Dotaz: Mikrotik - omezení přístupu některých wifi klientů k internetu

[jan.rok]

Ahoj,

potýkám se s takovým požadavkem:

Mám Mikrotik RB951Ui-2HnD, k hlavnímu wifi rozhraní FIRMA mám vytvořeny ještě 2 virtuální rozhraní VEDENI (SSID: vedeni) a SKLAD (SSID: sklad). K síti "sklad" je navíc připojen repater, který tuto síť prodlužuje.

IP adresy přiřazuje jiný DHCP server v síti.

Chtěl bych zajistit, aby se vybraní skladníci s mobilem, kteří se přihlásí k síti "sklad", dostali pouze na adresu našeho veřejného eshopu. Nikam jinam. Ti, co se přihlásí k síti "vedeni" a všichni uživatelé PC mají přístup neomezený.

Problémem ale je, že vybraným skladníkům musím sdělit heslo s síti "sklad", které se ale za pár dní provalí a k síti "sklad" se začnou připojovat i ostatní skladníci. Chtěl jsem to řešit pomocí povolených MAC adres, ale některé typy mobilů si při připojení bohužel vygenerují náhodnou MAC adresu (lze to sice v mobilu zakázat, ale nemám to pod kontrolou).

Nevím, jak tohle vyřešit, jak definovat skupinu vybraných skladníků. Potřeboval bych nějak definovat skupinu "připojený k SSDI: sklad" a zároveň "člen vybraných skladníků". Děkuju za rady.

JR

---

---

Odpovědi

[X]

Selektivni omezovani je hodne spatna praxe. Doporucoval bych to nedelat a zamyslet se nad tim co je cilem cele tehle akce. V cem je problem? Idealni je uzivatele nijak neomezovat, nebo radeji sluzbu neprovozovat vubec.

[jan.rok]

Omezení přístupu je nutné z několika důvodů:

- pomalé připojení k internetu v lokalitě (není možná jiná rychlejší alternativa)

- pouze 6 skladníků musí přes mobily/tablety ověřovat některé údaje v systému na internetu

- ostatní zneužívají wifi, svými mobily se připojují, neboť je to rychlejší než přes mobilní data, kterou jsou v lokalitě také bídná

- sdělit heslo k wifi jen těm 6 nepomáhá, brzy ho vyzradí.

Celé jsem to chtěl řešit organizačně: 6 lidí dostane heslo, ostatní ne. Pokud v DHCP serveru zjistím, že se připojil přes wifi i ten, kdo nemá, pak postih. Bohužel toto přes vedení neprošlo, chtějí technické blbuvzdorné řešení.

[OldFrog {Ondra Nemecek}]

Mít pro každý SSID sólo subnet a nad každým firewall pravidla.
Jednoduché, neprolomitelné, nějaké mac tě nemusí zajímat atd.
Další možností je u skladu ověřovat klienty (EAP / Radius apod.).
Zdar Max

[zipi]

Řeším ověřování o proti certifikátu / rádiusu na Mikrotiku, ale i tak mi wifi nabízí vložit login a heslo :( je možné tohle nějak odbourat .?

[Max]

Teď myslíš u Windows?
A pokud ano, ověřuješ proti radiusu, nebo proti účtům v doméně?
Zdar Max

[zipi]

Vždy to končí na rádius, jelikož umí jak cert tak uživatele..

[czjaromir]

Myslím že by to šlo tak že by měli jen přístup vybraní skladníci tzn povolit mac konkrétních zařízení, podhazovat mac adresu je špatná praxe protože mac by měla být jedinečná a nedej bože aby si ten mobil podhodil mac třeba brány. Vím že je tam pár ale nicméně tvrzení že to funguje neřeší problém. Taky se dá v dhcp serveru přiřadit ip podle mac takže dotyčný spadne do jiné sitě.

[Max]

Ty jsi to asi pořádně nečetl,co? Jinak si tvojí reakci nedokážu vysvětlit.
Jinak dynamická mac adresa je v poslední době celkem běžná věc. Mají to mobilní zařízení kvůli tomu, aby je nešlo sledovat.
Zdar Max

[czjaromir]

No četl a taky pracoval svého času při výrobě MB pro HPQ. Jedna z mých náplní práce byla programování MAC do MB. Mimochodem myslet si že zrovna tohle pomůže je hloupost je tam tolik možných údajů, že na jistotu tě sledovat mohou i bez mac. Třeba xiaomi mobil po mě chtěla systémová kalkulačka přístup k hovorům. No a Xiaomi samotná má půlku příjmů z reklam. Co dodat.

[Max]

Já jen napsal, kvůli čemu existuje dynamická mac adresa. Je to jeden z údajů, který lze sledovat, proto zavedli dynamickou mac. Tj. aby jeden z možných údajů zamaskovali. Nikdo netvrdí, že ti dynamická MAC zajistí 100% nesledovatelnost.
Zdar Max

[panpanika]

cetl jsem to dvakrat a mozna dvakrat spatne ale proc proste nepovolis pro subnet sklad jen ip eshopu a mktika kde budes mit dns?

[jan.rok]

Protože se mi do subnetu "sklad" budou se znalostí hesla přihlašovat i mobily, které tam nechci. Možná jsem paranoidní, ale nemám zájem mít ve firemní síti zařízení, která tam nepatří.

[samalama]

Otazka je, ci ty s tvojimi znalostami patris ako spravca do tejto firmy.

Inac, ako uz bolo spomenute, tak jedine RADIUS (bud certifikaty, alebo, ak je moznost (AD, LDAP,...), tak login/heslo) a k tomu samozrejme VLAN-y...

[panpanika]

mozna jsem malo paranoidni, ale at si do subnetu co muze jen na muj eshop jde kdo chce ne? stejne se jim ty mobily budou odpojovat protoze se nedostanou na "cely" internet. je to rozhodne min prace jak radius :)

[bigBRAMBOR]

Ahoj, Lze tedy celý dotaz zkrátit na - jak zajistit aby se nerozkecalo heslo a nepripojovali se na WiFi cizí zařízení?

[jan.rok]

Asi tak nějak.

[bigBRAMBOR]

MAC - pokud si je zarizeni nemeni

Radius - kazdy ma svuj cert, nebo login oproti AD, pak poznas kdo to rozkecal

udelat SSID bez kontroly pro vsechny, s pristupem na internet, at si pres to mobily pripojí, omezit jim treba rychlost

[Peter Golis]

vybraní skladníci s mobilem

MAC - pokud si je zarizeni nemeni

To by museli mať skladníci extra staré mobily, a tie by predstavovali riziko vo vnútrofiremnej sieti.

[PetebLazar]

Nejde vytvorit WIFI sit "SKLAD" v separatnim lokalnim adresnim prostoru (s vlastnim DHCP poolem .. zajistovanym Mikrotikem), ktery bude routovan pouze na verejnou adresu e-shopu (pripadne DNS server)?

[jan.rok]

Toto řešení bylo již zmíněno - https://www.abclinuxu.cz/poradna/linux/show/480508#2

Čili - ať se tam připojí kdo chce, ale dostane se jen na ten systém, se kterým má v pracovní době pracovat (rodičovská kontrola...).

Čili pravidlo na subnet anebo cílovou doménu (to už je složitější - je to něco na úrovni té rodičovská kontroly).

[PetebLazar]

Take jsem si toho dodatecne vsiml, cetl jsem prispevky odspodu.