Forum Debian Users Gang

Pamiętam że jak pracowałem z mikrotikami to w serwerze dhcp była opcja add arp for leases. Wtedy ziomek który nie dostał leasa od dhcpa nie był wpisany w tablicę arp, pod warunkiem ustawienia na interfejsie opcji arp=reply-only. Teraz potłumacz sobie to na linuksowy soft it voila xD

Ja bym pomyślał nad przynawaniem i dostępem po MAC adresie;)

na skypciaki takie zabezpieczenie pomaga- można iść w kierunku pppoe powiązanego z mac-bindingiem.Tylko po co ? Mierzmy siły na zamiary :)

Do filtrowania IP-MAC jest w Linuxie  elegancki moduł  do Ipseta:

man ipset napisał(-a):

The  bitmap:ip,mac  type  is exceptional in the sense that the MAC part
       can be left out when adding/deleting/testing entries in the set. If  we
       add  an  entry  without  the MAC address specified, then when the first
       time the entry is matched by the kernel, it will automatically fill out
       the missing MAC address with the source MAC address from the packet. If
       the entry was specified with a timeout value, the timer starts off when
       the IP and MAC address pair is complete.

       The  bitmap:ip,mac  type  of sets require two src/dst parameters of the
       set match and SET target netfilter kernel modules and  the  second  one
       must  be src to match, add or delete entries, because the set match and
       SET target have access to the source MAC address only.

       Examples:

              ipset create foo bitmap:ip,mac range 192.168.0.0/16

              ipset add foo 192.168.1.1,12:34:56:78:9A:BC

              ipset test foo 192.168.1.1

Da się też ożenić serwer DHCPD z Ipsetem, ale jest trochę gimnastyki z kodzeniem.

Przy okazji, jeśli sieć ma być mega bezpieczna, i będzie się rozwijać w tym kierunku, to ja bym od razu radził DHCP postawić jako usługę Radiusa - np Freeradius ma moduł DHCPD.
Romans FreeRadiusa z Ipsetem też dużo łatwiej zaaranżować, niż w przypadku starego DHCPD.
http://networkradius.com/doc/3.0.10/raddb/mods-available/exec
http://superuser.com/questions/732088/freeradius-do … -daemon-mode.

Radius dostarcza XX metod autoryzacji kryptograficznej używanej w sieciach Wifi i w serwerach PPPOE,
na kablu w standardowym ethernecie nigdy ich nie próbowałem na razie.

EDIT:
Zwykły dhcpd, dodawania do ipseta ip:mac przez parsowanie sysloga - rsyslog wysyła logi do kolejki fifo /dev/syslog:

root ~> ipset create dhcpd bitmap:ip,mac range 192.168.0.0/16   timeout 3600

root ~> ipset list dhcpd
Name: dhcpd
Type: bitmap:ip,mac
Revision: 3
Header: range 192.168.0.0-192.168.255.255 timeout 3600
Size in memory: 8272
References: 0
Members:


root ~> echo "Sep 14 18:07:55 localhost dhcpd: DHCPACK on 192.168.0.20 to 00:11:22:e5:ce:39 (Andek) via br0" | awk '{print "add dhcpd   "$8","$10}' |ipset --restore --exist

 ipset list dhcpd
Name: dhcpd
Type: bitmap:ip,mac
Revision: 3
Header: range 192.168.0.0-192.168.255.255 timeout 3600
Size in memory: 8272
References: 0
Members:
192.168.0.20,00:11:22:E5:CE:39 timeout 3591

root ~>

Pozdro

Ostatnio edytowany przez Jacekalex (2016-09-14 18:19:17)