Re: [KFUG] samba 접속 방법에 대해 질문드립니다.

[Pyun YongHyeon <yongari@xxxxxxxxxxx>]

On Mon, Dec 22, 2003 at 12:47:31PM +0900, gnwns wrote:
 > 
 > 안녕하세요.
 > 
 > 삼바를 설치해서 운영중입니다.
 > 
 > 문제는 ipfw 를 설정하면서 부터 시작되었습니다.
 > 
 > 삼바가 사용하는 포트 tcp 139 포트만 open 한 상태에서는 주소창에  \\IP  로
 > 접근이 가능합니다.
 > 
 > 그러나 내 네트워크 환경에 목록에 나온samba 아이콘을 선택해서는 접근권한이
 > 없다며 접근이 되지 않아 아예 열수가 없습니다.
 > 같은 방법인 주소창에 \\samba 를 입력하여도 접근이 되지 않습니다.
 > 
 > ip 로는 접근가능하나 이름으로는 접근이 안된다는것인데 삼바가 사용하는
 > 아래에 포트를 열어도 마찬가지 입니다.
 > 
 > 139 tcp, udp
 > 138 tcp, udp
 > 137 tcp, udp
 > 445 tcp, udp
 > 
 > 아래는 ipfw 룰 입니다.
 > 
 > add check-state
 > add allow tcp from 192.168.1.0/24 to me 139 in keep-state
 > add allow udp from 192.168.1.0/24 to me 138 in keep-state
 > add allow udp from 192.168.1.0/24 to me 137 in keep-state
 > add allow tcp from 192.168.1.0/24 to me 137 in keep-state
 > add allow tcp from 192.168.1.0/24 to me 445 in keep-state
 > add allow tcp from 192.168.1.0/24 to me 22 in keep-state 
 > add allow ip from me to any out keep-state
 > add deny log tcp from any to any in tcpflags fin,syn
 > add deny icmp from any to any
 > add deny ip from any to 127.0.0.0/8
 > add deny ip from 127.0.0.0/8 to any
 > 
 > 도움을 부탁드립니다.
 > 
samba를 filtering한 경험은 없습니다만 아마 udp port 137,138
tcp port 139를 사용할겁니다.
위의 rule중 me 라는 keyword에 문제가 있어보입니다.
me는 interface에 할당된 IP address를 말합니다. 그러나 udp port
137, 138로 packet이 올때는 broadcast메세지이기 때문에 ipfw의 rule
이 match되지 않았을 겁니다.
위의 me를 any같은걸로 대치하거나 직접 broardcast address를 지정
하면 될것같습니다.

또 ipfw의 me는 편리한 기능같지만 사실은 방화벽에 엄청난 부하를
가지고 옵니다.(packet 검사때마다 주소를 검색하기 때문에 많은
overhead가 있습니다. 비슷한걸로는 if* 식의 표현이 있는데 이또한
피하는게 좋겠습니다. 모두다 string compare를 하고, -CURRENT에서는
커널에서 glob expansion이 일어나는데, 이의 효과는 상상에
맡기겠습니다.)

xDSL같이 주소가 변경되지 않는다면 me는 가급적이면 피하는게
좋겠습니다.
-- 
Pyun YongHyeon <http://www.kr.freebsd.org/~yongari>
_______________________________________________
한국 FreeBSD 사용자 그룹(KFUG) questions 메일링 리스트
questions at kr.FreeBSD.org
http://www.kr.FreeBSD.org/mailman/listinfo/questions