OpenNET: статья - Привязка IP к MAC адресу (bsd arp filter mac ethernet)

Ключевые слова: bsd, arp, filter, mac, ethernet, (найти похожие документы)
Subject: Привязка IP к MAC адресу > В нашей сети пользователи повадились самостоятельно менять себе IP адерса. > Хотят обмануть систему учета трафика и качать нахаляву или за счет соседа. > Как привязать IP к определенной сетевой карте и запретить выход в сеть > некоторым машинам ? Рутер под FreeBSD. # Очищаем ARP /usr/sbin/arp -d -a # Разрешаем работу только с хостов c списанными MAC адресами. /usr/sbin/arp -s 192.168.1.1 0:92:37:91:12:a3 pub # Запрещаем присвоение свободных IP. /usr/sbin/arp -s 192.168.1.2 0:0:0:0:0:0 pub

2.2, Горник (?), 21:45, 01/10/2002 [^] [^^] [^^^] [ответить]

+/–

>Ещё как либо возможно контролировать конкретную машину?

Убираем хабы и ставим везде свичи с возможностью фильтрации MAC адресов.
Для каждого юзера на свиче прописываем фильтр, где пропускаем только реальный MAC-адрес.

2.14, вандал (?), 16:30, 23/04/2004 [^] [^^] [^^^] [ответить]	+/–
>Сейчас на карточках предоставлена возможность ручной замены mac адресов (пробовал на realtek >8139(A/B/C/D)). Ещё как либо возможно контролировать конкретную машину? написано Алексом от 01 окт 02 18:07 отправь на мыло как это сделать и как узнать МАС другой машины!

3.17, Сергей (??), 19:46, 09/10/2004 [^] [^^] [^^^] [ответить]	+/–
Слушай,раскажи как можно сменить MAC.У меня карта такаяже.

2.15, вандал (?), 16:31, 23/04/2004 [^] [^^] [^^^] [ответить]	+/–
>Сейчас на карточках предоставлена возможность ручной замены mac адресов (пробовал на realtek >8139(A/B/C/D)). Ещё как либо возможно контролировать конкретную машину? написано Алексом от 01 окт 02 18:07 отправь на мыло как это сделать и как узнать МАС другой машины! Diac@mail.kz

2.6, SergeS (?), 20:39, 13/06/2003 [^] [^^] [^^^] [ответить]

+/–

>Данную проблему решил собственно так:
>в БД загнал все ip и связанные с ними mac, затем правила
>для каждого хоста. Написал на перле скрипт который из бд создает
>правила для фаервола,первым правилом стоит проверка ip в связке с mac.
>Если правило удовлетворяет этой связке переход на лигитимную цепочку правил для
>данного хоста...
>Тут меняй не меняй, а если ip не будет соответсвовать mac фаервол
>просто не пустит.
>А на счет смены mac, так только выручать вумные свичи...
мой 3сom 4400 похоже этого не умеет(((

а пример можешь выслать? Я просто ищу пример скриптов, сейчас сам столкнулся с этим. "Война" с одним из операторов. Но mac менять не умеет пока никто в сетке.
tennen#mail.od.ua.

2.7, mic (?), 07:09, 07/08/2003 [^] [^^] [^^^] [ответить]

+/–

У меня такаяже проблема встала.
Юзера ходят через сквид, но вот захотели и почту забирать и по фтп нормально ходить.

Мужики, у меня такая идея родилась:
Прога меленькая на клиенте слушает порт (к примеру 3000).
На сервере прога типа natd при попытке доступа во внешний мир посылает запрос на 3000 порт насчет логин-пароля.
В ipfw divert'ить на это прогу.

Вот такая замен вумных свичей прогами :)

2.8, Fduch (?), 14:11, 22/08/2003 [^] [^^] [^^^] [ответить]	+/–
>Данную проблему решил собственно так: >в БД загнал все ip и связанные с ними mac, затем правила >для каждого хоста. Написал на перле скрипт который из бд создает >правила для фаервола,первым правилом стоит проверка ip в связке с mac. >Если правило удовлетворяет этой связке переход на лигитимную цепочку правил для >данного хоста... >Тут меняй не меняй, а если ip не будет соответсвовать mac фаервол >просто не пустит. >А на счет смены mac, так только выручать вумные свичи... Не понял я... а что мешает мне сменить мак вместе с ИП? Ставлю на своей машине твой МАК и твой ИП - и что твои правила мне скажут?

2.18, Krigs (?), 04:21, 02/11/2004 [^] [^^] [^^^] [ответить]	+/–
Привет, прочел Вашу заметку на opennet ru Не обязательно писать на перле скрипт ... большой текст свёрнут, показать

2.12, dmitry (?), 08:06, 23/01/2004 [^] [^^] [^^^] [ответить]	+/–
>можно-ли в сетке ставить эту привязку только на одного юзера?? или нужно >будет на всех?? имеется ввиду, что поставить связку на две пары Ip+mac, а остальные чтобы динамически не добавлялись? Если так, то можно на все остальные ip прописать связку на mac 00:00:00:00:00:00 или просто утановить политику по умолчанию DROP, а на первые два ip ACCEPT + проверку ip+mac.