Стрим (Комстар)

[Alexey_C]

to Optic
Да, на Матрице вообще хорошо, мы знаем
to Lynx123
О вирусах не говорим. Антивирус сегодня стоит наверно всё-же у всех.
Dial-up обычно предполагает непостоянное пользование Сетью и, как следствие, меньший риск подвергнуться атаке.

[Lynx123]

Да и два раза кликнуть мышью и отключить для потенциально опасного интерфейса клиент для сетей микрософт и службу доступа к файлам и принтерам - тоже - таааааааааак сложно, таааааааааак сложно..

[zico1]

Инферно
Если бы я знал, тогда "и файрволлы на кой черт придумали", и "зачем файло расшарил"... вопроса бы не было.

И если у некоторых терять нечего, кроме любимого сейва от линейки, то у меня там были важные документы. А я-то, баран, еще гадал,

Вы что первый день в интернете?
Это похоже на то что, человек купил машину но не знал что есть люди которые могут угнать машин.

Ты "чувак реально неправ" Или ты будешь наезжать на производителя авто за то что попал в аварию? Рекомендую внимательно почитать контракт, а разрешение ты дал - ты без знания дела полез сетку настраивать локальную. Ну и заплатил ты за своё незнание, вместо того чтобы заплатить тому ктобы грамотно тебе бы настроил локалку

Я с вами согласен.

[Galleon]

ну а в принципе что вы на парня наехали, да, жалоба необоснована, но это заставит остальных людей кто сделал тоже самое принять меры, так что кто-то ему даже спасибо может скажет..

[MUSIC_S]

мдя, налетели, а по сути, наверно, ж в договоре не сказано ни о каких сетях, которые видно, если находитесь на одном маршрутизаторе.

Попасться мог любой из тех, кто тут пишет "а фаерволы зачем?", "ты что первый день в нете?"

о таких вещах ИМХО надо было предупредить.

[optic]

Вы что первый день в интернете?
Это похоже на то что, человек купил машину но не знал что есть люди которые могут угнать машин.


Я с вами согласен.

и тем не менее это недостаток проектирования сети.. в этом случае провайдер не может гарантировать предоставляемых услуг т.к. внутрисеть может забить имеющиеся ресурсы и сама услуга за которую платят может оказываться с достаточно большими потерями..

[Lynx123]

"Предупреждаем - вы в интернете, вашу машину могут взломать, вы можете заразиться троянцем." Таким образом что-ли ? Вот, читайте.. друзьям отправьте

[Lynx123]

и тем не менее это недостаток проектирования сети.. в этом случае провайдер не может гарантировать предоставляемых услуг т.к. внутрисеть может забить имеющиеся ресурсы и сама услуга за которую платят может оказываться с достаточно большими потерями..

А вы проверяли - внутрисеть может забить? мне почему-то кажется что и она шейпится, причем вполне неплохо.

[Vader]

Касательно поста Инферно не все так просто.

Он сказал, что видел рабочие группы и сервера в них.
Значит был получен живой master browser(?). Соответсвенно Инферно умудрился как то залезть в какой то arp eth сегмент, где порты юзеров не изолированы друг от друга (во всяком случае udp bcast и udp unicast точно работал). Как такое произошло - надо исследовать. Вопрос к Инферно: у тебя есть какие то _физические_ линки кроме Стрима? Из каких сеьей были IP у тех хостов, что ты видел через виндозную сетку?

Всем, кто накинулся на Инферно и советовал настроить получше сетевой фильтр могу сказать только одно - "блажен, кто верует". Что касается винды, то часть известных фильтров фильтрует _только_ IPv4. И еще часть - это детские поделки, которые работают с пакетами на юзерском уровне. Так, что защита защите рознь. Повлиять на ситуацию мы ессно не можем - заставить юзеров нормально защищать компы это вообще самоя большая из утопий Мы можем только попытаться понять как устроена сеть Стрима на нижнем уровне (в плане иерархии eth коммутаторов) и решить в каком объеме надо фильтроваться/защищаться.
Если в 2 словах, то может быть 2 варианта:
1) На физический интерфейс абонента приходит только Стрим-trusted трафик. Т.е. приходит только то, что должно приходить для работы pppoe.
2) На физический интерфейс абонента приходит все, что угодно. А именно целый зоопарк протоколов. Естесвенно трафик будет агрессивен по определению.

Разница по агресивности воздействия на ОС между этими вариантами довольно существенна. Хацкер, который дошел до вас через роутеры Стрима (грубо говоря внешний инет трафик) может ломать вас только по IPv4 да и то - инет трафик комплексно мониторится/фильтруется на предмет брутальных атак - достаточно грамотно закрыть tcp/syn и уже можно спать относительно спокойно.
А вот если вас на прицел возьмет сосед, который сидит с вами в одном сегменте, то методов испортить вам жизнь становится намного больше.

ps. Посмотрел что ходит на моем физическом интерфесе - виден IPX трафик. Надо будет потом глянуть получше. Т.е. могу высказать _предположение_ что мы имеем дело с разновидностью второго варианта.

pss. ЫЫЫЫЫЫ виндозный порт ipfw в ПЕЧКУ - не умеет трафик на уровне eth proto фильтровать

[iFog]

мдя, налетели, а по сути, наверно, ж в договоре не сказано ни о каких сетях, которые видно, если находитесь на одном маршрутизаторе.

Попасться мог любой из тех, кто тут пишет "а фаерволы зачем?", "ты что первый день в нете?"

о таких вещах ИМХО надо было предупредить.

Я с этим согласен.

[Ajax]

Если в 2 словах, то может быть 2 варианта:
1) На физический интерфейс абонента приходит только Стрим-trusted трафик. Т.е. приходит только то, что должно приходить для работы pppoe.
2) На физический интерфейс абонента приходит все, что угодно. А именно целый зоопарк протоколов. Естесвенно трафик будет агрессивен по определению.

Меня по-определению устраивает только второй вариант, потому что я заплатит за доступ в сеть без ограничений, и как мне защищаться (и нужно ли) я хочу решать самостоятельно. И это правильный подход.

[optic]

Меня по-определению устраивает только второй вариант, потому что я заплатит за доступ в сеть без ограничений, и как мне защищаться (и нужно ли) я хочу решать самостоятельно. И это правильный подход.

гы, ты хоть прочитал что было написанно выше?? 2й вариант не гарантирует даже качества , не говоря уже о безопасности. а доступ в нет и так без ограничений в 1м варианте

[Ajax]

У меня хватит рук\мозга\денег чтобы самостоятельно себя защитить
Качества? А что есть качество в данном случае? Я заплатил за 512/512 (+ как бесплатный бонус паритеты с нек. одесскими провайдерами) и я это имею, бОльшего мне не надо, а защищиться, повторяю, я и сам разберусь как.

ЗЫ. Мы ведь не обсуждаем тут вопрос целенаправленной атаки? Потому что в таком случае любую защиту можной обойти.

ЗЗЫ. Как-то довелось поюзать какого-то карточного провайдера, Е-свит кажется или что-то такое, так так после дозвона уже на 3-й минуте что антивирь что файр просто задалбывали сообщениями об атаке.

[Vader]

Меня по-определению устраивает только второй вариант, потому что я заплатит за доступ в сеть без ограничений, и как мне защищаться (и нужно ли) я хочу решать самостоятельно. И это правильный подход.

Вы не поняли сути написанного. Доступ "глобальную сеть Интернет" вам никто не ограничивает в обоих вариантах. Просто во втором к вашему компу имеет доступ гипотетический кул хацкер, сидящий где то поблизости от вас и у которого средств помешать вам жить ой как много. В самом тяжелом случае провайдер даже не видит как именно кул хацкер вас ломает

[Ajax]

Да, но когда потребуется экзотический протокол "провести", чисто теоретически, то начинаются проблемы. Да и вобще о любой фильтрации тоже нужно писать тогда в договоре.

[Инферно]

Он сказал, что видел рабочие группы и сервера в них.
Значит был получен живой master browser(?). Соответсвенно Инферно умудрился как то залезть в какой то arp eth сегмент, где порты юзеров не изолированы друг от друга (во всяком случае udp bcast и udp unicast точно работал). Как такое произошло - надо исследовать. Вопрос к Инферно: у тебя есть какие то _физические_ линки кроме Стрима? Из каких сеьей были IP у тех хостов, что ты видел через виндозную сетку?

Итак, включаю клиент для сетей макрософт и tcp/ip и вот что вижу:


Группа Home - моя. Все остальное - нет.


Могу зайти в любую группу, увидеть компы группы и если там что-то расшарено, могу скачать:


Все IP в сетевом окружении (кроме моего, ессно) 169.254.ХХХ.ХХХ
Физические линки только на Стрим и на второй комп в квартире. Сеть со вторым компом сделана стандартными средствами Windows XP, я расшариваю инет на него. Второй комп соединен только со мной.
Как только отключаю на подключении стрима "клиент для сетей Макрософт" все лишнее в сетевом окружении пропадает.

[Инферно]

И еще одни вопрос.
Вот такую активность выдает файрволл:


При этом NetBios в соединении Стрима выключен... да и вообще весь TCP/IP там выключен.
Получается, что НетБиос выпущен гулять по просторам инета у прочих пользователей на марштрутизаторе Стрима. Т. е. как и у меня было недавно.
Так и оставить? Все блокируется, вроде. Или как-то можно избавиться?

[Vader]

Все IP в сетевом окружении (кроме моего, ессно) 169.254.ХХХ.ХХХ

Если не изменяет склероз это IP из дефолтных сеток, которые используются в случае, если DHCP не отработал. Теперь примерно ясно по какому сценарию вы могли оказаться в одной сети.
Так сказать сетка DHCP таймаутов. Кто бы мог подумать

Физические линки только на Стрим и на второй комп в квартире. Сеть со вторым компом сделана стандартными средствами Windows XP, я расшариваю инет на него.

Спасибо за инфу. Надо будет посмотреть более пристально на досуге.
Если обнаружу какие то детали передам саппорту Стрима

[keefeere]

а кто позвольте настраивал вам инет при подключении?
Я бы выключил на вашем ethernet интерфейсе ВСЕ протоколы влючая IP - у нас ведь PPPoE и IP нам не нужен.
На интерфейсе PPPoE выключил бы все кроме IP.
Эти 2 клика позволили бы вам уже гораздо больше обезопасить себя, и еще можно (а то и нужно) добавить файервол.. А насчет того что вас кто-то должен предупреждать - это бред - это в америке только пишут на стакане кофе что он горячий, и что феном не рекомендуется пользоваться под душем. Свои мозги надо иметь на плечах. А если бы интернет компании предупреждали о бы клиентов о всех потенциальных угрозах - к договору б прилагался толстенький талмуд.. который я думаю вы бы не прочитали...а насчет зарезания броадкастов - всегда можно зайти по ip \\zzz.zzz.zzz.zzz если открыт netbios

[keefeere]

нужно апгрейд компу делать наверное

сервер под 2003 на 3м пне в принципе справляется со своими задачами раздачи нэта на дом, участия в p2p и ftp сервера. А скачается фильм за 15 мин или за пол часа - имхо уже все равно.. Смотреть все это времени нет.. поэтому и нет смысла вкладывать деньги в старое железо или заменять то что уже работает..