Защита от клонирования MAC

[nimandrey]

Доброго времени суток.

Планируется ли реализовать функционал фильтрации подключенных устройств к роутеру помимо MAC адреса.

Причина данной необходимости в том, что некоторые "пользователи" сети клонируют адреса стационарных компьютеров для подключения своих мобильных устройств. В итоге не работает ни ПК ни мобильный.

Видел такой функционал реализован в OpenWRT, удобно где контролю подвергается не только МАС но и его UID. Дети умнеют на глазах роутеры тоже НЕ должны отставать от развития. Детей нужно иногда отключать от интернета.

[sergeyk]

11 час назад, nimandrey сказал:

Видел такой функционал реализован в OpenWRT

Можно поподробнее, где он там и как называется?

11 час назад, nimandrey сказал:

... не только МАС но и его UID.

Что вы подразумеваете под UID?

[Le ecureuil]

Даже если в DHCP можно сделать проверку по UID, то никакой защиты от ручного назначения MAC + IP ничего не спасет.

[r13]

12 часа назад, nimandrey сказал:

Доброго времени суток.

Планируется ли реализовать функционал фильтрации подключенных устройств к роутеру помимо MAC адреса.

Причина данной необходимости в том, что некоторые "пользователи" сети клонируют адреса стационарных компьютеров для подключения своих мобильных устройств. В итоге не работает ни ПК ни мобильный.

Видел такой функционал реализован в OpenWRT, удобно где контролю подвергается не только МАС но и его UID. Дети умнеют на глазах роутеры тоже НЕ должны отставать от развития. Детей нужно иногда отключать от интернета.

Загоняйте их в отдельный сегмент с отдельной точкой доступа. Тогда mac spoofing для wifi устройств потеряет актуальность

[nimandrey]

 

7 часов назад, sergeyk сказал:

Можно поподробнее, где он там и как называется?

Что вы подразумеваете под UID?

Сейчас только заметил, что это по протоколу IP 6 версии.

Скорее всего легче будет создать свой VPN на роутере и всё. Настроить нужные мне компы через VPN и пусть копируют адреса сколько влезет.

не обессудьте я не профи, но что-то пытаюсь изучать и быть в курсе. Чтобы хоть что-то понимать.

[KorDen]

21 час назад, nimandrey сказал:

Планируется ли реализовать функционал фильтрации подключенных устройств к роутеру помимо MAC адреса.

WPA-Enterprise...?

[Le ecureuil]

12 часа назад, nimandrey сказал:

 

Сейчас только заметил, что это по протоколу IP 6 версии.

Скорее всего легче будет создать свой VPN на роутере и всё. Настроить нужные мне компы через VPN и пусть копируют адреса сколько влезет.

не обессудьте я не профи, но что-то пытаюсь изучать и быть в курсе. Чтобы хоть что-то понимать.

Ну показать вот это вот в web несложно, а что под словом "контроль" подразумевается?

[nimandrey]

В 22.09.2021 в 07:31, Le ecureuil сказал:

Ну показать вот это вот в web несложно, а что под словом "контроль" подразумевается?

Под словом "контроль" имеется в виду, что роутер контролирует доступ УЖЕ подключенных к нему устройств только одним способом (белый/черный список MAC адресов). Было бы классно, если б роутер умел проверять девайсы не только по MAC адресу, но и по другим его параметрам.

Подключенное устройство передает сети свой MAC адрес и своё имя, эти два параметра редактируемые.

На текущий момент роутер умеет контролировать:

1) пароль Wi-Fi + MAC адрес

2) LAN + MAC адрес

Такой вариант реализуем как - MAC адрес + имя девайса. Чтобы можно было создать связку в таблице ACL  (МАС + ИМЯ).

В Web интерфейсе роутера показывает, что роутер видит, как называется устройство в сети.

 

Вопрос.

Реально ли контролировать доступ к роутеру не только по MAC адресу, но и какой-то НЕ изменяемый параметр. Получает ли роутер какую-то характеристику/свойство/параметр, который пользователь не может изменить?

СПАСИБО

 

[Le ecureuil]

В теории таким параметром является DUID, но тут возникают следующие вопросы:

 - он необязателен, найдется пачка устройств, которые его не шлют
 - это спасет только от получения адреса по DHCP, если заколотить руками то все будет работать

Потому мне и не очень понятна логика, но контроль DUID наверное можно сделать.

[krass]

В 20.09.2021 в 23:47, nimandrey сказал:

Дети умнеют на глазах роутеры тоже НЕ должны отставать от развития. Детей нужно иногда отключать от интернета.

Проще на смарты поставить прогу( прога запаролена и является администратором устройства - удалить не выйдет)  с родительским  контролем и в ней уже задать допустимое время .Да и на пк/ноуты создать учетку с ограничением по времени...

Оконечные устройства проще контролировать, чем пытаться нагрузить работой роутер...я вот не знаю, например, способов, которые бы полностью решили вашу задачу да еще и были б гибкими....

 

[nimandrey]

В 21.09.2021 в 12:19, r13 сказал:

Загоняйте их в отдельный сегмент с отдельной точкой доступа. Тогда mac spoofing для wifi устройств потеряет актуальность

Не могу забросить некоторых клиентов в отдельный сегмент сети, т.к. присутствуют общие ресурсы в сети. Принтер и документы на компах.