Как закрыть пользователя MAC-адресом?

Технические вопросы по UTM 5.0
Аватара пользователя
alexus
Сообщения: 448
Зарегистрирован: Сб окт 11, 2008 10:31

Сообщение alexus »

duzer писал(а):Только средствами билинга на неуправляемой сети - никак. В Интернете много ссылок на эту тему. К примеру http://www.opennet.ru/openforum/vsluhforumID3/4612.html
Как сделать не средствами биллинга я знаю.
Но почему в биллинге такое нельзя было реализовать?
Ведь абсолютно же реально это.

Просто хотел выснить, реализовано ли это в биллинге.

JAO
Сообщения: 1153
Зарегистрирован: Вт дек 11, 2007 08:17

Сообщение JAO »

Это делается на шлюзе, а не на биллинге. Связывание IP и MAC адреса делается через таблицу ARP. Есть скрипт, выбирающий информацию из базы UTM и прописывающий связку в ARP таблицу. Только и это легко ломается в неуправляемой сети. Ничто не мешает собрать снифером соответствия адресов и прописать себе нужную пару. При должном умении даже и конфликт адресов не выскочит ни у кого. Так что лучше PPTP, там можно и IP/MAC связать, и логин с паролем, и биллингу сказать, кого откуда пускать или не пускать.

Аватара пользователя
alexus
Сообщения: 448
Зарегистрирован: Сб окт 11, 2008 10:31

Сообщение alexus »

JAO писал(а):Это делается на шлюзе, а не на биллинге. Связывание IP и MAC адреса делается через таблицу ARP. Есть скрипт, выбирающий информацию из базы UTM и прописывающий связку в ARP таблицу. Только и это легко ломается в неуправляемой сети. Ничто не мешает собрать снифером соответствия адресов и прописать себе нужную пару. При должном умении даже и конфликт адресов не выскочит ни у кого.
Что-то я поразмыслил и дейтсвительно стредствами биллинга путёво не получится обрубать злоумышленника. Единственное он мог бы рубануть и злоумышленника и жертву, обрубив на мроутере эти два айпи адреса.
JAO писал(а): Так что лучше PPTP, там можно и IP/MAC связать, и логин с паролем, и биллингу сказать, кого откуда пускать или не пускать.
Но в этом случае весь трафик будет проходить через роутер, а не по короткому пути между абонентами. (или я не прав?)

Получается, единственный выход - ставить управляемые коммутаторы, у которых можно задавать на порту мас и айпи для доступа.

JAO
Сообщения: 1153
Зарегистрирован: Вт дек 11, 2007 08:17

Сообщение JAO »

Через роутер пойдет только тот трафик, который через него должен идти. Это зависит от того, как изменится таблица маршрутизации у клиента, когда он подключится по PPTP. Я понял, что адреса в туннеле не должны пересекаться с адресами в локальной сетке. И я задействовал другую подсеть как пул для туннелей. В итоге у меня локальный трафик ходит как обычно, а инетовский - по туннелям. Правда если трафик пойдет в другой сегмент сети, то да - пойдет он по туннелю, потому что туда смотрит шлюз по умолчанию. Тут два выхода есть - клиенту прописать статические маршруты либо поставить NAS на сегментном роутере. Тогда и вовсе двух зайцев можно так сказать прибить. Денег нет - и не увидишь не только инет, но и прочую локалку.

Аватара пользователя
alexus
Сообщения: 448
Зарегистрирован: Сб окт 11, 2008 10:31

Сообщение alexus »

JAO писал(а):Через роутер пойдет только тот трафик, который через него должен идти. Это зависит от того, как изменится таблица маршрутизации у клиента, когда он подключится по PPTP. Я понял, что адреса в туннеле не должны пересекаться с адресами в локальной сетке. И я задействовал другую подсеть как пул для туннелей. В итоге у меня локальный трафик ходит как обычно, а инетовский - по туннелям. Правда если трафик пойдет в другой сегмент сети, то да - пойдет он по туннелю, потому что туда смотрит шлюз по умолчанию. Тут два выхода есть - клиенту прописать статические маршруты либо поставить NAS на сегментном роутере. Тогда и вовсе двух зайцев можно так сказать прибить. Денег нет - и не увидишь не только инет, но и прочую локалку.
Что-то я не совсем понял некоторые моменты.
допустим хост подключен через сетевую карту к коммутатору сетки.
Ему мы прописываем адрес сети (на хосте). С этим адресом он сможет работать только в локалке с абонентами сети, нон икак не с платными ресурсами в других айпи сетях (адресное пространство рррое). так ?
Далее, чтобы он мог воспользоваться платными услугами, он должен подключиться по рррое, например.
В этом случае ему назанчится айпи, который выдаст сервер при подключении по рррое. И он уже будет работать по этому адресу, так?
В маршрутах он будет основным, точнее сеть рррое.
А второй адрес будет задействован (прописаный на сетевую плату) только если хост в сети, к которому он хочет подключиться (пусть хоть сосед по квартире), не подклюится по рррое, так?
А если подклюсился, тогда локальный трафик весь завернётся через главный роутер. Фигня какая то получается.
Может я что-то не догоняю?! Поправте если что не так. Но вроде бы правильно говорю.

JAO
Сообщения: 1153
Зарегистрирован: Вт дек 11, 2007 08:17

Сообщение JAO »

Когда человек подключается по PPTP, у его компьютера появляется второй IP адрес. Допустим, в локальной сетке есть два сегмента, 192.168.0.0/24 и 192.168.1.0/24, которые общаются друг с другом через сегментные роутеры. У клиентов в этих сегментах прописан только шлюз по умолчанию. Пусть над ними стоит еще один роутер, через который люди ходят в инет, и на нем NAS поднят. Так вот, пока кто-то не подключен по PPTP, трафик из 192.168.0.0/24 в 192.168.1.0/24 пойдет через сегментные роутеры, минуя головной, и обратно так же. А если кто-то из 192.168.0.0/24 подключен по PPTP, то произойдет следующее - трафик от него пройдет сегментный роутер, затем пойдет к головному, там будет развернут во второй сегментный роутер и пойдет к клиенту в другом сегменте. Ответ от него пройдет через сегментные роутеры, если тот не подключен по PPTP. А если и он подключен, тогда и ответ пойдет через головной. Вот чтоб этого не было, и прописывается статический маршрут до другого сегмента, либо NAS вешается на сегментный роутер, а не на головной.

Если же компьютера будут обращаться друг к другу, используя туннельные адреса, то тогда они оба должны быть подключены по PPTP и весь трафик пойдет через головной роутер, даже если они в одном сегменте.

Если в пределах одного сегмента будут обращаться друг ко другу, используя локальные адреса, то такой трафик через роутеры не пойдет. Он пойдет напрямую между компьютерами.

PPPoE такой заморочкой не страдает, хотя и там могут быть интересности с маршрутизацией. А поскольку PPPoE - это L2 туннель, то в L3 сети PPPoE NAS можно ставить только на сегментных роутерах.

inettel
Сообщения: 11
Зарегистрирован: Вс дек 14, 2008 12:49

Сообщение inettel »

У меня схожая проблема, Calling-Station-Id не передается вообще, в отчетах диалап в поле вызывающий абонент пусто, подозреваю что виноват rp-pppoe собранный без поддержки kernel-mode (opensuse 11)

Аватара пользователя
Chrst
Сообщения: 370
Зарегистрирован: Пт май 11, 2007 09:28
Откуда: Медиахолдинг "ЛеККС"
Контактная информация:

Сообщение Chrst »

inettel писал(а):У меня схожая проблема, Calling-Station-Id не передается вообще, в отчетах диалап в поле вызывающий абонент пусто, подозреваю что виноват rp-pppoe собранный без поддержки kernel-mode (opensuse 11)
Проблемой может также являться IOS (если NAS Cisco) и RADIUS.

inettel
Сообщения: 11
Зарегистрирован: Вс дек 14, 2008 12:49

Сообщение inettel »

NAS, RADIUS,UTM да и вообще всё стоит на одном PC
радиус - УТМовский

inettel
Сообщения: 11
Зарегистрирован: Вс дек 14, 2008 12:49

Сообщение inettel »

Собрал rp-pppoe с поддержкой kernel-mode, вё стало как надо !!!
В UTM cid прописывается ввиде 01:23:45:67:89:AB

Ответить