Problemas com Clonagem de IP's -" Resolução Remunerada"

Boa noite amigos, procurei uma solução aqui no forum referente ao bloqueio de alguma forma referente a clonagem de Mac Adress em RB...
Meu ambiente é o seguinte:

RB 433 / Switch / Air Gird + Radio + Nanos (Ambos enviando)

Servidor trabalhando em Hotspot (DHCP)

Estou tendo problemas com algum engraçadinho que fica dropando os clientes com clone de mac, eu vejo a maquina dele na rede sempre com 1 mac diferente, eu pego ele no IP / DHCP Server / Leases - eu pego ele pelo nome da maquina dele.....

Estou precisando de suporte que resolva o problema, será remunerado se realmente resolver meu problema.. Obrigado e conto com a ajuda de alguns... Valeu!...

Amigo,
se a conexão for wireless e ainda n tive adiciona duas configurações:
MAC ACL(Access List)...(o mac acl não ira resolver esse problema especifico mas com certeza ajudara a evitar novos.)
e também uma chave (wep-wpa,etc)...
e mesmo funcionando tenta encontrar o endereço do engraçadinho e manda uma carta de notificação que caso isso se repita sua empresa ira recorrer aos meios legais contra isso, pois isso é crime.

Amigo boa noite, uma saida rapida e acaba com festa do engracadinho e colocar criptografia na sua rede, assim evita que outros mal intencionados na rede tenham acesso a rede e scanneia a rede e descubra outros macs

abraco

vejo pppoe em seu futuro !

Não exite segurança maior do que a criptografia. Se seu rede for aberta, coloque senha wpa2, se ja tiver e muitos usuários sabem a mesma, mude. Não adianta colocar PPOE em uma rede aberta.

acho que voce esta confundindo as coisas.. alias misturando...

WPA2 é Layer2 ..

basta saber a chave.. o problema da clonagem pode voltar acontecer (ja que ip eh layer3).

pppoe trabalha na L2 também.. mas o controle de clonagem é muito melhor ... somente 1 usuario pode ficar online, alem de ter o tunel estabelecido e codificado (cso use mppe).


hotspot tem a falha de voce poder pegar carona na sessão ja autenticada...

Ninguem usa 1 profile de autenticação por cliente? Muito uso de ram e processamento na RB?

Pra mim que 1 senha pra rede toda é o mesmo que rede aberta, radio peão propaga a nova senha em caso de troca com uma eficiência incrível.

Amigo eu tenho um script aki que derruma o cara pelo hostname do PC dele! É eficiente pois o cara vai ficar doido, pois nunca iria imaginar, e depois ele mudar o hostname vc pega denovo

Obrigado a todos os amigos que estão postando suas experiências e dicas, estou fazendo testes, ainda não consegui, estou de babá do cara, eu pego ele sempre pelo HOSTNAME no Leasesa do dhcp server e fico derrubando a conexão que ele esta ROUBANDO, até ele cansar e dar 1 tempo, mas de 10 em 10 minutos ele encosta em outro cliente, ...

delegato - se puder entrar em contato, [email protected]

Boa tarde amigos do Under, testei algumas coisas aqui citadas e o FDP continua na rede, clonando os Mac.... alguem tem mais alguma dica?.. abraço a todos!

imagino que esse seu "parceiro" ai, esteja em conexao wireless...
vc adiciono uma chave na conexao?
como ele descobriu a chave?
vc deixa seus equipamentos de clientes com senhas default?
o seu ap e mk ou ubnt?

qualquer coisa se n conseguir bloquear esse cara ai add no skype que eu tento te ajudar...

[email protected]

Citação:

---

Postado originalmente por xyunamx

imagino que esse seu "parceiro" ai, esteja em conexao wireless...
vc adiciono uma chave na conexao?
como ele descobriu a chave?
vc deixa seus equipamentos de clientes com senhas default?
o seu ap e mk ou ubnt?

qualquer coisa se n conseguir bloquear esse cara ai add no skype que eu tento te ajudar...

[email protected]

---

Obrigado, então....
Todas as minhas redes são abertas, pois chama clientes...rs!
os radios e nanos de clientes eu mudo os IP's e senhas somente eu as tenho;
Eu uso 1 RB 433...

Citação:

---

Postado originalmente por alexandrecorrea

acho que voce esta confundindo as coisas.. alias misturando...

WPA2 é Layer2 ..

basta saber a chave.. o problema da clonagem pode voltar acontecer (ja que ip eh layer3).

pppoe trabalha na L2 também.. mas o controle de clonagem é muito melhor ... somente 1 usuario pode ficar online, alem de ter o tunel estabelecido e codificado (cso use mppe).


hotspot tem a falha de voce poder pegar carona na sessão ja autenticada...

---

No modelo OSI todas as cadas superiores dependem das inferiores, sendo assim:
Teoricamente para camada 7 funcionar ela depende da 6 que depende da 5 que depende da 4 que depende da 3 que depende da 2 que depende da 1, então vc conseguir que o cara não use a camada 2 nenhuma outra vai funcionar...
Mas o PPPOE é uma excelente ideia sim.

Mas não existe uma configuração que sozinha torne a rede 100% blindada, ainda mais em redes wireless.Não existe uma rede assim...

Seria bem interessante o amigo que esta com problema...
Ativar uma chave criptografada, assim já não seria qualquer um que conectaria em sua rede.
Ativar o controle de acesso por mac e dezatiavr o Default Authenticate, assim não seria apenas descobrir a chave, mas tbm iria precisar de um mac liberado para conseguir conectar.
Desativar o (Default Forward-mtk), ou Habilitar (Cliente isolation-UBNT), assim os clientes não se enxergariam,
Ativar o PPPoE, assim os clientes seriam tutelados, e precisariam de usuário e senha para conseguir um ip, alem do que aquele ip é um "/32" e dinâmico, tanto no mk quanto no cliente, o que faz necessário o cliente conectar PPoE para conseguir navegar,
Rotear as interfaces de clientes, assim seria mais difícil snifar a rede...
alem de mais varias coisas que poderia adicionar para tornar a rede mais segura...

é amigo, se ele ta hackeando sua rede é porque você ta deixando ele se conectar em sua rede, primeiro bloquei o acesso a sua rede colocando senha na sua rede sem fio, ou autenticando as cpes dos clientes via radius com chaves aleatórias para cada cliente, e autenticando via ppoe, e usuário e senha das cpes dos clientes jamais passe a senha a ninguém.

Boa noite amigo.

Sua rede está realmente muito aberta. Do jeito que está, você simplesmente não tem uma solução "configurável na RB" para solucionar esse problema.

A questão da criptografia é mais uma questão de segurança de dados do que de acesso a rede, porém a dica do @xyunamx de desabilitar o "Default Forward" no MK e habilitar o "Client isolation" em todos os APs UBNT é uma medida que, se você ainda não está ciente, deve sempre utilizar. Outra coisa é a questão dos switchs, você NÃO PODE ter switchs normais na rede, TODOS eles tem que ser gerenciável. Cada cliente conectado em qualquer AP (que vai estar com Defautl Forward desativado ou Client Isolation ativado) só pode ter UM ÚNICO CAMINHO FÍSICO até o gateway dele.

Por exemplo, se você tem um AP com 10 clientes conectados com Client Isolation ativado, isso quer dizer que os clientes conectados pela Wireless não trafegam dados entre si, ou seja, nenhum deles tem como usar ARP para descobrir MAC de ninguém entre eles. Mas dai digamos que você ligue esse AP em um switch normal, e esse switch tem outro AP ligado nele, isso quer dizer que clientes conectados em APs diferentes vão poder trafegar dados entre si, e consequentemente vão poder descobrir os MACs e IPs uns dos outros na rede. Esse switch, NECESSARIAMENTE precisa ser um switch gerenciavel, pode ser desses baratos mesmo, com uma porta Uplink; dessa forma, os APs conectados nele só vão poder trafegar dados com a porta LAN 1, que é a porta que vai em direção ao gateway.

Se você montar sua rede assim, mesmo sem senha na rede seria muito difícil esse usuário descobrir IPs/MACs da sua rede para clonar, pois o broadcast ARP não iria retornar resultado nenhum pra ele.

Você tem que fazer com que, para o cliente, a única coisa que APARENTEMENTE exista na rede é ELE e o GATEWAY. O ARP vai descobrir UM ÚNICO equipamento na rede, que é o gateway.

Mas claro, se ele ja tem uma lista com IPs/MACs de clientes seus, ele pode muito bem usar essa lista para ir testando IPxMAC até achar um que funcione, mesmo que ele não possa descobrir pelo ARP. Porém, depois de solucionar o problema de clientes se "enxergarem", bastaria você mudar o seu pool de DHCP para uma faixa diferente que vai ser bem difícil ele descobrir.



Mesmo fazendo isso tudo, o PPPoE é um caminho interessante pra você estudar, e desabilitar o Hotspot. Ou, como muitos ja falaram, pelo menos colocar uma senha na rede wireless.