Dotaz: Wifi router + MAC autentizace

[nuclearmike]

Ahoj,

chtel bych pozadat o radu. Potreboval bych poradit jestli existuje nejaka distribuce pro router nebo zpusob jak nastavit na router tak ze na jednom ze 4 rozhrani bude pripojene AP. pres toto rozhrani bych chtel aby se mohli pripojit uzivatele, kteri by se prihlasili pres web a provedli a na zaklade MAC adresy bych jim zpristupnil internet.

takze potreboval jak vyresit zpristupneni k siti na zaklade jmena a hesla a MAC.

dalsi 3 rozhrani budou pripojeny na LAN.

Dekuji za rady.

Odpovědi

[id2307]

napadá mě snad jen blokovat na příslušném eth zařízení veškerý forward a možná i input kromě lokálního www serveru na kterém by byla nějaká stránka s přihlášením, pak buď nějak vnitřně nebo přes sudo nastavit uživateli pod kterým ten server poběží práci s iptables, www server Ti zjistí ip adresu, ale bohužel myslím že ne mac, tu by sis musel dotáhnout z routovací tabulky a pomocí tohoto už složíš příslušné pravidlo pro iptables

problém vidím v odhlášení - jak ten router pozná, že klient který se přes stránku nalogoval do sítě už není aktivní? těžko přinutíte lidi aby museli dávat ještě logout .. takže ten router by asi musel sledovat i buď provoz nebo svůj záznam pro danou max a ip v routovací tabulce, která po nějaké době vyprší - nevím za jak dlouho - a podle toho danou adresu zase blokovat

[zelial]

ad odhlaseni: pokud by nevadilo, ze je to pomale a neefektivni a plni to logy tak treba takhle:

webovy skript (po overeni uzivatele) spousti nejaky wrapper nad iptables, ktery zjisti mac k dane ip a povoli danou kombinaci ve FORWARD chainu. pred toto povolovaci pravidlo vlozi jeste jedno, ktere pro tu samou kombinaci provede LOG misto ACCEPT a bude omezene na pocet matchu za cas (aby se setrily logy): -m limit --limit 6/hour --limit-burst 1.

z cronu by se pak spoustel skript(napr 1x za 12 minut), ktery by parsoval konec logu (poslednich X minut) a pokud by tam nenasel aspon jeden zaznam z toho log pravidla pro kazdou aktivni adresu, smazal by prislusne povolovaci pravidlo v iptables.

[Jan Martinek]

Předpokládám, že používáš DHCP server pro přidělování IP adres. V tom případě můžeš všechny informace zjistit ze souboru

/var/lib/dhcpd/dhcpd.leases

Je tam napsaná přidělená IP adresa včetně její platnosti a MAC adresa. Na základě toho můžeš mazat pravidla iptables a tím zajistit "vyhnívání" (namísto odhlašování).