|
sztywne przypisanie MAC do IP
|
| andoros |
Dodano 14-07-2010 10:22
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Do jedneg z wyjść mojego routera (Linksysa WRT54GL + Tomato v.1.21) jest podpięty inny router (też WRT54GL ale z oryginalnym firmware). Potrzebuję na sztywno przypisać MAC adres tego obcego routera do do jednego, konkretnego adresu IP. Chodzi o to, żeby ten obcy router stracił połączenie do Internetu w przypadku próby zmiany konfiguracji ustawień WAN (zmiana nr IP).
W opisie opcji Tomatu jest taki zapis:
cytat "...Static DHCP - pozwala na przydzielanie komputerom w sieci zawsze tego samego adresu IP, na podstawie fizycznego adresu karty sieciowej (MAC adresu). Po prostu wpisujesz MAC karty komputera (np. aa:bb:cc:dd:ee:ff) i adres IP jaki chcesz mu przydzielić. Listę adresów MAC urządzeń podłączonych do sieci możesz sprawdzić w menu RDevice List"..."
ale to nie działa. Testowo wpisałem do tabeli routera adres MAC mojego kompa i przydzieliłem konkretny IP. Następnie na kompie zmieniłem IP na inny niż przypisany w tej tabeli no i się bez problemu połączyłem z Internetem (adresy były spoza puli DHCP, które i tak mam wyłączone).
Czy to powinno działać tak jak zakładam, czy popełnam tu jakiś błąd?
Edytowany przez andoros dnia 14-07-2010 10:34
|
| |
|
|
| shibby |
Dodano 14-07-2010 11:08
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
popelniasz blad. Static DHCP to tablica informujaca ze serwer dhcp ma przydzielic danemu adresowi MAC taki a nie inny adres ip (jakis dowolny z range). W ten sposob dany komputer bedzie dostawal zawsze ten sam ip a nie jakis losowy, pierwszy lepszy.
Ale to nie zabezpiecza bie przed tym ze ktos sobie wpisze ip z palca.
Do tego sluzy ARP Binding (maja go tomato w wersji RAF) lub mozna tez to uzyskac przez iptables.
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| andoros |
Dodano 14-07-2010 11:22
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Tak czułem ale zmylił mnie dalszy opis przy opcjach Tomat:
(http://openlinksys.info/wiki/tomato/doku.php#ograniczanie_i_podzial_pasma)
cytat:
"...Dobrą praktyką jest używać stałych adresów z tej samej podsieci, ale spoza zakresu używanego przez serwer DHCP. Innymi słowy, dla stałych adresów używaj takich które zaczynają się jak pierwsze trzy bajty adresu routera (domyślnie 192.168.1.x), a czwarty bajt jest spoza zakresu serwera DHCP. Na przykład, jeśli serwer DHCP przydziela adresy z zakresu od 192.168.1.100 do 192.168.1.150, to dobrymi adresami stałymi dla urządzeń w sieci będą adres z zakresu 192.168.1.2 - 192.168.1.99 lub 192.168.1.151 - 192.168.1.254. Adres 192.168.1.1 jest adresem routera, a adres 192.168.1.255 jest broadcastem (rozgłoszeniem), natomiast 192.168.1.0 jest adresem sieci..."
sugerujący jakoby to nie dotyczyło DHCP.
Zatem twierdzisz że iptables. A czy możesz tak rozwinąć swą myśl?
Ale tak przystępnie, może z jakimiś poglądowymi komendami.
|
| |
|
|
| shibby |
Dodano 14-07-2010 12:26
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
http://www.techonia.com/block-unmatch...s-iptables
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| andoros |
Dodano 15-07-2010 07:25
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Dzięki za link ale niestety, nie zadziałało
Umieściłem w skrypcie firewalla (Administration--Scripts--Firewall) wpis wiążący IP z MAC testowego kompa:
iptables -A INPUT -s 172.16.7.253 -i eth0 -m mac ! --mac-source 00:26:22:CA:68:E6 -j DROP
zapisałem zmiany, wykonałem reboot routera.
Po podłączeniu tego kompa do routera bez względu na przypisany nr IP łączność cały czas była.
Może ten wpis jest błędny albo powinien być w innym miejscu?
|
| |
|
|
| shibby |
Dodano 15-07-2010 09:14
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
a od kiedy w tomato eth0 to lan?
br0 ma byc!
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| andoros |
Dodano 16-07-2010 12:02
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Opss, masz całkowitą rację. Wystarczyło spojrzeć do ifconfiga
Ale to i tak nic nie zmieniło :|
Komenda teraz wygląda następująco (dopisana do skryptu firewall, potem save i reboot):
iptables -A INPUT -s 172.16.7.254 -i br0 -m mac ! --mac-source 00:26:22:CA:68:E6 -j DROP
Bez względu na adres IP, komputer bez problemu łączy się z Internetem. Jakiś pomysł? |
| |
|
|
| shibby |
Dodano 16-07-2010 12:16
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
bede mial chwile to sprawdze w domu.
sprawdz ew jeszcze
iptables -A FORWARD -s 172.16.7.254 -i br0 -m mac ! --mac-source 00:26:22:CA:68:E6 -j DROP
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| andoros |
Dodano 16-07-2010 13:42
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Niestety, to też nieskuteczne |
| |
|
|
| andoros |
Dodano 19-07-2010 13:47
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
To jest nieprawdopodobne, że Twoje komendy nie działają.
Wg wszelkich opisów w necie tak właśnie ma niby być
Ponieważ nie definiujesz tabeli, to standardowo jest to tabela filter. A może nie tam to ma być?
Może ta komenda wymaga dodatkowych warunków, których u mnie nie ma?
Jako pojedyncza linia jest ona umieszczona na końcu skryptu firewall.
Skrypt ten skłąda się z 3 członów:
- podział pasma
- przypisanie prywatnego IP z publicznym
- jako ostatnie powiązanie MAC z prywatnym IP
Może jej lokalizacja ma być inna?
Próbowałem w tym miejscu wstawić komendę tylko blokującą MAC adres
iptables -A INPUT -m mac --mac-source 00:15:F2:B5:AC:7F -j DROP
i też nie zadziałało  |
| |
|
|
| shibby |
Dodano 19-07-2010 13:58
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
a sprobuj to samo tylko z jedynka
czyli
iptables -A INPUT 1 -m mac --mac-source 00:15:F2:B5:AC:7F -j DROP
i zobacz czy zadziala.
pewnie go boli to ze w glownym firewallu wyzej ma
-A INPUT -i br0 -j ACCEPT
czyli akceptuj wszystko z br0. Wpisz z 1 powinien ustawic regulke wyzej w lancuchu.
Edytowany przez shibby dnia 19-07-2010 14:00
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| andoros |
Dodano 19-07-2010 14:17
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
niestety bez skutku
|
| |
|
|
| shibby |
Dodano 19-07-2010 14:22
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
tak jak mowilem, potestuje jak bede mial chwilke. Poki co nie bardzo mialem czas :/
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| shibby |
Dodano 19-07-2010 14:37
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
chyba znalazlem problem
Cytat [root@groov /]$ lsmod | grep mac
[root@groov /]$ modprobe ipt_mac
modprobe: module ipt_mac not found in modules.dep
modprobe: module ipt_mac not found
[root@groov /]$ insmod ipt_mac
insmod: ipt_mac.ko: module not found
[root@groov /]$
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| andoros |
Dodano 20-07-2010 11:39
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Chyba bardzo trafnie to wyczułeś
Idąc dalej tą drogą próbowałem zablokowac dowolny nr IP
iptables -A INPUT -d 172.16.7.254 -j DROP
także
iptables -A FORWARD -d 172.16.7.254 -j DROP
oraz
iptables -A INPUT -s 172.16.7.254 -j DROP
i
iptables -A FORWARD -s 172.16.7.254 -j DROP
bez rezultatu
Spwadziłam załadowane u mnie moduły do kernela:
# lsmod
Module Size Used by
ipt_IMQ 704 1
imq 2480 1
tomato_ct 1136 0 (unused)
wl 423640 0 (unused)
et 28088 0 (unused)
ip_nat_ftp 3712 0 (unused)
ip_conntrack_ftp 4936 1
ip_nat_rtsp 6656 0 (unused)
ip_conntrack_rtsp 6344 1
ip_nat_h323 2904 0 (unused)
ip_conntrack_h323 2888 1
ip_nat_pptp 2668 0 (unused)
ip_conntrack_pptp 3452 1
ip_nat_proto_gre 1888 0 (unused)
ip_conntrack_proto_gre 2776 0 [ip_nat_pptp ip_conntrack_pptp]
Pewnie trzeba będzie coś dograc
Edytowany przez andoros dnia 20-07-2010 13:09
|
| |
|
|
| andoros |
Dodano 28-07-2010 08:34
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Czy coś da się z tym zrobić? |
| |
|
|
| shibby |
Dodano 28-07-2010 09:17
|
SysOp
Posty: 17110
Dołączył: 15/01/2009 20:30
|
nie mam ostatnio czasu w domu by sprawdzic takie rzeczy :/ Jak tylko bedzie chwilka to to zrobie.
Router: Unifi Cloud Gateway Max
Switch: Netgear MS510TXPP
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD, Intel X710-DA2 SFP+
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| andoros |
Dodano 28-07-2010 09:41
|
User
Posty: 21
Dołączył: 06/07/2010 17:26
|
Dziękuje za deklarację. Nie pali się, poczekam
Ewentualnie przypomnę się po urlopie tj za jakieś 2 tygodnie  |
| |
|
|
| Birkoff |
Dodano 23-05-2012 18:00
|
User
Posty: 47
Dołączył: 20/04/2012 09:57
|
Posiadam tomato-K26USB-1.28.RT-MIPSR2-092-AIO
Jaki powinien być poprawny wpis aby zablokować możliwość zmiany IP. |
| |
|
|
| buniaczek |
Dodano 24-05-2012 07:04
|
OL Maniac
Posty: 1166
Dołączył: 28/12/2010 13:05
|
Wchodzisz w zakładkę Static DHCP/ARP/IPT
Przypisujesz na sztywno IP do MACa
Potem zaznaczasz Ignore DHCP requests from unknown devices
Zapisujesz i Twój problem powinien być rozwiązany 
Teraz jeżeli ktoś zmieni IP na inne niż to do niego przypisane nie dostanie netu
-------------------------
Netgear WNR3500L || Tomato-K26USB-1.28 RT5x MIPSR2 101V Big-VPN ||
Asus RT-N56U || Asus firmware 3.0.0.3.135 - wygrania w konkursie na openlinksys.info||
[b]Asus RT-N10U v.B1 [small]
|
| |
|
' target='_blank'>Link
