Dotaz: Blokace nedynamicky přidělených ip adres

[lop]

Dobrý den,

je nějaká možnost jak vynutit v síti používání ip adres, které byly přiděleny dhcp serverem? V síti jsou nějaké cisco managovatelné switche, ale mám pocit, že to všechno funguje na moc nízké síťové vrstvě než aby to mohlo sledovat komunikaci s dhcp serverem a na základě toho povolovat dané mac adresy pro komunikaci se zbytkem sítě. Je vůbec nějaké možnost, jak zakázat tyto statické ip adresy, aby nedocházelo ke kolizím?

Odpovědi

[NN]

802.1x na switchich, nebo staticke leasy na DHCP ?

NN

[lop]

802.1x používám, ale nemohu všude. Ty dhcp statické leasy nezabrání uživateli nastavit statickou ip adresu na svém pc. Možná by stačil nějaký daemon, co by komunikoval s dhcp serverem a blokoval na routeru do internetu všechny ne-dhcp přidělené ip adresy, aby si uživatel alespoň uvědomil, že má něco špatně.

[Sten]

Na to stačí firewall

[lop]

Však jo, firewall na routeru, ale jak to zprovoznit?

[Sten]

iptables -P FORWARD DROP # Zablokuje vše, co není povolené
iptables -A FORWARD -s ip.ad.re.sa -m mac --mac-source ma:c_:ad:re:sa -j ACCEPT # Povolí počítač s danou MAC a IP adresou

[lop]

Myslel jsem jak zprovoznit komunikaci dhcp s routerem aby se to aktualizovalo automaticky po přidělení ip adresy dhcp serverem?

[Jiří Veselský]

No jsou-li to opravdu Cisco switche, tak zkuste prozkoumat chování příkazů

ip dhcp snooping
ip verify source

a třeba ještě

ip arp inspection

Určitě si vyberete

[lop]

Jo to vypadá zajímavě, díky. Zatím to ještě všechno nejsou cisco switche, ale postupně se to nahrazuje, takže to tam asi nasadím. Mimochodem existuje něco podobného i pro wifi APčka od cisca? V těch jejich datasheetech jsem našel jen podporu igmp snooping.