Re: [Comm] arp blocking

Re: [Comm] arp blocking

[Мерзляков Евгений Анатольевич]

On Wed, 7 Dec 2005 22:55:54 -0800
"Alexey S. Kuznetsov" <buster@kuznetsov.org.ua> wrote:

> Привет всем!
>    А кто-нибудь знает, как без помощи iptables и подобных утилит
>    запретить доступ вообще на сервер с определённого MAC-адреса?
> 

В iptables для этого используется критерий --mac-source, при этом в конфигурации ядра должен быть включен параметр CONFIG_IP_NF_MATCH_MARK
	hj@hj hj $ zcat /proc/config.gz |grep IP_NF_MATCH_MARK
	CONFIG_IP_NF_MATCH_MARK=y

-- 
ПКБ Акустика
Мерзляков Е.А.						icq #115657846

Re: [Comm] arp blocking

[Pavel Shurubura]

On Wed, 7 Dec 2005 22:55:54 -0800
"Alexey S. Kuznetsov" <buster@kuznetsov.org.ua> wrote:

> Привет всем!
>    А кто-нибудь знает, как без помощи iptables и подобных
>    утилит запретить доступ вообще на сервер с определённого
>    MAC-адреса?
> 


Можно попробовать создать фиктивную запись в arp-таблице.

К примеру так: arp -s 1.1.1.1 0E:0B:0F:0C:11:2A


-- 
With kindest regards, pvs.

Re: [Comm] arp blocking

[Eugene Prokopiev]

Alexey S. Kuznetsov пишет:
> Hello!
> 
> та блин....почему теперь, когда я щёлкаю на reply у меня письма уходят
> к автору письна, а не в рассылку?
> В общем это не подходит для блокирования маков, ещё есть варианты?

можете попробовать ebtables на ядре 2.6

но боюсь, что эта задача в общем случае неразрешима:

1) MAC можно сменить (как средствами ifconfig, так и средствами ebtables 
- там даже по аналогии с NAT есть MAT :) )

2) я не уверен, что в пакете, пришедшем из-за маршрутизатора остался мак 
отправителя, т.к. маки - это несколько более низкий уровень. Но здесь я 
могу ошибаться - пусть специалисты поправят.

-- 
С уважением, Прокопьев Евгений

[Comm] arp blocking

[Alexey S. Kuznetsov]

Привет всем!
   А кто-нибудь знает, как без помощи iptables и подобных утилит
   запретить доступ вообще на сервер с определённого MAC-адреса?

-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re[2]: [Comm] arp blocking

[Alexey S. Kuznetsov]

Hello!



Wednesday, December 7, 2005, 8:16:56 PM, you wrote:

> On Wed, 7 Dec 2005 22:55:54 -0800
> "Alexey S. Kuznetsov" <buster@kuznetsov.org.ua> wrote:

>> Привет всем!
>>    А кто-нибудь знает, как без помощи iptables и подобных утилит
>>    запретить доступ вообще на сервер с определённого MAC-адреса?
>> 

> В iptables для этого используется критерий --mac-source, при этом в
> конфигурации ядра должен быть включен параметр CONFIG_IP_NF_MATCH_MARK
>         hj@hj hj $ zcat /proc/config.gz |grep IP_NF_MATCH_MARK
>         CONFIG_IP_NF_MATCH_MARK=y



-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re[2]: [Comm] arp blocking

[Alexey S. Kuznetsov]

Hello!

та блин....почему теперь, когда я щёлкаю на reply у меня письма уходят
к автору письна, а не в рассылку?
В общем это не подходит для блокирования маков, ещё есть варианты?

Wednesday, December 7, 2005, 8:16:56 PM, you wrote:

> On Wed, 7 Dec 2005 22:55:54 -0800
> "Alexey S. Kuznetsov" <buster@kuznetsov.org.ua> wrote:

>> Привет всем!
>>    А кто-нибудь знает, как без помощи iptables и подобных утилит
>>    запретить доступ вообще на сервер с определённого MAC-адреса?
>> 

> В iptables для этого используется критерий --mac-source, при этом в
> конфигурации ядра должен быть включен параметр CONFIG_IP_NF_MATCH_MARK
>         hj@hj hj $ zcat /proc/config.gz |grep IP_NF_MATCH_MARK
>         CONFIG_IP_NF_MATCH_MARK=y



-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re: [Comm] arp blocking

[Pavel Shurubura]

On Thu, 08 Dec 2005 09:11:30 +0300
Eugene Prokopiev <prokopiev@stc.donpac.ru> wrote:

> 
> 2) я не уверен, что в пакете, пришедшем из-за маршрутизатора
> остался мак  отправителя, т.к. маки - это несколько более
> низкий уровень. Но здесь я  могу ошибаться - пусть специалисты
> поправят.
> 

  Всё правильно. В пакете пришедшем из-за маршрутизатора будет
стоять MAC-адрес этого маршрутизатора.


-- 
With kindest regards, pvs.