ITKnowledge Veksling medlem " rmrsystems " spurte:
jeg klarer en liten SBS2003 nettverk, som ikke har ISA server (dvs. at SBS boksen og alle klientene kablet via en bryter til ADSL-ruteren - Netgear DG834G). En av brukerne har vært å laste ned MP3-filer fra en P2P nettverk, og jeg ønsker å blokkere denne typen aktivitet.
Kan jeg bare blokkere bestemte utgående portene på ruteren? Hvis ja, hvilke porter må jeg blokkere, og er det noen legitime tjenester som kan bli berørt
"? BRIAVAEL " Skriver:
Du kommer til å bli fanget opp i Whack-a-mole prøver å blokkere tilgang ved portene. Disse programmene har fått ganske god på port hopping og bruke kjente åpne porter som 80 eller 21.
Når det er sagt, de ulike programmene bruker forskjellige porter. De to populære:
Fast-Track (dvs. Kazaa og Morpheus): 1214
Gnutella (dvs. Limewire og Bearshare): 6346 og 6347
Hva jeg kan gjøre er å bygge en Linux brannmur (som IPCop) og deretter bruke FTwall, som vil effektivt blokkere overføring basert på IP-tabeller. Resultatet er å blokkere nettverkstilgang til en bruker som lanserer en P2P klient. De vil bare få tilgang tilbake når programmet er helt lukket.
Selvfølgelig, å legge til en ny plattform til nettverket ditt er kanskje ikke hva du ønsker å gjøre. Du ville best tjent med å etablere en akseptabel bruk politikk. Personlig liker jeg å ha både en teknisk løsning samt politikk for å sikkerhetskopiere den.
itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke
" MENNOT " Skriver:
Enhver anstendig router har muligheten til å blokkere uønsket trafikk. Den beste løsningen er ikke å se på det onde som du ønsker å blokkere, men for å se hva du vil tillate - for eksempel HTTP (TCP /80), HTTPS (TCP /443), SMTP (TCP /25) og muligens et par andre ting. Bare blokkere resten! For å være mer sikker, bør du helst la disse protokollene bare via en proxy - eller, for e-post, en sikker SMTP relay server med virussøk - så du kan også begrense IP-adressene som kan gå ut
.
Ønsker du informasjon om ruteren på Netgear nettsted, fant jeg klare instruksjoner hvordan du definerer godkjenningsreglene; se Hvordan er port forwarding konfigurert? å opprette en innkommende eller utgående regel. Med bruk av denne prosedyren, definere utgående regler for de tjenestene du vil tillate og blokkere resten. Muligens med unntak av e-post, har du sannsynligvis ikke kjøre tjenester som skal være tilgjengelig fra Internett, så blokkerer all innkommende trafikk, bortsett fra at tjenesten (hvis du trenger det). Du kan videre stramme innkommende tilgang ved å begrense det til en bestemt vert.
Blokkerings alt og vente på at folk begynner å klage er en tilnærming, hvis du har råd til det. En liten endring på dette er å begynne med en henvendelse om hva som skjer nå og definere regler for det - (! Ellers Kazaa og andre ville komme i regelsettet i tillegg) minst like langt som du kan identifisere den. Kanskje ruteren kan du samle slike data. Ellers kan du begynne med en liste over programmer som er offisielt i bruk og finne TCP /UDP portnumrene det. Hvis du ikke kjenner portnumrene, starte programmet på en maskin og gi en netstat kommandoen parallelt
Vær forsiktig. Noen programmer bruker tilfeldige høye porter (1024 og høyere) ved siden av en fast port, tvinger deg til å åpne en port range. Dette er noe du må erkjenne. Også noen anvendelser satt opp økter i den motsatte retning, noe som gjør det nødvendig å åpne porter i den motsatte retning også. (Et eksempel på dette er FTP, men de fleste brannmurer vil tillate sekundær økten automatisk.)
Blokkerings all innkommende trafikk kan føre til problemer, selv om initiativet er bare fra innsiden! Litt prøving og feiling kan noen ganger være uunngåelig å få ting fungerer på tross av all blokkering. Ting som instant messaging (hvis du tillater det) kan vise seg vanskelig.
itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke*itke
" CISCOCAT6K " Skriver:
Hvis du ønsker en hardware /software-løsning titt på Bluecoat. Det er svært effektiv til å blokkere denne typen trafikk, er problemet som at det kan tunnel ut på port 80, og dermed gjør det vanskelig å bruke port blokkering. Bluecoat gir deg også detaljert kontroll over bruken av IM, Webmail og diverse andre brannmur-åpning tjenester.
I tillegg kan du installere en Checkpoint brannmur på en Nokia plattform for dyp pakkeinspeksjon. De Checkpoint NG-AI systemer kan blokkere en god del av IM og P2P-tjenester.
Hvis billig og munter er hva du ønsker, kan du prøve å installere Squid med squid på en Linux-plattform for en hyggelig web-caching og URL-filter løsning. Squid vil tillate deg å også stoppe P2P problemer samtidig som det gir deg fordelen av en web cache motor for å hjelpe med omverdenen link. Programvaren er gratis; du trenger bare å finne noen gamle maskinvare for å installere den på. Vil kjøre veldig komfortabelt på en gammel P2 /P3 boks for opp til rundt 500 brukere (i min erfaring).
Håper dette hjelper.
Les alle svarene på dette spørsmålet.
Ikke på ITKnowledge Veksling ennå? Registrer deg i dag.