Wie fährt man am sichersten ?

[Rimini]

@rimini

kannst du mir vieleicht mal ein paar screens von machen, und auch einem nicht linux hasen erklären wie kompliziert die netzwerkeinstellungen sind?
kenne mich zwar etwas mit novell und unix aus aber linux habe ich höchstens mal samba eingerichtet. und das nach anleistung

Also Screen-Shots von coLinux findet man bei www.colinux.org und ein mehr oder weniger brauchbares Wiki. Hab da ein Problem, mal so auf die Schnelle an die Maschinen zu kommen, die werden in einem produktiven System von ca. Sonntagabend 21.00 bis Sonntagmorgen 6.00 benutzt und es ist schwierig in der verbleibenden Zeit Sonntags da reinzukommen.

Mit TopologiLinux geht die Installation recht einfach. Nimm die 5.1,0 Version ( www.topologilinux.com Demo reicht, die Full hat nur mehr Linux-Anwendungen). Der Knackpunkt ist, dass zuerst das TAP-Device unter Windows installiert sein muss, wird man aber von dem TopologiLinux Windows-Setup darauf hingewiesen. Die genaue Netzwerkkonfiguration hängt sehr davon ab, was man eigentlich erreichen will. Aber wer sich mit Novell und Unix etwas auskennt, sollte das hinbekommen. Ich habe auch vorher überhaupt keine Linuxkenntnisse, wenn man mal von versuchsweisen Installationen von SUSE absieht, gehabt und nur traditionell früher viel mit Novell NetWare und heute eben mit Microsoft Windows XP/Server 2003 zu tun. Eigentlich braucht man nur Kenntnisse, wie eine TCP/IP-Konfiguration unter Windows und unter Linux funktioniert und man muss wissen was man will. Die TCP/IP-Konfiguration in Windows XP sollte kein Problem sein (nehme ich mal an) und die TCP/IP-Konfiguration unter Linux sind auch nur ein paar Text-Einträge in einer Konfigurationsdatei (welche und wo man die findet ist distributionsabhängig).

Also einfach mal versuchen, am Windows-System wird ausser der Netzwerkkonfiguration, die man eigentlich selbst von Hand machen muss, bei der Installation von TopologiLinux nichts grundlegendes verändert und deinstalliren kann man TopologiLinux auch ganz einfach. Erste Installations-Versuche haben bei mir weniger als 1 Stunde gedauert, bis TopologiLinux über einen DSL-Router Zugriff auf das Internet hatte. Ich denke, dass man mit diesem Thema in der Betriebssystem-Rubrik hier im Forum einen neuen Topic aufmachen sollte, gehört eher dahin.

Gruß

Rimini

 

[UserDeLuxx]

Ist deine Lösung eigentlich nur in der Domain möglich?

Ich finde immer mehr Gefallen an deiner Lösung, aber ich habe keinen Server @home und habe eigentlich nicht vor einen anzuschaffen (Kostengründe). Ich will bei einem normalen Router mit NAT und SFI bleiben.

 

[Grand^21cw]

Ich kann Shihatsu nur zustimmen.

Eine Firewall ist blödsinn. Gerade Sygate ist das unsicherste, was du auf deinen Rechner bringen könntest.

Ein Antiviren Scanner bringt dir 3 Monate mehr Überlebenschance im Internet, weil er Viren und Zeugs finden kann und vernichten kann. 100% Schutz findest du damit nicht, denn wenn der Virenscanner nix findet, heißt es nicht, dass nix auf deinem Rechner drauf ist, sondern nur, dass er es nicht erkennen kann. Ist so ähnlich wie eine Infrarotkamera Roboter nicht finden würde, weil sie sowas nicht sehen kann. Sie erkennt nur Hitze. So ist es auch mit Virenscannern. Was sie kennen, erkennen sie und können es meist erliminieren.

Ein Router wehrt alle Software konsequent erstmal ab. Kleine Programme werden dadurch abgewehrt , also auch Trojaner und so.

Eine Desktop Firewall schafft nur mehr Lücken und wehrt meist nur von außen ab. Von innen kommt jeglicher Mist nach außen.

Eine Desktop Firewall schafft zudem nur mehr Lücken und bringt keine Vorteil. NUR NACHTEILE!
[...]

bevor du weiter solche behauptungen in den raum stellst würde mich mal interessieren, was da "bewiesen" ist. bzw. wo.
"Es ist bewiesen, dass eine Desktop Firewall und besonders Sygate extrem gefährlich ist."

die aussage ist ohne den beweis zu nennen nur schlechter stil

mir ist klar, worauf du hinaus willst, aber er hat ja nichts davon.

wenn softwarefirewalls dann die personal von kerio.

 

[UserDeLuxx]

Sorry, aber Software Firewalls überhaupt sind für nichts zu gebrauchen. Ich habe bereits in einem anderen Thread deutlich darauf hingewiesen, aber es ist schwer gegen die verbreitete Meinung anzukämpfen.

Du musst ledeglich die unnötigen Dienste abschalten und du bist ziemlich save. Eine Personal / Desktop / Software Firewall trägt NIE zur Sicherheit bei. Sie schafft sogar Unsicherheit.

So kannst du die Dienste abstellen.

www.dingens.org

Hier die Beweise:

http://www.ulm.ccc.de/chaos-seminar/personal-firewalls/recording.html

Du kannst gerne mal in den Thread schauen:

http://www.forumdeluxx.de/forum/showthread.php?t=163100

Wenn man jemanden von seiner Meinung abbringen möchte, ist das so gut wie unmöglich, da die meisten stur einfach sich auf das verlassen, was sie kennen und ihnen jeder erzählt.

Es ist aber tatsächlich so, dass PFWs nur Software Müll sind und keinen Nutzen haben. Wie auch? Es sind hostbasierende Paketfilter. Mehr nicht.
Den Namen 'Firewall' dürften sie nicht tragen.

Ich weiß nicht, ob du zur Einsicht kommen wirst, oder wie viel hier im Forum, nickst, zustimmst, aber dann den Post beendest mit: "... aber ich bleibe doch bei meiner Firewall" oder tatsächlich die Firewall über den Jordan wirfst oder schon getan hast und nur die Dienste abstellst, die die Lücken machen.

 

[Grand^21cw]

ich hab auch keine laufen, und komme ohne probleme durch den sygate test.

You have blocked all of our probes! We still recommend running this test both with
and without Sygate Personal Firewall enabled... so turn it off and try the test again.

 

[DasRauchendeGnu]

Wollte mal wissen, was ihr so nutzt um Win Xp so sicher wie möglich zu machen.
Also ich habe jetzt WIn XP + SP2 + aktuelle Updates drauf.
dazu
Sygate Personal Firewall
und sonst immer Bitdefender v 8

Welches Antivir Prog bevorzugt Ihr denn ? Es soll ne hohe Erkennungsrate haben, nicht viel an Leistung nehmen und mit der besagten Firewall klar kommen.
Wie ist denn Symantec Antivirus Corporate Edition v 10 ?

Gar nichts?
Wozu denn auch?
Ich sehe jedenfalls keinen Grund, mir die Festplatte mit dem ganzen Krempel wie Antiviren-Zeugs und Firewall zuzupacken.
So fahre ich Windows XP SP1 schon seit Jahren sicher.

Hatte keine Würmer oder ähnliches, höchstens mal ein bißchen Spyware oder andere, eher harmlose Malware, nichts, was sich nicht mittels Spybot oder Adaware fixen ließ...

Jemand meinte mal, bei mir kommt nichts wegen meinem WLAN-Router und dessen Firewall durch.

 

[Grand^21cw]

das wlan ist aber nicht offen oder?

 

[UserDeLuxx]

Gar nichts?
Wozu denn auch?
Ich sehe jedenfalls keinen Grund, mir die Festplatte mit dem ganzen Krempel wie Antiviren-Zeugs und Firewall zuzupacken.

Äh, also einen Virenscanner solltest du doch schon nutzen, denn woher weißt du denn, dass du keine Viren hast, wenn du keine Scans machst???
Antispyware Software wird es dir nicht verraten.

Mach mal einen Scan. Es reicht ja das Programm Antivir. Es ist kostenlos und recht gut.

Ein Virenscanner erhöht die Inkubationszeit von Viren von wenigen Minuten auf Monate.

So fahre ich Windows XP SP1 schon seit Jahren sicher.

Hast du denn wenigstens Updates zu SP1 oder nur SP1 nackt?

Jemand meinte mal, bei mir kommt nichts wegen meinem WLAN-Router und dessen Firewall durch.

Glaub mir. Dein Router hat bestimmt keine Firewall oder hast du 300 oder 500 EUR für den bezahlt? Bestimmt nicht.
Du hast nur ein billiges NAT, wie wohl jeder andere Router-Besitzer, aber das hält einiges ab. Viren jedoch nicht.

 

[Madnex]

@UserDeLuxx
Es gibt durchaus günstige Router mit SPI-Firewall. Das dürfte heutzutage sogar Standard sein.

Bezüglich dem Einsatz eines Antivirenprogramms. Schau mal hier: klick!

 

[kallemaen]

Hallo Leute,
ich muss den Usern Recht geben,die behaupten das eine Software-Firewall völlig überflüssig ist.
Solange ich XP habe,und das nur mit SP1,benutze ich auch keine Firewall.Man sollte allerding einige Dienste von XP abschalten,und regelmäßig die Portscanner im Web aufsuchen.
Das Problem an Pro u. Contra ist,das die meisten Leute nicht die Zeit oder das nötige Wissen haben,um sich gegen eine Software-Firewall zu entscheiden,denn sie arbeitet nach dem selben Prinzip,aber es bleibt eine Software,die evt. schlecht programmiert ist oder von Hackern nach schlupflöchern durchsucht werden.
Benutzt man eine Firewall wird das Betriebssystem auch um ca.10% langsamer,weil ja die Software den durchfluss oder Verkehr regeln muss,einmal fürs Betriebssystem von innen heraus, und von außen im WWW.

 

[UserDeLuxx]

Trotzdem erhöht sich die Überlebensdauer gar nicht schlecht, wenn du so ein Programm benutzt. Deshalb würde ich auch keins kaufen. Es reicht ein kostenloses. Vor den größten Gefahren schützt es dich, aber es ist tatsächlich nicht abstreitbar, dass sie nicht alles finden.

Ich habe nie behauptet, dass Virenscanner 100% zuverlässig sind, da sie ja nur funktionieren, falls ein Wurm in der Erkennungs-Datenbank des Scanners ist. Ansonsten ist er blind. Er ist ja nur von Menschenhand gemacht und die Datenbanken können auch nicht sofort greifen.
Ab und an einen Scan (vielleicht sogar online?) zu machen ist nicht verkehrt.

 

[Madnex]

Online würde ich niemals einen Virenscan machen. Diese Online-Scanner benutzen meist ActiveX und setzen den IE voraus. Allein aus diesem Grund ist davon abzuraten. Dann kommt noch hinzu, dass man nie genau wissen kann, ob und wie der Dienst die Daten auswertet. Das ist für mich einfach nicht vertrauenswürdig genug. Meine Daten gehen nur mich was an. Du gestattest, indem du einen Online-Scann durchführst, ja quasi einem Unternehmen einen Blick auf deine Festplatte bzw. Daten.

Die c't hat vor einiger Zeit mal Antivirenprogramme mit laufzeitkomprimierten Viren und mit selbst erstellten Viren aus Virenbaukästen, die jedes Skript-Kiddy benutzen kann, getestet. Das Ergebnis war mehr als erschreckend.

 

[DasRauchendeGnu]

Ich habe definitiv keine Viren, da mein Windows ja auch wunderbar läuft.

Selbst als ich mal spaßhalber auf einem meiner PCs einen Test gemacht hatte, kam nichts bei raus.

Woher sollen die Viren denn auch kommen?
Outlook nutze ich nicht, den IE auch nicht, gehe nicht auf unseriöse Seiten - also?

K.A: welche Version mein SP1 ist...ist auf der XP-CD mit drauf. Ob geupdatet oder nicht, ist ja auch egal.

Und selbstverständlich hat mein Router eine Firewall.
Sonst gäbe es ja nicht den Unterpunkt in Router-Menü.

WLAN ist natürlich verschlüsselt, Router PW-geschützt...und in diesem Scheißkaff hier habe ich eh kaum was zu befürchten.

 

[kallemaen]

@Madnex
Du hast recht einen Virenscan würde ich Online auch nicht machen.
Ich sprach von einen Port-Scan, den ich regelmäßig Online durchführe,und die pingen nur die Dienste im Betriebssystem an.
www.port-scan.de

 

[Madnex]

Missverständnis: Der Text war an UserDeLuxx gerichtet.

 

[Rimini]

Ist deine Lösung eigentlich nur in der Domain möglich?

Ich finde immer mehr Gefallen an deiner Lösung, aber ich habe keinen Server @home und habe eigentlich nicht vor einen anzuschaffen (Kostengründe). Ich will bei einem normalen Router mit NAT und SFI bleiben.

Nein, man braucht definitiv keine Domain oder einen Server, coLinux läuft lokal auf dem PC entweder als Anwendung oder als Dienst. Sinnvoll ist das aber aus meiner Sicht nur, wenn wenigstens ein Router die Verbindung zum Internet herstellt und nicht etwa ein Modem oder eine ISDN-Karte an/in dem Windows-PC genutzt wird. Geht zwar auch, aber dann nur, in dem man dem coLinux über das "Windows interne Internet-Sharing" den Internet-Zugang ermöglicht.

Ach ja hatte ich vorhin in der Eile vergessen:

Wenn man TopologiLinux per Autorun/Setup installiert, braucht man erstmal nur alle Einstellungen per Enter zu bestätigen, AUßER die Frage "Ob man den Linux Boot-Manager Grub installieren möchte". Das sollte man nicht machen, denn die enthaltene Slackware-Distribution lässt sich im nächsten Schritt einfach unter coLinux installieren. Man braucht also definitiv keine Dual-Boot Installation über den Linux Boot-Manager und somit wird nichts in den Masterbootrecord der Festplatte geschrieben, das Linux wird in eine Container-Datei installiert.

In TopologiLinux wird als interne IP-Adresse für den virtuellen TAP-Adapter 192.168.0.40 bei der Installation verwendet und unter Windows muss/sollte man daher dem TAP-Adapter die IP-Adresse 192.168.0.1 unmittelbar nach der Installation des TAP-Adapters und noch bevor man mit der TopologiLinux Installation weiter macht zu weisen.

Das wären dann aber schon die eigentlichen ersten Hürden und sind auch so in den angezeigten Bildschirm-Texten bei der Installation beschrieben. Ist wirklich nur ein typisches Windows-Installations-Programm, lohnt sich mal auszuprobieren.

Die nächste Hürde wäre dann nach erfolgreicher und funktionstüchtiger Installation von TopologiLinux die Herstellung/Einrichtung des Internet-Zugangs.

Gruß

Rimini

 

[UserDeLuxx]

Und selbstverständlich hat mein Router eine Firewall.
Sonst gäbe es ja nicht den Unterpunkt in Router-Menü.

Nur weil es der Hersteller so nennt, heißt es nicht, dass es eine echte Firewall ist.
Auf den Verpackungen steht auf fast jedem Standard-Router, dass er eine Firewall hat, dabei ist es oft nur NAT. Heute haben die SFI drin, was aber auch gerne als Firewall bezeichnet wird.

Deshalb frage ich ja, ob es eine echte ist. Wie heißt denn dein Router, also Bezeichnung und Hersteller?


@Rimini

Ja, per Router wollte ich sowieso gehen, weil wir zu Hause mehrere PCs haben.
Muss dann aber auf jeden PC, oder?

 

[Madnex]

Deshalb frage ich ja, ob es eine echte ist. Wie heißt denn dein Router, also Bezeichnung und Hersteller?

Was ist denn nach deiner Ansicht eine "echte" Firewall?

 

[Rimini]

....

@Rimini

Ja, per Router wollte ich sowieso gehen, weil wir zu Hause mehrere PCs haben.
Muss dann aber auf jeden PC, oder?

In letzter Konsequenz muss/sollte dann jeder PC mit coLinux ins Internet. Wie schon angedeutet, müsste man dann die Netzwerk-Konfiguration in etwa so machen:

Router mit DHCP und NAT (z.B. im 192.168.100.xxx Adressraum), damit verteilt der dann per DHCP gleich auch die DNS-Server IP des Providers, müsste man sonst ja statisch eintragen.

Unter Windows XP einen weiteren TAPwin-Adapter als zusätzliche "Hardware" installieren (einer wird ja bei der Installation von TopologiLinux bereits installiert).

Eine Brücke aus dem Ethernet-Adapter und dem zusätzlichen TAPwin-Adapter bilden (beide im Eigenschaften-Kontextmenü der Netzwerkumgebung per Strg+Mausklick gleichzeitig markieren und dann im Kontextmenü per rechtem Mausklick "Verbindung überbrücken" wählen), dann erscheint die Brücke als weitere Netzwerkverbindung. Bei der Brücke unter TCP/IP-Eigenschaften eine statische IP-Adresse aus einem andren Adressraum (z,B. 192.168.200.xxx) eintragen, xxx muss natürlich bei jedem PC unterschiedlich sein.

Den zusätzlichen TAPwin-Adapter in der coLinux-Konfigurationsdatei hinzufügen und unter TopologiLinux diesen zusätzlichen "Ethernet-Adapter" per DHCP konfigurieren lassen. Die "Netzwerk-Brücke" unter Windows XP funktioniert wie eine echte Ethernet-Bridge, jeder Traffic vom/zum TAPwin-Adapter wird einfach transparent zum/vom Ethernet-Adapter übertragen, ganz gleich welche IP-Adresse.

Somit können die PCs im Netzwerk im IP-Adressraum 192.168.200.xxx untereinander kommunizieren und über den IP-Adressraum 192.100.xxx hat TopologiLinux auf allen PCs über den Router einen Internet-Zugang. Zusätzlich kommunizieren TopologiLinux und Windows XP über das einzelne TAPwin-Device mit der Windows IP-Adresse 192.168.0.1 und der TopologiLinux IP-Adresse 192.168.0.40 untereinander.

Die IP-Adressräume sind natürlich beispielhaft, man kann natürlich auch z.B. 172.28.0.xxx für die PCs untereinander, 10.10.10.xxx für die Verbindung zum Router und damit zum Internet und 192.168.0.xxx für die Kommunikation zwischen Windows XP und Linux nehmen.

Gruß

Rimini

 

[UserDeLuxx]

Müssen sich 192.168.100 und 200 sehen, also per Subnetz 255.255.0.0 oder 255.255.255.0, dass sie sich untereinander nicht sehen oder ist das egal?

Klingt auf jeden Fall interessant. Ich werde es mal ausprobieren in den nächsten Wochen. Ist nur etwas Aufwand, weil jeder PC so konfiguriert werden muss. Dafür brauche ich nicht einen Server aufzustellen.
Viel Dank soweit.

 

[Rimini]

Müssen sich 192.168.100 und 200 sehen, also per Subnetz 255.255.0.0 oder 255.255.255.0, dass sie sich untereinander nicht sehen oder ist das egal?

Klingt auf jeden Fall interessant. Ich werde es mal ausprobieren in den nächsten Wochen. Ist nur etwas Aufwand, weil jeder PC so konfiguriert werden muss. Dafür brauche ich nicht einen Server aufzustellen.
Viel Dank soweit.

Wenn es Sinn machen soll, sollten sich die verschiedenen Subnetze nicht untereinander sehen können, also Subnet-Maske immer 255.255.255.0 und noch besser ist es natürlich vollkommen verschiedene Adressräume für die einzelnen Subnetze zu wählen, wie es schon angedeutet ist.

Müssen ja nicht alle PCs gleichzeitig so eingerichtet sein, kann man ja erst mit einem anfangen und die anderen so lassen, wie sie sind, es sei denn alle PCs müssen unbedingt untereinander kommunizieren können.

Viel Spaß, muss man ein wenig lesen und dann einfach probieren. Bei Problemen sollte man dann aber wohl eher ein neues Thema in der Betriebssystem Rubrik aufmachen, da gehört das doch besser hin und hier stört das wohl mehr die "Grundsatz-Diskussion" über Firewalls und andere Mechanismen, die alle nichts Wesentliches an dem Grundübel der Problematik von Viren, Trojanern, Würmern, aktiven Inhalten usw., die Sicherheitslücken bzw. Funktionalitäten von Windows ausnutzen, ändern können. Das sollte spätestens seit dem Desaster mit dem Blaster-Wurm jedem bewusst sein.

Schönes Wochenende

Rimini

 

[UserDeLuxx]

Die PCs sollten schon über den Switch des Router miteinander kommunizieren können, also praktisch einem Netzwerk sein, dass ich Daten hin und her schieben kann.

Da der eine PC ohne Admin-Rechte läuft - ich hab den so für meinen Dad und meine Schwester eingerichtet, damit die nix draufbekommen - wird der ohne coLinux bleiben.

Es wird wohl nur auf meinen PC draufkommen, vielleicht noch auf das Notebook meiner Schwester.
Über WLAN ginge das auch (Centrino Notebook meiner Schwester)?

Vielen dank und dir auch ein schönes Wochenende.

 

[Rimini]

Mit W-LAN geht das im Prinzip auch, habe das aber selbst noch nie gemacht und wenn man etwas sucht, findet man geteilte Meinungen. W-LAN mit coLinux ist jedenfalls offensichtlich bei der Netzwerk-Konfiguration noch mehr "tricky". Auch wenn es dann nnicht funktionieren sollte, hat man doch viel über die Netzwerk-Konfiguration unter Windows und Linux gelernt, lohnt sich schon deshalb allemal.

Rimini