Dotaz: Omezení IP adres

[Tomasekkk]

Zdravím Vás, mám jeden pro mne specifický problém.

Mám linuxovou distribuci DEBIAN 4 a na druhém stroji PFSENSE, rád bych se zeptal chytrých hlav, zda-li mi můžou doporučit nějaký balíček do těchto systémů na to, abych mohl omezit přiřazování IP adres, myslím tím tento příklad:

Mám 100 PC, tyto mají svou pevnou IP zadánu v systému, kde nelze měnit (pouze administrátorem), jenže do sítě mají přístup také další lidé, kteří si vlastně mohou zadat vlastní IP adresu, jenže to nechci, protože pokud zadají např. IP datového serveru, odstřihnout konfliktem tento server od sítě, další věc je ta, že bych chtěl mít přehled o PC připojených do sítě a každé IP adrese nastavovat určitá pravidla, přes DHCP sice dle MAC adresy reezrvaci udělá, ale jak zadá IP natvrdo, tak samozřejmě rezervaci nebere v potaz, jak by jste to řešili vy? Děkuji za případné rady. Tom

Odpovědi

[Pheek]

Nemyslím si že je to řešitelný problém, není páka a možnost jak donutit uživatele který má přístup k nastavení sítě svého počítače, aby to nedělal! Kolizi zabránit nejde.

[ZEr]

Co takhle stávající PC a PC dalších lidí připojovat k dvěma různým sítím (pokud jsem to pochopil dobře, tak PFsense se chová jako router), tak do něj bys přidal dalčí interface pro "cizí" PC ? Další možností by bylo servery oddělit do DMZ. Možná by tvůj problém mohla řešit i 802.1x autentizace, ale na to bys potřeboval "chytrý switch".

[Tomasekkk]

Aha, tak jsem myslel, že to opravdu lze dělat lehce a jak vidím tak ne, vím, že to zvládá v pohodě třeba dělat ZYWALL USG, ten to umí krásně všechno omezovat apod. bohužel v té síti nelze mít každou síťovku zvlášť, jde o to, že tak i tak je síťovka připojena do switche, jak se to tedy řeší např. na školách apod. kdy žáci vidí IP adresy serverů apod. a změní si IP a síť na to nijak nereaguje? Teda reaguje tak, že tu IP dostane, ale v síti se tváří jako by ji PC neměl.

[Filip Jirsák]

Především je dobré servery vyčlenit do samostatné sítě (buď fyzické nebo VLAN), takže ostatní počítače je nevidí přímo, ale komunikují s nimi přes router. Pak nemůže běžný uživatel ze sítě „vymazat“ server. Pokud pak chcete i jednotlivým uživatelům zabránit používat libovolnou IP adresu, je jediná možnost switch, který bude umět s konkrétním portem svázat konkrétní IP adresu. A nebo administrativní opatření, kdy nastavení cizí IP adresy (místo použití IP adresy přidělené DHCP serverem) bude nějakým způsobem trestáno.

[Tomasekkk]

Děkuji za informaci, asi to bude nejlepší přes ten router, teď je to tak, že je prostě router nahozený do všech switchů, takže ho odstřihne kdokoli, nejlepší tedy bude asi opravdu přes router. Děkuji za informaci

[vencour]

Napadá mne jako řešení použití 802.1X.

[ZEr]

Pokud máš bežný dumb L2 switch, tak jednotlivé stanice mezi sebou komunikují prostřednictvím switche, router přijde na řadu v okamžiku, kdy se jeden z počítačů snaží dostat např. na internet. Řešit to jde tak, že servery připojíš na zvláštní switch a ten připojíš do další síťovky v routeru. Případně pokud router nemá možnost rozšíření o síťovku, tak budeš muset použít VLAN.