Newsgroup: it.comp.os.linux.sys
Titolo: Limitare MAC-Address su Procurve

Ciao a tutti!
La nuova rete prende forma ed e' oramai quasi completa.
Tra le poche cose che mancano c'e' una limitazione degli accessi alla rete
(aka: nessun dispositivo con una presa RJ45 puo' collegarsi, se non e'
prima autorizzato da me).
Ora, visto il casino per configurare Freeradius e, sopratutto, visto che
abbiamo alcuni dispositivi che l'IEEE802.11Q **NON** lo supportano, devo
ricorrere al piano B.
Ossia limitarmi ad autorizzare certi MAC-Address e chiudere la porta il
faccia agli altri.
Ora, con lo Switch (HP Procurve 2810) ho visto come posso limitare i
MAC-Address per UNA porta, ma ovviamente nessuno vieterebbe al
malintenzionato di usare un'altra porta.
In piu' alcuni dispositivi (BaseStation per reti GSM) vengono spostati con
una certa frequenza da una porta all'altra (anche se sempre all'interno
della stessa VLAN).
L'idea quindi sarebbe di dare una lista di MAC per ogni VLAN e far
disattivare la porta dello Switch quando qualcuno si collega ad una VLAN
con un MAC non autorizzato.
Ovviamente, potrei implementare la cosa sul Gateway (per esempio,
guardando i Logs di DHCPD) e, se il MAC non e' autorizzato, disattivare la
porta dello Switch (via SNMP).
Ma e' un po' un casino e devo scrivermi un programma alla bisogna.
E ho parecchio altro da fare...
Mi chiedevo quindi se non e' possibile configurare lo Switch per usare una
lista di MAC (o chiederla ad un Server) autorizzati ad usare una certa
VLAN e, se non e' cosi', disattivare la porta.
Finora non ho trovato niente. Qualcuno sa se e' proprio impossibile o se
e' solo l'effetto della mancanza di ferie?
Grazie
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 e' solo l'effetto della mancanza di ferie?
Puoi usare la Mac Based Authentication che richiede comunque il server
Radius. Oppure per l'autenticazione http anche se mi sembra una porcheria.
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 Radius. Oppure per l'autenticazione http anche se mi sembra una porcheria.
L'autenticazione HTTP non mi risolve il problema... Le stampanti o le BTS
non sono certo in grado di autenticarsi via HTTP... :D
E chiunque puo' staccare il cavo da una stampante e collegarci il suo
Laptop. Quindi DEVO poter autenticare tramite MAC.
Questa autenticazione Mac Based sembra ideale per me. Usi anche tu i
Procurve?
Sai magari dirmi come devo configurare FreeRadius e lo Switch?
Grazie mille!


 Sai magari dirmi come devo configurare FreeRadius e lo Switch?
http://www.google.it/search?q=procurve+freeradius+mac+based+authentication
Ci sono parecchi how-to.


 Ci sono parecchi how-to.
Provo a vedere!
Grazie



sui cisco c'è la possibilità di far fare l'autenticazione del mac 
address con il backend radius, se il device non parla 802.1x. lo puoi 
utilizzare per avere una lista di mac address autorizzati. credo si 
possa fare anche su hp (forse), ma come zipman, anche io uso cisco e sto 
bene così

 Dio me ne scampi e liberi... 
Esagerato, i Procurve funzionano bene, in generale.
Certo, hanno un feature set che è la metà del solo indice 
dei cisco, ma se uno non ha grosse pretese, sono validi prodotti.

Gandalf Corvotempesta ha scritto:


Guarda, detto fuori dai denti...
Io di Switch come questi non ne ho mai usati in vita mia. E' la prima
volta in assoluto.
Mi son fatto consigliare da un amico che li usa per lavoro (sia gli HP che
i Cisco).
Gli ho fatto vedere il piano della rete e gli ho spiegato cosa volevamo
fare.
Mi ha detto che i Cisco, sebbene perfettamente adeguati, sarebbero stati
un'esagerazione nel nostro caso. Con un Procurve, al contrario, avrei
fatto quello che mi serviva senza spendere un patrimonio (che comunque il
capo ha gia' messo sul tavolo quasi mille Euro per lo Switch).
Di piu' non so...
Ciao


 
http://deployingradius.com/documents/configuration/active_directory.html
Ho provato a installare FreeRadius e a configurarlo per il Mac-Auth
secondo questo HowTo:
 
http://wiki.freeradius.org/Mac-Auth#raddb.2Fauthorized_macs
Mi piacerebbe provare a vedere se funziona, quindi lancio:
  echo "Calling-Station-Id = '00-02-95-00-51-EB'" | radclient
10.10.10.2:1812
 acct mysecret
Bene, dopo un po' di attesa radclient mi dice:
radclient: no response from server for ID 112 socket 3
Lanciando FreeRadius con i parametri -Xxxx vedo:
Mon Sep 13 15:01:27 2010 : Debug: Invalid packet code 4 sent to
authentication port from client MAC-Based-Auth port 40556 : IGNORED
Mon Sep 13 15:01:27 2010 : Info: Ready to process requests.
Mon Sep 13 15:01:32 2010 : Debug: Invalid packet code 4 sent to
authentication port from client MAC-Based-Auth port 40556 : IGNORED
Mon Sep 13 15:01:32 2010 : Info: Ready to process requests.
Mon Sep 13 15:01:37 2010 : Debug: Invalid packet code 4 sent to
authentication port from client MAC-Based-Auth port 40556 : IGNORED
Mon Sep 13 15:01:37 2010 : Info: Ready to process requests.
Sinceramente non ci capisco piu' niente...
Che c'e' di sbagliato?
Ovviamente, lo Switch non autentica un bel niente...
Grazie
