Administrace komentářů

Smoofy, to není pravda. DHCP filtrování umí i staré Cisco switche ř. 2900. Např. 2924 naprosto v pohodě. 2950 nebo 2960 také. Jsou to klasické access switche a umí to. A není to žádná super třída. Cisco 2960 s 24 porty se dá sehnat za 14-16 tisíc. HP ProCurve (řadu si z hlavy nepamatuju), který má podobnou konfiguraci se dá sehnat o 2-3 tisíce levnějc. Když tohle zkombinuješ s 802.1x, tak jsi defacto v pohodě. Ještě by to chtělo upravit IOS tak, aby nešly posílat RA v IPv6 z jiných než trusted portů, ale to zatím tyhle Cisca pokud vím, neumí.

Takhle se zatím zabezpečí pomocí 802.1x port tak, že se připojí pouze známé zařízení (je ověřeno např. tak, že je v MS doméně a pomocí NAP serveru a RADIUSu se to jen ověří) a žádné jiné si ani neškrtne. Tím zamezíš připojení "cizích" zařízení. A aby nezlobila ta, která už jsou připojená, tak tam aplikuješ DHCP filtraci. A defacto nic ti nemůže narušit chod sítě. Pravda, kolize IP adres může zničit provoz vždycky, na to zatím ochranný nástroj neznám. Např. že si nějaký frajer změní IP adresu počítače na IP adresu gatewaye a vydává se tak za ní. Ale na to tu máme monitorovací nástroje, jako je např. ARPWatch, kterej tohle dokáže ohlídat a informovat správce.

To už je ale pokročilé zabezpečení. Tazatel by se měl zamyslet nad návrhem. Kdybys kolego chtěl s něčím pomoct, tak klidně napiš na ICQ 222 960 497. Rád ti s tím trochu helpnu a případně tě nakopnu, jakým směrem se ubírat.