Newsgroup: it.comp.os.linux.sys
Titolo: iptables --mac-source

Se utilizzo una regola iptables nel cui interno c'è --mac-source
xx:xx:xx:xx:xx:xx:xx:xx funzionerà anche se il pacchetto proviene da un
modem analogico ? e adsl ?
 Ciriciao
   Gio'
--
         ((__))
          (00)          
http://web.tiscali.it/bigio
-nn--(o__o)--nn-

modem analogico ? e adsl ?
No. Il mac che ti vedi arrivare da un modem e' quello del primo pc che
c'e' dall'altra parte, il router probabilmente. Il mac di un pacchetto
cambia di hop in hop.
ciao
-- 
Seti@Home Java Applets
http://maruko.cjb.net/

 cambia di hop in hop.
Cazzata.
Il mac address esiste solo su ethernet e token ring.
Se sei su altre reti non esiste.
Non credo che usando un modem ti connetti in token ring o ethernet.
E notoriamente l'adsl usa ATM...
Quindi dal modem non arriva nessun mac.
A parte queste cose, la conclusione è giusta: non funzia.
Max


ATM usera qualcosa per indirizzare a livello datalink chi è collegato
alla rete, o sbaglio? (non conosco ATM ma non credo che sia tanto
diverso in questo senso anche se ad una rapida occhiata sembra
abbastanza complesso).
riguardo al modem di solito usi ppp per comunicare con l'aggeggio
dall'altre parte, anche qui non c'e' un mac. c'e' si' un campo address
nella sua struttura ma ha sempre lo stesso valore... d'altra parte e'
point to point.
si', non si tratta di mac in senso stretto ma poco ci manca, dopotutto
mica si puo' stare qui a disquisire su tutti i protocolli che possono
esserci sotto l'ip... soprattutto rispondendo a quel tipo di domanda.



speravo solo che si potesse abilitare l'accesso in base al campo address del
modem, non avendo un ip fisso poteva essere un modo per restringere
l'accesso ad una determinata macchina....


l'accesso ad una determinata macchina....
lascia perder quel campo. il ppp e' il protocollo tra il tuo modem e
quello dall'altra parte. non c'entra nulla con la macchina alla quale ti
vai a collegare. l'unica cosa sulla quale puoi filtrare e' il tuo
indirizzo ip.
comunque, non so se sia la soluzione migliore ma potresti loggarti con
ssh e poi aprire al tuo ip corrente gli altri servizi di cui necessiti.
quindi ssh e' aperto ad ogni ip. poi devi ovviamente richiudere tutto
quando hai finito. magari riesci ad automatizzare la cosa eseguendo uno
script al login e uno al logout... ovviamente solo per un particolare
utente... sto ipotizzando ma credo che si possa mettere uno script che
viene eseguito automaticamente al logout... occorre verificare se viene
eseguito anche se ti cade improvvisamente la connessione.
il tutto ponderando le problematiche di sicurezza. in questo senso
qualcun'altro potra' aiutarti sicuramente meglio di me.



nada, vorrei nattare una porta solo per un determinato host ma l'indirizzo è
dinamico, forse mi "butterò" verso una vpn....
 Ciriciao & grazie


    Gio'
Non so se la cosa ti può essere di qualche aiuto, visto che penso tu ti
debba interfacciare con un fw già esistente, ma su openbsd puoi farlo con
authpf.
In pratica associ un utente con accesso ssh (anche non di shell, tipo una
faked...) ad un file di conf. di pf. Quando l'utente accede via ssh
(quindi password o certificati, sta a te...) vengono inserite nelle rules
del firewall le regole definite dal file di configurazione associato. Alla
chiusura della sessione ssh vengono automaticamente rimosse.
Il file di configurazione può inoltre utilizzare delle macro tali da poter
definire regole che si matchano solamente a determinati parametri della
sessione utilizzata dall'utente (tipo, appunto, l'ip address sorgente).
Info le trovi qui:
http://www.openbsd.org/cgi-bin/man.cgi?query=authpf&sektion=8
I miei 2 cents..
-- 
Emanuele Balla   aka Skull
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)


no, il firewall ancora non esiste ma sarà basato su iptables, i client
"problematici" hanno una connessione analogica con ip dinamico.
Quello che vorrei è poter fare nat solo da certi hosts (con modem e ip
dinamico).
 Ciriciao


 dinamico).
non è per rompere le balle [:-)] ma potresti pensare di realizzarlo sotto
obsd (si, detto qui è un po' in controtendenza).
Se devi fare solo da firewall, vedrai che ti troverai ottimamente: la
sintassi di pf è decisamente più performante di quella di iptables
(imho...) e l'ambiente è comunque unix in tutto e per tutto...
Byez.



anch'io sottoscriverei, i commerciali un po' meno :-((
