IP amarrado ao MAC para navegar com Iptables.

Pessoal olha só tem como fazer uma regra no iptables que diga que o
MAC: 40:xx:xx:xx:xx:f1 só pode navegar se ele tiver o ip 192.168.1.24.

Algo mas ou menos assim:

iptables -A INPUT -m mac --mac-source 00:f3:89:2e:4c:66 -p TCP --syn -s 192.168.1.24 -j ACCEPT

Minha regra padrão de INPUT é DROP e minha intenção é evitar que alguem da rede mude de ip ou coloque alguma maquina não autorizada para navegar, casando o ip com o mac dificulta e muito a vida do cara não acham?

Ele tem q acertar o ip e o mac permitidos certinho para tentar fazer algo... é muito dificil acertar o par(IP+MAC) pq se ele acertar o ip mas o mac não casar não funciona, se ele forjar o mac mas errar o ip q casa com aquele mac tb não funciona...ai ele ta ferrado..rsrs

Grato desde já pela atenção.

Acho q isso resolve o seu problema, só q vc tem fazer isso para todos os seus ips da rede mesmo q eles naum estejam sendo usados.

Se determinado ip naum estiver sendo usado coloca mac ficticio pra ele, nas regras de iptables.


iptables -F
iptables -t nat -F
iptables -P FORWARD DROP
iptables -P INPUT DROP
iptables -t filter -A FORWARD -d 0/0 -s 192.168.1.24 -m mac --mac-source 00:f3:89:2e:4c:66 -j ACCEPT
iptables -t filter -A FORWARD -d 192.168.1.24 -s 0/0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.1.24 -o eth0 -j MASQUERADE
iptables -t filter -A INPUT -s 192.168.1.24 -d 0/0 -m mac --mac-source 00:f3:89:2e:4c:66 -j ACCEPT
iptables -t filter -A OUTPUT -s 0/0 -d 192.168.1.24 -j ACCEPT

Espero ter ajudado :D

Essa regra abaixo deve estar presente no seu script de firewall pra q as outras regras q liberam o acesso pro cliente tenham efeito, com essa regra presente no firewall possibilita que vc possa jogar as regras de acesso em outro local fazendo assim com que seu script de firewall nao fique enorme sendo que vc tera que criar 4 linhas de codigo pra cada cliente !!!

iptables -P FORWARD DROP

Valeu galera!!!

Po mano assim o FW vai ficar enorme..tem que fazer regras para os ips que não uso tb?????

Tem sim, pq se naum o usuario muda o ip para um de sua rede q nao esta em uso e navega sem problemas, ja q naum tem regras para esse ip/mac.

Usa um arquivo para armazenar os ips e os macs, q fica enxutinho...


:)