LINUX.ORG.RU
Форум — Admin  

Определить не использующих DHCP клиент


0

0

Привет всезнающий all!
И имеется сеть с ISC-DHCP сервером, каждому хосту выдаётся IP по MAC.
Для примера кусок dhcpd.conf:

host host-192.168.0.10{
hardware ethernet 00:50:bf:d5:4d:a3;
fixed-address 192.168.0.10;
}

Как известно, некоторые хосты могут не использовать dhcp клиент, просто явно прописывают известные IP, маску шлюз и DNS и могут так успешно работать, но, разумеется не получат новые IP при глобальной смене адресации в сети.

Как лучше выявить такие хосты? Предположительно их более сотни, так что вариант «ждать пока сами позвонят с жалобой на инет» отпадает.

★
← SQUID, резервный parent proxy
теряются пакеты при пингах на сервер →

Посмотреть вывод arp -a .
Те , которых нет в dhcp.conf наверняка они

anonymous
()

Как-то так:

iptables -P INPUT (или FORWARD, что у вас там) -j DROP
for addr in `grep hardware /etc/dhcp3/dhcpd.conf | awk '{ print $3 }'| sed '{s/;$//}'`; do iptables -A INPUT -m mac --mac-source $addr -j ACCEPT; done

Думаю, идея понятна.

undertaker ★★
()

Включить dhcpshooping на коммутаторе, для клиентов не получивших IP по DHCP не будет разрешающего ACL.

ilijaz
()
Ответ на: комментарий от ilijaz

нет смысла сравнивать arp -an и dhcpd.conf так как в конфиг dhcp эти хосты занесены, но могут просто, например отключить службу DHCP клиента у себя в винде и просто прописать вручную адрес.

файл leases тоже не содержит таких данных.
вероятно есть решение позволяющее запросить dhcp клиент на хосте и понять запрашивает ли он сервер или вообще отсутствует.

2ilijaz если можно поподробнее про dhcpspoofing

Den0k ★
() автор топика
Ответ на: комментарий от Den0k

>dhcpspoofing

Он видимо имел в виду DHCP snooping. Если свич достаточно умный, у него должна быть админка, а в админке эта функция. Дальше по обстоятельствам.

nnz ★★★★
()

на DHCP сервере задаётся max-lease-time, например сутки. Так что сравни 

# grep -i dhcp /var/log/messages
и
# arp -n
за последние сутки.

pupok ★★
()
Ответ на: комментарий от nnz

Ага, он самый - опечатался. Не надо было вчера мешать((. Если свич умеет ACL и DHCP relay, то 90% что там эта фича есть. Ну если у вас сеть на мыльницых, то мои соболезнования)

ilijaz
()
Ответ на: комментарий от ilijaz

Поднять внутренню зону DNS, сделать апдейт зоны из DHCP, на прокси сервере проп прописать правило - запретить интет всем ip которые не резолвятся по внутренней зоне DNS.

Aleks_IZA ★
()
Ответ на: комментарий от Aleks_IZA

Да ты чемпион по дёрганью гвоздей задницей на шпагате.

as33 ★☆☆
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← SQUID, резервный parent proxy
Admin
теряются пакеты при пингах на сервер →