forum.opennet.ru - "Настройка DHCPD. Безопасность сети. iptables." (5)

форумы

помощь

поиск

регистрация

майллист

ВХОД

слежка

"Настройка DHCPD. Безопасность сети. iptables."

Форумы OpenNET: Виртуальная конференция (Public)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[Проследить за развитием треда]

"Настройка DHCPD. Безопасность сети. iptables."
Сообщение от sanches (ok) on 16-Сен-06, 12:43
Всем привет. Есть такая идея. Я создаю кампусную сеть, и мне надо сделать такую феничку: в настройках dhcpd сервера есть такая строка: subnet 10.10.0.0 netmask 255.255.255.0 { } То-есть он никому просто так не выдаёт ip адрес. И много других строк типо: host ai-home-0001 { hardware ethernet 00:02:44:11:04:bc; fixed-address 10.10.0.100; } То-есть он выдаёт ip адреса только известным пользователям. Так вот, сама суть моей проблемы: Мне надо сделать так, чтобы когда пользователь получил ip адрес от dhcpd сервера, добавлялось правило в iptables для доступа ко всем ресурсам. В iptables по дефолту в цепочке input и forward стоит drop. Нужно это потому, что в подъездах стоят свичи, и если кто-то нахаляву подключился к нему, не имел бы доступа к серверу. И к остальным пользователям которые сидят на других свичах, за серваком. Можно ли такого добиться???
Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх

Оглавление

Настройка DHCPD. Безопасность сети. iptables., PavelR, 13:45 , 16-Сен-06, (1)

Настройка DHCPD. Безопасность сети. iptables., sanches, 14:04 , 16-Сен-06, (2)

Настройка DHCPD. Безопасность сети. iptables., PavelR, 15:09 , 16-Сен-06, (3)

Настройка DHCPD. Безопасность сети. iptables., sanches, 15:18 , 16-Сен-06, (4)

Настройка DHCPD. Безопасность сети. iptables., StSphinx, 00:17 , 17-Сен-06, (5)

Сообщения по теме [Сортировка по времени, UBB]

1. "Настройка DHCPD. Безопасность сети. iptables."

Сообщение от PavelR (??) on 16-Сен-06, 13:45

> То-есть он выдаёт ip адреса только известным пользователям.
> Так вот, сама суть моей проблемы:
> Мне надо сделать так, чтобы когда пользователь получил ip адрес от
>dhcpd сервера, добавлялось правило в iptables для доступа ко всем ресурсам.
>В iptables по дефолту в цепочке input и forward стоит drop.
>
> Нужно это потому, что в подъездах стоят свичи, и если кто-то
>нахаляву подключился к нему, не имел бы доступа к серверу. И
>к остальным пользователям которые сидят на других свичах, за серваком.
> Можно ли такого добиться???
и опыт, сын ошибок трудных...
Не верной дорогой идешь. От левого подключения может помочь только соединение с авторизацией, например установление VPN через частную сеть.
Все иное - бессмысленно.
Чтобы не ломал голову - поясняю - ну узнаю я мак, ну поменяю его в настройках сетевой - сброшу настройки карточки, получу адрес от дхцп - и все, пользуйся....

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

2. "Настройка DHCPD. Безопасность сети. iptables."

Сообщение от sanches (ok) on 16-Сен-06, 14:04

>и опыт, сын ошибок трудных...
>
>Не верной дорогой идешь. От левого подключения может помочь только соединение с
>авторизацией, например установление VPN через частную сеть.
>Все иное - бессмысленно.
>
>Чтобы не ломал голову - поясняю - ну узнаю я мак, ну
>поменяю его в настройках сетевой - сброшу настройки карточки, получу адрес
>от дхцп - и все, пользуйся....
Ну это тоже верно. Просто у нас в городе рульных людей, которые в таких делах соображают, мало. А без VPN как ни будь возможно проследить левое подключение к сети???
Вот например сетка к которой я дома подключен, название ей InterHomePlus, постоянно рассылает ARP пакеты. Запустил у себя сниффер, так аж но глаз не выпал. Больше 10000 пакетов за минуту от их серваков. Так из-за этого сетка такая тормозная. И вот я думаю зачем они это делают??? Для того что бы видеть есть ли левые в сети или нет???
Я только одно знаю, админ там точно лапух. И юхает netup utm5. Прога не плохая, но есть и замены ей, бесплатные. И пол сетки там под виндой.
Может чё посоветуете мне по поводу левых подключений???
Только не предлагайте в подъездах сейфы ставить. :)

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

3. "Настройка DHCPD. Безопасность сети. iptables."

Сообщение от PavelR (??) on 16-Сен-06, 15:09

поставь управляемые свичи )
ну а если их поставишь - сейфы сам захочешь ставить )
так что смотри в сторону pptp pppoe etc

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

4. "Настройка DHCPD. Безопасность сети. iptables."

Сообщение от sanches (ok) on 16-Сен-06, 15:18

>поставь управляемые свичи )
>ну а если их поставишь - сейфы сам захочешь ставить )
>
>так что смотри в сторону pptp pppoe etc
Дорого управляемые свичи везде ставить. :( 100 баков за одну штуку минимум, на 16 портов. А воровать свичи у нас наврятле станут, город маленький, о таком пока не слышал, ни от одного прова. Город с кол-вом жителей ~150000.
pptp у меня используется для раздачи инета.
А если не учитывать то, что MAC адрес и имя машины с этим MAC адресом можно стырить, возможно ли при выдачи ip адреса dhcp сервером добавления правил в iptables???

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

5. "Настройка DHCPD. Безопасность сети. iptables."

Сообщение от StSphinx (??) on 17-Сен-06, 00:17

>>поставь управляемые свичи )
>>ну а если их поставишь - сейфы сам захочешь ставить )
>>
>>так что смотри в сторону pptp pppoe etc
>
>Дорого управляемые свичи везде ставить. :( 100 баков за одну штуку минимум,
>на 16 портов. А воровать свичи у нас наврятле станут, город
>маленький, о таком пока не слышал, ни от одного прова. Город
>с кол-вом жителей ~150000.
>pptp у меня используется для раздачи инета.
>А если не учитывать то, что MAC адрес и имя машины с
>этим MAC адресом можно стырить, возможно ли при выдачи ip адреса
>dhcp сервером добавления правил в iptables???
Если не хотите использовать протоколы тунелирования, то путь только к управляемым свичам,
реализующим port security, 802.1x и изоляцию портов.
А то, что пользователи типа несведущие - это неправильное допущение, так как пользователь ишущий халявы существо страшное и жутко хитрое. И допущение о том, что воровать не будут тоже не верное, будут, обязательно будут, поскольку у нас воруют все, даже если незнают, что с этим делать. Припоминаю время когда на одном местном заводе был монтаж и лежали бухты с оптикой, так на них специально делали наклейки: "Кабель оптический и в быту не пригоден!". И народ все равно воровал, видимо из принципа :)
Вообще вам на hub.ru там сидит довольно опытный народ из разряда строителей домовых сетей.

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Настройка DHCPD. Безопасность сети. iptables."
Сообщение от PavelR (??) on 16-Сен-06, 13:45
> То-есть он выдаёт ip адреса только известным пользователям. > Так вот, сама суть моей проблемы: > Мне надо сделать так, чтобы когда пользователь получил ip адрес от >dhcpd сервера, добавлялось правило в iptables для доступа ко всем ресурсам. >В iptables по дефолту в цепочке input и forward стоит drop. > > Нужно это потому, что в подъездах стоят свичи, и если кто-то >нахаляву подключился к нему, не имел бы доступа к серверу. И >к остальным пользователям которые сидят на других свичах, за серваком. > Можно ли такого добиться??? и опыт, сын ошибок трудных... Не верной дорогой идешь. От левого подключения может помочь только соединение с авторизацией, например установление VPN через частную сеть. Все иное - бессмысленно. Чтобы не ломал голову - поясняю - ну узнаю я мак, ну поменяю его в настройках сетевой - сброшу настройки карточки, получу адрес от дхцп - и все, пользуйся....
Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх


	2. "Настройка DHCPD. Безопасность сети. iptables."
	Сообщение от sanches (ok) on 16-Сен-06, 14:04
	>и опыт, сын ошибок трудных... > >Не верной дорогой идешь. От левого подключения может помочь только соединение с >авторизацией, например установление VPN через частную сеть. >Все иное - бессмысленно. > >Чтобы не ломал голову - поясняю - ну узнаю я мак, ну >поменяю его в настройках сетевой - сброшу настройки карточки, получу адрес >от дхцп - и все, пользуйся.... Ну это тоже верно. Просто у нас в городе рульных людей, которые в таких делах соображают, мало. А без VPN как ни будь возможно проследить левое подключение к сети??? Вот например сетка к которой я дома подключен, название ей InterHomePlus, постоянно рассылает ARP пакеты. Запустил у себя сниффер, так аж но глаз не выпал. Больше 10000 пакетов за минуту от их серваков. Так из-за этого сетка такая тормозная. И вот я думаю зачем они это делают??? Для того что бы видеть есть ли левые в сети или нет??? Я только одно знаю, админ там точно лапух. И юхает netup utm5. Прога не плохая, но есть и замены ей, бесплатные. И пол сетки там под виндой. Может чё посоветуете мне по поводу левых подключений??? Только не предлагайте в подъездах сейфы ставить. :)
	Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх


	3. "Настройка DHCPD. Безопасность сети. iptables."
	Сообщение от PavelR (??) on 16-Сен-06, 15:09
	поставь управляемые свичи ) ну а если их поставишь - сейфы сам захочешь ставить ) так что смотри в сторону pptp pppoe etc
	Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх


	4. "Настройка DHCPD. Безопасность сети. iptables."
	Сообщение от sanches (ok) on 16-Сен-06, 15:18
	>поставь управляемые свичи ) >ну а если их поставишь - сейфы сам захочешь ставить ) > >так что смотри в сторону pptp pppoe etc Дорого управляемые свичи везде ставить. :( 100 баков за одну штуку минимум, на 16 портов. А воровать свичи у нас наврятле станут, город маленький, о таком пока не слышал, ни от одного прова. Город с кол-вом жителей ~150000. pptp у меня используется для раздачи инета. А если не учитывать то, что MAC адрес и имя машины с этим MAC адресом можно стырить, возможно ли при выдачи ip адреса dhcp сервером добавления правил в iptables???
	Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх


	5. "Настройка DHCPD. Безопасность сети. iptables."
	Сообщение от StSphinx (??) on 17-Сен-06, 00:17
	>>поставь управляемые свичи ) >>ну а если их поставишь - сейфы сам захочешь ставить ) >> >>так что смотри в сторону pptp pppoe etc > >Дорого управляемые свичи везде ставить. :( 100 баков за одну штуку минимум, >на 16 портов. А воровать свичи у нас наврятле станут, город >маленький, о таком пока не слышал, ни от одного прова. Город >с кол-вом жителей ~150000. >pptp у меня используется для раздачи инета. >А если не учитывать то, что MAC адрес и имя машины с >этим MAC адресом можно стырить, возможно ли при выдачи ip адреса >dhcp сервером добавления правил в iptables??? Если не хотите использовать протоколы тунелирования, то путь только к управляемым свичам, реализующим port security, 802.1x и изоляцию портов. А то, что пользователи типа несведущие - это неправильное допущение, так как пользователь ишущий халявы существо страшное и жутко хитрое. И допущение о том, что воровать не будут тоже не верное, будут, обязательно будут, поскольку у нас воруют все, даже если незнают, что с этим делать. Припоминаю время когда на одном местном заводе был монтаж и лежали бухты с оптикой, так на них специально делали наклейки: "Кабель оптический и в быту не пригоден!". И народ все равно воровал, видимо из принципа :) Вообще вам на hub.ru там сидит довольно опытный народ из разряда строителей домовых сетей.
	Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх

Архив \| Удалить	Индекс форумов \| Темы \| Пред. тема \| След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 \| 2 \| 3 \| 4 \| 5 ] [Рекомендовать для помещения в FAQ]