On Mon, 23 Oct 2000, Pavel Merdin wrote:
>
> Хочу вынести на обсуждение довольно хитрую проблему.
> Есть сеть Ethernet для юзеров, построенная так:
> Центральный узел - оптика - хаб в доме - юзеры в доме
> На центральном узле свич, после него FreeBSD с системой управления,
> в которой просто привязывается arp (IP к MAC-адресу).
> Такая security работала до определенных пор, пока некоторые не стали
> подделывать MAC.
> Вопрос естессно: что делать? да еще и подешевле :) (мы тут в регионах
> рублями рассчитываемся :)
> Если бы существовали хабы с привязкой MAC-порт - то понятно, но я про
> такие не знаю,
У Cisco (точнее это детище Cisco & HP) такая коробочка есть: 10BaseT 16-M.
Написано что там есть возможность привязки MAC к порту. Но при цене
~800USD выгоднее мелкий коммутатор взять.
> бывают такие в природе вообще?
> Еще как вариант - можно было бы сделать всем не реальные IP, а интранет
> и по VPN всех - нескольких
> зайцев убиваем: и секьюрити по имени и трафик перехватить нельзя. Но это
> тоже своя заморочка -
> юзеров приличное количество, всем надо будет все идти и устанавливать. И
> для серверов это не совсем хорошо.
Можно по PPTP всех пустить. PPTP - вещь конечно кривая, но в этом случае
подойдет.
> Щас вот временный вариант пока нашли - по https можно отключить себе
> доступ в интернет. Но это изврат,
> конечно...
Знакомые делали так: юзер идет по https на некий хост
делает login, на filtering gateway, на адрес откуда он пришел,
делается permit правило, пользователь работает, потом делает
на том же сайте logout и правило уничтожается (либо через
определенное время правило отбрасывается по inactivity
пользователя)
__________________________________________
Sincerely Yours, mailto:aidan@miee.ru
Michael V. Smirnoff tel. +7-095-532-0581
CCNA-R/S,CCDA
MIEEnet Network Operations Center
=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on
