Er NAT bra som brannmur?

[hemo]

Om ruteren stenger for all inngåande trafikk, og ikkje har nokon IP-forwarding (utanifrå og inn), er det då mogeleg å nå ein PC som står på innsida av ein NAT (med 192.168.*.*-adresse)?

 

Er det visse forutsettingar her, lixom? Som at TCP/IP må ver einaste protokoll, eller sånn?

[XtraPlay]

Nei det skal ikke være mulig,

riktignok kan det være mulig hvis maskinen på innsiden kjører en trojan eller lignede....

[Eloquence]

Nei det skal ikke være mulig,

riktignok kan det være mulig hvis maskinen på innsiden kjører en trojan eller lignede....

 

Hva slags trojan skulle det være? En som logger seg på ruteren din og modifiserer NAT-tabellen din så trafikk kan komme inn? Er det stengt, er det stengt. Men NAT er ingen brannmur, alt mulig slags drit kan jo komme inn på port 80 eller 110 eller whatever. Hvis du stenger for ALL inngående trafikk er det jo lite vits i å ha en pc på nettet...

 

E

[Eloquence]

Om ruteren stenger for all inngåande trafikk, og ikkje har nokon IP-forwarding (utanifrå og inn), er det då mogeleg å nå ein PC som står på innsida av ein NAT (med 192.168.*.*-adresse)?

 

Er det visse forutsettingar her, lixom? Som at TCP/IP må ver einaste protokoll, eller sånn?

 

Det er alltid MULIG å nå en pc på innsida av NAT, men da må du hacke routeren/NAT-enheten. Så lenge du ikke har noen IP-forwarding i det hele tatt (ikke engang for ICMP), skal det ikke være mulig å nå pc'en på "vanlig" vis. Men vær obs på at dynamisk NAT-forwarding til HTTP og andre porter også må være av da.

 

E

[Bytex]

Men hvis du skal stenge for all ut/inngående trafikk er det jo ikke mye vits å ha PC'n online i det hele tatt. Får jo ikke gjort noen verdens ting

[Eloquence]

Men hvis du skal stenge for all ut/inngående trafikk er det jo ikke mye vits å ha PC'n online i det hele tatt. Får jo ikke gjort noen verdens ting

 

Sa forsåvidt det i det nest siste innlegget. Nå måtte jeg bare påpeke det, sånn at jeg får postet post nummer 100...

 

E

[Zenit]

Nei det skal ikke være mulig,

riktignok kan det være mulig hvis maskinen på innsiden kjører en trojan eller lignede....

 

Hva slags trojan skulle det være? En som logger seg på ruteren din og modifiserer NAT-tabellen din så trafikk kan komme inn? Er det stengt, er det stengt. Men NAT er ingen brannmur, alt mulig slags drit kan jo komme inn på port 80 eller 110 eller whatever. Hvis du stenger for ALL inngående trafikk er det jo lite vits i å ha en pc på nettet...

 

E

 

En trojan som selv "ringer ut" og oppretter en forbindelse mot én ( el. flere ) bestemte IP'er med jevne mellomrom. Er det ingen brannmur med regler for utgående trafikk vil det være mulig å kompromittere en slik maskin. Den opprinnelige posteren nevnte at han ikke skulle bruke portforwarding, ergo kan man se bort i fra at port 80 og 110 er åpnet. Viktig å skille her mellom porter man selv kobler seg mot, og porter man foretar oppkoblinger fra.

[hemo]

Argh... hold fokus no då, folkens. Ik kons på postingstal :-(

 

Ruteren slepp sjølvsagt gjønom trafikk frå LAN-sida men har følgande to val for Internet Security:

 

1: Provides maximum security

Enables Level 2 security, and all Ping and Traceroute requests are

blocked.

 

2: Provides standard security

Web, FTP, Telnet and TFTP traffic are blocked from the WAN to the LAN.

 

Og då spør eg: Om datamaskina på innsida er virus- og trojanfri, er dei då trygge mot hackere, osb?

 

Tenk deg då at maskina berre køyre TCP/IP (spelar dette ei rolle?) og har tetta alle kjente hull med Windows- og Office Update.

[eiga]

Og då spør eg: Om datamaskina på innsida er virus- og trojanfri, er dei då trygge mot hackere, osb?

 

Tenk deg då at maskina berre køyre TCP/IP (spelar dette ei rolle?) og har tetta alle kjente hull med Windows- og Office Update.

 

Ja, den er sikker, men hva er egentlig sikkert?

 

Har routeren mulighet for fjernadministrasjon, så deaktiverer den funksjonen(standard).

 

Kjør en SW firewall på maskinen som kontrollerer hva som skal ha tilgang til nett, og du er tilnærmet 100% sikret.

 

Gjør du noe mer enn disse tiltakene(+ de du har), kan det begynne å bli overdrevet sikkert...og da...Hva har du egentlig å skjule? :wink:

[Navidi]

Om ruteren stenger for all inngåande trafikk, og ikkje har nokon IP-forwarding (utanifrå og inn), er det då mogeleg å nå ein PC som står på innsida av ein NAT (med 192.168.*.*-adresse)?  

 

Er det visse forutsettingar her, lixom? Som at TCP/IP må ver einaste protokoll, eller sånn?

 

 

Kommer vel an på hvilken router du har. Flere av de billigste routerne har vel en viss tenedens til å gå i kne hvis de blir utsatt for kraftige angrep.

[hemo]

Så med kraftige anngrep og billige rutere (f.eks. ZyXEL?), så vil ruteren gå i kneståande og det blir i realiteten eit DOS-angrep?

 

Ein brannmur kan jo også få for mykje arbeid og gå i kne, så det var vel heller det med innbrudd og sånn, ja...

 

Mottoet er: Dine filer er trygg bak NAT!

 

Nat er min venn...

 

(8)vil du verra med meg hjem (8) i natt (8)...