Ola a tds,
Alguem sabe como eu faço para que, quando algum cliente trocar o ip ou a mascara das estaçao ela para de navegar? Eu ja uso o maclist, mas minha preocupacao maior é quando um cliente trocar a mascara de sua maquina ele comece a enxergar a rede toda.
Grato
+-------------------------------------------------------+ | Pedro H. A. Neto | Analista de Tecnologia da Informatica | MSN pedrohaneto@hotmail.com | UIN 196.039.600 | Orkut http://www.orkut.com/Home.aspx?xid=2023086171787910905 +-------------------------------------------------------+
--------------------------------- Yahoo! Acesso Grátis Internet rápida e grátis. Instale o discador agora!
Pedro Neto wrote:
Ola a tds,
Olá
Alguem sabe como eu faço para que, quando algum cliente trocar o ip ou a mascara das estaçao ela para de navegar? Eu ja uso o maclist, mas minha preocupacao maior é quando um cliente trocar a mascara de sua maquina ele comece a enxergar a rede toda.
Para restringir, basta apenas que na regra do iptables o MAC esteja associado a um IP, e so passa trafego por ele. Exemplo:
iptables -A FORWARD -s 192.168.0.1 \ -m mac ! --mac-source 00:60:08:91:CC:B7 \ -j DROP
Isso diz que se caso o IP 192.168.0.1 nao esteja navegando com o endereco MAC 00:60:08:91:CC:B7, ele dá um DROP e nao deixa nenhum pacote passar, fazendo com que o IP não navegue.
O que pode ocorrer é o usuario mais avançado spoofar o endereço MAC da placa de rede e pegar outros IPs. Se esse usuário tiver em maos o controle dos MACs e souber outros MACs associados a outros IPs, ele consegue tomar o lugar de outro IP/MAC.
Para contornar isso, eu penso que a solucao de criar uma especie de VLAN diferente para cada IP, cada um com uma sub-net diferente, seja a solução. Porque senão o cara mais esperto pode colocar a placa de rede em modo promíscuo (nasty!), fazer um scan de arp pra pegar os MAC e placas de rede, e sair se divertindo por ai.
Com a VLAN, o IP/MAC fica isolado. Geralmente os provedores wireless nao fazem isso porque: 1) não sabem fazer; 2) não se importam; 3) não querem gastar dinheiro para um mínimo de segurança :)
Apropósito, aqui vai uma URL com dicas sobre o assunto: http://www.zago.eti.br/firewall/iptables-mac.txt
Grato
*+-------------------------------------------------------+* | *Pedro H. A. Neto* | Analista de Tecnologia da Informatica | *MSN* pedrohaneto@hotmail.com | *UIN* 196.039.600 | *Orkut* http://www.orkut.com/Home.aspx?xid=2023086171787910905 *+-------------------------------------------------------+*
br-users@lists.fedoraproject.org