Dotaz: zmena IP

[secido]

Viete mi niekto poradit, akym sposobom zabranim, aby si pouzivatel zmenil ip adresu? Mam nastavene pravidla na firewalle, ale zmenou ip adresy sa daju obist. Kontrola podla MAC adresy tiez neprichadza do uvahy, lebo v sieti je kopa bridgeov. Rozmyslal som nad dhcp, ktory by bol nastaveny na fixne pridelovanie, ale to tiez nic neriesi. Existuje nejaky sposob autentifikacie a autorizacie prihlasenia do siete? Funkcne riesenie by bolo asi cez proxac, ale potrebujem priame pripojenie, nie len http.

Odpovědi

[Michal Kubeček]

IPsec, ale do toho se vám asi chtít nebude.

[Zdeněk Burda]

Známý nedávno řešil něco podobného a nakonec to vyřešil přes OpenVPN a SSL certifikáty.

[Michal Kubeček]

Osobně dávám přednost univerzálnímu a standardnímu řešení před proprietárním.

[#Tom]

Lze využít VPN, a to např. OpenVPN. Potom se povolí jen připojení k VPN, uživatelům se rozdají certifikáty, k těm jsou natvrdo přiřazeny adresy (přiděluje je OpenVPN), a těm adresám se nastaví pravidla pomocí iptables. Má to ale nevýhody:

• síť se zpomalí
• nastavení není sice složité, ale vyloženě jednoduché také není, je potřeba si pěkně pohrát s certifikáty, což je napoprvé docela náročné
• je potřeba toho vůbec nastavovat hodně a na různých místech

Pokud by se ale našlo pro VPN i obvyklé využití, tj. připojení zvenčí, nemuselo by to být špatné.

[#Tom]

Koukám, že jsem nebyl dost rychlej.

[Jiří Veselský]

Ještě by to asi šlo udělat takto:

1. Na potřebných zařízeních rozchodíte 802.1x, čímž si zajistíte, že se vám do sítě dostanou pouze autorizované MAC adresy z těch míst, odkud mohou. To může být docela dost práce a v případě Windows téměř neřešitelný úkol.

2. Na firewallu pak nastavíte pravidla povolují jen autorizované dvojice IP-MAC. To, že je v síti hafo bridgů, ničemu nevadí. MAC adresy všech zúčastněných jsou vidět, bridge je nezmění. (Pokud teda nepoužíváte některé parodie na radiová zařízení, které volně nahrazují MAC adresy komunikujících počítačů svými MAC adresami, a to naprosto chaoticky, zmateně a bez špetky důvodu.)

V případě nouze můžete bod 1 vynechat, ale pak se nechráníte proti uživateli, který si změní IP adresu i MAC adresu na jinou autorizovanou dvojici.

[secido]

Praveze mam opacnu skusenost, v arp tabulke vidno mac adresu najblizsieho bridge.

[Michal Kubeček]

Tak to potom není bridge, i když to má možná na krabici napsáno…

[Jiří Veselský]

Bať. To bude nejspíš nějaká z těch radiových zrůdností.

[secido]

Hej, ale bezi na tom linux, tak by sa dalo pomoct .

[Jiří Veselský]

Životní zkušenosti mě naučily, že těmto zařízením lze pomoci jenom kladivem.