Доброго всем времени суток!
есть "серая" 192.168.х.х сеть на 70 пользователей. требовалось ограничить отдельным IP доступ к интернету-создал (не без помощи участников данного форума!) нужные списки доступа и жизнь наладилась. но ненадолго...
некоторые умельцы теперь используют неактивные чужие IP и с них ломятся и инет.хочу привязать IP-адрес хоста к его MAC-адресу, благо такая информация имеется. продвинутых свичей в конторе нет, но есть Cisco 2821...
как в Cisco привязать IP-адрес, который впоследствии подвергается Nat к MAC-адресу сетевой карты?
заранее всем спасибо за ответы!
>[оверквотинг удален]
>некоторые умельцы теперь используют неактивные чужие IP и с них ломятся и
>инет.
>
>хочу привязать IP-адрес хоста к его MAC-адресу, благо такая информация имеется. продвинутых
>свичей в конторе нет, но есть Cisco 2821...
>
>как в Cisco привязать IP-адрес, который впоследствии подвергается Nat к MAC-адресу сетевой
>карты?
>
>заранее всем спасибо за ответы!может быть лучше посмотреть в сторону auth proxy (Authentification Proxy)?
http://www.cisco.com/en/US/prod/collateral/vpndevc/ps5708/ps...или можно рассмотреть вариант PPTP/PPPoE сервера и пользователю для того что бы попасть в инет необходимо будет поднять туннель и авторизоваться.
Смысл в том что "ловить" привязку IP-MAC не очень хорошее решение.
Куда как гибче иметь авторизацию каждого пользователя.
руководство категорически против авторизации...
только поэтому я не могу использовать это решение, а оно, естественно, напрашивается...
поэтому и ищу другие варианты...
>руководство категорически против авторизации...
>только поэтому я не могу использовать это решение, а оно, естественно, напрашивается...
>
>поэтому и ищу другие варианты...router#conf t
router#arp <ip-addr> <mac-addr> arpaСмотрим:
show arp
СПАСИБО "enk"!!!
заработало.
понятно и доступно объяснил :)тема закрыта.
>руководство категорически против авторизации...
>только поэтому я не могу использовать это решение, а оно, естественно, напрашивается...
>
>поэтому и ищу другие варианты...poligon.gw1(config)#arp 10.10.10.10 1111.1111.1111 arpa
Есть вопрос по теме. Осуществлена привязка с ошибкой, указан несуществующий ip адрес.
arp 140.0.0.50 1234.4567.8910 ARPA
вместо
arp 10.0.0.50 1234.4567.8910 ARPAудалить командой
no arp 140.0.0.50
не получается. При попытке залить с tftp конфиг не содержащий данную запись ничего не выходит - запись остается все равно. Такой подсети 140.0.0.0/24 на интерфейсах cisco нет.
Как правильно удалить запись?Спасибо!
>[оверквотинг удален]
> arp 140.0.0.50 1234.4567.8910 ARPA
> вместо
> arp 10.0.0.50 1234.4567.8910 ARPA
> удалить командой
> no arp 140.0.0.50
> не получается. При попытке залить с tftp конфиг не содержащий данную запись
> ничего не выходит - запись остается все равно. Такой подсети 140.0.0.0/24
> на интерфейсах cisco нет.
> Как правильно удалить запись?
> Спасибо!Уже по традиции отвечаю сам себе:
copy running-config tftp
модифицируем под себя как угодно !без ошибок!
copy tftp startup-config
reload
System configuration has been modified. Save? [yes/no]: n
Proceed with reload? [confirm]все, после ребута ошибочной записи не будет
То что при копировании с tftp в раннинг конфиги сливаюся нам известно. Копировать в стартап конфиг с последующей перезагрузкой, чтобы убрать строчку - маразм имхо.
Почему невозможно убрать строку из конфига с командой NO я не понял. Постоянно так маки вяжем и сносим (и не только ))).
> То что при копировании с tftp в раннинг конфиги сливаюся нам известно.
> Копировать в стартап конфиг с последующей перезагрузкой, чтобы убрать строчку -
> маразм имхо.
> Почему невозможно убрать строку из конфига с командой NO я не понял.
> Постоянно так маки вяжем и сносим (и не только ))).Проверьте самостоятельно. Внесите запись ip+mac из подсети не объявленной на Cisco а затем попробуйте удалить эту запись не маразматическим способом. Я себе голову над этим ломал несколько часов. Иной способ так и не нашел. Да и нет его, я в этом уверен.
А зачем создавать запись подсети, в которую не входит ни один интерфейс на циске, смысла нету.
> А зачем создавать запись подсети, в которую не входит ни один интерфейс
> на циске, смысла нету.Верно. Но если такое уже произошло, то исправить ситуацию можно только таким "маразматическим" способом. Манипуляции с no arp не помогут. А произойти такое может легко с каждым, к примеру второй сисадмин ввел с пьяну не те данные - палец соскочил с клавиатуры, изменилась топология сети, а привязки ip+mac не снесли в конфиге. Не важно как такое могло произойти, важнее что сделать, чтобы исправить. Я нашел как исправить. Надеюсь теперь моя запись кому то поможет.
>> То что при копировании с tftp в раннинг конфиги сливаюся нам известно.
>> Копировать в стартап конфиг с последующей перезагрузкой, чтобы убрать строчку -
>> маразм имхо.
>> Почему невозможно убрать строку из конфига с командой NO я не понял.
>> Постоянно так маки вяжем и сносим (и не только ))).
> Проверьте самостоятельно. Внесите запись ip+mac из подсети не объявленной на Cisco а
> затем попробуйте удалить эту запись не маразматическим способом. Я себе голову
> над этим ломал несколько часов. Иной способ так и не нашел.
> Да и нет его, я в этом уверен.Сегодня как раз снимал привязку по мак-у. Попробовал специально прописать левый ip.
Убирается нормально.IOS аж 12.0(2a). Может ,конечно, все сломали на 12.4, специально не пробовал, но сомнительно. Если это действительно не работает - поменяйте ios.
> Сегодня как раз снимал привязку по мак-у. Попробовал специально прописать левый ip.
> Убирается нормально.IOS аж 12.0(2a). Может ,конечно, все сломали на 12.4, специально не
> пробовал, но сомнительно. Если это действительно не работает - поменяйте ios.Version 12.1(23)E2
не получается убрать привязку если выходит за рамки сконфигурированных интерфейсов
Выход найден выше, уже спасал и не один раз.