Newsgroup: it.comp.os.linux.sys
Titolo: autenticare utenti in lan

ciao a tutti, 
dovrei trovare il modo per autenticare
l'accesso ad una lan; nel senso 
che se un utente cerca di attaccare
il suo laptop (99.9% win) alla presa rj45 questo
non puo' fare nulla e magari il tutto viene 
segnalato a chi di dovere con un messaggio tipo:
e' stato rilevato un apparato non autorizzato sulla presa rj_xxx.
per ora ho letto un po' in giro e forse quello che fa per me
potrebbe essere :
802.1x+radius
magari si puo' fare anche qualche cosa del genere
sfruttando snmp?
avete qualche idea in merito?
grazie e ciao ancora
f.  

 Davide
Non corretto. Usi arpwatch ...
#----------------
Arpwatch  keeps track for ethernet/ip address pairings. It syslogs
activity and reports certain changes via email.  Arpwatch uses pcap(3)  to
 listen  for  arp packets on a local ethernet interface. 
[CUT] 
REPORT MESSAGES Here's a quick list of the report messages generated by
arpwatch(1)  (and  arp­ snmp(1)): 
new activity 
This  ethernet/ip  address  pair  has  been  used for the
first time six months or more. 
new station 
The ethernet address has not been seen before. 
flip flop 
The ethernet address has changed from the most recently seen
address  to the second most recently seen address.  (If either the old or
new ether­ net address is a DECnet address and it is less than 24 hours,
the  email version of the report is suppressed.) 
changed ethernet address 
The host switched to a new ethernet address. 

 reti/subnet.
sì, ottimo, ma ti serve uno switch molto intelligente che disabiliti le
porte appena vede un mac address non abilitato.

 Ma siamo sicuri si stesse parlando di client Linux?
Se devo mettere "in sicurezza" una lan, mi devo mettere nel worst case...:-)
-- 
Aderisci anche tu al Peppiniello Fan Club!
s/a/u

 e sappia settare il suo laptop...che fare? :)
Ai miei tempi io avevo TUTTI gli ip in uso, sempre e comunque.
Ergo: anche se sai settare il laptop, non vai da nessuna parte.
Ed il firewall era configurato per fare passare solo gli ip che dicevo
io. Ergo: se vuoi collegarti me lo devi dire, altrimenti non fai un
tubo.
Davide
-- 
Q: How many Bill Gateses does it take to change a light bulb?
A: One. He puts the bulb in and lets the world revolve around him.
A: None. He declares Darkness(tm) the new industry standard.

 l'accesso ad una lan;
Switch che supportino 802.1x e passa la paura. :)
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino
Le sigarette a volte danno buoni consigli:
http://snipurl.com/sigarette

 tubo.
Ad occhio e croce, uno che sia determinato ed attrezzato riesce
comunque a fare quel che vuole, in uno scenario simile.


 Non corretto. Usi arpwatch ...
Arp ti dice la combinazione ip/mac address, non ti dice a quale presa
di rete la macchina e' attaccata.
Davide
-- 
I mean, we all self-LART to varying degrees on occasion.  What sets us
apart from the lusers is that we can pull ourselves out of the nosedive.
-- Mike Sphar on alt.sysadmin.recovery

 Ma siamo sicuri si stesse parlando di client Linux?
Su windows, puoi.    :-)
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 comunque a fare quel che vuole, in uno scenario simile.
Ma deve staccare il pc giusto (se lo switch vincola opportunamente gli ip
alla porta) e attaccare il suo con l'ip "rubato"...
Si puo', ma non e' banale.
Ciaotutti,
*
-- 
A: Because it messes up the order in which people normally read text.
Q: Why is top-posting such a bad thing?
A: Top-posting.
Q: What is the most annoying thing on usenet and in e-mail?

 sfruttando snmp?
Campioni con una frequenza adeguata quella parte di mib
in cui sono memorizzati le coppie porta-mac e confronti
i dati ottenuti con la situazione attesa. Semrpe che il
tuo switch non abbia le feature di cui sopra.
Fabio


O lo switch il MAC alla porta e il firewall l'ip al MAC.


 alla porta)
Appunto: se.
Ciao.


 insieme di persone che su Uindous possono ergo sono capaci di farlo.
Se uno arriva con un laptop con l'intenzione di usare la tua rete
a sbafo, e' IMHO improbabile che non sappia fare anche questo.
Del resto, la voce di configurazione e' li' vicino vicino...   :-)


 niente :->
Metti una $big_company con ~500 pc...   ;-)


 Che usa apparati trovati nel Dixan? ;-)
Stavo parlando di uno che prova ad attaccarsi ad uno dei tanti
punti rete, e prova a navigare, ovviamente sottintendendo che non
vi sia un addetto che abbia il solo incarico di controllare 24/24
ore log, email di warn, allarmi, sirene, etc. e vattelapesca, con
tanto di punizioni corporali per aver distolto un decimo di secondo
lo sguardo dal monitor...  :-)


Potrebbe andare come idea , sempre se usi switch Cisco , gli altri non
so se lo posso fare : Vlan o autenticazione su ACL ?
Ovvero si posso fare Acl su ogni porta per mettere in autenticazione
l'accesso allo switch. Poi dipende dal tipo di switch che hai puoi
fare auth da layer 2 a layer 3 !
Questa è un'idea.

Innanzitutto grazie a tutti per la partecipazione, 
ho letto con attenzione ogni consiglio/idea da 
voi postata, questo mi ha anche reso le idee 
un pochino piu' chiare di quello che 
'vorrei/si puo'fare!' :)
adesso non mi resta altro da fare che immergermi 
in una abbondante lettura di docs rfc et similia.
ciao! :) 
f.