User aus dem Netz sperren

[beLI3VeR]

Hi
wir haben bei uns in der schule jetzt alle Debian installiert und konfiguriert. Wir arbeiten alle nur mit der Konsole. Jetzt haben wir mehrer Netze eingerichtet. Jetzt ist meine Frage wie kann ich User aus dem Netz sperren? Ich bin der admin in meinem Netz und ich bin der Router zu den anderen Netzten. Ich will zum Beispiel den Usernnur aus meinem Netzt erlauben auf das Netz und die Rechner in meinem Netz zuzugreifen.
Danke

(Diesen Beitrag habe ich geschaft über die Konsole zu posten mit elinks. Ist gar nicht so einfach )

[mistersixt]

Mit dem Tool iptables kann man Netzwerkpakete erlauben, verbieten, blocken, umleiten etc. Das geht aber im Prinzip nur per Protokoll, Zieladdresse, Quelladresse etc., nicht auf Applikations- oder Userebene. Sprich, Du kannst Netzwerkpakete, die aus anderen Netzen kommen, an Deinem Router abweisen, und auch Pakete abweisen, die aus "Deinem" Netz kommen und ins andere Netz wollen.

Google mal ein wenig, da gibt es tonnenweise Doku über iptables. Mit lynx und w3m kann man übrigens prima auf der Console surfen !

Gruss, mistersixt.

[nepos]

Man kann mit iptables auch Pakete blocken, die man anhand der User-ID indentifiziert. Dazu muss man das Modul owner nutzen. Klar ist aber auch, dass die entsprechenden Regeln immer auf den einzelnen Rechnern sein muessen, da es nur dort moeglich ist, die UID festzustellen.
Solange deine User aber auf ihren Rechnern keine root-Rechte haben, waere das kein Problem.

[striker2150]

Hört sich für mich eher nach einem Problem auf Proxyebene an. Um welche Dienste geht es denn genau. Deine Angaben sind recht wage.

Sascha

[nil]

Zur Absicherung deines Netzes brauchen wir wirklich mehr Infos. Wie erreichst du denn dieses Netz überhaupt, welche Dienste sind auf welchen Rechnern aktiv.

Generell solltest du folgendes machen:

- Stable-Version und aktuelle Patches
- nur die benötigten Dienste installieren und starten
- keine unverschlüsselten Kommunikationen
- kein inetd, portmapping und so ein Schrott
- SSH einschränken (kein direkter root-Zugang, Keys, besser gleich mit Passphrase)
- iptables anpassen auf das Netz und die Netzdienste (alles sperren, dann erlauben)
- Logfiles regelmäßig auswerten (z.B. fwanalog)
- Benutzer einschränken, root restriktiv nutzen (evtl. sudo, ssh-keys)
- nutze Programme wie "tiger" zur Überprüfung des Systems (im übrigen lehrreich)
- versuche alles von SSH zu verstehen und nutze es zu deinem Vorteil
- deaktiviere SSH-Port-Forwarding, wenn du es nicht kennst oder nicht benötigst
- Dateitransfer per SCP
- falls Samba nur aus Faulheit eingesetzt wird, deaktivieren
- kein Webserver (evtl. extern hosten oder stark absichern)
- vielleicht noch ein wenig am Kernel arbeiten
- fordere andere auf, dein System zu hacken