|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Alexander Kolesnikoff 2:5020/400 08 Feb 2007 05:04:58
To : Vadim Goncharov
Subject : Re: поделитесь dhcpd.conf
--------------------------------------------------------------------------------
Vadim Goncharov <vadimnuclight@tpu.ru> wrote:
> Hi Alexander Kolesnikoff!
>
> On Mon, 5 Feb 2007 06:33:22 +0000 (UTC); Alexander Kolesnikoff wrote about
> 'Re: поделитесь dhcpd.conf':
>
> K>>>> Хочется если по маку dhcpd не находит соответствия, то выделяет
> K>>>> клиенту адрес из 10.0.1. сети. Это будет работать?
> K>>>> В результате при попытки вылести на любую страницу, его
> K>>>> транспарент прокси перенаправляет на страницу, где ему рассказываю
> K>>>> куда звонить или что делать, чтобы заработало. Это уже работает.
> >>>>Так ведь у тебя клиент себе изначально руками ставит адрес - как ты его
> >>>>перешибешь?
> VD>>> Hапример, свичом. Port-security или как бишь это там в цисках
> >>> называется. VD> Когда свич следит за dhcp-трафиком и пропускает пакеты
> >>> только от тех IP VD> адресов, которые он видел как были честно получены
> >>> по dhcp.
> >>> Всегда было непонятно, каким же это образом безопасности добавляет, если
> >>> на клиенте мак можно поменять.
> AK>> Поищи информацию на cisco.com по ключевым словам "DHCP Snooping", "IP
> AK>> Source Guard", "Dynamic ARP Inspection".
> >> Притаскиваем левую машину и прописываем на ней мак, прибитый к этому
> >> порту. Hу и?
> AK> Тебе что, саму машину надо прибить гвоздями к порту?
>
> См. моё соседнее письмо по этой теме Семеняке.
Прочитал. Честно говоря, постановка задачи для твоего случая мне так и не
ясна. С одной стороны тебе нужна авторизация, но лишних телодвижений делать
не хочется (так не бывает), с другой стороны желательно запретить
пользователю вставлять в машину левый HDD , а это уже физическая
безопасность по большей части (замки, датчики открытия корпуса...можно
наверное и в сторону 802.1x посмотреть, XP генерит уникальный ID системы при
такой авторизации, но сам я не проверял). Hо всё это - задачи, действительно
имеющие малое касательство к DHCP-snooping etc. NAC - Network Admission
Control, может тебе действительно это и нужно?
Alexander
--- ifmail v.2.15dev5.3
* Origin: UKU (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
