Защита от смены ip и mac адреса в локалке

[FBR]

Есть ли способы обнаружить, индефицировать и залогировать тех кто поменяет в сети свой IP и Mac адрес? Т.е необходимо на 100% узнать исходный IP и Mac этого человека.

[itl2044]

l3 свитч

[BSB]

itl2044, а не круто ли в подъездах л3 ставить?=)))

 

Есть там одна муля, но её только избранные знают=))

[BSB]

itl2044, а не круто ли в подъездах л3 ставить?=)))

 

Есть там одна муля, но её только избранные знают=))

[ush]

http://www.opennet.ru/base/sec/arp_fixation.txt.html

[ush]

что-то глюки какие-то - сообщения два раза отправилось, хотя первый раз ошибку выдало

[Mancubus]

BSB

Может тогда l2 с binding'ом и мак секурити? Самый надёжный вариант.

[Vlad Karagezov, D-Link]

l3 свитч

зачем сразу l3? вполне подойдет l2 с возможностью настройки ip-mac-port binding и ACL.

например, D-Link DES-3526

[Diesel]

Есть ли способы обнаружить, индефицировать и залогировать

Угу. Кинулись советы давать :-)

Самый первыйи главный вопрос: КАКАЯ СЕТЬ?

Опишите, на чем построена, какая топология, какие протоколы используются.

Из этого уже можно нгачинать думать над ответом.

 

Одно дело если это сеть на каталистах и другое - если на мыльницах.

Во втором случае вероятность поймать грамотного злоумышленника ничтожно мала.

[LessM]

<b>Diesel</b>, и что ты спросил? Все по умолчанию... Уж никак не по каталисту на подъезд.

 

 

<b>FBR</b>, есть такая прога <a href="http://www.supasoft.ru/products/ipchmon/" target="_blank">http://www.supasoft.ru/products/ipchmon/</a> . Ставишь ее на пару дней, а потом за статистику! :о) Общий список минус список хороших = тот, кто нужен.

(ссылка устарела и больше недействительна. Модератор)

Вот под винду и беcплатная :)

[Nallien]

имхо - чтобы спать совсем спокойно - ТОЛЬКО свитчи с мак секьюрити на порт.

[Kuzmich]

Как вариант - свичи с изоляцией трафика (или port-based vlan).

Каждый клиент может послать пакет только центральному маршрутизатору, а центральный маршрутизатор - кому угодно. На маршрутизаторе включается ARP-proxy, в результате никто не может узнать MAC соседа....

 

Недостатки - удвоение нагрузки на сеть и маршрутизатор, ограниченная маштабируемость сети.

 

Следующий вариант - лююой управляемый свич, который может через ssh/snmp/web показать свою таблицу форвардинга. Снимать данные раз в минуту, заносить в базу, анализировать движение маков с порта на порт.

[Mancubus]

Kuzmich, если port-based vlan, то как порт к которму подсоиденен маршрутизатор можно связать со всеми сотальными? У порта только один PVID. Или я что-то не то понял?

[balamutang]

Kuzmich, если port-based vlan, то как порт к которму подсоиденен маршрутизатор можно связать со всеми сотальными? У порта только один PVID. Или я что-то не то понял?

не понял конечно. один порт (например первый) видит всех а остальные порты видят только первый. вот на первый маршрутизатор цепляешь...

[Mancubus]

PortBased подразумевает членство в ОДНОМ влане. А у Вас их получаеться столько, сколько портов и в каждом их них учавствует "первый" порт.

[Reanimator++]

PortBased ничего общего с нормальным Vlan не имеет.

Просто свичу запрещается коммутировать пакеты МЕЖДУ пользовательскими портами (2-м, 3-м, ... 8-м). Разрешается только с серверным (первым).

Соответственно друг друга они не увидят пока на маршрутизаторе маршруты им друг на друга не сделаешь.

[Mancubus]

Точно.

Матчасть помогла =)

http://nag.ru/goodies/book/2ch6-3.html

А что это за комутаторы, которые обеспечивают "недо802.1q"?

Просто интересно для справки.

[Shiva]

Mancubus, те, в которых написано port-based VLAN.

[Reanimator++]

PS-2216 самый популярный... порядка 1к руб стоит...

[vIv]

К сожалению свитч поддерживающий этот протокол стоит ~ $350, и поддержка

802.1x операционными системами оставляет желать лучшего.

-----

Неправда