MAC aadressi bannimine

Atheya · Postitus Postitas **Atheya** » 01.11.2009, 23:37

Kas ja kuidas on võimalik OpenSuSE 11.1 Firewallis võimalik MAC aadressi järgi kohalikus võrgus olevaid arvuteid blokkida? Panin püsti DHCP serveri. IPde järgi bannida ei soovi, kuna igaüks oskab IP-d vahetada.

Igasugune info tuleks kasuks

illukas · Postitus Postitas **illukas** » 01.11.2009, 23:52

iptables -A INPUT -m mac --mac-source 00:00:00:00:00:00 -j DROP
iptables -A FORWARD -m mac --mac-source 00:00:00:00:00:00 -j DROP

Sõltub mis sa teha tahad, kui lihtsalt sellele masinale juurdepääsu keelata siis piisab esimesest, kui aga see masin toimib ka ruutimisega siis mõlemad

Atheya · Postitus Postitas **Atheya** » 02.11.2009, 02:12

Masin tegeleb ka marsruutimisega.
Suured tänud!

Üks küsimus veel: Kuidas saaks ma eelnevalt blokeeritud MAC aadressi "unblockida"?

indrek · Postitus Postitas **indrek** » 02.11.2009, 02:17

btw, tänapäeval peaks igaüks, kes ip-d vahetada oskab, suutma ka maci vahetada

Atheya · Postitus Postitas **Atheya** » 02.11.2009, 03:09

Tegu on ühikaga, ehk kokad ei oska

(A)

obundra · Postitus Postitas **obundra** » 02.11.2009, 08:58

Atheya kirjutas:Kuidas saaks ma eelnevalt blokeeritud MAC aadressi "unblockida"?

Kirjutad konkreetset mac-i puudutavas reeglis DROP asemele ACCEPT.Ja "man iptables" on see käsk mida sa otsid

Atheya · Postitus Postitas **Atheya** » 02.11.2009, 11:55

Hmm.. Proovisin küll. Vaatasin manuali ka, kuid siiski ei tööta. Arvuti saab endiselt Internetti. Milles võib viga olla?

Kanka · Postitus Postitas **Kanka** » 02.11.2009, 12:57

Vale mac?
Vahetas maci ära?

vylx · Postitus Postitas **vylx** » 02.11.2009, 13:59

Parandage, kui eksin, kuid..

Kas mitte iptable/chain'is ei mänginud ka reeglite paiknemise järejekord olulist rolli?
St. võimalik, et leiti eespoolt juba sobiv reegel ehk toimub pakettide routimine ära enne, kui tolle "mac-drop" reani jõutakse?

Ei teeks halba /etc/sysconfig/iptables ülevaadata korra, ning liigutada "mac-drop" ridasid vastavalt. (kui muidugi on salvestatud..)

obundra · Postitus Postitas **obundra** » 02.11.2009, 14:13

Kuna tegu on ruuteriga ,siis tuleb mac-i filtreerimine teha PREROUTING ahelas, sest FORWARD ahelasse jõudes on paketi source mac kirjutatud üle ruuteri võrguliidese omaga.

Kood: Vali kõik

iptables -t mangle -I PREROUTING -p tcp -i ethx -m mac --mac-source 00:00:00:00:00:00 -j DROP

ethx asemele läheb sisevõrgu liides

olavsu1 · Postitus Postitas **olavsu1** » 02.11.2009, 14:20

konfi viga. juba ainuüksi netti lubamine peab olema mac põhine. kõikide arvutite mac aadressid peavad olema registreeritud.

Kanka · Postitus Postitas **Kanka** » 02.11.2009, 17:24

obundra kirjutas:Kuna tegu on ruuteriga ,siis tuleb mac-i filtreerimine teha PREROUTING ahelas, sest FORWARD ahelasse jõudes on paketi source mac kirjutatud üle ruuteri võrguliidese omaga.
Kood: Vali kõik
iptables -t mangle -I PREROUTING -p tcp -i ethx -m mac --mac-source 00:00:00:00:00:00 -j DROP
ethx asemele läheb sisevõrgu liides

Selles ilmselt asi ongi. Kõigi eelduste kohaselt eth0 asemele ja peaks funkama.

illukas · Postitus Postitas **illukas** » 02.11.2009, 21:17

olavsu1 kirjutas:konfi viga. juba ainuüksi netti lubamine peab olema mac põhine. kõikide arvutite mac aadressid peavad olema registreeritud.

nu ja siis lased snifferi käima ja ongi sul varsti olemas miski mac...

PREROUTING neh

Atheya · Postitus Postitas **Atheya** » 02.11.2009, 22:59

Jepjep

Minu alluvuses on hetkel Iptraf, siiani olen väga rahul

Kohe teen ka järjekordse loomkatse, kas ban toimib

Atheya · Postitus Postitas **Atheya** » 02.11.2009, 23:07

Ahsoo. Ühesõnaga - enne selle MAC aadressi blokeerimist pean MAC aadressi registreerima? Kuidas see käib? *blush* (A) Olen suhteliselt algaja

Atheya · Postitus Postitas **Atheya** » 02.11.2009, 23:09

Or wait.
MAC on ju registreeritud, kui ta netti pääseb läbi serveri.

Kanka · Postitus Postitas **Kanka** » 02.11.2009, 23:11

On jah võimalus teha, et ainult registreeritud mäkid saavad netti aga kindlasti ka nii, et kõik peale kindlate ei saa.

Atheya · Postitus Postitas **Atheya** » 02.11.2009, 23:46

Sain selle blokinduse vist tööle 8-|
Nüüd küsimus selline, et kuidas oleks võimalik ära salvestada need iptables muudatused?

obundra · Postitus Postitas **obundra** » 02.11.2009, 23:55

Atheya kirjutas:Or wait.
MAC on ju registreeritud, kui ta netti pääseb läbi serveri.

Kui siiani tulemüüris mac-i piiranguid polnud, siis pole ilmselgelt ka midagi registreeritud ja kõik pääsevad võrku.Tulemüüri hetkel kehtivaid INPUT, FORWARD ja OUTPUT ahelate reegleid näitab käsk

Kood: Vali kõik

iptables -L

Eraldi nat ja mangle tabeli omi

Kood: Vali kõik

iptables -L -t nat

ja

Kood: Vali kõik

iptables -L -t mangle

Võrgus olevaid ip aadresse ja nendele vastavaid mac-e näitab käsk arp -a.Iptablesi reegleid saad salvestada iptables-save käsuga.Näiteks salvestad faili /etc/tulemyyr käsuga

Kood: Vali kõik

iptables-save > /etc/tulemyyr

, käivitamisel loed reeglid sisse

Kood: Vali kõik

iptables-restore < /etc/tulemyyr

Edit: Paar asjakohast linki kah
http://viki.pingviin.org/Tulemüürimas_IPTABLES_abiga (täpikuid ei lase miskipärast lingiks teha)
Hasso Tepperi leht

Atheya · Postitus Postitas **Atheya** » 03.11.2009, 00:16

Suur, SUUR aitäh!!!
Sain asja just nii tööle, nagu peab