Netbui wird nicht dicht

#1 Hallo Freunde,

ich hoffe die Frage hängt euch nicht zum Hals heraus. Ich denke, nach eingehendem lesen hier, hab ich nur ein konfig-Problemchen.

Sachverhalt:

1 XP Rechner mit Kerio
1 98 Rechner

Beide Rechner sind verkabelt und gegenseitig ansprechbar.Um vom 98er auf die Shares des XP PC´s zugreifen zu können, wurde auf dem 98er der Client für Microsoft Netzwerke installiert und diesen Benutzer dann in die Gruppe der Lokalen Administratoren auf dem XP Rechner geworfen. So kann ich von beiden Rechner aus auf Freigaben, Standardfreigaben zugreifen <> !

Ich hätte gerne, dass Kerio mir nun den Zugriff auf die Share sperrt. Deswegen habe ich folgende Regel erstellt:

Description: NetBIOS
Protocol: TCP and UDP (Transmition Control Protocol und User Datagram Protocol)
Direction: Both direction (Verbindungen zu beiden Richtungen)
Local Port: Any Port (Der lokale Port)
Application: Any (Jede (internetfähige) Anwendung)
Remote-Port: Port/Range: First Port: 135 Last Port: 139
Remote Adress: Any (Kein Rechner im Netz hat Freigabeerlaubnis)
Rule Valid: Always (Die Regel hat ständig Gültigkeit)
Action: Deny (Der Zugriff wird blockiert)
Häckchen an: Log when this rule match (Es erfolgt ein Eintrag im Logfile)

Trotzdem ist die Share aber noch ansprechbar, d.h. ein Laufwerk kann gemappt werden, oder direkt über ausführen \\192.168.0.2\d$ ausgeführt werden. Wie kann ich dies unterbinden? liegt evtl. eine Regel vor, die meine Regel aufhebt? und wie müsste diese aussehen? (kann auch mal nen Screenshot posten). Anmerkung: ich habe noch die Standardeinstellungen, vielleicht wisst ihr dadurch schon, welche Regel ich löschen muss, damit meine Netbios rule greift.

Ich wüsste wie ich Netbios ganz vom PC werfen kann, allerdings möchte ich nur per Firewall die Möglichkeit verbannen.

++++++++++++++++++++++++++++++++++++++++++++++

Wenn ich vom 98er Rechner aus den XP Rechner per Languard Scanne, dann sehe ich immer sofort den Rechner Namen vom XP, sowie Dienste und Macadresse. Wie kann ich dies unterbinden? Der Name wird wohl per Netbui übertragen und ist gelöst wenn ich obiges Problem gelöst habe. Aber Mac Adresse?! und dienste?! Was müsste ich einstellen, damit mein Rechner nicht mehr gefunden wird?

Danke und Gruß

Timeless

Beständig ist nur der Wandel...

#2

Zitat

Trotzdem ist die Share aber noch ansprechbar, d.h. ein Laufwerk kann gemappt werden, oder direkt über ausführen \\192.168.0.2\d$ ausgeführt werden. Wie kann ich dies unterbinden?

Versuch es mal, indem du Port 445 blockst.
__________
Wenn jeder an sich selbst denkt, ist an alle gedacht.

#3 Netbios (ist nicht das gleiche wie Netbui!) wird von Kerio nicht über das normale Ruleset, sondern über den Reiter "Microsoft Networking" abgehandelt. Schau mal nach, was dort alles eingestellt ist.
__________
"Scheinsicherheit" - wie leicht lassen sich Viren- und Trojanerscanner austricksen?

#4

Zitat

Local Port: Any Port (Der lokale Port)
Application: Any (Jede (internetfähige) Anwendung)
Remote-Port: Port/Range: First Port: 135 Last Port: 139

du musst die lokalen netbios ports (incl. 445) schließen
also:

Local: TCP 139, 445

greez

#5 Hallo,

nach der Info von "forge77" musste ich ja nichts mehr blocken, da die Funktion aufgehoben war.Danke.

@Forge:

Würdest Du mir den Unterschied kurz erklären...Netbios vs. Netbui?
Netbui = Protokoll, Netbios = die Möglichkeit ; ) ?????

Was ich noch nie verstanden habe:

Nehmen wir mal ftp. ftp hat Port 21, es ist aber nie so, das localer Rechner und remote Rechner über den 21er kommunizieren. Heisst dies, 21 ist nur der Port vom ftp Server?! welchen Port habe ich dann und gibt es eine Reihe von Ports die für mich dann möglich sind, dynamisch??? und wenn ja, gibt es für jeden Port eine Reihe von möglichen Ports beim Gegenüber? 139 vs 445???!!

Danke

Gru$

ps: bistn 77er Forge ; )?! ...me too... : )

#6 ist meine Frage zu simpel? setzt sie zu wenig Fachkompetenz voraus, um sich eingehend auf meine tiefere Stufe zu begeben?
Hab ich es möglicherweise zu undetailiert formuliert? Sollte ich mehr Eigenengagement aufbringen und mir die Fragen selbst beanworten? würde mich freuen, wenn jemand sein Fachwissen über die 2 Fragen hier präsentieren würde und mir in kurz geschriebenen Blocksätzen meine Fragen beanwortet. Danke!

Gruß

#7

Zitat

Timeless postete
Sollte ich mehr Eigenengagement aufbringen und mir die Fragen selbst beanworten?

Verkehrt wäre es nicht
http://www.google.de/search?hl=de&lr=&ie=UTF-8&q=Netbios+vs.+Netbeui&spell=1
3 Ergebnis:
http://www.psp.co.uk/tfl/techindx.htm

Zitat

NetBios vs NetBeui

I see a lot of confusion between NetBeui and NetBios. The differences are simple, but possibly misleading. In NT (and Win9x) terms, NetBeui is a transport protocol, at the same level in the network stack as TCP/IP and IPX/SPX. It is a simpler transport protocol than TCP/IP in that it does not support routing and is self configuring. NetBios, on the other hand, is a network interface and sits above the transport protocols.

A major weakness of NetBios is it's naming. With NetBios, the name space is flat, thus all systems and domains have to have a unique name, unlike DNS names which, being hierarchal, allows substaintially more flexibility.All NT, 95 and Windows for Workgroups systems have unique NetBios names. NT also used NetBios names to find different services by utilising the 16th character (often shown as NetBios name<xx> - the xx is the 16th character and is in hex). To find the domain controler for the Hawaii domain, for example, you would find HAWAII<1B>.

A programmer would use NetBios to access the transport protocols. In this sense, NetBios is transport independent. NetBios over TCP/IP (NBT) is defined in RFC 1001/2. With NT, if you have TCP/IP you have NetBios too, there's no way to separate this.

A final note: to a large degree, NetBios as both a network interface and a naming convention will be going in Windows 2000. Although Windows 2000 will support NetBios names (for downlevel clients and domains), DNS as the locator service and DNS names as standard. This will make many of us very pleased!

__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#8 >verkehrt wäre es nicht!

zumindest wusste ich, dass ich mit meiner Fragestellung eine Angriffsfläche biete, auf die Du natürlich voll eingestiegen bist. War ja auch nicht anders zu erwarten...ich unterstelle dir jetzt mal keine Gehässigkeit und bedanke mich bei dir. Auch wenn es mir in deutsch lieber ist!

http://www.freenet.de/freenet/computer/internet/surftools/netzwerkprotokolle/04.html

Das eigentliche Protokoll NetBEUI (NetBIOS Extended User Interface) erweitert NetBIOS um die notwendigen Protokollfunktionen. Es benutzt zur Adressierung der Endgeräte die von NetBIOS verwalteten MAC-Adressen und liegt in Schicht 2 des OSI-Modells.

+++++++++++++++++++++++++++++++++++++++

Dann wäre aber trotzdem noch meine 2te Frage. Hast Du oder habt ihr die verstanden? Ich weiss sehr wohl, dass Fragen meine Schwächen beinhalten, jedoch sollte es doch für euch N8menschen möglich sein, mir dies kurz zu erläutern. Also, bedeutet z.b. Port 80 http, das bei meinem lokalen Rechner Port 80 offen ist und beim Remote(server) auch? im tcpview..bzw netstat..konnte ich dies beim Server sehen, bei mir waren jedoch andere Ports offen die zum 80 Server führen.
Danke!

LG

#9 Sag mal, Timeless, glaubst du, hier sind alle nur dazu da, _deine_ Fragen so schnell wie möglich zu beantworten?! Nach einem Tag ohne Antwort schon rummosern... *kopfschüttel*

Noch kurz zu Netbios vs. Netbeui:
Die bekannte Datei- und Druckerfreigabe von Windows benutzt standardmäßig Netbios over TCP/IP, also das TCP/IP-Protokoll und nicht Netbeui. Die dabei benutzten Ports sind 137-139.
Seit Win2000 kann kann die Dateifreigabe wahlweise auch ohne den Netbios-'Aufsatz' laufen, also direkt über TCP/IP. Das wird dann über Port 445 abgewickelt.

Zu deiner anderen Frage: Nur der Server hält einen _festen_ Port offen (z.B. Port 80 für http, Port 21 für FTP usw.)
Auf der Client-Seite (also i.d.R. 'deiner' Seite) werden die Ports dynamisch vergeben (im Bereich oberhalb von Port 1024.)
Deine Beobachtungen/Vermutungen waren also korrekt.

PS: nee, bin kein 77'er... aber nicht sehr weit davon entfernt...
__________
"Scheinsicherheit" - wie leicht lassen sich Viren- und Trojanerscanner austricksen?

#10 @forge77

AFAIK ist es auch ab 2k möglich bei _aktiviertem_ NBT via SMB over TCP (445) sich zu verbinden, je nachdem welches verfahren die gegenstelle verwendet
445 gewinnt IMHO im challenging immer die oberhand, wenn es von beiden seiten unterstützt wird

greez

#11 Ja stimmt, ich hatte mich etwas undeutlich ausgedrückt... mit "wahlweise" meinte ich genau das - dass je nachdem, wie der Server antwortet, 'dynamisch' über die benutzte Methode entschieden wird.
__________
"Scheinsicherheit" - wie leicht lassen sich Viren- und Trojanerscanner austricksen?