Bruke feil default gateway for å sikkre pc

[EinarO]

Eksempel:

 

Nettverk med 10 pcer, switch og en ADSL router som tildeler IP via DHCP. 3 av pcene skal ikke ha internett tilgang, men må kunne nåes fra de andre pc'ene som har internett tilgang. Kan en da sette opp disse 3 med fast IP (en range som ikke DHCP bruker i samme subnet) og utelate default gateway? Eventuellt en feil default gateway? Vil dette sikkre mot de fleste "angrep" eller vil en annen virus infisert pc kunne angripe via lokalnettet? Forslag? Ikke antivirus eller firewall på de tre pcene uten internett adgang.

 

Einar O

[nomore]

Dersom du setter "feil" gateway på en maskin, vil ikke denne kunne komme seg på internett(da den ikke har rett gateway). Men siden de har ip-adresser i samme "nett", vil det fortsatt være kommunikasjon, og virus/spyware som sprer seg på et lokalnett vil også påvirke disse maskinene.

[Zerge]

Hvis du setter statiske ip'r innen samme subnet som de resterende maskinene, men utelater default gateway, så vil du utelukke risikoen for at maskinene blir direkte angrepet. Du vil derimot ikke være sikret for at maskinene kan bli angrepet indirekte gjennom noen av de resterende maskinene som har internett tilgang.

[EinarO]

En slik indirekte "smitte", hvor stor er denne trusselen? Sikkert vanskelig å svare på, men jeg har ingen erfaring fra virus rensing og hvilke trussler som er reelle. Hvis det er antivirus på de pcer som har internett, vil vel dette stoppe det meste. Av det som ikke blir stoppet, vil vel et fåtall trussler gå mot andre maskiner i lokalnett?

 

Liker ikke antivirus programmer.

 

Einar O

Endret 1. mars 2006 av EinarO

[Zerge]

Da må jeg nesten få spørre deg om hvorfor du ikke liker anti-virus programmer?

Hvis det er pga. dårlige erfaringer med slike programmer bør du heller prøve ut

andre leverandører istedenfor å avskrive de helt.

Anti-virus og brannvegger er helt nødvendige i dagens "Internett-verden"

 

Slike indirekte trusler vil jeg ikke karakterisere som så veldig farlig for den vanlige hjemmebruker. Hvis det derimot er kritiske tjenester som kjøres og som vil ta stor skade av evt. kompromitering av maskiner, ville jeg heller sett på mer kraftige løsninger.

 

For de av oss som husker Nimda, så vil noe lignende f. eks. kunne slå ut kraftig på hjemmenettverket ditt. Jeg vil uansett råde deg til å installere anti-virus på alle maskiner, og i alle fall brannvegger på de maskinene som er koblet mot Internett.

 

En annen løsning som du kan velge er jo også å sette statiske ip'r på alle maskinene.

Hvis maskinene kjører en Windows 2000 eller nyere kan du sette alias også.

På den måten kan du gi 2 ip'r til de maskinene som skal kobles mot internett.

F. eks. 192.168.0.0/24 mot router, og 10.0.0.0/24 internt.

[buskmann]

Å opprette en TCP-forbindelse er en prosess som involverer litt REQ og litt ACK. Slik at informasjon må gå to veier. Hvis informasjon bare kan gå én vei, så tror jeg ikke at det vil fungere.

 

Kan hende det vil fungere med UDP, den har jeg ikke oversikt over.

 

Jeg har aldri prøvd dette i praksis, så jeg er mulignes på tynn is her.

[xcomiii]

Hvorfor ikke innstallere en SW brannmur på de 3 maskinene, og heller sperre for internett og åpne for LAN? Eller bruke Surfpass?