Dotaz: Blokování přidělování IP přes DHCP

[Martin]

Zdravím,

nevíte náhodou někdo jestli mohu zablokovat odchozí UDP pakety na portech 67 a 68 abych měl jistotu, že nepřiděluju IP adresy někomu v síti ISP (prý tomu tak někdo činí tak chci mít jistotu že to nejsem já). Myslím, že velkým problémem by ale bylo to, že už já dostávám přidělenou IP od ISP. Myslím že mám nastacený dhcpd správně (IP mam nastavené na pevne MAC), ale nic není 100%...

Nevíte někdo nějaké řešení (pojistku)? Nebo jinak, můžu být klidný, že ty IP nepřiřazuji já, když zadám příkaz

arp

a jsou tam jen ty IP co přidělit chci?

Slackware 10, Maškaráda (vše z eth1 - Internet na eth0 - LAN)

Odpovědi

[Zdeněk Štěpánek]

Zdravim

No na inputu mas snad vse zakazany a povoleny jen konkretni porty, to jest napr WWW, FTP, apod. Jiank se to dela takhle:

subnet 321.123.128.0 netmask 255.255.255.0 { not authoritative; }

Pokud to tam nemas tak se divim ze ti DHCP vubec chodi.

Zdenek

[Martin]

No mám to asi takto:

subnet 192.168.1.0 netmask 255.255.255.0 {}

Volba not authoritative; je myslím defaultní... Díky za tip, určitě to hned změním. Jinak DHCP jede

[Jiří Veselský]

No, osobně bych se k tomu postavil trochu jinak. Pokud má ISP problém s tím, že vy jako klient někde nějak jakkoliv provozujete DHCP server, pak je váš ISP debil.

Je starostí ISP, aby měl infrastrukturu vybudovánu tak, že jakákoliv (byť třeba chybná) konfigurace čehokoliv v síti klienta mu jeho infrastrukturu neohrozí.

Jinými slovy, na vašem místě bych dával OKÁZALE najevo, že to ale VŮBEC není moje starost a trousil kolem sebe poznámky o zabezpečení sítě.

[Martin]

No to je pěkné, ale co když mě odpojí a vy.... se na mě? Je to jeniný "rozumný" ISP, který se v mé lokalitě vyskytuje. Nejsem z velkoměsta abych si mohl vybírat...

[Jiří Veselský]

Zjevně až tak moc rozumný není. No a když vás odpojí, tak vám holt zůstane dobrý pocit z toho, že pravdu jste měl vy, to za to přece stojí, ne? Jan Hus taky neodvolal, a to mu šlo o víc, než o připojení k Internetu...

[Petr Šobáň]

Ano ISP by měl mít síť zabespečenou tak aby moje blbé nastavení ji nepoškozovalo.

Ale i klijenti by mohly být tak slušní že nebudou pakety které nejsou určeny pro internet posílat do sítě k ISP a nezasírat ji. (Proč to má procházet k nějakému routeru k ISP kde to ISP zablokuje ? Přece rozumější je zablokovat to už na svém PC a nepustit ven. I z mého PC má odcházet pouze použitelný paket který má význam a né hromada nepotřebného balastu který přes můj PC prochází z jiné sítě kterou mám já.)

Takže klidně zablokovat přijímání a odesílání na ty porty z rozhraní k isp.

[Hiny]

Sice odpovidam pozde, ale pro dalsi co tohle budou nekdy resit...

Staci proste spustit dhcpd s nazvem sitove karty.

Ja to mam nasledne: /usr/sbin/dhcpd br0 Na misto "br0" staci dosadit sitovku na ktere to ma bezet(eth0, eth1, wlan0 apod.)

[vampi]

jj, taky to pouštím takhle :) ISP si zatím nestěžoval :)))