Dotaz: Jak zabránit konfliktu IP adres na lokální síti

[Murphy]

Lze nějak zabránit konfliktu IP adres na lokální síti ? Mám na mysli případ kdy se někdo připojí k lokální síti pomocí Wifi a má nastavenou pevnou IP adresu, která koliduje s IP adresou jiného počítače v síti ?

Dík.

 

 

Odpovědi

[pht]

Lze nějak zabránit srážce vlaků na železnici? Mám na mysli případ kdy někdo rozjede mašinu na trati a nastaví napevno směr, který koliduje s jiným vlakem?

[chris]

Lze, pokud disponujeme nadražím s dostatečně schopným přednostou, který umí zjistit, že zrovna tímhle vláčkem smí jezdit jen Lojza a né Pepa. Přednosta následně přehodí vyhybku, která všechny vláčky od Pepy nasměruje přímo do bezedného kamenolomu... Jinak řečeno začít arp -a a pokračovat ve stejném layeru

[pht]

No tak pak tu nehodu způsobí jedině Lojza, to je výhra. Navíc IP žádného přednostu nemá.

[petr_p]

Pokud to je rezim infrustructure, tak muzete dane stanici zrusit asociaci na access point. Ale jestli na to existuje neco automatizovanoho, to nevim. Navic to neresi pripad, kdy si uzivatel na stanici zmeni i MAC adresu.

[cronin]

V česko-slovenskej emailovej konferencii FreeBSD je možné dohľadať starší thread, v ktorom je na úrovni paketov opísané, čo sa deje pre TCP aj UDP spojenia, ak sú na jednej sieti dve rovnaké IP adresy.

Či sa duplicite dá zabrániť záleží od toho, čo onú duplicitu spôsobuje. S určitou nadsázkou sa dá povedať, že tento problém vždy spôsobujú používatelia, nie zariadenia samotné. Ak sa jedná o neschopných používateľov, riešením je DHCP a konfigurovateľné switche, kde sa na príslušnú zásuvku nakonfiguruje MAC adresa, ktorá sa na ňu môže pripojiť, a na DHCP sa zviaže MAC a IP. Ak sa jedná o schopných používateľov, ktorí si vedia MAC adresu podľa potreby zmeniť, treba problém riešiť nie technicky, ale personálne: stanoviť jasné pravidlá hovoriace o tom, že sa to robiť nesmie, stanoviť sankcie za ich porušenie a používateľom dať podpísať, že s pravidlami boli oboznámení a nezdráhať sa prvých dvoch-troch previnilcov exemplárne potrestať.

[pht]

Komunikaci po ethernetu a spoofing MAC adres může vyřešit 802.1x.

Ale to stejně neošetří případ, kdy tohle všechno dobrovolně podstoupím, a pak si nastavím jinou IP adresu (nebo začnu nějak jinak produkovat pakety s cizí IP). Musel byste na všech zařízeních natvrdo nastavit ARP záznamy, nebo použít VPN s agregátorem v rámci lokální sítě.

[cronin]

O tom prave vravim: boj technickymi prostriedkami proti vychcanosti mojich vlastnych pouzivatelov je vopred prehrany boj. Navrhujem preto urobit opatrenia, ktore sposobia, ze pouzivatelia taketo veci nebudu CHCIET robit, namiesto toho, aby ich robit NEMOHLI, pretoze to prve je mnohonasobne jednoduchsie ako to druhe. Urcite technicke prostriedky si treba ponechat kvoli moznosti odhalenia vinnika, ktory pokuseniu neodolal.

[pht]

Technické řešení by mělo být vždy doplněno personálním. To je ale model uzavřené společnosti, kde platí premisa, že za hříšníkem si vždy můžete dojít a nějak ho ztrestat. Ne vždy to ale tak je.

[petr_p]

Navíc tazatel má problém s WiFi. Tu je možné oddělat na fyzické vrstvě prostým zarušením kanálu.

[Ash]

O "uživateli" s žebříkem a šroubováčkem nemluvě.

[Zdenek]

Nektere "switche" umi hlidat krome MAC adresy i IP adresu per port.

[pht]

Které?

[Zdenek]

Namatkou 3Com Switch 4500, obecne vsechny od 3Comu s ACL, dokonce umi filtrovat i podle UDP,TCP portu.

[pht]

A jak se to vypořádá s arp?

[Zdenek]

Muzete filtrovat i ten. Muzete testovat libovolny usek v celem ethernet ramci. Navic muzete specifikovat i casovy rozsah kdy pravidlo plati. A to vse pri wirespeed.

[pht]

No, tak to by už asi při troše štěstí mohlo proti "konfliktu IP adres" zabrat; ale víc to nevyřeší

[Murphy]

Děkuji všem za odpovědi. Důvodem, proč bych chtěl zabránit konfliktu adres, není boj s útočníky a vyčůránky, ale jen ochrana před tím, že se k síti připojí s notebookem člověk, který neví vůbec nic o tom co je IP adresa, má na notebooku nastavené připojení k internetu s pevnou IP adresou a ta koliduje např. s tiskovým serverem. Ostatním přestane tisknout tiskárna. Musí se najít, který počítač to dělá a jen se nastaví přidělení adresy přes DHCP.

Stačilo by jen, aby někde naskočila hláška: Pozor dva počítače mají stejnou IP adresu.

[pht]

Pokud vím tak windowsy tu hlášku mají.

[petr_p]

Nainstalujte si na síť arpwatch.