社区应用 最新帖子 精华区 社区服务 会员列表 统计排行 社区论坛任务 迷你宠物
  • 4501阅读
  • 1回复

[转贴]Linux下客户端MAC地址控制

级别: 经院硕士
发帖
2054
铜板
4710
人品值
2122
贡献值
58
交易币
0
好评度
2057
信誉值
0
金币
1
所在楼道
Linux下客户端MAC地址控制 [-'LJG Wb<  
iptables squid相结合的方法 Y5$VWUrB  
L(w?.)E  
Linux作为服务器操作系统,具有服务稳定、功能强大的特点。自Linux 2.4内核以来,其中又内置了NetFilter包过滤架构。它从而具有强大的数据包过滤功能,保证用作软件路由器时更得心应手。例如,很多中小企业使用 Linux软件路由器将内部网络接入Internet,其效果并不比某些专有系统逊色,而且在功能定制、应用扩展等方面更有优势。 Onj)AJ9M0r  
71!'k>]h  
在接入Internet中,不同的用户应当拥有不同的权限,为了防止权限盗用问题,对用户的识别非常重要。目前,常见的识别方法有用户名/密码识别、用户IP地址识别和用户网卡物理地址(MAC地址)识别等。 w>uo-88  
vK,.P:n  
基于用户名/密码的认证是传统的识别方法。它在管理和使用上都比较繁琐,客户端也需要进行配置,大部分办公用户不能独立完成此类配置,对密码的保护也不够。这种方法往往是既加重了网络管理员的负担,又达不到认证的目的。 !=rJ~s F/{  
h\PybSW4s  
IP地址识别虽然可以做到客户端零设置,但是由于IP地址修改方便,无法杜绝IP地址盗用的情况,所以基本无安全性可言。 [V_\SQV0  
-Gmg&yQ9  
再来看网卡的物理地址。由于普通用户无法修改网卡的MAC地址,并且它和IP地址一样都是惟一的,完全可以用来识别用户,不需要客户端进行任何配置。即便是网络发生了变化,如扩容、改建等,导致客户端IP地址或用户名改变也不会影响到MAC地址。因此,通过判断客户端MAC地址的方法来识别用户,实现所谓的透明认证是一种简单、有效的选择。  Jyo(Etp  
G>w+J'7  
下面我们来讨论当Linux被用作Internet网关,并集成代理服务时的MAC地址透明认证方法。目前,通过MAC地址识别用户的方法主要有使用iptables的mac匹配模块、使用代理服务器自身的mac地址检查功能和利用静态ARP表进行控制三种。 &1$|KbmV4  
/E<:=DD<  
])iw|`@dJ  
qhqqCVrsW  
使用iptables的MAC匹配模块 ;J&9 l >  
Nvj0MD{ X  
.[8g6:>  
在Linux 2.4内核中,包过滤模块发生了根本性的变化,完全由内核控制,效率得到了很大的提高。控制内核包过滤的工具,也用iptables取代了 ipchains。在iptables的标准发布中,就带有MAC地址匹配的模块。我们可以通过iptables -m mac 命令来装载它。 P* .0kR1n  
);oE^3]f  
假设局域网通过一Linux网关接入Internet,我们为拥有上网权限的A用户分配了IP地址192.168.1.25/32,其MAC地址为00: 02:01:50:bb:53。根据TCP/IP原理,最终封装后的IP数据包实际上有一个包含网卡MAC地址的字段。因此,我们可以通过检查这一字段来达到防止盗用IP的目的。在这个例子中,就是在Linux网关上检查来自192.168.1.25/32的包,看看这些包的MAC地址是不是00:02: 01:50:bb:53。具体命令如下: U.p"JSH L  
fs6 % M]u  
# 设置PREROUTING链的默认规则为丢弃,以禁止所有包通过。iptables -t nat -P PREROUTING DROP# 检查IP地址为192.168.1.25/32的用户的MAC地址。如果与指定的MAC地址不匹配,说明源自192.168.1.25的包并不是从该网卡上发出的,即是非法用户,就应当丢弃这些包。iptables -t nat -A PREROUTING -s 192.168.1.25 -m mac -mac-source ! 00:02:01:50:bb:53 -j DROP# 如果MAC地址匹配,包才能到达这里,并被允许通过。iptables -t nat -A PREROUTING -s 192.168.1.25 -j ACCEPT 1JWo~E'  
%:/?eZ  
yjj)+eJ(Q  
2!;U.+(  
这样,即使有一个未授权用户B自己设置了IP地址为192.168.1.25(由于本机设置始终优先于DHCP,所以这种情况是很普遍的),当包通过网关时由于MAC地址不匹配,他仍然不能拥有A用户的权限。这样就达到了识别用户的目的。 6R+EG{`  
ry!0~ir  
>^ijj`{d  
Gf y9?sa  
使用代理服务器自身的MAC地址检查功能 GBo'=  
R"V^%z;8o  
+je{%,*  
Linux 下使用较多的代理服务器是Squid和Socks5。此处以Squid为例,说明如何检查客户端MAC地址。由于Squid的RPM发布版通常没有启用这一特性,这种版本使用MAC匹配会提示错误的acl类型,所以我们必须手工编译源代码。首先下载squid-2.x-src.tar.gz,然后用tar xvfz squid....tar.gz命令解开源代码,并进入展开后的子目录,用./configure配置编译选项。除了启用自己需要的特性外,再加上参数 -enable-arp-acl,即允许设置acl(Access Control List)为arp(MAC地址匹配)方式。然后执行make, make install。 JPGEE1!B{b  
ISALR{Aq  
安装完成后,就可以修改squid.conf来匹配MAC地址了,如下所示: S^*ME*DDz  
ZAa:f:[#f  
# 设置一个accept_group列表,该用户的MAC地址为00:02:01:50:bb:53。acl access_group arp 00:02:01:50:bb:53# 根据最低安全要求,设置all列表,包含源IP地址为0/0,即所有用户。acl all src 0/0 # 允许accept_group组正常访问 http_access allow accept_group # 禁止其他所有未经授权的访问 http_access deny all &NB"[Mm:@  
2V)qnMxAZJ  
{&d )O  
Ch,%xs.)G  
启动Squid,并配置正确的缓存目录和端口转发。 x>m=n_  
~;P>}|6Y  
当Squid 收到请求时,无论请求用户来自哪个IP地址或主机,它都会检查其MAC地址,并且只允许MAC地址为00:02:01:50:bb:53的请求通过。这样也可以实现客户端零配置的用户识别。对于使用iptables + Squid做透明代理的Linux网关来说,可以选择iptables或Squid来识别用户。 .U9A \$  
{u{8QKeC  
mqk tM6  
6;{E-y  
利用静态ARP表进行控制 X>kW)c4{b  
*>8Y/3Y\B  
I4\ c+f9  
我们知道,ARP(Address Resolution Protocol,地址转换协议)被当作底层协议,用于IP地址到物理地址的转换。在以太网中,所有对IP的访问最终都转化为对网卡MAC地址的访问。 X w_6SR9C  
5BsfbLKC  
不妨设想一下,如果主机A的ARP列表中,到主机B的IP地址与MAC地址对应不正确,由A发往B数据包就会发向错误的MAC地址,当然无法顺利到达B,结果是A与B根本不能进行通信。Linux可以通过arp命令控制ARP转换,即IP到MAC的转换。因此,也能利用这一功能对用户MAC地址进行匹配。下面我们就来看看arp命令的用法。 85 <%L:EC  
!j-JMa?  
输入arp将显示当前所有ARP转换记录,类似于这样: .BjnV%l7Id  
fZF.eRP '  
TU}. /b@F  
mj _ V6`m4  
Address HWtype HWaddress Flags Mask Iface U9]&~jR  
www.myhome.net ether 00:06:29:57:16:F5 C eth0 lJ/{.uK  
218.200.80.177 ether 00:01:30:F4:32:40 C eth1 `;H3['~$  
ntc9.myhome.net ether 00:02:1E:F1:92:C2 C eth0 cNvh2JI  
192.168.1.25 ether 00:02:1E:F1:92:C2 C eth0 sm96Ye{O{  
T,SCK^  
l_z@.</8P@  
TSHH=`cx  
由此可以看到,当前系统保留的IP地址与MAC地址一一对应,并指明了硬件类型(Hwtype)和通信所使用的接口(Iface)。不过这些都是动态生成的,无需手工干预。我们要做的恰恰是手工干预这一过程。 vQhi2J'  
TB(!*t  
我们需要用到arp命令的另一重要功能,就是手工更改这一对应关系。此外,该命令还可以读取文本文件中的ARP记录,其默认文件是/etc/ethers。也就是说,当输入ARP-f的时候,系统就会读取/etc/ethers这个文件,并以其中的项目取代系统当前的ARP记录。假设/etc/ethers 文件内容如下: TATH,Sz:x  
<Z^qBM  
192.168.1.25 00:02:01:50:bb:53 /{HK0fd  
i8H!4l  
"R9^X3;  
F,>-+~L=  
然后执行命令arp -f。 ]n$&|@  
pSh$#]mZ`  
这时,我们查看系统ARP表,会发现无论192.168.0.25原来对应的MAC地址是什么,都会被新的所取代: l5fF.A7TT  
9d1 G u"  
o dTg.m  
Y:'#jY*V  
Address HWtype HWaddress Flags Mask Iface EaXD Y<  
www.myhome.net ether 00:06:29:57:16:F5 C eth0 JwM Fu5@  
218.200.80.177 ether 00:01:30:F4:32:40 C eth1 o; N s-=  
ntc9.myhome.net ether 00:02:1E:F1:92:C2 C eth0 \B1<fF2  
192.168.1.25 ether 00:02:01:50:bb:53 C eth0 7<p? E7  
2<GN+W v[#  
g"o),$tm  
3&ES?MyB#  
此时,本机发往192.168.1.25的数据包目标MAC地址将由原来的00:02:1E:F1:92:C2改为00:02:01:50:bb:53。显然,如果192.168.1.25所在网卡的MAC地址并非00:02:01:50:bb:53,数据包就无法到达正确的目的地,那么它们也就无法通信了。这样也达到了识别非法用户的目的。 =as\Tp#d  
D>).^>|q  
当然,控制MAC地址的方法还不止这些,例如可以利用交换机的端口管理功能识别用户。根据交换机的原理,它是直接将数据发送到相应端口,那么就必须保有一个数据库,包含所有端口所连网卡的MAC地址,由此可见,控制每个端口使用的MAC地址理论上是完全可行的。大部分中高端交换机如3Com SuperStack系列等,都具有这种功能。具体操作与交换机型号有关,这里就不赘述。 tpP2dg9dF  
[[8.Xb  
最后,提醒一下,MAC地址控制并非绝对保险。正如这个世界上没有绝对解不开的密码一样,所谓安全都是相对于特定的环境而言。现在,很多网卡都支持MAC地址的软件修改,Linux和Windows本身也都有办法修改这一物理地址。不过由于这种方式相对稳定,摒弃了繁琐的客户端设置,对用户完全透明,而且具备很强的可操作性,所以在某种程度上说是安全的。
评价一下你浏览此帖子的感受

精彩

感动

搞笑

开心

愤怒

无聊

灌水
引用

易中天:我们都是公鸡中的战斗机
各位漂亮的大MM,求求你们了,
找帅哥谈恋爱不要再PM我啊,我的信息都慢了,信息里面虽然有你们的相片,不过我是admin他双胞胎大哥,名字差不多不过我是M 他是N
发帖
6085
铜板
439
人品值
224
贡献值
1
交易币
0
好评度
725
信誉值
0
金币
1
所在楼道
只看该作者 1 发表于: 2007-12-30
呵呵 linux的水平达到了这个地步了。。。
色狼的最高境界是专一,滥情是菜鸟无能的表现。
描述
快速回复

您目前还是游客,请 登录注册
温馨提示:欢迎交流讨论,请勿纯表情、纯引用!
认证码:
验证问题:
3+5=?,请输入中文答案:八 正确答案:八