Dotaz: instalacia serveru debian

[rumy]

Příloha:

• struktura.JPG (40328 bytů)

ahojte: tak na uvod by som len par slov chcel dat preco som vytvoril toto vlakno kedze som v linuxe novacik tak a snazim sa postavit daky vlasny server ktory mi bude bezat v mojej dielni tak som sa rozhodoval aky system vyberem kedze microsoft server 2003 ovladam ako tak.. tak ma moc neoslovil stoho hladiska ze by som si musel kupit.. tak som sa rozhodol pre volbu DEBIANU:. preto by som chcel riesit v tomto mojom vlakne moje problemy ktore si nebudem vediet vyriesit tak to budem davat sem a verim tomu ze sa daka dobra dusa najde co mi pomoze

kedze v uvode som napisal ze si chcem postavit server od ktoreho ocakavam: pridelovanie ip adries na zakladne DHCP obmedzenie internetu v urcitom case a filtrovanie klientov na zaklade MAC

obmedzeni internetu by malo vyzerat takto ziaci ktory budu obmedzeni casovo a vysokoskolaci ktory budu neobmedzene na nete. cize skupina1 (stredoskolak) by sa prihlasil do siete a dostal by ip adresu z rozsahu (192.168.6.40 - 192.168.6.120) tento rozsah by mal dostat na zakladne MAC adresi v tomto rosahu by mu internet siel iba od 06:00 do 21:30 kazdy pracovny den

skupina2(vysokoskolak) by sa prihlasil do siete a dostal by ip adresu z rozsahu (192.168.6.121 - 192.168.6.254) tento rozsah tiez dostane na zaklade mac adresi.. a net by mu siel neobmedzene

ak by sa niekto pripojil do mojej siete a ja nebudem mat jeho mac adresu tak mu nepojde net voobec..

najde sa tu nejaka dobra dussa co by mi toto pomohla spravit ? pri najlepsiom aspon dat dake rady ako zaca

ja len dodam ze dhcp mi uz ide ide mi aj filtrovanie mac adresies ..cize ked sa pripojim s pc ktoreho nemam zapisanu mac adresu tak nejde net.. lenze problem u mna nastal ze ked uz chcem konkretne urcite skupinu jedna a skupinu dva tak mi to uz nejde.. prikladam aj obr..

Odpovědi

[NN]

Dobry, v dhcp si udelas 2 samostatne pooly.

-Predpokladam ze staticke adresy pridelujes manualne, nebude problem pridelovat IP z konkretniho rozsahu. Pozdeji si na to muzes udelat PHP klikatko.

-Casove omezeni zaridis pres cron, iptables a skript ktery pro cely pool zablokuje provoz = 1 pravidlo.

-Zakazes dynamicke pridelovani adres.

NN

[rumy]

no presne nad tymto som zacal teraz uvazovat ze pouzijem to cez dhcp a pool lenze problem je ze co som si nasiel manaul tak mi to nejde :( pre to pool viete mi dakto poskytnut daky funkcny vzor.. dakujem

[Jendа]

Je to děravé - odchytím si MAC adresu nějakého studenta, nastavím si ji a můžu se vesele připojit. Řešení: 802.1x s RADIUS autentizací.

[rumy]

ak si odchyti mac adresu sposobi to ze tomu druhemu potom nepojde.. co ma tu skutocnu.. mac.. za dalsie.. som len novacky.. na radius si netrufam

[Jendа]

ak si odchyti mac adresu sposobi to ze tomu druhemu potom nepojde.. co ma tu skutocnu.. mac..

Nikdo asi není připojen k síti nonstop - samozřejmě si oskenuju všechny klienty, počkám, až se jeden z nich odpojí, a připojím se za něj. A až se zase bude chtít připojit původní vlastník, přepnu se zase na někoho jiného odpojeného. Je téměř jisté, že v jeden okamžik nebudou připojeni všichni.

[rumy]

no hej len toto su ziaci ktory az taky dobry nie su.. a za dalsie aspon docasne by som to mal..

[VSi]

Stačí jeden, co dobrý je, nebo se zeptá kamaráda, co se vyzná a poradí mu jak na to. Vypnutí internetu ve 21:30 je k tomu silnou motivací (vlastní zkušenost). Síť s obyčejným switchem a motivací uživatelů k experimentům s MAC adresami je cesta do pekla.

Nejde snadno rozdělit tu síť na 2 switche? Vedou všechny kabely na jedno místo?

Jinak pokud to chceš udělat "špatným" způsobem, tak jde o triviální konfiguraci DHCP se statickým přidělováním. Definuje se jeden pool:

subnet 192.168.38.0 netmask 255.255.255.0 {
  range 192.168.38.210 192.168.38.249;
  option routers 192.168.38.1;
}

a pak statické záznamy:

host nejakypc {
  hardware ethernet 00:0E:EC:D4:1E:1A;
  fixed-address 192.168.38.60; }

[VSi]

Přesně tak. A jestli někomu vypne internet ve 21:30, tak bude mít velkou motivaci hledat způsob, jak to obejít. Jak na to přijde jeden člověk, velmi pravděpodobně se pochlubí ostatním, a budou s tím starosti pořád.

RADIUS je řešení, ale možná zbytečně složité. Na ten stejně potřebuje switch s managementem a podporou 802.1x. Když bude mít takový switch, může být jednodušší nastavit portům napevno povolené MAC adresy, popř. je rozdělit do 2 VLAN podle omezující skupiny. Takový switch, přinejhorším od nějakého horšího výrobce, nemusí být nijak drahý (něco jiného je, pokud tam těch switchů je 10 porůznu propojených).

Další možností je povolit internet jen přes VPN vázanou na login+heslo nebo certifikát. Třeba přes OpenVPN (konfigurace triviální) nebo pptp, na což je klient přímo ve Windows. Tam ale zase hrozí, že se budou přístupové údaje půjčovat nebo prodávat...

Stejně bych se zamyslel, jestli to má vůbec smysl. Je otázkou času, než se najde nějaký podnikavec z řad těch, co jim jde internet pořád, který si pustí WiFi AP, a bude poskytovat internet těm ostatním chudákům.

[Jendа]

Ke switchi: na obrázku je nakreslené i WiFi AP, tak jsem počítal hlavně s ním. U WiFi je totiž také riziko, že se tam pokusí vlámat někdo cizí z baráku přes ulici. Navíc v případě zjištění „incidentu“ je podstatně složitější vypátrat narušitele - nestačí jít po drátech.

[VSi]

Tak to jo, WiFi jsem nějak přehlédnul. Proti vlámání cizích lidí může stačit pevný WPA klíč. Pro požadované chování u WiFi pomůže jedině RADIUS (nebo VPN). Tam pořád hrozí "půjčování" loginu+hesla, ale je to lepší než nic.

[Miroslav Surin]

Ahoj, podla mojho nazoru na tak malo poziadaviek by ti stacil uplne hotovy router. Kupis ho v kazdej PC predajni, ma malu spotrebu a vsetko co si pisal splni...Ak uz server vo forme PC tak ho vyuzivaj na maximum..... :) Osobne mam zyxel a velmi jednoducho nastavim, ktora IP moze v ktorom case kam...,

[Jendа]

Z vlastní zkušenosti: tyto routery bývají občas zatraceně děravé. Respektive těch pár, co jsem viděl, šlo dát za pár minut . Buď to funguje na principu MAC adres - stačí chvíli ochutnávat provoz kolem a pak si nastavit nějakou cizí, nebo je to captive-portal, který si nehlídá prosakování DNS požadavků ven.

[NN]

Jiste,ze to co jsem popisoval je jen odpoved na otazky a reseni je z bezpecnostnoho pohledu slabe. Urcite se vyplati vyuzit vlastnosti switche jako "port security" pro kontrolu MAC, pripadne 802.1x ..

NN

[rumy]

tak precital som si odpovede a budem nato reagovat tak splocne na vsetko cize: ano mam tam dost wifi kedze sa jedna o budovu internatu tak su na troch posochodia okolo 10wificok.. este dodam ze ak by som mal kupit router co ho aj mam tak mi to zdochne lebo ja budem mat pripojenych okolo 70 ludi ani tie wificka to nezvladnu budu mrznut mam uz stym vlastnu skusenosst.. su to linksys wrt54gl radsej tam dam nanostation tie su u mna na prvom mieste.. ale to az casom.. este preco som sa rozhodol pre takyto server nechecl som to sem davat ale napiseem ze casom donho chcem nainstalovat zoneminder lebo budem tu mat aj kemery.. dalej co sa tyka tej bezpecnosti.. wifi budu nastavene ako switche cize zase sa budu odvolavat na moj server.. a zase ked niekto bude mat heslo tak sa nepripoji lebo nedostane ip .. ja viem mac odchyta kazdy.. ale toto potrebujem teraz len urobit vy ste tu vecina z vas dost znalich ludi ktory pracuju s linuxom pre mna je linux viac menej neznama ucim sa z roznych for atd.. preto som potreboval poradit .. no teraz uz ked pisem tak vam mozem povedat ze sa mi to dhcp podarilo rozhcodit ze prideluje ip iba tym ktorych budem mat v zozname mac.. dalej potrebujem cron len ten bohuzial az tak dobre nepoznam