рулит' Ваш коллега, хотя бы потому что прав у него больше ![]() Начните с NAT. Вы пробовали обращаться к коллеге за помощью? Или стараетесь по возможности скрывать от него свои незнания каких-то моментов? (как подавляющее большинство делает). Если он действительно шарит, он не сможет назвать ни одной причины против одной NAT вместо 2-х. А у Вас при себе готовый список плюсов. А вдруг админ/руководство считают, что Вы слабее, чем Вы есть? Я бы тоже такому админу не давал руки распускать. Тогда нужно себя начинать зарекомендовывать соответственно уровню. Выход есть всегда. Цитата DemonSKED:
![]() |
||
Отправлено: 16:33, 13-11-2010 | #5 |
Новый участник Сообщения: 12
|
Профиль | Отправить PM | Цитировать Единственное объяснение что протеже потому что, он со мной спорил что если настроена маршрутизация и нат то сеть 192.168.1.0 не может видеть остальную сеть. Ну вот не должна она видеть. И начальник тоже самое заявил. И тут возникает вопрос-они правы? По моему нет, или я совсем ничего не понимаю и пора вооружиться кипой книг и все читать заново.
Подумав и все взвесив сегодня отрублю нат по вашему совету, он действительно там не нужен. Потом отпишусь. |
Отправлено: 08:09, 15-11-2010 | #6 |
Новый участник Сообщения: 12
|
Профиль | Отправить PM | Цитировать Эх, все не как у людей. Добрался до щлюза. Отрубил нат, настроил фильтр, маршрут прописали они по моей просьбе на 10.0.0.1 (меня не пускают к нему). Все работает по совету Isotonic.
Но тут другое добавилось, один сервер нужно открыть в сети 192.168.1.0 как это сделать фильтрами не понимаю. Надеюсь на совет. Плохой я администратор windows... Вот в Ipfw все просто add deny all from 192.168.1.0/24 to 10.0.0.0/255.36.0.0, add allow all from 192.168.1.0/24 to 10.0.0.20. |
Последний раз редактировалось DemonSKED, 15-11-2010 в 10:24. Отправлено: 10:13, 15-11-2010 | #7 |
Старожил Сообщения: 383
|
Профиль | Сайт | Отправить PM | Цитировать Цитата DemonSKED:
![]() Цитата DemonSKED:
Цитата DemonSKED:
![]() К сожалению, я по-другому понял выражение 'один сервер нужно открыть в сети 192.168.1.0': подумал, что компам сети 10.0.0.0/14 'один сервер нужно открыть в сети 192.168.1.0'. Поэтому, всё что в '----' относится к тому случаю, переписывать не вариант ![]() ---- Компам сети 10.0.0.0/14 нужно будет, например, через DHCP разослать маршрут до сети 192.168.1.0/24, чтобы они знали, через какой маршрутизатор доступен сервер 192.168.1.x. Так точно будет работать. Но сначала можно попробовать и без этого: по идее, порядочные роутеры должны отправлять ICMP redirect с адресом 'правильного' маршрутизатора для пересылки, а порядочные хосты (если firewall не блокирует) реагировать на такие пакеты. Я не меньше 2-х часов думал, как извратиться в этом случае. Не такой уж это простой вопрос в силу ограничений ![]() Предлагаю следующее. Общая концепция: меняем одно правило широкого диапазона на ряд более узких, которые закрывают доступ к 10.0.0.0/14 для всех хостов, кроме 192.168.1.1-192.168.1.4, которые и будут выделены в качестве адресов для серверов. На DHCP нужно исключить эти адреса из выдачи и создать резерв для этого одного 'сервера' (или задать на хосте статические настройки, но тогда по настройкам будет видно, что он 'избранный'). Правила создавать на том же фильтре, что и ранее: Сеть назначения: IP 10.0.0.0, маска 255.63.0.0 либо IP 10.0.0.0 и маска 255.0.0.0 Исходные сети (для каждого правила свои) + 'все протоколы': сеть 192.168.1.128 маска 255.255.255.128 (закрывает 192.168.1.128-192.168.1.255) сеть 192.168.1.64 маска 255.255.255.192 (закрывает 192.168.1.64 -192.168.1.127) сеть 192.168.1.32 маска 255.255.255.224 (закрывает 192.168.1.32 -192.168.1.63) сеть 192.168.1.16 маска 255.255.255.240 (закрывает 192.168.1.16 -192.168.1.31) сеть 192.168.1.8 маска 255.255.255.248 (закрывает 192.168.1.8 -192.168.1.15) сеть 192.168.1.4 маска 255.255.255.252 (закрывает 192.168.1.4 -192.168.1.7) Чтобы ограничить и хосты 2-3 в обмене, нужно дополнительно указывать несколько правил именно для них: сеть 192.168.1.2 маска 255.255.255.252 (закрывает 192.168.1.2 -192.168.1.3) но использовать не 'все протоколы', а только так, чтобы закрыть всё, кроме нужного. ---- Для случая 'один сервер нужно открыть в сети 10.0.0.0/14 для сети 192.168.1.0/0' это тоже подходит: правим только 'сеть назначения' по аналогии, так чтобы неблокированным остался маленький диапазон, куда и поместить целевой сервер. Над комбинациями сеть/маска думайте сами ![]() Как в Ipfw RRAS не может. Может TMG (бывший ISA). Я бы изолировал сеть 192.168.1.0/24 не вообще, а только избирательно бы блокировал то, что не нужно, по ключевым точкам входа. Например, конкретные порты UDP 138,139, TCP 135, 137, 445 и т.д. Что значит 'ключевые': заблокировать TCP 135 - полностью прикрыть весь RPC-трафик. Это не так жёстко, но может быть достаточно. Какие-то порты перечислены здесь. Главное, что тогда более гибко можно фильтры настраивать. Нас уже не ограничивают правила RRAS. |
|||
Отправлено: 15:04, 15-11-2010 | #8 |
Новый участник Сообщения: 12
|
Профиль | Отправить PM | Цитировать Цитата:
За ваш совет спасибо. Все получилось. Почерпнул многое для себя. Оговорюсь еще раз - от адмнистрирования windows отошел года 4 назад все напрочь забыл занимаясь freebsd. Учусь заново, вспоминаю. Кстати о TMG, а она разве не только под x64? Ибо сервер щел из коробки с x32. |
|
Отправлено: 19:42, 15-11-2010 | #9 |
Старожил Сообщения: 383
|
Профиль | Сайт | Отправить PM | Цитировать Цитата DemonSKED:
|
|
Отправлено: 20:38, 15-11-2010 | #10 |
|
![]() |
Участник сейчас на форуме |
![]() |
Участник вне форума |
![]() |
Автор темы |
![]() |
Сообщение прикреплено |
| |||||
Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
DNS/DHCP - Доступ к определенному компьютеру в одной сети из другой | Dreamer_ | Сетевые технологии | 1 | 24-06-2009 20:17 | |
AV/Multimedia - удаленное видеонаблюдение, необходим совет знающих! | nayre | Сетевые технологии | 18 | 13-05-2008 15:33 | |
[решено] полная изоляция локальной сети от интернет? | Kiril_S | Защита компьютерных систем | 17 | 17-04-2007 17:23 | |
Доступ из одной сети к другой посредствам DSL модема. | stavskiys | Сетевые технологии | 4 | 17-12-2006 15:03 | |
Нужен совет! подключить комп к сети,через другой | pipez | Сетевые технологии | 3 | 13-12-2005 10:08 |
|