Samba auf Netzwerk festlegen/FTP abschalten

:huhu:

da ich hier alle meine Daten auf großen Raids in einem Fileserver habe und ich auf diese im Netzwerk zugreifen kann, sollen diese Daten geschützt werden. Dazu habe ich diese mit 4kb großen keyfiles verschlüsselt (Twofish256) und diese auf den USB Stick an meiner 7170 gelegt.

In der Firewall habe ich alle IP Adressen auf Mac Adressen festgelegt. Der DHCP ist abgeschaltet. Das Wlan hat eine eigene IP Range und alles ist WPA2 verschlüsselt (63 stelliger Randomkey). Ausserdem kann ein Zugriff auf den Fileserver nur mit den richtigem User/Pass durchgeführt werden und nur aus 2 IP Ranges. Insgesamt ist als das Netzwerk (vor allem das Wlan) also recht sicher.

Beim Booten wird der USB Stick per smbfs auf dem Fileserver gemountet und mit den Files die Platten gemountet. Soweit so gut. Allerdings kann man auch per Wlan auf den USB Stick zugreifen, was ich persönlich arg blöd finde. Also habe ich versucht die Zeilen


in der smb_conf hinzu zu fügen, um damit das Wlan generell auszuschliessen und nur die Rechner im LAN zu erlauben. Danach sagt mir allerdings Samba, dass er mich generell nicht mehr mag, sprich ich bekomme eine Ablehnung, dass der Zugriff nicht möglich ist.

Ausserdem könnte man immer noch per FTP darauf zugreifen, was für mich auch nicht akzeptabel ist, weil die Verbindung recht unsicher ist. Wenn ich Daten austauschen möchte, kann ich das ja auch per Samba oder fish machen.

Also ergeben sich aus der Geschichte zwei Fragen:
1.) Wie bring ich dem Sambaserver auf der fritzbox bei, nur bestimmte IPs/IP Ranges zu akzeptieren?
2.) Wie schalte ich den FTP auf der Fritzbox dauerhaft ab?

:habenwol:

Danke für jede Hilfe.

kay1234 schrieb:

zu 1. Vielleicht hilft es, statt alles zu blockieren, nur den WLAN-Adressbereich bei hosts deny anzugeben?

Zum Vergrößern anklicken....

Interessanterweise hat die Zeile deny hosts = 192.168.7.0/24 überhaupt keine Auswirkungen. Ich kann trotzdem wie gewohnt (aber nicht erwünscht) über das Wlan auf den USB zugreifen.

kay1234 schrieb:

zu 2. "killall -9 ftpd" tötet den ftp-Server auf der Box. Damit man das nicht immer von Hand eingeben muss könnte man es ans Ende der debug.cfg setzen.

Zum Vergrößern anklicken....

Ich habe es jetzt erstmal über einen Cronjob gelöst, aber da find ich noch was besseres. Über die ar7.cfg kann ich den ftpd nicht abstellen. :noidea:

// Edit:
Also weder hosts allow, noch hosts deny funktioniert. Das binden an ein Interface funktioniert genau so wenig. Tja, damit gehen mir dann etwas die Ideen aus.

Was für ne Doku? :noidea:

Also folgende Methode funktioniert:
Alle sperren mit hosts deny=0.0.0.0/24
eine IP freigeben mit hosts allow=192.168.16.20

keine andere Version, die ich probiert habe, funktionierte auch nur annähernd. Wenn ich in der hosts deny einzelne ip ranges sperre, kann aus genau dieser iprange drauf zugreifen. Wenn ich einzelne IPs sperre nutzt das garnix und wenn ich eine Range freigebe, hat wieder jeder Zugriff.

Ausserdem funktioniert diese Konfiguration auch nicht:
Warum? Zugriff ist auch über die Schnittstelle WLAN möglich und im Syslog steht auch nichts. *schulter-zuck*

Mein konkretes Problem ist zwar gelöst, allerdings sollte samba von Haus aus eigentlich mehr können. Im Syslog findet sich folgendes, sobald der Zugriff verweigert wurde.


Evtl. kann damit ja jemand was anfangen. Wenn ich mal ganz viel Muße und Zeit hab und sonst keiner eine Idee dazu hat, versuche ich das Paket nochmal neu zu kompilieren. bei der Gelegenheit, warum ist eigentlich das Sambapaket so alt (und mit kritischen Sicherheitslücken)? Gibt es da Probleme mit neueren Versionen?

Die Bridge dürfte keine Probleme machen, weil eth0 nunmal die Netzwerkkarte von der fritz.box ist.


Wenn ich alles an eth0 binde, sollte auch nur ein Zugriff über eth0 möglich sein. Wlan und DSL sind ja eigene Schnittstellen. Ich habe ja auf meinem Fileserver genau die gleiche Konfiguration (Zugriff an eth0 gebunden, hosts deny = 0.0.0.0/24, hosts allow = 192.168.2.0/24) und da funktioniert es.