🚀 go-pugleaf

Krzyś Politowski napisal(a):
: Cześć.
: 
: Chcę zabezpieczyć podsieć, a właściwie poszczególne jej komputery przed
: "zabieraniem" sobie adresów IP. Pytanie czy arp będzie tu
: odpowiedni/wystarczający? W szczególności myślę o przypisaniu na stałe w
: tablicy ARP konkretnego numeru IP (lub kilku - gdy dana maszyna może mieć
: ich kilka - na kilku aliasach) do konkretnego adresu sprzętowego - karty.

Wystarczyć powinno, choć i tak da się ominąć - była o tym niedawno dyskusja
na pl.comp.security (a właściwie to ciągle trwa).
Tyle że to rozwiązanie nieco kłopotliwe - każdy nowy komputer trzeba
dopisywać, może się zdarzyć że karta padnie. Ale w tym wypadku nie ma
idealnego rozwiązania.

: Acha - to przypisanie byłoby oczywiście na ruterze... Wolne numery IP chyba
: też trzeba by było przypisać (do nieistniejącego adresu?).

Lepiej do adresu MAC'owskiego routera.
A jak już, to nie przypisuj przypadkiem tego do broadcastu ;-)

-- 
Daniel Podlejski  underley@zakopane.top.pl
http://underley.zakopane.top.pl/
   ... Some dance to remember
   Some dance to forget ...

Krzyś Politowski wrote:
> 
> Cześć.
> 
> Chcę zabezpieczyć podsieć, a właściwie poszczególne jej komputery przed
> "zabieraniem" sobie adresów IP. Pytanie czy arp będzie tu
> odpowiedni/wystarczający? W szczególności myślę o przypisaniu na stałe w
> tablicy ARP konkretnego numeru IP (lub kilku - gdy dana maszyna może mieć
> ich kilka - na kilku aliasach) do konkretnego adresu sprzętowego - karty.
> Acha - to przypisanie byłoby oczywiście na ruterze... Wolne numery IP chyba
> też trzeba by było przypisać (do nieistniejącego adresu?).
> 
> A może są inne (lepsze) metody zabezpieczenia przed kombinatorami
> zawłaszczającymi nie nadane sobie adresy?
> 
> Pozdrawiam
> KrzysP

ARP to troche malo. dla malo oblatanych uzytkownikow bedzie to problem
nie do obejscia. w mniejszej sieci wystarczy. w wiekszej niekoniecznie.
ale bardzo dobrym rozwiazaniem oprocz ARP jest siec na skretce,
z hubem ktory ma mozliwosc filtrowania pakietow. np. nowe huby 3com
model PS Hub 40 ma mozliwosc ustawienia filtrow na wskazane gniazdka,
ktore przepuszczaja tylko pakiety z okreslonym polem MAC.
tego raczej nie da sie obejsc, chyba ze gosciu przejdzie sie z
nozyczkami
po sieci :) i tu juz masz wyeliminowane takie rzeczy jak:

1.niemoznosc podania falszywego adresu MAC
2.w powiazaniu ze statycznym ARP, gosciu z falszywym MAC nie ma
mozliwosci
   wyjscia na zewnatrz.

niestety nadal mozliwe jest zawlaszczenie sobie ARP kogos innego,
co moze skutecznie zaklocic komunikacje atakowanego komputera w sieci
lokalnej z innymi komputerami, ale .... ale nie z routerem ktory ma
statyczny ARP :) automatycznie gosciu zawlaszczajacy cudzy IP traci
mozliwosc wyjscia poza router. chyba ze .... jest jakis HUB ktory
patrzy nie tylko na MAC, ale tez na IP.

-- 
 /===================================\    oOOo      W temperaturze zera
 | http://avalon.wbc.lublin.pl/~znik/ \===\__/==\   bezwzglednego
swiatlo
 | Grzegorz Szyszlo   mailto:znik@wbc.lublin.pl |   zmienia postac
 \==============================================/   alotropowa  (by
Znik)