- lms - lists.lms.org.pl

Re: sposob na cwaniaka
by Rafal Drozd 08 Maj '06

08 Maj '06

W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać: > Moj pomysl na bezpieczna siec jest taki: (-cut-) > Jesli zle mysle prosze wyprowadzcie mnie z bledu. No troche bledne zalozenie ;) AP masz sobie w klasie powiedzmy 10.0.0.0 a klientow na 192.168.1.0 wszystko ok, tylko ze na rozne karty sieciowe tego nie ma sensu wrzucac no bo i po co ;) skoro klient i tak przechodzi przez AP bo sie z nim laczy :) co do routingu, mozna zrobic tak zeby nie widzieli AP, tyle ze jak klient zmieni sobie na kompie IP to i tak AP zobaczy (zakladajac oczywiscie ze uzywasz jakis tam zwyklych Access pointow). Ja bym na Twoim miejscu olal radio, niech sie typ podlacza, zrob tylko ladnie PPPoE na jakis tam klasach /30. Niezautoryzowany klient nie ma dostepu do odpowiedniego pppX no i internetu nie ma, jak sie zautoryzuje to wtedy wskakuje na odpowiedniego pppX tworzy sie dla niego routing odpowiedni i tyle ;> No chyba ze gosc jakis cwaniak i zacznie sniffowac userow i hasla to wtedy masz problem ;) Kalkulatory do IP i podsieci znajdziesz tutaj: http://akson.sgh.waw.pl/~chopin/ :) -- Pozdrowienia, Rafal Drozd

1 0

Re: sposob na cwaniaka
by KrzychK2 08 Maj '06

08 Maj '06

Witaj Cezary, W Twoim liście datowanym 8 maja 2006 (23:07:13) można przeczytać: > Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał: >> On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote >> >> > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej >> > sytuacji. >> > >> > Mielm klienta ktory mial odemnie internet droga radiowa. >> > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie >> > czyli miesiac pozniej. >> > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna >> > adresy MAC z powiaznymi IP. >> > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z >> > tego kiedy dla klientow radiowych haslem jest adres MAC. >> > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? >> > ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. >> > >> > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale >> > adresow MAC przeciez ludziom nie pozmieniam (40osob) >> > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe >> > dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem >> > sie z takim sprzetem. >> > >> > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? >> > >> > -- >> > Czarek >> >> wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem >> przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle >> debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... >> >> Dariusz Kowalczyk > Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa > ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia > to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na > serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi > na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. > Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie > osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to > ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji > adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i > blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie > serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na > dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym > go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez > je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil > Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal > w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze > troche. > Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. > Chce odzielic siec Access pointow od sieci z uzytkownikami. > Moj pomysl na bezpieczna siec jest taki: > 1) Access Pointy niech stoja bez szyfrowania z filtracja MAC. > 2) Serwer zaopatrzec w dwie 3 karty sieciowe > - jedna eth0 w ktora wpinam sygnal np.: z modemu DSL > - druga eth1 w ktora wpinam Access Pointa > - trzecia eth2 w ktora wpinam userow > 2) W Access Pointach ustawic IP klase na 10.0.0.0 > 2) Karte eth2 usawic w innej klasie np C 192.168.1.0 > a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i > wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) > W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec > klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access > Pointami mogli polaczys sie poprzez PPPOE z serwerem. > Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od > klientow z LAN i serwera? > A moze ktos te zagadnienia przetestowal juz wczesniej i podzieli sie wiedza? > Jesli zle mysle prosze wyprowadzcie mnie z bledu. > Pozdrawiam Niestety sam sobie otworzyłeś furtkę lub bardziej obrazowo - strzeliłeś gola ustawiając hasło, które można łatwo odczytać/wydedukować. Teraz możliwości jest kilka. 1) poptop - to już jest vpn po gre możesz na nim wymusić szyfrowanie, co prawda ze stałym kluczem, ale zawsze jakieś. posiada autoryzację - użytkownik/hasło 2) obrzydzić maksymalnie sposób autoryzacji tak aby dla uprawnionego klienta był prosty jasny i oczywisty a dla kombinatora, dziwny, nieodgagniony, pochrzaniony. Systemy FreeBSD (nie wiem jak linux) oferują mechanizm authpf który generuje odpowiednie regułki firewalla w momencie uzyskania autoryzacji. Może to wyglądać np. poprzez uzyskanie dostępu do internetu dla użytkownika który otworzy sesję ssh i będzie ona otwarta. Sesja ssh może być zainicjowana TYLKO za pomocą klucza, który to użytkownik dostanie od Ciebie. W puttym pod windows czy ssh pod unixy taka konfiguracja zajmuje 3 kliknięcia myszą, a zaczyna się to robić skuteczne. Po pierwsze - będziesz miał bazę kluczy a jednocześnie użytkowników uprawnionych do korzystania z sieci. Po drugie - intruz dostanie się do sieci, ale nie skorzysta z internetu, a skanowanie nic nie da bo zobaczy tylko śmieci. Po trzecie - TY będziesz zarządzał dostępem w TOBIE tylko znany sposób. End user dostanie tylko dyskietkę z kluczem i instrukcję. Taki scenariusz można dowolnie modyfikować np - strona którą trzeba mieć otwartą non stop i tym podobne mechanizmy. 3) inne sposoby - np. wykorzystanie IP-sec z isakmp + ssl czyli stworzenie szyfrowanych tuneli dla każdego użytkownika dodatkowo z dynamiczną wymianą kluczy, wszystko oparte na certyfikatach, tylko czy to już nie jest przerost formy nad treścią?? Nie każdy ruter wifi sobie z tym radzi. Poza tym wydajność rutera też musi być na odpowiednim poziomie. No i jeszcze konfiguracja........... Co do komputerów na dachu - przecież masz jednopłytowce.. cenowo wychodzą praktycznie tyle co za normalny sprzęt i masz prawie te same możliwości. Jednopłytowiec do dużej puchy porządnie zamontowanej, zabezpiecz jeszcze klapę od dachu i powinno pomóc. Chociaż złodziej jak nie oknem to drzwiami wejdzie. -- Pozdrowienia, KrzychK2

1 0

Re: sposob na cwaniaka
by Cezary Listkowski 08 Maj '06

08 Maj '06

Dnia poniedziałek, 8 maja 2006 10:38, Dariusz Kowalczyk napisał: > On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote > > > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej > > sytuacji. > > > > Mielm klienta ktory mial odemnie internet droga radiowa. > > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie > > czyli miesiac pozniej. > > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna > > adresy MAC z powiaznymi IP. > > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z > > tego kiedy dla klientow radiowych haslem jest adres MAC. > > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? > > ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale > > adresow MAC przeciez ludziom nie pozmieniam (40osob) > > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe > > dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem > > sie z takim sprzetem. > > > > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > > > -- > > Czarek > > wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem > przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle > debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... > > Dariusz Kowalczyk Szyfrowanie WEP lamie sie bardzo prosto, bawilem sie nie raz a narzedzia sa ogolnie dostepne lacznie nawet z filmikami jak to sie robi, ponadto oslabia to syganal dlatego tez zadne to utrudnienie. Nocata i PPPOE zainstalowany na serwerku tez malo w tym przypadku da poniewaz jesli gosc ma MAC to wejdzie mi na AP i wystarczy skan sieci i wszystkie zabezpieczenia sa do d....py. Dlaczego? bo ludzie jak wicie nie wszyscy sa orlami i nie zabezpieczaja sie osobiscie a ja jako dostawca chce ich ochronic przed cwaniakami. Choci o to ze w AP jest zabezpieczenie tak naprawde tylko opierajace sie na filtracji adresow MAC. Jak wiecie MACa mozna sobie zmieniac i to jest ogromny bol i blad tego kto to wymyslil. Najlepszym zabezpieczeniem bylo by postawienie serwera PPPOE z karta Wi-Fi na PCI w trybie AP, ale jak mam postawic kompa na dachu :) to by bylo troszke smieszne i nie rozwazne, podjrzewam ze szybko bym go stracil, i tak juz stracilem 2 anteny i jednego Access Pointa przez je...nych zlodzieji. Bardzo ubolewam ze jescze zaden z producentow nie zrobil Access Pointa z uwierzytelnianiem i tunelowaniem polaczen i to byl by strzal w dziesiatke. No ale to sa tylko mznoki na ktore moze poczekamy sobie jeszcze troche. Mam inny pomysl, ale brakuje mi wiedzy, moze ktos z Was pomoze. Chce odzielic siec Access pointow od sieci z uzytkownikami. Moj pomysl na bezpieczna siec jest taki: 1) Access Pointy niech stoja bez szyfrowania z filtracja MAC. 2) Serwer zaopatrzec w dwie 3 karty sieciowe - jedna eth0 w ktora wpinam sygnal np.: z modemu DSL - druga eth1 w ktora wpinam Access Pointa - trzecia eth2 w ktora wpinam userow 2) W Access Pointach ustawic IP klase na 10.0.0.0 2) Karte eth2 usawic w innej klasie np C 192.168.1.0 a klase C podzielic tak aby kady user mial po 3 adresy lub po dwa adresy i wyregulowac to maska (tu nie wiem jak sie dzieli-czy jest jakis kalulator?) W ogole brakuje mi troszke teorii i praktyki. Nie wiem czy warto dzielic siec klasy C na czesci i ja ustawic routing aby klienci laczacy sie z Access Pointami mogli polaczys sie poprzez PPPOE z serwerem. Moze ktos z Was ma lepszy pomysl odzielenia porzadnie klientow z AP od klientow z LAN i serwera? A moze ktos te zagadnienia przetestowal juz wczesniej i podzieli sie wiedza? Jesli zle mysle prosze wyprowadzcie mnie z bledu. Pozdrawiam -- Czarek

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 08 Maj '06

08 Maj '06

On Mon, 8 May 2006 16:56:00 +0200, Jakub Wartak wrote > Dnia poniedziałek, 8 maja 2006 05:20, Cezary Listkowski napisał: > > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > > takim sprzetem. > > Mikrotik ? > > -- > Jakub Wartak > -vnull > Abstrakcyjna plciowosc szczekoczulek Konstantego. > http://vnull.pcnet.com.pl/ a po co Ci zaimplementowany w Ap serwer ppoe jak AP ma ustawione forwardowanie pakietow na mac adres i izolacje miedzy klientami to serwer ppoe mozesz postawic na dowolnej maszynie i w dowolnej lokalizacji i tak wszystkie pakiety beda szly tylko do tej maszyny Dariusz Kowalczyk

1 0

Re: sposob na cwaniaka
by Jakub Wartak 08 Maj '06

08 Maj '06

Dnia poniedziałek, 8 maja 2006 05:20, Cezary Listkowski napisał: > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > takim sprzetem. Mikrotik ? -- Jakub Wartak -vnull Abstrakcyjna plciowosc szczekoczulek Konstantego. http://vnull.pcnet.com.pl/

1 0

Re: sposob na cwaniaka
by Dariusz Kowalczyk 08 Maj '06

08 Maj '06

On Mon, 8 May 2006 05:20:56 +0200, Cezary Listkowski wrote > Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej sytuacji. > > Mielm klienta ktory mial odemnie internet droga radiowa. > Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie czyli > miesiac pozniej. > Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna > adresy MAC z powiaznymi IP. > Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z tego > kiedy dla klientow radiowych haslem jest adres MAC. > Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? ano > stad ze ludzie czasami zglaszaja mi konflikty adresow IP. > > Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale adresow > MAC przeciez ludziom nie pozmieniam (40osob) > Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla > uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z > takim sprzetem. > > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > -- > Czarek wlacz po porstu szyfrowanie jak nie masz czasu bawic sie z portalem przechwytujacym w stylu nocat zawsze to jakiej utrudnienie mac adres byle debil moze wykorzystac a szyfrowanie juz trzeba minimum wiedzy ... Dariusz Kowalczyk

1 0

Re: [lms] sposob na cwaniaka
by Marcin o2.pl 08 Maj '06

08 Maj '06

Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > > -- > Czarek > możesz postawić hostap + nocat

1 0

Re: sposob na cwaniaka
by jacekowski 08 Maj '06

08 Maj '06

> > Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? > mozesz zrobic serwer pppoe na linuxie i polaczyc go z freeradiusem gdzies na tej liscie byl nawet opis jak to wszystko skonfigurowac

1 0

sposob na cwaniaka
by Cezary Listkowski 08 Maj '06

08 Maj '06

Moze kots z madrych ludzi, bez przycinek powie mi co zrobic w takiej sytuacji. Mielm klienta ktory mial odemnie internet droga radiowa. Kient przesiadl sie do konkruncji ale powiadomil mnie dopiero po fakcie czyli miesiac pozniej. Cwaniczek provider (chyba) z konkurencyjnej sieci przeskanowal moja i zna adresy MAC z powiaznymi IP. Na Access Pointach filtruje adresy MAC, posiadam free radiusa ale co z tego kiedy dla klientow radiowych haslem jest adres MAC. Teraz cwaniaki moga sie podszywac i nie mozna tego udowodnic. Skad wiem? ano stad ze ludzie czasami zglaszaja mi konflikty adresow IP. Zmiana adresacji sieci i wylaczenie DHCP moze by troszke pomogla ale adresow MAC przeciez ludziom nie pozmieniam (40osob) Mysle sobie fajnie by bylo gdyby byl zaimplementowany w AP serwer pppoe dla uwierzytelniania klientow :) ale o tym moge zapomiec bo nie spotkalem sie z takim sprzetem. Cholerne radiowki, czy tez nie ma sposobu na cwaniaka? -- Czarek

1 0

Re: lms-notify
by Piotr Górski 07 Maj '06

07 Maj '06

Galciu napisał(a): > >>> Dlaczego dziwne? >>> Jka klient podlacza się w Polowie miesiąca to mu trzeba naliczac jakies >>> niecelne miesiące itp. Jak się podlacza 13 to ma 13 okres rozliczeniowy. >>> Wydaje mi się to calkiem logiczne >> >> >> No właśnie nie bo LMS potrafi naliczać automagicznie ten niepełny >> okres... Takie cudo :) Poszukaj :) Albo zaktualizuj sobie LMS'a :) >> > gdzie jest to automagiczne cudo?? > bo brzmi fajnie, ale nie moge go znaleźć :( > Przy dodawaniu taryfy klientowi możesz zaznaczyć opcję: Z wyrównaniem początkowego okresu niepełnego Pozdrawiam, -- Piotr Górski

1 0