Bloqueio de compartilhamento de arquivos

[ezefeo]

Bom dia Pessoal,

Não estou conseguindo bloquear compartilhamento de arquivo na minha rede interna.

fui no interzone firewall e removi as regras padrões do Endiam (que liberam de ZONA VERDE para ZONA VERDE o compartilhamento) mas não deu certo, então criei uma regra assim:

de: verde

---

para: verde = DENY

Mas ainda assim o compartilhamento de arquivos esta liberado. e no firewall de saída não existe nenhuma porta liberando as portas TCP 137,138,139 e 445…

o que pode ser?

[hernaneac]

vc tem 2 zonas no endian? tipo verde e azul ou uma DMZ? isso só funciona tendo mais de uma rede e vc bloqueia entre redes, de verde pra verde não vai funcionar mesmo

[ezefeo]

Humm, certo, eu não tenho outra rede é só a Green Mesmo, só que pensa comigo Hernane

são cerca de 60 computadores de proprietarios diferentes (lojas) tem uma loja que tem 3 maquinas e teve que abrir o compartilhamento para compartilhar arquivos e etc.. entre os 3 computadores dele, ele acaba compartilhando com todo mundo então?

não existe uma forma que eu bloqueie esse compartilhamento?

[hernaneac]

Firewall do windows ou permissão de grupos de windows/AD, se estão na mesma rede (Green) esse tráfego nem vai passar pelo endian.

[ezefeo]

que pena, queria bloquear isso, mas pelo jeito vai ser manual via windows mesmo.

Obrigado Hernane..

[hernaneac]

Por nada

[ezefeo]

Pessoal, um colega disse que posso fazer isso criando uma VLAN para cada usuário, só não sei como faço isso, é possivel?

[jabinha]

Sim. só que tem limite de placas, apenas 4 interfaces.

Agora bloquear o compartilhamento pela GREE, nunca testei .

você já tentou ir em firewall de saida de trafego e bloquear as porta necessarias

como as TCP 137,138,139 e 445.

lembrando de colocar elas como primeiro.

em acesso , não remover as conexões, apenas marcar como rejeitar.

Agora afirmo sim , monta um servidor e implementando o isa server, vai funcionar.

[ezefeo]

Ja tentei sim Jabinha no interzone firewall, porém não tinha pensado que como elas estão na mesma faixa de ips, elas vão se conversar sem nem passar pelo endian como disse nosso amigo Hernane, queria poder bloquear o trafego da zona BLUE criando 1 rede virtual com ip diferente para cada cliente, são 60 clientes, computador em uma wireless que NÃO podem se conversar entre eles, porém todos devem ter acesso a um servidor de banco de dados (que esta na rede GREEN), vi uma opção em network>intarfaces>Vlans, mas não sei como usar preciso configurar 60 faixas de ips diferentes (uma para cada cliente na rede Blue) e que eles continuem acessando o servidor de banco da rede GREEN, não sei como devo usar a opção VLAN e ROUTING.

Alguém consegue me ajudar?

Abraços

[jabinha]

Olha, não seria a melhor solução, pois o Efw vai te dar 4 interface – > vai depender de como você vai montar a sua estrutura, Recomento colocar a quantidades de switchs equivalente a quantidades de portas, os switchs deverão ser gerenciavel com as opções vlans privadas.

pois o que você que, são vlnas privadas, 60 estações ninguem pode falar com ninguem, só com determinados servidores.

Agora se você montar grupo de usuários, vai sair mas barato, mas para o endian, no maximo 4.

Expl,

Vlan 1 range 192.168.0.0/24

Ate 192.168.1.0/24

Vlan 2 192.168.2.0/24

Ate 192.168.3.0/24

Vlan 3 192.168.4.0/24

Ate 192.168.5.0/24

Vlan 4 192.168.6.0/24

Ate 192.168.7.0/24

Rota default Efw – 192.168.254.254/24

geralmente só quem usa essa topologia de vlans privadas são os provedores de internet.

eOs 3com tem o custo bem melhores.

Agora, você deveria montar um projetinho para não se perder, pois não é só fazer vlans, mas sim as rotas de quem tem autorização para acessar – se o pc 1 acessa server 1 mas não acessa os outros servers, se o pc2 acessa o server 5,6,7 mas não acessa o 1,2,3,4 e assim continua.

Perguntas;

Os acesso dos clientes é pelo compartilhamento de Arquivos Microsoft ?

Os clientes não acessa compartilhamento de arquivos, apenas um software que exige um client ?

Os clientes acessa o sistema via intranet, mas o servidor esta ma mesma rede?

Os clientes acessa os aruivos em uma pasta virtual, mas o servidor se encontra na mesma rede?

Os clientes acessa um servidor de arquivos Microsoft ?

Os clientes podem trafegar em grupos ?

Os clientes podem estar no mesmo grupo?

E outas assim.

Lembrando que

qual quer duvida, estou ai para ajudar.

[ezefeo]

Obrigado Pelo Retorno Jabinha, e desculpe a demora,

todas as 60 maquinas não devem ter compartilhamento aberto entre elas, a unica coisa que elas prescisam é acesso da rede BLUE(192.168.254.254) pra rede GREEN (192.168.1.254) para um servidor cujo o ip é 192.168.1.1, pela porta 3306 (MySQL) nenhum dos 60 clientes(rede BLUE) devera acessar uns as maquinas dos outros.

E as suas perguntas:

Perguntas;

Os acesso dos clientes é pelo compartilhamento de Arquivos Microsoft ?

não eles não prescisam acessar o compartilhamento de arquivos em lugar nenhum.

Os clientes não acessa compartilhamento de arquivos, apenas um software que exige um client ?

eles só prescisam acesso a um server de banco que esta na rede GREEN.

Os clientes acessa o sistema via intranet, mas o servidor esta ma mesma rede?

não é intranet só prescisam acessar o banco de dados que é o mesmo pra todos.

Os clientes acessa os aruivos em uma pasta virtual, mas o servidor se encontra na mesma rede?

eles não acessam arquivos.

Os clientes acessa um servidor de arquivos Microsoft ?

não, é um server 2008 com MySQL,

Os clientes podem trafegar em grupos ?

não entendi essa pergunta

Os clientes podem estar no mesmo grupo?

também não entendi essa.

Espero ter conseguido te passar uma idéia melhor do cenario, desculpe se respondi alguma comisa errada ou não soube responder.

eu pensei em configurar o DHCP pra cada MAC um ip diferente e depois configurar as rotas, isso não funcionaria???

[jabinha]

ezefeo

Vou montar um mapa de infra para você de acordo com as perguntas, ja sei como resolver.

ficando pronto o projeto te mando.

qual quer duvida acessa <removido pela moderação>.

vlw

[jabinha]

ezefeo

Você tem controlador de Domain?

[ezefeo]

Não tenho controlador de dominio… é cada uma das 60 maquinas são de clientes diferentes(é um shopping), por isso não posso colocar dominio, pois não tenho contato com o computador da loja, tenho que resolver tudo pelo Endian mesmo, e a rede ficar aberta assim como esta, é um problema (vírus, etc..) sem contar que tem uns que fazer sacanagem mandando imprimir em uma impressora de outro quando a mesma é compartilha, isso entre outros diversos problemas,

alguém me da uma luz…

Abraço

[ezefeo]

pessoal, não existe como???

[Eduardo Silva]

ezefeo,

Simplesmente através do endian você não vai ter como fazer este isolamento, pois o tráfego entre estações é direto entre os clientes e não passa pelo firewall.

Ou você coloca um switch gerenciado que permita realizar este isolamento, ou você pode orientar os seus clientes a utilizarem o firewall ativado ou um router (com ou sem wireless) para cada cliente que queira se isolar do resto da rede. (pode ser aqueles routerzinhos baratinhos de 4 portas mesmo).

Isto já seria o suficiente para isolar o cliente do resto da rede.

[]’s

[ezefeo]

Pois é Eduardo é como o Hernane já havia me comentado acima… na rede wireless eu tenho um RFS6000 Wireless Router da Motorola, mas apesar de ser uma ótima solução wireless parece que não tenho como fazer esse bloqueio, vou ter que me conformar com esse problema e passar essa responsabilidade de proteção local pro proprietário da maquina mesmo…

Obrigado pela resposta.

Abraços

[samuel]

Ezefeo vc gerencia a rede desse shopping?? vc tem permissao de aplicar politicas e regras de acordo com sua função ai dentro? se sim, pelo endian voce nao vai conseguir fazer isso msmo. o mais ideial seria realizar as vlan’s ou vc instala um controlador de dominio master e em cada loja ter um dominio filho, e aplicar todas as regras por GPO, isso funciona 100%.. so uma duvida que eu tive

vc usa o endian para gerenciar o trafego das lojas certo? cada loja tem um link de internet independente? ou o shopping tem 1 link full que é distribuido para as demais lojas?

vlw

[ezefeo]

Olá Samuel,

Eu gerencio a rede wireless (RFS6000 da Motorola) e o Endian, o link de internet de de 2 mb full que é distribuído entre as 60 lojas, eu tenho acesso a tudo que for necessário até mesmo a maquina do lojista, porém o que eu NÃO quero é ter que passar de loja em loja bloqueando o trafego na maquina local, pois depois é feita uma formatação e vai acabar desprotegida novamente, e o problema vai ser resolvido apenas temporariamente, ouvi falar que posso fazer por VLAN, mas como faço??? faixas de ips diferentes nas lojas??

Não faço a minima idéia de como isso funciona, o que sei é que no Wireless Swith (RFS6000) eu não consigo fazer esse bloqueio… mas sei que posso criar VLAN tanto pelo Endian como pelo Wireless Switch, mas não sei como é isso….

[birapn]

<editado pela moderação>

[Eduardo Silva]

birapn,

Lamento, mas achei necessário editar o seu post.

[]’s

[Autor]

Posts