Re: lug-bg: Samba security

[zezo@xxxxxxx (Cvetan Ivanov)]

Hi,

 risk da se povtorq, i ne samo sebe si - 

za takiva sluchai ima 2 varianta:

1) slaga se nqkuv access control. ne nam kvo e polojenieto sus sambata,
no tova po red prichini e malko po-kofti variant.

2) slaga se filter na border routera. radikalniq podhod e da se zabrani
vsichko, i sled tova da se razreshi samo kakvoto trqbva. po-malko
radikalniq podhod e da se zabrani samo kakvoto trqbva

3) kombinaciq ot 1 i 2 ... a, i ne e hubavo chovek da ima kvito i da e
uslugi bez parola vidimi ot mrejata (osven tiq deto trqbva da se vijdat
de, kato smtp, www i ftp :), a osven tova ne e hubavo da ima izlishni
servici, koito ne se polzvat - a RH i slackware obichat da puskat mnogo
takiva - shitove kato lpd, nfs, time, finger, telnet,pop3, imap i mnogo,
mnogo drugi (ako nqkoj se interesuva, moje da drasna nqkolko reda kakvo
se pravi vednaga sled instalaciqta na mashina, koqto shte se vijda ot
mrejata, vupreki che takiva pisaniq ima MNOGO)

neka nqkoj me popravi ako burkam ( ne polzvam windows), no raznite
windows protokoli hodqt na portove 137-139, kakto TCP, taka i UDP, a ako
ima NT mashini ne e losho da se filtrira i 135

v rezultat se poluchava neshto podobno:

ipfwadm -I -a deny -W ppp0 -P UDP -D0/0 135 137:139 
ipfwadm -I -a deny -W ppp0 -P TCP -D0/0 135 137:139

ili s ipchains

ipchains -A input -i ppp0 -p udp --dport 137:139 -j DENY
ipchains -A input -i ppp0 -p tcp --dport 137:139 -j DENY

.....

i tova e ako mashinata sus sambata e i router (ppp0 e kum providera),
kakuvto chesto e sluchaq

ako routera e otdelen pravilata moje da se prilojat i na forward etapa,
a moje da se izmislqt i po-inteligentni resheniq (ot tipa enable SMB for
LAN, disable elsewhere)

zezo

mano wrote:

> 212.124.68.97 to: 212.124.68.102.
> Tova e moiata mreja i shte vidite kakvo shte stane. Shte imate vyzmojnost da si mapnete
> network drive.
> Ta vyprosyt mi e moje li tova da se izbegne po niakykyv nachin i ako moje kak ?
> Ako mislite da mi otgovorite taka "Ami shareni si ustroistvata s paroli ili samo kato read
> onli po-dobre ne pishete zashtoto tova go znam.
> 
> 10x mano
> 
> ==================================================================
> A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers)
==================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers)