Filterere på MAC-adresser med iptables

[AudunSæther]

Hepp.

 

Lite scenario: jeg vil sette opp en boks som bruker iptables til å filtrere ut hvilke maskiner som skal få nettilgang og ikke. Dette skal kun gjelde for trådløse accespunkt. Det jeg har tenkt er å sette gateway på accespunktene til denne boksen, som igjen bestemmer om trafikken skal sendes videre til den egentlige gatewayen.

 

Men jeg er litt usikker på hvordan jeg går frem, jeg filtrerer på FORWARD-kjeden, sant? Hvordan blir det med routing her? Jeg er enda litt svak på dette, så all hjelp mottas med stor takk

[xeon]

Sett default policy på FORWARD til drop og accept de mac-adressene du vil ha.. (iptables -A FORWARD-m mac --mac-source <mac> -j ACCEPT eller noe i den duren)

 

Må også sette på standard masquerading eller snat..

[AudunSæther]

Sett default policy på FORWARD til drop og accept de mac-adressene du vil ha.. (iptables -A FORWARD-m mac --mac-source <mac> -j ACCEPT eller noe i den duren)

 

Må også sette på standard masquerading eller snat..

7284863[/snapback]

Kan du forklare litt mer spesifikt? Jeg har to nettverkskort, XX.XX.XX.13 og 14, men jeg har så langt ikke engang fått til å sende trafikken videre. ip_forward er satt til 1, men det har vel med noe FORWARD-regel å gjøre, evt. routing?

 

Takk

 

EDIT: selve delen med å sette DROP på FORWARD og tillate MAC-adresser får jeg til, men ikke selve routinga.

 

EDIT2: SNAT og masquerade er vel når en skal forandre avsenderadressen etc? Jeg vil ikke gjøre noe sånt, bare videresende / blokkere.

Endret 15. november 2006 av Izte

[xeon]

Så du har samme subnet på begge nettverkskortene?

 

edit: sorry, tok tydeligvis litt tid før jeg fikk svart her.. skal prøve å følge bedre med

 

http://lartc.org/howto/

 

Nå har jeg ikke vært noe særlig borte i bridging, men det du kan gjøre er å koble APet til ene nicet på maskinen og andre nicet til nettverket ditt og kjøre eget subnet for det som er på APet, sannsynligvis det enkleste med mindre du trenger å ha det på samme subnet.. Kanskje litt kjipt å ikke ha det på samme subnet, men uansett... Det du trenger å se på er hvordan man skal få til bridging. Skulle kanskje tro det holdt å sette /proc/sys/net/ipv4/ip_forward til 1. Uansett så står det sikkert noe i den Linux advanced routing howtoen

 

En annen ting er at det sannsynligvis er enklest å få det til å fungere uten mac-filtrering først (ha default policy til accept på forward chainen)

Endret 16. november 2006 av xeon

[vargaz]

Nei, uff trodde det sto MAC-adresser med ip rabies, er litt trøtt enda..

*

Endret 16. november 2006 av vargaz