Como bloquear DHCP externo em uma rede?

Olá a todos, bem, tenho uma grande dúvida aqui, como posso bloquear o DHCP vindo de roteadores dos clientes? De tempos em tempos sofro com isso, clientes mudam o cabo no roteador, tiram da WAN e colocam na LAN, sendo assim alguns clientes ficam sem internet até eu descobrir quem é, possuo uma rede toda em BRIDGE, utilizo HOTSPOT, amarro os MAC's dos clientes em seus usuarios (desta forma consigo identificar quem é que mudou o cabo no roteador), já utilizo Switchs VLAN, porém não surtiu um grande efeito, estou pensando em migrar minha rede para PPPOE, porém minha rede é extensa e para tal coisa levaria um certo tempo, não quero (mas pelo jeito terei que fazer isto) trabalhar com 2 redes em uma única RB pois quando der problema não saberei se foi em uma ou em outra. Existe alguma regra para bloquear tal tipo de coisa? Já estou de saco cheio de ligar para cliente que não consegue fazer o login por estar errando o usuario e mudar o cabo no roteador mesmo eu avisando para não mexer lá ...
:banghead:

E sim, já procurei posts similares aqui e em outros forúns porém não encontrei uma resposta definitiva ou algo que pelo menos, bloqueie o cliente que fez o bendito ato ...

Uma outra dúvida que possuo e se mesmo em PPPOE existe o DHCP externo ... alguns dizem que sim, outros que não, enfim ... fico perdido e gostaria de uma resposta um pouco mais detalhada sobre o assunto.

Topologia da rede: MODEM > RB1100 AHX2 > SWITCH > AP's/REDE CABEADA > CLIENTES

Anexo 63113

Amigo consegui resolver cortando essa parte mais fina do conector e só vai só ficar a trava e o cliente não tem como tirar eu estava com
Mesmo problema os clientes trocando cabo da wan para LAN um dia quiser tirar o conector com uma coisa de ponta fina consegue remover


Sent from my iPhone using UnderLinux mobile app

Já faço isso amigo, mas somente em alguns clientes, e mesmo assim já teve casos que chegaram a mesmo assim tirar o cabo e colocar na outra porta, sendo necessario pra isso o uso de uma agulha! É incrivel isso, eu falo para não mexerem mas mexem do mesmo jeito!

Citação:

---

Postado originalmente por mattioli

Anexo 63113

Amigo consegui resolver cortando essa parte mais fina do conector e só vai só ficar a trava e o cliente não tem como tirar eu estava com
Mesmo problema os clientes trocando cabo da wan para LAN um dia quiser tirar o conector com uma coisa de ponta fina consegue remover


Sent from my iPhone using UnderLinux mobile app

---

Para simplificar irei falar o que já faço:
1 - Corto as ponta dos RJ = SIM
2 - Utilizo Switch VLAN = SIM
3 - Falo para não mexerem = SIM

Estou pensando seriamente em mudar para o PPPOE aos poucos porém não acho legal deixar 2 redes em uma unica via de cabo ... mas pelo jeito vai ter que ser assim, migrando aos poucos os clientes.

Algumas regras que ja utilizei, 1 à 1 porém não vi nada diferente, a rede continuou com o DHCP mesmo após eu ter implantado elas, pelo que entendi, uma rede em bridge passa pela camada 2 de uma rede, o DHCP externo também, então se bloquearmos certas portas = bloqueamos o DHCP externo, estas regras dizem fazer isso, vejo que elas bloqueiam alguns pacotes, só que o que acontece aqui é o seguinte, mesmo sem estas regras, eu utilizo a internet por alguns momentos, e logo após ela cai, sendo necessario eu desativar a porta do meu computador e religar ela, ai volto a ter acesso a internet por mais alguns momentos, isto é, pegando o DHCP da rede externa.

/ip firewall filter


add action=drop chain=forward disabled=no dst-port=67 protocol=udp
add action=drop chain=forward disabled=no dst-port=68 protocol=udp


add action=drop chain=input disabled=no dst-port=67 protocol=udp
add action=drop chain=input disabled=no dst-port=68 protocol=udp


add action=drop chain=output disabled=no dst-port=67 protocol=udp
add action=drop chain=output disabled=no dst-port=68 protocol=udp


----------------------------------------------------------------------------------------------------------------------------------------
/interface bridge filter
add action=drop chain=input comment=Anti-DHCPServer-Externo disabled=no \ in-interface=ether9 ip-protocol=udp mac-protocol=ip src-port=67
add action=drop chain=forward comment=Anti-DHCPServer-Externo disabled=no \ in-interface=ether9 ip-protocol=udp mac-protocol=ip src-port=67


----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
/ interface bridge filter
add chain=input in-interface=ether9 mac-protocol=ip src-port=67 ip-protocol=udp action=drop comment="Anti-DHCPServer-Externo" disabled=no


add chain=forward in-interface=ether9 mac-protocol=ip src-port=67 ip-protocol=udp action=drop comment="Anti-DHCPServer-Externo" disabled=no


Substituir a palavra clientes pelo nome das suas interfaces. Deve ser aplicado em todos os cartões.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
/ interface bridge filter
add chain=input in-interface=ether9 mac-protocol=ip src-port=67 ip-protocol=udp action=drop comment="Anti-DHCPServer-Externo" disabled=no


add chain=forward in-interface=ether9 mac-protocol=ip src-port=67 ip-protocol=udp action=drop comment="Anti-DHCPServer-Externo" disabled=no

Sim, algumas regras estão repetidas pois pesquisei em varios forúns e não somente em 1, por isso as regras similares.

A topologia que fiz para este teste foi: Modem > RB433AH > SWITCH COMUM > 3 ROTEADORES/1 NOTEBOOK (Sendo um dos roteadores o que fornece o DHCP).

O que estou achando estranho e que mesmo com o DHCP na rede, minha pagina de login abre normalmente, navego por alguns momentos, a conexão cai, e logo em seguida após uns 30 segundos ela volta e fica assim ... em HOSTS no hotspost tem lá, 192.168.0.101 sendo o meu PC, minha rede é 192.168.16.1, então está havendo conflito entre ambos os DHCPS, o da minha RB e meu roteador, sendo assim recebo o do roteador, em HOSTS também mostra o IP do roteador > 192.168.0.1.

Todos os switch são vlan fixa? Não tem como o dhcp passar por eles!

Enviado de meu GT-I9070 usando Tapatalk

irmão, você utilizar uma rede hoje toda em bridge, é ruim cara. rotea sua rede, coloca servidor pppoe para rodar, vai resolver muita coisa aí. e se por acaso o cliente tirar o cabo da wan e colocar na lan, vc fala que vai cobrar a visita caso for constatado que alguem mexeu no cabo e gerou a falta de internet na casa dele

Citação:

---

Postado originalmente por alexrock

Todos os switch são vlan fixa? Não tem como o dhcp passar por eles!

Enviado de meu GT-I9070 usando Tapatalk

---

Bem, todos tem VLAN fixa, mas por incrivel que pareça, na área onde está o DHCP não ocorre problemas, mas em regiões distintas, onde você nem imagina que vai ter tal problema, ele pega, eu não entendo isso ...

Porém já sei o que fazer fazer para resolver meus problemas, estou migrando aos poucos para PPPOE,logo logo desativo minha rede HOTSPOT ...

Desculpa minha insistência mas sera que os switchs são vlan mesmo? Tem um modelo que é sf800 mas não tem vlan fixa. Porque o dhcp passar por ele "non ecxiste"!

Enviado de meu GT-I9070 usando Tapatalk

Citação:

---

Postado originalmente por alexrock

Desculpa minha insistência mas sera que os switchs são vlan mesmo? Tem um modelo que é sf800 mas não tem vlan fixa. Porque o dhcp passar por ele "non ecxiste"!

Enviado de meu GT-I9070 usando Tapatalk

---

Utilizo deste modelo aqui http://www.intelbras.com.br/empresar...is/sf-800-vlan

É esse mesmo. Faz um teste na bancada e verá q não passa dhcp nem loop.

Enviado de meu GT-I9070 usando Tapatalk

Olá amigo, boa noite,
Comprei recentemente esse switchs com vlan fixa e em bancada passou tanto o loop como o DHCP. Aqui utilizamos a rede roteada com OPSF/MPLS/VPLS será que pode está interferindo?

Teoricamente não deveria passar nada não acham?

Grato pela atenção!

Citação:

---

Postado originalmente por alexrock

É esse mesmo. Faz um teste na bancada e verá q não passa dhcp nem loop.

Enviado de meu GT-I9070 usando Tapatalk

---

Não sei qual o cenário seu, mas somente vai bloquear mesmo camada 2.

Enviado de meu GT-I9070 usando Tapatalk

Obrigado amigo pela resposta,

Utilizamos uma CCR 1009 fazendo autenticação dos clientes e por enquanto 02 rb 750gl fazendo ligação para os clientes para não acessarem diretamente o core. CCR operando com PPPoE e e switchs burros espalhados.

Estou a principio querendo colocar esses switchs:

• Padrões
• IEEE802.3 - 10BASE-T IEEE802.3u - 100BASE-TX IEEE802.3x - Flow Control IEEE802.1p - Priority Queueing (QoS) IEEE802.3az - Energy Efficient Ethernet

• Quantidade de portas
• 8 - RJ45 10/100 Mbps com autonegociação

• Auto MDI/MDI-X
• Detecção automática do padrão do cabo (normal/crossover)

• Cabeamento Suportado
• 10BASE-T - Cabo UTP categoria 3,4 e 5 (máximo 100 m) EIA/TIA-568 100Ω STP 100BASE-TX - Cabo UTP categoria 5, 5e (máximo 100 m) EIA/TIA-568 100Ω STP

• LEDs indicadores
• 8 - LAN; 1 - Power

• Método de Transferência
• Armazena e envia (store and forward)

• Tamanho da tabela de endereços MAC
• 1K

• Taxa de encaminhamento
• 1,19 Mpps

• Backplane
• 1,6 Gbps

• Buffer de memória
• 448 Kbits

• QoS
• Priorização IEEE802.1p; Duas filas de prioridade por porta

• VLAN FIXA
• As portas 2 a 8 somente podem se comunicar com a porta 1

• Fonte de alimentação
• Entrada: 100-240 VCA/50-60 Hz Saída: 12 VCC/0,5 A

• PoE passivo
• Somente a Porta: 1 pinos 4,5 (+); pinos 7,8 (-); Utilizado para ligar o switch através do cabo de rede

• Potência máxima de consumo
• 2 W

• Dimensões
• 140 x 75 x 26 mm

E em alguns pontos colocar /1000.