Dotaz: Jak zabránit přístupu na Sambu z internetu?

[Petr]

Mám síť se serverem kde běží Samba se společným úložištěm dat s přístupem pro každého bez omezení. Síť je připojena do internetu routerem Edimax síťovým kabelem do sítě poskytovatele internetu. Potřebuji nějak zamezit přístup na Sambu z internetu ale nijak neomezit práva ve vnitřní síti.

Jako první mě napadl firewall ale na routeru jsem nenašel kde zakázat porty 137,138,139 a 445 které jsem dohledal jako porty pro Sambu a taky netuším jestli by to stačilo. Mohl by mě někdo nakopnout nějakým použitelným směrem pokud možno v češtině.

Odpovědi

[Petr Šobáň]

Pokud nemáte na PC nějaké služby které potřebujete používat z internetu zablokujte všechno.

Určitě to ten router umí - jednoduché firewaly jsou snad ve všech routerech. (Mrkněte do návodu, případně prozraďte typ routeru.)

[Petr]

Typ je edimax BR6104K. V administraci je zapnutí firewalu a to mám ale nerozumím dalším nastavením v podmenu

Access Control
URL Blocking
DoS
DMZ

K serveru ani k síti nepotřebuji z internetu přistupovat vůbec, jen potřebuji používat zevnitř sítě přístup k aktivnímu FTP na jiném serveru na netu.

[Petr Šobáň]

V NAT, ALG setings zaškrtněte ftp. Firewall nemusíš používat pokud tam máš nat a nemáš povolené nějaké porty pro forward do lan.

Access Control ->  povolí či zakáže pro urcité IP určité porty (prostě nastavení pravidel firewalu).

URL Blocking -> zablokuje určitou URL pokud tam zadáte třeba abclinuxu tak se sem na tento portál už nepodíváte.

DoS -> typy utoků povolí jejich detekci a ochranu před nimi (třeba ping z internetu)

DMZ -> demilitarizovaná zona jakou IP počítače tu zadáte tak ten PC bude přístupný jak z internetu z veřejné IP tak i z LAN pod lokální IP (prostě jako by jsi všechny porty z té veřejné IP co jsi dostal byly přesměrovány na lokální PC)

Jinak koukněte na CD tam je podrobnější návod než ten tištěný na pár stranách.

 

[Petr]

Tak sem v Access Control zkusil zakázat porty 137,138,139, 445 a zatím všechno chodí. CD právě k tomu nemám a přesnější návod jsem vygooglil jen anglicky což je moje slabá stránka a se špatnou znalostí síťování je to skoro katastrofa .

[Max]

Buď blokni ony porty na tom routeru, nebo nastav iptables na onom serveru, nebo nastav v sambě síť, se kterou je povolená komunikace.
Zdar Max

[Petr]

 

nebo nastav v sambě síť, se kterou je povolená komunikace.
Zdar Max

To by mě zajímalo. Jak by se to dalo provést když mám na routeru nat tak IP toho routeru je v síti kterou potřebuju mít povolenou. Nebyl by na ukázku kousek konfiguráku Samby kde povolím přístup jen z určených třeba pěti IP?

 

[Max]

Právě, že vyjmenuješ v sambě IP, ze kterých se můžeš připojit, jednotlivé IP odděluješ jen mezarami. Takže nějak takto (pro jednotlivé IP):

hosts allow = 192.168.0.5 192.168.0.6 192.168.0.9

Pro rozsahy :

hosts allow = 192.168.0.

Nebo pokud máš moc IP, které potřebuješ povolit, tak bych udělal opak, povolil jeden rozsah a v něm zakázel jednu IP, v našem případě IP toho routeru, tj :

...
hosts allow = 192.168.0.
localhost hosts deny = 192.168.0.1
...

Snad by to takto mělo fachčit.
Zdar Max