DROP если у клиента самопроизвольно вписанный ip

[Petnarik]

Здравствуйте уважаемый форум. Ситуация такова, клиентам в микротике привязал по маку IP-адрес, нарезал как надо скорость, но появился "недалекий" клиент, который научился в сетевых свойствах прописывать другой IP, из-за чего соответственно правила шейпинга на него не действуют.
Хочу поинтересоваться, можно ли как-то рубить скорость по mac-адресу независимо от IP, либо пускать клиента только в правильной связке IP+mac, то есть если такой-то mac не с тем IP - то его отклонять?

[_q6_]

Вот тебе пилюля http://asp24.com.ua/blog/mikrotik-i-arp-tablicy/

[Petnarik]

самое оно и очень информативно!!! спасибо!!!

[_q6_]

А главное просто до немагу.

[Petnarik]

только у меня в ARP таблице mac-адреса от наносов(они в режиме bridge,затем свитч то есть на нанос по паре клинтов) и как быть? привязать на один мак наноса несколько IP?

[_q6_]

Ну да. Только теперь злоумышленник сможет прописать ип соседа и все твои старания коту под хвост

[Algon]

Можно реализовать, например, так:

Клиент	IP	Входящая	Исходящая
Вася	192.168.88.100	3М	3М
Петя	192.168.88.101	2М	2М
Остальные	192.168.88.0/24	1К	1К

В этом случае последнее правило будет резать на 1 килобит скорость всем клиентам, чьи IP принадлежат этой сети и не прописаны выше. Ну а если клиент ставит чей-то уже существующий IP (например Петя ставит адрес Васи, чтобы получить более высокую скорость), то такого "орла" надо отключать. Физически. Либо доходчиво объяснить товарищу, что есть две статьи УК, под которые подпадают его действия: "Кража" и "Несанкционированное вмешательство в работу компьютерных сетей и сетей передачи данных".

[kuslik]

на коммутаторе ip port binding... по другому фигня

[Petnarik]

на коммутаторе ip port binding... по другому фигня

поясните пожалуйста подробнее...

[kuslik]

я и так помог. если вам это ничего не говорит то врятли помогу большим

[kuslik]

просто мак менять еще проще чем ip. вам необходимы коммутаторы на доступе с возможностью настройки port ip binding. это управляемые коммутаторы уровня L2

[Petnarik]

я и так помог. если вам это ничего не говорит то врятли помогу большим

спасибо за подсказ, просто встреча с routerOS впервые,впрочем как и у всех когда-то было.. думаю дальше разберусь..

[Petnarik]

просто мак менять еще проще чем ip. вам необходимы коммутаторы на доступе с возможностью настройки port ip binding. это управляемые коммутаторы уровня L2

я правильно понимаю - что все это можно реализовать микротиком?

[kuslik]

если коммутаторы микротик с функцией ip port binding и они находятся перед каждым клиентом то да.

[Petnarik]

если коммутаторы микротик с функцией ip port binding и они находятся перед каждым клиентом то да.

к сожалению нет возможности реализовать все на микротиках.. стоит rb951g-2hnd, за ним ns2, и клиенты через всякое разное под ns2 прошитое..