다람쥐v 2016-09

802.1x로 인증된 단말 외에는 포트에 못 붙게 하셔야하고, 다른 포트에 연결된 단말과의 통신을 감청하는 것을 막으려면 pvlan을 구성해야 합니다. 사실 pvlan만 구성이 되면 감청이 불가능해서 802.1x 까진 안 해도 괜찮을 것으로 보입니다.

근데 제가 알기로는 둘 다 mikrotik에서 지원 안 하는 걸로 아는데 매니지드 l2가 하나 있어야 할 것 같습니다.

김은호 2016-09

아. 802.1x가 언제 쓰는가 했는데 이럴 때 쓰는가보군요. 라디우스서버 연동하는 게 주루룩 검색되는데 유선으로 되는지는 모르겠습니다.
pvlan은 안되나 보네요..

Fireyoon 2016-09

무식한 얘기지만 mac 인증해버리면 땡 아닌가요?
ㅠ.ㅠ

김은호 2016-09

맞는 말씀입니다만, 장비가 가끔 죽어서 메인보드 교체해야할 때가 있습니다. 장비도 결국에 PC라서 메인보드 교체하면 맥이 변경되고 그 말은 맥을 새로 등록해야 하는 상황이 나오죠.. 문제는 위에 적은대로 라우터 관리가 처음 설치 후에는 불가능에 가까울 것이라 판단되기에 선뜻 쓰기가 좀 그런 상황입니다

페선생 2016-09

무식한 얘기지만 더미달면 답없고 ..MAC은 속이고 들어가면 땡입니다. ㅋ
물리적으로 뚧는건 닶없습니다. ㅋㅋ

돌문팬 2016-09

실례가 되지 않는다면 3번 내용의 dhcp 관련 스크립트를 쪽지같은걸로 받을 수 있을까요?
한 번 사용해보고 싶습니다~

김은호 2016-10

쪽지로 전할만큼 대단한 것도 아니고요, 제가 만든 게 아니고 누가 만든 거 갖다 쓴겁니다. 그리고 완전한 차단이 아니라 약점은 있습니다.
애초에 이 스크립트는 호스트네임으로 판단하기 때문에 호스트네임을 똑같이 해버리면 DHCP를 받을 수 있기에 침입자들에게 약점이 발각되지
않게끔 하는 수 밖에 없습니다. 그 대신 필요한 포트 이외에 아웃바운드까지 다 막아버려서 아무것도 할 수 없게 만들었습니다.

/system scheduler
add disabled=yes interval=1m name=block_invalidhost on-event=\
    block_invalidhost policy=read,write,test start-time=startup
/system script
add name=block_invalidhost owner=admin policy=read,write,test source=":local D\
    HCPSERVER \"server1\";\r\
    \n:local BRIDGEFILTER \"bridge1\";\r\
    \n\r\
    \n:foreach i in=[/ip dhcp-server lease find dynamic=yes active-server=\$DH\
    CPSERVER]  do={\r\
    \n  :local DhcpDynIP [/ip dhcp-server lease get \$i address];\r\
    \n  :local DhcpDynMAC [/ip dhcp-server lease get \$i mac-address];\r\
    \n  :local DhcpDynHOST [/ip dhcp-server lease get \$i host-name];\r\
    \n  :local IfMacExist [/interface bridge filter find src-mac-address=\"\$\
    DhcpDynMAC/FF:FF:FF:FF:FF:FF\"];\r\
    \n  :local invalidHOST [:pick \$DhcpDynHOST 0 4];\r\
    \n \r\
    \n:if ( (\$invalidHOST !=\"특정호스트\") || ([:len \$DhcpDynHOST]=0) ) do={\r\
    \n          :if (\$IfMacExist != \"\") do={\r\
    \n#              :log error (\"filtering invalid host\".\$DhcpDynMAC. \"a\
    lready exists\")\r\
    \n          } else= {\r\
    \n              /interface bridge filter add action=drop chain=input in-b\
    ridge=\$BRIDGEFILTER src-mac-address=\"\$DhcpDynMAC/FF:FF:FF:FF:FF:FF\" co\
    mment=\"invalid host \$DhcpDynHOST\";\r\
    \n                :log warning (\"a new invalid host filter\" . \"\$DhcpD\
    ynHOST\" . \"MAC:\" . \$DhcpDynMAC);\r\
    \n          }\r\
    \n    }\r\
    \n}\r\
    \n/ip dhcp-server lease remove [find host-name !=\"특정호스트\"]"

돌문팬 2016-10

참고해보겠습니다
감사합니다!

부산대빵 2016-11

좋은 자료입니다 감사합니다