Duplicitní IP adresa brány v síti

Printable View

24.10.2005, 07:05
bleak

Duplicitní IP adresa brány v síti

Zdravím vás. V naší síti si jeden z uživatelů z nevědomosti na svém PC do IP adresy počítače nastavil IP adresu brány. Vznikl stav, kdy se část počítačů v síti napojovala na skutečnou bránu a další část na PC toho uživatele. Připojení do internetu bylo funkční tak na 15%. Toho uživatele, který to způsobil, jsem našel podle MAC adresy, kterou mi vyhodil router v hlášce o duplicitní IP adrese.
Podle mých informací neexistuje proti výše popsanému žádný ochranný mechanismus. Máte někdo nějaký tip, jak řešit podobnou situaci, případně tomu zabránit?
Automatické přidělování IP adres DHCP serverem nechci používat.
24.10.2005, 09:52
Airwolf

zabranit: sebrat admin prava.

jinak to osetrit nejde...maximalne konfigurovatelnym switchem
24.10.2005, 10:28
bleak

Citace:

Původně odeslal Airwolf

zabranit: sebrat admin prava.

jinak to osetrit nejde...maximalne konfigurovatelnym switchem

komunikace prochází přes konfigurovatelný switch Cisco. Prosím o navedení správným směrem: jaké nastavení mám hledat (upravit)?
24.10.2005, 14:47
monsoon

No zabranit mu v tom nemuzes, ale budes mi li mit DHCP, tak se to snad stat nemuze, az na pripad, kdy by to dotycny udelal naschval.
24.10.2005, 15:10
Jezevec

Na tom switchi pokud to umi. Moh by umet ARP => pak by slo kontrolovat IP+MAC/port. Jinak smula.
25.10.2005, 00:30
Geeker

Co je na prislusne PC za OS??
25.10.2005, 08:22
Fox!MURDER

co presne je to za cisco ?
jinak kdyz na vsech tech pocitacich nastavis napevno arp tak by si musel zmenit mac adresu (ale to uz zase osefujes na tom switchi - to umi urcite (teda pokud je to aspon 2950ka))
25.10.2005, 09:32
tosuja

Bez DHCP ti bude tezko. Nejlepsi je nenechavat nastaveni site na uzivatelich, ti jsou schopni nastavit blbe kdeco - branu, DNS.... a pak te s tim otravovat. Opravdu nejjistejsi varianta je DHCP server
25.10.2005, 20:50
Fox!MURDER

Citace:

Původně odeslal tosuja

Bez DHCP ti bude tezko. Nejlepsi je nenechavat nastaveni site na uzivatelich, ti jsou schopni nastavit blbe kdeco - branu, DNS.... a pak te s tim otravovat. Opravdu nejjistejsi varianta je DHCP server

to furt nezabrani nekterejm vykukum ktery to proste MUSEJ mit rucne ...
26.10.2005, 08:28
tosuja

Citace:

Původně odeslal Fox!MURDER

Citace:

Původně odeslal tosuja

Bez DHCP ti bude tezko. Nejlepsi je nenechavat nastaveni site na uzivatelich, ti jsou schopni nastavit blbe kdeco - branu, DNS.... a pak te s tim otravovat. Opravdu nejjistejsi varianta je DHCP server

to furt nezabrani nekterejm vykukum ktery to proste MUSEJ mit rucne ...

Odpojit...
26.10.2005, 08:44
Fox!MURDER

Citace:

Původně odeslal tosuja

Citace:

Původně odeslal Fox!MURDER

Citace:

Původně odeslal tosuja

Bez DHCP ti bude tezko. Nejlepsi je nenechavat nastaveni site na uzivatelich, ti jsou schopni nastavit blbe kdeco - branu, DNS.... a pak te s tim otravovat. Opravdu nejjistejsi varianta je DHCP server

to furt nezabrani nekterejm vykukum ktery to proste MUSEJ mit rucne ...

Odpojit...

hehe jojo to zni tak jednoduse :)
26.10.2005, 09:56
Airwolf

Citace:

Původně odeslal Fox!MURDER

Citace:

Původně odeslal tosuja

Citace:

Původně odeslal Fox!MURDER

Citace:

Původně odeslal tosuja

Bez DHCP ti bude tezko. Nejlepsi je nenechavat nastaveni site na uzivatelich, ti jsou schopni nastavit blbe kdeco - branu, DNS.... a pak te s tim otravovat. Opravdu nejjistejsi varianta je DHCP server

to furt nezabrani nekterejm vykukum ktery to proste MUSEJ mit rucne ...

Odpojit...

hehe jojo to zni tak jednoduse :)

kdyz se to da do smlouvy...tak proc ne ? pripadne jim vycislit naklady na pripadne zneschopneni site...a ono je to nauci.
26.10.2005, 10:14
Whistler

Ja by som to riesil uz priamo zmluvou a to nejakym taku sposobom:

Do zmluvy by som dal bod,ze nastavenie IP adries prevadza jedine na to sposobily uzivatel firmy (cize technik).Pri zlom nastaveni IP adresy uzivatela a naslednom znefunkcneny siete,pripadne pouzitie duplicitnej IP ineho uzivatela a nasledneho znefunkcnenie pripojenie jemu,by som vycislil sankcie,pripadne by som dal za uhradu skody,ktore sposobil (ak niekomu nepojde net 3 dni,urcite nebude kludny a zavola Vam na tech. podporu minimalne 100x).

Pripad od pripadu by si potom mohol riesit individualne,jasne,ze ked to nejaky chudak spravi raz tak mu nedas vsetko preplatit,ale ho len upozornis do buducnosti,ze nech radsej zavola technika (ktory by mal byt v takych pripadoch bezplatny,ale to je uz na Tebe,ci sa Ti to oplati).Ale nastavenie IP by som velmi jasne zdoraznil v zmluve,aby sa nemohlo stat,ze bod o znasani skod si "nahodou neprecita alebo nevsimne".Alebo im IP vobec nedat a po kazdej zmene PC/reinstalacia Windowsu im ich prist nastavit ty,v tom nehrozi uz ziadne nebezpecenstvo.Ten,ktory si tie IP dokaze najst si ich si myslim aj dokaze nastavit. :-)

k DHCP: u nas na sieti je okolo 12 000 ucastnikov,vsetci su spojeni.A riesit,aku to ze ma zasa kamarat IP na privatny CS/FTP server je dost na prcu.Takze sa niekedy DHCP server neoplati,pripadne je ucastnikom len na obtiaz
26.10.2005, 13:29
Jezevec

Mel by sis uvedomit, ze DHCP se naopak vyplati predevsim pro velky site. Tam bych to dal dokonce ucastnikum jako povinost a kdo by si nakonfil ruco, byl by jednoduse odstrelen.

Si predstav, ze potrebujes zmenit strukturu site, to budes 12 000 lidem vysvetlovat, ze si maji zmenit IP, masky, default routy ... ? Na DHCPku to provedes behem peti minut, prepises txt soubor.

Samo predpokladam v zasade staticky pridelovani IP dle MAC z DB. Dynamicky ma smysl pro kompy pripojovany jen obcas.

Zminenej problem je zkratka jednou z nevyhod switchovany site, stejne jako ARP poison a podobny radosti. Bud mas slusny usery, kterem staci normalne rict ze se do toho nemaj hrabat kdyz nevedi co a jak, nebo musis nasadit sankce v podobe vytrzeni kablu ze switche.
26.10.2005, 14:34
Whistler

Ano,to je jasne,DHCP server je na velke siete skor nutnost.Ale vyplati sa Tebe,nie Tvojim userom,ver mi,oni budu radi,ak maju vlastnu staticku IP a nemusia sa babrat s tym,ze aku to ze ma IP ten moj kamos vedla v bloku,ked od neho nieco chce.Ale to uz som pisal...
26.10.2005, 16:07
tosuja

Citace:

Původně odeslal Whistler

Ano,to je jasne,DHCP server je na velke siete skor nutnost.Ale vyplati sa Tebe,nie Tvojim userom,ver mi,oni budu radi,ak maju vlastnu staticku IP a nemusia sa babrat s tym,ze aku to ze ma IP ten moj kamos vedla v bloku,ked od neho nieco chce.Ale to uz som pisal...

DHCP nevylucuje statickou (stale stejnou) IP adresu. Jenom ji budes dostavat od serveru....
Nad 20 pocitacu neni o cem uvazovat - jedine DHCP, vsechno ostatni je nocni mura. Nemluve o tom, ze pokud budes mit v rukou kontrolu IP, muzes udelat lokalni DNS, takze nikdo nebude potrebovat znat IP druheho konce, pripadne si ji jednoduse najde....
26.10.2005, 16:46
Whistler

Aha,to s tou istou adresou od DHCP som nevedel,kedze DHCP sa u nas nepouziva.Tak uz som aspon zasa o nieco mudrejsi
26.10.2005, 17:41
skorec1

Re: Duplicitní IP adresa brány v síti

Citace:

Původně odeslal bleak

Zdravím vás. V naší síti si jeden z uživatelů z nevědomosti na svém PC do IP adresy počítače nastavil IP adresu brány. Vznikl stav, kdy se část počítačů v síti napojovala na skutečnou bránu a další část na PC toho uživatele. Připojení do internetu bylo funkční tak na 15%. Toho uživatele, který to způsobil, jsem našel podle MAC adresy, kterou mi vyhodil router v hlášce o duplicitní IP adrese.
Podle mých informací neexistuje proti výše popsanému žádný ochranný mechanismus. Máte někdo nějaký tip, jak řešit podobnou situaci, případně tomu zabránit?
Automatické přidělování IP adres DHCP serverem nechci používat.

mne DHCP server(na routru) prideluje IP podla MAC, je to 100% efektivne dokial nevypadne router :-)
27.10.2005, 01:51
tom-as

Re: Duplicitní IP adresa brány v síti

Citace:

Původně odeslal skorec1

Citace:

Původně odeslal bleak

Zdravím vás. V naší síti si jeden z uživatelů z nevědomosti na svém PC do IP adresy počítače nastavil...
...přidělování IP adres DHCP serverem nechci používat.

mne DHCP server(na routru) prideluje IP podla MAC, je to 100% efektivne dokial nevypadne router :-)

jo, ale nezabranis blbymu uzivateli aby si nenastavil ip-cku manualne, a o tom se tu ted vede rec ;)
27.10.2005, 15:21
skorec1

no a neda sa spravit tak ze na routru, ak je, sa zakaze jeho MAC adresa a tym je po problemu?
27.10.2005, 23:16
Jezevec

Ne, tim nevyresis nic.