Уважаемые! У меня в сети система защиты построена на сравнении IP и MAC адреса сетевой карты, но с недавних в моей сети пор появился некто умеющий подставлять под любой IP любой MAC. Нужен простой и надежный способ дополнительной защиты. Кто сталкивался или у кого есть мысли по этому поводу напишите.
свитчевание сети - самый надежный способ.меняется MAC + IP банально - ifconfig'ом.
>свитчевание сети - самый надежный способ.
>
>меняется MAC + IP банально - ifconfig'ом.
что значит свитчевание??? :))
значит замена существующих хабов на свитчи, которые держат свою
арп-таблицу и жестко связывают карту и порт.
>значит замена существующих хабов на свитчи, которые держат свою
>арп-таблицу и жестко связывают карту и порт.ну ребяты Вы разогнались!!! :))) эти самые свичи стоят френову тучу денег... не рентабельно
должен быть другой выход
>>значит замена существующих хабов на свитчи, которые держат свою
>>арп-таблицу и жестко связывают карту и порт.
>
>ну ребяты Вы разогнались!!! :))) эти самые свичи стоят френову тучу денег...
>не рентабельно
>должен быть другой выход
OK
IP tunneling + accounting
А вообще на nag.ru было много подобных тем...
>>>значит замена существующих хабов на свитчи, которые держат свою
>>>арп-таблицу и жестко связывают карту и порт.
>>
>>ну ребяты Вы разогнались!!! :))) эти самые свичи стоят френову тучу денег...
>>не рентабельно
>>должен быть другой выход
>OK
>IP tunneling + accounting
>А вообще на nag.ru было много подобных тем...
можно по подробней... как что и где. может есть чего почитать по этому поводу. скажу сразу: наг.ру я весь перечитал :)))
ну смотри. как грится "информация должна стоить того, чтобы ее защищать"
>ну смотри. как грится "информация должна стоить того, чтобы ее защищать"
полностью с тобой согласен! но! когда активного оборудования по всем веткам 93 штуки..., то подума взять и заменить ЭТО ВСЕ на "умныйе" свичи. Это мало какая организация себе мсожет позволить такие затраты
>>ну смотри. как грится "информация должна стоить того, чтобы ее защищать"
>
>
>полностью с тобой согласен! но! когда активного оборудования по всем веткам 93
>штуки..., то подума взять и заменить ЭТО ВСЕ на "умныйе" свичи.
>Это мало какая организация себе мсожет позволить такие затратыВ нашей сетке сейчас присматриваются к этому девайсу: http://www.ixbt.com/comm/te100-s88e.shtml
Ставь PPTP и не мучайся.
>>>ну смотри. как грится "информация должна стоить того, чтобы ее защищать"
>>
>>
>>полностью с тобой согласен! но! когда активного оборудования по всем веткам 93
>>штуки..., то подума взять и заменить ЭТО ВСЕ на "умныйе" свичи.
>>Это мало какая организация себе мсожет позволить такие затраты
>
>В нашей сетке сейчас присматриваются к этому девайсу: http://www.ixbt.com/comm/te100-s88e.shtml
"...
Так как рассматриваемое нами устройство не содержит в себе каких-либо функций управления, и в документации ничего о вышеперечисленных режимах работы, кроме детектирования петель, упомянуто не было, я полагаю, что остальные функции в коммутаторе не задействованы.
..."
>>>ну смотри. как грится "информация должна стоить того, чтобы ее защищать"
>>
>>
>>полностью с тобой согласен! но! когда активного оборудования по всем веткам 93
>>штуки..., то подума взять и заменить ЭТО ВСЕ на "умныйе" свичи.
>>Это мало какая организация себе мсожет позволить такие затраты
>
>В нашей сетке сейчас присматриваются к этому девайсу: http://www.ixbt.com/comm/te100-s88e.shtml
Это неуправляемый свич. Там невозможно привязать ip/mac к порту.
>свитчевание сети - самый надежный способ.
>
>меняется MAC + IP банально - ifconfig'ом.
Мое мнение - vlan или нечто подобное. Оно конечно геморойно по-началу, но когда настроишь.. сказка :)
\
Например
www.freeswan.org - вариации на тему Ipsec (шифрование трафика)Но есть существенный минус - в win9x/me нет поддержки даже Ipsec клиента.
Возможно надо что то стороннее ставить.
в моей статистике сделано так: если в течении 15-ти минут не прошло ни байта - заблокировать выход в инет, кроме странички статистики. - заходишь в статистику - вводишь логин и пароль - снимаешь галочку и через 1-5 минут ты в инете :)
>в моей статистике сделано так: если в течении 15-ти минут не прошло
>ни байта - заблокировать выход в инет, кроме странички статистики. -
>заходишь в статистику - вводишь логин и пароль - снимаешь галочку
>и через 1-5 минут ты в инете :):)) мысль интересная, а как отлогинится?
PPPoE(PPP over Ethernet) решает, хотя DOS-атаку при помощи ARP предотвратить без использования VLAN невозможно.
>в моей статистике сделано так: если в течении 15-ти минут не прошло
>ни байта - заблокировать выход в инет, кроме странички статистики. -
>заходишь в статистику - вводишь логин и пароль - снимаешь галочку
>и через 1-5 минут ты в инете :)как ты это реализовал?
>>в моей статистике сделано так: если в течении 15-ти минут не прошло
>>ни байта - заблокировать выход в инет, кроме странички статистики. -
>>заходишь в статистику - вводишь логин и пароль - снимаешь галочку
>>и через 1-5 минут ты в инете :)
>
>как ты это реализовал?Я сделал немножко другую реализацию:
есть: машина с FreeBSD смотрит одним
концом в инет, другим - в локалку.
Пользователи под Win *****.
Пользователи запускают клиента, клиент логинится на сервер (безопасное соединение), сервер открывает дверцу в инет. Через минуту, если пользователь вновь не залогинился, дверца закрывается.
Все хозяйство реализовано на:
Windows-клиент: Deplhi
FreeBSD: ipfw, perl, mysql, nat/bridge (для разных хитрожопых клиентов, желающих реальный IP), shell, cron.
Итого: независимая от IP/MAC реализация, авторизованный доступ в Интернет, учет трафика по логину / паролю (пользователь может работать с чужой машину под своим логином), всяческий риск сводится к подбору пароля (скорость перебора ограничена сервером) и минутой бездействия пользователя. Все имеет свою web-морду (и админ, и пользователь), всяческий просмотр трафика и задание ограничений через веб - пожалуйста. К тому же пользователь всю информацию о своём аккаунте сразу видит в своём виндовом клиенте и прочая... прочая... прочая...
Времени на все ушло в одну харю 3 (три) месяца, гемора - основательно...
Вот. Качнулся, типа.
А теперь офтопик: поставил тут сетевуху: 3com905c-tx-m (3c905c-tx). При старте сетки периодически выдает
xl0: watchdog timeout
Что за собака такая и как с ней дружить?
FreeBSD 4.1.1-RELEASE
Ответы на мыло.
vosk@mail.ruСпасибо
Есть еще вариант - правда он не дешев."Информзащита" предлагает систему защиты куда входит Firewall (зелезяка) и клиентский софт (стоит это где то около трех штук баков) так вот этот комплекс позволяет шифровать траффик в локальной сети и это не самое главное чем он занимается.
www.infosec.ru