Newsgroup: it.comp.reti.locali
Titolo: Filtro MAC per accesso a sito interno

Sarebbe possibile consentire l'accesso ad un sito interno (porta HTTPS) 
solo a determinati MAC address, creando opportune policy sul firewall 
aziendale?
La mia necessità è quella di far raggiungere tale servizio solo ai 
terminali (android) che sono stati distribuiti agli agenti.
Attualmente il servizio non è esposto su internet e i terminali si 
connettono tramite VPN, ma questo mi sta dando una serie di problemi.
Esporre il servizio su internet è rischioso, ma se a livello di 
firewall perimetrale consentissi il traffico in ingresso solo a 
determinati MAC address, potrei stare più tranquillo.
Il firewall è uno Zyxel USG 20.
 
Grazie per qualsiasi suggerimento

 firewall aziendale?
 
perchè non lo fai direttamente sullo switch ?
 

 Grazie per qualsiasi suggerimento
 
non so risponderti nello specifico, ma verifica che gli smartphone non 
abbiano abilitato quella funzione che cambia il mac (su Xiaomi si 
chiama "usa MAC randomizzato"), perche' diventerebbe ingestibile

 wrote:
 

ok, ho riletto meglio; ma non vedo che tipo di problema ti possa dare
una VPN, supponi di avere una roba di questo tipo
 
 
wan (internet)
|
wan firewall
|
VPN endpoint
|
host destinazione
 
ora, se su host destinazione (o su VPN endpoint) imposti delle regole
di filtraggio, solo determinate porte dell'host destinazione saranno
raggiungibili, ovvio che non potrai filtrare per MAC, dato che da WAN
non avrai tale info
 
 

Sembra che ObiWan abbia detto :

Infatti il filtro volevo farlo proprio a livello wan firewall.
Giustamente mi si fa notare che è possibile che i terminali stessi non 
mantengano un MAC costante, e quindi la cosa, anche se fosse fattibile, 
diventerebbe problematica (se tale funzione non fosse disabilitabile).
Il problema nasce dal fatto che la VPN (L2TP-IpSec) a cui si connettono 
questi terminali, che ha funzionato egregiamente fino alla scorsa 
settimana, a seguito di un cambio di gestore è diventata estremamente 
instabile. Nell'attesa di capirne il motivo, volevo ovviare pubblicando 
il servizio direttamente, ma evitando che possa accedervi tutto il 
mondo. Ovviamente se la cosa diventa più un problema che una soluzione, 
lascio perdere e mi concentro sulla VPN

 terminali (android) che sono stati distribuiti agli agenti.
 
assegni l'IP fisso a quei terminali e li metti in una regola "allow"
 
-- 
this is a random signature


 
angelo

 sulle vpn
....e leggendo bene il contratto con il gestore (leggo solo ora ciò che 
ti han già detto)...

 Attualmente il servizio non è esposto su internet e i terminali si 


evanmac scriveva il 26/05/2023 :

I terminali si collegano da fuori, non sono in rete locale

Il 26/05/2023, angelo ha detto :

Grazie
Ho più volte provato a mettere in piedi una VPN con OpenVPN, ma mi 
mancava sempre il tempo per fare tutte le prove del caso. Sarà la volta 
buona che cerco di capirla una volta per tutte

Nel suo scritto precedente, Meddix ha sostenuto :

Il gestore, sulla carta, non pone limitazioni. Le connessioni con 
l'attuale VPN (L2TP-IpSec creata sullo stesso Zyxel) a volte funzionano 
tutto il giorno, altre volte cadono ogni pochi minuti. L'unica cosa che 
è cambiata rispetto a prima, è che il gestore stesso, avendo da poco 
posato nuova fibra, ha comunicato un incremento di banda "gratuito". 
Magari non c'entra nulla...

 I terminali si collegano da fuori, non sono in rete locale
 
assegni l'indirizzo fisso tramite il server vpn e risolvi


 Magari non c'entra nulla...
sembra quasi che il tuo ip sia condiviso con qualcun'altro (non è che 
hai iliad fibra o fastweb ??) che utilizza un qualche servizio simile 
alla tua vpn.... prova ad utilizzare port non standard e vedi come si 
mette...

 Sarebbe possibile consentire l'accesso ad un sito interno (porta HTTPS) solo a determinati MAC address, creando opportune policy sul firewall aziendale?La mia necessità è quella di far raggiungere tale servizio solo ai terminali (android) che sono stati distribuiti agli agenti.Attualmente il servizio non è esposto su internet e i terminali si connettono tramite VPN, ma questo mi sta dando una serie di problemi.Esporre il servizio su internet è rischioso, ma se a livello di firewall perimetrale consentissi il traffico in ingresso solo a determinati MAC address, potrei stare più tranquillo.Il firewall è uno Zyxel USG 20.Grazie per qualsiasi suggerimento
 
Auguri a filtrare i Mac su internet ??????
-- 

 problema che una soluzione, lascio perdere e mi concentro sulla VPN
 
beh, con OpenVPN puoi farlo semplicemente generando un certificato per
ciascun client e poi permettendo la connessione solo ai client che
siano in possesso di uno dei certificati validi, tra l'altro in quel
modo, volendo bloccare un client ti basterà revocare il relativo
certificato
 
 

 certificato
 
Non solo, OpenVPN permette di creare un tunnel con indirizzo IP 
differente per ogni client, consentendo di creare nel firewall regole di 
accesso differenti per ciascuno.
 
angelo
 



Si, ma se il problema è controllare gli accessi, bastano i certificati,
senza andare a smanettare con IP ed altro, se il client ha un
certificato riconosciuto come valido dal server, si connette, in caso
contrario no, semplice e lineare
 

 contrario no, semplice e lineare
 
Certamente, se serve solo "accesso SI | NO".
Se serve anche "accesso DOVE" allora viene d'aiuto quanto sopra, meno 
semplice ma altrettanto lineare...
 
angelo
 

Meddix ha usato la sua tastiera per scrivere :

Il gestore è Telecom
Più che porte non standard a questo punto mi conviene provare a 
"bypassare" il firewall configurando direttamente OpenVPN sul server 
(ho fatto prove nel weekend...)

Nel suo scritto precedente, angelo ha sostenuto :

Non ho particolari necessità di filtro su quei terminali. Sono macchine 
dedicate che devono accedere ad un DB e che non restano in possesso 
degli utilizzatori al di fuori degli orari lavorativi

 assegni l'indirizzo fisso tramite il server vpn e risolvi
 
Questo accade già, ma si ritorna al problema iniziale... se la VPN si 
impasta, non c'è assegnazione degli IP che tenga.
Magari è un problema sullo Zyxel. So che ha limitazioni sul numero di 
connessioni IpSec contemporanee. I miei terminali sono meno di tale 
limite, ma potrebbero esserci problemi su qualche buffer interno che si 
riempie, o roba simile...
Provo a bypassarlo con OpenVPN configurato direttamente sul server.

 fatto prove nel weekend...)
credo che ti rimarrà il problema, a parte questo, per il gruppo sarebbe 
utile capire cosa genera la disfunzione che lamenti, se riuscirai a 
capirla ti prego di tenerci informati grazie

 Provo a bypassarlo con OpenVPN configurato direttamente sul server.
 
stavo giusto per consigliartelo


 il servizio direttamente, ma evitando che possa accedervi tutto il 
 
metti in piedi un captive portal sul firewall...
per accedere a quel "sito" ti serve prima autenticarti sul firewall,
una volta autenticato fai quello che vuoi.
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 filtrare dei MAC su internet... i MAC non passano il routing.
 
beh, parliamo di traffico che viene indirizzato su una VPN, e nel caso
iniziale, una VPN IPSec (ora si parla di OpenVPN), ad ogni modo credo
non sia ideale filtrare per MAC, anzi non credo sia necessario, a patto
di usare un'autenticazione basata su certificati installati sul client,
in tal caso MAC o non MAC, se il client non ha un certificato valido e
non revocato, ciccia :) !
 


il problema dell'OP era trovare un'alternativa temporanea alla vpn che
per qualche motivo era instabile.
Nel momento in cui la vpn torna stabile tutte ste pippe non servono a
niente.


 niente.
 
Mirko, ci sta tutto, il discorso era... inutile cercare dei filtraggi
assurdi quando si può gestire la cosa in altro modo, poi che c'entra,
ci sono casistiche particolari, ma questa non mi sembra sia una di
quelle
 

 improbabili allora?
 
Vorrei ricordarvi che una VPN IpSec c'è già, e ha funzionato 
tranquillamente per diversi anni. Adesso, per cause che devo ancora 
accertare, è diventata instabile e cercavo, come dice Mirko, una 
soluzione per tamponare.
Visto che l'esporre il server sul web con relativo filtro in ingresso 
in modo che sia raggiungibile solo dai device consegnati agli agenti 
sembra impossiblie, sto implementando OpenVPN per vedere se è più 
stabile