[轉貼] SoftEther

alberthk

Originally posted by Kevin ^_^y at 2004-4-16 03:29 PM:
幹IT的人真辛苦,每天都要想辦法堵東堵西的.......
不過其實老實說,內賊比外賊可怕!!

在一般公司的網路上,隨時可能都有人會在公司裡裝封包監聽程式,不管是Hub或是Switch,都可以監聽所有的封包.

[ Last edited by Kevin ^_^y on 2004-4-16 at 15:38 ]

原則上SWITCH上應該無法監聽所有封包吧

Kevin ^_^y

Originally posted by alberthk at 2004-4-19 00:20:


原則上SWITCH上應該無法監聽所有封包吧

可以的,而且不需要設Mirror Port就可以......常見的方法是利用arp的弱點. (細節不在這多談)

alberthk

Originally posted by Kevin ^_^y at 2004-4-19 12:27 AM:


可以的,而且不需要設Mirror Port就可以......常見的方法是利用arp的弱點. (細節不在這多談)

一般switch不一定有mirror port的設定，使用ARP的特性去報假MAC給SWITCH及Source，但這也只能抓取部份的的封包吧

lifaung

看你在多上游....在最上方建立據點的話,大概誰的都可以抓下來

以前幹網管的時候就是讓自己在最上方的SWITCH上面,就有辦法去弄到所有人的封包

alberthk

Originally posted by lifaung at 2004-4-19 03:20 PM:
看你在多上游....在最上方建立據點的話,大概誰的都可以抓下來

以前幹網管的時候就是讓自己在最上方的SWITCH上面,就有辦法去弄到所有人的封包

如果要抓所有進出公司的封包，最上游就是ROUTER接的那個SWITCH，但除非SWITCH有支援設定類似mirror port的功能，否則依switch的工作原理來說，你還是抓不到封包，否則這個switch的作用就和hub無異了，常見的較平宜的方式是把router接到hub去再接到switch

badch

我想要在公司利用家裡的網路上網，但是經由家裡上網後，雖然成功了，但是MSN卻不能登入，怪怪的，我家裡適用hinet計時制adsl，有可能跟黑洞路由有關嗎
有沒有人也這樣嘗試過啊

Kevin ^_^y

Originally posted by alberthk at 2004-4-20 14:20:


如果要抓所有進出公司的封包，最上游就是ROUTER接的那個SWITCH，但除非SWITCH有支援設定類似mirror port的功能，否則依switch的工作原理來說，你還是抓不到封包，否則這個switch的作用就和hub無異了，常見的較平宜的方式是把router接到hub去再接到switch

一般而言,將Sniffer接在Hub上可以監聽所有封包,將Sniffer接在Switch上可以監聽到想聽的封包. (只需指定要監聽的對象,但不需在Switch上設Mirror Port即可以進行監聽)

大概的原理是利用ARP Spoolfing技術來進行封包監聽. (不想說太多,以免教壞小孩 )
一些Switch硬體廠商也慢慢發現有這個網路安全漏洞,所以也發展出一套反制的技術稱之為Port Security.

[ Last edited by Kevin ^_^y on 2004-4-21 at 09:52 ]

alberthk

Originally posted by Kevin ^_^y at 2004-4-21 09:40 AM:


一般而言,將Sniffer接在Hub上可以監聽所有封包,將Sniffer接在Switch上可以監聽到想聽的封包. (只需指定要監聽的對象,但不需在Switch上設Mirror Port即可以進行監聽)

大概的原理是利用ARP Spoolfing技術來進行封包監聽. (不想說太多,以免教壞小孩 )
一些Switch硬體廠商也慢慢發現有這個網路安全漏洞,所以也發展出一套反制的技術稱之為Port Security.

[ Last edited by Kevin ^_^y on 2004-4-21 at 09:52 ]

ARP Spoofing 已經不算什麼秘密了，會用sniffier去監聽的人大概都知道了
基本就是去騙對方我就是你要找的人(不想說太多,以免教壞小孩 )，收到封包後再轉給真正的人。

Port Security的廠商目前還不多吧

阿輝

1.0 版也出了
應該結束 beta 了

今天有空也把它給裝了起來
真是好物啊

因為阿輝家中有簡單防火牆，因此在學校不能再有 NAT 的情況下連家中 FTP
而是裝了 SoftEther 就解決了

這樣連線 FTP 甚至比原先透過實體 IP 連過去速度還快... 真是讚啊

當然危險性的確應該也蠻多的，好一把兩面刃吧

西瓜太郎

有沒有辦法選擇要從哪一條線路連出去阿??

阿輝

Originally posted by 西瓜太郎 at 2004-5-14 11:18 AM:
有沒有辦法選擇要從哪一條線路連出去阿??

連出去@@?

以這個軟體的目的我很難理解這個問題

ccjui

我想西瓜太郎的意思是
程式執行時
可不可以指定由真實網卡或虛擬網卡連出去

例如公司可以上網
可是擋住MSN
那可以指定MSN執行時由softether出去嗎?

阿輝

Originally posted by ccjui at 2004-5-15 09:54 PM:
我想西瓜太郎的意思是
程式執行時
可不可以指定由真實網卡或虛擬網卡連出去

例如公司可以上網
可是擋住MSN
那可以指定MSN執行時由softether出去嗎?

這個就是不是 SofrEther 的問題了
變成程式/OS 要支援頻寬合併

不過變通的作法是將公司連回家中的電腦上網變成便有限制

公司  -- (SoftEther) --> 家中 (開啟連線分享)

這樣子就可以利用家中沒有設限的網路來上網

ychao

Originally posted by 阿輝 at 2004-5-12 05:16 AM:
因為阿輝家中有簡單防火牆，因此在學校不能再有 NAT 的情況下連家中 FTP
而是裝了 SoftEther 就解決了

這個不是設一下virtual host就OK了嗎？

這個跟vpn實在很像，不過是走https的port。只是說即使有softether，完全不設virtual host的話，兩個NAT下的主機應該還是沒辦法通的吧？

另外，tsukuba應該是叫『筑波』才對。

Kevin ^_^y

Originally posted by ccjui at 2004-5-15 21:54:
我想西瓜太郎的意思是
程式執行時
可不可以指定由真實網卡或虛擬網卡連出去

例如公司可以上網
可是擋住MSN
那可以指定MSN執行時由softether出去嗎?

可以,但是要用設定Proxy(HTTP/Socks Proxy)的方式,去改變每個應用程式的設定.

阿輝

這個不是設一下virtual host就OK了嗎？

no 還是不行
在部分的 Firewall (例如我用的) 如果兩方都在  NAT 後
可以連線但是無法正確取得目錄資料，會停調
也就是要兩邊至少有一邊沒有在 NAT 下 (當然是 client 端)
而透過  SoftEther 則可以規避這個問題

完全不設virtual host的話，兩個NAT下的主機應該還是沒辦法通的吧？

只要有一台 "SoftEther" 開啟 Hub 並開  7777 port
下面所有的機器都不需要開，哪管是虛擬 IP 也沒關係
因為全部都透過 SoftEther 當區網了

有點難解釋，不過實際上實在是強大

簡單來說只要有一台有實體 IP 可以開 port 對應的機器當  Hub
所有其他連過去的機器就可以互通有無

阿輝

Originally posted by Kevin ^_^y at 2004-5-16 12:11 AM:
可以,但是要用設定Proxy(HTTP/Socks Proxy)的方式,去改變每個應用程式的設定.

可以說明一下方式嗎?
應該是不行的吧

這樣的話不是可以透過一台機器連接兩台網路 ?
單純設定 proxy 的方式走的線路是同一條吧 @@?

其實結果效果可以是差不多的
不過等於用 Proxy 的方式還要多弄一台 Proxy Server

透過 SoftEther 走網路分享等於是整個網路都換線了 @@~

==============================================

以阿輝在做管理方面的話
SoftEther 還有個好處，不用讓過多的  Port 直接暴露出來
除了必要的 80 /25 port 等 web 服務之外，只要開 SoftEther 7777 的 port
目前看來 SoftEther 安全加密不錯
這樣只要開一個  7777 port 而不用開一堆管理用 Port 多增加危險性

不然以往都還要開... 遠端遙控、Telnet、Mail 管理、FTP.... 開一拖拉庫
現在都不用

透過 SoftEther 就可以解決
蠻奇怪的是，光連 FTP 部分的話，比走標準 Port 速度反應還要快   =''=

小耕

Q:可以說明一下方式嗎?
應該是不行的吧

A:他說的是不是這樣啊???

home(adsl 固1)
nic1(實體) (真實ip 123.123.123.123)
nic2 (softether創造)(和home的虛擬 HUB連接中)(192.168.0.1,子網路遮罩255.255.255.0)沒有Gateway沒有NET轉送功能
有虛擬 HUB，有CCPROXY在8080 port

公司
機器(虛擬 IP)
nic1(實體) (虛擬 IP 10.1.7.20)
nic2 (softether創造)(和home的虛擬 HUB連接中)(192.168.0.2,子網路遮罩255.255.255.0)沒有Gateway

這樣可用公司電腦，使用MSN連接一個proxy在192.168.0.1 8080 port上面的proxy服務
然後這樣如果有抓檔不就不會受到家中電腦的上傳限制啦
因為不消耗home電腦上面的上傳，可以直接和外部連接

=======================================================
Q:這樣的話不是可以透過一台機器連接兩台網路 ?
A:不算是吧??


Q:單純設定 proxy 的方式走的線路是同一條吧 @@?
其實結果效果可以是差不多的
不過等於用 Proxy 的方式還要多弄一台 Proxy Server
A:是差不多啊......但是這樣可以決定「要不要」開啟讓特定程式過去
而不是一股腦而往全部往家中的softether送，這樣還能養驢子，FTP啊，不用受限家中的上傳

Q:透過 SoftEther 走網路分享等於是整個網路都換線了 @@~
A:看你怎樣弄了^^

※以上部份文章直接引用別人寫的片段，經過修改後，因為我懶得自己打
請見諒啊.....

如有任何錯誤的地方請多多指正^^

jedij

請問:
家中是中華電信ADSL浮動IP
HUB是否設在公司的PC較好?
(因家中PC的IP不定)

若是如此
怎樣查出公司連接Internet
是Direct connect或經proxy?以及公司對外IP?
我已在公司內的PC設定好HUB及localhost連接
但家中接不過去!

alberthuang

Originally posted by alberthk at 2004-4-16 08:51 AM:


用 NTLM Proxy 吧，MS 的NTLM 認證在去年就被 NTLM Proxy 解決掉
目前我是用這個在穿過公司的 ISA Server

[ Last edited by alberthk on 2004-4-16 at 08:54 ]

哪裡可以試用NTML Proxy這軟體呢？
我目前在大陸工廠，完全無法使用msn message。
能不能指點一下。

yuyudiabo

我在Hub端用ccproxy這個軟體就解決了, 不過要做一些設定
我晚上再把我的做法POST出來好了

jamesanna

Originally posted by 阿輝 at 2004-5-15 21:58:


這個就是不是 SofrEther 的問題了
變成程式/OS 要支援頻寬合併

不過變通的作法是將公司連回家中的電腦上網變成便有限制

公司  -- (SoftEther) --> 家中 (開啟連線分享)

這樣子就可以利用家中沒有設限的網路來上網

是地，小弟目前身在大陸工作，大陸這邊把台灣很多新聞網站鎖住了，
要來之前，已經在家中架好SoftEther HUB，現在都是先連回家中，在連
出去，速度還可以接受，主要是沒有"受限"的感覺真是棒啊。

npc

請教一下，有人試成功過上頭的 Security 功能嬤?!

在 USER ADMINISTRATION 設定內，不管是設定 Limit to 1 IP Address 或是 Limit to 1 MAC Address 都無法正常WORK，也就是任何知道帳號密碼的人都可以隨意登入 >_<

想做到限制一個帳號只能登入一個SESSION，不知道怎麼設定才可以WORK，多多指教了。

andy1100

目前遇到一個問題，家裡的PC是經由BENQ AWL-700當分享器連到網路上。
PC的IP是10.0.0.11

在AWL-700中的虛擬伺服器，設定softether轉換
port no:443
server ip:10.0.11
server port no:443

此時，我在公司，有HTTP PROXY，利用SOFTETHER可以連到家裡的PC，也可以不受公司網路設定的限制上FTP，TELNET。
可是我想要用遠端桌面連回家，公司把PORT鎖起來了，所以當然要經由SOFTETHER。
而在AWL-700上的虛擬伺服器要多一組TS的設定：
port no:3389
server ip:10.0.0.11
server port no:3389

但是先經由SOFTETHER連回PC後，開啟TS，卻無法連TS，不過其他網路功能都可正常無誤的使用。

到朋友家用ADSL，不使用SOFTETHER，直接連回家裡PC卻又可以。
請問設定上出了什麼問題呢?
謝謝。

andy1100

<p>在WIN2K以上可以通過static route的方式作到，不過要下command。我的狀況是這樣： </p><p>公司notebook： LAN IP為10.0.0.3，proxy為10.0.1.1，gateway為10.0.0.1。 softether nic ip為192.168.0.2。 </p><p>家裡pc： adsl nic ip為214.0.0.3，softether nic ip為192.168.0.1，gateway為192.168.0.1。 </p><p /><p>公司可以上msn，是透過proxy。但是只要softether一連上，msn會自動的轉由softether上線。這樣一來如果我跟公司內的同事傳大檔的話，就會經由softether跑回家再傳進公司，所以想可不可以限制msn使用LAN傳輸。在網路上找了一些資料，發現內建的route command可以達到這個功能，不過重開機後要重設一次，我是寫.bat來執行。設定方式如下： </p><p /><p>1.在LAN及softether都連線的狀況下，執行以下commad，來取得nic的編號： route print 會得下類似以下的資訊： </p><p /><p>C:\Documents and Settings\andy&gt;route print =========================================================================== Interface List 0x1 ........................... MS TCP Loopback interface 0x3 ...54 55 43 44 52 0f ...... Check Point Virtual Network Adapter For SSL Netw ork Extender - Packet Scheduler Miniport 0x5 ...00 09 c5 03 0b 97 ...... Bluetooth LAN Access Server Driver - Packet Sche duler Miniport 0x70002 ...00 ac 7a ec 43 8e ...... SoftEther Virtual LAN Card Adapter - Packet Scheduler Miniport 0x70007 ...00 d0 59 c5 71 00 ...... Intel(R) PRO/100 P Mobile Combo Adapter - Pa cket Scheduler Miniport =========================================================================== =========================================================================== Active Routes: Network Destination Netmask Gateway Interface Metric 0.0.0.0 0.0.0.0 172.16.1.254 172.16.167.91 20 127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1 172.16.0.0 255.255.0.0 172.16.167.91 172.16.167.91 20 172.16.167.91 255.255.255.255 127.0.0.1 127.0.0.1 20 172.16.255.255 255.255.255.255 172.16.167.91 172.16.167.91 20 224.0.0.0 240.0.0.0 172.16.167.91 172.16.167.91 20 255.255.255.255 255.255.255.255 172.16.167.91 70002 1 255.255.255.255 255.255.255.255 172.16.167.91 5 1 255.255.255.255 255.255.255.255 172.16.167.91 172.16.167.91 1 255.255.255.255 255.255.255.255 172.16.167.91 3 1 Default Gateway: 172.16.1.254 =========================================================================== Persistent Routes: None </p><p>重點是在Interface List這邊。</p><p>&nbsp;Interface List </p><p><font color="#ff0000">0x1</font>........................... MS TCP Loopback interface <font color="#ff0000"></font></p><p><font color="#ff0000">0x3 </font>...54 55 43 44 52 0f ...... Check Point Virtual Network Adapter For SSL Netw ork Extender - Packet Scheduler Miniport </p><p><font color="#ff0000">0x5</font> ...00 09 c5 03 0b 97 ...... Bluetooth LAN Access Server Driver - Packet Sche duler Miniport </p><p><font color="#ff0000">0x70002</font> ...00 ac 7a ec 43 8e ...... SoftEther Virtual LAN Card Adapter - Packet Scheduler Miniport </p><p><font color="#ff0000">0x70007</font> ...00 d0 59 c5 71 00 ...... Intel(R) PRO/100 P Mobile Combo Adapter - Pa cket Scheduler Miniport </p><p>紅色的部分，就是NIC在系統中的編號。</p><p>現在如果我要MSN都由Intel(R) PRO/100 P Mobile Combo Adapter 進出的話，先得知msn server的ip range約在207.46.0.0這附近，所以使用以下command：</p>route add 207.46.0.0 mask 255.255.0.0 10.0.0.1 metric 1 if <font color="#ff0000">0x70007</font> <p>這個意思是如果網段在207.46.0.0的，由gateway 10.0.0.1出去，用的是<font color="#ff0000">0x70007</font> 這張卡。</p><p /><p>這樣一來，所有網路上的封包，如果是207.46.0.0的話都會走10.0.0.1及<font color="#ff0000">0x70007</font> 來處理。</p><p>成功的話，再打一次route print會出現這一行：</p>207.46.0.0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 255.255.0.0&nbsp;&nbsp;&nbsp;&nbsp; 172.16.1.254&nbsp;&nbsp; 172.16.167.91&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1<p /><p>如果要取消，請用以下command：</p><p>route delete 207.46.0.0</p><p /><p /><p /><p>

Originally posted by 西瓜太郎 at 2004-5-14 11:18 AM: 有沒有辦法選擇要從哪一條線路連出去阿??

</p>

tsoua

大家好
我也是用1.0版的
我使用的目的是用來打區網的遊戲
可是滿lag的
我想請問一下是不是在client的編碼方式作選擇會不會有效?
謝謝

s0341969

好久的新聞囉．．．．