DHCP un peu spécial
Tr@nquille
est-ce qu'il existe un serveur dhcp qui serait capable de faire ï¿œa:
lorsqu'un poste se connecte sur le rï¿œseau, celui-ci ï¿œmet une requï¿œte de
demande d'adresse ip.
Le serveur l'intercepte.
ￜ partir de lￜ, plutￜt que d'envoyer l'ip comme un bourin, il va
contrￜler si une adresse ip a dￜjￜ ￜtￜ attribuￜe ￜ cette mac address,
donc en gros il vï¿œrifie s'il connait l'adresse mac demandante en
parcourant sa base (en gros) et s'il ne connait pas cette mac, il
bloque la demande et avertit une boite aux lettre ou mï¿œcanisme
ï¿œquivalent.
Ensuite, seule une intervention manuelle d'un opï¿œrateur pour valider la
demande peut permettre au processus dhcp de continuer.
C'est possible ï¿œa?
merci pour vos pistes.
--
L'intelligence ne se dï¿œfend pas, elle se constate. (Rï¿œflexion)
tranqui...@gmail.com
Le Forgeron
> Bonjour,
>
> est-ce qu'il existe un serveur dhcp qui serait capable de faire ï¿œa:
>
> lorsqu'un poste se connecte sur le rï¿œseau, celui-ci ï¿œmet une requï¿œte de
> demande d'adresse ip.
> Le serveur l'intercepte.
> ￜ partir de lￜ, plutￜt que d'envoyer l'ip comme un bourin, il va
> contrￜler si une adresse ip a dￜjￜ ￜtￜ attribuￜe ￜ cette mac address,
> donc en gros il vï¿œrifie s'il connait l'adresse mac demandante en
> parcourant sa base (en gros) et s'il ne connait pas cette mac, il bloque
> la demande et avertit une boite aux lettre ou mï¿œcanisme ï¿œquivalent.
> Ensuite, seule une intervention manuelle d'un opï¿œrateur pour valider la
> demande peut permettre au processus dhcp de continuer.
>
> C'est possible ï¿œa?
Bloquer la demande, non (un autre pourrait rï¿œpondre, c'est la joie des
broadcasts (et oui, y a des rï¿œseaux qui peuvent avoir plusieurs DHCP...
parfois par maladresse, d'autres fois par bￜtise, et parfois ￜ raison,
si si!).
Attribuer uniquement sur la base d'une adresse MAC connue, suffit de
mettre une plage libre de taille nulle, et de se taper le remplissage
des associations adresses MAC-IP, faisable sur la plupart des serveurs
DHCP. (c'est typiquement ce que propose les interfaces de FAI et les
modem-routeur-ADSL avec serveur dhcp incorporￜ)
Envoyer un mail... j'ai comme un doute. Mais un sniffer DHCP-request
n'est pas difficile a ï¿œcrire.
La solution un peu plus "fasciste" consiste non pas ￜ jouer sur le
serveur DHCP (je dï¿œbranche une machine qui marche en rï¿œcupï¿œrant son IP &
masque, sa gateway et ses DNS, met la mienne ￜ la place et paf le
rￜseau), mais ￜ activer le verrouillage MAC sur le switch (option
classique sur les switch/hub "manageable"): Le switch verrouillera le
port si l'adresse MAC change. (et dans une version "brasil", bien
entendu, seul les ports utilisï¿œs sont ouverts).
Maintenant, si votre cï¿œblage est encore en coaxial, ï¿œa va ï¿œtre dï¿œlicat.
>
> merci pour vos pistes.
>
Tr@nquille
> Le 16/12/2009 15:10, Tr@nquille nous fit lire :
>> Bonjour,
>>
>> est-ce qu'il existe un serveur dhcp qui serait capable de faire ï¿œa:
>>
>> lorsqu'un poste se connecte sur le rï¿œseau, celui-ci ï¿œmet une requï¿œte
>> de demande d'adresse ip.
>> Le serveur l'intercepte.
>> ￜ partir de lￜ, plutￜt que d'envoyer l'ip comme un bourin, il va
>> contrￜler si une adresse ip a dￜjￜ ￜtￜ attribuￜe ￜ cette mac
>> address, donc en gros il vï¿œrifie s'il connait l'adresse mac
>> demandante en parcourant sa base (en gros) et s'il ne connait pas
>> cette mac, il bloque la demande et avertit une boite aux lettre ou
>> mï¿œcanisme ï¿œquivalent. Ensuite, seule une intervention manuelle d'un
>> opï¿œrateur pour valider la demande peut permettre au processus dhcp
>> de continuer.
>>
>> C'est possible ï¿œa?
> Bloquer la demande, non (un autre pourrait rï¿œpondre, c'est la joie
> des broadcasts (et oui, y a des rï¿œseaux qui peuvent avoir plusieurs
> DHCP... parfois par maladresse, d'autres fois par bï¿œtise, et parfois
> ￜ raison, si si!).
ok, moi je n'ai qu'un seul serveur dhcp sur le rï¿œseau.
> Attribuer uniquement sur la base d'une adresse MAC connue, suffit de
> mettre une plage libre de taille nulle, et de se taper le remplissage
> des associations adresses MAC-IP, faisable sur la plupart des
> serveurs DHCP. (c'est typiquement ce que propose les interfaces de
> FAI et les modem-routeur-ADSL avec serveur dhcp incorporￜ)
oui mais non, avec plus de 200 postes, je voulais ï¿œviter ce genre de
solutions...
> Envoyer un mail... j'ai comme un doute. Mais un sniffer DHCP-request
> n'est pas difficile a ï¿œcrire.
j'imaginais un truc dￜjￜ tout fait.
> La solution un peu plus "fasciste" consiste non pas ￜ jouer sur le
> serveur DHCP (je dï¿œbranche une machine qui marche en rï¿œcupï¿œrant son
> IP & masque, sa gateway et ses DNS, met la mienne ￜ la place et paf
> le rï¿œseau),
ok mais ￜa suppose qu'on a accￜs physiquement ￜ une machine au moins.
> mais ￜ activer le verrouillage MAC sur le switch (option
> classique sur les switch/hub "manageable"): Le switch verrouillera le
> port si l'adresse MAC change. (et dans une version "brasil", bien
> entendu, seul les ports utilisï¿œs sont ouverts).
et lￜ on pert la souplesse de l'itinￜrant (les gens connus doivent
pouvoir changer de bureau facilement, les inconnus ne devraient pas
pouvoir obtenir une ip sans passer par un contrï¿œle prï¿œalable de l'ï¿œtat
de leur poste)
> Maintenant, si votre cï¿œblage est encore en coaxial, ï¿œa va ï¿œtre
> dï¿œlicat.
de ce cￜtￜ ￜa irait :-)
bref, je cherche une solution pour ￜviter que des personnes externes ￜ
notre entreprise se connectent ￜ notre rￜseau sans d'abord qu'elles
passent par notre service afin qu'on vï¿œrifie l'ï¿œtat gï¿œnï¿œral de leur
poste au niveau sￜcuritￜ.
Compter uniquement sur la bonne volontￜ des personnes internes qui les
invitent, ï¿œa ne marche pas...
peut-ï¿œtre qu'il y a d'autres techniques que je n'imagine mï¿œme pas :-)
merci de ta rï¿œponse en tout cas.
--
Prochain palier: Sortir du lot (proprement).
tranqui...@gmail.com
Arnal
avant "d'ouvrir" le port du switch, l'authentification passe par un
serveur Radius, Tacacs, cas, et peu faire appel ￜ un annuaire LDAP pour
authentifier l'utilisateur.
Le 16/12/2009 19:11, Tr@nquille a ï¿œcrit :
Tr@nquille
> 802.1X Protocole qui permet d'authentifier l'utilisateur ou le
> matï¿œriel avant "d'ouvrir" le port du switch, l'authentification passe
> par un serveur Radius, Tacacs, cas, et peu faire appel ￜ un annuaire
> LDAP pour authentifier l'utilisateur.
j'avais entendu parler de cette solution, mais elle me semble lourde,
c'est pourquoi je cherchais ￜ savoir s'il n'y avait pas un truc plus
simple.
apparemment non, donc je vais devoir approfondir cette partie.
si j'ai bien compris, il me faut:
- un serveur ldap (active directory sous windows server 2003 pour le
moment)
- un serveur radius: ias de microsoft sur w2k3
- des ï¿œquipements rï¿œseau supportant les protocoles mis en jeu (je vais
vï¿œrifier ce point)
bon, ben je crois que j'ai tout ce qu'il me faut, j'ai dￜjￜ trouvￜ
quelques docs intￜressantes ￜ ce sujet, reste plus qu'ￜ monter une
plateforme pour tester...
merci.
> Le 16/12/2009 19:11, Tr@nquille a ï¿œcrit :
...
>>
>> bref, je cherche une solution pour ï¿œviter que des personnes
>> externes ￜ
>> notre entreprise se connectent ￜ notre rￜseau sans d'abord qu'elles
>> passent par notre service afin qu'on vï¿œrifie l'ï¿œtat gï¿œnï¿œral de leur
>> poste au niveau sￜcuritￜ.
>> Compter uniquement sur la bonne volontￜ des personnes internes qui
>> les
>> invitent, ï¿œa ne marche pas...
>>
>> peut-ï¿œtre qu'il y a d'autres techniques que je n'imagine mï¿œme pas
>> :-)
>>
>> merci de ta rï¿œponse en tout cas.
--
Commenï¿œons par faire ce que l'on dit plutï¿œt que de dire ce que l'on va
faire. (Etat d'esprit)
tranqui...@gmail.com