Dotaz: redirect mac adresy

[gogan]

Zdravím,
snažím se řešit přesměrování do internetu po zadání hesla na web stránce.
Situace je taková:

OS FreeBSD 8.0-RELEASE
iface do internetu rl0="DHCP"
iface do intranetu sk0="inet 10.0.0.1 netmask 255.255.255.0"

na sk0 běží DHCP server

na sk0 redirect veškerého trafficu 80 portu pomocí ipnat:
rdr sk0 0.0.0.0/0 port 80 -> 10.0.0.1 port 80

firewall:
ipfw - mírně upravený režim "open"
ipf - povoleno vše / spušten kvůli ipnat /

DHCP server na sk0 funkční
redirect funkční, http dotazy z sk0 jdou na 10.0.0.1 - apache

Idea:
Po zadání hesla na stránce, vytvoření vyjímky z redirectu na zákledě mac adresy a přesměrování zařízení do internetu. S aplikací pravidla pomocí scriptu se netrápím jen ta vyjímka mě nenapadá Snad někdo bude vědět jak na to... nebo úplně jinak?

Odpovědi

[mato]

hm .. preco to riesis uz na L2 ? .. co tak to urobit tak, ze len ten klient, ktory ziska IP adresu od DHCP a bude authorizovany na webe (predpokladam, ze web a dhcp je to iste zelezo) bude moct ist von ? a postacil by si si len s PF, ipfw nebudes potrebovat .. skeleton by mohol vyzerat takto:

# wan iface
ext_if="em0"

# lan iface
int_if="em1"

# tvoj local net
NET_LOCAL="{10.10.10.0/24}"

# WAN IP
IP_WAN="{172.31.1.205}"


# table pre auth. users
table <authorized>

#
# skeleton
#

# pkt normalization
scrub in all

# nat pre uzivatelov
nat on $ext_if from $NET_LOCAL -> $IP_WAN

# default povolene vsetko; toto si upravis dle potreby
pass in all
pass out all


# auth users maju zelenu
pass quick from <authorized> keep state

# ostatni su blokovani
block from $NET_LOCAL to any

funkcne telo skriptu bude potom managovat table authorized, bude pridavat alebo uberat klientov:

dragon:(~)# pfctl -T add -t authorized 10.10.10.3
1/1 addresses added.
dragon:(~)#

dragon:(~)# pfctl -T show -t authorized 
   10.10.10.2
   10.10.10.3
dragon:(~)#

samozrejme treba este osetrit samotny FW na tej masine, ja som tu nechal default vsetko povolene (az na nat NW)

[pepazdepa]

lol proc pouzivas 2 firewally zaroven (ipfw a ipf)? :)

neni jednodussi pouzit to udelat takto?

- kdyz neni 'zalogovana' ipcka, presmer na intranet www - kdyz se zaloguje pres authpf tak se udelaji paktricne ruly

authpf, samozrejme, ne kazda babicka umi doma rozjet putty :), takze by to slo i pro neznalky udelat na te webovce (py/php/perl/ruby bindings pro ssh).

http://www.openbsd.org/cgi-bin/man.cgi?query=authpf&apropos=0&sektion=0&manpath=OpenBSD+Current&arch=i386&format=html

;)