FreeBSD im Windows-Netz unsichtbar machen?

kraekers

Well-Known Member
Moinsen,

ich arbeite in einer Behörde in der es nicht so gerne gesehen wird das ich mir ein FreeBSD, als Testsystem, hochgezogen habe.

Habe ich eine Möglichkeit den Rechner in der Windowsumgebung unsichtbar zu machen?

Über Anregungen würde ich mich freuen.

Vielen Dank..

Beste Grüße

kraekers
 

Sorry für die harsche Antwort, aber wenn du Traffic verursachst bist du nicht unsichtbar.
Die harsche Antwort kam daher, weil so etwas als Sabotage gewertet werden kann und ich pers. würde demjenigen dermassen die Hammelbeine langziehen...
Egal, wie sicher das System ist, das du aufsetzt, der Admin hat das Sagen.
 
Ist i.O. aber ich bin der Admin.

Also ich hole mal aus. Bei uns in der Behörde betreue / betreute ich ca. 700 User an Windows Kisten. Jetzt hat man die Verwaltung an eine übergeordnete Pseudo-Behörde übergeben die einen Standard-Windows-Client/PC an jedem Arbeitsplatz gestellt hat. Wir haben jetzt die Aufgabe der übergeordneten Behörde zu sagen was in jedem Fall auf den Rechnern soll. Des Weiteren kontrollieren und überprüfen wir die Behörde ob die mit unseren Usern auch alles richtig macht. Der letzt Sch.... , aber wir müssen uns damit abfinden.

Da die Arbeit dadurch weniger geworden ist haben wir hier uns ein Paar Rechner zum Testen aufgebaut. Jetzt hat der Datenschutzbeauftragte aber angefangen uns einzuschränken. D.h. keine Share-/Freeware auf unseren Windows-Kisten, keine OpenSource etc. Software mehr und nur noch Software die durch die übergeordnete Behörde zugelassen sind ist einzusetzen, sprich alles von MS.

Jetzt hat mein Chef mir jetzt angedeutet das es vielleicht an der Zeit wäre die Unix-Hobel vom Netz zu nehmen, ansonsten könnte man mir etwas in die Schuhe schieben für etwas was wir vielleicht nicht können, bzw. es gibt nur unangenehme Fragen, so von wegen "Wieso haben Sie ein nicht zertifiziertes System im Netz usw.....".

Daher meine Idee das System im Netz unsichtbar zu machen, soll angeblich unter Windows ja auch gehen. Ich weiß nicht ob das geht. Unsere übergeordnete Behörde sieht 30000 Windows-Rechner und vereinzelt ein paar Unix-Hobel. Wäre ja nett wenn die ein Scan machen würden und unsere Kisten nicht sehen.

Ich hoffe das erklärt es ein wenig.
 
Hallo,
wie troll schon sagte, bist du sobald du Traffic erzeugst nicht mehr unsichtbar.
Die Frage ist wohl eher, wie du nicht als BSD Rechner auffällst.

Dazu musst du allerdings wissen, auf welche Art das bei dir in der Arbeit passieren kann.
Nützlich wäre auch zu wissen, was der "Testrechner" macht,
greifst er zb auf Ressourcen im WIndows Netzwerk zu, oder soll er nur eine Internetverbindung erhalten, ...
Das Ganze hängt natürlich auch von der Netzwerkorganisation ab,etc

Bei mir in der Arbeit würde es noch am ehesten im Proxy-Log durch den Browser Useragent auffallen (den man natürlich verändern kann), wobei das bei uns natürlich keinen interessiert :p

So weit ich mich erinnern kann werden sind ja Verbindungen von unterschiedlichen Betriebssystemen auf Grund von Besonderheiten (Flag/Counterwerte bei TCP/IP antworten,etc) unterscheidbar, dies nutzen auch SCanner (nmap) und auch Firewalls (ich glaub pf kann auf BS filtern?) aus.

Hier wirds dann wahrscheinlich schwierig.
Wenn allerdings diese Dinge überprüft werden, würde ich mich Fragen, ob du den Testrechner überhaupt aufstellen darfst ;)

Als Admin wär ich über ne "Blackbox" im Netzwerk auch nicht erfreut....
 
Klar, mich würde das auch stören wenn einer meiner User einen Rechner ohne mein Wissen aufstellen würde, darum geht es jetzt aber nicht.

Ich benötige eigentlich nur das Netz um über einen Proxy in das Internet zu kommen und meine FreeBSD Pakete bauen kann. Ich lass den Rechner hier tagsüber immer zum Paketebauen laufen.
 
Nimm ne "erlaubte" Windowskiste, mach 2 Netzwerkkarten rein und konfiguriere sie als Router...dahinter kannst du dann hängen was immer du willst. Von aussen wird der Traffic dann der Windowskiste zugerechnet.

Wenn man allerdings dann in den Inhalt des Traffics reinschaut, kann man auch wieder Rückschlüsse ziehen.
 
Ich benötige eigentlich nur das Netz um über einen Proxy in das Internet zu kommen und meine FreeBSD Pakete bauen kann. Ich lass den Rechner hier tagsüber immer zum Paketebauen laufen.

Den Punkt glaub ich dir.

Edit: Mal ganz ehrlich, ich fühl mich als Teilnehmer in einem Forum verpflichtet jemandem einen vor den Bug zu schiessen, der nach Hilfe fragt, wie er die Richtlinien seiner Vorgesetzten umgehen kann, um tagsüber ein paar Ports zu bauen und so ein Netz zu gefährden.
Mein gut gemeinter Rat: Gibs dran.
 
Zuletzt bearbeitet:
Zur Not halt nen NAT-Daemon auf irgend ner windows kiste haben und darüber alles machen.
Ich würde aber auch empfehlen das einfach zu lassen.
 
Ich würds natürlich nicht lassen, doch das ist eine andere Geschichte. Ein Chef sagte uns mal, wir machen, was sinnvoll ist und uns Geld bringt, nicht, was vorgeschrieben ist und uns was kostet. Keine Frage: ich arbeite nicht für eine Behörde.
Es ist schlimm, wenn Dummköpfe das Sagen haben, die selbst kaum mehr von der Materie kennen, als das Verteilen von immens wichtigen Emails. Dort könnte ich sicher nicht überleben.
Egal.
Wie hier schon gesagt: es hängt alles stark von den Vorkehrungen deines Arbeitgebers ab. Wenn er zum Beispiel auf MAC-Adressen genau hinschaut, kannst du zwar eine MAC-Adresse von einem offiziellen PC auf einen Unix Rechner klonen (Linux ifconfig kann es jedenfalls, mit FreeBSD habe ich es noch nicht versucht, es geht aber sicher auch), du kannst aber dann nicht gleichzeitig beide Rechner benutzen. In einem solchen Fall hättest du vielleicht auch eine feste IP und alle Rechner wären ja gezählt.
Die Idee, eine Zweite Karte in den Windoofs Rechner zu nehmen, ist vielleicht die beste, kann aber eventuel einem Scan der Software auch auffällig werden.
Wenn du grundsätzlich die Erlaubnis hast, die Webseiten zu besuchen, von der du Software ziehst, dann kannst du die auch mit dem M$ Rechner downloaden und etwa auf einen USB-Stick ziehen, dann zum BSD-Rechner tragen und den dann bauen lassen. Dann braucht er keinen Netzanschluss und dass der PC nur vor sich hin murmelt, sollte vielleicht niemanden mehr stören. Bei dieser Methode hast du den dramatischsten Fall von Trennung. In einer Vorstufe könntest du eine Freigabe auf deinem M$-PC erzeugen, die dann von dem FreeBSD Rechner genutzt werden kann. Dazu müssen beide dann aber im Netz vorkommen dürfen, es bräuchte aber nur der erlaubte Rechner aus dem Hausnetz zu gehen, also über deinen Proxy zu laufen. Dann könnte dein Unix-PC kaum Spuren hinterlassen.
Allerdings, wie gesagt, bei mir gäb es so was nicht, weil ich nur bekannte MAC zulassen würde (wie man sieht, arbeiten diese Admins ja eh nicht sinnvoll, die haben bequem Zeit, diese Listen einzupflegen und zu verwalten).
 
Wie wärs für 30eur/mtl. Umts besorgen und per umts-router nen eigenes, unabhängiges netz aufbauen?

Ich weiß, das ist ne komplett andere lösung und verursacht kosten, dürfte aber kaum aufzuspüren sein ohne das jemand "vorort" ist ;)
 
Daher meine Idee das System im Netz unsichtbar zu machen, soll angeblich unter Windows ja auch gehen.

Hallo,
es Stimmt das du deinen Rechner unter Windows unsichtbar machen kannst. Aber das Unsichbar bei Windows ist bloß soweit das bu bei anderen in der Netzwerkumgebung nicht angezeigt wirst. Man kann wenn man die IP weiß trotzdem auf eventuelle Freigaben zugreifen. D.h. der Rechner ist trotzdem noch ereichbar.
Wie soll es auch anderes gehen? Der Rechner hat eine MAC-Adresse und damit hat er in einen "normalen" Netz auch eine IP-Adresse.
Du müsstest dein System so umprogrammieren das es auf ARP Request nicht mehr Antwortet. Ob dann dein I-Net noch geht weiß ich nicht ;)

Weiß du denn wie die die Rechner überprüfen?
 
*LOL* , Jetzt im Ernst Wenn du Windows Admin bist und willst lieber mit FreeBSD arbeiten mach doch zuhause in privaten aber auf dein JOB benutze die vergeschreibene Software,
bei uns war ein Virus Scanner vorgeschrieben von Stadt obwohl für Windows lieber clamwin nehmen würde, also dein Job ist wichtiger als ne Idealogie.
 
Ich weiß auch nciht, ob du dir da einen Gefallen tust... was technisch vielleicht geht, wenn du keinen zweiten Windows-Rechner zu tunneln benutzen willst, ist erst mal PF auf dem FreeBSD zu aktivieren und eingehenden Traffic zu sperren. Dann kann ein "passiver" Scan da erstmal keine Dienste oder offene Ports finden und kein ping geht mehr.
Deinen Traffic solltest du bestmögloch verstecken, am besten VPN-Verbindung nehmen, die von einem Port ausgeht, der überlicherweise von Windows für was verschlüsseltes genutzt wird, (z.B. ausgehendes HTTPS) und der zu einem Zielport auf einem externen Rechner geht der normalerweise auch für das empfangen von einem Standarddienst wie z.B. HTTPS da ist.
 
@menuhin:
das wird nun etwas OT, aber was solls.
Ich gebe dir Recht.
Mein Beispiel ist, daß ich für eine AG arbeite, obwohl ich aus moralischen Überlegungen heraus gegen die derzeitige Form des Wertpapierhandels bin und enstprechend also gar nicht für solch eine Firma arbeiten dürfte, die sich selbst zum freien Handel anbiedert.
Job ist wichtig und da haben wir den Regeln zu folgen, die andere für uns aufstellen!
Leider ist es mitunter so, daß diese Anderen wirken, als säßen sie auch auf einem anderen Stern. Es ist vollkommen klar, daß jemand kaum von seinem Chef verlangen kann, auch für Zeiten bezahlt zu werden, wo er private Dinge erledigt, oder? Es kann auch übel aufstoßen, wenn jemand für private Zwecke Ressourcen vergeudet, die doch für das Firmeninteresse angeschaft wurden und gefälligst hier auch genutzt werden sollen.
All diese Dinge kann ich gut nachvollziehen.
Im Detail bedeutet das aber, daß ich als Firma sehr viel in die Überwachung der Mitarbeiter investieren muß. Schließlich kann jemand auch angestrengt auf einen Bildschirm schauen und mit seinen Gedanken tatsächlich tief in der Pause sein. Ein anderer kann tippen wie wild und lauter Mist fabrizieren, während ein Könner locker vom Hocker mit dem gleichen Pensum in wesentlich kürzerer Zeit fertig wird. Die Erfassung des Nutzens und Schadens, der von den einzelnen ausgeht, ist eine immense und difuse Angelegenheit.
Letztlich halte ich selbst es für die beste und kostengünstigste Lösung, wenn Mitarbeiter motiviert sind und ihnen deshalb vertraut werden kann. Ja, solches Vertrauen schaft nachgeradezu auch Motivation. In Kurzform: Lust an der Aufgabe geht über Kontrolle!
Da ist natürlich der hier vorgestellte Fall ein typisches Beispiel dafür, wie eine Leitung es falscher nicht machen kann. Die Regeln und Anordnungen basieren auf Dummheit und Unkenntnis der wahren Situation. Deshalb kann ich gut verstehen, daß jemand das nicht so einfach hinnehmen will, weil da kein Sinn drin steckt und weil es die pure Willkürherrschaft ausdrückt.
Doch, ich glaube, das habe ich auch so vermittelt, wenn das nun mal so ist, dann gibt es leider keinen anderen Weg als sich eine neue Arbeit zu suchen, wenn man mit Anstand überleben will. Wenn man das als zu gewagt empfindet, was sicher eher die Regel denn eine Ausnahme ist, dann muß man sich fügen, auch, wenn es weh tut. Die Schmerzen müssen eben abgewogen werden und jeder muß finden, wofür er sich entscheidet.

Davon abgesehen, daß es heute wirklich nicht so teuer ist, einen brauchbaren DSL-Anschluß zu bekommen und dann all diese Dinge auch über Nacht zu Hause (bei eigenen Stromkosten dafür!) laufen zu lassen. Es ist ja auch ungerecht, wenn jemand da einen Vorteil hat, weil er auf einer weniger bewachten Behörde arbeitet, während der Rest der Welt hart dafür arbeiten muß, sich diese Freiheiten leisten zu können. Sicher wird das mit steigenden Energiepreisen ein immer wichtigeres Thema. Ein Kollege beschwert sich gerade darüber, daß er nun schon den dritten oder vierten Tag einen System-Update auf einem BSD Testrechner fährt. Er erklärte mir, daß er da mit SUSE deutlich geringere Energiekosten hätte! Wird wohl so sein.
Das ist eine interessante Frage im Zusammenhang mit Freiheit und was sie kosten darf hinsichtlich der Freien Betriebssyteme und OpenSource.

Aber, wie schon gesagt, OT. Ich glaube, dieses Thema könnte geschlossen werden.
 
Ich dachte immer, dass alles zu blockieren einen auch verrät, da bei einem geblockten Ping ein "Host antwortet nicht", anstatt einem "No route to host" kommt, was kommen würde, wenn es den Rechner nicht gäbe, und man daher immer am vorgeschalteten Router/Switch ansetzen müsse. Lasse mich darin aber gerne belehren.

offtopic:
Anonsten kann ich aber den Arbeitgeber ein Stück weit auch verstehen. Jede installierte Software ist ein potenzielles Risiko. Und wenn jeder nach seiner Facon installieren dürfte, worauf er Lust hat, wird das Netz ja nicht sicherer. Wenn man da keine Einschränkungen macht, darf sich der Sicherheitsbeauftragte ja nicht nur mit sämtlichen Bugs/Patches aus Redmond rumschlagen, sondern auch noch die Mailinglisten von 3 BSDs, Apple und >20 Linux Distries durchlesen.
Vielleicht kannst Du mit denen ja reden, ob Du ein "Testsystem" aufsetzen darfst, eventuell wenn es nicht am Netz hängt. Ansonsten würde ich es lassen, denn so gezielt eine Anweisung zu ignorieren und ein Sicherheitskonzept (egal was Du persönlich davon hälst!) zu umgehen, ist mindestens eine Abmahnung.
 
Ich dachte immer, dass alles zu blockieren einen auch verrät, da bei einem geblockten Ping ein "Host antwortet nicht", anstatt einem "No route to host" kommt, was kommen würde, wenn es den Rechner nicht gäbe, und man daher immer am vorgeschalteten Router/Switch ansetzen müsse. Lasse mich darin aber gerne belehren.
Also zumindest bei mir kommt es aufs selbe raus. In keinem Fall erhalte ich irgendeine Nachrocht sondern nur Packetloss.
 
Ich dachte immer, dass alles zu blockieren einen auch verrät, da bei einem geblockten Ping ein "Host antwortet nicht", anstatt einem "No route to host" kommt, was kommen würde, wenn es den Rechner nicht gäbe, und man daher immer am vorgeschalteten Router/Switch ansetzen müsse. Lasse mich darin aber gerne belehren.

no route to host kommt eigentlich nur, wenn das standardgateway (oder eben die route) den host nicht findet. wenn der host sich im selben netz befindet, brauchts keinen router dazwischen und somit gibts eben nur paketloss.

@soul_rebel: ein application gateway, dass sich den traffic ansieht, wird aber feststellen können, dass es dann wohl nicht https ist, was da durch die leitung geht (was man mit OpenVPN umgehen könnte, da es sein pakete in SSL verpackt).
 
Zuletzt bearbeitet:
Moinsen,

also, ich habe mir jetzt einen GreenPC von Siemens besorgt und der rennt jetzt Tag und Nacht bei mir zu Hause. Klappt sehr gut und ich habe keine Probleme mehr mit dem scheiß Proxy im Büro.

Jetzt bin ich glücklich. Im Büro benutze ich jetzt unter Windows nur noch Stickware. Virtualbox läuft auf einem USB-Stick ohne Installation und darunter kann ich meine BSD Sachen ganz gut testen.

Beste Grüße
kraekers
 
hähä, und wenn du das freischaltest, kannst du ja ssh auf deinen Rechner zu Hause und machst vielleicht noch nicht mal was unerlaubtes.
 
Zurück
Oben