Servidores DHCP de penetra na rede

cytron
(usa Slackware)

Enviado em 29/07/2009 - 12:16h

Estou me deparando com uma situação simples de ocorrer mas complicada de se livrar:

Tenho uma rede onde toda a conexão é feita por vpn (pppoe), mas alguns clientes windows resolvem ativar aquela velha opção de "permitir que outros computadores acessem a internet através deste", daí o windows começa a oferecer dhcp na rede, e todos os demais ganham ip começam a operar através de uma nova rota.

Outros usam roteadores, o mesmo acontece.

Então a questão é... como impedir que servidores dhcp plugados na rede não possam trabalhar?

Regras básicas:

Não posso mexer na máquina do cliente, pois ele formata, instala win e cria uma conexão banda-larga com user e pass, pronto... já está navegando.

Se bloquear arp... pppoe não passa!
Necessidade:

Preciso bolquear requisições ou divulgação de dhcp nas interfaces do servidor, incluíndo em ppp.

Tentativa:

iptables -t filter -A FORWARD -i ppp+ -o ppp+ -j DROP
iptables -t filter -A FORWARD -i eth+ -o ppp+ -j DROP

Tentei bloquear na porta do dhcp... também não deu.

Isso "teoricamente" bloqueia qualquer tráfego entre clientes (ppp) ou qualquer tráfego entre as interfaces reais (eth)

O que é permitido é tráfego entre cliente (ppp) e interface de saída (eth1)

Tudo funciona normalmente, os clientes não se enxergam, e nada passa pela eth... mas o tal do dhcp é como neo (Matrix), passa batido mesmo!

rodrigo8819
(usa Ubuntu)

Enviado em 29/07/2009 - 12:19h

Tenta amarrar o dhcp do ppp ao mac do cliente.

gesousa
(usa Ubuntu)

Enviado em 29/07/2009 - 14:31h

A questão não é como bloquear os servidores dhcp, pois a questão é que os computadores conectados através do computador ou dhcp, será mascarado e suas requisições serão através do computador que estar compartilhando a conexão...

Há um artigo abordando o assunto ...

http://www.vivaolinux.com.br/artigo/Impedindo-o-compartilhamento-de-conexao

Sobre o dhcp se o problema pode ser bloquear a porta udp e tcp 53 da rede... onde funciona o serviço 53 e liberar somente para o ip do seu servidor ...