nixp.ru v3.0

17 октября 2017,
вторник,
09:15:02 MSK

DevOps с компанией «Флант»
Ping_Win написал 7 апреля 2006 года в 02:35 (381 просмотр) Ведет себя неопределенно; открыл 73 темы в форуме, оставил 102 комментария на сайте.

Такая вот проблема появилась:

есть локалка. Для того чтоб закрепить за каждым пользователем свой адрес, поднял dhcp-сервер, всем пользователям прописал статические IP.

Нельзя ли как-нибудь избавиться от проблемы умышленной смены IP, т.е. чтоб пользователю, который прописывал себе IP собственноручно, выдавалась ругань мол такой IP уже используется или что-то типа того?

Спасибо

rgo

на свитче прописать привязку mac->ip->порт.

Ping_Win

Врядли это получится, т.к. во всей сети лишь дешевые коммутаторы. На них ничего не пропишешь

Dmitry Ivanov

права отобрать. на смену IP

Ping_Win

Интересно как?

Скажем есть две машины, A и B, и dhcp-сервер, который выдает машине A IP1, машине B IP2. Вася Пупкин, сидя за машиной A (у него конечно винда стоит) берет и вместо автоматичекого получения адреса ставит IP2. Обращений к dhcp не происходит. А Вася успешно сидит в сетке.

(У нас домашняя сеть, пользователи часто меняют адреса, хотелось бы этому положить конец)

Dmitry Ivanov

Ах, так у вас бардак в сети ;)

тогда покупайте нормальные коммутаторы.

Taras_
Ping_Win
Такая вот проблема появилась:

есть локалка. Для того чтоб закрепить за каждым пользователем свой адрес, поднял dhcp-сервер, всем пользователям прописал статические IP.

Нельзя ли как-нибудь избавиться от проблемы умышленной смены IP, т.е. чтоб пользователю, который прописывал себе IP собственноручно, выдавалась ругань мол такой IP уже используется или что-то типа того?

Спасибо

Вот Вам хорошая ссылка по теме, содержит различные варианты решения вашей проблемы: http://unixfaq.ru/index.pl?req=qs&id=169

anonymous
Taras_
Вот Вам хорошая ссылка по теме, содержит различные варианты решения вашей проблемы: http://unixfaq.ru/index.pl?req=qs&id=169

решение там ровно одно — купить нормальное железо.

В нескольких модификациях, правда — туннели (а ведь их тоже надо чем-то терминировать), dot1x и ограничения на порту умного свитча. Вне корпоративной сферы dot1x не рулит.

Остальное — это костыли, которые внедрять себе дороже.

Gluck

Развернул такую штуку, завазана она на ARP-таблице. В ней могут существовать записи 3-х типов: временные, постоянные и публичные. Вот как раз если занести на олном компе в ARP-таблицу публичную запиьсь, то другие компы в сети с отличным от данного MAC-адресом не смогут занять данный IP-шник.

Делается это так: #arp -s 192.168.0.1 01:01:01:01:01:01 pub

Единственное, как заставить Linux проглотить pub я так и не понял, по-умолчанию не принимает. А на FreeBSD замечательно работает.

Далее вопрос появляется такой: а как защититься от подмены MAC-адреса Ж:)))

anonymous
Gluck
Далее вопрос появляется такой: а как защититься от подмены MAC-адреса Ж:)))

О! Ты понял самую суть!!!!

Steck

От смены IP делаем так:

man arp

Смысл в том что бы в таблицу arp записать IP и MAC юзеров а остальные фиктивные.

например есть сеть 192.168.1.1-254 В сетке 10 юзеров

в arp таблицу заносим этих юзеров к примеру с 192.168.1.2-11 а оставшиеся адреса заносим в таблицу с левым маком например 00:00:00:00:00.

И тогда юзеры уже не смогут менять адреса а в логах ты увидишь ругать типа

IP 192.168.1.5 хотел падло такое сменить свой IP на 192.168.1.55

fly4life
Steck
От смены IP делаем так:

man arp

Смысл в том что бы в таблицу arp записать IP и MAC юзеров а остальные фиктивные.

например есть сеть 192.168.1.1-254 В сетке 10 юзеров

в arp таблицу заносим этих юзеров к примеру с 192.168.1.2-11 а  оставшиеся адреса заносим в таблицу с левым маком например 00:00:00:00:00.

И тогда юзеры уже не смогут менять адреса а в логах ты увидишь ругать типа

IP 192.168.1.5 хотел падло такое сменить свой IP на 192.168.1.55

Да тут про статическую arp-таблицу уже все поняли ;). Даже в ссылке, приведённой Taras_, рассказывается про этот способ. Однако он нисколько не защитит от одновременной смены плохим парнем MAC- и IP- адресов, соответствующих друг другу в твоей статической таблице.

ИМХО, единственное преемлемое решение в данной ситуации уже было озвучено: «купить нормальный коммутатор».