- lms - lists.lms.org.pl

sposob na cwaniaka ...
by Cezary Listkowski 10 Maj '06

10 Maj '06

Serdecznie wszystkim dziekuje za wypowiedzi. Sporo sie dzieki wam dowiedzialem i mam tak naprawde burze w mozgu :) Sporo jest jak widze rozwiazan, i co dobre to to ze kazdy ma swoje spojrzenie na ta sprawe. Wszystko jest prostrze jak sie ma kase bo kupuje sie gotowe rozwiazania jak np Mikrotik i po klopocie ale gorzej jak trzeba sobie radzic inaczej. Rozwiazan sporo, mysle ze wybiore to z vilanami i potestuje polczeniea VPN. Jescze raz wszystki dziekuje za wypowiedzi -- Czarek

1 0

Re: problem z lms-squid
by Marcin Król 10 Maj '06

10 Maj '06

w0lf napisał(a): >> mam taki problem: do tej pory dzialalo wszystko ok... ale przestalo. >> mam zrobione wiadomosci adminstracyjne za pomoca lms-squid. gdy wlacze >> jakiemus klientowi wiadomosc to zamiast oczekiwanej infmracji dostaje >> blokade >> "Dostęp do sieci na tym komputerze jest zablokowany. Możliwe >> przyczyny: nieznana karta sieciowa lub nieznany komputer. >> Proszę się skontaktować z naszym Biurem Obsługi. " >> >> co moze byc przyczyna takiego zachowania? >> >> z gory dzieki za pomoc! Wygląda na źle skonfigurowanego squida (x-forwarded-for) -- _ _ _ ___ | |_ | \/ |( __| http://www.|___)|_||_||___).rulez.pl Marcin 'Lexx' Król LMS Developer lexx(a)polarnet.gliwice.pl GG: 652506 Nie odpisuje na listy pisane w HTML.

1 0

Re: sposob na cwaniaka
by brzoza 10 Maj '06

10 Maj '06

Dariusz Kowalczyk napisał(a): > On Tue, 09 May 2006 13:34:25 +0200, brzoza wrote > >> witak >> tak btw >> czy ktos moze podrzucic na liste link do dobrego howto do radiusa? >> >> pozdr >> brzoza >> > > tak naprawde to radius tak groznie tylko wyglada ale w konfiguracji jest banalny ... > > mimo wielu plikow jakie znajduja sie w katalogu /etc/raddb tak naprawde do > wystartowane z radiusem (w prostej konfiguracji przy autentukacji po mac adresach) > potrzebne sa tylko: > > ---------------clients.conf----------------------------- > w tym pliku wpisuje urzadzenia NAS sie acces pointy i np switche ktore beda korzystac > z bazy radiusa > > przykladowo wystarczy wpisac jak sie ma tylko jedna stacje bazowa > pierwszy te adres ip AP potem haslo i jego latwa do zapamietania nazwa (przyda sie do > sledzenie aktywnosci w logach) > > client 192.168.1.100 { > secret = sciscletajnehaslo > shortname = MOJAP > } > wpis nalezy powtorzyc dla kazdego ap > > drugi pli ktory nalezy zmodyfikowac to > > --------users----------- > > wpisujac tam poszczegolne urzadzenia ktore maja byc uwierzytelniane w radiusie > > #klient1 > "xxxxxxxxxxxx" Auth-Type :=Local, User-Password == "xxxxxxxxxxxx" > Service-Type = Outbound-User > > te iksy to mac adres klienta > > niektore ap jak np AP600 potrzebuja zeby ten wpis wygladal tak > > "xxxxxxxxxxxx" Auth-Type :=Local, User-Password == "sciscletajnehaslo" > Service-Type = Outbound-User > wpisy nalezy powtorzyc dla kazdego urzadzenia/klienta ktory ma byc autoryzowany w > radiusie i to wszsytko trzeba restartnac raduisa i tyle, oczywiscie trzeba ap > skonfigurowac do tego zeby korzystal z radiusa a nie ze swojej wewnetrzen listy mac > adresow ale to jest takze porste bo podaje sie tylko adres ip serwera radius port 1812 > i haslo > > mozna i grzebac w radius.conf ale z reguly nie ma potrzeby > > plik users mooze tworzyc jakis skrypt z lms-a mozna tez includowac dowolny plik > tworzony prez lms-a w tym celu w pliku users > trzeba wpisac > > $INCLUDE nazwapliku > > w ten sposob ma sie pewnosc ze eksperymentuja nie nadpiszemy sobie pliku > konfiguracyjnego > > > to jest bardzo prosta konfiguracja ake dzialajaca jak ktos che wiecej wycisnac z > radiusa np segmentacje sieci i przypisywanie klientow do okreslonych stacji bazowych > czy autentykacje z wykorzystaniem np eap i innych czy tez integracje radiusa z baza > danych to musi sie troche bardziej postarac ale na poczatek przygody z radiusem to > zupelnie wystarczy > > pozdrawiam > Dariusz Kowalczyk > > dzieki wielkie pozdr brzoza

1 0

Re: problem z lms-squid
by w0lf 10 Maj '06

10 Maj '06

mam ten sam problem tylko ze nie działą mi od poczatku ; )) odrazu wyskakuje zebym sie skontaktowal z biorem obsługi ----- Original Message ----- From: "Andy F." <fox2man(a)tenbit.pl> To: <lms(a)lists.rulez.pl> Sent: Monday, February 27, 2006 9:46 PM Subject: [lms] problem z lms-squid > witam! > > mam taki problem: do tej pory dzialalo wszystko ok... ale przestalo. > mam zrobione wiadomosci adminstracyjne za pomoca lms-squid. gdy wlacze > jakiemus klientowi wiadomosc to zamiast oczekiwanej infmracji dostaje > blokade > "Dostęp do sieci na tym komputerze jest zablokowany. Możliwe przyczyny: > nieznana karta sieciowa lub nieznany komputer. > Proszę się skontaktować z naszym Biurem Obsługi. " > > co moze byc przyczyna takiego zachowania? > > z gory dzieki za pomoc! > > > >

1 0

Re: sposob na cwaniaka
by Piotr Prusaczyk 10 Maj '06

10 Maj '06

no jak CI robia konflikty to zrob static arp chociaz tych małokumatych wytniesz, pozdrawiam ----- Original Message ----- From: "S_Wilk" <s_wilk(a)o2.pl> To: <lms(a)lists.rulez.pl> Sent: Tuesday, May 09, 2006 11:44 PM Subject: [lms] Re: sposob na cwaniaka Witam! Cezary Listkowski napisał(a): > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej > sytuacji. > [ciach] > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? > ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale > adresow MAC przeciez ludziom nie pozmieniam (40osob) > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe > dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem > sie z takim sprzetem. > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > Sprawdź czy Twój sprzęt obsługuje 802.1x (nie pomyliłem się, 1x) z trybem EAP-TLS. Jeśli tak, używaj WPA + infrastruktura klucza publicznego. Stawiasz u siebie na serwerze centrum autoryzacyjne, generujesz klucze dla każdego użytkownika (każdy ma swój własny, jak komuś udostępni, możesz sprawdzić kto to zrobił i ukarać palanta, poza tym blokujesz wtedy jego klucz i już nie wejdzie). Klucz publiczny centrum trzeba dodać do centrów autoryzacyjnych w windowsach klientów, żeby się windows nie burzył, że ma klucz podpisany przez niezaufane centrum. To wszystko łączysz z radiusem. Uwierzytelnianie idzie wtedy po kluczach prywatnych/publicznych, a szyfrowanie jest takie samo jak przy użyciu wspólnego klucza - WPA. Nie mogę niestety znaleźć dokumentu na podstawie którego sam to robiłem.... szukaj w googlach haseł 802.1x EAP-TLS howto. całkiem fajny dokument jest tu: http://www.tldp.org/HOWTO/html_single/8021X-HOWTO/ choć brak w nim niestety dokładnego opisu dla przypadku EAP-TLS, w szczególności konfiguracji windowsów, która nie jest trywialna... to ostatnie znajdziesz tu: http://www.freeradius.org/doc/EAPTLS.pdf -- Pozdrawiam, Szymon Wilkołazki ---------------------------------------------------------------------- Poznaj Stefana! Zmien komunikator! >>> http://link.interia.pl/f1924

1 0

Re: sposob na cwaniaka
by S_Wilk 09 Maj '06

09 Maj '06

Witam! Cezary Listkowski napisał(a): > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej sytuacji. > [ciach] > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? ano > stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale adresow > MAC przeciez ludziom nie pozmieniam (40osob) > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > takim sprzetem. > > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > Sprawdź czy Twój sprzęt obsługuje 802.1x (nie pomyliłem się, 1x) z trybem EAP-TLS. Jeśli tak, używaj WPA + infrastruktura klucza publicznego. Stawiasz u siebie na serwerze centrum autoryzacyjne, generujesz klucze dla każdego użytkownika (każdy ma swój własny, jak komuś udostępni, możesz sprawdzić kto to zrobił i ukarać palanta, poza tym blokujesz wtedy jego klucz i już nie wejdzie). Klucz publiczny centrum trzeba dodać do centrów autoryzacyjnych w windowsach klientów, żeby się windows nie burzył, że ma klucz podpisany przez niezaufane centrum. To wszystko łączysz z radiusem. Uwierzytelnianie idzie wtedy po kluczach prywatnych/publicznych, a szyfrowanie jest takie samo jak przy użyciu wspólnego klucza - WPA. Nie mogę niestety znaleźć dokumentu na podstawie którego sam to robiłem.... szukaj w googlach haseł 802.1x EAP-TLS howto. całkiem fajny dokument jest tu: http://www.tldp.org/HOWTO/html_single/8021X-HOWTO/ choć brak w nim niestety dokładnego opisu dla przypadku EAP-TLS, w szczególności konfiguracji windowsów, która nie jest trywialna... to ostatnie znajdziesz tu: http://www.freeradius.org/doc/EAPTLS.pdf -- Pozdrawiam, Szymon Wilkołazki

1 0

Re: sposob na cwaniaka
by Piotr Prusaczyk 09 Maj '06

09 Maj '06

z miła checia sprzedam proxim ap600 jeden z veracompu a drugi z interprojectu moja niecały rok, w bardzo rozsadnej cenie :), pozdtawiam ----- Original Message ----- From: "Great-T" <greatt(a)ccnet.pl> To: <lms(a)lists.rulez.pl> Sent: Tuesday, May 09, 2006 9:53 PM Subject: [lms] Re: sposob na cwaniaka Racja chlopaki z online.pl zrobili kawał dobrej roboty :) Jednak na nic zabezpieczenia pppoe i inne duperele jak niektórzy ludzie nie myślą co robią. Dla przykladu u nas w ZG większość "operatorów" pali sobie wszelkie zabezpieczenia już na starcie puszczając po AP nie tylko to co mają za serwerem ale to co dostali od operatora czyli publiczne IP. Po złamaniu wepa (co dla chcącego nie jest problemem) chwila moment i neta za free i to jeszcze z publicznym IP :) a "operator" nic nie widzi gdyż pakiety mijają jego router na linuxie łącząc się bezpośrednio z brzegowym :) co mądrzejsze osoby wiedzą jak znaleźć pulę adresów ip danego operatora a bramka i dnsy to juz zaden problem. Najlepszym sposobem ochrony przed debilizmem i kombinatorstwem uzytkowników jest poprostu przesiadka na coś co nie ma w nazwie wi-fi i dzierżawa tego sprzętu w czasie trwania umowy. Jak klajent zrywa umowe zabierasz sprzet i dowidzenia. Jak ktoś ma zamiar oszczędzić sobie klopotów ze zwalczaniem pajęczarstwa radiowego to chyba jedyny rozsądny sposób. Apropo posta kolegi zaczynającego wątek jeśli ten kombinator przeszedł do konkurencji a pozostala mu ta sama karta wifi co mial w twojej sieci czemu by nie sprobowac wbic do ich sieci po znanym adresie MAC :) Oko za oko ząb za ząb !!! Pozdrawiam Great-T ----- Original Message ----- From: "-=ReYu=-" <reyu_com(a)go2.pl> To: <lms(a)lists.rulez.pl> Sent: Tuesday, May 09, 2006 9:48 AM Subject: [lms] Re: sposob na cwaniaka Cezary Listkowski napisał(a): > Dnia wtorek, 9 maja 2006 00:32, Rafal Drozd napisał: >> AP600 > > Upssss... > No poczytalem sobie o tym sprzecie, musze przyznac ze jest godny uwagi > poza malym szczegolem ktorym jest 11 Mbps a koszt okol 900PLN Mam obecnie > AP900+ Dlinka i Planety 1965 sa to nie drogie urzadzenia ale kiedys > jeszcze bylem jako pierwszy w swojej miejscowosci a teraz narobilo sie > takich jak ja okolo 6 dodatkowo. LOL !!! w dzisiejszych czasach kazdy chce > byc providerem :) > Aby nie skanował ci sieci to wystarczy ci ap z blokada ibbs-raffic na razie sam używam sprzetu http://wifi.online.pl/ i jestem w 100% zadowolony. Masz tu wszystko co bedzie potrzebne. i switch z vlanem jesli masz ap wpiete razem z innymi lanami. No i sprawa załatwiona. Jesli ci sie wepnie to zeskanuje tylko lana na twoim serwie. użytkownicy z radia beda niewidoczni, a jak wpisze zły IP to nawet nie wyjdzie poza AP. wszystko kwestia konfiguracji. -- ReYu ---------------------------------------------------------------------- Zamiast ubrania... >>> http://link.interia.pl/f1935

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

Dnia wtorek, 9 maja 2006 10:44, Dariusz Kowalczyk napisał: > > Tyle ze napisz mi jeszcze jak rozwiazac problem z podzialem lacza bo > > jesli HTB dziala mi na eth1 i userzy po kablu maja adresy 192.168.0.x a > > serwer ma adres 192.168.0.1 to czy mam userom po radiu przydzieli adresy > > z tej samej sieci ? > > Czarek > na drugiej karcie dajesz inna klase np 192.168.1.0, > > Dariusz Kowalczyk Super ale powiedz jak rozwiazac sprawe z podzialem lacza - tak jak pisze wyzej. To mnie bardzo zastanawia poniewaz w HTB podajesz tylko jeden interfejs. W tym przypadku mysle sobie tak jesli klienci z kabla beda wpieci w eth1 i HTB bedzie im oglaniczal internet, a klienci radiowi beda laczyc sie przez eth2 na ktorym stoi pppoe.... to moze niech pppoe przydziela imi IP z zakresu klasy na eth1 -...hmmmm... ale to nie zadziala bo i jak? Wiec pytanie jak to rozwiazac? -- Cezary Listkowski czaro(a)raciaz.pl Registered Linux User: #366588

1 0

Re: sposob na cwaniaka
by Great-T 09 Maj '06

09 Maj '06

Racja chlopaki z online.pl zrobili kawał dobrej roboty :) Jednak na nic zabezpieczenia pppoe i inne duperele jak niektórzy ludzie nie myślą co robią. Dla przykladu u nas w ZG większość "operatorów" pali sobie wszelkie zabezpieczenia już na starcie puszczając po AP nie tylko to co mają za serwerem ale to co dostali od operatora czyli publiczne IP. Po złamaniu wepa (co dla chcącego nie jest problemem) chwila moment i neta za free i to jeszcze z publicznym IP :) a "operator" nic nie widzi gdyż pakiety mijają jego router na linuxie łącząc się bezpośrednio z brzegowym :) co mądrzejsze osoby wiedzą jak znaleźć pulę adresów ip danego operatora a bramka i dnsy to juz zaden problem. Najlepszym sposobem ochrony przed debilizmem i kombinatorstwem uzytkowników jest poprostu przesiadka na coś co nie ma w nazwie wi-fi i dzierżawa tego sprzętu w czasie trwania umowy. Jak klajent zrywa umowe zabierasz sprzet i dowidzenia. Jak ktoś ma zamiar oszczędzić sobie klopotów ze zwalczaniem pajęczarstwa radiowego to chyba jedyny rozsądny sposób. Apropo posta kolegi zaczynającego wątek jeśli ten kombinator przeszedł do konkurencji a pozostala mu ta sama karta wifi co mial w twojej sieci czemu by nie sprobowac wbic do ich sieci po znanym adresie MAC :) Oko za oko ząb za ząb !!! Pozdrawiam Great-T ----- Original Message ----- From: "-=ReYu=-" <reyu_com(a)go2.pl> To: <lms(a)lists.rulez.pl> Sent: Tuesday, May 09, 2006 9:48 AM Subject: [lms] Re: sposob na cwaniaka Cezary Listkowski napisał(a): > Dnia wtorek, 9 maja 2006 00:32, Rafal Drozd napisał: >> AP600 > > Upssss... > No poczytalem sobie o tym sprzecie, musze przyznac ze jest godny uwagi > poza malym szczegolem ktorym jest 11 Mbps a koszt okol 900PLN Mam obecnie > AP900+ Dlinka i Planety 1965 sa to nie drogie urzadzenia ale kiedys > jeszcze bylem jako pierwszy w swojej miejscowosci a teraz narobilo sie > takich jak ja okolo 6 dodatkowo. LOL !!! w dzisiejszych czasach kazdy chce > byc providerem :) > Aby nie skanował ci sieci to wystarczy ci ap z blokada ibbs-raffic na razie sam używam sprzetu http://wifi.online.pl/ i jestem w 100% zadowolony. Masz tu wszystko co bedzie potrzebne. i switch z vlanem jesli masz ap wpiete razem z innymi lanami. No i sprawa załatwiona. Jesli ci sie wepnie to zeskanuje tylko lana na twoim serwie. użytkownicy z radia beda niewidoczni, a jak wpisze zły IP to nawet nie wyjdzie poza AP. wszystko kwestia konfiguracji. -- ReYu

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 09 Maj '06

09 Maj '06

On Tue, 09 May 2006 13:34:25 +0200, brzoza wrote > witak > tak btw > czy ktos moze podrzucic na liste link do dobrego howto do radiusa? > > pozdr > brzoza tak naprawde to radius tak groznie tylko wyglada ale w konfiguracji jest banalny ... mimo wielu plikow jakie znajduja sie w katalogu /etc/raddb tak naprawde do wystartowane z radiusem (w prostej konfiguracji przy autentukacji po mac adresach) potrzebne sa tylko: ---------------clients.conf----------------------------- w tym pliku wpisuje urzadzenia NAS sie acces pointy i np switche ktore beda korzystac z bazy radiusa przykladowo wystarczy wpisac jak sie ma tylko jedna stacje bazowa pierwszy te adres ip AP potem haslo i jego latwa do zapamietania nazwa (przyda sie do sledzenie aktywnosci w logach) client 192.168.1.100 { secret = sciscletajnehaslo shortname = MOJAP } wpis nalezy powtorzyc dla kazdego ap drugi pli ktory nalezy zmodyfikowac to --------users----------- wpisujac tam poszczegolne urzadzenia ktore maja byc uwierzytelniane w radiusie #klient1 "xxxxxxxxxxxx" Auth-Type :=Local, User-Password == "xxxxxxxxxxxx" Service-Type = Outbound-User te iksy to mac adres klienta niektore ap jak np AP600 potrzebuja zeby ten wpis wygladal tak "xxxxxxxxxxxx" Auth-Type :=Local, User-Password == "sciscletajnehaslo" Service-Type = Outbound-User wpisy nalezy powtorzyc dla kazdego urzadzenia/klienta ktory ma byc autoryzowany w radiusie i to wszsytko trzeba restartnac raduisa i tyle, oczywiscie trzeba ap skonfigurowac do tego zeby korzystal z radiusa a nie ze swojej wewnetrzen listy mac adresow ale to jest takze porste bo podaje sie tylko adres ip serwera radius port 1812 i haslo mozna i grzebac w radius.conf ale z reguly nie ma potrzeby plik users mooze tworzyc jakis skrypt z lms-a mozna tez includowac dowolny plik tworzony prez lms-a w tym celu w pliku users trzeba wpisac $INCLUDE nazwapliku w ten sposob ma sie pewnosc ze eksperymentuja nie nadpiszemy sobie pliku konfiguracyjnego to jest bardzo prosta konfiguracja ake dzialajaca jak ktos che wiecej wycisnac z radiusa np segmentacje sieci i przypisywanie klientow do okreslonych stacji bazowych czy autentykacje z wykorzystaniem np eap i innych czy tez integracje radiusa z baza danych to musi sie troche bardziej postarac ale na poczatek przygody z radiusem to zupelnie wystarczy pozdrawiam Dariusz Kowalczyk

1 0

Re: sposob na cwaniaka
by Rafal Drozd 09 Maj '06

09 Maj '06

W Twoim liście datowanym 9 maja 2006 (13:34:25) można przeczytać: > czy ktos moze podrzucic na liste link do dobrego howto do radiusa? bylo juz jakis czas temu poszukaj ;) -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by brzoza 09 Maj '06

09 Maj '06

witak tak btw czy ktos moze podrzucic na liste link do dobrego howto do radiusa? pozdr brzoza

1 0

Strona z listą faktur cała biała
by Łukasz Klejnberg 09 Maj '06

09 Maj '06

Witam, Mam problem, dzisiaj chciałem sprawdzić sobie numerek faktury w liście faktur, więc wchodzę, chwilkę się poładuje i ukazuje się biała strona. Jeszcze wczoraj wszystko było dobrze. *LMS wersja 1.6.5 Druhin (1.669.2.16/1.7.2.4) *Proszę o pomoc, nie wiem co się stało. Pozdrawiam Łukasz Klejnberg

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 09 Maj '06

09 Maj '06

On Tue, 9 May 2006 01:19:51 +0200, Cezary Listkowski wrote > Dnia wtorek, 9 maja 2006 00:42, Dariusz Kowalczyk napisał: > > klienci zeby sie podlacyzc z ap musza miec tylko jego ssid i klucz (jesli > > korzystasz z szyfrowania) nie musza miec wcale adreu ip!! AP podobnie jak > > zwykly switch dziala w warstwie drugiej i nic go nie obchodzac adresy ip, > > bo to jest w warstwie trzeciej, poza tym serwer pppoe musi byc postawiony > > na dedykowanej karcie sieciowej jesli to robisz na maszynie na ktorej juz > > jest cos to dla ppoe musisz dolozyc druga karte sieciowa > > I o to chodzilo ! > Stary caluje Cie w czolko :) bo moja teoria jest troskze kulawa, jestem > samoukiem i z dnia na dzien ucze sie czegos nowego (jak kazdy chyba). > Czyli tak: > serwer.czyli eth0 podlaczone do modemu DSL. > Klienci po kablu sa wpieci do eth1 (tu dziala klasa IP C)a Access Point do > eth2 (tu dziala klasa IP A)na ktorym postawiony jest pppoe ! dla kientow > radiowych. > > Tyle ze napisz mi jeszcze jak rozwiazac problem z podzialem lacza bo jesli HTB > dziala mi na eth1 i userzy po kablu maja adresy 192.168.0.x a serwer ma adres > 192.168.0.1 to czy mam userom po radiu przydzieli adresy z tej samej sieci ? > > -- > Czarek na drugiej karcie dajesz inna klase np 192.168.1.0, Dariusz Kowalczyk

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 09 Maj '06

09 Maj '06

On Tue, 9 May 2006 01:04:10 +0200, Cezary Listkowski wrote > Dnia wtorek, 9 maja 2006 00:32, Rafal Drozd napisał: > > AP600 > > Upssss... > No poczytalem sobie o tym sprzecie, musze przyznac ze jest godny uwagi poza > malym szczegolem ktorym jest 11 Mbps a koszt okol 900PLN > Mam obecnie AP900+ Dlinka i Planety 1965 sa to nie drogie urzadzenia ale > kiedys jeszcze bylem jako pierwszy w swojej miejscowosci a teraz narobilo sie > takich jak ja okolo 6 dodatkowo. LOL !!! w dzisiejszych czasach kazdy chce > byc providerem :) > > -- > Czarek kosztuje ale jest wart swojej ceny Dariusz Kowalczyk

1 0

Re: "zobowiązania klienta" - info kto zmieniał
by Galciu 09 Maj '06

09 Maj '06

jpk napisał(a): > Galciu napisał(a): > >> Nie brakuje wam informacji o tym kto usunął, zmienił, wstrzymał >> taryfę dla klienta?? >> >> >> > Witam! > > Brakuje jak innych rzeczy. Moim zdaniem każda operacja na kliencie > (zmiana danych, taryfy, wysłanie faktury przez automat itp.) powinny > być automatycznie notowane w systemie. Potem jest łatwiej rozmawiać z > upierdliwym klientem gdyż można mu powiedzieć np. faktura została do > pana wysłana mailem dnia tego i tego albo że tego dnia dostał Pan > komunikat itd. > Pomysły super :)

1 0

Re: sposob na cwaniaka
by Jakub Walczak 09 Maj '06

09 Maj '06

Dnia Tue, May 09, 2006 at 07:19:06AM +0200, Jaroslaw Dziubek napisał: > [Monday, 08 May 2006], Cezary Listkowski napisał(a): > > > blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie > > serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na > > dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym > TheMAX ULD? Dorzucasz EPA-CF i mozesz wrzucic tam nawet 1GB CF - dosc > sporo jak na router. Maszyna naprawde mocna, a jak cos potrzebujesz > to mozesz sobie sam dokompilowac. > mocne, ale i drogie. jak nie potrzebujesz tak duzej mocy to Edimax wystarczy. Jeden WLAN i 5 portow LAN za ok 200 PLN - mozna "przy okazji" filtrowac MAC na porcie (jak lokalnie podmieni MAC'a, to nie bedzie mial sieci) na tym chodzi linux wiec miedzy AP'kami mozna postawic VLAN'y i chyba po klopocie Jaqb

1 0

Re: sposob na cwaniaka
by -=ReYu=- 09 Maj '06

09 Maj '06

Cezary Listkowski napisał(a): > Dnia wtorek, 9 maja 2006 00:32, Rafal Drozd napisał: >> AP600 > > Upssss... > No poczytalem sobie o tym sprzecie, musze przyznac ze jest godny uwagi poza > malym szczegolem ktorym jest 11 Mbps a koszt okol 900PLN > Mam obecnie AP900+ Dlinka i Planety 1965 sa to nie drogie urzadzenia ale > kiedys jeszcze bylem jako pierwszy w swojej miejscowosci a teraz narobilo sie > takich jak ja okolo 6 dodatkowo. LOL !!! w dzisiejszych czasach kazdy chce > byc providerem :) > Aby nie skanował ci sieci to wystarczy ci ap z blokada ibbs-raffic na razie sam używam sprzetu http://wifi.online.pl/ i jestem w 100% zadowolony. Masz tu wszystko co bedzie potrzebne. i switch z vlanem jesli masz ap wpiete razem z innymi lanami. No i sprawa załatwiona. Jesli ci sie wepnie to zeskanuje tylko lana na twoim serwie. użytkownicy z radia beda niewidoczni, a jak wpisze zły IP to nawet nie wyjdzie poza AP. wszystko kwestia konfiguracji. -- ReYu

1 0

Re: sposob na cwaniaka
by KrzychK2 09 Maj '06

09 Maj '06

Witaj Rafal, W Twoim liście datowanym 9 maja 2006 (00:25:03) można przeczytać: > Witaj KrzychK2, > W Twoim liście datowanym 8 maja 2006 (23:50:41) można przeczytać: >> 2) obrzydzić maksymalnie sposób autoryzacji tak aby dla uprawnionego >> klienta był prosty jasny i oczywisty a dla kombinatora, dziwny, >> nieodgagniony, pochrzaniony. Systemy FreeBSD (nie wiem jak linux) >> oferują mechanizm authpf który generuje odpowiednie regułki firewalla >> w momencie uzyskania autoryzacji. > fajny ficzer :) > co prawda w ISP zastosowanie niebardzo no chyba ze napisac jakas > ladna aplikacje ala neostrada+ ;) Podsunąłem tylko pomysł. Co kto dalej sobie z tym zrobi to już jego problem. Kiedyś myślałem co w zamian pppoe i tak bardzo głupie to nie jest. >> 3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli >> stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z >> dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, >> tylko czy to już nie jest przerost formy nad treścią?? Nie każdy >> ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi >> być na odpowiednim poziomie. No i jeszcze konfiguracja........... > przestan ;) jak dasz uzytkownikowi koncowemu instrukcje na dwie strony > jak skonfigurowac komputer albo wymusisz na nim uzywanie takiego a nie > innego os to troche sie mija z celem, klienci uciekna :) Tak na prawdę to jest wymuszenie aby człowiek używał systemu linux/unix lub lepszego niż w2k. Tam ip-sec jest zaimplementowany. Powiedz szczerze - ile jeszcze osób używa jeszcze w9x/me/nt4.0. W moim przypadku statystycznie na 20 może przypadają 2 - 3. Wiem statystyka nic nie mówi. Ale pozostaje nadal fakt ze jest to nada bardzo upierdliwe w konfiguracji i stanowi przerost formy nad treścią. W planach mam przetestowanie PPTP gdyż to wydaje się mnie dosyć sensowną alternatywą. > pppoe jest na dobra sprawe meczace dla klientow. Jak każdy mechanizm autoryzacji ale niestety mamy 21 wiek i masę gówniarzy ze skryptami pościąganymi ze stronek, którzy starają się obrzydzić życie jak tylko się da. Poza tym wiele narzędzi diagnostycznych dla sieci posiada mechanizmy sniffingu potrafiące oszukać switche (te głupsze co prawda)i prowadzić nasłuch całego ruchu w sieci (tak jakby switcha nie było). tcpdump sam w sobie jest sifferskim potworem (jak ktoś wie jak się nim posłużyć) a narzędziem prawie powszechnym w każdym systemie ala ***x. Czasami warto sobie zadać pytanie - co jest ważniejsze - bezpieczeństwo czy walory użytkowe. Miałem kiedyś kilka pomysłów na ciekawe rozwiązanie tej kwestii ale niestety... wszystko bazuje w oparciu o systemy produkcji Redmont. -- Pozdrowienia, KrzychK2

1 0

Re: sposob na cwaniaka
by Tomasz Chilinski 09 Maj '06

09 Maj '06

On Tue, 9 May 2006 01:04:10 +0200, Cezary Listkowski wrote > Dnia wtorek, 9 maja 2006 00:32, Rafal Drozd napisał: > > AP600 > > Upssss... > No poczytalem sobie o tym sprzecie, musze przyznac ze jest godny > uwagi poza malym szczegolem ktorym jest 11 Mbps a koszt okol 900PLN > Mam obecnie AP900+ Dlinka i Planety 1965 sa to nie drogie urzadzenia > ale kiedys jeszcze bylem jako pierwszy w swojej miejscowosci a teraz > narobilo sie takich jak ja okolo 6 dodatkowo. LOL !!! w dzisiejszych > czasach kazdy chce byc providerem :) Witaj. Dobrze rozejrzyj się w Internecie Czarku - znajdziesz sprzęty za 200-300zł do których można przygotować swoją dystrybucję GNU/Linux lub użyć tej domyślnie wgranej, która też daje duże możliwości. > -- > Czarek Pozdrawiam, Tomek.

1 0

Re: sposob na cwaniaka
by Rafał Błażejowski 09 Maj '06

09 Maj '06

Użytkownik KrzychK2 napisał: >Witaj Cezary, > >W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać: > > > >>Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał: >> >> >>>On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote >>> >>> >>> >>>>Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej >>>>sytuacji. >>>> >>>>Mielm klienta ktory mial odemnie internet droga radiowa. >>>>Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie >>>>czyli miesiac pozniej. >>>>Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna >>>>adresy MAC z powiaznymi IP. >>>>Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z >>>>tego kiedy dla klientow radiowych haslem jest adres MAC. >>>>Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? >>>>ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. >>>> >>>>Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale >>>>adresow MAC przeciez ludziom nie pozmieniam (40osob) >>>>Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe >>>>dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem >>>>sie z takim sprzetem. >>>> >>>>Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? >>>> >>>>-- >>>>Czarek >>>> >>>> >>>wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem >>>przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle >>>debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... >>> >>>Dariusz Kowalczyk >>> >>> > > > >>Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa >>ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia >>to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na >>serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi >>na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. >>Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie >>osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to >>ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji >>adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i >>blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie >>serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na >>dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym >>go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez >>je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil >>Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal >>w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze >>troche. >>Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. >>Chce odzielic siec Access pointow od sieci z uzytkownikami. >> >> > > > >>Moj pomysl na bezpieczna siec jest taki: >>1) Access Pointy niech stoja bez szyfrowania z filtracja MAC. >>2) Serwer zaopatrzec w dwie 3 karty sieciowe >>- jedna eth0 w ktora wpinam sygnal np.: z modemu DSL >>- druga eth1 w ktora wpinam Access Pointa >>- trzecia eth2 w ktora wpinam userow >>2) W Access Pointach ustawic IP klase na 10.0.0.0 >>2) Karte eth2 usawic w innej klasie np C 192.168.1.0 >> a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i >>wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) >>W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec >>klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access >>Pointami mogli polaczys sie poprzez PPPOE z serwerem. >> >> > > > >>Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od >>klientow z LAN i serwera? >> >> switche z VLANami, (przecież to żaden pomysł i ogólniedostępny towar) np. Planet FSD 1600 -- pozdrawiam Rafał Błażejowski

1 0

Re: sposob na cwaniaka
by Jaroslaw Dziubek 09 Maj '06

09 Maj '06

[Monday, 08 May 2006], Cezary Listkowski napisał(a): > blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie > serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na > dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym TheMAX ULD? Dorzucasz EPA-CF i mozesz wrzucic tam nawet 1GB CF - dosc sporo jak na router. Maszyna naprawde mocna, a jak cos potrzebujesz to mozesz sobie sam dokompilowac. -- Yaro IRL:Jaroslaw Dziubek, ICQ:1340145 | Niewiele jest rzeczy, których http://yaro.perfect.net.pl/ | nie dało by się załatwić KNM Member: http://www.knm.org.pl/ | przy pomocy odpowiedniej IRC: Yaro na #grudziadz | dawki materiałów wybuchowych.

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

Dnia wtorek, 9 maja 2006 00:56, s@wek napisa?: > Po pierwsze zeby podlaczyc sie do AP nie musisz miec IP bo przeciez AP lub > server za nim moze przydzielac adresy IP. > AP moze byc przezroczyste czyli medium transmisji tak jak kabel w LAN. > Druga sprawa to olej te MAC adresy i zrob PPPoE + FreeRadius ale LOGIN i > HASLO. Na radiusie ustawiasz zeby tylko 1 user mogl byc zalogowany na danym > hasle i po sprawie. A jak w piszesz na interface do userow czyli np eth1 ip > 0.0.0.0 to juz ci chodzi tylko pppoe. > Zamiast PAP uzyj CHAP zeby to przechwycic trzeba uzyc dekryptora i troszke > sie pobawic oczywiscie mozesz uzyc ms-chap v2 ale mysle nie ma co > komplikowac. Nawet jak lewy gosc przechwyci jakims cudem haslo lub pojdzie > do goscia i wykradnie mu z kompa to i tak tylko 1 osoba bedzie korzystala z > neta i jesli prawdziwy user sie zglosi ze nie moze sie zalogowac to > poprostu zmienisz mu haslo. Fakt przyznaje, ale juz sie dzis czegos nauczylem. Mam pppoe i to z obsluga ms-chap w wersjii drugiej /etc/ppp/pppoe-server-options mtu 1472 mru 1472 +chap -pap ms-dns 194.204.159.1 ms-dns 194.204.152.34 require-mschap-v2 lcp-echo-interval 10 lcp-echo-failure 20 jak widac u gory tak mi dzial bezblednie. Jesli zas chodzi o Free radiusa to szczerze mowiac mam male doswidczenie ale z tego co zauwazylem free radius jak haslo przyjmuje MAC adres, a mi chodzi o to zeby gosc nie wszedl mi do sieci i nie zaczal skanowac calej sieci. Darek posunal mi doby pomysl - dolozyc karte eth2 a do niej podlaczyc AP i userzy autentykuja (jesli tak to mozna nazwac) sie po pppoe na eth2 wtdy mam odseparowanego Access Pointa od calej sieci - gosc jak sie wlamie to zobaczy tylko co najwyzej serwer ale nie bedzie mial hasla i loginu wiec nie zobaczy pozostalych kompow w sieci a tym bardziej nie bedzie mial internetu, mi bardziej jednak zelzy na userach i ich bezpieczenstwie wiec to jest chyba dobre rozwiazanie. Dokladnie nei wiem tylko jak rozwiazac adresacje w pppoe i jak ustawic routing poniewaz HTB dziele lacze ale on dziala na interfejsie eth1 czyli tam gdzie beda podlaczeni userzy po kablu a raptem ma ich osmiu. -- Czarek

1 0

cd Terminarz
by Marcin o2.pl 09 Maj '06

09 Maj '06

Witam, niestety zaden orzeł ze mnie w php, posiedziałem kilka godzin ale skutecznie się nie rozprawiłem z blokowaniem zmiany i edycji terminarza. Chciałbym dopisać do eventedit.php po: if($_GET['action'] == 'open') regółkę w stylu: $DB->GetOne('SELECT id FROM events WHERE userid < 2',array($_GET['id'])); $SESSION->redirect('?m=eventlist'); (nie śmiać się, 4h nauki php... wiem że źle - bo nie dziala :-) która by blokowała opcję wywołania zmiany statusu i edycji kończąc wykonywanie skryptu gdy ID usera nie wynosi np 1, ale tak sądzę że to nic nie da bo terminarz nie ma (nie wiem jak wywołać) zmiennej ID zalogowanego uzytkownika, no i nie wiem co zrobić... Jak dopisać pobranie ID zalogowanego usera ? nicto ze bym mial w skrypcie to na stałe. Pozdrowienia

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

Dnia wtorek, 9 maja 2006 00:42, Dariusz Kowalczyk napisał: > klienci zeby sie podlacyzc z ap musza miec tylko jego ssid i klucz (jesli > korzystasz z szyfrowania) nie musza miec wcale adreu ip!! AP podobnie jak > zwykly switch dziala w warstwie drugiej i nic go nie obchodzac adresy ip, > bo to jest w warstwie trzeciej, poza tym serwer pppoe musi byc postawiony > na dedykowanej karcie sieciowej jesli to robisz na maszynie na ktorej juz > jest cos to dla ppoe musisz dolozyc druga karte sieciowa I o to chodzilo ! Stary caluje Cie w czolko :) bo moja teoria jest troskze kulawa, jestem samoukiem i z dnia na dzien ucze sie czegos nowego (jak kazdy chyba). Czyli tak: serwer.czyli eth0 podlaczone do modemu DSL. Klienci po kablu sa wpieci do eth1 (tu dziala klasa IP C)a Access Point do eth2 (tu dziala klasa IP A)na ktorym postawiony jest pppoe ! dla kientow radiowych. Tyle ze napisz mi jeszcze jak rozwiazac problem z podzialem lacza bo jesli HTB dziala mi na eth1 i userzy po kablu maja adresy 192.168.0.x a serwer ma adres 192.168.0.1 to czy mam userom po radiu przydzieli adresy z tej samej sieci ? -- Czarek

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 09 Maj '06

09 Maj '06

stare przyslowie pszczół mowi ...najlepsza obroną jest atak Dariusz Kowalczyk

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

Dnia wtorek, 9 maja 2006 00:32, Rafal Drozd napisał: > AP600 Upssss... No poczytalem sobie o tym sprzecie, musze przyznac ze jest godny uwagi poza malym szczegolem ktorym jest 11 Mbps a koszt okol 900PLN Mam obecnie AP900+ Dlinka i Planety 1965 sa to nie drogie urzadzenia ale kiedys jeszcze bylem jako pierwszy w swojej miejscowosci a teraz narobilo sie takich jak ja okolo 6 dodatkowo. LOL !!! w dzisiejszych czasach kazdy chce byc providerem :) -- Czarek

1 0

Re: sposob na cwaniaka
by s＠wek 09 Maj '06

09 Maj '06

----- Original Message ----- From: "Cezary Listkowski" <czaro(a)raciaz.pl> To: <lms(a)lists.rulez.pl> Sent: Tuesday, May 09, 2006 12:15 AM Subject: [lms] Re: sposob na cwaniaka >> a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione >> forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer >> ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak >> wszystkie pakiety beda szly tylko do tej maszyny >> >> Dariusz Kowalczyk > > OK. zobaczmy czy dobrze mysle. > > Biarac pod uwage to ze mam serwer 192.168.0.1 na nim pppoe > Po polaczeniu sie po pppoe user ma internet. > Klient laczacy sie po kablu musi miec przypisany adres tak aby widzial > serwer > czyli np 192.168.0.32 zeby polaczyl sie poprzez pppoe. jesli klient po > kabelku bedzie mial adres 172.0.0.2 to juz nie polaczy sie przez pppoe w > zwiazku z tym musze tym klientom przypisac jakies adresy z klasy tej samej > co > serwer i beda oni laczyc sie drugim polaczenim pppoe aby miec internet. > > Klienci radiowi tez musz miec ustawiony jakis adres IP zeby polczac sie z > Access Pointem, ale jaki? Jesli nie beda miec zadnego adresu to wyskoczy > im > komunikat o "braku polaczenia i ograniczeniu lacznosci" nastepnie jak juz > beda mieli jakis adres IP beda laczyc sie poprzez pppoe drugim polaczeniem > podobnie jak klienci po kablu. > Czy dobrze mysle ? > > Bo jesli tak to w kazdym przypadku musze przypisac obejetnie > jakiemukolwiek > userowi jakis adres IP inaczej klientom wyskoczy w/w komunikat o > "ograniczeniu lacznosci". jesli dam userom te same IP co AP i serwer to > cwaniak wykorzytujac MAC i tak dostanie sie do AP jesli dostanie sie do > AP > to tylko chwila i znajdzie mi ludzikow ktorzy sa w sieci zalogowani i moze > ich na przyklad atakowac. > > -- > Czarek Ale bzdury wypisujesz Po pierwsze zeby podlaczyc sie do AP nie musisz miec IP bo przeciez AP lub server za nim moze przydzielac adresy IP. AP moze byc przezroczyste czyli medium transmisji tak jak kabel w LAN. Druga sprawa to olej te MAC adresy i zrob PPPoE + FreeRadius ale LOGIN i HASLO. Na radiusie ustawiasz zeby tylko 1 user mogl byc zalogowany na danym hasle i po sprawie. A jak w piszesz na interface do userow czyli np eth1 ip 0.0.0.0 to juz ci chodzi tylko pppoe. Zamiast PAP uzyj CHAP zeby to przechwycic trzeba uzyc dekryptora i troszke sie pobawic oczywiscie mozesz uzyc ms-chap v2 ale mysle nie ma co komplikowac. Nawet jak lewy gosc przechwyci jakims cudem haslo lub pojdzie do goscia i wykradnie mu z kompa to i tak tylko 1 osoba bedzie korzystala z neta i jesli prawdziwy user sie zglosi ze nie moze sie zalogowac to poprostu zmienisz mu haslo. Pozdro s@wek

1 0

Re: sposob na cwaniaka
by s＠wek 09 Maj '06

09 Maj '06

----- Original Message ----- From: "Cezary Listkowski" <czaro(a)raciaz.pl> To: <lms(a)lists.rulez.pl> Sent: Tuesday, May 09, 2006 12:15 AM Subject: [lms] Re: sposob na cwaniaka >> a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione >> forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer >> ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak >> wszystkie pakiety beda szly tylko do tej maszyny >> >> Dariusz Kowalczyk > > OK. zobaczmy czy dobrze mysle. > > Biarac pod uwage to ze mam serwer 192.168.0.1 na nim pppoe > Po polaczeniu sie po pppoe user ma internet. > Klient laczacy sie po kablu musi miec przypisany adres tak aby widzial > serwer > czyli np 192.168.0.32 zeby polaczyl sie poprzez pppoe. jesli klient po > kabelku bedzie mial adres 172.0.0.2 to juz nie polaczy sie przez pppoe w > zwiazku z tym musze tym klientom przypisac jakies adresy z klasy tej samej > co > serwer i beda oni laczyc sie drugim polaczenim pppoe aby miec internet. > > Klienci radiowi tez musz miec ustawiony jakis adres IP zeby polczac sie z > Access Pointem, ale jaki? Jesli nie beda miec zadnego adresu to wyskoczy > im > komunikat o "braku polaczenia i ograniczeniu lacznosci" nastepnie jak juz > beda mieli jakis adres IP beda laczyc sie poprzez pppoe drugim polaczeniem > podobnie jak klienci po kablu. > Czy dobrze mysle ? > > Bo jesli tak to w kazdym przypadku musze przypisac obejetnie > jakiemukolwiek > userowi jakis adres IP inaczej klientom wyskoczy w/w komunikat o > "ograniczeniu lacznosci". jesli dam userom te same IP co AP i serwer to > cwaniak wykorzytujac MAC i tak dostanie sie do AP jesli dostanie sie do > AP > to tylko chwila i znajdzie mi ludzikow ktorzy sa w sieci zalogowani i moze > ich na przyklad atakowac. > > -- > Czarek Ale bzdury wypisujesz Po pierwsze zeby podlaczyc sie do AP nie musisz miec IP bo przeciez AP lub server za nim moze przydzielac adresy IP. AP moze byc przezroczyste czyli medium transmisji tak jak kabel w LAN. Druga sprawa to olej te MAC adresy i zrob PPPoE + FreeRadius ale LOGIN i HASLO. Na radiusie ustawiasz zeby tylko 1 user mogl byc zalogowany na danym hasle i po sprawie. A jak w piszesz na interface do userow czyli np eth1 ip 0.0.0.0 to juz ci chodzi tylko pppoe. Zamiast PAP uzyj CHAP zeby to przechwycic trzeba uzyc dekryptora i troszke sie pobawic oczywiscie mozesz uzyc ms-chap v2 ale mysle nie ma co komplikowac. Nawet jak lewy gosc przechwyci jakims cudem haslo lub pojdzie do goscia i wykradnie mu z kompa to i tak tylko 1 osoba bedzie korzystala z neta i jesli prawdziwy user sie zglosi ze nie moze sie zalogowac to poprostu zmienisz mu haslo. Pozdro s@wek

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

Dnia poniedziałek, 8 maja 2006 23:50, KrzychK2 napisał: >Niestety sam sobie otworzyłeś furtkę lub bardziej obrazowo - >strzeliłeś gola ustawiając hasło, które można łatwo odczytać/wydedukować. to nie tak, gosc mial odemnie internet, przeszedl do konkurencji z ktora oczywiscie bardzo sie nie lubimy :) Majac internet od konkurencji przez 1 miesiac za free na probe powiadomil mnie po miesiacu ze rezygnuje. Nastepnie admin konkurencyjnej sieci wlazl mi do mojej sieci uzywajac adresu MAC tego goscia i szczerzy zeby ze wielki z niego hackier :/ Oczywiscie nie moge go oskarzyc bo i gdzie dowody kiedy zmieniajac sobie MAC po prostu podal sie za tamtego klienta, nie zrobil zadnej krzywdy nikomu ale prawdobodobnie zeskanowal siec i jest teraz w posiadaniu prawie calej tablicy mac adresow z powiazanymi adresami IP. Gdzie tu moja wina? > Taki scenariusz można dowolnie modyfikować np - strona którą trzeba > mieć otwartą non stop i tym podobne mechanizmy. owszem NOCAT ale nie w tym rzecz. > 3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli > stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z > dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, > tylko czy to już nie jest przerost formy nad treścią?? Nie każdy > ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi > być na odpowiednim poziomie. No i jeszcze konfiguracja........... No wlasnie nie wszystkie Access Point sobie dobrze z tym radza, ale to nie chodzi o zaszyfrowanie polaczenie choc nie jest to zle. IP-seciem laczylem kiedys dwie sieci i dzilalalo bezblednie ale byly to dwa lacza 2Mbit/s Frame Relay > Co do komputerów na dachu - przecież masz jednopłytowce.. cenowo > wychodzą praktycznie tyle co za normalny sprzęt i masz prawie te same > możliwości. Jednopłytowiec do dużej puchy porządnie zamontowanej, > zabezpiecz jeszcze klapę od dachu i powinno pomóc. Chociaż złodziej > jak nie oknem to drzwiami wejdzie. To musze jeszcze raz rozwazyc i moze kupic cos na probe z karta Wi-Fi i zobaczyc jak to sie bedzie spisywac. A juz najlepiej i najbezpieczniej bylo by jakbym mial ze 40 kart w trybie Ad-hoc, jak to mowia - jeden do jednego i nikt nie podslucha ...to tak humorystycznie :) Mi bardziej chodzi o to zeby gosc po polaczeniu sie do AP nawet znajac wszystkie MAC adresy nie mial dostepu do sieci. Nie czhodzi mi o to czy polaczy sie z netem ale chodzi mi o bezpieczenstwo userow, bo moze byc taka sytuacja.: Gosc wlamuje sie na AP natepnie skanuje siec zauwaza ze jakas Pani Krysia ktora nie ma wielkiego pojecia o komputerach ma udostepnione jakies pliki, wykrada jej te pliki i idzie do niej i mowi ze ma providera dupe wolową :/ albo ludzie udostepniaja sobie filmy i on zaczyna je sciagac przez radio i zapycha cale pasmo radiowe bo na AP nie mam zaimplementowanego QOS :/ -- Czarek

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 09 Maj '06

09 Maj '06

On Tue, 9 May 2006 00:15:25 +0200, Cezary Listkowski wrote > > a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione > > forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer > > ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak > > wszystkie pakiety beda szly tylko do tej maszyny > > > > Dariusz Kowalczyk > > OK. zobaczmy czy dobrze mysle. > > klienci zeby sie podlacyzc z ap musza miec tylko jego ssid i klucz (jesli korzystasz z szyfrowania) nie musza miec wcale adreu ip!! AP podobnie jak zwykly switch dziala w warstwie drugiej i nic go nie obchodzac adresy ip, bo to jest w warstwie trzeciej, poza tym serwer pppoe musi byc postawiony na dedykowanej karcie sieciowej jesli to robisz na maszynie na ktorej juz jest cos to dla ppoe musisz dolozyc druga karte sieciowa Dariusz Kowalczyk -- Webvisor Sp. z o.o. al. Wolnosci 19 33-300 Nowy Sacz tel./fax +48 18 4441888 http://www.webvisor.pl

1 0

Re: sposob na cwaniaka
by Rafal Drozd 09 Maj '06

09 Maj '06

Witaj Cezary, W Twoim liście datowanym 9 maja 2006 (00:15:25) można przeczytać: > Bo jesli tak to w kazdym przypadku musze przypisac obejetnie jakiemukolwiek > userowi jakis adres IP inaczej klientom wyskoczy w/w komunikat o > "ograniczeniu lacznosci". jesli dam userom te same IP co AP i serwer to > cwaniak wykorzytujac MAC i tak dostanie sie do AP jesli dostanie sie do AP > to tylko chwila i znajdzie mi ludzikow ktorzy sa w sieci zalogowani i moze > ich na przyklad atakowac. Przeciez AP'ekowi mozesz ustawic IP jakie Ci sie podoba a uzytkownika przydzielaj adresy z DHCP, a co do tego ze moze atakowac ludzi, zawsze mozesz zakupic jakies AP600 i filtrowac jakies tam porty od SMB itd z poziomu AP :) Oczywiscie przy AP600 mozna troche wiecej pogrzebac ;) -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by Rafal Drozd 09 Maj '06

09 Maj '06

Witaj KrzychK2, W Twoim liście datowanym 8 maja 2006 (23:50:41) można przeczytać: > 2) obrzydzić maksymalnie sposób autoryzacji tak aby dla uprawnionego > klienta był prosty jasny i oczywisty a dla kombinatora, dziwny, > nieodgagniony, pochrzaniony. Systemy FreeBSD (nie wiem jak linux) > oferują mechanizm authpf który generuje odpowiednie regułki firewalla > w momencie uzyskania autoryzacji. fajny ficzer :) co prawda w ISP zastosowanie niebardzo no chyba ze napisac jakas ladna aplikacje ala neostrada+ ;) > 3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli > stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z > dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, > tylko czy to już nie jest przerost formy nad treścią?? Nie każdy > ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi > być na odpowiednim poziomie. No i jeszcze konfiguracja........... przestan ;) jak dasz uzytkownikowi koncowemu instrukcje na dwie strony jak skonfigurowac komputer albo wymusisz na nim uzywanie takiego a nie innego os to troche sie mija z celem, klienci uciekna :) pppoe jest na dobra sprawe meczace dla klientow. -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

> a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione > forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer > ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak > wszystkie pakiety beda szly tylko do tej maszyny > > Dariusz Kowalczyk OK. zobaczmy czy dobrze mysle. Biarac pod uwage to ze mam serwer 192.168.0.1 na nim pppoe Po polaczeniu sie po pppoe user ma internet. Klient laczacy sie po kablu musi miec przypisany adres tak aby widzial serwer czyli np 192.168.0.32 zeby polaczyl sie poprzez pppoe. jesli klient po kabelku bedzie mial adres 172.0.0.2 to juz nie polaczy sie przez pppoe w zwiazku z tym musze tym klientom przypisac jakies adresy z klasy tej samej co serwer i beda oni laczyc sie drugim polaczenim pppoe aby miec internet. Klienci radiowi tez musz miec ustawiony jakis adres IP zeby polczac sie z Access Pointem, ale jaki? Jesli nie beda miec zadnego adresu to wyskoczy im komunikat o "braku polaczenia i ograniczeniu lacznosci" nastepnie jak juz beda mieli jakis adres IP beda laczyc sie poprzez pppoe drugim polaczeniem podobnie jak klienci po kablu. Czy dobrze mysle ? Bo jesli tak to w kazdym przypadku musze przypisac obejetnie jakiemukolwiek userowi jakis adres IP inaczej klientom wyskoczy w/w komunikat o "ograniczeniu lacznosci". jesli dam userom te same IP co AP i serwer to cwaniak wykorzytujac MAC i tak dostanie sie do AP jesli dostanie sie do AP to tylko chwila i znajdzie mi ludzikow ktorzy sa w sieci zalogowani i moze ich na przyklad atakowac. -- Czarek

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 09 Maj '06

09 Maj '06

Dnia poniedziałek, 8 maja 2006 16:56, Jakub Wartak napisał: > Mikrotik przy niepelnych 50 klientach po prostu mnie nie stac :) Bralem juz to pod uwage, ale dzieki za Odp. -- Czarek

1 0

Re: sposob na cwaniaka
by Rafal Drozd 08 Maj '06

08 Maj '06

W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać: > Moj pomysl na bezpieczna siec jest taki: (-cut-) > Jesli zle mysle prosze wyprowadzcie mnie z bledu. No troche bledne zalozenie ;) AP masz sobie w klasie powiedzmy 10.0.0.0 a klientow na 192.168.1.0 wszystko ok, tylko ze na rozne karty sieciowe tego nie ma sensu wrzucac no bo i po co ;) skoro klient i tak przechodzi przez AP bo sie z nim laczy :) co do routingu, mozna zrobic tak zeby nie widzieli AP, tyle ze jak klient zmieni sobie na kompie IP to i tak AP zobaczy (zakladajac oczywiscie ze uzywasz jakis tam zwyklych Access pointow). Ja bym na Twoim miejscu olal radio, niech sie typ podlacza, zrob tylko ladnie PPPoE na jakis tam klasach /30. Niezautoryzowany klient nie ma dostepu do odpowiedniego pppX no i internetu nie ma, jak sie zautoryzuje to wtedy wskakuje na odpowiedniego pppX tworzy sie dla niego routing odpowiedni i tyle ;> No chyba ze gosc jakis cwaniak i zacznie sniffowac userow i hasla to wtedy masz problem ;) Kalkulatory do IP i podsieci znajdziesz tutaj: http://akson.sgh.waw.pl/~chopin/ :) -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by KrzychK2 08 Maj '06

08 Maj '06

Witaj Cezary, W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać: > Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał: >> On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote >> >> > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej >> > sytuacji. >> > >> > Mielm klienta ktory mial odemnie internet droga radiowa. >> > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie >> > czyli miesiac pozniej. >> > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna >> > adresy MAC z powiaznymi IP. >> > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z >> > tego kiedy dla klientow radiowych haslem jest adres MAC. >> > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? >> > ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. >> > >> > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale >> > adresow MAC przeciez ludziom nie pozmieniam (40osob) >> > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe >> > dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem >> > sie z takim sprzetem. >> > >> > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? >> > >> > -- >> > Czarek >> >> wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem >> przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle >> debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... >> >> Dariusz Kowalczyk > Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa > ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia > to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na > serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi > na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. > Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie > osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to > ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji > adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i > blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie > serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na > dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym > go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez > je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil > Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal > w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze > troche. > Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. > Chce odzielic siec Access pointow od sieci z uzytkownikami. > Moj pomysl na bezpieczna siec jest taki: > 1) Access Pointy niech stoja bez szyfrowania z filtracja MAC. > 2) Serwer zaopatrzec w dwie 3 karty sieciowe > - jedna eth0 w ktora wpinam sygnal np.: z modemu DSL > - druga eth1 w ktora wpinam Access Pointa > - trzecia eth2 w ktora wpinam userow > 2) W Access Pointach ustawic IP klase na 10.0.0.0 > 2) Karte eth2 usawic w innej klasie np C 192.168.1.0 > a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i > wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) > W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec > klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access > Pointami mogli polaczys sie poprzez PPPOE z serwerem. > Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od > klientow z LAN i serwera? > A moze ktos te zagadnienia przetestowal juz wczesniej i podzieli sie wiedza? > Jesli zle mysle prosze wyprowadzcie mnie z bledu. > Pozdrawiam Niestety sam sobie otworzyłeś furtkę lub bardziej obrazowo - strzeliłeś gola ustawiając hasło, które można łatwo odczytać/wydedukować. Teraz możliwości jest kilka. 1) poptop - to już jest vpn po gre możesz na nim wymusić szyfrowanie, co prawda ze stałym kluczem, ale zawsze jakieś. posiada autoryzację - użytkownik/hasło 2) obrzydzić maksymalnie sposób autoryzacji tak aby dla uprawnionego klienta był prosty jasny i oczywisty a dla kombinatora, dziwny, nieodgagniony, pochrzaniony. Systemy FreeBSD (nie wiem jak linux) oferują mechanizm authpf który generuje odpowiednie regułki firewalla w momencie uzyskania autoryzacji. Może to wyglądać np. poprzez uzyskanie dostępu do internetu dla użytkownika który otworzy sesję ssh i będzie ona otwarta. Sesja ssh może być zainicjowana TYLKO za pomocą klucza, który to użytkownik dostanie od Ciebie. W puttym pod windows czy ssh pod unixy taka konfiguracja zajmuje 3 kliknięcia myszą, a zaczyna się to robić skuteczne. Po pierwsze - będziesz miał bazę kluczy a jednocześnie użytkowników uprawnionych do korzystania z sieci. Po drugie - intruz dostanie się do sieci, ale nie skorzysta z internetu, a skanowanie nic nie da bo zobaczy tylko śmieci. Po trzecie - TY będziesz zarządzał dostępem w TOBIE tylko znany sposób. End user dostanie tylko dyskietkę z kluczem i instrukcję. Taki scenariusz można dowolnie modyfikować np - strona którą trzeba mieć otwartą non stop i tym podobne mechanizmy. 3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, tylko czy to już nie jest przerost formy nad treścią?? Nie każdy ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi być na odpowiednim poziomie. No i jeszcze konfiguracja........... Co do komputerów na dachu - przecież masz jednopłytowce.. cenowo wychodzą praktycznie tyle co za normalny sprzęt i masz prawie te same możliwości. Jednopłytowiec do dużej puchy porządnie zamontowanej, zabezpiecz jeszcze klapę od dachu i powinno pomóc. Chociaż złodziej jak nie oknem to drzwiami wejdzie. -- Pozdrowienia, KrzychK2

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 08 Maj '06

08 Maj '06

Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał: > On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote > > > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej > > sytuacji. > > > > Mielm klienta ktory mial odemnie internet droga radiowa. > > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie > > czyli miesiac pozniej. > > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna > > adresy MAC z powiaznymi IP. > > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z > > tego kiedy dla klientow radiowych haslem jest adres MAC. > > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? > > ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale > > adresow MAC przeciez ludziom nie pozmieniam (40osob) > > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe > > dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem > > sie z takim sprzetem. > > > > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > > > -- > > Czarek > > wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem > przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle > debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... > > Dariusz Kowalczyk Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze troche. Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. Chce odzielic siec Access pointow od sieci z uzytkownikami. Moj pomysl na bezpieczna siec jest taki: 1) Access Pointy niech stoja bez szyfrowania z filtracja MAC. 2) Serwer zaopatrzec w dwie 3 karty sieciowe - jedna eth0 w ktora wpinam sygnal np.: z modemu DSL - druga eth1 w ktora wpinam Access Pointa - trzecia eth2 w ktora wpinam userow 2) W Access Pointach ustawic IP klase na 10.0.0.0 2) Karte eth2 usawic w innej klasie np C 192.168.1.0 a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access Pointami mogli polaczys sie poprzez PPPOE z serwerem. Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od klientow z LAN i serwera? A moze ktos te zagadnienia przetestowal juz wczesniej i podzieli sie wiedza? Jesli zle mysle prosze wyprowadzcie mnie z bledu. Pozdrawiam -- Czarek

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 08 Maj '06

08 Maj '06

On Mon, 8 May 2006 16:56:00 +0200, Jakub Wartak wrote > Dnia poniedziałek, 8 maja 2006 05:20, Cezary Listkowski napisał: > > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > > takim sprzetem. > > Mikrotik ? > > -- > Jakub Wartak > -vnull > Abstrakcyjna plciowosc szczekoczulek Konstantego. > http://vnull.pcnet.com.pl/ a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak wszystkie pakiety beda szly tylko do tej maszyny Dariusz Kowalczyk

1 0

Re: sposob na cwaniaka
by Jakub Wartak 08 Maj '06

08 Maj '06

Dnia poniedziałek, 8 maja 2006 05:20, Cezary Listkowski napisał: > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > takim sprzetem. Mikrotik ? -- Jakub Wartak -vnull Abstrakcyjna plciowosc szczekoczulek Konstantego. http://vnull.pcnet.com.pl/

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 08 Maj '06

08 Maj '06

On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej sytuacji. > > Mielm klienta ktory mial odemnie internet droga radiowa. > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie czyli > miesiac pozniej. > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna > adresy MAC z powiaznymi IP. > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z tego > kiedy dla klientow radiowych haslem jest adres MAC. > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? ano > stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale adresow > MAC przeciez ludziom nie pozmieniam (40osob) > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > takim sprzetem. > > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > -- > Czarek wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... Dariusz Kowalczyk

1 0

Re: [lms] sposob na cwaniaka
by Marcin o2.pl 08 Maj '06

08 Maj '06

Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > -- > Czarek > możesz postawić hostap + nocat

1 0

Re: sposob na cwaniaka
by jacekowski 08 Maj '06

08 Maj '06

> > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > mozesz zrobic serwer pppoe na linuxie i polaczyc go z freeradiusem gdzies na tej liscie byl nawet opis jak to wszystko skonfigurowac

1 0

sposob na cwaniaka
by Cezary Listkowski 08 Maj '06

08 Maj '06

Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej sytuacji. Mielm klienta ktory mial odemnie internet droga radiowa. Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie czyli miesiac pozniej. Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna adresy MAC z powiaznymi IP. Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z tego kiedy dla klientow radiowych haslem jest adres MAC. Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale adresow MAC przeciez ludziom nie pozmieniam (40osob) Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z takim sprzetem. Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? -- Czarek

1 0

Re: lms-notify
by Piotr Górski 07 Maj '06

07 Maj '06

Galciu napisał(a): > >>> Dlaczego dziwne? >>> Jka klient podlacza się w Polowie miesiąca to mu trzeba naliczac jakies >>> niecelne miesiące itp. Jak się podlacza 13 to ma 13 okres rozliczeniowy. >>> Wydaje mi się to calkiem logiczne >> >> >> No właśnie nie bo LMS potrafi naliczać automagicznie ten niepełny >> okres... Takie cudo :) Poszukaj :) Albo zaktualizuj sobie LMS'a :) >> > gdzie jest to automagiczne cudo?? > bo brzmi fajnie, ale nie moge go znaleźć :( > Przy dodawaniu taryfy klientowi możesz zaznaczyć opcję: Z wyrównaniem początkowego okresu niepełnego Pozdrawiam, -- Piotr Górski

1 0

Terminarz
by Marcin o2.pl 07 Maj '06

07 Maj '06

Witam, jak mogę wyłączyć w terminarzu użytkownikowi opcję zamykania/otwierania zdarzenia ? chciałbym móc zamknąć zdarzenie aby nie można było zmienić danych a szczególnie godzin. Pozdrawiam Marcin

1 0

limity kont
by brzoza 06 Maj '06

06 Maj '06

witam moze zadam dosc glupie pytanie ale nie doszukalem sie w dokumentacji... co oznacza pole limit przy zakladaniu kont userom??? pozdr brzoza

1 0

Radius i lms
by R99 na wp 06 Maj '06

06 Maj '06

Dzień Dobry 1. Mam lms 1.8.1 i freeradiusa - w lms.ini mam regulke do generowania mac dla radiusa : [mgc:radius] ;append=1 outfile_perm = 644 networks = PRADNIK_BIALY RADIA outfile = /etc/freeradius/users allexistnodes = "%MAC" User-Password == ""\n - sieci PRADNIK_BIALY (klasa 10.0.1.xx) i RADIA (10.0.0.xx) RADIA -mam urzadzenia radiowe w innej klasie Objaw mam taki ze generuje mi w pliku users mac-i dla sieci PRADNIK_BIALY, nie mam natomiast mac-ow dla sieci RADIA i mam ciagle komunikaty z radiusa ze nie autoryzuje punktów dostepowych za ktorymi sa klienci (klientów autoryzje ok). 2. Czy jest regula ktora pozwolilaby na generowanie oprocz mac-ow userow ich nazwy -a potem zasysanie tych nazw do Mikrotika tak by bylo widac po nazwach ludzi ktorzy sa podlaczeni ? -- Pozdrowienia, Rafał

1 0

Re: nowy autor LMS-a
by Tomasz Chilinski 06 Maj '06

06 Maj '06

On Sat, 06 May 2006 07:52:58 +0200, A.L.E.C wrote > Przemysław 'Repcio' Gubernat napisał(a): > >> Obejrzyjcie sobie aukcje: > >> http://www.allegro.pl/show_item.php?item=100346734 . Facet pisze: > >> "Publikacja nie jest objęta licencją GNU/FDL Oświadczam że jestem > >> autorem publikacji. " > > > > Jest też autorem Dabiana, Webadmin, squida, dhcp .... niezły koleś ;-) > > > > Moglibyście czytać ze zrozumieniem? Co się tak gorączkujecie? Co > najmniej jakbyście sami byli autorami. > > "Publikacja nie jest objęta licencją GNU/FDL" > > - przecież nie skłamał, debian i LMS są na GNU/GPL ;) > > "Oświadczam że jestem autorem publikacji. " > > To zdanie w sumie też pewnie wynika z regulaminu allegro, ale > jakbyście przeczytali od początku to pisze "Przedmiotem aukcji jest > usługa instalacji systemu LINUX DEBIAN na twoim serwerze wraz z > profesjonalnym panelem." On nie sprzedaje LMSa, czy Debiana, ale je instaluje. Dodam od siebie, że wynika z jego tekstu, że jest on autorem publikacji, którą jest treść tekstu, który napisał w ramach opisu aukcji, więc w ogóle nie chodzi o oprogramowanie, które sprzedaje ;-) Jednak powinien doprecyzo3wać co ma na myśli z tym GNU/FDL. > -- > Aleksander 'A.L.E.C' Machniak - http://alec.pl gg:2275252 > LAN Management System Developer - http://lms.rulez.pl Pozdrawiam, Tomek.

1 0

Re: ING
by Marcin Król 06 Maj '06

06 Maj '06

Owyn napisał(a): > Witam, > czy ktoś używa tego skryptu do logowania w banku ING ? działa on ? Na 99,9% od kilku miesięcy nie. -- _ _ _ ___ | |_ | \/ |( __| http://www.|___)|_||_||___).rulez.pl Marcin 'Lexx' Król LMS Developer lexx(a)polarnet.gliwice.pl GG: 652506 Nie odpisuje na listy pisane w HTML.

1 0