אני מעוניין למנוע PING אצל המשתמשים ברשת (יוצא ונכנס), ורצוי דרך פוליסי ה IPSEC .
עקבתי אחר ההוראות של PETRI
http://www.petri.co.il/block_ping_t..._with_ipsec.htm
וזה לא עזר :-(.
וכן, סרביס ה IPSEC זמין ומופעל אצל המשתמשים.

אז כיצד אוכל לעשות זאת ?

Power. Passion. Purpose.

יש FW בדרך? למה שלא תחסום UDP-ים למיניהם?

נפלו לי כבר איזה 2 סוויטשים בעבודה.
מחקירה קטנה שביצעתי, כנראה מדובר במשתמש בעמדת קצה,
שהחליט להעביד את כרטיס הרשת במחשב באחד המעבדות "שעות נוספות" מול אמצעי הרשת.
אני מתאר לעצמי שהוא עשה את זה דרך שליחה של "פאקטים" (ולא של מלבורו לייט)
אני סה"כ מעוניין לחסום את האפשרות לתת ולקבל PING במחשבי הלקוח,
שלא ממש מאובטחים (כרטיס חכם). ברוב נדיבותי, אף ביטלתי את הסרביס של הFW,
כדי לאפשר למחשבי הP3 , 256MB קצת אוויר לנשימה לפני שהם חונקים את תקציב החינוך..

Power. Passion. Purpose.

לכל היותר תחלק בחצי את התעבורה, כי מה שיישלח, עדיין יישלח.

חסימת ICMP היא כמו להשתמש ב FW של המחשב - זוהי פעולה פיירוולית במהותה. אני בכלל לא בטוח שהשימוש בפונקציות IPSec למיניהן מכביד פחות מהפיירוול המובנה של חלונות...

אני בספק שמת לך סוויצ' בגלל פינג למחשבי חלונות. אם מישהו היה נופל כאן קודם, זה חלונות.

סוויצ'ים מתים בד"כ בגלל בעיות בחשמל, או בגלל שהם סוג ג' (יוצא דופן: או בגלל שהם נמצאים באיזור חם, אם הם מתוצרת סיסקו. לסיסקו יש בעייה שעוברים את ה 30 מעלות, לא ברור למה...), או בגלל שהם סוויצ'ים עם מאווררים והמאווררים הלכו ואף אחד לא שם לב...

נמאס לכם לזכור סיסמאות? לחצו כאן!

במקרה הראשון : סוויטש הפסיק להעביר תקשורת, ניתקתי עמדת קצה שהייתה "מהבהבת" הרבה בסוויטש, והוא חזר לעבוד. בעמדת הקצה מערכת ההפעלה הייתה תקועה במצב כזה שהייתי צריך לעשות RESTART.
במקרה השני : סוויטש אחר ברשת אחרת הפסיק להעביר תקשורת. הזמנתי טכנאי תקשורת שטען שהבעיה נובעת מאחת העמדות ששולחת תקשורת בלתי פוסקת לאנשהו..

האם לחלק את התעבורה לחצי יכל לעזור ? דרך איזה אמצעי לבצע זאת ? האם יש דרך לנתר ולמנוע פעילות שיכולה לגרום למצב כזה ?
הסוויטשים דווקא חדשים. תוצרת 3COM

Power. Passion. Purpose.

נשמע כמו broadcast storm...

אם זה סוויצ' מנוהל, תוכל להגביל את מספר ה broadcast-ים לשנייה פר פורט למספר נמוך (נניח - 10), או להפעיל פונקציית broadcast suppression אם יש...

בכל מקרה הצפות מהסוג הנ"ל בד"כ אינן מ icmp אלא דווקא מפרוטוקולים אחרים (כמו NetBIOS הארור...), או לחלופין התקפות MAC שממלאות את טבלת ה MAC של הסוויצ' ואז הוא לא מסוגל לתפקד (הפתרון במקרה זה הוא לנעול את הפורטים כך שתסכים לקבל רק MAC-ים מוגדרים מראש, או רק את ה MAC הראשון שהסוויצ' רואה בפורט מסויים, ולא הלאה מכך...)

אם הסוויצ' לא מסוגל לבצע את ההגבלות הנ"ל, אז אני מצטער, אבל הוא לא סוויצ' שמיועד לרמה המצופה מסוויצ' בסביבה לא מבוקרת / עויינת על עמידות צריך לשלם, אין מה לעשות.

אפשרות אחרת היא לחלק את הרשת לתתי רשתות (VLAN-ים) - למשל לפי צוותים, או איזורים, או כיתות, או כל חלוקה הגיונית בהתאם לסביבה. הבעייה בפורמט רשת כזה, הוא, שמשהו צריך לחבר בין הרשתות, ולמשהו הזה קוראים ראוטר (או סוויצ' שתומך ב Layer 3 ואז מגדירים VLAN Interface על כל אחד מה VLAN-ים שהוקצו, והסוויצ' [שבעצם מתפקד כראוטר] דואג לנתב בין הרשתות). כמובן שבמקרה זה צריך להגדיר גם בסוויצ' עצמו יציאה ל Default Gateway שיוצא לאינטרנט (וב DGW צריך להגדיר ניתוב חוזר לכל טווח הרשת שיושב ב VLAN-ים השונים לכיוון ה IP של הסוויצ' ב VLAN של ה DGW...)

מקווה שלא אמרתי יותר מדי קללות

נמאס לכם לזכור סיסמאות? לחצו כאן!

שום קללה, דווקא נהניתי,
אבל איך תעביר broadcast בין ה vlan-ים השונים? או שהswitch-ים תומכים בזה באופן מובנה?