+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Как настроить внутреннюю сеть + маскировать по MAC-адресу для внешней сети.

Как настроить внутреннюю сеть + маскировать по MAC-адресу для внешней сети., RouterOS

v00d00

Guest

20.11.2005 12:45:00

Наша компания подумывает о покупке Mikrotik в качестве простых роутеров, только для проводной сети, без Wi-Fi. У нас несколько сотен компьютеров, использующих интернет через NAT (маскирадование). ЗАДАЧА: необходимо предоставить доступ в интернет не по IP-адресу, так как пользователи могут менять IP в любой момент. Хочу организовать маскирадование по MAC-адресу. ВОПРОС: как это сделать? Можно ли как-то использовать списки адресов для MAC-адресов, как динамически находить IP-адрес и MAC-адрес пользователей, которым нужно предоставить доступ к публичному интернету? ПРИМЕР: когда приходит новое распоряжение от администрации, что пользователь LAMER с текущим IP-адресом 10.0.0.5 должен иметь доступ в интернет, я хочу просто видеть его MAC-адрес где-нибудь в MT и добавлять его в список разрешенного маскирадования для публичного интернета. Возможно ли это? Спасибо заранее…

jaytcsd

Guest

22.11.2005 02:13:00

Если имя пользователя и пароль - это MAC-адрес его сетевого интерфейса, то он автоматически аутентифицируется на точке доступа? И он вообще не видит никаких запросов на авторизацию? Да, именно так, по крайней мере, в версии 2.2.28. Я только что попробовал настроить пользователя по MAC-адресу в 2.9.7, и это не работает. У кого-нибудь ещё получилось это завести в 2.9? Я собираюсь обновиться до 2.9.8 и снова протестировать. В 2.8.28 у меня есть клиенты с роутерами Linksys для их сайтов, и я указывал MAC-адрес в качестве имени пользователя, для отдельных пользователей - MAC-адрес сетевой карты в их ПК, работает отлично.

v00d00

Guest

22.11.2005 06:01:00

Я думаю, что отличная идея использовать ARP для привязки к фиксированным IP-адресам… педжа, спасибо, я забыл про эту функцию… Было бы здорово отправить запрос разработчикам MikroTik, чтобы они сделали ARP-таблицу такой, чтобы можно было менять динамические записи в этой таблице на фиксированные… чтобы мне не приходилось вводить их вручную, а просто менял состояние с динамического на фиксированное. Что вы, ребята, думаете, хорошая ли это идея?

normis

Guest

22.11.2005 09:00:00

В версии 2.9 точка доступа может авторизовать пользователя по MAC-адресу, даже не показывая страницу входа. На самом деле, клиент даже не заметит, что между ним есть сервер точки доступа. Просто включите login-by=mac в профиле сервера точки доступа и добавьте разрешённые MAC-адреса в качестве имён пользователей точки доступа. Оставьте пароли пустыми. Установите transparent-proxy=no в профиле пользователя точки доступа для полной прозрачности. Клиенты, чьи MAC-адреса не будут в списке пользователей, получат страницу входа в точку доступа. Эту страницу можно изменить под любые нужды (например, чтобы объяснить, что доступ для него не разрешен, и ему следует обратиться к администратору).

v00d00

Guest

22.11.2005 09:39:00

Но для модуля HOTSPOT мне нужна более высокая лицензия, верно? Я хочу купить лицензию 3 для ISP и использовать такую схему с доступом по MAC-адресам без функции HOTSPOT. Могу ли я это сделать, используя /ip arp и вручную добавлять IP-адреса, привязанные к MAC-адресам? Будет ли этот способ эффективен, если я хочу запретить пользователям, которые пытаются изменить свои IP-адреса? Хм… думаю, нет, потому что если пользователь придет с новым сетевым адаптером в мою внутреннюю сеть, он сможет настроить неиспользуемый IP-адрес и использовать интернет с динамической записью в ARP-кэше /ip arp. Верно?

normis Guest	#6 0 22.11.2005 09:40:00 Да, для 200 пользователей нужен Level 4.

v00d00 Guest	#7 0 22.11.2005 09:43:00 Мне нужен 4-й уровень, даже если я не буду использовать беспроводную поддержку и точку доступа, для 200 пользователей??? Я планирую использовать MT только для проводной сети.

normis Guest	#8 0 22.11.2005 10:57:00 Лицензия 3 уровня позволяет использовать 1 активного пользователя точки доступа, лицензия 4 уровня - 200, 5 уровня - 500, 6 уровня - без ограничений. Неважно, нужна ли тебе беспроводная связь или нет.

v00d00

Guest

22.11.2005 11:02:00

Я это знаю, я читал http://www.mikrotik.com/software.php, вопрос был другой, но не будем затягивать, я понимаю идею. Спасибо.

ВОПРОС: Нормально, а как насчет новой функции в списке ARP, чтобы можно было изменить динамическую запись в статическую одним кликом, если вы понимаете, что я имею в виду???

ВОПРОС: Могу ли я сделать так, чтобы правило логировало MAC-адреса, которые изменили свой IP-адрес? (Это для безопасности, чтобы я мог видеть, пытается ли пользователь скачивать что-то с другим IP-адресом, отличным от его официального). Пожалуйста, если у вас есть положительный ответ на этот вопрос, ответьте как можно скорее на этот пост… Спасибо.

jaytcsd Guest	#10 0 23.11.2005 05:50:00 Слушай, Normis, а как насчет новой фичи в списке ARP, чтобы можно было одним кликом менять динамическую запись на статическую? Понял, о чем я? << IP binding в модуле точки доступа умеет это делать в 2.9.

v00d00 Guest	#11 0 23.11.2005 06:43:00 Идея в том, чтобы сделать это без HOTSPOT, без покупки лицензии на lever 4, только по проводной сети!

tneumann

Guest

#12

20.11.2005 19:06:00

Можно настроить точку доступа, чтобы это сделать. RouterOS hotspot действительно можно использовать для предоставления доступа по MAC-адресу, но вы уверены, что это лучший вариант для вас? MAC-адрес – действительно ли это решающий фактор, определяющий, возможен ли доступ в интернет, или лучше использовать схему с логином и паролем? То есть, предоставить доступ пользователю "Jim", который знает свой пароль, а не "компьютеру Jim", которым может воспользоваться кто угодно, если Jim оставит его без присмотра и т.д. – Tom

v00d00

Guest

#13

21.11.2005 06:11:00

Я не хочу, чтобы пользователь вводил свой пароль при наличии доступа в интернет. Мне эта функция не нужна. Хочу, возможно, привязать MAC-адрес к какому-нибудь имени пользователя, а потом манипулировать всеми списками доступа с использованием имен пользователей. Получится так сделать?

jaytcsd

Guest

#14

21.11.2005 08:43:00

Точка доступа может аутентифицировать пользователя по его MAC-адресу, если имя пользователя и пароль — это MAC-адрес пользователя (в верхнем регистре, разделенный двоеточием). Экран входа быстро моргает, не дольше секунды, прежде чем загрузится запрошенная страница.

v00d00

Guest

#15

21.11.2005 08:54:00

haytcsd, можешь, пожалуйста, подробнее объяснить, что ты имел в виду? Извини за мой плохой английский. Как я понимаю, если имя пользователя и пароль – это MAC-адрес его сетевого интерфейса, то он автоматически аутентифицируется на точке доступа Wi-Fi? И он вообще не видит никаких запросов на ввод логина?

pedja Guest	#16 0 21.11.2005 16:59:00 Может, проще добавлять MAC/IP пары в ARP-кэш. Это не даст кому-то изменить свой IP (если он меняет IP, MT откажется передавать его пакеты). Как только IP привязан к MAC, можно продолжать использовать правила на основе IP.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры