Pessoal como posso amarar o IP do cliente ao MAC de modo que se ele mudar o ip do micro ele perca o acesso.
Marcelo
[email protected]
Versão Imprimível
Pessoal como posso amarar o IP do cliente ao MAC de modo que se ele mudar o ip do micro ele perca o acesso.
Marcelo
[email protected]
Faça regras com base no endereço MAC (o que não adianta muito porque o cara pode fazer um MAC Spoofing), ou então você não dá privilégios na máquina para ele alterar tais configurações...
Abraços!
#Bloqueia acesso de todos nao cadastrados
iptables -P FORWARD DROP
#liberando acesso para 10.0.1.2
iptables -t nat -A POSTROUTING -s 10.0.1.2 -j MASQUERADE
iptables -A FORWARD -s 10.0.1.2 -m mac --mac-source 00:E0:7D:E1:0C:4B -j ACCEPT
iptables -A FORWARD -d 10.0.1.2 -j ACCEPT
essa solução é para um provedor de internet a rádio, e se o usuário mudar para o ip para o de um cliente que já está liberado
Ex01: cliente01 nao pagou, foi bloqueado. bloqueio ele pelo mac ai ele deixa de acessar. dai não adianta ele mudar o ip que nao funciona.
Ex02: o Cliente01 contratou o ip 192.168.200.20 e esse ip está limitado a usar somente 64k, dai esse mesmo cliente tem como um amigo dono de uma empresa usando o ip 192.168.200.201 que tem contratado com nosco o serviço na velocidade de 256k, dai o mesmo espera a noite chegar quando a empresa do cliente já está fechada para usar esse ip e obter a velocidade da empresa.
Pergunta: Como posso amarrar o cliente01: 192.168.200.20 ao mac: 00:05:12:a5:C4:Fa
Ex03: Segurança, como a minha rede é wireless ela é bem exposta a tentativas de invasão, e a única maneira que tenho de fazer a segurança é controlando o acesso pelo mac, mas notei que o script que uso ele só faz controle do usuário que está cadastrado dos que não estão ele simplesmente deixa passar dai se o invasor liberar descobri um dos ips que estão liberados no squid ele obtem o acesso.
PERGUNTA: como posso bloquear o acesso a todos os mac que não estão liberados? da mesma forma que o squid faz com os ips que não estão em sua lista ?
Marcelo
Edita o arquivo /etc/ethers com todos os ip's da sua rede interna, do 2 ao 254, atrelando os que são válidos (liberados) aos seus respectivos mac adresses, e colocando um mac fictício para os que você não quer que tenha acesso, ex. se sua rede for 192.168.0.0 (se quiser pode incluir o ip x mac de sua interface interna, ou seja, do gateway):
192.168.0.2 aa:bb:cc:dd:ee:ff
.
.
.
192.168.0.254 00:11:22:33:44:55:66
dê um arp -s e sua tabela (entrada) arp será a do arquivo acima.
Para chamar ao rebootar, edite o arquivo /etc/rc.d/rc.local e acrescente a linha
/sbin/arp -f /etc/ethers
É a solução para o que você quer ...
Citação:
Postado originalmente por visitante
esta eh nova pra mim!!! funciona em todo tipo de lan? precisa deixar algum daemon rodando?
Atraves do iptables funfa legal, agora nao compra edimax 7206 ou outro radio que usa o mesmo chipset pois ele traz o mac do ap e nao do cliente.Citação:
Postado originalmente por markcom
tem um exemplo legal ai:
http://www.zago.eti.br/firewall/iptables-mac.txt
parabens ao visitante a solucao eh a mais perfeita q ja vi nao tem como burlar o server pq os mac e ips estao na tabela arp e so o server q muda hehehe perfeito adorei fazia tempo q procurava e nenhuma funcionava esse ai realmente amarra o mac x ip......
E no caso de usar esse exemplo do Visitante com o arp, como ficaria o Forward do Iptables??? Somente dar um DROP no FORWARD?
Que loco isso quero acompanhar este post.
Como fica o arquivo bem pqno assim...
Uma rede com 3 maquinas 192.168.0.2, 192.168.0.3, 192.168.0.4 e seus respectivos macs como faço para estas maquinas não trocarem de velocidade como foi dito acima e não mudarem os macs.
COmo uso o exemplo do Visitante...podereia dar um exemplo mas claro...
Desculpe minha ignorancia no assunto.
Grato
OBS: se cadratra Visitante pq podemos manter contato.
Abraço
nao tenho esse arquivo /etc/ethers no debian, basta criá-lo? ou tenho que instalar algum soft a +?
Ok, aqui está o "visitante".
Lacier, basta completar o arquivo com os ip's que estão sem usuário com um mac fictício, tipo os ip's do 5 ao 254 com mac 11:11:11:11:11:11. Os ip's dos usuários devem ser casados com os respectivos mac's de suas placas de rede.
Se um usuário (cliente) não comparecer ($$$$$$$$$ hehehe!) é só comentar a linha do par ip x mac do mesmo e acrescentar uma outra com o ip com mac fictício, salva o arquivo e dá um arp -f . Adeus acesso!
Jim, se não tiver o arquivo /etc/ethers, crie e edite-o conforme acima. Não precisa nenhum daemon adicional.
Pessoal, esta solução ajuda muito, mas se um "espertinho" não autorizado entrar na rede, conseguir capturar o ip x mac de usuário, mudar o mac da placa dele para o mesmo desse usuário e configurar com o respectivo ip (tipo qdo. o usuário não estiver ligado) ele vai passar como se fosse o mesmo. Já uso essa solução há muito tempo e até hoje não tive nenhum problema desse tipo...
Espero ter ajudado... Tamos aí...
Mano ryiades para que serve estes comando de arp????
cara está é a parada mas louca q já vi.....achei muito foda isso...
Pode colocar está sua parada com as regras de iptables para controlde de MAC????
Obrigado pela atenção
ryiades,
no caso entao basta eu colocar no meu firewall a regra para fazer o masquerade e editar o arquivo ethers que apenas os IPs que nele estão irão navegar, e apenas se estiverem usando o MAC neste arquivo determinado?
Ai mano, parabens.. dando seek no google encontrei o guia foca linux que falar sobre o arp -f, em portugues claro. :) bom proveito.
o link http://focalinux.cipsga.org.br/guia/...ch-d-restr.htm
19.7 Restrições por MAC Address/IP
Esta proteção oferece uma barreira maior se segurança contra IPs spoofing evitando que pessoas mal intencionadas façam um IP spoofing da máquina para obter acessos privilegiados que somente o detentor original do MAC/IP teria. Recomendo não levar em consideração que isto seja a solução definitiva contra IP spoofing, pois é possível falsificar o MAC address de uma interface para tomar outra identidade.
Este método poderá ser aplicado para fornecer um maior laço de confiança por hardware entre as máquinas que compõem uma rede de servidores. Ele também evita mesmo que uma máquina configurada de forma errônea tenha acesso indevido ao servidor ou em uma situação extrema, se torne o gateway da rede.
Para restringir as conexões para uma máquina Linux por MAC address, utilize o firewall iptables. Com ele será permitido fazer a restrição por serviços, criando uma barreira bastante chata para crackers tentarem se conectar a um serviço. Como referência, leia a seção Especificando o endereço MAC da interface, Seção 10.6.7.
Outra situação é a restrição por par MAC/IP usando o próprio cache arp da máquina, usando entradas estáticas de endereços. Um exemplo deste uso é quando você é extremamente paranóico ou quando uma rede que utiliza algum método de autenticação baseado no rhosts (como é o caso do sistema de backup do Amanda), então é importante dizer para as máquinas servidoras, qual o MAC address/IP privilegiado que terá o acesso ao usuário para conexão sem senha.
O local padronizado para definir um MAC estático (e bastante desconhecido da maioria dos administradores de sistemas) é o /etc/ethers. O formato deste arquivo é o MAC Address e IP separados por espaço, cada linha com uma nova entrada de MAC Address. Veja o exemplo:
00:03:47:AA:AA:AB www.focalinux.org.br
00:03:47:BB:AA:BA www2.focalinux.org.br
00:03:47:BB:AA:BB 192.168.0.1
Caso não conheça o formato do endereço de MAC Address, os três primeiros 3 campos definem o fabricante da placa de rede, e os 3 últimos é uma identificação única do fabricante para a Placa, ou seja, NENHUMA placa de rede fabricada tem o mesmo MAC Address físico.
Para que o comando arp crie as entradas estáticas no seu cache ARP, será necessário executar o comando arp -f /etc/ethers. Este comando poderá ser colocado em algum script ou diretório de inicialização de sua distribuição para que seja executado automaticamente (como por exemplo, no /etc/rc.boot da Debian). Digitando arp você verá as linhas definidas no arquivo /etc/ethers marcadas com as opção (flag) M (manual/permanente). Outra forma de verificar, é usando o arp -a máquina ou somente arp -a. As máquinas especificadas estaticamente (manualmente) terão o nome PERM listados (cache arp permanente).
OBS: Como deve ter notado, a restrição por MAC Address implica em um aumento no trabalho de gerenciamento das configurações. Assim, planeje-se para que esta tarefa não seja desgastante, crie programas para realizar atualizações dinâmicas estudando a estrutura de sua rede e como suas máquinas se comunicam para não ter problemas obscuros quando tiver que fazer uma simples modificação em uma interface de rede :)
Uma boa configuração restritiva requer análise sobre os impactos na rede.
--------------------------------------------------------------------------------
19.8 Desabilitando serviços não usados no 19.7 Restrições por MAC Address/IP
Esta proteção oferece uma barreira maior se segurança contra IPs spoofing evitando que pessoas mal intencionadas façam um IP spoofing da máquina para obter acessos privilegiados que somente o detentor original do MAC/IP teria. Recomendo não levar em consideração que isto seja a solução definitiva contra IP spoofing, pois é possível falsificar o MAC address de uma interface para tomar outra identidade.
Este método poderá ser aplicado para fornecer um maior laço de confiança por hardware entre as máquinas que compõem uma rede de servidores. Ele também evita mesmo que uma máquina configurada de forma errônea tenha acesso indevido ao servidor ou em uma situação extrema, se torne o gateway da rede.
Para restringir as conexões para uma máquina Linux por MAC address, utilize o firewall iptables. Com ele será permitido fazer a restrição por serviços, criando uma barreira bastante chata para crackers tentarem se conectar a um serviço. Como referência, leia a seção Especificando o endereço MAC da interface, Seção 10.6.7.
Outra situação é a restrição por par MAC/IP usando o próprio cache arp da máquina, usando entradas estáticas de endereços. Um exemplo deste uso é quando você é extremamente paranóico ou quando uma rede que utiliza algum método de autenticação baseado no rhosts (como é o caso do sistema de backup do Amanda), então é importante dizer para as máquinas servidoras, qual o MAC address/IP privilegiado que terá o acesso ao usuário para conexão sem senha.
O local padronizado para definir um MAC estático (e bastante desconhecido da maioria dos administradores de sistemas) é o /etc/ethers. O formato deste arquivo é o MAC Address e IP separados por espaço, cada linha com uma nova entrada de MAC Address. Veja o exemplo:
00:03:47:AA:AA:AB www.focalinux.org.br
00:03:47:BB:AA:BA www2.focalinux.org.br
00:03:47:BB:AA:BB 192.168.0.1
Caso não conheça o formato do endereço de MAC Address, os três primeiros 3 campos definem o fabricante da placa de rede, e os 3 últimos é uma identificação única do fabricante para a Placa, ou seja, NENHUMA placa de rede fabricada tem o mesmo MAC Address físico.
Para que o comando arp crie as entradas estáticas no seu cache ARP, será necessário executar o comando arp -f /etc/ethers. Este comando poderá ser colocado em algum script ou diretório de inicialização de sua distribuição para que seja executado automaticamente (como por exemplo, no /etc/rc.boot da Debian). Digitando arp você verá as linhas definidas no arquivo /etc/ethers marcadas com as opção (flag) M (manual/permanente). Outra forma de verificar, é usando o arp -a máquina ou somente arp -a. As máquinas especificadas estaticamente (manualmente) terão o nome PERM listados (cache arp permanente).
OBS: Como deve ter notado, a restrição por MAC Address implica em um aumento no trabalho de gerenciamento das configurações. Assim, planeje-se para que esta tarefa não seja desgastante, crie programas para realizar atualizações dinâmicas estudando a estrutura de sua rede e como suas máquinas se comunicam para não ter problemas obscuros quando tiver que fazer uma simples modificação em uma interface de rede :)
Uma boa configuração restritiva requer análise sobre os impactos na rede.
--------------------------------------------------------------------------------
Beleza, taí a aula completa, ressalvando a parte que diz "NENHUMA placa de rede fabricada tem o mesmo MAC Address físico". Certa vez fui instalar uma rede num prédio em que, qdo um determinado morador ligava sua máquina, a do vizinho ficava sem comunicação e vice-versa. E pra achar a causa do problema? Analisando a tabela arp do gateway, descobriu-se que, por incrível que pareça, os dois moradores tinham placas de rede com mesmo mac adress. Mesmo com ip`s diferentes, quando as duas máquinas eram ligadas ao mesmo tempo, dava chabu: um ou outro ficava sem conexão. Solução? Um deles teve q trocar de placa...
pessoal posso criar este arquivo /etc/ethers? pq aqui tenho um script que sópermite o aceso aos ips cadastrados dentro dele... se eu usar esse arquivo amarrando ao mac.. aí ficará mais que perfeito...
Esse topico eh otimo, e parabens a todos pelo otimo nivel tecnico.
Tenho a seguinte duvida: Como citado no inicio, tenho ap q nao repassam o mac do cliente, teria q ter nesse arquivo cadastrado um mac c/ mais de um ip? Isso resolveria? obrigado desde ja.
Vc deve cadastrar o ip pro cliente e ao inves de cadastrar o mac da placa dele vc cadastra o mac do ap isso e um problema que acontece muito quando se usa bridges linksys pois elas nao sao transparentes entao escondem tudo que esta atras delas as d-link por exemplo ja sao transparentes e vc nem precisa cadastrar elas no server apenas quem esta atras delas !!!
Valeu espero mais um vez ter ajudado!!!
sou gayCitação:
Postado originalmente por _AGM_
Já percebi isso.....Citação:
Postado originalmente por Anonymous
Isso não funciona. A coisa mais fácil hj em dia é trocar o MAC da placa. Isso é configurável até em roteadores....
[size=18px]E se a situação for outra, por exemplo, um clonagem de mac?, este tipo de problema esta acontecendo com um amigo meu.[/size]Citação:
Postado originalmente por markcom
Ele usa uma AP2000.
Grato,
isto tem uma solução muito mais engenhosa e bonita :-D
DHCP + DNS!
Cria um servidor de DNS e metes lá uns nomes e atribuis IP's.
Exemplo: pc1.meudomino.pt, pc2.meudominio.pt...
Depois configuras o teu DHCPD server...
host pc1
{
hardware ethernet 12:34:56:78:AB:CD;
fixed-address pc1.meudominio.pt;
}
host pc2
{
hardware ethernet 12:34:56:78:AB:CE;
fixed-address pc2.meudominio.pt;
}
etc...
Quanto ao MAC spoof, é mais complicado gerir isso, mas sempre podes tentar proteger-te de ARP poisoning contra esse tipo de ataques. Em termos de rede wireless, podes sempre tentar outros métodos, como autenticação numa DMZ e só depois abrir o acesso... ou coisas mais simples tipo pfauth (pf do openbsd)
Sei q este post é antigo mas alguem sabe como limpar a tabela arp de uma vez...??
Outra coisa depois que implantei este sistema minha tebela de arp ficou enorme qndo mando um arp -a.
Gostaria de saber se tem como ver apenas as maquinas ligadas mas nada.
Abraço
Citação:
Postado originalmente por gatoseco
E SE O CARA ESCANEAR A REDE E PEGA UM IP E UM MAC VALIDO E COLOCA NO MICRO DELE, COMO POSSO BLOQUEAR?????? naum existe nenhum teste pra fazer pra ve se o mac address é realmente da placa que esta chegando o pedido?????????
se puder me ajudar
[email protected]
Fabiano, se quer mais segurança usa pppoe...
O mais simples a fazer e o seguinte dentro do arquivo de firewall vc tem apenas q definir a seguinte politica:
#Bloqueia acesso de todos nao cadastrados
iptables -P FORWARD DROP
Logo apos deve se criar /etc/ethers e dar permissao, dentro desse arquivo vc coloca as seguintes regras:
#liberando acesso para 10.0.1.2
iptables -t nat -A POSTROUTING -s 10.0.1.2 -j MASQUERADE
iptables -A FORWARD -s 10.0.1.2 -m mac --mac-source 00:E0:7D:E1:0C:4B -j ACCEPT
iptables -A FORWARD -d 10.0.1.2 -j ACCEPT
Todo mundo que tiver seu ipxmac relacionado nesse arquivo tem direito a utilizar a internet, porem que nao estiver cadastrado nao nevega,
A cada novo usuario que vc tiver na rede sera necessario ir ate esse arquivo e liberar o acesso pro novo usuario !!!
É como se cada novo usuario necessita-se dessa liberaçao para utilizar o sistema, no caso a navegaçao !!!
Valeu galera espero ter ajudado !!!!
O mais simples a fazer e o seguinte dentro do arquivo de firewall vc tem apenas q definir a seguinte politica:
#Bloqueia acesso de todos nao cadastrados
iptables -P FORWARD DROP
Logo apos deve se criar /etc/ethers e dar permissao, dentro desse arquivo vc coloca as seguintes regras:
#liberando acesso para 10.0.1.2
iptables -t nat -A POSTROUTING -s 10.0.1.2 -j MASQUERADE
iptables -A FORWARD -s 10.0.1.2 -m mac --mac-source 00:E0:7D:E1:0C:4B -j ACCEPT
iptables -A FORWARD -d 10.0.1.2 -j ACCEPT
Todo mundo que tiver seu ipxmac relacionado nesse arquivo tem direito a utilizar a internet, porem que nao estiver cadastrado nao nevega,
A cada novo usuario que vc tiver na rede sera necessario ir ate esse arquivo e liberar o acesso pro novo usuario !!!
É como se cada novo usuario necessita-se dessa liberaçao para utilizar o sistema, no caso a navegaçao !!!
Valeu galera espero ter ajudado !!!!
Nao resolve cara, pra isso ficaria mais simples usar a tabela arp!!!
O problema é se alguem sniffa a rede e pega ip e mac... neste caso, só pppoe mesmo...
No linux?
???Citação:
Postado originalmente por cabelohair
Jim tá certo, se sniffar e pegar o arp e o ip certos... bye-bye :P
Eu fiz assim e funcionou filé:
# Controle de acesso IP X MAC
iptables -t filter -A FORWARD -d 0/0 -s 192.168.1.12 -m mac --mac-source 00:12:D9:08:25:24 -j ACCEPT
iptables -t filter -A FORWARD -d 192.168.1.12 -s 0/0 -j ACCEPT
iptables -t filter -A INPUT -s 192.168.1.12 -d 0/0 -m mac --mac-source 00:12:D9:08:25:24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.1.12 -o eth1 -j MASQUERADE
iptables -t filter -A FORWARD -d 0/0 -s 192.168.1.15 -m mac --mac-source 00:12:20:89:RA:D2 -j ACCEPT
iptables -t filter -A FORWARD -d 192.168.1.15 -s 0/0 -j ACCEPT
iptables -t filter -A INPUT -s 192.168.1.15 -d 0/0 -m mac --mac-source 00:12:20:89:RA:D2 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.1.15 -o eth1 -j MASQUERADE
OBS: Fiz pela talela arp também funcionou legal mas eu uso as informações do arp para outras coisas por isso que prefiri o iptables.
Abraço em geral
acompanhei esse post é esta muito bom
parabens
Primo,
Le material controle IP MAC
vc sitou vendo de equipamentos Wireles, pode me passar teu MSN ??
[email protected]
Para ter maior segurança contra "invasores" o ideal é ter algum tipo de autenticação....tipo radius, squid e só assim permitir a navegação. E mesmo assim corre-se o risco de uso indevido da rede, pois sempre tem os loucos :@: que emprestam senha, ip e mac....
Para ter maior segurança contra "invasores" o ideal é ter algum tipo de autenticação....tipo radius, squid e só assim permitir a navegação. E mesmo assim corre-se o risco de uso indevido da rede, pois sempre tem os loucos :@: que emprestam senha, ip e mac....
Amigo ninguem aqui falou q isso é a sua segurança definitiva apenas estamos agregando mas um dificuldade aos curiosos de plantão.