A**********e 发帖数: 3102 | 1 考虑到 wireless 用户,可能保持 putty 链接是个问题?如何能够让 putty/plink 自
动重接? |
a*******e 发帖数: 3021 | 2 为啥不用samba+vpn?
【在 A**********e 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 考虑到 wireless 用户,可能保持 putty 链接是个问题?如何能够让 putty/plink 自 : 动重接?
|
s*c 发帖数: 3 | 3 回楼主 理论上靠普啊。 samba可以做tcp连接。只要是tcp. ssh forward都可行的。
有一个myentunnel可以让plink自动连接。而且是后台的。可以做成services.
另外楼主 我是为了回你这帖子专门注册了ID. 累啊。。。 |
A**********e 发帖数: 3102 | 4 详细说说?
plink 自
【在 a*******e 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 为啥不用samba+vpn?
|
A**********e 发帖数: 3102 | 5 赞这个啊。
我目前是用的 MS Loopback Adaptor 设一个虚拟的 IP,然后 ssh tunnel 远程的 590
1 到这个 IP 上,再从 explorer 里的 map network drive 选项把这个 IP map 成 lo
cal disk。我用是没问题。但是这是大家在用,要考虑到群众们的反应啊。我不知道能
不能跟人家说清楚。。。
【在 s*c 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 回楼主 理论上靠普啊。 samba可以做tcp连接。只要是tcp. ssh forward都可行的。 : 有一个myentunnel可以让plink自动连接。而且是后台的。可以做成services. : 另外楼主 我是为了回你这帖子专门注册了ID. 累啊。。。
|
a*******e 发帖数: 3021 | 6 ........
在samba服务器上同时做个openvpn服务器,分配局域网地址比如192.168.2.*
用户vpn后成了该局域网用户,直接访问samba服务器192.168.2.1.
【在 A**********e 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 详细说说? : : plink 自
|
A**********e 发帖数: 3102 | 7 。。。 对用户来说,这个和 ssh 有啥不同么?而且 ssh 在 putty 下有一堆工具,还
可以和用户的 WinSCP 一起设置。更何况 VPN 好像不如 ssh 可靠?起码我过去的系的
VPN 一直踢人。
再者,我怎么访问 VPN?岂不是要在 iptables 上再多开个洞?我现在希望除了 licen
se server 必须要开 port 来访问相应公司的 license server 以外,所有别的服务都
从ssh port 走 -- 这样我把 ssh port 放在高端的后,会安全得多。
另一个安全隐患是我们这里所有计算机都能远程 remote desktop,而大家的密码又多半
很弱智,况且在 windows 上人人都有 administrator 权限,也就是说,都能看我的文
件,尤其是我的 private key。害得我禁止了自己在所有机器上以 server wheel grou
p user 来访问服务器,目前只允许从我的 notebook 访问。这都是什么破事啊。windo
ws 这种模式很让人头大。
【在 a*******e 的大作中提到】![](/moin_static193/solenoid/img/up.png) : ........ : 在samba服务器上同时做个openvpn服务器,分配局域网地址比如192.168.2.* : 用户vpn后成了该局域网用户,直接访问samba服务器192.168.2.1.
|
a*******e 发帖数: 3021 | 8 都可以,哈哈
俺是从一个非IT普通用户角度看的,vpn最简单直接,ssh tunnelling不是那么容易懂的
你们的服务器是windows?
licen
多半
grou
windo
【在 A**********e 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 。。。 对用户来说,这个和 ssh 有啥不同么?而且 ssh 在 putty 下有一堆工具,还 : 可以和用户的 WinSCP 一起设置。更何况 VPN 好像不如 ssh 可靠?起码我过去的系的 : VPN 一直踢人。 : 再者,我怎么访问 VPN?岂不是要在 iptables 上再多开个洞?我现在希望除了 licen : se server 必须要开 port 来访问相应公司的 license server 以外,所有别的服务都 : 从ssh port 走 -- 这样我把 ssh port 放在高端的后,会安全得多。 : 另一个安全隐患是我们这里所有计算机都能远程 remote desktop,而大家的密码又多半 : 很弱智,况且在 windows 上人人都有 administrator 权限,也就是说,都能看我的文 : 件,尤其是我的 private key。害得我禁止了自己在所有机器上以 server wheel grou : p user 来访问服务器,目前只允许从我的 notebook 访问。这都是什么破事啊。windo
|
A**********e 发帖数: 3102 | 9 我现在的服务器是 linux 啊。我觉得 firewall 上能少开洞为佳。我们这里人人都用
putty 和 WinSCP 的,只要教大家如何设置 Pageant 就成了。
懂的
,还
系的
务都
的文
【在 a*******e 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 都可以,哈哈 : 俺是从一个非IT普通用户角度看的,vpn最简单直接,ssh tunnelling不是那么容易懂的 : 你们的服务器是windows? : : licen : 多半 : grou : windo
|
s*c 发帖数: 3 | 10 楼主我试验了 完全可行。
但前提是139端口要关闭.
http://www.blisstonia.com/eolson/notes/smboverssh.php
用myentunnel 所有都在幕后。 用户是透明的。 这样只有ssh端口开放。
其实 可以认为ssh的port forward就是一个vpn 只不过就vpn一个口子而已. |
A**********e 发帖数: 3102 | 11 我已经用了一段日子了,呵呵。但是 myentunnel 似乎在我的笔记本上不是很好用。所
以我还是用 pageant 管理 key,用 plink 接,自己写个 .bat。
windows xp 就是好呀,不需要关 139,就直接把 139 给 tunnel 到 windows loop ad
apter 上就成。目前还是有些问题的:
windows vista 我还没有实验成功。我的确也 tunnel 了 445 来封嘴,但是没通。等下
周我再试一试 -- 我自己不用 vista,所以得找别人的机器来试验。
另一个问题是,一旦 tunnel 成功后,不能再用别的用户名来 samba 了。windows 持续
报错,说同一位置不能接受两个不同用户名,要我先 umount。我好想把能 umount 的都
摘了,还是不行。不知道是否需要清一下某个 cache。好在用户不会有这个问题。
第三个问题就是笔记本了:一旦断链接,那些使用 samba 的程序有的会有不可预见的后
果。比如说 matlab 就死掉了。好在 desktop 不会有这个问题。
各位觉得用 ssh 来 samba 犯得上么?
【在 s*c 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 楼主我试验了 完全可行。 : 但前提是139端口要关闭. : http://www.blisstonia.com/eolson/notes/smboverssh.php : 用myentunnel 所有都在幕后。 用户是透明的。 这样只有ssh端口开放。 : 其实 可以认为ssh的port forward就是一个vpn 只不过就vpn一个口子而已.
|
s*c 发帖数: 3 | 12 1.不知楼主的139如何绑定 到loop口? 我试验的好像只要在一个口上禁用netbios
over tcp.所有的nic都被禁用了。
2. ssh forward samba 我觉得犯不上吧。
除非你samba上放的明文的东西 担心被偷。 本身samba访问的验证是不传输明文密码
的。
3.不知道楼主说的混乱和攻击频繁是什么意思?
3.1我觉得可以用一些 集中式管理的病毒软件。就算给普通用户local admin 的权
限。他也无法disable病毒程序。我们以前用trend,感觉对木马杀的一般。但用户卸载
是需要通过server端。
3.2 我们以前是有个audit的程序。三个月 就要运行一下。生成一个报表自动
upload. 如果你没通过audit,比如硬盘没有加密。某些软件没有安装 病毒库没有更新
。 上次运行杀毒太久。 那么你的manager就会被mail通知到。 和KPI挂钩的. 大家
都不敢马虎。 关于一些软件无法audit的。比如laotop要锁在桌子上。桌面上没有任
何泄密的资料等等。这些需要你的同事给你签名。
3.3至于攻击。如果是内部的攻击。可以在一些 |
A**********e 发帖数: 3102 | 13 多谢多谢 :)
我是把 dest.server:139 ssh tunnel 到 windows loop adaptor 的 IP 上的,好像文
件共享不受影响,因为 windows loop adaptor 和 localhost 的 IP 不同。
至于想 ssh forward samba,是想尽量在 firewall 上少开洞,而且这样所有的攻击都
可以在 sshd 上看到。
嗯,让我查查比较现成的 script/program 来自动识别攻击并封锁对方的 IP。过去的学
校的 IT 很强,所以自己不用太操心,server 被攻击后不久 IT 就能发现并且处理。现
在这个学校的 IT 就是一团糟,什么都得自己操心,呵呵。
sniffer
【在 s*c 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 1.不知楼主的139如何绑定 到loop口? 我试验的好像只要在一个口上禁用netbios : over tcp.所有的nic都被禁用了。 : 2. ssh forward samba 我觉得犯不上吧。 : 除非你samba上放的明文的东西 担心被偷。 本身samba访问的验证是不传输明文密码 : 的。 : 3.不知道楼主说的混乱和攻击频繁是什么意思? : 3.1我觉得可以用一些 集中式管理的病毒软件。就算给普通用户local admin 的权 : 限。他也无法disable病毒程序。我们以前用trend,感觉对木马杀的一般。但用户卸载 : 是需要通过server端。 : 3.2 我们以前是有个audit的程序。三个月 就要运行一下。生成一个报表自动
|