Liten linje på LAN, sperre porter?

[Gozarpz]

Hei!

 

Denne helgen skal jeg arrangere et LAN på ungdomshuset hvor jeg bor.

Har skaffet ca 4Mb linje fra en lokal bredbåndslevrandør, og har plass til ca 40-50 personer.

 

Problemet er at vi kommer til å oppleve at en eller flere stikker av med hele båndbredden med p2p prog og bittorrent mm.

 

Kjører Clarkconnect på ei maskin som skal route internetten.

 

Det jeg tenkte jeg skulle gjøre var å sperre ALLE porter, for så å åpne de nødvendige. Det ville jo vert det beste, for de fleste nedlastningsprogrammer har jo ofte "random" port. Men de programmene som bruker port 80 slipper vi jo ikke unna.

 

Noen som vet om en komando for å sperre alle porter "by default" så jeg kan opne de nødvendige? Hva med den innebygde brannmuren? Lar det seg gjøre med den?

Har drevet med linux ei stund og skulle være litt kjent med det...

[ExTerminator]

Har brukt Clark før, men husker ikke helt hvordan brannmuren fungerte der.

Kan du lage regler, så er det jo bare og lage en som sier DENY ALL.

 

For øyeblikket bruker jeg Astaro Security Linux, som forøvrig er gratis.

Med Astaro kan du luke ut hva som helst av porter/services, men trengs litt tid og kunnskap til og sette opp.

[graiggen]

Som ExTerminator sier, tror jeg det er DENY ALL. DENY ALL har vel samme effekt som block all i PF (pakkefilteret til OpenBSD), som blokkerer all trafikk untatt den som er definert som 'lovlig' i reglene. Hvis du ikke finner ut av det, kan du ha en liten varemerke/software-basert brannmur som filtrerer trafikken fra LAN-segmentet før den når routeren. På den måten minsker du også load for routeren.

 

Lykke til med LANet!

[Gozarpz]

Det er bare det at det er ikke noen plass en kan sette regler for lovlig.... Bare ulovlig.

 

Ikke noe jeg kan skrive i shell heller da?

[ExTerminator]

Jepp, Clark tillater all trafikk ut av nettverket, og har ingen mulighet til og begrense dette.

Kansje med 3rd party modules..

 

Men test Astaro, det er en MYE bedre distro enn Clark

[Gozarpz]

Hmm. Ja vurderer å bytte, men det er bare at nå har vi nettopp fått alt til å fungere. Vi har satt opp gallery med bilder fra forrige LAN, hostnames, og det eneste som hindrer oss her er at den ikke har DENY ALL...

 

Men den har jo iptables, går det ikke an å gjøre noe med den da? Eller laste ned et enkelt firewallprog til den?

 

Men det kan hende vi går over til en annen distro, eller så kan jeg jo sette opp ei maskin til med Astaro, hvis det er å anbefale?

Krever det mye maskinvare? Har bare noen eldre maskiner igjen her.

[paulsen]

Bygg sammen en maskin (trenger ikke å være så rask) med to nettverkskort, installer FreeBSD 5.3 og så bruker du PF (pakkefilter) med ALTQ (båndbredde-shaping).

 

Så logger du på EFNet og spør #FreeBSD.no om hjelp til å sette opp ALTQ.

 

[ExTerminator]

Hardware kalkulatoren på www.astaro.com/kb sier dette om 50 brukere:

 

Calculated hardware requirements - all seclected options used by every user everytime:

CPU: 400 MHz

RAM: 256 MB

HDD: 8 GB IDE or SCSI HDD

NIC: at least 2

 

Så du trenger ikke allverden til hardware

EDIT: Dette var uten noen proxyer da, siden du vil bruke CC til dette.

Endret 10. mai 2005 av ExTerminator

[aarmo]

Hei

 

Hvilken versjon av CC kjører du?

 

Jeg bruker selv CC hjemme og ved LAN jeg arangerer. Du har mulighet til båndbredde begrensning på IPer og porter.

 

Jeg har også mulgihet for å sperre all utgående trafikk fra nettverket mitt.

Dette ligger under Nettverk--->Brannmur--->Advance.

 

Tror det har kommet en addon til CC 3.0 som lar deg bestemme hvor mye av linja etc p2p programmene skal bruke etc.

[Gozarpz]

aarmo: Har Home 3.0, Har sett litt på Advanced der, men det står ikke noe om outgoing allow, så hvordan skal jeg velge hva jeg ikke vil sperre, når jeg sperrer alle?

 

paulsen: Mulig jeg kan prøve det.... Krever ikke så mye maskinvare det?

 

ExTerminator: Hmm, den maskina som jeg kjører CC på nå er p3 500MHz 320MB ram og ca 10 GB disk, så jeg får prøve det, men ikke før neste LAN.

[graiggen]

aarmo: Har Home 3.0, Har sett litt på Advanced der, men det står ikke noe om outgoing allow, så hvordan skal jeg velge hva jeg ikke vil sperre, når jeg sperrer alle?

 

paulsen: Mulig jeg kan prøve det.... Krever ikke så mye maskinvare det?

 

ExTerminator: Hmm, den maskina som jeg kjører CC på nå er p3 500MHz 320MB ram og ca 10 GB disk, så jeg får prøve det, men ikke før neste LAN.

Du blokkerer all utgående trafikk, untatt det du tillater i konfigurasjonen.

 

Angående Free/OpenBSD-brannmur/router med AltQ: Dere trenger ikke stort til maskinvare. Noe på nivå med det dere har nå burde holde, så lenge det ikke blir høy trafikk, da AltQ krever en del CPU.

 

http://www.bgnett.no/~peter/pf/no/

En meget god introduksjon til PF.

 

http://cvs.openbsd.org/faq/pf/index.html

Den offisielle PF-guiden.

 

Se også på dokumentasjonen til PF, her.

[Gozarpz]

aarmo: Har Home 3.0, Har sett litt på Advanced der, men det står ikke noe om outgoing allow, så hvordan skal jeg velge hva jeg ikke vil sperre, når jeg sperrer alle?

 

paulsen: Mulig jeg kan prøve det.... Krever ikke så mye maskinvare det?

 

ExTerminator: Hmm, den maskina som jeg kjører CC på nå er p3 500MHz 320MB ram og ca 10 GB disk, så jeg får prøve det, men ikke før neste LAN.

Du blokkerer all utgående trafikk, untatt det du tillater i konfigurasjonen.

 

Angående Free/OpenBSD-brannmur/router med AltQ: Dere trenger ikke stort til maskinvare. Noe på nivå med det dere har nå burde holde, så lenge det ikke blir høy trafikk, da AltQ krever en del CPU.

 

http://www.bgnett.no/~peter/pf/no/

En meget god introduksjon til PF.

 

http://cvs.openbsd.org/faq/pf/index.html

Den offisielle PF-guiden.

 

Se også på dokumentasjonen til PF, her.

Det er bare det at det er ikke mulig å tillate, bare blokkere. Det går an å sette outgoing block, men ikke outgoing allow.

 

Takk for linkene, skal teste det ut.

 

Er ikke sikkert jeg får til dette til fredag. Noen ideer om hvordan vi kan hindre personer i å bruke opp båndbredden til nedlastning?

[Killer_DT]

For øyeblikket bruker jeg Astaro Security Linux, som forøvrig er gratis.

Med Astaro kan du luke ut hva som helst av porter/services, men trengs litt tid og kunnskap til og sette opp.

Er den gratis? Mulig jeg tar feil men dette står på sidene deres: "Astaro Security Linux for your FREE evaluation today!"

"US$290 for a 10-user license."

 

http://www.astaro.com/firewall_network_sec.../security_facts

 

Jeg kjører CC nå og syns Astaro virker meget interessant.

[ExTerminator]

For øyeblikket bruker jeg Astaro Security Linux, som forøvrig er gratis.

Med Astaro kan du luke ut hva som helst av porter/services, men trengs litt tid og kunnskap til og sette opp.

Er den gratis? Mulig jeg tar feil men dette står på sidene deres: "Astaro Security Linux for your FREE evaluation today!"

"US$290 for a 10-user license."

 

http://www.astaro.com/firewall_network_sec.../security_facts

 

Jeg kjører CC nå og syns Astaro virker meget interessant.

Den er gratis for hjemmebrukere:

 

Private home users can register via MyAstaro to request a free home use license. You will then receive a License Key which you can enter into WebAdmin which will allow you to use Astaro Security Linux for your home network.

 

http://www.astaro.com/firewall_network_sec...ecurity_license

[Killer_DT]

Nice!

Nå har jeg ordnet meg med lisensfil og skal installere softwaren til helgen.

[xzibiz]

Bruker cc eg og.. hadde den som brannmur og router på lan.. hadde 10Mbit internett gjekk heilt fint..

Bruker bare iptables http://www.linuxguiden.no/index.php/Netfilter_(eksempel) ein fin guide...

Kan også bruke webconfig til å blokke og opne porter til bestemte ip-addresser.. Og sette hastighetsbegrensninger for alle sånn at ingen kan bruke heile linja..

Lurt å sette denne på 512 eller 1000kbit.. Det hadde eg, men som sakt så hadde me ei linje på 10Mbit...