URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 69634
[ Назад ]
Исходное сообщение
"ipfw: Блокировка пользователей подменяющих ИП"
Отправлено weldpua2008 , 18-Окт-06 00:04 
Здравствуйте.
Есть такая проблема:
Сеть1-Сеть2 "дружат" через кабель.
В принципе если в одной из Сети поменять ИП то видно другую Сеть...
У Меня вопрос - что надо прописать, что бы не заблокировать доступ из одной Сети в другую, но и закрыть доступ для Тех кто поменял ИП и подключенных к сетевой карте rl0?
ИП на которые будут менять люди - извесны...
FireWALL=ipfw

Так будет работать?
net="{ 10.11.12.0/23, 10.11.13.0/24 }"
net_card=rl0

/sbin/ipfw add deny all from $net to any via $net_card

Или лутше так?:
not_our_net="{ not 192.168.11.0/24, not 192.168.12.0/24 }"
net_card=rl0
/sbin/ipfw add deny all from $not_our_net to any via $net_card

И вообще отличается ли в ipfw писать все в одной переменной как Я или отдельно каждое правило?

ЗЫ:
Провереть сейчас некак...

Содержание
Сообщения в этом обсуждении
"ipfw: Блокировка пользователей подменяющих ИП"
Отправлено weldpua2008 , 19-Окт-06 00:34 
так прав ли Я?
И еще негде не видел запись в переменую - которая вмещает в Себя не одну сеть/хост а несколько!!!
Правильно ли Я записал и что будет если использовать такие переменные?
"ipfw: Блокировка пользователей подменяющих ИП"
Отправлено SysR , 19-Окт-06 11:12 
>Здравствуйте.
>Есть такая проблема:
>Сеть1-Сеть2 "дружат" через кабель.
>В принципе если в одной из Сети поменять ИП то видно другую
>Сеть...
>У Меня вопрос - что надо прописать, что бы не заблокировать доступ
>из одной Сети в другую, но и закрыть доступ для Тех
>кто поменял ИП и подключенных к сетевой карте rl0?
>ИП на которые будут менять люди - извесны...
>FireWALL=ipfw
>
>Так будет работать?
>net="{ 10.11.12.0/23, 10.11.13.0/24 }"
>net_card=rl0
>
>/sbin/ipfw add deny all from $net to any via $net_card
>
>Или лутше так?:
>not_our_net="{ not 192.168.11.0/24, not 192.168.12.0/24 }"
not_our_net="{ 192.168.11.0/24 or 192.168.12.0/24 }"
>net_card=rl0
>/sbin/ipfw add deny all from $not_our_net to any via $net_card
/sbin/ipfw add deny all from ${not_our_net} to any via ${net_card}
Но лутше так
/sbin/ipfw add allow ip from 192.168.11.0/24 to 192.168.12.0/24
/sbin/ipfw add allow ip from 192.168.12.0/24 to 192.168.11.0/24
/sbin/ipfw add deny ip from any to any
>
>И вообще отличается ли в ipfw писать все в одной переменной как
>Я или отдельно каждое правило?
>
>ЗЫ:
>Провереть сейчас некак...

Если комп на котором ты хочешь блокировать ИР не является роутером между сетями то заблокировать возможно только для себя.

arp -s <host_ip_arrd> <host_hw_addr> (привязка ИР к апаратному адресу сетевой карты)

При смене ИР хостом которызе заблокирован в arp ФРЯ отвечать не будет (в прочем как и любая другая ОС)

"ipfw: Блокировка пользователей подменяющих ИП"
Отправлено SergeyKa , 19-Окт-06 12:23 
Если соеденины одним проводом - то никак
Если установить вторую карточку в сервер - тогда без проблем.

FreeBSD в каждодневных логах показывает кто сменил IP - этого не достаточно?

"ipfw: Блокировка пользователей подменяющих ИП"
Отправлено weldpua2008 , 21-Окт-06 17:45 
>Если соеденины одним проводом - то никак
нет
>Если установить вторую карточку в сервер - тогда без проблем.
>
>FreeBSD в каждодневных логах показывает кто сменил IP - этого не достаточно?
>
Нет - эти муда... меняют ИП - ставят из другой Сетки - потом Они(ИП) конфликтуют с теми ИП, пользователи которых "включились" и Админ из той Сетки бегает и кричит...
гы- вот так...
А все потому-что один пацанчик расказал - смени Ип и будет Тебе и Сеть Та и все остальное...


"ipfw: Блокировка пользователей подменяющих ИП"
Отправлено co6aka , 22-Окт-06 21:48 
Возможно Вам стоит сказать какие задачи обеспечивает соединение сетей! А то не очень понятно... да и топология соединения сетей...
Вариантов слишком много что бы их все расписывать(на самом деле не много а просто скучно).