🚀 go-pugleaf

W dniu 2012-10-04 09:39, Xyfka pisze:
> Witam,
> tak od niedawana zaczalem swoja przygode z Linuxem i... wciagnelo mnie
> na dobre :) Tak z ciekawosci, a i przy okazji z potrzeby. Pedem
> zainstalowalem pingwina, ustawilem serwer DHCP i mam troszke pytan.
> W DHCP przydzielam adres IP dla uzytkownikow sieci wg. adresu MAC (jest
> ich ok 70-ciu).
>
> # konfiguracja serwera DHCP
> subnet 192.168.1.0 netmask 255.255.255.0 {
>    range 192.168.1.1 192.168.1.99;
>    option domain-name-servers 194.204.152.34, 194.204.159.1;
>    option domain-name "tm.net.my";
>    option routers 192.168.1.1;
>    option broadcast-address 192.168.1.255;
>    default-lease-time 86400;
>    max-lease-time 86400;
>    }
> # komp1
> host komp1 {
>          fixed-address 192.168.1.5;
>          hardware ethernet 00:aa:bb:cc:dd:ee;
>          }
>
> Teraz chcialbym filtrowac ruch wg. adresow MAC. Jak zaczalem sie
> rozpisywac (kazdy user ma forwardowane oddzielnie porty dla
> poszczegolnych uslug), to plik firewalla mi puchnie. Nie mam
> pogrupowanych adresow/userow. Jak moge to jakos uproscic (moze jakies
> petle?):
>
> iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport
> 80 -j
> ...
> iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport
> 3389 -j
>
> Chcialbym, o ile to mozliwe miec kontorle nad tym, na co komu zezwalam.
> Googlam od kilku dni, szkoda mi na to czasu. Jest masa przykladow,
> stracilem duzo czasu na testowanie roznych rozwiazan, wiec 'siegam' po
> ostatecznosc, jakim jest grupa (jestem ambitny, zwykle chce robic
> wszystko sam).
> Jezeli kazdemu hostowi/adresowi przypisze taka dluga liste portow, to
> czy to nie zwolni mi kompa filtrujacego ruch?
> Co bedzie jesli do sieci podlaczy sie user, ktorego MAC'a nie bede mial
> wpisanego w DHCP? Co bedzie jesli taki user recznie wpisze sobie
> ustawienia sieci? Bedzie mial dostep do net'u itp? A jak user sklonuje
> sobie MAC... nie chce myslec :(
>
> Ufff... ale sie rozpisalem...
>
> pozdrawiam, Xyfka.

Zeby nie bylo, ze ide na latwizne... doszukalem sie, ze zamiast klepania 
kazdego forwardowania w oddzielnej lini, moge wpisac 'hurtem' porty w 
jednej linii:

iptables - A FORWARD - m mac --mac-source 00:aa:bb:cc:dd -m multiport -p 
tcp --dports 25,143,119,80 -j ACCEPT