Как запретить доступ к компьютеру некоего IP? [Версия для КПК]

Показать полную графическую версию : Как запретить доступ к компьютеру некоего IP?

Страниц : [1] 2

Delion Soulblade

30-01-2008, 13:51

Собственно вопрос-нужно,чтобы персонаж с некоторым IP не мог присоединяться ко мне. Без помощи стороннего фаервола.
Когда-то где-то видел как это сделать с помощью командной строки...подскажите,пожалуйста.

HLT

30-01-2008, 14:14

route -p add ip_адрес_злоумышленника mask 255.255.255.255 кривой_ip_адрес

В качестве кривого ip адреса можно использовать, в принципе, любой ip-адрес из диапазона Вашей сети.
Главное - чтоб он не совпадал с Вашим адресом, адресом злодея, и адресом шлюза по умолчанию.

Например,
если у Вас сеть 192.168.0.0/24 и адрес негодяя 192.168.0.10, то что-нибудь типа
route -p add 192.168.0.10 mask 255.255.255.255 192.168.0.101
Будет лучше, если машины с адресом 192.168.0.101 в сети вообще нет.

Данную команду дать один раз, оно сохранится и будет применяться.
Слетит при изменении сетевых настроек.

p.s. Не забывайте, что не только негодяй не сможет к Вам попасть, но и Вы его в сети видеть перестанете.

Delion Soulblade

30-01-2008, 15:24

Сбой добавления маршрута: Либо индекс интерфейса указан неверно,либо шлюз не лежит в той же подсети,что и данный интерфейс. И предлагает проверить таблицу IP-адресов.
Дело в том,что у злоумышленника адрес 10.* (внутренний сетевой),у меня 90.* (белый),шлюз тоже 90.*. Как тогда правильно написать команду?
Да,и ещё вопрос - как отменить сей бан по IP?

HLT

30-01-2008, 15:57

у злоумышленника адрес 10.* (внутренний сетевой),у меня 90.* (белый),шлюз тоже 90.*. »
А как он попадает на твою машину? Если через шлюз с NAT'ом - то на твоем компе ничего не сделать, т.к. адрес входящих пакетов будет шлюзовый. Придется разбираться со шлюзом - запрещать конкретную пару его_адрес<=>твой_адрес

как отменить сей бан по IP? »
касательно моего примера - route delete 192.168.0.10

Кстати, если есть доступ к ЕГО компьютеру - сделать на его компьютере route -p add ТВОЙ_АДРЕС mask 255.255.255.255 кривой_ip_адрес . Если у него адрес 10.* - значит, кривой адрес на его компе тоже ставить из его сетки 10.*
Самое трудное - получить доступ к его компу. Или физически прийти туда, пока его нет на месте, или удаленно - через AT (имея админские права на его компе).

Delion Soulblade

30-01-2008, 16:30

А как он попадает на твою машину? Если через шлюз с NAT'ом - то на твоем компе ничего не сделать, т.к. адрес входящих пакетов будет шлюзовый. »
За НАТом-то он за НАтом,только вот видим мы друг друга напрямую,это локалка провайдера.

Pili

30-01-2008, 17:26

Можно через IPSec. В принципе достаточно настроить фильтр, действующий на обмен между своим ip и ip другой машины и применить правило на все протоколы.
Безопасность протокола IP (IPSec) (http://technet2.microsoft.com/WindowsServer/ru/Library/207e34c8-f715-4aa8-8f26-e06bd1eca8081049.mspx?mfr=true)
Блокирование определенных сетевых протоколов и портов с помощью IPSec (http://support.microsoft.com/kb/813878/ru)
Через командную строку - netsh
Плодотворный союз Netsh и IPsec (http://www.osp.ru/win2000/2007/01/4037723/)
Примеры использования технологии IPSec (http://www.windowsfaq.ru/content/view/661/90/)

Delion Soulblade

30-01-2008, 19:24

Последняя ссылка помогла: сделал по аналогии запрет на пару адресов-вроде помогло... Спасибо.

Delion Soulblade

23-04-2008, 18:50

...новая проблема. Вышеупомянутый злоумышленник теперь имеет динамический IP-адрес, транлислируемый, однако, на DNS-имя вида *.no-ip.org. Думается, теперь оградиться от него можно только если фильтр будет отслеживать изменения IP этого адреса и уже тогда применять политику запрета.
Пробовал указывать вместо IP этот DNS-адрес - на момент создания фильтра IP ловится, а вот обновляться при изменениях-не хочет.
Помогите.

Pili

23-04-2008, 19:15

Пробовал указывать вместо IP этот DNS-адрес - на момент создания фильтра IP ловится, а вот обновляться при изменениях-не хочет. » ipconfig /flushdns - сохранить как flushdns.bat и периодически запускать (в планировщик можно поставить)
Ну или Отключение кэширования DNS на стороне клиента в Windows XP и Windows Server 2003 (http://support.microsoft.com/kb/318803)

Delion Soulblade

23-04-2008, 21:43

То есть, если я правильно понял, эта команда очистит записи кеша DNS(у меня там нашлось всего 12 записей) и IPSec будет заново узнавать IP указанных в нём DNS-имён?

Pili

23-04-2008, 22:04

Delion Soulblade, ОС заново будет сопоставлять ip с DNS именами и снова сохранять в кэш до следующего ipconfig /flushdns, имхо проще или отключить кэширование или настроить в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNSCache\Parameters
MaxCacheTtl
А через IPSec блокирование сразу всего диапазона адресов (подсети) не хотите настроить?

Delion Soulblade

23-04-2008, 22:41

ОС понятно, но вот конкретно IPSec будет ли каждый раз после очистки кеша\коннекте злоумышленника после очистки кеша проводить lookup DNS, или так и остановится на том IP ,что выявился при создании фильтра - вот это критично знать.
Банить диапазон никак нельзя, иначе ресурс лишится 15*255 потенциальных пользователей...

Pili

24-04-2008, 08:44

Delion Soulblade, ОС будет спрашивать у DNS сервера сопоставление dns имени и ip адр., если не найдет в кэше запись, т.е. предположим злоумышленник получит новый ip, этот ip пропишется на dns сервере, если после этого на компьютере где действует политика IPSEC выполнится flushdns (или истечет время хранения кэша), то злоумышленник будет блокироваться, впрочем вы это можете экспериментально проверить.

Delion Soulblade

26-04-2008, 16:53

Pili, вышепредложенный способ не работает.
:dont-know

Pili

28-04-2008, 07:46

Delion Soulblade, после flushdns
ping по dns имени какой ip адрес показывает? Если правильный - должно работать, м.б. вы разные DNS используете и на вашем DNS сервере запись не успела обновиться?

Delion Soulblade

28-04-2008, 17:24

Что значит "если правильный"? Мы ведь вообще не должны обращать внимания на его IP. В IPSec фильтр не обновляет исходный IP,если Вы об этом.
И совсем непонятно причём тут DNS-сервер, если в локалке, через которую мы и соединяемся, DNS-имя злоумышленника, которое я могу видеть при соединении, зависит от его IP и никак не связано с тем, что получено им через сервис no-ip.com

Pili

28-04-2008, 18:12

Что значит "если правильный" »
это значит текущий ip
Мы ведь вообще не должны обращать внимания на его IP »
фактически блокирование все равно происходит по ip
В IPSec фильтр не обновляет исходный IP »
IPSec сам не кэширует, но может брать сопоставление dns имени-ip из кэша, если там есть запись, чтобы очистить кэш, требуется ipconfig /flushdns, в принципе можно отключить службу DNS-клиент, тогда кэшироваться не будет и каждый раз будет сопоставление dns имени и ip будет запрашиваться у DNS сервера, команда ping позволит убедиться, что dns имени соответствует новый ip (если icmp не закрыт) и ещё обновит кэш (если служба DNS-клиент работает), если вы используете разные DNS, то на вашем DNS запись о новом ip злоумышленника могла не успеть обновиться, тогда отключение службы DNS-клиент и ipconfig /flushdns не поможет, в таком случае ping по dns имени скорее всего (смотря как dns сервер настроен) выдаст "старый" ip и request time out (даже если icmp на той стороне разрешен)
DNS-имя злоумышленника, которое я могу видеть при соединении, зависит от его IP »
точнее злоумышленник, получая новый ip адрес автоматически регистрирует его на "своем" DNS сервере
и никак не связано с тем, что получено им через сервис no-ip.com »
а при чем тут сервис no-ip.com?
Вы пробовали применить ipconfig /flushdns, далее ping по dns имени и проверить работает правило или нет? (можно для тестирования попробовать с др. машины попытаться установить соединение)

Delion Soulblade

28-04-2008, 20:22

а при чем тут сервис no-ip.com? »
Ну как раз DNS-имя от этого сервиса и вписано в фильтре,его и использует злоумышленник.
Вы пробовали применить ipconfig /flushdns, далее ping по dns имени и проверить работает правило или нет? (можно для тестирования попробовать с др. машины попытаться установить соединение) »
Я очищал кеш, ждал несколько минут, и, не изменяя ранее созданное правило (оно зеркальное, cоздано как DNS-имя <-> любой IP), пробовал соединиться со злоумышленником. Соединение мгновенно проходило.

Pili

28-04-2008, 21:07

Delion Soulblade, проверять лучше с внешнего компьютера с тестовым похожим правилом,
В кэше днс до и после такой проверки записи сравнивали? Перед проверкой выполните ping DNS-имя
no-ip.com целиком нельзя запретить?

Delion Soulblade

30-04-2008, 16:40

Проверять лучше с внешнего компьютера с тестовым похожим правилом »
К сожалению такой возможности нет.
В кэше днс до и после такой проверки записи сравнивали? Перед проверкой выполните ping DNS-имя »
Там нет записей для нужного мне DNS-имени. Ни до, ни после. Пинг не проходит, хотя коннект к злоумышленнику возможен.