სახლის ქსელთან დაკავშირებით მაქვს შეკითხვა.

მოკლედ სახლში მიყენია Netgear-ს router ზედ LEDE 17.1.1 სისტემით. ვინც არ იცით იგივე OpenWRT-ა მაგის გაგრძელება რა ასე ვთქვათ. მეორე როუტერი Tp link 840n Lan-თ ზის Netgear-ზე DHCP გათიშულია რათქმაუნდა.
არის ასეთი პრობლემა იმ Tp link-ს wifi-ს პაროლი იცის ყველამ და მინიმუმ 10-15 მოწყობილობა ზის ხოლმე მარტო იქიდან. ამათ კიდე პაროლს რო ვუცვლი მაინც ყველას ეუნებიან.
დღეს ასეთი რამე გავაკეთე. დავუარე ვინც უნდა გამოიყენოს მხოლოდ ჩემი ნეტი იმათ და ჩავიწერე მაკები და ჯერ სტატიკური ip-ები გავუწერე mac-ებით (ეს ჩემთვის რო ვიცოდე მაინც ვინ რამდენს მოიხმარს bandwith-ს მერე მაგის დასაყოფად) და firewall-ში გავწერე rule-ბი ცალ-ცალკე რომ ამ მაკებს ქონდეთ წვდომა wan-ში lan-დან ამ rule-ბის მერე დავამატე ეს rule

config rule
option name 'Access-Restrictions'
option src 'lan'
option dest 'wan'
option proto 'all'
option target 'REJECT'

რომელმაც წესით ნებისმიერი device უნდა დაბლოკოს lan-დან wan-ში წვდომისგან ხომ ასეა? ხოდა ეხლა ვნახე რაღაცა უცხო device-ს ქონდა ip აღებული და ხდებოდა პაკეტების მიმოცვლა და რანაერად ხდებოდა ეს? 3 საიტზე გააკეთა DNS query და დაუბრუნდა პასუხები და წესით იმ firewall_ს rule-ს გამო ხომ ვერ უნდა გაეკეთებინა ეს თუ ვცდები რამეში?

იქნებ ქსელის სპეციალისტები დამეხმაროთ დავიბენი როგორ ხდება რომ მაინც შეძლო დაკავშირება?

matemana
შენც სამეზობლო გაზის?
და მაკფილტრი ლედეს ხო აქვს?


This post has been edited by t-90 on 27 Sep 2017, 02:06

MAC ფილტრი კი გააკეთებს საქმეს, მაგრამ ცოტა თუ ესმის მეზობელს, სკანირებისას დაინახავს whitelist MAC-ებს და შეუძლია მათი გამოყენება.

ანალოგიურად თუ ჰაცკერი მეზობლები არ გყავს SSID-ს დაჰაიდებაც შეიძლება.
შეზღუდვებს რაც შეეხება იქნებ გეცადა ssh-ით დაკონექტება და iptable-ში რულის დამატება.

t-90

ხო და რო ნახო რა ამბავში არიან იმინა გამაგიჟეს.

ამ ლედეში კიდე ვერ მივაგენი მარტივ ფილტრს და firewall-დან გავუწერე access permit-ები დაშვებულ დივაისებს და მაგათ დაბლა ჩავამატე ეგ რომ ყველა დანარჩენი დივაისი დაიკიდოს. ეხლა 2 მოწყობილობა გაიჩითა კიდე ჰუავეი და LG საიდან მოდის ამდენი უკვე ვერ ვხვდები. მანდ მოსწავლეებს ამზადებენ და მგონი რომ მაგათაც ეუნებიან wifi-ს თორე ამდენი დივაისი მაგის გარშემო უბრალოდ ვერ იქნებოდა.
ეხლა როგორც მაქ იმიტომ გავაკეთე ასე რომ მარტო მაკ ფილტერინგი ვერ იმუშავებს ზოგი მოწყობილობა mac-ს გამუდმებით იცვლის. ჩემი მეორე nexus 4-ც მასეა. დავსერჩე და ზოგჯერ როცა driver ვერ კითხულობსო მოწყობილობიდან ნამდვილ mac-სო თვითონ აგენერირებს ბოლო 3 წყვილსო. რამდენიმე ტელე ვინც უკავშირდება მასე შვება იცვლიან მაკს.

Distortion

ხო ვიცი mac filtering არც არის security feature და იმიტომაც ვაკეთებ mac-თ whitelist-ს რომ ვაფშე გაგებაში არ არიან.

Tzeentch
დაჰაიდების შემთხვევაში უკვე ვისაც ჩაწერილი აქვს პაროლები იმათი მოწყობილობები მაინც ხო დაიწყებენ დაქონექთებას?

firewall-ს კონფიგში ჩავწერე rule-ბი და თვითონ დაამატა iptable-ში...

აი ამ სახით ყველა
-A zone_lan_forward -m mac --mac-source მაკ -m comment --comment "!fw3: Access-permits" -j zone_wan_dest_ACCEPT
და ბოლოს აკრძალვა
-A zone_lan_forward -m comment --comment "!fw3: Access-Restrictions" -j zone_wan_dest_REJECT

რაღაცა არეულია ამ reject-ს მერე იგივე rule-ა და accept-ს უკეთებს. ერთი გადავხედავ დღეს მაგ iptable-ს და ვეცდები მოვაგვარო მაგით პრობლემა.

This post has been edited by matemana on 27 Sep 2017, 09:43

matemana

There is a code in kernel to actually use a random generated MAC addresses. It appears that instead of buying a range for MAC addresses and assigning each phone with one, Samsung/Google used a MAC generator for the use on the phone.
მეეჭვება ეგეთი მოწყობილობა ბევრი გქონდეს,მითუმეტეს თუ ერთი შენია ასე რომ დაიკიდე. ადრე მეც შემხვდა ერთი მეზობლის ტელეფონზე ეგ პრობლემა. პორტ სექიურითი მაქვს და ტენიდა max allowed list-ს სხვადასხვა მაკებით და აღარ ატარებდა მერე სვიჩი :დ

კი ძველები დაუქონექტდებიან, მაგრამ ახლები არ დაიწყებენ ხელით ქსელის დამატებას. პაროლი შეცვალე და რომ დაერთდება ყველა (თორე შენ მოგიწევს ხელით ყველას დამატება), ცოტა ხანში დააჰაიდე.

მაკს დაკლონავენ. ყველაზე კარგი ვარიანტია რადიუსი დააყენო openwrtზე და 802.1x გამოიყენო. ანუ ყველას თავისი უსერი და პაროლი ექნება. მერე კი დააყენებ, რომ ერთი უსერით მარტო ერთი მოწყობილობა შემოდიოდეს ერთდროულად.
სახლისთვის ოვერჰედი კია, მაგრამ ასწორებს რაღაც პონტში :დ

EMOziko
მაგას თუ იზამს, პირველი იქნება დამოუკიდებელი საქართველოს ისტორიაში მეზობლებს ვინც რადიუსი აუწია
Ssid-ს დამალვა მანდ პატალოკია, 95%-ს მოუგვარებს ასეთ პრობლემას. სხვა, ჩემი აზრით, ზედმეტი გართულებაა. ჩემთან უპაროლო და დეფოლტ პარამეტრებიან როუტერს არ ახლო ხელი არავინ, მაინტერესებდა თუ რამეს იზამდნენ. სიჩქარის ლიმიტიც კი ისევე ედო

EMOziko

ვერ დაკლონავენ აქ. არ იციან მაგდენი უცხომ კიდე პაროლი მაინც არ იცის და ვერც გატეხავს. რადიუსი რად მინდა კაცო სახლში მერე უზერები ვაწერინო თითოეულს?

ავამუშავე. კი უკავშირდები უცხო Mac-თ მაგრამ ნეტი არ მოგეწოდება.