Dotaz: internet pro návštěvy

[Milan Dobeš]

Ahoj, musím ve stávající síti 192.168.100.0/24 pokrýt určité prostory wifi tak, aby pracovníci firmy měli přes wifi přístup ke všem prostředkům sítě (několik serverů) a návštěvy mohly jen na internet.

Napadlo mě spustit po drátech další síť 192.168.1.0/24 a dhcp serverem ji přidělovat nezaregistrovaným uživatelům. Nevím ale jak zabránit těmto klientům v přístupu k prostředkům sítě 192.168.100.0/24 včetně ostatních služeb serveru na kterém je dhcpd. GW do internetu je na jiném stroji původní sítě a routovat to musí server s dhcpd protože na gw nelze nastavit druhou ip. Server s dhcpd je CentOS 4.4. Asi by to mohlo jít řešit přes IPTABLES ale tomu zatím moc nehovím.

Lze to takto řešit nebo jsem úplně mimo???

Odpovědi

[andree]

(100% spravnost nezarucujem)

1) na jednom fyzickom rozhrani je mozne mat viacero IP adries (ip addr add, myslim ze to ale zvladaju vsetky OS, aj windows)

2) iptables na routri urcite nastavit pojde (ked tak su na to aj klikacie utility...)

3) je este moznost nastavit firewall miesto na routeri priamo na serveroch (co by mozno bolo jednoduchsie nastavit, ale tazsie by sa to spravovalo - N uprav fw miesto 1)

[Jiří Veselský]

spustit po drátech další síť 192.168.1.0/24

Přesně pro tyto účely existují 802.1q VLANy.

[Libor Chocholaty]

Pozor vsak na vyber spravnych WiFi AP, ne kazde pusti tagovane pakety dal. Treba Ovislink 5000 je potichu zahazuje...

[Milan Dobeš]

Jjjj, díky za info, začínám to zvolna chápat. Určitě to půjde. Podařilo se mi ve firewallu (pfsense) udělat na LAN rozhraní další IP adresu tak ji můžu těm návštěvám přiřazovat přímo jako GW a DNS a bude to. Ještě jednou díky, zase jsem o něco chytřejší začátečník

[Libor Chocholaty]

No, ja bych na firewallu udelal jeste kontrolu MAC, protoze IP si kazdy muze priradit sam... A za ty VLANy bych se taky primlouval, ale mam pocit, ze Windows XP 802.1Q VLANy neumi. Potrebuji aby to umel ovladac sitove karty.

[andree]

nieze by si aj MAC nemohol kazdy nastavit aku chce

[Libor Chocholaty]

ale uz se mu bude obtizneji shanet, ktere MAC jsou v nabidce

[Libor Chocholaty]

Mozna by bylo vubec nejlepsi nainstalovat pro navstevy extra jina APcka nez pro managery, ktera by visela ve switchi na nejake VLAN, takze u uzivatelu by to bylo netagovane a ze switche do routeru by se provoz nastevniku pekne otagoval a na routeru uz by se to dalo nejak smysluplne poresit.

[Ondroid]

Kismet, airodump-ng nebo něco podobneho a máš MAC které jsou k dispozici až pod nosem.

[petr_p]

Což neřeší problém, že zaměstanci se musí autentizovat, jinak by se za ně mohl vydávat kdokoliv (a tedy získat přístup k firemním aktivám).

[Libor Chocholaty]

predpokladam, ze kdokoli chce pristup k firemnim serverum se musi autentizovat...

[petr_p]

Tady nejde o přístup k vyjmenované množině strojů, ale o přístup do sítě.

VLAN má pouze smysl administritavní, nikoliv bezbečnostní. Tj. pouštět dvě VLANY do linky, kam má přístup útočník, nemá žádný smysl, protože VLAN rámec si může útočník vyrobit jakýkoliv.

[Dejv]

Teda, ja nevim, co tady vsichni resi dve AP, VLANy a janevimcojeste. Nestacilo by jednoduse posbirat od zamestnancu jejich MAC adresy, pristup na internet povolit vsem (zamestnancum i navstevam) a pristup na servery jen ten vybranym MAC adresam? A nechat to ve stejne siti, jak byl puvodni zamer.

Pokud placam nesmysly, prosim zkusenejsi, aby me usmernili

Dejv

[Filip Jirsák]

Problém je, že MAC adresu si může téměř každý změnit, a zjistit si MAC adresy ostatních zařízení taky není tak těžké.

[petr_p]

Buďto si sežeňte AP, které umí WPA a po úspěšné autentizaci směrovat vybrané klienty do více VLANŮ (mezi AP a routerem) nebo jiným routerům.

Nebo na routeru mezi firemní sítí a AP zakončete IPsec tunel, který bude povinný pro přístup do firemní sítě. Zaměstnancům pak rozdejte třeba certifikáty (samozřejmě lze použít i jiné způsoby autorizace) a řeknětě jim, že pakety určené pro firemní síť musí balit do IPsec tunelu zakončeném na vašem routeru.

[puchy]

Dle mého k tomuto slouží 802.1X na switchi (nebo AP) a uživatelé, kteří se neověří budou puštěni jen do "bezpečné" VLAN.