Mactab

Kde to stáhnu?

http://charon.hkfree.org/~vojta/mactab/

K čemu to je?

Mám router s linuxem a na některém jeho rozhraní je větší množství připojenců. Může to být přímo na WiFi (wlan0, ath0) nebo prostřednictvím ethernetu a krabičkového AP (eth0). Každý připojenec má jednu nebo více IP adres. Obvykle dvě - jednu pro svůj "krabičkový" přijímač (AP v režimu klient - ovislink apod), druhou pro svoje PC. Občas se stane, že některý připojenec svoji IP adresu změní a použije adresu někoho jiného. Juraj potom složitě řeší vzniklý konflikt a domlouvá připojencům aby to nedělali. Vojta na to jde od lesa a nainstaluje si mactab.

Instalace - zkušební provoz

V uvedených příkladech počítejme s rozhraním wlan0.

1. Budeme potřebovat shell script "mactab":

# cd /usr/local/bin
# wget http://charon.hkfree.org/~vojta/mactab/mactab

2. Datový (konfigurační) soubor umístíme přímo do kořenového adresáře (/) a přidáme koncovku - stejnou jako jméno příslušného rozhraní. Například:

-rw-r--r--  1 root root 5504 Feb  5 21:03 /mactab.wlan0
-rw-r--r--  1 root root 8578 Feb  1 10:46 /mactab.eth6

Vzorový kousek pořídíme takto:

wget -o /mactab.wlan0 http://charon.hkfree.org/~vojta/mactab/mactab.wlan0.sample

V souboru se vyskytuje komentář "keep:open"; ten je třeba ponechat až do úplného odladění. Zpravidla to je několik dní; viz Ostrý provoz - níže. Poté do něj zadáme všechny kombinace MAC adres a IP adres, které v síti máme.

3. Poprvé spustíme:

shell$ /usr/local/bin/mactab

Toto je třeba též spouštět po každém startu stroje.

4. Vytvoříme "odkazy" v iptables:

iptables -I INPUT -i wlan0 -j MACFILTR.wlan0
iptables -I FORWARD -i wlan0 -j MACFILTR.wlan0

Pokud vaše distribuce neukládá automaticky iptables, je třeba tyto 2 příkazy spouštět po každém startu stroje.

5. Sledujeme, co se děje

(zde doporučuju přečíst Jak to funguje dole, pokud si nejste jisti s iptables)

Iptables umožňují sledovat, kolik paketů/dat prošlo jednotlivými pravidky.

iptables -L MACFILTR.wlan0 -v -n

nebo komfortněji:

watch -n1 iptables -L MACFILTR.wlan0 -v -n

Podle toho poznáme, že jsme zadali všechny MAC adresy správně. Pokud počítadlo na konci u pravidla LOG (popř. REJECT) roste, něco je špatně.

Nyní stále není filtrování aktivní, stále jsme v testovacím režimu.

Datový soubor

Formát souboru s konfigurací:

# Komentář
# keep:open
<interface> mac <macadresa> ip <ipadresa>
<interface> mac <macadresa> ip <ipadresa>[/maska]
<interface> +   <macadresa> ip <ipadresa>
<interface> +   <macadresa> ip <ipadresa>       # komentář
<interface> iptables:allow <parametry>

Příklad:

# MAC/IP filtr pro AP honidolni.hkfree.org
# keep:open
wlan0 iptables:allow -s 10.107.15.40/29         # Primy kod pro iptables (tvrde povoleni nekterych rozsahu)
wlan0 iptables:allow -s 10.107.72.0/26
wlan0 mac 00:4F:69:--:--:-- ip 10.107.55.8/31   # 1535 Tonda Skocdopole
wlan0 mac 00:0B:6B:--:--:-- ip 10.107.55.19     # 397 Radim Nekvasil
wlan0 mac +                 ip 10.107.55.20
wlan0 mac 00:4F:69:--:--:-- ip 10.107.55.47     # 418 Petr Rychly
wlan0 mac +                 ip 10.107.55.48
wlan0 mac 00:4F:69:--:--:-- ip 10.107.55.28/31  # 439 Joska Pomaly
wlan0 mac +                 ip 10.107.55.30
wlan0 mac +                 ip 10.107.55.71
wlan0 mac 00:4F:69:--:--:-- ip 10.107.55.21     # 1474 Jack the Master
wlan0 mac +                 ip 10.107.55.22
wlan0 mac +                 ip 10.107.55.240/29
wlan0 mac 00:80:48:--:--:-- ip any              # privilegovane MAC adresy - muzou vsechno
wlan0 mac 00:60:B3:--:--:-- ip any
wlan0 mac 00:60:B3:--:--:-- ip any

Ostrý provoz

Do ostrého provozu přejdeme tím, že z datového souboru (/mactab.xxx) odstraníme komentářový řádek

 # keep:open

a reloadneme to:

 shell$ /usr/local/bin/mactab

Od této chvíle jsou nevyhovující pakety odmítány (pomocí -j REJECT)

Troubleshooting

todo

Jak to funguje

Z datového souboru se vytváří 2 věci: - MAC filtr na úrovni wifi, pokud se zařízení jmenuje wlan*; volá se iwpriv wlan0 maccmd 1 a iwpriv wlan0 addmac aa:aa:aa:aa:aa:aa - Chain v iptables označený MACFILTR.wlan0

1. MAC filtr na úrovni wifi

shell# cat /proc/net/hostap/wlan0/ap_control
MAC policy: allow
MAC entries: 40
MAC list:
00:60:b3:-
00:60:b3:-
00:4f:62:-
...

2. Chain v iptables

V iptables se vytvoří následující záznamy (MAC adresy jsou zde ořezány):

Chain MACFILTR.wlan0 (2 references)
num   pkts bytes target     prot opt in     out     source               destination
1    66364 5605K RETURN     all  --  *      *       10.107.15.1          0.0.0.0/0
2     4149  379K RETURN     all  --  *      *       10.107.55.129        0.0.0.0/0
3        0     0 RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0          MAC 00:04:E2:-
4        0     0 RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0          MAC 00:04:E2:-
5        0     0 RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0          MAC 00:60:B3:-
6        0     0 RETURN     all  --  *      *       10.107.15.2          0.0.0.0/0          MAC 00:60:B3:-
7        0     0 RETURN     all  --  *      *       10.107.15.2          0.0.0.0/0          MAC 00:90:4B:-
8        0     0 RETURN     all  --  *      *       10.107.15.2          0.0.0.0/0          MAC 00:0B:6B:-
9      127  5092 RETURN     all  --  *      *       10.107.15.11         0.0.0.0/0          MAC 00:03:2F:-
10   98614   18M RETURN     all  --  *      *       10.107.15.12         0.0.0.0/0          MAC 00:00:B4:-
11    150K   19M RETURN     all  --  *      *       10.107.15.3          0.0.0.0/0          MAC 00:06:4F:-
12    506K   77M RETURN     all  --  *      *       10.107.15.4          0.0.0.0/0          MAC 00:12:0E:-
13   29487 2408K RETURN     all  --  *      *       10.107.15.5          0.0.0.0/0          MAC 00:90:CC:-
14   1763K 1081M RETURN     all  --  *      *       10.107.15.6          0.0.0.0/0          MAC 00:90:CC:-
15     422  138K RETURN     all  --  *      *       10.107.15.7          0.0.0.0/0          MAC 00:0E:2E:-
16    3616 3724K RETURN     all  --  *      *       10.107.15.8          0.0.0.0/0          MAC 00:0E:2E:-
17   83707 7033K RETURN     all  --  *      *       10.107.55.135        0.0.0.0/0          MAC 00:0E:2E:-
18    174K   20M RETURN     all  --  *      *       10.107.55.136/31     0.0.0.0/0          MAC 00:0E:2E:-
19   60150 5048K RETURN     all  --  *      *       10.107.15.9          0.0.0.0/0          MAC 00:90:CC:-
20   2716K  569M RETURN     all  --  *      *       10.107.15.10         0.0.0.0/0          MAC 00:90:CC:-
21       0     0 RETURN     all  --  *      *       10.107.15.13         0.0.0.0/0          MAC 00:0C:41:-
22    429K  237M RETURN     all  --  *      *       10.107.55.130/31     0.0.0.0/0          MAC 00:0E:2E:-
23    182K   20M RETURN     all  --  *      *       10.107.55.132/31     0.0.0.0/0          MAC 00:12:0E:-
24    356K   63M RETURN     all  --  *      *       10.107.55.134        0.0.0.0/0          MAC 00:80:48:-
25       0     0 RETURN     all  --  *      *       10.107.15.14         0.0.0.0/0          MAC 00:02:8A:-
26       0     0 RETURN     all  --  *      *       10.107.55.158        0.0.0.0/0          MAC 00:15:F2:-
27       3  1002 RETURN     udp  --  *      *       0.0.0.0/0            255.255.255.255    udp dpt:67
28     556 59846 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0          limit: avg 15/sec burst 5 LOG flags 0 level 4 prefix `macfilter-reject '
29     556 59846 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0          reject-with icmp-host-prohibited

Každý paket, který přišel z wlan0, postupně shora prochází tato pravidla. Pokud na některém vyhovují všechny podmínky (zde jsou to dvě: source IP a MAC adresa), provede se pravidlo RETURN, tj. paket je přijat (není-li posléze v INPUTu nebo FORWARDu uvedeno jinak).

Špatný paket, který nevyhoví žádnému pravidlu, dojde na poslední 2 pravidla: LOG (zapíšeme ho do syslogu) a REJECT (odmítneme ho).

Pravidlo REJECT zde způsobí úplné odpojení od sítě těm připojencům, které jsme do datového souboru nezadali. V testovacím provozu (# keep:open) zde REJECT chybí.

Ve sloupci pkts je počítadlo paketů, které danému pravidlu vyhověly. Pokud např. pingneme na 10.107.15.9, vidíme, že v řádku 19 se počítadlo pomalu zvyšuje.

Autor

--VojtaLhota 12:40, 23. 2. 2007 (CET)