Ipguard и android..

fvf

А никто не подскажет, это только у меня такое или это нормально и копать глубоко нет смысла?

Суть в чем - надо заблокировать возможность клиентам менять руками свой ip в сети, т.к. для разных диапазонов разные правила в шейпере и т.д.

Для этого по идее есть замечательная штука - ipguard. Они сидит себе тихо мирно и отслеживает соответствие IP-MAC по своей табличке. Соответственно при нарушении, (читай попытке присвоить адрес не из доступного диапазона) посылает на злоумышленника сообщения, что данный ip занят.
Так вот windows корректно обрабатывает и выдает сообщение о конфликте ip адресов. Android или ubuntu например, забирают вбитый айпишиник не поперхнувшись, соответственно спокойно работают дальше.. Это нормально?

rubic

Ядро Linux само по себе не проверяет занят ли IP адрес назначаемый локальному интерфейсу, т.е. никогда не шлет gratuitous ARP. Проверка занятости IP происходит с помощью arping только при поднятии интерфейса (ifup), а это очевидно не одно и то же, что ifconfig.

fvf

Ему к слову и при поднятии интерфейса фиолетово, занят он или нет…
А нет идей, как тогда можно решить задачу?

fvf

Пока решил ipguard-ом и ipfw

В общем ipguard всетаки пригодился.
Она очень хорошо умеет следить за интерфейсом и сигнализировать, когда кто-то c неправильным маком пытается занять непредназначеный для него ип из нужной сетки.
Было бы конечно хорошо, если бы помимо посылки в ответ gratuitous и писания в лог, он мог ещё и выполнять по этому событию сторонний скрипт, возможно я недоглядел, но по моему действительно не может. В общем будем использовать костыли.

По порядку:

Для тех, кто не использует Captive portal:

Устанавливаем пакет ipguard-dev.

Настраиваем.

создаем скрипт ipguard_ext.sh например

с таким содержимим:

# Включаем ipfw и создаем нужный контекст (не спрашивайте про 3 и 4 строчки - без 3-й нихрена не работает)
/sbin/sysctl net.link.ether.ipfw=1
/sbin/kldload ipfw
ipfw_context -a blockbadmac
ipfw_context -a blockbadmac -n <ваш LAN>

# Этим угробищем мы следим за логом ipguard-а и при появлении нужных фраз посылаем все это авку, который в свою очредь проверяет, нет ли уже по данному маку записей в ipfw таблице, и если нет, пишем туда запрещающее правило для данного мака. 

tail -f /var/log/ipguard_lan.log | grep -v --line-buffered fake | grep --line-buffered xxx | awk '{if (system("/sbin/ipfw -x blockbadmac show | grep --line-buffered \"" $6 "\" >>/dev/null")) system("/sbin/ipfw -x blockbadmacs add 666 deny mac any "$6);}'

По опыту, максимум через 5 секунд после смены ip, интернет у клиента пропадает.

скрипт можно добавить в автозагрузку…

амнистируем засранцев или ребутом или ipfw -x blockbadmac delete 666

С Captive portal посложнее будет, там уже есть свой контекст ipfw и где то в нем прописываются для маков свои правила (для неавторизованых своя таблица например, для авторизованых другая...) и ковырять их уже нужно аккуратно и с пониманием.

Все.

dr.gopher

А если просто зарезервировать в ДХЦП адреса
http://www.thin.kiev.ua/router-os/50-pfsense/679-ip-address-mak-dhcp-pfsense-.html

и разрешить доступ к интернет только зарезервированным IP??
http://www.thin.kiev.ua/router-os/50-pfsense/473-ippfsense.html#mak

fvf

Простите.. Я не рассказал контекст вопроса.
Есть публичный вифи. Для гостей. Изначально.
Вифи по всем параметрам урезан, скорости, порты и т.д.
Начальство на айпадах тоже хотит интернет, но не урезанный.
Решение очевидно- в маленькую сетку, не входящую в dhcp диапазон суем всех випов и делаем этой сетке полный доступ. Дело за малым - не пущать в эту сетку посторонних. Static ARP и Denny unknown clients, поправьте меня, если я не прав, исключают возможность гостевого доступа.

Как выход - пакет ipguard

даем ему примерно такой конфиг:

aa:aa:aa:aa:aa:aa 192.168.1.10 bigboss
00:00:00:00:00:00 192.168.1.64/26 dhcp
00:00:00:00:00:00 192.168.1.128/25 dhcp
00:00:00:00:00:00 169.0.0.0/8 for wodows lan
т.е. разрешаем доступ неизвестным макам только в сеть 192.168.1.64-192.168.1.254
(последняя строчка для компутера в бухгалтерии, подключенного по Ethernet - windows при старте , при поднятии интерфейса присваивает себе сначала по умолчанию адрес из этой левой подсети, соответственно скрипт на это реагирует и блокирует)

в dhcp static map прописываем випов

aa:aa:aa:aa:aa:aa-192.168.1.10

Вот только проблема в том, что ipguard очень вежливый. С нарушителем он ничего не делает. Он просто плюёт в него пакетиками с сообщениями, что ip якобы занят. Так вот андройду и убунте на это дело фиолетово. Вот и пришлось мак нарушителя блокировать костылями.

dr.gopher

@fvf:

Так вот андройду и убунте на это дело фиолетово. Вот и пришлось мак нарушителя блокировать костылями.

А кто помешает владельцам андроида и убунты поменять мак?
Еще проще взять из сети маки ваших пользователей.

А наказать вас в вашей нелегкой борьбе, сможет любой школьник. :-)
http://www.thin.kiev.ua/android-kat/753-wifikill-wifi.html

ИМХО - нужно разделить общественные и рабочие беспроводные сети.

fvf

@dr.gopher:

А кто помешает владельцам андроида и убунты поменять мак?

Пусть меняют.. у них будет такой же ограниченный интернет.. надо знать, на какой мак менять..

@dr.gopher:

Еще проще взять из сети маки ваших пользователей.

Т.к. они сидят на dd-wrt-шном роутере с включеным AP Isolation, по arp -a они увидят только pf и полудохлый комп бухгалтерии, на котором такой же ограниченный интернет (бухгалтерам, в силу их возраста непривычно лазить в одноглазниках с телефона, по этому поставили старый компутер чисто для интернета).

@dr.gopher:

А наказать вас в вашей нелегкой борьбе, сможет любой школьник. :-)
http://www.thin.kiev.ua/android-kat/753-wifikill-wifi.html

AP Isolation

@dr.gopher:

ИМХО - нужно разделить общественные и рабочие беспроводные сети.

Давно разделены. Только в рабочей интернета нет.

werter

Т.к. они сидят на dd-wrt-шном роутере с включеным AP Isolation, по arp -a они увидят только pf и полудохлый комп бухгалтерии, на котором такой же ограниченный интернет (бухгалтерам, в силу их возраста непривычно лазить в одноглазниках с телефона, по этому поставили старый компутер чисто для интернета).

Советую сменить dd-wrt на TomatoUSB shibby's mod - http://tomato.groov.pl/ . Если Ваш роутер поддерживается, конечно (http://tomato.groov.pl/?page_id=69). Намного лучше и удобнее.

fvf

Спасибо, с радостью бы, но это TP-Link…

werter

OpenWRT. Тем более что недавно обновилась до BB.

fvf

@werter:

OpenWRT. Тем более что недавно обновилась до BB.

Вариант, спасибо. Обязательно попробую.