Routing prog met log?

[sharkzor]

bij het hok van onze studie vereniging krijgen we binnenkort eindelijk onze uplink naar internet terug..
dit word waarschijnlijk weer een directe connectie met public ip.

om de ellende die we vroeger te verduren hebben gehad te voorkomen, willen we dit keer een router inzetten met een goede beveiliging. bepaalde poorten worden dichtgegooit en logging is ook erg belangrijk...

wat in ons hok staat/komt te staan: win2k/2k3 servertje (dc) voor wat bestanden en inlog voor de workstations.
verder alleen wat laptop werkplekken.

belangrijk voor ons is dat we een goede log bij kunnen houden van wanneer wie wat doet. met de werkstationnen alleen zou dat makkelijk zijn want die loggen in op een win2k/2k3 server...
filteren op mac was eerst het idee, maar dat is simpel te faken.

vroeger had iemand een systeem onder linux opgezet waarmee je eerst via een puty client moest connecten en inloggen. opzich een leuk idee, maar dat werkt wat te omslachtig.

zoek gewoon wat waarmee laptops extreem simpel kunnen connecten (impluggen en gaan) en toch een log word bijgehouden.
is er een routing programma dat NAT doet en bv een extreem simpel client proggie heeft waarmee je moet inloggen?

voodat met gaat roepen, heb zelf al vele mogelijkheden onderzocht (isa server, winroute, freesco, smoothwall etc...)

[Wokschotel]

1 tip: zorg ervoor dat niemand die logging kan weggooien. Ik heb het vaak genoeg gezien dat iemand trots riep dat ie allerlei inbraakpogingen in z'n log kon terugvinden, totdat ie erachter kwam dat hackers de log hadden weggeflikkerd.

[Jelmer]

offtopic:
WOEI!!! Eindelijk!! hoe hebben jullie dat geflikt? Enne, dit keer 100mbit?? oh, wacht, verkeerde forum

Ik heb een tijdje geleden met Wouter naar iptables gekeken, hier zou dan wel een patch voor geschreven moeten worden...

Maar wat moeten jullie exact gaan loggen? Zou de ssh constructie van Wouter evt voldoen? Zo ja, dan zou ik voor 802.1x gaan. Dit zit tegenwoordig standaard in Windows, Linux, Cisco, W-lan apparatuur, enz. (OpenBSD is er geloof ik mee bezig) Authenticatie gaat via radius. Geloof dat Leenderd van Doesburg hier onderzoek naar heeft gedaan.

Een andere optie, waar Wouter ook van op de hoogte is, is een PPTP tunnel. Dit heb ik tijdens het project al naar voren gebracht en daar zijn Adrie van Doesburg, Leo van Moergestel en Kees Uiterwijk waarschijnlijk ook van op de hoogte. (geloof dat ik ook nog eens een netwerk layout heb getekend hoe je dat zou moeten implementeren, deze is in bezit bij een van hun. Misschien dat zelfs van Pol er zelfs van weet.)

Verder zou ik gewoon eens aan van Pol vragen hoe de school het zelf denkt op te lossen met het w-lan verhaal.

Wokschotel, remote logging wordt zeker rekening mee gehouden kennende het huidige bestuur (remote syslog + syslog tap zodat de remote syslog evt ook als honey-pot kan dienen)

Enne, DC als in Direct Connect?

[ Voor 56% gewijzigd door Jelmer op 18-03-2004 22:21 ]