🚀 go-pugleaf

Benno... wrote:

> Veel, zoniet alle, DSL en kabel providers gebruiken en toegangs controle 
> op basis van MAC adres. Is zoiets te implementeren op een bedrijfs 
> netwerk (los van het aanmelden van de gebruiker op een NDS of Windows 
> domain/AD/..). Ik wil voorkomen dat iedere boerenlul met een laptop 
> zomaar inprikt op het LAN.
> Ik neem aan dat je switches nodig hebt die dit ondersteunen (welke? Is 
> dit een standaard protocol?) en dat je die de MAC adressen moet laten 
> opzoeken in een centrale database (RADIUS?).
> 
> Alleen met de juiste sleutelwoorden voor een Google zou ik al geholpen 
> zijn want ik begeef me nu nog ik het klok/klepel stadium.

VMPS

Maar kijk ook eens naar IEEE 802.1x. Iets gecompliceerder, vooral 
in combinatie met aanmelden op een NDS/AD, maar kan ook weer veel 
meer en is veiliger.

Jochem

Benno... wrote:
> 
> Veel, zoniet alle, DSL en kabel providers gebruiken en toegangs controle
> op basis van MAC adres. Is zoiets te implementeren op een bedrijfs
> netwerk (los van het aanmelden van de gebruiker op een NDS of Windows
> domain/AD/..). Ik wil voorkomen dat iedere boerenlul met een laptop
> zomaar inprikt op het LAN.
> Ik neem aan dat je switches nodig hebt die dit ondersteunen (welke? Is
> dit een standaard protocol?) en dat je die de MAC adressen moet laten
> opzoeken in een centrale database (RADIUS?).
> 
> Alleen met de juiste sleutelwoorden voor een Google zou ik al geholpen
> zijn want ik begeef me nu nog ik het klok/klepel stadium.
> 
> Alvast bedankt,
> B.

Het andere sleutelwoord (naast MAC) is denk ik dhcp of dhcpd.

Kijk voor linux bijv. hier
<http://www.linuxhomenetworking.com/linux-hn/dchp.htm> .

Groeten,
Lejo
-- 
Lejo                     | Eenvoud is het kenmerk van het ware.
                         |
                         | Antwoord graag in de nieuwsgroep.

Lejo wrote:

>>Veel, zoniet alle, DSL en kabel providers gebruiken en toegangs controle
>>op basis van MAC adres. Is zoiets te implementeren op een bedrijfs
>>netwerk (los van het aanmelden van de gebruiker op een NDS of Windows
>>domain/AD/..). Ik wil voorkomen dat iedere boerenlul met een laptop
>>zomaar inprikt op het LAN.
>>Ik neem aan dat je switches nodig hebt die dit ondersteunen (welke? Is
>>dit een standaard protocol?) en dat je die de MAC adressen moet laten
>>opzoeken in een centrale database (RADIUS?).
>>
>>Alleen met de juiste sleutelwoorden voor een Google zou ik al geholpen
>>zijn want ik begeef me nu nog ik het klok/klepel stadium.

> Het andere sleutelwoord (naast MAC) is denk ik dhcp of dhcpd.
> 
> Kijk voor linux bijv. hier
> <http://www.linuxhomenetworking.com/linux-hn/dchp.htm> .
> 

Dus niet op switch nivo maar op DHCP nivo. Gewoon geen IP toekennen als 
het MAC adres niet in de DHCP server staat. Dit helpt alleen niet als 
iemand zichzelf een statisch adres geeft.

B.

"Benno..." <0@0.invalid> schreef in bericht
news:40b5f89d$0$5066$4d4ebb8e@news.nl.uu.net...
> Lejo wrote:
>
> >>Veel, zoniet alle, DSL en kabel providers gebruiken en toegangs controle
> >>op basis van MAC adres. Is zoiets te implementeren op een bedrijfs
> >>netwerk (los van het aanmelden van de gebruiker op een NDS of Windows
> >>domain/AD/..). Ik wil voorkomen dat iedere boerenlul met een laptop
> >>zomaar inprikt op het LAN.
> >>Ik neem aan dat je switches nodig hebt die dit ondersteunen (welke? Is
> >>dit een standaard protocol?) en dat je die de MAC adressen moet laten
> >>opzoeken in een centrale database (RADIUS?).

misschien handiger om eerst te noemen welke switches je gebruikt?  hp -
3com - cisco

en dan denken aan aaa met tacacs of radius evt met auto vlan assignment etc

Benno... wrote in nl.internet.misbruik:
>  Alleen met de juiste sleutelwoorden voor een Google zou ik al geholpen 
>  zijn want ik begeef me nu nog ik het klok/klepel stadium.

Dus je gaat maar multiposten in groepen waar eea nog offtopic is ook?
Leer eens manieren.

-- 
BZ

Some witty Entity named "Benno..." <0@0.invalid> writes:
> 
> Dus niet op switch nivo maar op DHCP nivo. Gewoon geen IP toekennen als
> het MAC adres niet in de DHCP server staat. Dit helpt alleen niet als
> iemand zichzelf een statisch adres geeft.

Tuurlijk wel, mits je niet je router configuratie automatisch een bij
een known-ip_addr behorend UN-known-MAC_address laat opnemen in z'n dynamic
routing-table, maar die eerst _voor opname_ laat checken of dat MAC een
ligitimate-MAC (in jouw domain) is, zo ingewikkeld is dat niet hoor.

cor


-- 
(defvar my-computer '((OS . "GNU-Emacs") (Boot-loader . "GNU-Linux")))
http://www.clsnet.nl    http://geekgrrrl.nl    http://thefreeworld.net
    Even Artificial Intelligence has no cure for human stupidity

Cor Gest wrote:
> Some witty Entity named "Benno..." <0@0.invalid> writes:
>>
>> Dus niet op switch nivo maar op DHCP nivo. Gewoon geen IP toekennen
>> als het MAC adres niet in de DHCP server staat. Dit helpt alleen
>> niet als iemand zichzelf een statisch adres geeft.
>
> Tuurlijk wel, mits je niet je router configuratie automatisch een bij
> een known-ip_addr behorend UN-known-MAC_address laat opnemen in z'n
> dynamic routing-table, maar die eerst _voor opname_ laat checken of
> dat MAC een ligitimate-MAC (in jouw domain) is, zo ingewikkeld is dat
> niet hoor.

Zoiets is helemaal leuk voor wireless netwerken. ik heb een dhcpserver
draaien die ip gewoon uitkeert en ook tijdelijke ipz geeft maar dan kan je
alleen webpages bekijken via een proxy en je mac reggen :)

-- 
Xcite

On Thu, 27 May 2004 15:17:18 +0200, Jochem van Dieten wrote:

> Maar kijk ook eens naar IEEE 802.1x. Iets gecompliceerder, vooral 
> in combinatie met aanmelden op een NDS/AD, maar kan ook weer veel 
> meer en is veiliger.

Het idee achter 802.1x erg goed. Maar al je clients moeten het ook
ondersteunen en daar zit momenteel denk ik de kneep. Dus momenteel erg
leuk voor router/router of wireless, maar nog niet voor PC/router denk ik.
Maar ik hoop dat ik het fout heb.... (is namelijk errug goede oplossing).

Andere oplossing, IPSec? Je voorkomt daar niet mee dat iemand op je
netwerk inplugd, wel dat ie er iets nuttigs mee kan doen.

M4

Cor Gest wrote:

> Some witty Entity named "Benno..." <0@0.invalid> writes:
> 
>>Dus niet op switch nivo maar op DHCP nivo. Gewoon geen IP toekennen als
>>het MAC adres niet in de DHCP server staat. Dit helpt alleen niet als
>>iemand zichzelf een statisch adres geeft.
> 
> 
> Tuurlijk wel, mits je niet je router configuratie automatisch een bij
> een known-ip_addr behorend UN-known-MAC_address laat opnemen in z'n dynamic
> routing-table, maar die eerst _voor opname_ laat checken of dat MAC een
> ligitimate-MAC (in jouw domain) is, zo ingewikkeld is dat niet hoor.

Het gaat me er vooral om een met een virus of worm besmette laptop 
buiten te houden en niet om pas in de router het eventuele uitgaande 
verkeer naar een WAN of Internet te blokkeren. Ik had wat duidelijker 
kunnen zijn.
Alhoewel een MAC tabel in de DHCP server een goede eerste stap is (die 
ik niet kende aangezien de DHCP servers die ik bekeken heb dit niet 
ondersteunen) heb ik al grappenmakers gehad die, toen DHCP om een of 
andere reden toevallig niet direct een IP verschafte, zelf een statisch 
IP adres invoerden. Dan kom je misschien niet door een goed 
geconfigureerde router heen maar alle kwetsbare Windows machientjes op 
het LAN kunnen dan wel de klos zijn.
Je kunt je natuurlijk afvragen of het niet eenvoudiger/goedkoper is om 
ervoor te zorgen dat die Windows bakjes zo onkwetsbaar mogelijk zijn 
door ze met een interne Windows update server (SUS) te laten praten en 
ze te voorzien van een personal firewall, maar dat is een heel ander 
verhaal. Of niet? Mmmmm.

FUP: nl.comp.netwerken

Martijn Lievaart wrote:
>On Thu, 27 May 2004 15:17:18 +0200, Jochem van Dieten wrote:
> 
>>Maar kijk ook eens naar IEEE 802.1x. Iets gecompliceerder, vooral 
>>in combinatie met aanmelden op een NDS/AD, maar kan ook weer veel 
>>meer en is veiliger.
>
>Het idee achter 802.1x erg goed. Maar al je clients moeten het ook 
>ondersteunen en daar zit momenteel denk ik de kneep. Dus momenteel erg 
>leuk voor router/router of wireless, maar nog niet voor PC/router denk ik.
>Maar ik hoop dat ik het fout heb.... (is namelijk errug goede oplossing).

Afgelopen jaar getest met Odyssey [1] client van Funk (Windows 98), 
AEGIS [2] van Meetinghouse Data Communications (Windows NT) en de 
SecureW2 [3] van Alfa & Ariss (Windows 2000 en XP). Open 1x [4] zou 
inmiddels ook iemand werkend gekregen hebben (zelf nog niet gezien). Er 
wordt gebruik gemaakt van TTLS over EAP over 802.1x, zodat de reeds in 
omloop zijnde username/password combinaties ergens op een RADIUS 
infrastructuur gebruikt kunnen worden. De credentials gaan netjes door 
een tunnel naar de RADIUS server en de switch of accesspoint krijgt 
eenvoudig een access-accept of reject terug en de switchport gaat ook 
voor andere ethernet typen zoals IP open.

Afhankelijk van de switch zijn er extra features mogelijk, zoals een 
open un-authenticated VLAN, zodat je de 802.1x client kunt downloaden of 
een restrictie op het aantal MAC adressen per switchport (dat als de 
switchport geauthenticeerd is kan meeliften).

HP heeft zelfs sinds kort op een aantal Pro Curve switches [5] Web based 
authentication waarbij gebruik wordt gemaakt van hetzelfde RADIUS 
backend. Dan heb je dus helemaal geen 802.1x client meer nodig maar weer 
wel een browser. Met het risico op spoofing (en dus niet waterdicht) kun 
je ook gebruik maken van MAC authenticatie.

[1] http://www.funk.com
[2] http://www.mtghouse.com
[3] http://www.alfa-ariss.com
[4] http://www.open1x.org
[5] http://www.hp.com/rnd/software/j4819807.htm

-- 
Thijs Timmerman.

Martijn Lievaart wrote:
> On Thu, 27 May 2004 15:17:18 +0200, Jochem van Dieten wrote:
>> 
>> Maar kijk ook eens naar IEEE 802.1x. Iets gecompliceerder, vooral 
>> in combinatie met aanmelden op een NDS/AD, maar kan ook weer veel 
>> meer en is veiliger.
> 
> Het idee achter 802.1x erg goed. Maar al je clients moeten het ook
> ondersteunen en daar zit momenteel denk ik de kneep. Dus momenteel erg
> leuk voor router/router of wireless, maar nog niet voor PC/router denk ik.
> Maar ik hoop dat ik het fout heb.... (is namelijk errug goede oplossing).

Het kost wat meer tijd om het op te zetten. Deels vanwege het 
feit dat het uitzoeken van goede clients maatwerk voor de 
specifieke situatie is, deels vanwege het feit dat je veel meer 
kan en dus al snel veel meer wil (authorisatie en VLAN toewijzing 
op basis van gecombineerde username/MAC/switchpoort criteria 
bijvoorbeeld).
Maar als de TU Delft 802.1x in studentenhuizen kan uitrollen [1] 
mag het in een gestructureerde kantooromgeving geen probleem zijn.

[1] http://www.dto.tudelft.nl/projecten/ng2/index.htm

Jochem

On Fri, 28 May 2004 12:37:24 +0200, Jochem van Dieten wrote:

> gestructureerde kantooromgeving

Uhhh.... betsaan die? :-)

M4

On Fri, 28 May 2004 09:54:12 +0200, Thijs Timmerman wrote:

[ hoop goeie info ]

Thx!
M4

Martijn Lievaart wrote:
> On Fri, 28 May 2004 12:37:24 +0200, Jochem van Dieten wrote:
>> 
>> gestructureerde kantooromgeving
> 
> Uhhh.... betsaan die? :-)

Ik hoor Novell mensen er regelmatig over praten zonder gebruik te 
maken van de conjunctief :-)

Jochem

On Fri, 28 May 2004 18:33:36 +0200, Jochem van Dieten wrote:

> Martijn Lievaart wrote:
>> On Fri, 28 May 2004 12:37:24 +0200, Jochem van Dieten wrote:
>>> 
>>> gestructureerde kantooromgeving
>> 
>> Uhhh.... betsaan die? :-)
> 
> Ik hoor Novell mensen er regelmatig over praten zonder gebruik te 
> maken van de conjunctief :-)

Oh, dan bedoelen ze hoe je dat ongeregelde zooitje in een ldap
database moet structureren. :-)

M4

Martijn Lievaart wrote:
> On Fri, 28 May 2004 18:33:36 +0200, Jochem van Dieten wrote:
>> Martijn Lievaart wrote:
>>> On Fri, 28 May 2004 12:37:24 +0200, Jochem van Dieten wrote:
>>>>
>>>> gestructureerde kantooromgeving
>>> 
>>> Uhhh.... betsaan die? :-)
>> 
>> Ik hoor Novell mensen er regelmatig over praten zonder gebruik te 
>> maken van de conjunctief :-)
> 
> Oh, dan bedoelen ze hoe je dat ongeregelde zooitje in een ldap
> database moet structureren. :-)

Als het echt een ongeregeld zooitje is heb je met 802.1x een 
uitstekend middel om wat structuur af te dwingen.

Jochem

Benno... wrote:

> Veel, zoniet alle, DSL en kabel providers gebruiken en toegangs controle
> op basis van MAC adres. Is zoiets te implementeren op een bedrijfs
> netwerk (los van het aanmelden van de gebruiker op een NDS of Windows
> domain/AD/..). Ik wil voorkomen dat iedere boerenlul met een laptop
> zomaar inprikt op het LAN.

Elke boerenlul met een laptop kan ook zijn MAC adres kopieren van de
computer die ernaast staat.

ifconfig eth0 hw ether WA:TJ:EM:AA:RW:IL:T!

Erg fijne methode om toegang te krijgen tot het lab netwerk bij ons,
zodat ik achter een fatsoenlijk systeem kan werken ipv een reutelend hoog
bejaard NT4 systeem.

/Bastiaan

On Fri, 28 May 2004 22:09:27 +0200, Jochem van Dieten wrote:

> Als het echt een ongeregeld zooitje is heb je met 802.1x een 
> uitstekend middel om wat structuur af te dwingen.

LOL!

M4

Jochem van Dieten wrote:

> Maar kijk ook eens naar IEEE 802.1x. Iets gecompliceerder, vooral
> in combinatie met aanmelden op een NDS/AD, maar kan ook weer veel
> meer en is veiliger.
>
> Jochem

Alleen filteren op MAC zorgt voor een aantal zaken die weinig met security
te maken hebben. Je weet dat er een x-aantal mac's te gebruiken zijn, maar
niet welke. Je weet niet welke gebruikers erachter zitten, niet eens welke
pc's. In een test bleken we echt mega simpel het mac filter te kunnen
foppen. Op basis van mac's (Vaste) ip's uitdelen op een dsl netwerk is een
prima optie. Voor beveiliging is het zeker niet geschikt, met name niet
omdat het vergeleken met 801.1x best een domme oplossing is die misschien
wel net zo lastig te implementeren is en zoniet lastiger te beheren is.

Nigel.

-- 

Grtz Nigel.
=========

Some witty Entity named "Nigel" <removethisbogusNigel@nigelatorMorebogusheresoremovethistoo.demon.nl.thisisthelastofthebogusremovethistoo> writes:

> Jochem van Dieten wrote:
> 
> > Maar kijk ook eens naar IEEE 802.1x. Iets gecompliceerder, vooral
> > in combinatie met aanmelden op een NDS/AD, maar kan ook weer veel
> > meer en is veiliger.
> 
> Alleen filteren op MAC zorgt voor een aantal zaken die weinig met security
> te maken hebben. Je weet dat er een x-aantal mac's te gebruiken zijn, maar
> niet welke. Je weet niet welke gebruikers erachter zitten, niet eens welke
> pc's. In een test bleken we echt mega simpel het mac filter te kunnen
> foppen. Op basis van mac's (Vaste) ip's uitdelen op een dsl netwerk is een
> prima optie. Voor beveiliging is het zeker niet geschikt, met name niet
> omdat het vergeleken met 801.1x best een domme oplossing is die misschien
> wel net zo lastig te implementeren is en zoniet lastiger te beheren is.

ja ja, maar beveiliging ca is een complex van dynamische _en_ statische
_en_ gebruiker-opvoedkundige _en_ overige policy maatregelen , en is dus
per definitie lastig, hinderlijk, moeilijk en vergt kennis van en
inzicht in de totaliteit van netwerk-materie en dat gaat echt niet met
een single set+forget blackbox truckdoosje.

Want vooral dat laatste is Marketoidiaanse Bullshit. 


cor


-- 
(defvar my-computer '((OS . "GNU-Emacs") (Boot-loader . "GNU-Linux")))
http://www.clsnet.nl                           http://thefreeworld.net
    Even Artificial Intelligence has no cure for human stupidity