Dotaz: Obmedzenie pristupu na internet z LAN

[keviin077]

Ako obmedzim jednotlivym uzivatelom na sieti LAN pristup na internet. Na servery {Debian 3.1 Sarge} mam pripojenie na internet je cez EDGE modem ppp0 do siete HUBU to ide cez eth0}. Pridelovanie IP adries mam riesene cez dhcp3 server. Ako zabranim urcitym vybranim uzivatelom pristup na internet.

1. Chcem aby vybrany uzivatelia, kt. dostanu IP od dhcp3 serveru na LAN mohly ale na internet uz nie. 2. Chcem zabranit pristupu na internet tym, ktori si rucne natukaju IP adresu, branu a DNS server rucne {uhadnu ju} ????

Odpovědi

[D-Evil]

Přiděluj uživatelům adresy z různejch částí rozsahu (třeba staticky podle MAC adres), třeba takhle:

Klienti s přístupem na internet: třeba 10.0.0.1-19 Klienti bez přístupu na internet: třeba 10.0.0.20-39

Adresám od 20 do 39 pak přes iptables blokuj provoz dle libosti (třeba -d ! 10.0.0.0/8)

Pokud budeš chtít vyřešit i ty, co si nastavěj síť ručně, filtruj navíc celej provoz podle MAC adres (možná to uměj iptables, nevim, nikdy jsem to nedělal)

[Jan]

Jasne ze to iptables umi, prislusny odstavecek v man pages zni takto:

 --mac-source [!] address
              Match   source   MAC   address.    It   must   be  of
              the  form XX:XX:XX:XX:XX:XX.  Note that this
              only makes sense for  packets
              coming from an Ethernet device and entering the
              PREROUTING, FORWARD or INPUT chains.

Ti vseho schopni uzivatele, kteri si umeli uhadnout sitove parametry, ovsem casem prijdou na to, kterou hodnotu mac adresy si maji nakonfigurovat aby se dostali ven. Pak se zase ozvi.

[David Jaša]

Zaveď registraci MAC - k dane MAC přiděl pevnou IP (třeba pomocí fixed-address) a v iptables povol routing do netu na základě těchto dvojic MAC - IP a zbytek zakaž.

[keviin077]

Aka bude syntax. Ja davam iptables -t nat -I POSTROUTING -o ppp0 -j MASQUERADE potom som dal iptables-save ale aj tak to po kazdom restarte musim zase zadat - plati od vtedy ked som do dhcpd.conf dopisal do sekcie subnet deny unknown-clients. Asi aj ten iptables bude potrebne zadat inak. Ako to robim ja (chyba mi tam PREROUTING, FORWARD a INPUT(.

[keviin077]

Sorry klikal som trochu rychlejsie ako bolo treba

[David Jaša]

Odpovím tady - je to to, co psal kolega nade mnou. Třeba tak nějak:

iptables -P FORWARD DROP
iptables -N inetxs
iptables -A inetxs -s IP1 -m mac --mac-source MAC1 -j ACCEPT
...
iptables -A inetxs -s IPn -m mac --mac-source MACn -j ACCEPT
iptables -A FORWARD -o inet_iface -j inetxs

Jak se tak na to dívám, tak to může být pomalý při velkým počtu klientů a paketů/s, ale nic lepšího mě nenapadá.