[vaegkuulja]

Mida võiks peale hakata illegaalsete DHCP serveritega MS domeenis? Tundub et MS'l on see täiesti nõrk koht kui mitte lausa turvaauk. Authorized DHCP servereid nagu ikka on ainult üks ja domeenimasinatest keegi muu DHCP serveriks hakata ei saa. Kui enamasti need illegaalid polegi domeeni masinad ja serveerivad DHCP'd ilma mingi takistuseta. Domeenimasinad, kui IP'd küsivad, saadavad udp-68 pordist välja broadcasti udp-67 porti. Nüüd aga võib iga kaabakas vastata ja MS'i domeenimasin aktsepteerib ilusti kohe igast saasta. Tõenäoliselt oleks vaja tulemüüri igasse masinasse, kuid see tulemüür peaks lisaks olema suht spetsiifiline - ta peaks filtreerima reply pakette, lubama ainult DHCP serveri IP'lt (või MACilt) broadcastile reply pakette udp67,68 portide vahel. Ma isegi ei tea mis tulemüür seda suudaks - windowsi enda oma mitte, kasperskyte ja muude taoliste omad samuti mitte. Järgmine probleem oleks kohe selles, et sellise otstarbega tulemüüri investeering peab jääma reaalsuse piiresse (ei saa ju ainult selle eesmärgiga varustada tohutu hulk masinaid mingi üüratu kalli tarkvaraga). Teisest küljest jälle on sellise liba-DHCP serveri salaja toppimine kuhugi ju ideaalne sabotaaz näiteks konkurendi kontorisse. Olen kuulnud ka et mingitel kallimatel switchidel on selline filter täitsa olemas, kuid ka see tähendaks investeeringut (vahetada kõik switchid välja).

[Andrus Luht]

Vähegi korralikum L3 switch oskab sellist liba-dhcp-serverite liiklust piirata...

[High-Q]

oskab ka L2, aga vastavad funktsioonid peavad toetatud olema.

dhcp-snoopingut peaks ka keskmise taseme seadmed (st siiski neljakohaline summa per device) oskama.

[Andrus Luht]

DHCP Snooping on küll L2 tehnoloogia aga teevad seda ikka üsna high-end L2 switchid. Enamasti L3 pärusmaa...

[High-Q]

kas procurve 2610 on high-end switch? keskmine letihind on sellel u 6000 kr (hetkel muidugi promo tõttu, muidu vast u 20% kallim)

[Angrist]

Ainuke asi mis MS vahenditest pähe tuleb on sisse lülitada IP-Sec. A ma võin selles eksida ka, sest ma ei tea kas IPSEC lülitub sisse enne või pärast IP kättesaamist. Ja on ka paras hambaaugu ravimine rektaalse avavuse kaudu.

[vaegkuulja]

[Andrus Luht]

vaegkuulja, vabavaraline võrguswitch!? Nalja teed, eksole...
Ainuke reaalne viis ennast kaitsta liba-dhcp servude vastu on switchi vastav tarkus.
Teoorias peaks olema võimalik ka selline variant, et kui tööjaamad üksteist nägema ei pea siis ajad iga pordi eraldi VLAN'i ja õige DHCP server/tulemüür on ainus masin, mida nad kõik näevad...

[vaegkuulja]

[kännuämmelg]

[vaegkuulja]

[Nickelby]

Olen küll võrguasjades võhik, aga minu loll loogika näeks hetkel, et kui switch oskaks selle asja mis sul vaja nüüd ära piirata, suunata vms ise ära teha siis need masinad mis sellest switchist seespool on peaks turvatud olema? Või?

[kännuämmelg]

[vaegkuulja]

[Andrus Luht]

[vaegkuulja]

[kännuämmelg]

[High-Q]

imho selline softilahendus ei päästa eriti.
windows serveri NAP dhcp enforce on üks variant, aga see on vast veel kallim ja antud olukorras overkill, lisaks veel nõuaks see 802.1x toetavaid võrguseadmeid ja tulemuseks eeldatavasti sama seis.

alati on variant tööjaamale mingi tsentraalse managementiga (ja tsentraalsete policyte laialisaatmisega) antiviirus/tulemüürisoft, mis lubaks teatud portidel liikluse ainult kindla IP peale, aga eeldan, et sellise lahenduse hind jääb tublisti üle switchide soetamisele. keskmine säärane AV soft läheb maksma 3 aasta peale u 500 kr per masin, mis 24 masina puhul (võrdleme ühe switchiga) tähendaks ligi 2 korda suuremat hinnavahet võrreldes switchi põhisele turvalisuse.
Pealegi on säärane asi võimalik rakendada ainult püsivalt selles võrgus olevatele masinatele ehk lauaarvutitele, kuid sülekatele, mis mööda erinevaid võrke ringi rändavad, säärast piirangut panna ei saa.
muidugi eeliseks on iga arvuti viirusetõrje softi olemasolu, mis windows keskkonnas niivõinaa kohustuslik on.

eraldi vlan-id ei ole sugigi hea idee, sest eeldan, et ees olev ruuter ei ole teps mitte super-klassist ja kõige kolhoosi võrguliikluse ajamine läbi lihtsa layer3 ruuteri paneks tolle kergelt öeldes sussid püsti, sest ruuter on mõeldud liikluse juhtimiseks, mitte bittide transportimiseks. lisaks eeldan, et sellise arvu vlanide majandamine ja üleüldse võimalus on kaheldav.

tooks paralleeli ehitusega: kui sul ikka betoonseina auku puurida vaja, siis kasutad selleks lööktrelli. võid ju käsi- või akutrelliga nühkida, vahepeal meisli vms peksta. vb väikse tüübli jaoks võid tulemuse saavutada, aga kas asi on seda väärt?

moraal: iga töö jaoks oma tööriist.

[Andrus Luht]

High-Q, mina sain teemaalgataja jutust aru, et lisaks oma firmale elab nende eetri otsas veel n+1 tegelast. Surada need tegelased eraldi VLANidesse pole üldse paha mõte kuna ainus teenus, mida nad eeldatavasti tarbivad sealt võrgust ongi omavaheline suhtlus VLAN'i piires ja internetiteenus ning see ei koorma kuidagi rohkem netiruuterit.

[vaegkuulja]

[High-Q]

taoliste skriptide progemise hind võib kokkuvõttes hulgi kallim tulla (kui keegi just harrastuse pärast seda ei tee) kui switchi-paari soetamine.
tõesti, mitme firma situatsioonis on erinevate vlanide kasutamine vajalik (isegi põhimõtte pärast, mitte ainult turvalisuse/privaatsuse), seega see oleks prioriteet nr 1: jagada võrgud väiksemateks loogilisteks võrkudeks. sellega kaasneb üks aga: ruuter peab olema võimeline mitme vlani samaaegset ruutimist ning switchid vlani toega (või füüsiliselt täitsa eraldatud mittemanageeritavad, st igale vlanile eraldi switch ja ruuteris eraldi port, sellisel puhul pole switchile tarkust vaja).
see vähemalt säästaks teisi kasutajaid, kui keegi oma risu võrku topib ja serverit mängima hakkab.

[vaegkuulja]

[Andrus Luht]

vaegkuulja, kui sa ikka iga kliendi topid oma võrguga eraldi vlan'i siis ainus, kellele ta siga saab teha on ta ise. Kedagi teist see ei koti.

[vaegkuulja]

[Andrus Luht]