رفع حملات به سرور و کنترل ترافیک مصرفی کاربران
با سلام خدمت اساتید محترم.ما یک شرکت کوچک با یک سرور پی سی مطابق شکل زیر داریم:
روی این سرور که به صورت دامین هست. DNS و DHCP هم داریم که روی آن برنامه حسابداری شرکت هست و دو کاربر شهرستان هم به وسیله ریموت دسکتاپ به آن ریموت می زنند. حالا من با چندین مشکل مواجه شدم:
1. حجم آپلود بسیار زیاد که به سرعت حجم اینترنت شرکت را تمام می کند که با زیر نظر گرفتن network در resource monitor متوجه شدم که DNS با تعدادی IP متغیر خارجی ارتباط داره که این مشکل چندی پیش با بستن ارتباط Public سرویس DNS در آنتی ویروس کسپرسکی حل شد!
2. جدیدا هم دوباره مشکل آپلود تکرار شده که که با زیر نظر گرفتن network در resource monitor متوجه برنامه نامشخص! lsass.exe شدم که باز هم با تعدادی IP خارجی در ارتباط است و حجم عظیمی از آپلود را میخورد. و نمیدونم باید چطور جلوشو گرفت؟ آنتی ویروس و آنتی مالور هم نصب و آپدیت هست و هر نوع اسکنی که بگید انجام شده.
3. میخواهم مطابق نقشه زیر یک روتر میکروتیک اضافه کنم که:
a. هم امنیت بیشتر گردد
b. و هم اینکه بتوانم میزان مصرف اینترنت کاربران را کنترل کنم (بر حسب IP یا مک آدرس)
c. بتوان دو اینترنت مجزا را به هر یک از کاربران که بخواهم بدهم (قابل تغییر باشد بر اساس IP یا مک). مثلا پی سی شماره 1 از اینترنت 1 استفاده کند و لپ تاپ هم از اینترنت شماره 2 و باقی سیستم ها فعلا اینترنت نداشته باشند. اما مبتدی هستم و تا به حال این کار را انجام نداده ام و نمی دانم باید چه کار کنم
ممنون میشم اگر اساتید مرا به طور کامل راهنمایی کنند و شیوه جلوگیری از حمله و روش کانفیگ کردن روتر برای مقابله با حملات و کنترل اینترنت کاربران را به طور کامل بیان فرمایند. با توجه به این که مبتدی هستم
با سپاس از همه عزیزان
7 پاسخ
سلام به دوست گلم
خب منم مثل خیلی ها چیزی نمیدونم ولی از حرفایی ک شما زدین و من متوجه شدم شما نیازمند این هستین که مدیریت ترافیک انجام بدین خب این توسط میکروتیک خیلی راحته و کاری نداره اما درباره این که میبینید سیستمتون با فلان ipها هم در ارتباط هست میشه هم از طریق فایروال میکروتیک جلوش رو گرفت هم از طریق فایروال خود سیستم.
خب برای اینکه یک سری از کاربران از اینترنت 1 استفاده کنن و یک سری دیگه از اینترنت شماره 2 و بعضی اصلا اینترنت نداشته باشن باید ابتدا کار شما address list ایجاد کنید:
ip firewall address-list add list=internet_1 address=192.168.1.2
مثل کد بالایی ک نوشتم در ترمینال میکروتیک برای هر کامپیوتری ک میخای از اینترنت شماره 1 استفاده کنه جزو list اینترنت شماره 1 قرار میدی و کد بالا رو براش مینویسی وبرای کاربرانی ک میخواهی از اینترنت شماره 2 استفاده کنن هم مانند کد بالا یک address-list شبیه بالایی مینویسی فقط در قسمت list نام مانند internet_2 برای کاربرانی که میخواهی به اینترنت شماره دو متصل بشن مینویسی
خب تا اینجای کار ادرس لیست تهیه کردیم الان میرویم سر وقت Mangle و ترافیک رو علامت گذاری میکنیم خب از اونجایی ک ترافیک از روی روتر عبور میکند و متعلق به روتر نیس باید برای routing mark بنویسیم به این شکل :
ip firewall mangle add chain=prerouting src-address-list=internet1 action=mark-routing new-routing-mark=net1
خب برای توضیح کد بالا خدمتت عرض کنم که ما chain رو قرار دادیم prerouting یعنی قبل از اینکه مسیریابی انجام بگیره تشخیص بده که این بسته باید باهاش چیکار کنه بعد عملیات مسیریابی روی اون صورت بگیره در قسمت src-address-list هم همون نام ادرس لیستی که برای کاربرانی که میخواهن از اینترنت شماره 1 استفاده کنن در نظر گرفتیم و در قسمت action، mark-routing رو انتخاب کردیم و در قسمت new-routing-mark هم یک نام برای مارک کردن انتخاب کردیم
خب برای کاربرانی ک میخواهن از اینترنت شماره 2 استفاده کنن همین کد رو مینویسیم و ادرس لیست و new-routing-mark رو هم تغییر میدیم
خب حالا به سراغ قسمت routing میریم تا بگیم که وقتی میخوان از اینترنت استفاده کنن هدایتشون کنه به سمت سرویس دهنده اینترنت مشخص که براشون تعیین کردیم :
ip route add dst-address=0.0.0.0/0 gateway=192.168.1.1 routing-mark=net_1
ip route add dst-address=0.0.0.0/0 gateway=192.168.0.1 routing-mark=net_2
در قسمت gateway باید ادرس اینترفیس خروجی رو برای دسترسی به اینترنت بدیم و برای هر کدام متفاوت هستش و در قسمت routing-mark هم نام اون لیستی از کاربران که مارک کردیم که از اینترنت شماره 1 یا 2 را دریافت کنه رو وارد میکنم
خب بعد از این کار نیاز هست برای هر کدام یک src-nat جدا هم بنویسی تا بتونن به اینترنت دسترسی داشته باشن و برای اینکه غیر از این کاربران به اینترنت دسترسی نداشته باشن بهتره src-nat رو برای این کاربران بنویسی به این شکل :
ip firewall nat add chain=srcnat out-interface=ether3 routing-mark=net_1 action=masquerade
خب برای اینترنت شماره دو هم همین کار رو بکن
الان شما فقط به کاربرانی که انها رو مارک کردی اجازه دادی که به سمت اینترنت مسیریابی بشوند
خب برای مدیریت اینترنت کاربران میتونی از queue استفاده کنی از اونجایی که این قسمت شما یک سرچی بکنی مطالب زیادی پیدا میکنید من از گفتنش اجتناب میکنم
امیدوارم اشتباهی نگفته باشم و تونسته باشم مشکل شما رو حل کرده باشم
موفق باشین
yek_mosafer2000 عزیز، قیمت فایروال خیلی زیاده. نمی خوایم انقد هزینه کنیم. یه شرکت کوچیکیم.
فکر می کنم با میکروتیک بشه هر دو مشکل من رو رفع کرد اما خودم بلد نیستم.
بازم اگه دوستانی راه حلی به ذهنشون میرسه ممنون میشم بفرمایند
روتر میکروتیک انقدر قوی نیست که بتونه جلوی حملات ورو بگیره شما اگر خیلی نگرانی ی فایروال بگیرید
با سلام مجدد به yek_mosafer2000 عزیز
من همینی رو که می فرمایید بلد نیستم. امکانش هست کدهاش رو برام بنویسید؟
و این که چه روتری باید بخرم؟ که ارزون باشه و مطابق نقشه دوم وایرلس هم باشد؟
فکر کنم براتون r951 کافی باشه نیاز داری ی نت برای اینترنت شبکه داخلی که به مودم وصل شده بگیری و بقیه ترافیک رو deny کنی ...
خیلی ممنونم از راهنمایی تون aminirouhallah عزیز.
حتما این روشو امتحان میکنم
شما با فایروال میکروتیک میتونی Mangle کنی ترافیک عبوری رو و اینکه میتونی با نوشتن رول ترافیکی که در نظر داری عبور داده بشه رو رد کنی