Re: Autoryzacja dostępu do LAN'u

On Sat, 11 Nov 2006 18:21:35 +0100, Michał K. wrote:

> Witam
>
> W jednym z oddziałów skonfigurowałem switcha (3Com 4400) aby umożliwiał
> dostęp do sieci po MAC'ach. I niewiele czasu zajęło "wywrotowcom" aby
> umożliwić sobie nieautoryzowany dostęp do sieci. Oczywiście zaczęli
> podmieniac MAC'i. Doszło do tego, że stawiają sobie router z podmienionym
> MAC'iem i pracują bez ograniczeń...
> Jak więc dobrze skonfigurować całą sieć, aby skutecznie ukrócić takie
> praktyki ? Pytam o wszelkie wskazówki, o zwrócenie uwagi na takie czy inne
> rozwiązania, na sprowadzenie mnie na właściwy trop. Chodzi mi po głowie
> SQUID, ale nie mam żadnego doświadczenia z nim i nie wiem czy jestem w
> stanie własnie takim proxy rozwiązać mój problem. Być może IPSec też mi w
> czymś pomoże ?
> Zależy mi na całkowitym uniemożliwieniu dostępu do LAN'u, a więc korzystania
> z Internetu, z zasobów w domenie (bo jest to sieć oparta o domenę Win 2000
> Server) i generalnie wszystkiego. Oczywiście tylko dla tych kompów które
> wypinają hosta i wpinają jego kabelek do swojego prywatnego sprzętu.
> Struktura sieci jest prosta - wspomniany switch i serwer (jako kontroler AD,
> serwer plików, DHCP), brama do netu to niezbyt skomplikowany router Asmaxa.
>
> Z góry wielkie dzięki
> Pozdrawiam

Wersja drastyczna :
Przeprowadzić rozmowę z "wywrotowcami", zagrozić sankcjami w przypadku
wykrycia, w razie braku współpracy zastosować sankcje dla przykładu.

Wersja techniczna :
Pobawić się w sprawdzanie TTL, przeanalizować np nmapem ewentualnych
klientów, zastosować inne techniki sprawdzenia kto na danym porcie jest
wpięty.

Ogólnie - pogadanki umoralniające połączone ze skutecznym działaniem dają o
wiele więcej niż szukanie na siłę rozwiązań. Pamiętaj : miękkie serce -
twarda dupa.

-- 
Pozdrawiam
Piotrek