Dotaz: Kontrola IP a MAC adresy

[Jirka]

Dobrý den, chtěl bych povolit přístup do internetu je určitým počítačům, podle IP a MAc adresy.
Můj problém je že pařát všechny IP adresy mají přístupna internet povolen.

eth1 - sít (192.168.1.xxx)
eth2 - Internet

iptables -P FORWARD DROP
iptables -A FORWARD -i eth1 -o eth2 -s 192.168.1.2 -m mac --mac-source 00:04:61:4F:D8:91 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth2 -s 192.168.1.5 -m mac --mac-source 00:0D:61:2E:A9:AA -j ACCEPT
iptables -A FORWARD -i eth2 -m state --state ESTABLISHED,RELATED -j ACCEPT

Děkuji

Odpovědi

[CIJOML]

tohle je imho dost zbesile reseni. Tim na mac testujes kazdy paket. Staci preci testovat pakety typu NEW a established,related poustet bez testu jen na zaklade zdrojove IP

[jm]

Co takhle pouzit hledani??? Je to tady nekolikrat reseno.

[CIJOML]

zrovna tento pripad se zatim neresil

[coques]

neda sa to urobit cez -arp- ,hosts.allow a hosts.deny ?

[jm]

Ehm...

http://www.abclinuxu.cz/forum/show/57304
http://www.abclinuxu.cz/forum/show/48381

[CIJOML]

jenze to je stupidni pristup. Takhle na MAC testujete kazdy paket a to je od zakladu stupidni - velmi to spomaluje klientskou komunikaci a zatezuje server.

[jm]

Tak si to nestupidne upravte, aby to kontrolovalo jenom ty pakety, ktere uznate za vhodne...

--state NEW

[CIJOML]

ja to tak samozrejme pouzivam a i jsem tady nadhodil navod jak na to :D

[Jirka]

Dobře uznávám že je to trochu hloupí, ale proč to nejde je tam něco špatně nebo tam něco chybí?

[Jirka]

Tak jsem na to přišel, byla to moje blbost, měl jsem eth1 označený jako bezpečné zařízení.
Děkuji

[unchallenger]

Je zapotřebí si uvědomit, že IP a MAC adresa není žádná identifikace. Podle popisu si zřejmě všichni navzájem vidí MAC a IP, takže není problém vydávat se za někoho, kdo má přístup povolen; spoofnout MAC už dnes umí každý.

[CIJOML]

U APcek, ktere umi zakazat meziklietskou komunikaci a pouzivajici sifrovani to je stale dobra volba.

[Hoško Michal]

Ja este nie :)

[Slunečný-sněžný muž]

Mnohem bezpečnějším řešením je pořízení administrovatelného přepínače a provádění restrikcí již na něm. Zabráníte tak i možným odposlechům typu ARP redirection.