Dotaz: Skript proti zneuziti MAC

[pavka]

zdravim vsechny dostal jsem na starost linux router se pro 2 site
(sitovky eth1 a eth2 do privatnich C siti,eth0 je verejna do netu)
na linuxu bezi DHCP server a prideluje IP adresy podle MAC v dhcpd.conf
potreboval bych nejakym zpusobem kontrolovat(pomoci skriptu
nebo nejake aplikace) MAC adresy pocitacu ve vnitrni siti
, ktere prideluje DHCP server(napr.arp tabulku by kontroloval
nejaky skript z cronu v urcitych intervalech
a kdyz by se objevila cizi MAC adresa,tak
by poslal varovani,pripadne by ji zablokoval)
nevite o necem takovem?
s DHCP na linuxu delam poprve
predem dik

Odpovědi

[Tomáš Vitha]

No a co takhle nakonfigurovat DHCP server tak, že když se připojí počítač s "cizí" fyzickou MAC adresou, tak žádnou IP adresu nedostane (prostě nezadáš parametr range do deklarace subnet). IP adresy počítačů se správnými MAC adresami si v konfiguráku DHCP nějak pěkně seřadíš (třeba 192.168.1.10 až 192.168.1.50 - příklad, nevim, kolik jich tam máš) a na firewallu povolí vstup z vnitřní sítě pouze pro tenhle rozsah... Tím zajistíš, že počítač s neznámou MAC adresou za 1) nedostane IP adresu z DHCP serveru a za 2) ikdyž si nějakou zvolí manuálně, mimo vnitřní síť se nedostane, a to ani na samotný router (za předpokladu, že tam běží nějaké služby). Pak můžeš na firewallu logovat zahozené pakety s nepřípustnou IP adresou z vnitřní sítě a nechat si to posílat třeba na mail...

Uff... jak to tak po sobě čtu, začínám doufat, že z toho pochopíš, co tím chtěl básník říct...

[Tomáš Vitha]

Ještě jsem zapomněl - "cizí" počítač se samozřejmě nedostane ani do druhé podsítě. Bude mít ale přístup k počítačům v rámci té jedné vnitřní podsítě. Třeba NFS, nebo Windowsí sdílení (SMB/CIFS) tam bude normálně fungovat. Nicméně i tak se to dá sledovat, protože ať už ten dotyčný uživatel chce nebo ne, tak ten počítač vysílá do sítě spoustu broadcastů a ty se pochopitelně o firewall zarazí taky. A tím pádem se i zalogujou. Třeba Windows broadcastujou skoro nonstop (asi si přes síť vyprávějí vtipy, nebo co... ) a jestli v té síti jedou Windowsí klienti, tak se o "vetřelci" dozvíš cca do deseti vteřin od jeho připojení...

[pavka]

diky moc za tip,dam se do toho..
v siti jsou windows pocitace a SMB/CIFS tam
samozrejme funguje

[nemo]

A co kdyz nekdo pouzije IP adresu nejakeho stroje, ktery zrovna nebezi? Cili jiny pocitac s jinou MAC adresou se bude tvarit jako "domaci stroj"...

[petr_p]

Videl jsem program arpwatch (nebo jak se to jmenovalo). Kazdou novou MAC-IP dvojici si zapsal do databaze a poslal mail.

Mimochodem stanice si muze zmenit jak IP, tak MAC a nikdo s tim nic nenadela. Jedina moznost je natahat tunely z kazde stanice na router, tim budou stanice autentizovany (napr. IPsec). Jen je to ponekud vypocetne narocne na router.

[nemo]

Mimochodem stanice si muze zmenit jak IP, tak MAC a nikdo s tim nic nenadela...

No to jo, ale zjistit si MAC adresu stroje, o kterem vim, ze je vedle v kanclu vypnuty neni tak snadny. Naopak ale vim, ze ten pocitac vedle se jmenuje blabla, takze pro pripojeni svyho stroje pouziju IP adresu, ktera odpovida tomu blabla. Jde to nejak v siti zakazat? Myslim situaci, kdy se pouziva jiny par IP-MAC nez jaky je na DHCP definovany.

[8an]

A nebylo by jednodušší použít static ARP? Prostě se do ARP tabulky zadají napevno páry IP-MAC adresa, k volným adresám 00:00:00:00:00:00 (viz man arp). Myslím že se pak i do logu píše, že se někdo snaží statický záznam změnit (FreeBSD to dělá, nevím jak Linux).