Solução para IPxMAC

Boa Tarde galera, gostaria de uma ajuda de vcs, atualmente uso em meu provedor ip amarado ao mac tudo feito pelo mikrotik.
atualmente me deparei com um problema clientes reclamando de lentidao. fiz alguns teste aki
Ex: ip 192.168.0.253( ip de alguem purlando)
mask: 255.255.255.0
gateway: 192.168.0.30 ( ip de cliente da minha rede )
dns: 4.2.2.2
fiz esses testes em minha rede colocando ips e o gateway usando o ip do cliente e mesmo assim funciona, so que no mikrotik ele nao mostra o cara que esta pegando a internet pq ele esta usando o gateway como ip do cliente e assim dando lentidão.
existi algum meio de bloquear ?
hj temos mais de 300 clientes na rede e estamos migrando todos para 5.8 e sistema pppoe.

Olá amigo, só existe uma forma de deixar a rede segura, é com Cryptografia e uma das melhores é wap2.

Apenas o pppoe não irá resolver.

Como já está com planos de migrar a rede, já inicie com cryptografia.

estava pensando em alguma regra ou configuração no radio pra evita isso, mas pelo jeito e muito vulneravel mesmo !

Farias não existi alguma regra para forçar usar somente o gateway ... pq o ip ele usa algum da minha rede mas o gateway ele usa de algum cliente assim dividindo a banda entre eles

amigo como o farias disse somente não deixando esse burlador conectar na sua rede mesmo. comece a migrar os clientes para wpa2, crie um ap virtual com a criptografia no security profile e vá migrando os clientes...

Se alguem está usando o seu gateway como ip o certo e vc bloquear o mac dele no radio, pois alguns clientes seu quando for navegar na internet, poderá enteder que o gateway que tá no burlador é o servidor e fica só tentando o acesso a internet.
Então se o ip dele é o mesmo do seu server de internet ele não vai aparecer mesmo o sistema mikrotik.
Descubra o mac deste burlador.
para isso vc precisar mudar o ip do seu mikrotik temporariamente, no momento que os clientes começarem a reclamar da internet
em seguida vc vai pingar no ip do burlador cujo o mesmo é o ip do seu servidor
em seguida no prompt de comando
digite
arp -a
ele vai te mostrar o mac e o ip do burlador
pegue o mac o bloquei no radio, quem sabe o mac não é de um cliente seu mesmo que formatou o computador e configurou a placa errada.
por isso que hoje não utilizo mais placa de rede sem fio e nem adaptador usb wifi, somente rádio e com senha, para não ter risco de cliente usar o ip gateway na placa e parar o funcionamento da minha rede.

Amigos, trocar o mac da interface de comunicação é quase tão simples como trocar IP.

Trocar IP do Mikrotik, ou colocar controle PPPoE, Controle de IPxMAC ou Hotspot, é tão eficaz como apagar um incêndio com um copo d'água.

Quer Segurança? Utilize Criptografia wap2, pois a wep leva apenas 30 minutos para quebrar.
Criptografia diferente em cada cliente, e com senhas decentes, nada de nome do provedor123
Algo no porte disso aqui
Generate a Secure Password - kurtm.net

Obg. galera, o mac do burlador ja foi descoberto bloq. eles nos ap's. agora e so deixar a rede redondinha pra ir colando ppoe. hj utilizamos nanoM5 em clientes e RocketM5 como ap. colocamos o nano em modo router e pppoe. o ruim e mudar os que estão em 2.4. pra pppoe. os radios 2.4 ja estão com cliente ISP.

amigo bloquear o mac do burlador não vi resolver nada, é só ele pegar com um sniffer um mac de algum cliente e conectar, não leva nem 10 min...

Sim claro, para um atoa que só fica por conta disso, agora já tive muitos casos, que cliente configurou por si mesmo, e fez a configuração incorreta, pode ser o caso do amigo que está com o problema, basta ele bloquear e esperar para ver se não vai acontecer mesmo, se acontecer ai ele pode fazer melhoras na rede dele porque tem um atoa fazendo graça na rede dele.

Aki na minha rede, tinha neguinho invadindo. ai fixei o IP de todos os clientes e controlei a banda para quem não estava na lista.
EX:
faixa de clientes: 192.168.2.100 a 192.168.2.125

apartir do 192.168.2.126 limitei a banda pra 5kbps.

resumindo, os cara q recebem o ip apartir de 126 ficam com uma discada.
foi essa solução q achei aki.

Amarrar IP e MAC é uma boa solução.

Amigos, não e cliente da minha rede não, o radio que esta conectando na rede e um nano2.4 e vejo o nome do cara conectado e nao é cliente meu. o probl. nao e bloq. os outros ips e sim ele usa quaquer ip alto da rede tipo 192.168.1.253 o gateway ele nao usa 192.168.1.1 e sim 192.168.1.53 ip de um cliente, sendo assim dividindo a banda entre os mesmo. foi oq o amigo falow mesmo bloq. o mac dele nao resolveu continua na rede dividindo a banda com algum cliente. queria algum solução em forçar usar somente o gateway com o final 1 e nao outro ip da rde como gateway.

Se o seu Mikrotik estiver configurado para usar hotspot, este script bloquea qualquer ip que ele usar

add address=0.0.0.0/0 comment="Intruso" disabled=no mac-address=\
00:02:6F:85:C0:E8 to-address=192.168.1.1 type=blocked

basta colocar o mac dele e colar no terminal do mk
em /ip hotspot ip-binding

Danusio a rede se encontra com autenticação IPxMac nao usamos hotspot

Sério gustavo a unica solução pro teu problema é não deixar o kra conectar na rede, senão ele em segundos sniffa a rede, pega o ip, usuário, senha, mac ou o que ele quiser...

a unica forma q

a unica forma que encontrei foi colocar Wap2 nao Ap's, sendo assim estou já montando um server separado com autenticação PPPoE e ir mudando os clientes um por um. a conexão pppoe vou usar nos clientes que estão em 5.8 os que estão em 2.4 que estamos migrando devagar para 5.8 e dar uma estrutura nas bases 2.4 e mudar tambem para PPPoE. pra implemetar pppoe a rede tem que ta 100%.

Citação:

---

Postado originalmente por gustavosimoes

a unica forma que encontrei foi colocar Wap2 nao Ap's, sendo assim estou já montando um server separado com autenticação PPPoE e ir mudando os clientes um por um. a conexão pppoe vou usar nos clientes que estão em 5.8 os que estão em 2.4 que estamos migrando devagar para 5.8 e dar uma estrutura nas bases 2.4 e mudar tambem para PPPoE. pra implemetar pppoe a rede tem que ta 100%.

---

Você pode criar uma interface virtual com WAP2 em seu AP e quando for passar o cliente para pppoe, poderá já passar para wap2 também, inclusive nas redes 2.4

Adicione estas linhas no seu terminal
em
/ip firewall filter
add action=reject chain=forward comment=INTRUSO disabled=no in-interface=\
ether2 protocol=tcp reject-with=icmp-network-unreachable src-mac-address=\
00:1F:D0:E6:11:27

fala Danusio, essa regra ja inplemente no servidor, devo aplicar tambem nao rb's que fazem bridge para os clientes ? valeu

vc diz que já tem esta regra no seu servidor?
Está regra tem funcionamento para quem usa nat e não utiliza brigde, então vai ter funcionamento só no servidor de internet com nat ativo.

Sim danusio o servidor esta feito a Nat na ether que chega o link, mas queria saber se nos que estão em bridge a regra ia funcionar.
obg.

Não funciona, em bridge deve-se fazer as regras no menu bridge e guia filter, somente lá terá funcionamento. Basta fazer semelhante as regras que enviei anteiormente.

ok, Danusio vou colocar as regras, e posto aqui o resultado.
obg.