سلام. کامپیوتر من دارای ip :192.168.2.100 و mac= 000F.EA59.204B می باشد. این کامپیوتر بر اساس ip خود به اینترنت دسترسی دارد. اخیرا برخی کاربران که فاقد اینترنت هستند با تغییر آی پی خود به آی پی کامپیوتر من موجب اختلالاتی در شبکه شده اند. روتینگ اصلی شبکه در سوئیچ 3750 که در لایه 3 عمل می کند انجام می شود و این سوئیچ به سرور اینترنت و دیگر سرورها متصل است. آیا راهی وجود دارد که اگر پکتی با آی پی کامپیوتر من و با مک متفاوت به 3750 رسید، دراپ شود؟
از دستور و زیر دستورات port security استفاده نمایید برای اعمال Mac address به پورت و محدود نمودن مک های متصل به آن .
مقدار اطلاعات شما در مورد شبکه در چه حد و مقدار است ؟
از منابع زیر استفاده نمایید.
[url]https://www.cisco.com/en/US/docs/switches/lan/catalyst6500/ios/12.1E/native/configuration/guide/port_sec.html[/url]
[url=http://articles.techrepublic.com.com/5100-10878_11-6123047.html]Lock down Cisco switch port security[/url]
ممنون از پاسخ شما.
در شبکه ما این دستورات مشکلات خاص خودشو ایجاد میکنه که نمیشه ازشون استفاده کرد. هدف من دستوریه که بتونه پکتها رو در هنگام روتینگ بر اساس آی پی و مک چک کنه و اگر پکتی آی پی منو داشت ولی مک متفاوتی داشت اونو دراپ کنه بطوریکه دسترسی فرد اخلالگر به شبکه در لایه 3 قطع بشه و اون مجبور بشه دست از تغییر آی پی برداره و از سرور dhcp استفاده کنه.
مثلا آیا میشه با دستور arp 192.168.2.100 000F.EA59.204B ARPA به سوئیچ گفت که فقط این آی پی و مک رو با هم join کنه؟
خوب شما چه اصراري به استفاده از IP داريد؟؟؟
فقط دسترسي به اينترنت را براي مك خودتون باز كنيد حالا با هر IP
همونطور که در صورت مسئله میبینید، سوئیچ توی لایه 3 عمل می کنه و وقتی درخواستها رو برای سرور اینترنت میفرسته مک خودشو جایگزین مک مبدا میکنه.
درود
دوست من. شما اونجا Admin هستید. حالا بر فرض مشکل IP حل شد. اگر کاربرت اومد Mac شما رو گذاشت روی سیستم خودش چی ؟
پس شما هر جور که ممکنه از کاربر ها خصوصا اونایی که دارن تو سیستم اختلال ایجاد می کنن دسترسی های اضافه رو بگیر.
چرا باید کاربرت بتونه Ip عوض کنه ؟
خوب. ولی چه ربطی به سرور اینترنت داره. اگه تو یک subnet باشن که این حله. ولی اگه تو Subnet دیگه ای باشه شما باید تو همون سوییچ IP رو به MAC مورد نظر َARP کنید. حالا اگه همه اینکار ها سخت رو نمیشه انجام بدید :دی. به راحتی با VLAN شبکه اینترنت رو از داخلی جدا و با خیال راحت از شبکه بدون تداخل IP استفاده کنید
[QUOTE=aryagohar;247773]خوب. ولی چه ربطی به سرور اینترنت داره. اگه تو یک subnet باشن که این حله. ولی اگه تو Subnet دیگه ای باشه شما باید تو همون سوییچ IP رو به MAC مورد نظر َARP کنید. حالا اگه همه اینکار ها سخت رو نمیشه انجام بدید :دی. به راحتی با VLAN شبکه اینترنت رو از داخلی جدا و با خیال راحت از شبکه بدون تداخل IP استفاده کنید[/QUOTE]
جناب آقای آریا گوهر
می شه لطف کنید کمی بیشتر توضیح بدید با چه دستوری می شود IP رو به MAC مورد نظر Arp کرد ؟
راه حل استفاده از Vlan هست. با انجام VLAN تعریف POLICY Routing هم از شر تداخل IP خلاص می شی و هم دسترسی غیر مجاز رو هم بر اساس MAC و هم IP می تونی کنترل کنی.
جهت روشن شدن افکار دوستمون میتونید 2 لینک زیر را هم ببینید .
[url=http://www.cisco.com/en/US/products/hw/switches/ps646/products_configuration_example09186a0080470c39.shtml]Block ARP Packets with Use of MAC Access Lists and VLAN Access Maps on Catalyst 2970, 3550, 3560, and 3750 Series Switches - Cisco Systems[/url]
[url=http://www.cisco.com/en/US/products/ps9967/products_qanda_item09186a0080a36984.shtml]How configure Access list [Cisco Small Business Managed Switches] - Cisco Systems[/url]
