[Comm] как_заблокировать_машину_MAC_+_ip+....

[Comm] как_заблокировать_машину_MAC_+_ip+....

[andriy_l]

Hi, community!

Есть два вопроса,
1)

как запретить доступ к машине в сети с какой-то другой

как по MAC-адресу і по ip-адресу знаю (через iptables и в squid)

но юзер умный - может сменить ip и MAC-адрес
(прописав IP-адрес, MAC-адрес другого юзера)

а есть еще что-то хитрое, что-бы враг не прошол
:-)

2)
как правильно прописать следующее правило
iptables -A INPUT -m mac --mac-source 00:02:44:30:9B:31 -j DROP
в /etc/sysconfig/iptables
куда модуль mac прописывать
а то оно его по етим файлам конфигурации не понимает
(хотя вручную все идет)


Best regards, Andriy

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Беляев В. Н.]

Hello andriy_l,

a> как запретить доступ к машине в сети с какой-то другой
a> как по MAC-адресу і по ip-адресу знаю (через iptables и в squid)
a> но юзер умный - может сменить ip и MAC-адрес
a> (прописав IP-адрес, MAC-адрес другого юзера)
1) не разрешить менять IP, MAC
2) добавить для доступа еще имя/пароль (если и это узнает - тогда
стрелять!)

На той машине к которой надо запретить доступ что стоит?



--  
С уважением, Беляев
ICQ: 119181289

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 439 bytes --]

On Wed, Jul 20, 2005 at 01:22:39AM +0300, andriy_l wrote:
> как правильно прописать следующее правило
> iptables -A INPUT -m mac --mac-source 00:02:44:30:9B:31 -j DROP
Запустить и сделать service iptables save

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

Ответы на все вопросы теперь у нас есть в опусе г-на Морозова про udev.
Что не сказано в нем явно, можно найти между строк.
		-- aris in sisyphus@

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Maxim Bodyansky]

В сообщении от 20 Июль 2005 02:22 andriy_l написал(a):
> Hi, community!
>
> Есть два вопроса,
> 1)
>
> как запретить доступ к машине в сети с какой-то другой
>
> как по MAC-адресу і по ip-адресу знаю (через iptables и в squid)
>
> но юзер умный - может сменить ip и MAC-адрес
> (прописав IP-адрес, MAC-адрес другого юзера)
>
> а есть еще что-то хитрое, что-бы враг не прошол
>
> :-)

Есть:
1. Использовать средства защиты протоколов более высоких уровней.
2. Мониторить "хитрых" узеров и отстреливать по одному, а головы
вывешивать на index.html чтобы другим не повадно было ;-)
3. Проверить, а есть ли смысл круто запирать дверь, если за ней нет 
ничего ценного?

> 2)
> как правильно прописать следующее правило
> iptables -A INPUT -m mac --mac-source 00:02:44:30:9B:31 -j DROP
> в /etc/sysconfig/iptables
> куда модуль mac прописывать
> а то оно его по етим файлам конфигурации не понимает
> (хотя вручную все идет)
>
>
> Best regards, Andriy

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Dmytro O. Redchuk]

On Wed, Jul 20, 2005 at 01:22:39AM +0300, andriy_l wrote:
> Hi, community!
[...]

> куда модуль mac прописывать
/etc/sysconfig/iptables_modules

> а то оно его по етим файлам конфигурации не понимает
> (хотя вручную все идет)
> 
> 
> Best regards, Andriy

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Michael Isachenkov]

> 
> враг - машина юзера (WinXP), причем менять IP/MAC он может спокойно

Может, использовать более действенные методы? :)

-- 
Best regards, Michael Isachenkov

now: Infected Mushroom - Sailing In the Sea of Mushroom

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[andriy_l]

Andrey Rahmatullin wrote:

>On Wed, Jul 20, 2005 at 01:22:39AM +0300, andriy_l wrote:
>  
>
>>как правильно прописать следующее правило
>>iptables -A INPUT -m mac --mac-source 00:02:44:30:9B:31 -j DROP
>>    
>>
>Запустить и сделать service iptables save
>
>  
>
Thanks, то есть руками лучше ети файлы руками лучше не правыть?

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[andriy_l]

Беляев В. Н. wrote:

>Hello andriy_l,
>
>a> как запретить доступ к машине в сети с какой-то другой
>a> как по MAC-адресу і по ip-адресу знаю (через iptables и в squid)
>a> но юзер умный - может сменить ip и MAC-адрес
>a> (прописав IP-адрес, MAC-адрес другого юзера)
>1) не разрешить менять IP, MAC
>2) добавить для доступа еще имя/пароль (если и это узнает - тогда
>стрелять!)
>
>На той машине к которой надо запретить доступ что стоит?
>  
>

машина к которой нужно запретить доступ - сервер (ALT Master 2.4),

враг - машина юзера (WinXP), причем менять IP/MAC он может спокойно

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[andriy_l]

>Есть:
>1. Использовать средства защиты протоколов более высоких уровней.
>  
>
что именно?

>2. Мониторить "хитрых" узеров и отстреливать по одному, а головы
>вывешивать на index.html чтобы другим не повадно было ;-)
>  
>
Увы етика не проходит, а бить в голову не совсем хочется

>3. Проверить, а есть ли смысл круто запирать дверь, если за ней нет 
>ничего ценного?
>
>  
>
согласен на все 100%

но все же.....

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Maxim Bodyansky]

В сообщении от 20 Июль 2005 11:36 andriy_l написал(a):
> >Есть:
> >1. Использовать средства защиты протоколов более высоких уровней.
>
> что именно?

К примеру, пароли к ресурсам, шифрование трафика и т. д. Всё таки ни 
ip, ни mac адреса не созданы для защиты.

А вообще, как подметил Michael Isachenkov: 
"Может, использовать более действенные методы? :)"

> >2. Мониторить "хитрых" узеров и отстреливать по одному, а головы
> >вывешивать на index.html чтобы другим не повадно было ;-)
>
> Увы етика не проходит, а бить в голову не совсем хочется

У нас достаточно короткого разговора с монтажниками, уставшими после 
тяжёлого трудового дня ;)

> >3. Проверить, а есть ли смысл круто запирать дверь, если за ней
> > нет ничего ценного?
>
> согласен на все 100%
>
> но все же.....

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Michael Isachenkov]

> 
> А вообще, как подметил Michael Isachenkov: 
> "Может, использовать более действенные методы? :)"


Делаем dhcp. Привязываем IP к макам. Запрещаем всех, кроме получившегося пула. По IP и по MAC-ам.
Если человек меняет MAC на адрес выключенной машины - подходим и бьем с разворота в челюсть.

-- 
Best regards, Michael Isachenkov

now: Infected Mushroom - Tasty Mushroom

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Dmytro O. Redchuk]

On Wed, Jul 20, 2005 at 12:51:14PM +0400, Michael Isachenkov wrote:
> > 
> > А вообще, как подметил Michael Isachenkov: 
> > "Может, использовать более действенные методы? :)"
> 
> 
> Делаем dhcp. Привязываем IP к макам. Запрещаем всех, кроме получившегося пула. По IP и по MAC-ам.
+ на коммутаторе привязываем МАКи к портам :-)

если поддерживает, конечно.


> Если человек меняет MAC на адрес выключенной машины - подходим и бьем с разворота в челюсть.
> 
> -- 
> Best regards, Michael Isachenkov
> 

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[ABATAPA]

Среда 20 Июль 2005 11:36, andriy_l написал:
> что именно?
VPN? ;)
-- 
ABATAPA

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Maxim Bodyansky]

В сообщении от 20 Июль 2005 13:24 Dmytro O. Redchuk написал(a):
> On Wed, Jul 20, 2005 at 12:51:14PM +0400, Michael Isachenkov wrote:
> > > А вообще, как подметил Michael Isachenkov:
> > > "Может, использовать более действенные методы? :)"
> >
> > Делаем dhcp. Привязываем IP к макам. Запрещаем всех, кроме
> > получившегося пула. По IP и по MAC-ам.
>
> + на коммутаторе привязываем МАКи к портам :-)
>
> если поддерживает, конечно.

+ arpwatch
+ полиси, в красках описывающее удар с разворота в челюсть в случае 
несоблюдения правил из него.

*(^_^)*.o0(Жестокий Мир)

> > Если человек меняет MAC на адрес выключенной машины - подходим и
> > бьем с разворота в челюсть.
> >
> > --
> > Best regards, Michael Isachenkov

Re[2]: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Беляев В. Н.]

Hello Michael,

MI> Делаем dhcp. Привязываем IP к макам. Запрещаем всех, кроме
MI> получившегося пула. По IP и по MAC-ам.
MI> Если человек меняет MAC на адрес выключенной машины -

А как это отследить? Если и ИП и МАС поменяны?




--  
С уважением, Беляев
ICQ: 119181289

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Dmytro O. Redchuk]

On Wed, Jul 20, 2005 at 05:04:38PM +0600, Беляев В. Н. wrote:
> Hello Michael,
> 
> MI> Делаем dhcp. Привязываем IP к макам. Запрещаем всех, кроме
> MI> получившегося пула. По IP и по MAC-ам.
> MI> Если человек меняет MAC на адрес выключенной машины -
> 
> А как это отследить? Если и ИП и МАС поменяны?
Ну, многое можно (пытаться) решать административными мерами.

Во-первых, нужно всю информацию сделать публичной. "Всю" это:
 1. Полиси с раскраской "мордобитие нарушителей";
 2. Статистику использования ресурсов клиентами;
 3. Статистику фиксации нарушений и побития морд;
 4. (итп итд?)...

 Второй пункт очень помогает -- пользователи начинают орать "А меня здесь
 не стояло!", что способствует выявлению нарушителей.


 Кроме того, если есть желание добиться успеха имеено техническими
 методами, можно попробовать привязаться к авторизации в домене (если
 таковой существует) -- там SID'ы помогают; можно nessus'ом снапшотить
 клиентские машины изредка и сравнивать с сохранёнными картинками,
 можно, всё же, разобраться, что умеют "промежуточные" коммутаторы,
 можно...
   но это всё паранойя ;-)


 В каждом конкретном случае нужно найти оптимальное сочетание
 административных и технических мер.

 А наказание должно быть ужасным.

> 
> --  
> С уважением, Беляев
> ICQ: 119181289

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

Re: Re[2]: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Michael Isachenkov]

> А как это отследить? Если и ИП и МАС поменяны?

Дык в задаче человек дан уже. :)

-- 
Best regards, Michael Isachenkov

now: Infected Mushroom - Noise Maker

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 298 bytes --]

On Wed, Jul 20, 2005 at 10:29:18AM +0300, andriy_l wrote:
> Thanks, то есть руками лучше ети файлы руками лучше не правыть?
Они для этого не предназначены.


-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

А у дома поддерживается USB 2.0 ???   
		-- rider in devel@

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Alexey S. Kuznetsov]

Hello!

Tuesday, July 19, 2005, 3:22:39 PM, you wrote:

> Hi, community!

> Есть два вопроса,
> 1)

> как запретить доступ к машине в сети с какой-то другой

> как по MAC-адресу і по ip-адресу знаю (через iptables и в squid)

> но юзер умный - может сменить ip и MAC-адрес
> (прописав IP-адрес, MAC-адрес другого юзера)

А если прописать у себя на компе статически с каких маков возможен
доступ через Arp -s и iptabls, а все остальные запретить и всё


-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re[4]: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Беляев В. Н.]

Hello Michael,

>> А как это отследить? Если и ИП и МАС поменяны?

MI> Дык в задаче человек дан уже. :)

Я имел ввиду следующее:
Машина1 - ИП1, МАК1
Машина2 - ИП2, МАК2

Ситуация: Машина1 выключена, на Машине2 подставляются ИП1, МАС1.
Как отследить, что это Машина2, а не Машина1?
Бегать по этажам и физически смотреть огоньки на системниках???


--  
С уважением, Беляев
ICQ: 119181289

Re: [Comm] как_заблокировать_машину_MAC_+_ip+....

[Alexander Vasiliev]

PPTP
и "выпускать из дому" только тех, кто авторизовался.
Каждому пользователю выдавать индивидуальный ip на 
тоннель и трафик считать по нему.

--
 Александр Васильев
 ЗАО "Таском"
 vav@tascom.ru

[Comm] Re: как_заблокировать_машину_MAC_+_ip+....

[Michael Shigorin]

On Thu, Jul 21, 2005 at 09:25:37AM +0600, Беляев В. Н. wrote:
> Ситуация: Машина1 выключена, на Машине2 подставляются ИП1, МАС1.
> Как отследить, что это Машина2, а не Машина1?
> Бегать по этажам и физически смотреть огоньки на системниках???

arpwatch

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Re: как_заблокировать_машину_MAC_+_ip+....

[Maxim Bodyansky]

On Sat, Jul 30, 2005 at 02:39:35AM +0300 Michael Shigorin wrote:
> On Thu, Jul 21, 2005 at 09:25:37AM +0600, Беляев В. Н. wrote:
> > Ситуация: Машина1 выключена, на Машине2 подставляются ИП1, МАС1.
> > Как отследить, что это Машина2, а не Машина1?
> > Бегать по этажам и физически смотреть огоньки на системниках???
> 
> arpwatch

Я ошибаюсь, или он ловит только _изменения_ связи ip<->mac, но не обоих
компонентов сразу?

-- 
WBR, Maximbo
JID: maximbo@jabber.ru

[Comm] Re: как_заблокировать_машину_MAC_+_ip+....

[Michael Shigorin]

On Sat, Jul 30, 2005 at 11:59:04AM +0400, Maxim Bodyansky wrote:
> > > Как отследить, что это Машина2, а не Машина1?  Бегать по
> > > этажам и физически смотреть огоньки на системниках???
> > arpwatch
> Я ошибаюсь, или он ловит только _изменения_ связи ip<->mac, но
> не обоих компонентов сразу?

Он ещё откуда-то откапывает изменение типа (производителя)
сетевой карты, если они не идентичны.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Re: как_заблокировать_машину_MAC_+_ip+....

[Maxim Bodyansky]

On Сбт, Июл 30, 2005 at 12:03:24 +0300 Michael Shigorin wrote:
> On Sat, Jul 30, 2005 at 11:59:04AM +0400, Maxim Bodyansky wrote:
> > > > Как отследить, что это Машина2, а не Машина1?  Бегать по
> > > > этажам и физически смотреть огоньки на системниках???
> > > arpwatch
> > Я ошибаюсь, или он ловит только _изменения_ связи ip<->mac, но
> > не обоих компонентов сразу?
> 
> Он ещё откуда-то откапывает изменение типа (производителя)
> сетевой карты, если они не идентичны.

Кажется, производитель сетевой карты кодируется двумя первыми байтами
mac'а.

-- 
WBR, Maximbo
JID: maximbo@jabber.ru

Re: [Comm] Re: как_заблокировать_машину_MAC_+_ip+....

[Evgeniy Kobzev]

Michael Shigorin пишет:
> On Sat, Jul 30, 2005 at 11:59:04AM +0400, Maxim Bodyansky wrote:
> 
>>>>Как отследить, что это Машина2, а не Машина1?  Бегать по
>>>>этажам и физически смотреть огоньки на системниках???
>>>
>>>arpwatch
>>
>>Я ошибаюсь, или он ловит только _изменения_ связи ip<->mac, но
>>не обоих компонентов сразу?
> 
> 
> Он ещё откуда-то откапывает изменение типа (производителя)
> сетевой карты, если они не идентичны.
> 

Из /var/lib/arpwatch/ethercodes.dat