arp: is using my IP address

> кто-то выставляет себе ip адрес шлюза одной из юзерских подсетей, причём после финта ущами (на скорую руку) заключающегося в смене адреса шлюза, он стал использовать и новый.

Он при этом шлюз от сети отключает/обесточивает чтоли? Потому что в локалках очень используемый механизм бана - прописать роутеру на сетевуху алиасом адрес юзера, юзер после этого тупо не может влезть в сеть под этим адресом, если только сначала отключит-обесточит устройство с этим адресом и сам влезет с таким IP первым. Юзерский комп выключается несколько чаще чем роутер, а сделать что-либо с последним можно только не совсем законными действиями. Или я чего-то не понимаю.

> отловить ip проблемного устройства, если из логов уже видно что как миниму нсколько устройст с разными МАКами брали себе ip шлюзов;

Если админ некоторое время до этих событий думал головой, то найти виновника торжества не составит труда. Дальше "бан на свитче" и делу конец. Банить рекомендуется вынимаением патчкорда, так как есть удаки которые в ответ на такие санкции начинают мстить 220 вольтами по патчкорду....

это насколько я понял ARP-вирус. и он не ставит себе ip шлюза. по факту он просто на ARP-request вида "какой мак у айпи шлюза" подсовывает arp-reply со своим маком. подобные вирусы - гроза домашних сетей с тупыми свичами.

решение очень простое - статически зафиксировать мак шлюза на каждой из машин в локалке. если машины под линуксом то это arp -s, если под виндой - курить маны как там это делается.

>>> очень используемый механизм бана

фигею, это только я такая деревня что с помошью ipfw юзеров блокирую? :)

нет, роутер активен постоянно, устройству удаётся взять ip шлюза и создать конфликт, мешая тем самым остальным юзерам в подсети.

> фигею, это только я такая деревня что с помошью ipfw юзеров блокирую? :)

Видимо недавно занимаешься этими делами. Борьба с воинствующими удаками в локалках электронными методами возможна только двумя способами - алиасом на постоянно включённой машине и выниманием патчкорда...

>>> это насколько я понял ARP-вирус

вот даже как... то есть в данном случае это не конкретное устройство а виндузятные компы? то есть бороться не с железзкой а с прогой?

>>> статически зафиксировать мак шлюза

да, решение простое технически, в условиях бардака той сетки нереальное...

фактически я контроллирую только фряху и удалённо, на человеческий фактор вообще влияния нет. что можно ещё такого с фряхи сотворить, дабы как-то сдвинуть проблему, да интересного опыта набраться.

> нет, роутер активен постоянно, устройству удаётся взять ip шлюза и создать конфликт, мешая тем самым остальным юзерам в подсети.

Вирус конечно может быть как написал товарищ, но как он отнимает адрес у роутера ПОСТОЯННО? Роутер же тоже на arp отвечает...

>>> Борьба с воинствующими удаками

просто сфера деятельности, как бы сказать "софтовая" что-ли, пишу скрипты/проги, конфигурирую, почти не работаю с конечными, тем более домашними юзерами, с таким человеческим фактором не сталкивался,

судя по логам конфликт возникает 5-6 раз в сутки.

вот тут http://www.opennet.ru/openforum/vsluhforumID10/3109.html похожая ситуация, что скажете о

"Включить фильтрацию по layer2 в ipfw sysctl -w net.link.ether.ipfw=1

Запретить все для подсети ipfw add 62999 deny ip from 192.168.20.0/24 to any layer2 in via em1

Разрешить для определенного IP с указанного MAC ipfw add 62073 allow ip from 192.168.20.73 to 192.168.0.0/16 MAC any 00:17:9a:6d:0e:94 via em1

ЗюЫipfw add 62073 allow ip from 192.168.20.73 to "table(1)" MAC any 00:17:9a:6d:0e:94 via em1"

можете прокомментировать, а то моего опыта с ipfw немного не хватает, чтобы понять копать в сторону этого решения или нет?

Это спасёт от конфликтов шлюз, но не пользователей. Хотя помешает одним пользователям воровать интернет у других... впрочем, ненадолго, пока они маки подменять не научатся

единственное решение твоей проблемы - dhcp + snooping на управляемых коммутаторах.
все остальеое очень просто обходиться.

Я смотрю, все абсолютно бесполезные советы уже дали. И надеюсь бредятину больше нести никто небудет.

А вам есил вы хотите чисто програмное решение Оно называеться ipguard и есть в портах(но там старая версия). Тут вы можете взять более новую, заодно её протестируте и ваши замеччания и баг репорты отошлите автору

http://deep.perm.ru/tmp/ipguard.tgz