на роутере, но не на бридже

про бридж молчу... коммутатор сложно будет отловить, только по количеству мак адресов на порту предназначенном для одного клиента

Это как раз просто, port-security + ip dhcp snooping + arp inspection. Поймать роутер можно разгребая Mac change notification трапы

Это как раз просто, port-security + ip dhcp snooping + arp inspection. Поймать роутер можно разгребая Mac change notification трапы

Это как раз просто, port-security + ip dhcp snooping + arp inspection. Поймать роутер можно разгребая Mac change notification трапы

Раз пошла такая тема, можно дамп трафика посмотреть и понять что за одним IP присутствуют несколько браузеров, у каждого браузера свой индефикатор. И не важно что они все будут например google,

Для этого не нужен L7, достаточно l2 и L3 послушать

Я не про l7, я про то что если надо понять если у человека за роутером куча железок или нет.

банальный бытовой роутер вычисляется по ттл, если в режиме роутера, или по количеству хостов на порту, если бридж

Ладно, разговор становится не в тему. Можно вообще ни чего не смотреть и не слушать, ограничил количество сесий на один IP и все.

Ладно, разговор становится не в тему. Можно вообще ни чего не смотреть и не слушать, ограничил количество сесий на один IP и все.

Ладно, разговор становится не в тему. Можно вообще ни чего не смотреть и не слушать, ограничил количество сесий на один IP и все.

Ок. Я сейчас пилю правило. Как мне его вычислить по TTL?

скока там деф ттл? 64? все что меньше на исходящем - метишь и дропаешь/блекхолишь/локалхостишь

и какой цифрой?

Вы наверное тему не сначала прочитали. Работаю за ПК с которого нужно подключаться к 1С. Понадобился Wi-Fi, как выяснил из беглого гугления не все так просто с новой версии, прокидывания портов/DMZ ни к чему не привели. На скорую руку вставил в ПК еще одну сетевую карту и по ней работал на 1С. Но это же не по феншу, хочется что бы все работало через NAT. Посеветовали тут настройки, которые успешно применил и все заработало. Но вот накидали еще предложений что 1С и через NAT работает только связку ИМЯ:IP нужно. Завтра попробую.

открой яндекс банально и посмотри кольчиство соединений

а wifi нужен был тоже для вашего компьютера или вы туда телефон подключаете, а комьютер как работал по проводу так и работает?

И давайте уже закончим

Почему?) Давайте придумаем как найти того кто в моей сетке может сидеть через роутер) я думаю где-то такая гадина умная есть)

Да для телефона.

Почему?) Давайте придумаем как найти того кто в моей сетке может сидеть через роутер) я думаю где-то такая гадина умная есть)

Так, разговор ушел от темы канала: - большие дяди делают это на FW с device discovery внутрь локалки, там таких видно сразу. - операторы связи мониторят trap-ы c mac change notification на порту. MAC - поменялся, проверяем какое устройство было, а какое стало.

А что роутере уже вне закана😀?

В моей сети да.

а зачем тогда натить порты компьютера, делаете нат на wifi и у вас компьютер в сети предприятия, а телефон за натом на вафле с вашим "внутренним" ip

И тем не менее тема канала Mt, где вопросы конкретно по МТ?

В моей сети да.

Ну при такой схеме все равно потребуется два локальных IP, если я Вас правильно понял. И тогда чем нынешняя схема отличается от той что предлагаете Вы?

Вы знаете что порядок там где не суровые и строгие законы, а неизбежность их применение к нарушителю. Думаю запретом Вы ни чего не добьетесь, посмотрите вокруг, что только народу не запрещали, а он все равно делает и делает и делает.

тут вопрос был для чего изначально был наверчен нат на все порты если нужна была просто точка доступа для телефона

Изначально вопрос был как прокинуть один ПК из-за роутера в L2 сеть.

бридж, вам уже сказали, но для чего делать то что делать не обязательно?

Да, есть большая сеть, через МТ все ходят в интернеты. Я думаю что где-то внутри есть какая-то тётя, которая в сеть включила свой шмылинк и пользуется wifi поближе к себе, и комп через него подключен. Я могу контролировать свой верхний МТ и как мне на нём найти эту тётю по косвенным признакам? По TTL к примеру

отлично, оборудование управляемое - свитчи ?

конечно, но всё же хочется в одном месте ловить негодяев, а не бегать по всем коммутаторам

так не бывает, на коммутаторах - необходимый минимум: - storm-control broadcast / multicast / unknown unicast (с действием shutdown); - port-security с 3-мя маками на порт (на случай использования voip-телефонов); - включаем ip dhcp-snooping, ждем когда наполнится база; - проверяем и ищем статически назначенные адреса по dhcp-snooping, заставляем переделать на динамику; - включаем source-guard и ip arp-inspection; - разгребаем вопли. — Смотрим в список используемого оборудования, собираем инфу по вендорам, которые есть в сети, выкачиваем базу MAC-ов, идем в DHCP - и говорим, что если кто-то подключается не с разрешенного диапазона маков - то адрес не выдаем / роняем на доступе до выяснения причин

серебряной пули - НЕ БЫВАЕТ.

Не скажу что про всё знал, поугуглю... спасибо)

так не бывает, на коммутаторах - необходимый минимум: - storm-control broadcast / multicast / unknown unicast (с действием shutdown); - port-security с 3-мя маками на порт (на случай использования voip-телефонов); - включаем ip dhcp-snooping, ждем когда наполнится база; - проверяем и ищем статически назначенные адреса по dhcp-snooping, заставляем переделать на динамику; - включаем source-guard и ip arp-inspection; - разгребаем вопли. — Смотрим в список используемого оборудования, собираем инфу по вендорам, которые есть в сети, выкачиваем базу MAC-ов, идем в DHCP - и говорим, что если кто-то подключается не с разрешенного диапазона маков - то адрес не выдаем / роняем на доступе до выяснения причин

А зачем три MAC адреса для port-security? Один для клиента, один для телефона, а ещё один для кого?

пример cisco-фона показать, который сначала светится в пользовательском vlan, затем понимает, что на порту есть voice vlan и начинает светиться в нем, но старый мак остается на aging-time на порту + мак пользователя, подключенного через телефон и вуаля ... сработал port-sec

Тут уже будет зависеть от реализации port-security в коммутаторе, при наличие voice vlan настроеного для порта на котором активен port-security, описанная ситуация должна корректно обрабатываться. Коммутатор должен удалить запись о MAC адресе в Data Vlan, после анализа CDP/LLDP пакетов от телефона, но готов поверить, что так не все делают.

я говорю о том, что делал и видел сам на cisco

подскажите правило для NAT, чтобы открыть вебморду модема 192.168.1.1

с компа 10.0.0.253

с компа 10.0.0.253

нет, в ответ пытается открыться страница с адресом 192.168.1.1, комп про этому сеть не знает ничего

нет

да, по 10.0.0.252:8080

нет, не знает, в этом и проблема

А почему мои сообщения удаляются?

Ссылки будут доступны через сутки

Какие ссылки?

На 10.0.0252 add action=src-nat chain=srcnat dst-address=192.168.1.1 src-address=10.0.0.253 dst-port=80 protocol=tcp to-addresses=192.168.1.100

не открывается, так же пытается открыться 192.168.1.1

пытается открыть страницу с адресом http://hh71.home/index.html