как защитить внутреннюю сеть от интернета

[vadblm]

Длинк100 »
DIR-100 что-ли? Так это сугубо домашняя железка, держать сеть больше 4-х компов не предусмотрена.

Схему сети всё же приведите, а то вдруг что-то недопонято. Скажем, я говорил о разделении сети администрации и школоты - так она должна быть разделена не только маршрутизатором, но и коммутаторами. Либо VLAN'ы делать, если свитчи это умеют (сомневаюсь после упоминания DIR-100, что там такое железо), либо физически отдельные сети с отдельными свитчами.

[uchiha]

Схема такова:
4 компьютера соединены через свич, свич соединен с роутером, в роутер вставлен провод от 5-го компьютера - все.
Идея с разделением была такой - все компьютеры администрации соединить через свич - это одна сетка.
Другая сетка, а которую входит учительская, кабинеты, библиотека (всем нужен интернет) - все компьютеры через свич, свич - в роутер.

Да, почему 5-й компьюте воткнули в роуте - в свиче не хватило дырочек, нужно было сделать дешево и быстро, о безопасности не думали, все хорошо работало, но сейчас появились опасения.

[zai]

Идея с разделением была такой - все компьютеры администрации соединить через свич - это одна сетка.
Другая сетка, а которую входит учительская, кабинеты, библиотека (всем нужен интернет) - все компьютеры через свич, свич - в роутер. »
Какая другая? Сколько всего компов?

[uchiha]

Другая - это пока в проекте, в принципе, те же пользователи (поставить у каждого второй компьютер), к ним можно добавить и еще несколько других, в зависимости от количества портов на новом свиче, а вот этот новый свич соединить с роутером DIR-100 или с более приличным, чтобы вся эта компания могла ходить в инет.
Первая сетка замкнута, не связана со второй.
Бред?

[Severny]

Бред? »
Ужасный.
Я вообще столбенею от идеи завести всем по второму компу. :)
Поменяйте свич на восьмипортовый, чтобы хватило "дырочек".
Роутер оставьте какой есть.
Если включен NAT, системы на компьютерах обновляются и не стоит никакое ПО удаленного администрирования, ну и антивирус приличный, то никакой ученик к вам не пролезет извне.
Грамотный товарищ может теоретически конечно зайти, но это будет дорого стоить. Кому оно надо.

Другое дело если у вас компьютерный класс и вы опасаетесь, что ушлая школота залезет к вам изнутри.

[vadblm]

Другое дело если у вас компьютерный класс и вы опасаетесь, что ушлая школота залезет к вам изнутри. »
Собсно мои предложения и отталкивались от этого предположения. ;)

[El Scorpio]

Другое дело если у вас компьютерный класс и вы опасаетесь, что ушлая школота залезет к вам изнутри. »
Для этого достаточно закупить ещё один маршрутизатор и вынести компьютеры учителей в отдельную подсеть, скрытую NATом этого маршрутизатора.

Ну или создать программный маршрутизатор/прокси-сервер - старый системник, три сетевые карты (сеть учителей, компьютерный класс, интернет) и Linux

[Rezor666]

А не легче купить один комп, поднять сервак с AD и дать школоте права юзера...
Для ограничение инета ISA или UserGate...
Если включен NAT, системы на компьютерах обновляются и не стоит никакое ПО удаленного администрирования, ну и антивирус приличный, то никакой ученик к вам не пролезет извне. »
Ой да лан... Если у меня права админа на внутренем компе я те такое на ворочу )
И не дай бог в компе не отключен CD и usb-hdd.
что ушлая школота залезет к вам изнутри. »
Надо всего лишь поставить нормальные пароли.

Я не понимаю логики создания 2 подсетей...
Для меня вообще дикость что учитель информатики боится что его взломают школьники...
Выходит что не школьников учить надо а учителей.

[uchiha]

У нас компьютерный класс, к счастью, отдельно, там своя сеть, свич, маршрутизатор, после уроков электричество вырубается, так что опасения со стороны этой сети нет.
Просто сейчас на компьютерах директора, завуча стоят специальные программы с базой данных по всем ученикам, учителям, родителям, Эти базы заполнялись в течение долгого времени; конечно, данные резервируются, но, к сожалению, бывало, (в лругих школах), когда эти компьютеры выходили из строя и все приходилось набирать заново.

Учитель не боится своих учеников, и пароли стоят нормальные, и права ограниченные у всех "юзеров", да и ученики пока не покушаются - и без них в интернете полно охотников навредить ближнему: за последние три года мою почту на рамблере 3 раза взламывали, периодически выскакивают порнографические картинки с предложением отправить куда-то деньги, чтобы от них избавиться и т.п.
Зачем, кому это нужно? Уж точно - не ученикам.
За все предложения спасибо,

[~user~]

Но бывают например, такие штуки - вдруг на все 4 компьютера администрации приходит сообщение по аське с аськи директора с приглашением зайти по указанной ссылке, все дисциплинированно жмут на ссылку, а там порно, при этом директор никаких сообщений, естественно, не отправляла, значит, очевидно, взломали ее аську. »

Не обращайте внимания это не аську взломали, а прото спам разослали, поставьте фильтр и все.

[Severny]

Если у меня права админа на внутренем компе я те такое на ворочу ) »
Начинается. Сначала речь шла о защите от взлома извне.

когда эти компьютеры выходили из строя и все приходилось набирать заново. »
Настройте обязательно ежедневное копирование базы на другой компьютер в сети.
Или хотя бы на другой физически HDD.
Программа Cobian backup поможет с резервным копированием по сети. Запакует, зашифрует, запаролит, будет делать последние n копий по желанию. В общем must have.

[zai]

Схема такова:
4 компьютера соединены через свич, свич соединен с роутером, в роутер вставлен провод от 5-го компьютера - все. »
Эту схему взломать из вне нереально - с точки зрения безопасности, роутера вполне достаточно. Если к данной сетке будут подключены еще компы, то нужно установить сервер и выдать всем права доступа.

[Champ10n]

uchiha, во-первых ставить какие-то варианты шлюзов (аппаратных или программных) имеет смысл, в вашем случае, только если вы хотите ограничить трафик(квоты выставить, закрыть ненужные порты), ну или мониторить кто куда лазил, кто где порно баннеры наловил. Не думаю что ваша сеть кому-то интересна снаружи. Да компы все-равно за NATом D-Link'a. Конечно впоследствии при росте сети дешманская железка от D-linka перестанет тянуть, понадобится разделить студентов от преподавателей, VLANы, все дела. Вот тогда можно уже и думать что да как.
во-вторых, сильно боитесь за базу? Тогда делайте резервные копии. Как уже писали выше Cobian backup прекрасное бесплатное решение для дома. А ваша сеть она как раз "домашняя"
в-третьих, если это еще не сделано, ограничьте у пользователей права на компьютерах, переведите их учетные записи из админских в ограниченные(желательно и флешки запретить). Это значительно повысит безопасность. И от вирусов вреда меньше. Создать себе на всех компах админскую учетку, и если надо будет что-то установить то делать это самостоятельно. А то люди натаскают всего чего только можно.
в-четвертых, ссылки с аськи директора говорят только о том, что его аську взломали, в результате его же безалаберности, например простой пароль, или тыкание по таким же ссылкам от людей из его контакт листа. Советую провести ликбез по элементарным основам безопасной работы в сети. Порно-баннеры та же нечисть и причины их появления точно такие же.
в-пятых, заниматься всем этим делом должен не учитель информатики, а если уж и заниматься, то за отдельные деньги, а то сядут на шею, потом еще и домашние компы потащат.
Короче говоря, из всего обсуждения понятно что более менее внятный шлюз в данный момент не первоочередная задача и угрозы в данный момент надо ждать прежде всего изнутри, а именно от неграмотных юзеров.

[Rezor666]

Начинается. Сначала речь шла о защите от взлома извне »
Ну знаешь если я подрублю один комп к vpn серверу и из дома разнесу пол сети эт буит норм? А создать vpn можно и под гостем и не палится не одним антивирем...
Так же можно просто устроить ddos на d-link...
Да и не сказано есть ли управление роутером по wan или нет...
Я уж молчу про эксплойты на некоторых сайтах...
с точки зрения безопасности, роутера вполне достаточно. »
Я прям вижу банк с одним роутерам и не взламываемый...

А вообще Вам все верно говорят, ваша сеть не кому не нужна...

[Severny]

Ну знаешь если я подрублю один комп к vpn серверу и из дома разнесу пол сети эт буит норм? »
Это внутренняя диверсия. Нигде не сказано, что учителя и друг другу не доверяют.
Так же можно просто устроить ddos на d-link.. »
Это дороговато будет во первых, а во вторых чего ты добъешься? Что они лишатся интернета на время? Да все и так испытывают такой "ddos" со стороны провайдера время от времени. :)
Да и не сказано есть ли управление роутером по wan или нет.. »
По умолчанию оно всегда неактивно, как и включен NAT по умолчанию.

Я уж молчу про эксплойты на некоторых сайтах... »
Тут надо обновлять систему раз, во вторых самое страшное обычно от эксплоитов, компы учительские вольются в чей то ботнет.
Врядли сетевые хулиганы кинутся рушить ученическую black-base.

[Rezor666]

Severny,
Я абсолютно с Вами согласен.
Это я просто к тому что если захотеть что то взломать то как взломать всегда найдешь :)
Нигде не сказано, что учителя и друг другу не доверяют. »
Ну я про школоту.
Сам раньше многие компы на vpn сажал т.к дома сервак стоял :)
такой "ddos" со стороны провайдера время от времени »
Особенно мозговой :laugh:
а во вторых чего ты добъешься? »
ну в старых cisco например root. Хоть и не ломал их но читал об этом достаточно :)

[Denis Dyagilev]

Атомный бред.

В вашем случае достаточно будет soho-роутера с возможностью подключения соотвествующего числа рабочих станций. Все остальное к сетевым технологиям имеет посредственное отношение.