Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como?
Você pode servir ip's somente a MAC (da placa de rede) conhecidos, desse jeito dentro do dhcpd.conf:
## Maquina 01 host escritorio01 { hardware ethernet 00:08:54:17:7C:53; # <--Mac da placa de rede fixed-address 10.0.0.1; # <--Ip do cliente }
## Maquina 02 host escritorio02 { hardware ethernet 00:08:54:17:7C:54; # <--Mac da placa de rede fixed-address 10.0.0.2; # <--Ip do cliente }
ou seja.... Vc terá q colocar cada MAC de cada maquina da sua rede no seu dhcpd.conf e especificar um ip pra cada um. Qndo um cara colocar um notebook na rede ele nao receberá ip, pois seu MAC nao eh conhecido. acho q assim funciona (nunca testei =p)
[]'s
Adere - Levi / Suporte Linux levi.alves@adere.com escreveu: Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como? begin:vcard fn:Levi Leopoldino Alves n:Leopoldino Alves;Levi org;quoted-printable:Adere Produtos Auto Adesivos Ltda;Tecnologia da Informa=C3=A7=C3=A3o adr;quoted-printable:Pq.Santo Antonio;;Estr.Municipal Valencio Calegari, 2002;Sumar=C3=A9;S.P.;13181-905;Brasil email;internet:levi.alves@adere.com title:Analista de Suporte Linux tel;work:(19)2104-0739 tel;fax:(19)2104-0700 note;quoted-printable:Levi / Analista de Suporte Linux=0D=0A= ADERE Produtos Auto Adesivos Ltda=0D=0A= Estr.Municipal Valencio Calegari, 2002=0D=0A= Pq.Santo Antonio - Cep: 13181-905 - Sumar=C3=A9 / SP=0D=0A= CNPJ: 46.062.030/0001-23 - I.E.: 671.211.366.119=0D=0A= F.: (19) 2104-0700 - Sac: 0800 7012903=0D=0A= Visite nosso site: www.adere.com=0D=0A= =0D=0A=
url:http://www.adere.com version:2.1 end:vcard
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
Diego Búrigo Zacarão Linux User #402589 USE SOFTWARE LIVRE --------------------------------- Yahoo! doce lar. Faça do Yahoo! sua homepage.
É possível fazendo bloqueio por MAC ou implementando o protocolo IEEE 802.1X.
Em ambos os casos seu switch precisa ter suporte a estas features e no caso do 802.1X você ainda precisará de servidores Radius.
Sds, Otto Fuchshuber Filho o2to2f@gmail.com
Adere - Levi / Suporte Linux wrote:
Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como?
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
existiria algum manual passo a passo pra mim tentar implantar o protocolo 802.1X, explicasse melhor, em português?
Otto Fuchshuber Filho escreveu:
É possível fazendo bloqueio por MAC ou implementando o protocolo IEEE 802.1X.
Em ambos os casos seu switch precisa ter suporte a estas features e no caso do 802.1X você ainda precisará de servidores Radius.
Sds, Otto Fuchshuber Filho o2to2f@gmail.com
Adere - Levi / Suporte Linux wrote:
Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como?
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
Adere - Levi / Suporte Linux wrote:
existiria algum manual passo a passo pra mim tentar implantar o protocolo 802.1X, explicasse melhor, em português?
Hau!
Se não me engano, o protocolo tem que ser suportado pelo próprio Switch, e funcionar junto com um servidor radius (esse você pode configurar no Linux tranquilamente). Se o switch não for gerenciável e ter o 802.1X, creio que não dê para implementar o 802.1X para esse objetivo :)
Explicando rapidamente o padrão IEEE 802.1X, existem basicamente 3 entidades (termos definidos no padrão): 1. Autenticador (authenticator): entidade na extremidade de um segmento de LAN ponto-a-ponto que facilita a autenticação da entidade conectada na outra extremidade. 2. Servidor de autenticação (authentication server): Entidade que provê serviço de autenticação para o autenticador. Este serviço determina, a partir das credenciais de acesso providas pelo suplicante, se ele está autorizado a acessar os serviços providos pelo autenticador. 3. Suplicante (supplicant): Entidade na extremidade de um segmento de LAN ponto-a-ponto que está sendo autenticada por um autenticador conectado na outra extremidade.
Esclarecendo melhor: 1. O autenticador é um switch nas redes cabeadas ou um access point 802.11 nas redes wireless, com suporte a 802.1X. 2. O servidor de autenticação é um servidor Radius. 3. O suplicante é um micro, notebook, PDA (Palm, IPaq, ...), etc, com um software-cliente 802.1X instalado.
De maneira bem simplificada, o funcionamento na rede cabeada é o seguinte: as portas do switch estão sempre bloqueadas, não permitindo que qualquer tráfego ethernet passe por elas, a menos dos pacotes de autenticação. Ao perceber a conexão de um micro em uma de suas portas (logon, presença do sinal link do ethernet, etc), o switch pede ao micro que se identifique (ou o próprio micro inicia o processo de autenticação). O micro então informa suas credenciais de acesso as quais o switch repassa ao servidor Radius. Se as credenciais forem válidas, o servidor Radius informa ao switch que por sua vez libera a porta. Se as credenciais não forem válidas, o servidor Radius informa ao switch o qual mantém a porta bloqueada. Ao se fazer logoff no micro, desligá-lo ou desconectar seu cabo de rede, a porta do switch volta a ser bloqueada. Se você tentar enganar o switch colocando dois micros em uma mesma porta através de um hub e autenticando apenas um deles, a porta bloqueia assim que mais de um endereço MAC tentar trafegar por ela (em alguns switches, a quantidade de endereços MAC permitida é configurável).
Existem implementações proprietárias (por exemplo, as arquiteturas UPN da Enterasys e IBNS da Cisco) que, a partir do 802.1X, permitem associar um perfil à porta em função das credenciais de acesso apresentadas, permitindo coisas do tipo limitar/especificar a banda, especificar que serviços podem ser utilizados, que servidores podem ser acessados, qual VLAN se conectar.
As credenciais de acesso podem ser desde a velha dupla username/password até certificados digitais, vai depender do mecanismo de autenticação que se deseja utilizar (EAP-MD5, LEAP, PEAP, EAP-MSCHAPv2, EAP-TLS, EAP-TTLS), em função do nível de segurança requerido.
Então, para implementar um ambiente IEEE 802.1X em rede cabeadas, você precisa de switches que tenham suporte a 802.1X, um servidor Radius (ou mais de um para alta disponibilidade) e clientes 802.1X instalados nos micros. Micros que não tenham clientes 802.1X simplesmente não conseguem trafegar absolutamente nada na rede, sequer conseguem obter endereço pelo DHCP.
O switch, só comprando. Cisco, Nortel e Enterasys são as opções tradicionais (e mais caras), mas pode ser que já existam switches "genéricos" (Planet, Encore, etc) que ofereçam suporte a 802.1X. Teria que pesquisar.
O software Radius Server pode ser adquirido (por exemplo, Cisco ACS, Microsoft IAS) ou implementado em uma máquina Linux com o FreeRadius (http://www.freeradius.org). É possível inclusive em certas implementações, configurar o Radius para pesquisar as credenciais de acesso em um Active Directory ou LDAP.
Já o cliente 802.1X para os micros: - Para o Linux tem o Open1X (http://open1x.sourceforge.net) e WIRE1x (http://wire.cs.nthu.edu.tw/wire1x). - Para o Win2K-SP2 e XP, existe suporte nativo para alguns mecanismos de autenticação (EAP-MSCHAPv2 e EAP-TLS, se não me engano). - Para outros Windows e/ou outros mecanismos de autenticação, existem os clientes "pagos" Odyssey Client da Funk Software (http://www.funk.com/radius/wlan/wlan_c_radius.asp) e Aegis Client da Meetinghouse (http://www.mtghouse.com/products/aegis_solutions.asp). - Para outros SO's (outros Unix-like, MAC OS X, etc) tem que pesquisar.
Para o caso dos demais dispositivos ethernet tais como impressoras, já estão aparecendo no mercado alguns com suporte a 802.1X (algumas impressoras da HP, se não me engano) mas por enquanto acho que a solução ainda é o velho filtro por MAC Address e investir em segurança física para eles de tal forma que minimize o risco de seus pontos de rede serem utilizados por pessoas não autorizadas.
Enfim, a solução 802.1X é extremamente robusta e altamente escalável mas, por isto, sua implementação não é trivial, requer ajustes de configuração que precisam ser determinados em um ambiente de teste antes de colocar em produção, pois são muitas opções e o que funciona em uma rede pode não funcionar em outra. Algumas das considerações que expus já testei e implementei, outras não.
Finalmente, como leitura, achei este HOW-TO para implementação com FreeRadius e Open1X: http://www.tldp.org/HOWTO/html_single/8021X-HOWTO. Não o li, só passei os olhos, mas parece ser bem completo. Só que é em inglês.
Bem, tentei dar uma geral no 802.1X para você, espero ter ajudado.
Sds, Otto Fuchshuber Filho o2to2f@gmail.com
Adere - Levi / Suporte Linux wrote:
existiria algum manual passo a passo pra mim tentar implantar o protocolo 802.1X, explicasse melhor, em português?
Otto Fuchshuber Filho escreveu:
É possível fazendo bloqueio por MAC ou implementando o protocolo IEEE 802.1X.
Em ambos os casos seu switch precisa ter suporte a estas features e no caso do 802.1X você ainda precisará de servidores Radius.
Sds, Otto Fuchshuber Filho o2to2f@gmail.com
Adere - Levi / Suporte Linux wrote:
Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como?
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
Otto, eu agradeço muito pelo tempo dedicado que vc sedeu a lista, muito obrigado mesmo
Otto Fuchshuber Filho escreveu:
Explicando rapidamente o padrão IEEE 802.1X, existem basicamente 3 entidades (termos definidos no padrão):
- Autenticador (authenticator): entidade na extremidade de um
segmento de LAN ponto-a-ponto que facilita a autenticação da entidade conectada na outra extremidade. 2. Servidor de autenticação (authentication server): Entidade que provê serviço de autenticação para o autenticador. Este serviço determina, a partir das credenciais de acesso providas pelo suplicante, se ele está autorizado a acessar os serviços providos pelo autenticador. 3. Suplicante (supplicant): Entidade na extremidade de um segmento de LAN ponto-a-ponto que está sendo autenticada por um autenticador conectado na outra extremidade.
Esclarecendo melhor:
- O autenticador é um switch nas redes cabeadas ou um access point
802.11 nas redes wireless, com suporte a 802.1X. 2. O servidor de autenticação é um servidor Radius. 3. O suplicante é um micro, notebook, PDA (Palm, IPaq, ...), etc, com um software-cliente 802.1X instalado.
De maneira bem simplificada, o funcionamento na rede cabeada é o seguinte: as portas do switch estão sempre bloqueadas, não permitindo que qualquer tráfego ethernet passe por elas, a menos dos pacotes de autenticação. Ao perceber a conexão de um micro em uma de suas portas (logon, presença do sinal link do ethernet, etc), o switch pede ao micro que se identifique (ou o próprio micro inicia o processo de autenticação). O micro então informa suas credenciais de acesso as quais o switch repassa ao servidor Radius. Se as credenciais forem válidas, o servidor Radius informa ao switch que por sua vez libera a porta. Se as credenciais não forem válidas, o servidor Radius informa ao switch o qual mantém a porta bloqueada. Ao se fazer logoff no micro, desligá-lo ou desconectar seu cabo de rede, a porta do switch volta a ser bloqueada. Se você tentar enganar o switch colocando dois micros em uma mesma porta através de um hub e autenticando apenas um deles, a porta bloqueia assim que mais de um endereço MAC tentar trafegar por ela (em alguns switches, a quantidade de endereços MAC permitida é configurável).
Existem implementações proprietárias (por exemplo, as arquiteturas UPN da Enterasys e IBNS da Cisco) que, a partir do 802.1X, permitem associar um perfil à porta em função das credenciais de acesso apresentadas, permitindo coisas do tipo limitar/especificar a banda, especificar que serviços podem ser utilizados, que servidores podem ser acessados, qual VLAN se conectar.
As credenciais de acesso podem ser desde a velha dupla username/password até certificados digitais, vai depender do mecanismo de autenticação que se deseja utilizar (EAP-MD5, LEAP, PEAP, EAP-MSCHAPv2, EAP-TLS, EAP-TTLS), em função do nível de segurança requerido.
Então, para implementar um ambiente IEEE 802.1X em rede cabeadas, você precisa de switches que tenham suporte a 802.1X, um servidor Radius (ou mais de um para alta disponibilidade) e clientes 802.1X instalados nos micros. Micros que não tenham clientes 802.1X simplesmente não conseguem trafegar absolutamente nada na rede, sequer conseguem obter endereço pelo DHCP.
O switch, só comprando. Cisco, Nortel e Enterasys são as opções tradicionais (e mais caras), mas pode ser que já existam switches "genéricos" (Planet, Encore, etc) que ofereçam suporte a 802.1X. Teria que pesquisar.
O software Radius Server pode ser adquirido (por exemplo, Cisco ACS, Microsoft IAS) ou implementado em uma máquina Linux com o FreeRadius (http://www.freeradius.org). É possível inclusive em certas implementações, configurar o Radius para pesquisar as credenciais de acesso em um Active Directory ou LDAP.
Já o cliente 802.1X para os micros:
- Para o Linux tem o Open1X (http://open1x.sourceforge.net) e WIRE1x
(http://wire.cs.nthu.edu.tw/wire1x).
- Para o Win2K-SP2 e XP, existe suporte nativo para alguns mecanismos
de autenticação (EAP-MSCHAPv2 e EAP-TLS, se não me engano).
- Para outros Windows e/ou outros mecanismos de autenticação, existem
os clientes "pagos" Odyssey Client da Funk Software (http://www.funk.com/radius/wlan/wlan_c_radius.asp) e Aegis Client da Meetinghouse (http://www.mtghouse.com/products/aegis_solutions.asp).
- Para outros SO's (outros Unix-like, MAC OS X, etc) tem que pesquisar.
Para o caso dos demais dispositivos ethernet tais como impressoras, já estão aparecendo no mercado alguns com suporte a 802.1X (algumas impressoras da HP, se não me engano) mas por enquanto acho que a solução ainda é o velho filtro por MAC Address e investir em segurança física para eles de tal forma que minimize o risco de seus pontos de rede serem utilizados por pessoas não autorizadas.
Enfim, a solução 802.1X é extremamente robusta e altamente escalável mas, por isto, sua implementação não é trivial, requer ajustes de configuração que precisam ser determinados em um ambiente de teste antes de colocar em produção, pois são muitas opções e o que funciona em uma rede pode não funcionar em outra. Algumas das considerações que expus já testei e implementei, outras não.
Finalmente, como leitura, achei este HOW-TO para implementação com FreeRadius e Open1X: http://www.tldp.org/HOWTO/html_single/8021X-HOWTO. Não o li, só passei os olhos, mas parece ser bem completo. Só que é em inglês.
Bem, tentei dar uma geral no 802.1X para você, espero ter ajudado.
Sds, Otto Fuchshuber Filho o2to2f@gmail.com
Adere - Levi / Suporte Linux wrote:
existiria algum manual passo a passo pra mim tentar implantar o protocolo 802.1X, explicasse melhor, em português?
Otto Fuchshuber Filho escreveu:
É possível fazendo bloqueio por MAC ou implementando o protocolo IEEE 802.1X.
Em ambos os casos seu switch precisa ter suporte a estas features e no caso do 802.1X você ainda precisará de servidores Radius.
Sds, Otto Fuchshuber Filho o2to2f@gmail.com
Adere - Levi / Suporte Linux wrote:
Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como?
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
-- Fedora-users-br mailing list Fedora-users-br@redhat.com https://www.redhat.com/mailman/listinfo/fedora-users-br
Adere - Levi / Suporte Linux wrote:
Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como?
Olá Levi,
Pelo que eu saiba, a única maneira de você fazer isso no DHCP é restringir a obtenção dos IPs pelo endereço de hardware (MAC) da placa de rede. Assim você consegue associar certos IPs à certas placas específicas, e as que não estão cadastradas no DHCP não vão pegar IP.
A desvantagem desse método é que além dele não resolver totalmente o problema de "segurança", você vai ter que ficar controlando os MACs das placas, ou seja, cada vez que se troca um MAC, você terá que mudar a configuração do DHCP colocando o novo MAC e tudo mais. Isso dá mais trabalho para manutenção, e quanto maior a rede, pior.
De qualquer maneira, você pode fazer o inverso: Não deixar certos MACs passarem na rede. Para isso você pode fazer em um firewall iptables para negar todos os pacotes de algum endereço MAC.
Mas mesmo dessas maneiras, o cara pode chegar com um notebook, espetar na rede, fazer uns arp requests, descobrir a rede, e configurar manualmente os IPs e etc. Eu mesmo já fiz isso bastante :-)
Aí a solução seria um switch gerenciável que não deixe fazer esse tipo de coisa. É, segurança plena não existe, e quanto mais se chega perto, mais caro fica :)
Se quiser ajuda em algumas das soluções que falei, não deixe de falar.
Para resolver definitivamente as questões apontadas pelo Hugo, só usando o protocolo IEEE 802.1X - Port Based Network Access Control http://www.ieee802.org/1/pages/802.1x.html http://en.wikipedia.org/wiki/802.1X
Sds, Otto Fuchshuber Filho o2to2f@gmail.com
Hugo Cisneiros wrote:
Adere - Levi / Suporte Linux wrote:
Pessoal uso DHCP na minha rede, mas as vezes chegam algumas pessoas com notebook, espetam seus notebook na minha rede e logo em seguinda eles ja adquiriram um numero ip, dns primario, secundario, gateway, entre outras coisas, queria saber se tem como barrar isso, quando a pessoa colocar o notebook na rede, não vai conseguir fazer nada, não vai obter ip, nada, teria como?
Olá Levi,
Pelo que eu saiba, a única maneira de você fazer isso no DHCP é restringir a obtenção dos IPs pelo endereço de hardware (MAC) da placa de rede. Assim você consegue associar certos IPs à certas placas específicas, e as que não estão cadastradas no DHCP não vão pegar IP.
A desvantagem desse método é que além dele não resolver totalmente o problema de "segurança", você vai ter que ficar controlando os MACs das placas, ou seja, cada vez que se troca um MAC, você terá que mudar a configuração do DHCP colocando o novo MAC e tudo mais. Isso dá mais trabalho para manutenção, e quanto maior a rede, pior.
De qualquer maneira, você pode fazer o inverso: Não deixar certos MACs passarem na rede. Para isso você pode fazer em um firewall iptables para negar todos os pacotes de algum endereço MAC.
Mas mesmo dessas maneiras, o cara pode chegar com um notebook, espetar na rede, fazer uns arp requests, descobrir a rede, e configurar manualmente os IPs e etc. Eu mesmo já fiz isso bastante :-)
Aí a solução seria um switch gerenciável que não deixe fazer esse tipo de coisa. É, segurança plena não existe, e quanto mais se chega perto, mais caro fica :)
Se quiser ajuda em algumas das soluções que falei, não deixe de falar.
br-users@lists.fedoraproject.org
-
Adere - Levi / Analista de Suporte Linux -
Diego Búrigo Zacarão -
Hugo Cisneiros -
Otto Fuchshuber Filho