Brannmur - HELT uforståelig..!

[clokkevi]

Jeg har aldri installert en brannmur før.

 

Folk påstår det ikke er mye vedlikehold med en brannmur.

Bruker du feks. en nettleser er det bare å si fra til brannmuren at nettleseren skal få lov til å bruke port 80, så skal alt være greit.

 

Dette skjønner jeg ikke.

 

Jeg har i et år nå brukt en gratis pakkemonitor, PacketMon fra AnalogX.

http://www.analogx.com/contents/download/n...etwork/pmon.htm

 

Der kan jeg da helt tydelig se at nettleseren min absolutt ikke holder

seg til kun port 80.

 

Hvordan skulle den egentlig ha klart det?

 

La oss si jeg har 5 stk. IE-vinduer oppe samtidig,

og i 4 av dem har jeg startet en nedlastning,

det 5. vinduet bruker jeg til å browse med.

 

Hvis IE skulle ha holdt seg til port 80 for alle disse connectionene...

...ville det hvertfall ha gått 5 ganger så seint, ville det ikke?

 

Samme med FTP, som liksom skal bare bruke port 21....

Tull og tøys! Har jeg oppe 10 FlashFXP'er som overfører si 500MB hver,

så tror jeg, når alt er overført, at det ikke kan være særlig mange

av de 65536 portene som ikke har blitt brukt i løpet av denne tida!

 

 

Kan noen forklare meg dette her?

 

Hvordan kan det holde...

...å sette opp en port for IE, en port for FlashFXP osv. ???

[Legion]

http bruker port 80

ftp bruker port 20 og 21

 

men dette er da på serversiden, klientene bruker andre porter, bestemt av OSet

 

så ftp-klienten din kan f.eks bruke port 1972 og kobler seg opp til ftp-siten på port 21.

[clokkevi]

Jaha ?

 

Men jeg har jo ikke noen webserver / ftpserver -

jeg har bare IE som er en klient og FlashFXP som er en klient.

 

Jeg gjentar :

 

Hvordan kan det holde å sette opp brannmuren til at IE skal bruke port 80,

FlashFXP port 20 og 21 ?

 

Holder det ikke ?

Er det bare de andre folka som påstår at dette er alt oppsettet

man trenger å gjøre med branmuren som ikke har peiling ?

[Legion]

Jaha ?

 

Men jeg har jo ikke noen webserver / ftpserver -

jeg har bare IE som er en klient og FlashFXP som er en klient.

 

Jeg gjentar :

 

Hvordan kan det holde å sette opp brannmuren til at IE skal bruke port 80,

FlashFXP port 20 og 21 ?

 

Holder det ikke ?

Er det bare de andre folka som påstår at dette er alt oppsettet

man trenger å gjøre med branmuren som ikke har peiling ?

 

en lite misforståelse er det nok

en lar browseren og ftp-klienten bruke de portene som de blir gitt, mens en godt kan spesifisere til brannmuren til at de bare får bruke de dedikerte portene som endpoints.

[clokkevi]

Endelig!!!

 

Tusen takk skal du ha !!! :smile:

 

Jeg krangler med noen folk på noen andre forum,

men ingen har foreløpig nevnt noe om endpoints

 

Kan du forklare hvordan det virker

- eller henvise meg til en bra side ?

 

Vær oppmerksom på at jeg kan omtrent 0 og niks

om TCP/IP protokollen, jeg bare har sett i pakkemonitoren

hvordan disse max 1500 bytes pakkene blir sendt mellom PCen min

og den andre maskinen.

 

Jeg ser også nå at de websidene jeg kobler meg til,

faktisk kun virkelig sender fra - port 80.

Beklager !!

 

Så det er FTP jeg mener.

Jeg kobler meg til en del FTPer som privatpersoner har satt opp,

og de er ofte satt opp til å kontaktes via port 2003, 1212 - hva som helst.

 

Det er feks. en som skal kontaktes på port 65251, som jeg sjekket nå.

 

Først så "snakket" de sammen, og da brukte serveren port 65251,

og min PC brukte port 3490.

Dette brukte de mens FlashFXP logget meg på, mens FTP-serveren sendte

directory-lista. Men så :

 

Når jeg bladde meg inn i en av mappene, begynte min PC og sende fra

port 3491. OK, greit nok, min "neste ledige" port, antar jeg.

Det merkelige er at pakkene fra min port 3491 ble sendt til FTP-serverens port 1033 !

 

Så - like etter på - sendte min PC nok en gang pakker fra port 3490

- til FTP-serverens port 65251

 

Og sånn fortsatte det.

 

Så fant jeg en 15MB fil jeg startet å laste ned. Og enda en.

 

Slik var kommunikasjonen :

 

Min PC : 3526 <---------> FTP server : 1072 (Her ble fil 1 ble overført)

Min PC : 3490 <---------> FTP server : 65251 (Her snakket de sammen)

Min PC : 3548 <---------> FTP server : 1073 (Her ble fil 2 ble overført)

Min PC : 3490 <---------> FTP server : 65251 (Her snakket de sammen)

 

Så *her* er det hvertfall sikkert at det webserveren bruker mer enn

bare den ene porten 65251.

 

Er dette et eksempel på dette med endpoints som du nevnte ?

 

Og - viktigst av alt - siden jeg bruker FTP veldig mye -

 

Ville det ha holdt å sette opp branmuren til å la FlashFXP snakke med

port 65251 - som her liksom var endpointet -

og så ville

Min PC : 3526 <---------> FTP server : 1072

og

Min PC : 3548 <---------> FTP server : 1073

kommunikasjonen også bli tillatt ?

 

Eller er jeg helt på jordet ?

[IceCool]

Finn en firewall som har "easy mode", alle programmene dine som er på PC'n er listet nedover og bare marker de som brukes på internett så åpnes og lukkes porter alt etter hvilket program du kjører.

[Legion]

la meg først si at endpoint er et ord jeg brukte der og da i mangel på et bedre lekmannsord bare så det er sagt.

 

FTP

 

en ftp-server vil "normalt" bruke port 21 til kontrolforbindelse(ftp porten), men en kan konfigurere frp-serveren til å bruke hvilken port som helst. dette er en normal måte å "skjule" ftp-serveren på. kontrolforbindelsen brukes bare til å overføre meldinger mellom klient og server og er oppe så lenge man bruker ftp-serveren. normalt er det også for ftp-serveren å bruke port 20 til å overføre data med, men dette kan også konfigureres, da ved bruk av passive porter(hvis jeg ikke tar helt feil her). for mer om ftp så les RFC 959.

 

når det gjelder hvordan du skal konfigurere brannmuren din så vil det være greiest om du bare lot ftp-klienten din bruke de portene den vil. det vil ikke skape noe trøbbel siden klienten ikke lytter på noen porter aktivt mens den kjøres, så ingen kan bryte brannmuren den veien.

 

sist, men ikke minst; du trenger ikke å rope.

[Langbein]

Der kan jeg da helt tydelig se at nettleseren min absolutt ikke holder

seg til kun port 80.

 

Hvordan skulle den egentlig ha klart det?

 

La oss si jeg har 5 stk. IE-vinduer oppe samtidig,

og i 4 av dem har jeg startet en nedlastning,

det 5. vinduet bruker jeg til å browse med.

 

Hvis IE skulle ha holdt seg til port 80 for alle disse connectionene...

...ville det hvertfall ha gått 5 ganger så seint, ville det ikke?

Som tidligere nevnt må du altså skille mellom klient og server. Servere lytter på en fast port (dette er nødvendig, ellers ville jo ikke klienten vite hva den skulle koble seg til), mens klienten kan bruke vilkårlige porter.

 

En port kan sammenliknes med frekvenser på radioen. Hadde man bare hatt ip-adresser på maskinene kunne de bare tilby én tjeneste hver. Men med et portnummer (16-bit) i tillegg tilbys multipleksing slik at en tjenermaskin kan tilby teoretisk sett opptil 65535 forskjellige tjenester på én ip-addresse. Men det er en viktig ting å huske på - i motsetning til radio hvor man kan sende uavhengige parallelle sendinger på ulike frekvenser, benyttes pakkesvitjing på internett. Dvs. at datapakker flettes sammen på én fysisk linje, med det resultat at de selvsagt deler kapasiteten. Du oppnår dermed ikke noe høyere overføringshastighet ved å bruke flere porter. Alle deler den samme båndbredde

[clokkevi]

Nok en gang : Tusen hjertelig takk !! :smile:

 

Nå begynner jeg å skjønne litt av hva som skjer, ja..

 

Men det betyr at siden jeg ikke har noen servere

som lytter til innkommende trafikk

 

(unttatt noen lisens-servere, og de lytter vel bare etter

..anrop? fra min egen maskin, gjør de ikke?)

[Redigert] Aha - de kan selvfølgelig lytte også etter forespørsler fra

internettet - hvis jeg f.eks hadde en lisens ekstra, og jeg ville

at en maskin i Japan skulle få bruke den, så kunne jeg det.

Men de er alle satt opp til ikke å lytte til annet enn localhost.[/Redigertt]

 

- så skal jeg sette opp alle mine klienter til å kunne bruke alle

porter de vil da, eller?

Siden de bare er klienter - og dermed ikke lytter?

 

I så fall hadde jeg mye rett alikevel i den krangelen jeg snakket om;

http://itavisen.no/forum/read.php?f=2&i=3049&t=3029

(det er jeg som er "Engstelig" og senere "Paranoid")

 

Da gjenstår spørsmålet:

 

Hvilken nytte har jeg da, uten en eneste service å tilby internettet,

av en brannmur?

 

Jeg tror hvertfall ikke at jeg har noen tjenester -

jeg har skrudd av "Deling av filer og skrivere"

- og når jeg kjører Security Scan'en fra Symantec;

http://security.symantec.com/sscv6/sc_scan.asp

er alt grønt, skjult for omverdenen, unntatt "Ping".