Mist Posted March 7, 2006 Posted March 7, 2006 Доброго времени суток. Имеется сеть, разбитая на vlan'ы. Нужно сделать так, чтобы локальный айпишник выдавался по DHCP только после авторизации ПППоЕ (т.е. после подключения к инету). Т.е. доступ к другим vlan'ам был доступен только пользователям с положительным балансом и только после подключения ПППоЕ. Принцип - нет инета, нет и локалки. Но есть одно "НО". Локальный трафик должен ходить не через само ПППоЕ соединение. Привязка MAC + IP на сервере легко подделывается, и в данном случае не годится. У кого есть какие-нибудь идеи на этот счет, прошу высказаться :) Заранее спасибо. Вставить ник Quote
Mist Posted March 7, 2006 Author Posted March 7, 2006 Только через VPN? Какие варианты в данном случае есть? Вставить ник Quote
LostSoul Posted March 7, 2006 Posted March 7, 2006 непонятно зачем нужно препятствовать работе DHCP если клиент неавторизирован? Вы тем самым сами подтолкнете его к установке IP самостоятельно, в том числе и некорректного. а так - всё проще, дорабатываете напильником ваш ppoe-сервер, чтоб по подключению клиента vasya он шёл на оборудование и включал vlan в работу, по отключению юзера vasya - изолировал vlan. если я верно вопрос понял... можно например через радиус авторизовывать и довесить скрипты на радиус... Вставить ник Quote
BB Posted March 7, 2006 Posted March 7, 2006 У кого есть какие-нибудь идеи на этот счет, прошу высказаться :) Идеи? Пойти почитать UserManual-ы.... Без IP не будет никаких PPPoE и вообще ничего... Вставить ник Quote
LostSoul Posted March 7, 2006 Posted March 7, 2006 Идеи? Пойти почитать UserManual-ы....Без IP не будет никаких PPPoE и вообще ничего... Мануалы видимо нужно пойти почитать Вам :-( Вставить ник Quote
LostSoul Posted March 7, 2006 Posted March 7, 2006 802.1x Очень много думал после выхода WinXP на эту тему. Но увы - слишком неуниверсально... не годится к точкам доступа WiFi например... Вставить ник Quote
Mist Posted March 7, 2006 Author Posted March 7, 2006 Осуществимо следующее или нет?: Для доступа к другим вланам сделать привязку к МАКу, айпишнику и логину на инет. Айпишники все прописывать руками, DHCP вырубить. Вставить ник Quote
LostSoul Posted March 7, 2006 Posted March 7, 2006 Осуществимо следующее или нет?: Для доступа к другим вланам сделать привязку к МАКу, айпишнику и логину на инет. Айпишники все прописывать руками, DHCP вырубить. Привязка MAC-IP реализуется классически ( и так же классически подделывается ). Чтоб обеспечить привязку к логину ( что было бы действительно довольно надёжно ) - надо чтоб связку в вашем случае активировал PPPoE сервер - клиент подключился, связка активизировалась. отвалился - закрылась. Вот Shiva очень интерестную штуку придумал про авторизацию доступа к среде... в системах Win2K/XP уже есть всё готовое, только сертификат компьютера в личном кабинете загрузить ( 1 клик на ссылку ) - и можно проверять подлинность компьютера... делал ли кто-нибудь на практике? Вставить ник Quote
Mist Posted March 7, 2006 Author Posted March 7, 2006 Осуществимо следующее или нет?: Для доступа к другим вланам сделать привязку к МАКу, айпишнику и логину на инет. Айпишники все прописывать руками, DHCP вырубить. Привязка MAC-IP реализуется классически ( и так же классически подделывается ). Чтоб обеспечить привязку к логину ( что было бы действительно довольно надёжно ) - надо чтоб связку в вашем случае активировал PPPoE сервер - клиент подключился, связка активизировалась. отвалился - закрылась. Вот Shiva очень интерестную штуку придумал про авторизацию доступа к среде... в системах Win2K/XP уже есть всё готовое, только сертификат компьютера в личном кабинете загрузить ( 1 клик на ссылку ) - и можно проверять подлинность компьютера... делал ли кто-нибудь на практике? Спасибо большое, будем ковыряться. И еще небольшой вопросик: Есть ли готовые решения по фильтрации широковещательного трафика? Ибо вирусы и всякие ланскопы надоели уже. Вставить ник Quote
SergeiK Posted March 7, 2006 Posted March 7, 2006 Господа. Или я ошибаюсь или PPPoE прекрасно работает без IP. То есть PPPoE сервер не ставите никаких IP и все работает. Правда вы не мешаете пользователям поставить любые IP из любых сетей, и работать друг с другом, если они в одном сегменте. Однако, клиенты с одинаковыми IP находят PPPoE сервер и могут паралельно пользоваться инетом не смотря на то, что в локалке друг-другу мешают. Добавлю, что это не верно для PPTP. Вставить ник Quote
Mist Posted March 7, 2006 Author Posted March 7, 2006 Суть в том, что надо помешать поставить пользователям любые айпишники и видеть остальные сегменты, а так же, подделку связки IP + MAC. Вставить ник Quote
LostSoul Posted March 7, 2006 Posted March 7, 2006 Господа. Или я ошибаюсь или PPPoE прекрасно работает без IP. Добавлю, что это не верно для PPTP. Исходя из первого поста - у них локальный трафик без PPPoE ходит... кстати первая услышанная в моей практике нормальная реализация pppoe - держать клиента в отдельном vlan , пока не авторизируется на pppoe-сервере. Решает проблему "левых" серверов радикально :) Вставить ник Quote
Mist Posted March 7, 2006 Author Posted March 7, 2006 Исходя из первого поста - у них локальный трафик без PPPoE ходит... Естественно - локалка не маленькая, маршрутизатор сразу виснет, если трафик гонять через виртуальную сеть. Вставить ник Quote
LostSoul Posted March 7, 2006 Posted March 7, 2006 Естественно - локалка не маленькая, маршрутизатор сразу виснет, если трафик гонять через виртуальную сеть. Виснуть он не должен. А вот проседать под нагрузкой и выступать "бутылочным горлышком" - вполне. Вставить ник Quote
Mist Posted March 7, 2006 Author Posted March 7, 2006 Как показала практика - можно повесить. После этого больше не экспериментировал :) Вставить ник Quote
Nallien Posted March 8, 2006 Posted March 8, 2006 если вешается - проблема в маршрутизаторе. либо железная либо программная (второе - более вероятно). а задача безусловно интересная... хотя мне кажется для этих целей больше подойдет pptp на доступ в Сеть, а локалка - класическим способом. Вставить ник Quote
Nailer Posted March 8, 2006 Posted March 8, 2006 И еще небольшой вопросик:Есть ли готовые решения по фильтрации широковещательного трафика? Ибо вирусы и всякие ланскопы надоели уже. Почти на любом управляемом коммутаторе есть функция broadcast storm control. Правда, название фичи меняется у разных производителей. У нортеля, например, это почему-то назывется rate-limit :-) Вставить ник Quote
Mist Posted March 8, 2006 Author Posted March 8, 2006 Это-то есть, но хотелось бы что-нить более существенное - а-ля раздача пятиминутных банов провинившимся, чтоб неповадно было. Вставить ник Quote
ayamb Posted March 8, 2006 Posted March 8, 2006 По корневому сообщению темы (относится к ATi): 1. Ip при PPPoE раздают аутентификаторы или PPPoE-концентраторы из своих локальных пулов. Для активизации PPPoE не требуется IP соединение. И как следствие не нужен DHCP. 2. Если предусмотрен какой-либо остающийся локальный сервис, то контролировать его можно лишь только до первого неуправляемого коммутатора. Оставить этот сервис во всей сети, убрав основной, с незначительными различиями можно успешно используя PPPoE, VPN, PPTP, 802.1x в тесном сотрудничестве с аутентификаторами. 3. Достаточно просто реализовать любой вариант, требующий на выбор в любой последовательности отключения или включения любых сервисов, можно по любой из перечисленных технологий, но при условии подключения (1)клиент=(n)vlan=(n)port на управляемых коммутаторах. 4. Трудно подделать нетривиально настроенный DHCP IP-MAC-Host, или статический MAC-IP-Port в случае (1)клиент=(n)vlan=(n)port. (Multicast убирается по-другому.) Вставить ник Quote
Shiva Posted March 8, 2006 Posted March 8, 2006 LostSoul, Очень много думал после выхода WinXP на эту тему. Но увы - слишком неуниверсально... не годится к точкам доступа WiFi например... Даже в качестве моста? Пусть клиент на компе авторизуется. Вставить ник Quote
LostSoul Posted March 9, 2006 Posted March 9, 2006 а задача безусловно интересная... хотя мне кажется для этих целей больше подойдет pptp на доступ в Сеть, а локалка - класическим способом. Так PPTP имеет крупный недостаток в том, что требуется ещё и верно настроенная локалка, чтоб интернет заработал. То есть усложняется головоломка для тупого юзера и вероятность проблем повышается. pppoe это очень здорово ( будучи впихнутое по умолчанию в WinXP/ME ), главное - чтоб надёжно защитить юзера от левых серверов) Вот похоже человек на пути к тому чтоб это нормально сделать :-) Вставить ник Quote
Nallien Posted March 9, 2006 Posted March 9, 2006 хэ-хэ безспорно. я как-то прозевал, что речь уже идет о виланах и ппое... тогдаподдерживаю тов. аямба Вставить ник Quote
BSB Posted March 9, 2006 Posted March 9, 2006 Исходя из первого поста - у них локальный трафик без PPPoE ходит... Естественно - локалка не маленькая, маршрутизатор сразу виснет, если трафик гонять через виртуальную сеть. А нафиг рутер в эзернет - сети? Вставить ник Quote
.png.5d2afa2996cc6a85d0f2c09b92dd0a28.png)
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.