bloquer certaine adresse MAC

[Osoktpt]

Bonjour,

Chez un de nos clients, nous voudrions mettre en place une politique permettant d'interdire l'accès au réseau local pour les ordinateurs non enregistré. Je pensait mettre en place une solution a base d'iptables ( -m mac --mac-source ! xx:xx:xx:xx:xx:xx -j DROP ), mais je pense que ce sera trop lourd a géré.
Merci de vos infos.

Configuration: SME 7.3 en mode serveur et en controleur de domaine

[jdh]

Bonjour,

(Voilà un fil avec un problème bien posé, écrit en français. Bien, continues ... et corriges encore les quelques fautes d'orthographes ...)

La solution à laquelle tu penses me semble logique et efficace.

Mais pour quelle soit opérationnelle, il faudrait en faciliter la mise en oeuvre. Cela peut se faire avec un fichier d'adresses MAC et un (ou deux) scripts (bash) de génération de lignes iptables

Par exemple

Code: Tout sélectionner

cat fich-adrmac | while read adrmac
do
  echo "iptables -m mac -m $adrmac -j ACCEPT"
done


A ceci près, qu'il faut d'abord refuser tout puis autoriser seulement ce qui doit l'être. (d'où ACCEPT et non DROP).

La logique voudrait que ce soit réalisé avant toute autorisation. J'ignore quelles règles sont en place dans un SME en serveur only, ....

[Osoktpt]

Merci pour ta réponse.

Je vais faire un test sur une machine en interne avant de la déployer.

D'abords un flush de ma table INPUT, puis le Drop par défaut.
Ensuite je testerais le script.

Juste une dernière petite question, dans ton code, pourquoi mets tu un echo devant ton iptables?

(Désolé si la question te parait idiote, je connais pas beaucoup iptables).

[Osoktpt]

Je viens de regarder la config iptables par défaut sur le serveur en mode "Server only".

La chaine INPUT contient par défaut:

Code: Tout sélectionner

state_chk  all  --  anywhere             anywhere           
local_chk  all  --  anywhere             anywhere           
PPPconn    all  --  anywhere             anywhere           
denylog    all  --  BASE-ADDRESS.MCAST.NET/4  anywhere           
denylog    all  --  anywhere             BASE-ADDRESS.MCAST.NET/4
InboundICMP  icmp --  anywhere             anywhere           
denylog    icmp --  anywhere             anywhere           
InboundTCP  tcp  --  anywhere             anywhere            tcp flags:SYN,RST,ACK/SYN
denylog    tcp  --  anywhere             anywhere            tcp flags:SYN,RST,ACK/SYN
InboundUDP  udp  --  anywhere             anywhere           
denylog    udp  --  anywhere             anywhere           
gre-in     gre  --  anywhere             anywhere           
denylog    gre  --  anywhere             anywhere           
denylog    all  --  anywhere             anywhere       

Dans mon script, si je flush ma table INPUT, je dois bien remettre ces règles, mais faut-il que je l'ai remette avant ou après mon

Code: Tout sélectionner

iptables -m mac -m $adrmac -j ACCEPT

Merci de vos précisions.

[jibe]

Salut,

Attention : dans SME, le firewall est auto-configuré par un mécanisme assez complexe de templates permettant de s'auto-adapter à chaque modification de configuration. Intervenir sur ce firewall demande préalablement non seulement une bonne connaissance d'Iptables, mais aussi du fonctionnement interne de SME.

Tu trouveras quelques éléments dans ce document, pas du tout à jour pour SME, mais qui permet de mettre en place sur FreeEOS des règles complémentaires interdisant certains accès à certains postes. Ca devrait te permettre de dégrossir le problème.

[Osoktpt]

Merci de ta mis en garde.

Je vais plancher sur le lien que tu m'a passé et essayer de mettre en place mon filtrage.