Страница 1 из 1
ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 0:55:01
BaHJa
у меня небольшая сеть и раздаю инет по макам, потомушто у меня пользователи не такие смышльоные штобы ево изменить,
ну и в ipfw добавил правила для филтрации по мак адресам, всьо устраивает но нужно штоб те у каво нет инета имели доступ к ресурсам сервера,
я добавил правлило ${FwCMD} 392 allow all from ${NetIn} to ${IpIn} layer2 via ${LanIn} оно работает если я закоментировал толькошто правило с мак адерсом юзера и соединение с сервером уже было, но после перезагрузки ево компа он не может больше установить соединение с сервером, сервер даже не пингуетса с тачки юзера, хотя до этово всьо работало. Подскажыте как можна решыть проблему.
Код: Выделить всё
FwCMD="ipfw -q add"
LanOut="rl0" #zovnishnja sitkova
NetOut="xxxxxxx/xx"
IpOut="xxxxxxxxxx" # zovnishnja ip
LanIn="sk0"
IpIn="192.168.0.1"
NetIn="192.168.0.0/24" #setka
ip_lan="192.168.0"
${FwCMD} 200 skipto 410 ip from any to any not layer2
${FwCMD} 201 allow ip from any to any layer2 not via ${LanIn}
#user1
${FwCMD} 208 allow all from any to any mac any 00:1b:fc:0a:32:43 via ${LanIn}
#user2
${FwCMD} 209 allow all from any to any mac any 00:1b:1b:16:12:09 via ${LanIn}
${FwCMD} 392 allow all from ${NetIn} to ${IpIn} via ${LanIn}
${FwCMD} 401 deny all from any to any layer2 via ${LanIn}
дале стандарный набор правил
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 8:58:24
manefesto
Этого сокрального смысла я не понял.
${FwCMD} 200 skipto 410 ip from any to any not layer2
Сделай
Код: Выделить всё
allow from 192.168.1.0/24 to me via <интерфейс во внутреннюю сеть>
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 9:50:54
paradox
как ты красиво изясняешься )))
Этого сокрального смысла я не понял
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 11:25:40
manefesto
ага...слово знакомое...смысла не ведаю
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 11:54:56
schizoid
Сакральное (лат. sacrum - священный предмет, священный обряд, таинства, мистерия), смысл раскрывается в соотношении с профанным.
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 12:30:13
hizel
in via
out via
учитывать надо
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 18:59:07
BaHJa
allow from 192.168.1.0/24 to me via <интерфейс во внутреннюю сеть>
тоже самое сначала работает потом через несколько минут до сервера снова не достучатца
via in via out тоже не спасает
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 19:02:41
paradox
зачем себя так истязать?
юзерам сервер для какой задачи нужен?
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 20:07:12
arkan
Если честно я тоже с примерно таким же давно парюсь
предпочел создать ARP табличку (скриптик валяется гдето на опеннете)
ну и основная часть проблемм отпадает
но там есть какаято проблеммка типа или только для мак или для ип
вот как правильно это обьединить с IPFW я хбз но надеюсь что ктонить хотяб ссцылку кинет
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-07 23:40:21
BaHJa
у меня небольшая сеть и я один сервер использую для всево, и как шлюз,фпт,веб,сквид,днс,дшсп итд. ну и я хочу штобы юзеры которые инет не берут могли хотябы заходить на веб,фпт,самбу сервера. На линуксе с мак фильтрацыей в Iptables всьо гуд было, а с Ipfw не сложылось.
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-08 0:01:33
maradona
для разрешения захода на твой сервер пиши правило вида:
Код: Выделить всё
$cmd add allow all from any to any MAC $same_pc $macserver
$cmd add allow all from any to any MAC $macserver $same_pc
два правила на один комп.
Re: ipfw и фильтрацыя по МAC address
Добавлено: 2008-11-24 2:12:45
BaHJa
Код: Выделить всё
$cmd add allow all from any to any MAC $same_pc $macserver
$cmd add allow all from any to any MAC $macserver $same_pc
не то што нужно, потомушто открываетса доступ к инету, а нужно штобы только к IP сервера,
заработала такая конфигурацыя
Код: Выделить всё
FwCMD="ipfw -q add"
LanIn="sk0"
IpIn="192.168.0.1"
NetIn="192.168.0.0/24" #setka
ip_lan="192.168.0"
${FwCMD} 200 skipto 410 ip from any to any not layer2
${FwCMD} 201 allow ip from any to any layer2 not via ${LanIn}
#мак внутриней сетевухи, без этого к серверу не достучатца
${FwCMD} 270 allow all from any to any mac any 00:у0:b2:7e:e1:78 via ${LanIn}
#Юзверям наоснове Мак включить инет
${FwCMD} 271 allow all from any to any mac any 00:a0:d2:8d:50:с5 via ${LanIn}
${FwCMD} 272 allow all from any to any mac any 00:a0:а1:8d:52:у9 via ${LanIn}
${FwCMD} 273 allow all from any to any mac any 00:a0:d1:8d:20:у0 via ${LanIn}
#это то што нужно было, перебросить эти правила черз deny, тем самым открыв доступ серверу
${FwCMD} 392 skipto 402 ip from any to ${IpIn} layer2 in via ${LanIn}
#открыть некоторым пользователям доступ к ситинету провайдера
${FwCMD} 393 skipto 402 ip from ${IpLan}.44 to X.X.X.0/22 layer2 in via ${LanIn}
${FwCMD} 401 deny all from ${NetIn} to not ${NetIn} mac any any
${FwCMD} 402 allow ip from any to any layer2 via ${LanIn}
#дале стандартные правила
${FwCMD} 410 allow all from any to any via lo0
и тд.