Svazani MAC s IP.

pepulis

Doporučuji firewallové pravidlo. Pro 2.9.6

add chain="forward" src-address=192.168.2.x/32 src-mac-address=00:00:00:00:00:00 action=accept comment="Jmeno uživatele" disabled=no

Tak zadáš každého uživatele a nakonec nesmíš zapomenout ten zbytek

dropovat (stačí jedno pravidlo ale musí být na celý použitý subnet). Toto pravidlo musí být poslední, jednotlivá povolená IP nad ním.

add chain="forward" src-address=192.168.2.0/24 action=drop comment="Stop ostatni nezadane adresy" disabled=no

Pokud chceš vědět kdo si změnil adresu, stačí poslední drop zadat znovu akorát action dej log a v logu se ti objeví mac adresa klienta který má nepříslušné IP. (Pozor log musí být taktéž nad dropem).

Pripadam si jako blb, ale me tohle nefunguje, doted jsem myslel ze ano. Mam pro svou ip danou mac a pod tim drop pravidlo. Pri me zmene ip se v dropu zobrazuji pakety, ale inet jede dal. Dokonce jsem to dal uplne na zacatek vsech forward pravidel a nic. Kde je pls zakopany pes. Diky.

lasolitaire

A ta MAC, je to opravdu MAC, kterou vidi ten router?

Podivej se do ARP, jaka IP je k tomu prirazena.

pepulis

A ta MAC, je to opravdu MAC, kterou vidi ten router?

Podivej se do ARP, jaka IP je k tomu prirazena.

Problem byl jinde. Ono vse bylo nastaveno dobre, jenom jsem mel zaply web proxy a s tim to nepracovalo. Vypl jsem jej a vse je v poradku. Ted se mi objevil u verze 2.9.6 jiny problem. Po tom co jsem udell vcera reboot routru se mi prestaly zapisovat pakety u zaznamu pro svazani mac+ip. Nez jsem to rebootoval tak tam naskakovaly. Nic jsem nemenil, takze me je to zahadou. Ostatni polozky ve firewallu se zobrazuji tak jak maji, spise data u nich.

kdavid

Melo by to jit pres Radius

a co tak logovat dropnute packety nezadanych mac/ip..

jahoo

A funguje to, ikdyz musim jednu MAC priradit pro vic IP? (za APclienta mam switch a vic PC, vidim ale jen MAC APclienta)

No a kdyz to FW pravidlo zadam na hraničnim routeru, tak se nezadouci MAC do netu do site nedostane, ale IP si klidne zmenit muze a v ramci vnitrni site do jinemu uzivateli stejne nahlasi kolizi, nejde toto nejak osetrit?

jahoo

No a jeste jeden dotaz: Drive jsem pouzival jako router M0N0WALL a tam mi to automaticky pri kolizi IP kdekoliv v siti do logu vypsalo ty dve MAC adresy, ktere spolu koliduji, nejde neco takoveho vycist nejak jednoduse v MK? Mam v siti kolem 100 IP a nechce se mi je moc vypisovat. Mozna by mi stacil port, na kterym to testuje vramci site jedinecnost IP adresy a to bych pak v FW logoval, nic jinyho me nenapada

stoupalutin

Mám v síti asi 400 IP adresa a nekolidují ... dá se to ošetřit - 100IP není vlastně nic moc

jahoo

Mám v síti asi 400 IP adresa a nekolidují ... dá se to ošetřit - 100IP není vlastně nic moc

jak to mas osetreny ty?

kozlicek

jahoo ale asi ne moc povedená kopie... kdyz trpí takovýma detinskýma neduhama....

stoupalutin

Zjednodušeně řečeno:

1) každý dostává z DHCP serveru automaticky stejnou IP adresu (na základě static leasu - resp. MAC adresy) .. pokud není static záznam, nedostane IP adresu

2) každá IP adresa (pokud by si ji někdo zadal ručně) je na firewallu zkontrolována jestli jede se správnou MAC adresou - pokud ne .. nejede za GW

3) pokud dojde ke kolizi IP adres (a zatím se to stalo jednou s jednou síovou tiskárnou a resp. chybou při konfiguraci), lze to kontrolovat poroznáváním ARP tabulek různých zařízení (Routery, switche, PCs) a pokud existuje SNMP management, distanu upozornění na mail, ICQ, SMS (kam chci), switch automaticky udělá admin-down kolidujících portů (resp. portů kde jsou kolidující IP adresy) a vše jede za pás sekund zase dál

Určitě tohle nezablokuje celou sí (jak tu někdo psal), ale jen ty např. 2 kolidující IP adresy.

Má to jednu podmínku: používat "chytré switche" (s managmentem) i ostatní zařízení (MT je dost "chytrý") a mít SNMP správu sítě (resp. nějaký SW na to)... :

A doufám že jsem sem nanapsal moc blábolů a nepopudím moc rejpalů :

bob

hladam teoriu ako co najlepsie a bezbolestne prejst na DHCP ked pouzivam staticke pridelovanie IP adries, viete ma niekto nakopnut? nejakych experimentov sa chcem vyvrovat nasadil by som to pre cca.100 userov

jahoo

no mě by stačilo zjistit ty kolidujici MAC, dal uz bych si to nejak vyresil, ale nevim kde je zjistit

bob

Kolidujuce IP a MAC zistis v ARP zaznamoch

birkof

Jde to zjistit celkem snadno. Stačí přidat fw pravidlo, které když nevyhový podmínce, tak se zapíše na Adress List jeho IP adresu do blacklistu a pak se jedním pravidlem blokuje vše z blacklistu. Easy, simple, efective.

Jakym zpusobem resite to aby si uzivatele nemenily IP adresu. Mate to nastaveno ve firewallu a nebo,nejsem si ted jisty, pridany zaznamy do arp pro danou ip danou mac.

Šel bych přes ARP...

Takze natvrdo pridat zaznamy do ARP, to neni problem. Ale moznost zjistit kdo se o neco pokousi timto asi nepujde, ze? Nebo nejake dalsi opatreni k tomuhle?

Tak, co se děje na druhé straně "drátu" asi neovlivníte :-), resp. to z principu věci nejde. Teda pokud nevládnete nad klientama... Takže jedině ručně ARP. Jinak určitě lze logovat, co se děje, ale s tím neporadím - v MT jsem nováček. Možná by někdo zkušenější spíchnul nějakej script s alertem.

gsmsoft

Nevie niekdo napisat presny manual ako to nactavit cez winbox som zaciatocnik dakujem :(

pepulis

Nevie niekdo napisat presny manual ako to nactavit cez winbox som zaciatocnik dakujem :(

Ozvi se vecer na ICQ, dam ti demo a pak to sem hod. Mozna se najde nekdo, kdo bude rychlejsi a vlozi to drive .

tomik

Jakym zpusobem resite to aby si uzivatele nemenily IP adresu. Mate to nastaveno ve firewallu a nebo,nejsem si ted jisty, pridany zaznamy do arp pro danou ip danou mac.

ŠLO BY TO TAKHLE NASTAVIT NEBO NASTAVUJE SE TAKHLE TO ABY MK POVOLIL PRISTUP JEN ČLOVĚKU S IP ZARIZENI S MAC

já to nastvavil takhle ale asi takhle se to nenastavuje nebo jsem někde udělal chybu

jako první krok jsem nastavil v arp klienty co by měli mýt přístup

/ip/arp a přidal jsem ip a mac

pak jsem na interface ap povolil pouzivani arp a myslel jsem že mi toto stačí

ale asi ne .

pepulis

Jakym zpusobem resite to aby si uzivatele nemenily IP adresu. Mate to nastaveno ve firewallu a nebo,nejsem si ted jisty, pridany zaznamy do arp pro danou ip danou mac.

ŠLO BY TO TAKHLE NASTAVIT NEBO NASTAVUJE SE TAKHLE TO ABY MK POVOLIL PRISTUP JEN ČLOVĚKU S IP ZARIZENI S MAC

já to nastvavil takhle ale asi takhle se to nenastavuje nebo jsem někde udělal chybu

jako první krok jsem nastavil v arp klienty co by měli mýt přístup

/ip/arp a přidal jsem ip a mac

pak jsem na interface ap povolil pouzivani arp a myslel jsem že mi toto stačí

ale asi ne .

Chces-li na MK poustet pouze ty co jsou tebou definovani a povoleni, musis to resit pres firewall. To co jsi udelal v arp bylo jen, ze jsi dynamicke zaznamy v arp tabulce hodil do statickych, pokud se nepletu.

tomik

Melo by to jit pres Radius

tak na to si uz vubec netroufnu kdyxz jsem to nerozmakal pres arp

tomik

Jakym zpusobem resite to aby si uzivatele nemenily IP adresu. Mate to nastaveno ve firewallu a nebo,nejsem si ted jisty, pridany zaznamy do arp pro danou ip danou mac.

ŠLO BY TO TAKHLE NASTAVIT NEBO NASTAVUJE SE TAKHLE TO ABY MK POVOLIL PRISTUP JEN ČLOVĚKU S IP ZARIZENI S MAC

já to nastvavil takhle ale asi takhle se to nenastavuje nebo jsem někde udělal chybu

jako první krok jsem nastavil v arp klienty co by měli mýt přístup

/ip/arp a přidal jsem ip a mac

pak jsem na interface ap povolil pouzivani arp a myslel jsem že mi toto stačí

ale asi ne .

me jde o to aby se na to ap pripojily jen lidi co maji urcite mac a ne jine

pepulis

me jde o to aby se na to ap pripojily jen lidi co maji urcite mac a ne jine

Jasne chapu. No pokud mas AP postavene na MK a cm9 (mozna ze nekde v tomto threadu to pises, nevim), tak se ti bez toho aniz bys je povolil do acces listu, nepripoji = nebudou fungovat. Pokud nemas cm9 AP, ale obyc HW AP, tak tam se ti pri svazani mac+ip sice pripoji, ale nebudou moct nic delat v rámci AP, site atd. Pokud nechces aby se ti pripojili vubec na HW AP, pouzij wep apod. veci. Snad neplacam

Pokud nezapomenu, tak vecer sem dam vyexportovane pravidlo ve firewallu jak na to. Kdybych zapomnel, pripomente pres PM, ICQ.

« Předchozí stránka Další stránka »