dva lan-a - sigurnost

Na poslu imam tri LAN-a, fizički odvojena u tri zgrade (dvije poslovnice i glavna zgrada) koji su međusobno povezani optičkim kablom. Svi LAN-ovi su realizovani sa UTP i HUB (switch) Win98, win2000,win95...centarlni server u glavnoj zgradi je Unix. Iz "moje" mreže mi moramo koristiti aplikaciju koja je na serveru u glavnoj zgradi, isto tako i kolege iz druge poslovnice. U "mojoj" mreži vrte se stare knjigovodstvene aplikacije u Clipperu. Kako da:
1) zaštitimo LAN u našoj poslovnici od onih iz druge poslovnice i glavne zgrade jer je nedavni ulazak virusa iz centrale oštetio 4 naša rečunara
2) ima li načina da naši računari budu nevidljivi za ostale (svi smo jedna radna grupa).
Dobili smo ponudu za rješavanje problema putem routera ali je "stručnjak" pored astronomske cijene za rutiranje naglasio da moramo preći na njegove windows verzije knjigovodstvenog softvera jer navodno Clipper ne može da radi u tim uslovima (kada oni postave ruter)
Znam da je ovo preduga priča ali još samo malo strpljenja:
Koliko orijentaciono košta operacija zastite nase mreze sa ruterom (11 radnih stanica) u $ i koja je najjeftinija varijanta (citao sam na ovom forumu da se moze stariji racunar staviti u funkciju kao ruter)?
Naša mreža ima modem na jednom računaru koji jedini ima vezu sa Internetom, protokoli koje koristi mreža su TCP/IP.
Hvala

Najprostije: Instalirate firewall na sve racunare dozvolis im pristup na server i opciono na racunare iz poslovnice ako je to uopste potrebno :)
Komplikovanije: Kupite neki bedni racunar na njemu nabudzite tri mrezne karte instalirate linux i procitate malo iptables ili pozovete nekog unixolikog guru-a koji ce vam odraditi konfigurisanje za sumu ne vecu od 250 eura :)

Potpis

I onda je mrmot zavio vutricu...

Jos prostije, da ne zoves nikog...
www.mikrotik.com pa lepo skines linux-ruter software koji se podesava iz Windoza, kliktanjem misa...
Mislim da ti ne bi bio problem da koristis clipper i dalje, buduci da mi se cini da radis tako sto mapiras disk na serveru zbog aplikacije...
Kad rastavis lan neces bas moci da ga vidis u network neighborhood (osim ako ne stavis WINS negde), ali ces moci da mapiras po ip adresi
umesto \\pera\d bice \\10.0.0.5\c ... a ako je bitno da ipak bude pera dodaj ga u lmhosts file...
Ako je problem do para, i ja cu vam rado uzeti iste :))

Hvala obojici na odgovorima.

weasel:
? Koji firewal predlažeš (s obzirom da su OS Win2000, win95 i win98)
Druga opcija (linux) otpada.

xenox:
? Koji fajl tačno sa www.microtik.com da skinem. Problem do para nije sto nema ko da ih uzme nego sto ih nema.

obojica:
Sta mislite o ZoneAlarm softveru? (Suviše mi je jednostavan i lijep pa se bojim da nije baš efikasan)

? Da li bih mogao njega iskoristiti (nemojte da se po "stare" dane bakcem sa Linuxom, vrlo sam konzervativan i lijen) za svoj program.

Može li malo dodatnih informacija, koji mrežni protokol koriste te Clipper aplikacije?

Možda i ne morate da ih menjate kada uvedete ruter, zavisi da li koriste routable protokol. Ako je netbios, neće moći.

Cliper će sigurno raditi tu nema dvojbe jer radi se o mapiranju diska na serveru i pokretanju aplikacije, to je radilo i prije 5 godina na IPX/SPX i danas već radi na TCP/IP jer sama aplikacija se ne petlja u te stvari.
Problem leži u tome što za "pravu" zaštitu LAN-a na sve radne stanice po tvrdnji "stručnjaka" treba instalirati Win2000, koji baš i ne voli DOS (Clipper).
Pretpostavljam da je prelaz na Win2000 zbog ugrađenog firewala i ostalih sigurnosnih mogućnosti svakako pametno rješenje, ali čovječe to košta xx licenci + instalacija + novi windows aplikativni softver, po meni je to velika cijena za zaštitu, moglo bi se reći kolateralna šteta zaštite
.
Pitanje:
Zar nije jednostavije (jeftinije i elegantnije) kupiti poseban firewal softver koji će raditi na win98 i win95 i to je to, lokalni server našeg LAN-a je Win2000 i za njega nije problem?

Bolje je staviti ruter između tih LAN-ova, a na njemu access listom omogućiti samo potrebne konekcije, ostale se onemogućavaju. Onda ne brineš da li je neko na korisničkom kompjuteru dobro stavio firewall, da li je uključen, da li je dobro podešen i slično.

Naravno antivirus software obavezan još uvek na svim tim mašinama, i to ažuran!

Na mikrotik sajtu imaš RouterOS probnu verziju koja radi dovoljno funkcionalno na običnom pc-u sa par ethernet adaptera, na koje bi povezao te LAN-ove, omogućio rutiranje između njih, podesio koji saobraćaj se dopušta, a koji ne, itd.

ZoneAlarm je "provaljen" i na netu postoji demonstracija kako se koristi rupa u tom softveru. Nesiguran je, kraj priče.

Ako se ipak ne odlučiš za segmentiranje mreže i tražiš firewall, mislim da je nortonov security paket najbolje rešenje, baziran je na AtGuardu koji sam ranije najviše cenio, mada ima nekih šarenih mogućnosti i diskutabilno je šta je zaista od toga potrebno, ali pogledaj po nortonovom sajtu možda ti se nešto svidi.

Mislim da zaštita rutiranjem i firewallima neće dati efekta, jer se ne radi o klsičnoj TCP'IP komunikaciji već deljenju file sistema na nivou mreže.

Čini mi se d aj elek u tome da se na svim računarima isključi File Share tako da diskovi pojedinačnih račlunara u mreži ne budu vidljivi. Kako je verovatno cela baza centraliyovana, treba u mreži šerovati samo direktorijum gde se baza nalazi i tu držati samo podatke. Samu aplikaciju ili držati na svakom pojedinačnom računaru, ili takože šerovati ali sa read only pristupom tako da eventualni virus ne može da zarazi izvršne datoteke. Ni ovo ne garantuje veliku sigurnost ali je mnog bolje nego imati potpuno otvorenu mrežu što pretpostavljam da je slučaj.

Mozes da uzmes bilo koju verziju...
Ja najradije koristim onu najstariju, zato sto ima export saobracaja na UDP pa ga parsujem mojim programom...
Treba ti hard od 40MB (pazi nije GB :))) i neki P1, i nesto mreznih...
Ako hoces posalji mi na mail detaljnije pa cu ti ja dati predlog, ili ako hoces, mozes i da dodjes do mene na posao, pa da vidis skalameriju :)))
Mapiranje prolazi bez problema po TCP/IP-u, a u firewall-u mozes i da seces konekcije za ono sto ti se ne svidja...

Samo procitaj mail od Gojka Vujovica mislim da je sve lepo objasnio.
Izvinjavam se sto nisam ranije odgovorio ali spavao sam dva dana :)

Potpis

I onda je mrmot zavio vutricu...

Ja ne znam o kakvom "deljenju na nivou mreže" priča broker, ali uveren sam da ono što sam rekao još uvek stoji. Možda ne svi detalji, ali to već zavisi i od konkretnog slučaja u koji nemamo potpun uvid za sada.

Pošto je čovek rekao da će clipper aplikacija koristiti tcpip za komunikaciju i deljenje tih fajlova, nema tu ničega što firewall na ruteru ne može da zaustavi.

Isto tako ako ne dele mrežu, mora firewall na svakoj mašini.

Jedini protokol protokol na mreži(ama) je TCP/IP i to vrlo klasičan, i na bazi čega se radi dijeljenje file sistema ako to nije TCP/IP? Diljenje podrazumjeva mogućnost mapiranje diska i ako ja na svoj računar instaliram firewall kojim zabranim mogućnost komunikacije sa 10.0.0.5 ,a to je recimo server, kako bi ti mapirao disk na njemu onako kako to predlaže Xenox: \\10.0.0.5\c

Zaboravih pitanje:

Već smo se odlučili za router DI-804V (D Linkov VPN router), kojim bi zastitili nasu poslovnicu, pa me zanima ima li neko iskustva sa tim uređejem, i ima li neke veze to što je naša poslovnica do centrale i njenog LAN-a povezana optikom (mislim je li ta činjenica unosi neke nove mogućnosti ili probleme)?

Ajde... i jedini OS je windows XP :)))
klasican file sharing je ranije isao preko NETBEUI protokola i to je sve radilo i bez TCP/IP-a (ako mozes da verujes :))) koji radi tako sto sve masine pustaju broadcast na lan, jedna izigrava master browser, i one se lepo dogovaraju preko tog protokola... E, kad fizicki preseces mrezu - onda se ne vide u broadcastu, a i NETBEUI nije routabilan, pa se zato korisit \\10.0.1.5\c ... ili upises u lmhosts file da je 10.0.1.5 server, ili koristis WINS server kome se svi javljaju, pa ti on javi IP, ili pak dizes lokalni DNS, koji ce da ti rezolvira ime u IP...

P.S. Ima jos protokola - gomila...

Hm, mozda se nismo razumelia li poenta onoga sto sam ja rekao je upravo u tome da posto Clipper aplikacije rade u mrezi tako sto vide jedna drugoj diskove (i nebitno im je da li se radi o TCP/IP ili nekoj drugoj mrezi, sve dok diskovi mogu da se seruju). Jedan racunar mora da vidi disk drugog, ako je taj drugi zarazen virusom potencijalno moze biti zarazen i prvi... Ne vidim mnogo smisla stavljanju firewall-a izmedju njih ako i on mora biti podesen da dozvoli da se diskovi seruju.

Ja resenje i dalje vidim u kontrolisanom serovanju diskova.

Mislim da nema razloga za toliki smijeh jer bojim se da se nismo najbolje razumjeli. Kada sam rekao "jedini" mislio sam na LAN-ove o kojima ja pričam tj. na konkretnu situaciju u mojoj firmi, a ne uopšte. Hvala ti ipak na informacijama o NetBEUI ali ja nisam to nikada koristio jer nisam radio na WfW i Micr. LanManager mrežama, prvi kontakt bio je sa NetWare i IPX/SPX (priznaćeš da je on suvereno vladao LAN-ovima pa hajde recimo do '93 ili '94 ne bitno), a nije da nisam čuo i za neke druge protokole ali oni mi stvarno nisu trebali u životu. Na TCP/IP kao bazni protokol sam prešao pojavom WIN2000, a dotada sam ga koristio samo za Dial-Up i pristup Internetu......

Nego, ako sta znas o DI-804V molim te napisi.

BROKER:
Ti si u pravu, ali ja imam antivirus i pustimo viruse, ja jednostavno hocu da moju mrezu ne vide oni iz druge zgrade i to ni pod razno (osim servera u drugoj zgradi) i router mi i treba da obezbjedi prolaz serveru i nikome drugom).
Figurativno: Hocu da svaki pokusaj, dobronamjeran ili ne, pristupa mom LAN-u (U mojoj zgradi) naiđe na zid, a ne na vrata pa makar ona bila i zaključana.