请教： 使用IPTABLES作为网关，实现客户端的IP地址跟MAC地址绑定。

laguna_lee

系统RH9，IPTABELS做网关，
有什么方法可以实现客户端IP地址跟MAC地址的绑定，如IP地址192.168.3.1 绑定11:11:11:11:11:11 ，当他把IP地址改成! 192.168.3.1就不能上网。

这有办法可以在RH9中实现吗？

谢谢大侠指教~！

stoneme

这个你在iptables里的nat里对每个地址作SNAT时指上就OK了，
也可在你的机子上arp -s
不过怎么做也挡不住别人改地址（改了地址上不了网，但是别人会地址冲突，也上不了）
最好的办法是用一台支持三层交换的交换机做一个绑定（要很多银子）

laguna_lee

可以讲讲你说得arp -s 吗？
是不是写一个脚本，然后arp-s x.x.x.x x:x:x:x:x:x
然后执行这个脚本，是这样吗？
这样以后，客户端改了IP地址后就不能上网了是吗？

laguna_lee

还有你说得，SNAT具体应该怎么实现。谢谢。

laguna_lee

如何在LINUX下实现IP地址哪MAC地址的绑定实现让客户端改了IP后不能上网。没有人知道吗？

1ball

我知道iptables有个--mac-source选项
不过你的情况好像比较复杂

1ball

也许可以这样过滤
iptables -A FORWORD -s x.x.x.x -m mac --mac-source xx:xx:xx:xx:xx:xx -j ACCEPT
不过你机器多的话过滤条目也会很多
我觉得我这个办法很笨，但又想不出别的办法

SNAT就是你共享宽带让别人出去阿，你没做SNAT客户机怎么出去？路由？
过滤mac地址也可以在POSTROUTING里SNAT时候过滤

laguna_lee

Post by 1ball
也许可以这样过滤
iptables -A FORWORD -s x.x.x.x -m mac --mac-source xx:xx:xx:xx:xx:xx -j ACCEPT
不过你机器多的话过滤条目也会很多
我觉得我这个办法很笨，但又想不出别的办法

SNAT就是你共享宽带让别人出去阿，你没做SNAT客户机怎么出去？路由？
过滤mac地址也可以在POSTROUTING里SNAT时候过滤

是呀，我都找遍了这个论坛里的DHCP相关的贴子，好像没查到，不过现在已解决这个问题。跟兄弟们分享一下，过程如下

vi /etc/ethers  //新建一个ethers 文件，我感觉这是arp -s 默认在LINUX下找的文件，如果你执行arp -f 系统会提示你没有那个文件。

然后在ethers里添加记录，一个IP 一个MAC地址如
192.168.1.1  11:11:11:11:11:11
......

:wq

vi /etc/rc.d/rc.loacl
在最后添加
arp -f
:wq

使用arp 命令查看，可以看到标志为CM的添加的记录。

最后测试，用别的机器把IP改成192.168.1.1

这时会发现ping 192.168.1.254 (LINUXIP/ 网关IP） 不通。

实现IP跟MAC地址绑定，防止客户端修改IP。

目前正在使用IPTABLES+SQUID做透明代理+DHCP   系统RH9，还有一些安全方面的事情没搞。如果刚搞在搞这方面的朋友，欢迎加我的MSN：linfehlf@hotmail.com 一起讨论。

晨想

改了mac地址的话，就可以访问了？

我喜欢安全的东西。：）。

BlazingBits

这样做是不能通过你这台机子上网了。但是在局域网还是会造成IP冲突/混乱。你要防止改IP就要在你的客户机上面想办法。

Post by laguna_lee
是呀，我都找遍了这个论坛里的DHCP相关的贴子，好像没查到，不过现在已解决这个问题。跟兄弟们分享一下，过程如下

vi /etc/ethers  //新建一个ethers 文件，我感觉这是arp -s 默认在LINUX下找的文件，如果你执行arp -f 系统会提示你没有那个文件。

然后在ethers里添加记录，一个IP 一个MAC地址如
192.168.1.1  11:11:11:11:11:11
......

:wq

vi /etc/rc.d/rc.loacl
在最后添加
arp -f
:wq

使用arp 命令查看，可以看到标志为CM的添加的记录。

最后测试，用别的机器把IP改成192.168.1.1

这时会发现ping 192.168.1.254 (LINUXIP/ 网关IP） 不通。

实现IP跟MAC地址绑定，防止客户端修改IP。

目前正在使用IPTABLES+SQUID做透明代理+DHCP   系统RH9，还有一些安全方面的事情没搞。如果刚搞在搞这方面的朋友，欢迎加我的MSN：linfehlf@hotmail.com 一起讨论。