>>>Если хочешь строгий контроль нужно айпи
>>привязывать к макам.. на уровне арп таблицы....
>
>>правила для ARP писать конкретно в файл? И как сделать такой
>файл исполняемым при перезагрузке сервака? Может что надо в rc.conf прописать?
>Вообще, как это сделать, подскажите пожалуста! :-)
>Вот что я делаю
># Очищаю ARP
>/usr/sbin/arp -d -a
># Разрешаю работу только с хостов c списанными MAC адресами.
>/usr/sbin/arp -s 192.168.11.111 00:92:37:91:12:a3 pub
># Запрещаю присвоение свободных IP.
>/usr/sbin/arp -s 192.168.11.166 0:0:0:0:0:0 pub
>и так далее!
>и всё это пока что сделано в ком строке :-(

Да незачто... в фаил прописать это можно.. Если у тебя IPFW настроен.. тогда находишь фаил rc.firwall и прописываешь все правла там.. где у тебя прописанны остальные правила фаирвола... он автоматом подгружается при загрузке системы...

Какие вопросы можешь писать на мыло  Zorro2001@male.ru
или стучись в  ICQ 107732316

C уважением  Zorro ...

>>>Если хочешь строгий контроль нужно айпи
>>привязывать к макам.. на уровне арп таблицы....
>
>Спасибо за полузную информацию! Только вот теперь такой вопрос:
>Чтобы не вбивать правила для 1000 компьютеров в командной строке, можно ли
>правила для ARP писать конкретно в файл? И как сделать такой
>файл исполняемым при перезагрузке сервака? Может что надо в rc.conf прописать?
>Вообще, как это сделать, подскажите пожалуста! :-)
>Вот что я делаю
># Очищаю ARP
>/usr/sbin/arp -d -a
># Разрешаю работу только с хостов c списанными MAC адресами.
>/usr/sbin/arp -s 192.168.11.111 00:92:37:91:12:a3 pub
># Запрещаю присвоение свободных IP.
>/usr/sbin/arp -s 192.168.11.166 0:0:0:0:0:0 pub
>и так далее!
>и всё это пока что сделано в ком строке :-(
Я тебя сейчас может огорчу, но потом этот чел почитает и начитается, что mac для сетевухе можно менять!!! во как, ився эта безопасность просто рушится. А определить мас соседа, вообщем не проблема.

выход: привязка машины чисто к порту, что на сколько я знаю моет быть реализована на каталисте.

>Сканер выслал.. Пользуйтесь и наслаждайтесь... ;-)
>А вот по совтинам привязывающим ip k mac в виндах я только слышал и >читал , что >такие существуют... >нужно в инете шарить ...
>С уважением Zorro ....
Огромное спасибо, полезная штука! :)

>>Вопрос обсасывался неоднократно. Единственный гарантированный >>софтварный вариант
>>в данном случае
>> поднятие vpn. Получается весьма дешево и довольно сердито.
А можно полезную ссылочку на vpn? то есть как правильно поднять это? :)

>>man arp (контроль соответствия MAC и IP)
>>man ipfw (файрволл, отсекающий незарегеные IP)
>>man dhcpd (служба автоматической раздачи IP, которую можно привязать к >>MAC)

:-) ну вот (повторюсь) я главный сервер, у ня в сети еще несколько серверов, а у нескольких из тех серверов еще сервера! допустим на ВСЕХ этих сервера удалось привязать каким та образом ИП и МАК адреса! А как сделать так что бы ребятки, ктр подключают новое оборудование к сети, приходили и каким то образом ВСЁ ТАКИ регистрировали его.

>Да вдобавок можно даже в 98-ой винде запретить менять в сетевом >окружении,
>IP. с 98 не работала - подскажите пжалста как там что делать?
>А остальное реализовано через DHCP с привязкой к MAC.
В винде ДШЦП не помогает в том случае если юзеры по какой то причине не хотят регистрироваться (а иначе как еще привязать в виндах ИП к МАК? вроде ни как). Они просто отключают ДШЦП и подгоняют себе ИП. Вот в чем проблема... А сервера с виндой к сожалению не перевести на ФриБСД! тамошние админы просто не знают что это такое. А мне бегать к ним по всему предприятию не особо таки здорово :(

используй vpn

>такую же проблему решили с помощью таблиц ARP, очень просто и эффективно,
угу - не спорю - просто и надёжно (с одной оговоркой - если звери не знают как менять МАС)
>причем сеть не маленькая, около 350 компов
тут не важно сколько компов - важно как они расположены.
мне это не подходит - у меня сетка не одноуровневая.
>есть файл например /etc/arpfilter в котором указаны соответствия IP к MAC адресу
>
>192,168,0,2  00:02:0B:00:00
>потом все просто
>arp -ad
>arp -f /etc/arpfilter
>и все, 100% что никто просто так не возьмет себе АйПи
>сначала гимор в том чтобы собрать все АйПи и Маки, зато потом
>нет фигни в ipfw
>у меня работает прекрасно
:)

>такую же проблему решили с помощью таблиц ARP, очень просто и эффективно,
>причем сеть не маленькая, около 350 компов
>есть файл например /etc/arpfilter в котором указаны соответствия IP к MAC адресу
>
>192,168,0,2  00:02:0B:00:00
>потом все просто
>arp -ad
>arp -f /etc/arpfilter
>и все, 100% что никто просто так не возьмет себе АйПи
>сначала гимор в том чтобы собрать все АйПи и Маки, зато потом
>нет фигни в ipfw
>у меня работает прекрасно

Я вот не пойму смысл этого...
Прописываю 192.168.1.200 00:0a:e6:c6:5a:91 , потом ставлю себе айпи 192.168.1.20 и перегружаюсь...
в arp таблице пулучается следующее:
    ? (192.168.1.20) at 00:0a:e6:c6:5a:91 on rl1 [ethernet]
    admin (192.168.1.200) at 00:0a:e6:c6:5a:91 on rl1 permanent [ethernet]

Ну... сменил айпи и работаю дальше...
И выше сказанное получается не работает... Что делать?