1. leht 2-st
MAC aadressi bannimine
Postitatud: 01.11.2009, 23:37
Postitas Atheya
Kas ja kuidas on võimalik OpenSuSE 11.1 Firewallis võimalik MAC aadressi järgi kohalikus võrgus olevaid arvuteid blokkida? Panin püsti DHCP serveri. IPde järgi bannida ei soovi, kuna igaüks oskab IP-d vahetada.
Igasugune info tuleks kasuks
Postitatud: 01.11.2009, 23:52
Postitas illukas
iptables -A INPUT -m mac --mac-source 00:00:00:00:00:00 -j DROP
iptables -A FORWARD -m mac --mac-source 00:00:00:00:00:00 -j DROP
Sõltub mis sa teha tahad, kui lihtsalt sellele masinale juurdepääsu keelata siis piisab esimesest, kui aga see masin toimib ka ruutimisega siis mõlemad
Postitatud: 02.11.2009, 02:12
Postitas Atheya
Masin tegeleb ka marsruutimisega.
Suured tänud!
Üks küsimus veel: Kuidas saaks ma eelnevalt blokeeritud MAC aadressi "unblockida"?
Postitatud: 02.11.2009, 02:17
Postitas indrek
btw, tänapäeval peaks igaüks, kes ip-d vahetada oskab, suutma ka maci vahetada
Postitatud: 02.11.2009, 03:09
Postitas Atheya
Tegu on ühikaga, ehk kokad ei oska
(A)
Postitatud: 02.11.2009, 08:58
Postitas obundra
Atheya kirjutas:Kuidas saaks ma eelnevalt blokeeritud MAC aadressi "unblockida"?
Kirjutad konkreetset mac-i puudutavas reeglis DROP asemele ACCEPT.Ja "man iptables" on see käsk mida sa otsid
Postitatud: 02.11.2009, 11:55
Postitas Atheya
Hmm.. Proovisin küll. Vaatasin manuali ka, kuid siiski ei tööta. Arvuti saab endiselt Internetti. Milles võib viga olla?
Postitatud: 02.11.2009, 12:57
Postitas Kanka
Vale mac?
Vahetas maci ära?
Postitatud: 02.11.2009, 13:59
Postitas vylx
Parandage, kui eksin, kuid..
Kas mitte iptable/chain'is ei mänginud ka reeglite paiknemise järejekord olulist rolli?
St. võimalik, et leiti eespoolt juba sobiv reegel ehk toimub pakettide routimine ära enne, kui tolle "mac-drop" reani jõutakse?
Ei teeks halba /etc/sysconfig/iptables ülevaadata korra, ning liigutada "mac-drop" ridasid vastavalt. (kui muidugi on salvestatud..)
Postitatud: 02.11.2009, 14:13
Postitas obundra
Kuna tegu on ruuteriga ,siis tuleb mac-i filtreerimine teha PREROUTING ahelas, sest FORWARD ahelasse jõudes on paketi source mac kirjutatud üle ruuteri võrguliidese omaga.
Kood: Vali kõik
iptables -t mangle -I PREROUTING -p tcp -i ethx -m mac --mac-source 00:00:00:00:00:00 -j DROP
ethx asemele läheb sisevõrgu liides
Postitatud: 02.11.2009, 14:20
Postitas olavsu1
konfi viga. juba ainuüksi netti lubamine peab olema mac põhine. kõikide arvutite mac aadressid peavad olema registreeritud.
Postitatud: 02.11.2009, 17:24
Postitas Kanka
obundra kirjutas:Kuna tegu on ruuteriga ,siis tuleb mac-i filtreerimine teha PREROUTING ahelas, sest FORWARD ahelasse jõudes on paketi source mac kirjutatud üle ruuteri võrguliidese omaga.
Kood: Vali kõik
iptables -t mangle -I PREROUTING -p tcp -i ethx -m mac --mac-source 00:00:00:00:00:00 -j DROP
ethx asemele läheb sisevõrgu liides
Selles ilmselt asi ongi. Kõigi eelduste kohaselt eth0 asemele ja peaks funkama.
Postitatud: 02.11.2009, 21:17
Postitas illukas
olavsu1 kirjutas:konfi viga. juba ainuüksi netti lubamine peab olema mac põhine. kõikide arvutite mac aadressid peavad olema registreeritud.
nu ja siis lased snifferi käima ja ongi sul varsti olemas miski mac...
PREROUTING neh
Postitatud: 02.11.2009, 22:59
Postitas Atheya
Jepjep
Minu alluvuses on hetkel Iptraf, siiani olen väga rahul
Kohe teen ka järjekordse loomkatse, kas ban toimib
Postitatud: 02.11.2009, 23:07
Postitas Atheya
Ahsoo. Ühesõnaga - enne selle MAC aadressi blokeerimist pean MAC aadressi registreerima? Kuidas see käib? *blush* (A) Olen suhteliselt algaja
Postitatud: 02.11.2009, 23:09
Postitas Atheya
Or wait.
MAC on ju registreeritud, kui ta netti pääseb läbi serveri.
Postitatud: 02.11.2009, 23:11
Postitas Kanka
On jah võimalus teha, et ainult registreeritud mäkid saavad netti aga kindlasti ka nii, et kõik peale kindlate ei saa.
Postitatud: 02.11.2009, 23:46
Postitas Atheya
Sain selle blokinduse vist tööle 8-|
Nüüd küsimus selline, et kuidas oleks võimalik ära salvestada need iptables muudatused?
Postitatud: 02.11.2009, 23:55
Postitas obundra
Atheya kirjutas:Or wait.
MAC on ju registreeritud, kui ta netti pääseb läbi serveri.
Kui siiani tulemüüris mac-i piiranguid polnud, siis pole ilmselgelt ka midagi registreeritud ja kõik pääsevad võrku.Tulemüüri hetkel kehtivaid INPUT, FORWARD ja OUTPUT ahelate reegleid näitab käsk
Eraldi nat ja mangle tabeli omi
ja
Võrgus olevaid ip aadresse ja nendele vastavaid mac-e näitab käsk arp -a.Iptablesi reegleid saad salvestada iptables-save käsuga.Näiteks salvestad faili /etc/tulemyyr käsuga
, käivitamisel loed reeglid sisse
Kood: Vali kõik
iptables-restore < /etc/tulemyyr
Edit: Paar asjakohast linki kah
http://viki.pingviin.org/Tulemüürimas_IPTABLES_abiga (täpikuid ei lase miskipärast lingiks teha)
Hasso Tepperi leht
Postitatud: 03.11.2009, 00:16
Postitas Atheya
Suur, SUUR aitäh!!!
Sain asja just nii tööle, nagu peab