🚀 go-pugleaf

W dniu 2012-10-04 09:39, Xyfka pisze:
> Witam,
> tak od niedawana zaczalem swoja przygode z Linuxem i... wciagnelo mnie
> na dobre :) Tak z ciekawosci, a i przy okazji z potrzeby. Pedem
> zainstalowalem pingwina, ustawilem serwer DHCP i mam troszke pytan.
> W DHCP przydzielam adres IP dla uzytkownikow sieci wg. adresu MAC (jest
> ich ok 70-ciu).
>
> # konfiguracja serwera DHCP
> subnet 192.168.1.0 netmask 255.255.255.0 {
>    range 192.168.1.1 192.168.1.99;
>    option domain-name-servers 194.204.152.34, 194.204.159.1;
>    option domain-name "tm.net.my";
>    option routers 192.168.1.1;
>    option broadcast-address 192.168.1.255;
>    default-lease-time 86400;
>    max-lease-time 86400;
>    }
> # komp1
> host komp1 {
>          fixed-address 192.168.1.5;
>          hardware ethernet 00:aa:bb:cc:dd:ee;
>          }
>
> Teraz chcialbym filtrowac ruch wg. adresow MAC. Jak zaczalem sie
> rozpisywac (kazdy user ma forwardowane oddzielnie porty dla
> poszczegolnych uslug), to plik firewalla mi puchnie. Nie mam
> pogrupowanych adresow/userow. Jak moge to jakos uproscic (moze jakies
> petle?):
>
> iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport
> 80 -j
> ...
> iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport
> 3389 -j
>
> Chcialbym, o ile to mozliwe miec kontorle nad tym, na co komu zezwalam.
> Googlam od kilku dni, szkoda mi na to czasu. Jest masa przykladow,
> stracilem duzo czasu na testowanie roznych rozwiazan, wiec 'siegam' po
> ostatecznosc, jakim jest grupa (jestem ambitny, zwykle chce robic
> wszystko sam).
> Jezeli kazdemu hostowi/adresowi przypisze taka dluga liste portow, to
> czy to nie zwolni mi kompa filtrujacego ruch?
> Co bedzie jesli do sieci podlaczy sie user, ktorego MAC'a nie bede mial
> wpisanego w DHCP? Co bedzie jesli taki user recznie wpisze sobie
> ustawienia sieci? Bedzie mial dostep do net'u itp? A jak user sklonuje
> sobie MAC... nie chce myslec :(
>
> Ufff... ale sie rozpisalem...
>
> pozdrawiam, Xyfka.

Zeby nie bylo, ze ide na latwizne... doszukalem sie, ze zamiast klepania 
kazdego forwardowania w oddzielnej lini, moge wpisac 'hurtem' porty w 
jednej linii:

iptables - A FORWARD - m mac --mac-source 00:aa:bb:cc:dd -m multiport -p 
tcp --dports 25,143,119,80 -j ACCEPT

Użytkownik "Xyfka" <konto@gdzies.tam.pl> napisał w wiadomości 
news:k4jvco$dl$1@news.icm.edu.pl...
> W dniu 2012-10-04 09:39, Xyfka pisze:
>> Witam,
>> tak od niedawana zaczalem swoja przygode z Linuxem i... wciagnelo mnie
>> na dobre :) Tak z ciekawosci, a i przy okazji z potrzeby. Pedem
>> zainstalowalem pingwina, ustawilem serwer DHCP i mam troszke pytan.
>> W DHCP przydzielam adres IP dla uzytkownikow sieci wg. adresu MAC (jest
>> ich ok 70-ciu).
>> # konfiguracja serwera DHCP
>> subnet 192.168.1.0 netmask 255.255.255.0 {
>>    range 192.168.1.1 192.168.1.99;
>>    option domain-name-servers 194.204.152.34, 194.204.159.1;
>>    option domain-name "tm.net.my";
>>    option routers 192.168.1.1;
>>    option broadcast-address 192.168.1.255;
>>    default-lease-time 86400;
>>    max-lease-time 86400;
>>    }
>> # komp1
>> host komp1 {
>>          fixed-address 192.168.1.5;
>>          hardware ethernet 00:aa:bb:cc:dd:ee;
>>          }
>> Teraz chcialbym filtrowac ruch wg. adresow MAC. Jak zaczalem sie
>> rozpisywac (kazdy user ma forwardowane oddzielnie porty dla
>> poszczegolnych uslug), to plik firewalla mi puchnie. Nie mam
>> pogrupowanych adresow/userow. Jak moge to jakos uproscic (moze jakies
>> petle?):
>> iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport
>> 80 -j
>> ...
>> iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport
>> 3389 -j
>> Chcialbym, o ile to mozliwe miec kontorle nad tym, na co komu zezwalam.
>> Googlam od kilku dni, szkoda mi na to czasu. Jest masa przykladow,
>> stracilem duzo czasu na testowanie roznych rozwiazan, wiec 'siegam' po
>> ostatecznosc, jakim jest grupa (jestem ambitny, zwykle chce robic
>> wszystko sam).
>> Jezeli kazdemu hostowi/adresowi przypisze taka dluga liste portow, to
>> czy to nie zwolni mi kompa filtrujacego ruch?
>> Co bedzie jesli do sieci podlaczy sie user, ktorego MAC'a nie bede mial
>> wpisanego w DHCP? Co bedzie jesli taki user recznie wpisze sobie
>> ustawienia sieci? Bedzie mial dostep do net'u itp? A jak user sklonuje
>> sobie MAC... nie chce myslec :(
>> Ufff... ale sie rozpisalem...
>> pozdrawiam, Xyfka.
> Zeby nie bylo, ze ide na latwizne... doszukalem sie, ze zamiast klepania 
> kazdego forwardowania w oddzielnej lini, moge wpisac 'hurtem' porty w 
> jednej linii:
> iptables - A FORWARD - m mac --mac-source 00:aa:bb:cc:dd -m multiport -p 
> tcp --dports 25,143,119,80 -j ACCEPT


Przyjrzyj się modułowi ipset - o ile dobrze pamietam istniała możliwość 
definiowania setów opartych o parę IP/MAC

MaW