Portál AbcLinuxu, 29. července 2025 15:50
Náhodu, že uhádne MAC již registrovanou v jiné síti neuvažuju.To není náhoda. Podle toho, jak to bude proswitchované, můžou slyšet třeba broadcasty, u wifi („mobilní klienti“) je to pak úplně ztracené, protože to je prostě slyšet ve vzduchu. Nebo počkám, až se člověk s privilegovanou MAC připojí do jiné sítě („mobilní klienti“), kde už ji uslyším - třeba protože tam mají switch, na který jde udělat ARP poisoning, nebo - znovu - prostě pošle libovolný broadcast (ARP, DHCP request…). Možná by to šlo i bruteforcnout, vzhledem k tomu, že výrobce jich má třeba 2^24, což je 16 milionů, což je 5 hodin při 1000 pkt/s.
Musím mít i ostatní síťové prvky(switch, AP) co podporují 802.1x?Ne, proč proboha? Ta „kontrola“ bude probíhat na serveru, ne?
Když tedy nemusím používat VLAN na switchích, jak zabránim tomu aby když si uživatel v LAN2 nastaví IP rozsah z LAN1, nemohl s touto sítí komunikovat?No jo, vlastně nijak. Ale jak říkám, celé tohle je strašně špatně. Drátový ethernet bych řešil fyzickými VLAN per port a wifi broadcastem více sítí z AP.
A tak jak jsem navrhul v posledním postu by to nefungovalo? Hned za server dát switch a na něm rozdělit LAN1 a LAN2.No ale ještě musíš nějak rozdělit tu wifinu. Potom to bude fungovat - dokud ti neleakne PSK k wifi nebo se někdo fyzicky nedostane k „privilegované“ zásuvce/kabeláži.
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.