Изпечатай

[pironkov]

Здравейте,
От известно време поддържам една мрежда и по неволя и за мое щастие се сблъсках с линукс. Научих съвсем малко неща, но не достатъчно /то не че някога ще е достатъчно/
Та проблема който имам: Как да забраня някой, който е в мрежата да ползва интернета, защото има хора които просто си прекаляват свалят без да се съобразяват с другите. Един приятел ми спомена, че съществува скрипт с който мога да премахвам дадено IP да не ползва интернета, ще ми помогнете ли?
Предварително благодаря на отзовалите се

[Agent_SMITH]

/off-topic
Мдаааа... няма, няма, няма да доживея деня в който някой да се регистрира, да прочете правилата, да се постави на мястото на този от който търси помощ и да опише важните неща като си спести емоциите и преживяванията... Еееееех, непоправим оптимист ще си умра и това си е!
/end off-topic

Споделете моля:
- дистрибуция
- досега прегледани теми из форума (търсачката)
- досега прочетени теми в основния сайт пример 1 или пример 2
- досега пробвано с iptables
- досега пробвано с HTB
- големина на мрежата, услуги които се ползват в нея
- други технически подробности

Ние сме тук, като си готов - ще помагаме

[laskov]

Отиваш на компютъра му, изтриваш DNS и gateway настройките  (или настройваш грешни), поглеждаш дали браузъра ползва proxy, ако да - правиш същото и с него и си готов. След като видим реакцията може да помислим и за по-качествен вариант. '>

[George Andonov]

Цитат (pironkov @ Ян. 24 2006,21:07)

... Как да забраня някой, който е в мрежата да ползва интернета ...

Ами най-простият и бърз начин е следният. На рутера пишеш:

Примерен код

arp -s IP_адреса_на_досадника произволен_MAC_адрес и това е. Ха честито :)

Пример: arp -s 192.168.1.7 00:00:00:C0:FF:EE
Резултат: До следващият рестарт на рутера твоя човек няма да има никакъв достъп до интернет.

Ако искаш това ограничение да е в сила и след рестарта - добави въпросната команда в стартиращ (rc) скрипт.

А ще стане ли с :

iptables -A FORWARD -s <ip> -j DROP   ?

[amri]

Здравей pironkov добър начин за спиране интернет на някои твой клиент е с iptables (http://www.netfilter.org/).
Пример:
iptables -A INPUT -s 192.168.34.6 -j DROP
iptables -A FORWARD -s 192.168.34.6 -j DROP
iptables -A OUTPUT -s 192.168.34.6 -j DROP

В този пример очевадно се вижда, че изпращаните пакети с IP:192.168.34.6 ще бъдат дропвани.

[pironkov]

Цитат

iptables (http://www.netfilter.org/). Пример: iptables -A INPUT -s 192.168.34.6 -j DROP iptables -A FORWARD -s 192.168.34.6 -j DROP iptables -A OUTPUT -s 192.168.34.6 -j DROP

В този пример очевадно се вижда, че изпращаните пакети с IP:192.168.34.6 ще бъдат дропвани.[/quote]
Извинявай, ако ти досаждам, ама съм си наистина новобранец, ще ти е възможно ли да обяснис като на новобранец, къде точно трябва да отида и да напиша командата. Става дума за Version 1.150 on dom (Mandrakelinux 10.1) това ми е версията на линукса. Казаха ми че може да се направи с iptables което на мен нищо не ми говори, ще ти бъда много благодарен ако обърнеш малко повечко внимание на ламер като мен.
Да ти дам малко инфо за мрежата тя е на ADSL вече знаеш, че е под линукс адресите са от 10.10.10.2 нагоре.
Предварително благодаря!

[Dean79]

отваряш си конзола и там пишеш, като заместваш айпитата. Ако не знаеш - конзолата се отваря с контрол-алт-Ф1

[pironkov]

Цитат (Dean79 @ Ян. 25 2006,14:00)

отваряш си конзола и там пишеш, като заместваш айпитата. Ако не знаеш - конзолата се отваря с контрол-алт-Ф1

С конзолата се оправям без проблеми

Искам като забраня на някой да ползва нета, после да знам как да му го разреша!

[vesselinkolev]

Цитат (amri @ Ян. 25 2006,11:36)

Пример: iptables -A INPUT -s 192.168.34.6 -j DROP iptables -A FORWARD -s 192.168.34.6 -j DROP iptables -A OUTPUT -s 192.168.34.6 -j DROP

Стига глупости и употреба на хубави български глаголи като "дропвам".

Политиката DROP в дадена верига в мното случай може да е невероятен източник на товар особено ако се използва т.нар. "connection tracking" (както става в някои от модулите за реализация на NAT по протоколи). Престанете да учите хората да си затлачват с безмислени цикли процесора и безмислено да пълнят и бавят паметта на компютрите.

Пиша го за N-ти пореден път и се надявам най-накрая някой да вземе да го научи, че и направи. Не, че е задължително, но когато отивате да давате съвет, помислете дали ще помогнете на някого с нещо.

Използване на политика DROP става при гасене на UDP потоци към дадена услуга. В случая на TCP сесии политиката DROP води до повтаряне на запитванията и екстра трафик или пълнене на паметта с описания на заявка с цел броене и т.н. Най-коректния и бърз начин да бъде отказана една TCP сесия е да се отхвърли чрез подаването на съответното ICMP съобщение. Ето как изглежда филтър, направен нормално:

# TCP филтрация
# # Спиране на насочените към маршрутизатора TCP сесии
iptables -t filter -A INPUT -s 192.168.34.6 -p tcp -m tcp -j REJECT --reject-with icmp-port-unreachable
# # Спиране на сесии, които трябва да бъдат подложени на маршрутизация
iptables -t filter -A FORWARD -s 192.168.34.6 -p tcp -m tcp j REJECT --reject-with icmp-port-unreachable
#
# Всички останали протоколи
iptables -t filter -A INPUT -s 192.168.34.6 -j DROP
iptables -t filter -A FORWARD -s 192.168.34.6 -j DROP


И една забележка. Авторът на писанието с OUTPUT верига в примера, да вземе и да седне да прочете документацията за Netfilter и да се научи кога се използва FORWARD и кога OUTPUT, че направо кърти мивки с написаното.

[amri]

pironkov прочети по- горе какво съм написал ТАМ ЯСНО СЕ ОБЯСНЯВА КАК СЕ СПИРА ВРЪЗКАТА НА КОНРЕТНО КЛИЕНТ. Ако искаш да му позволиш връзката заменяш "-A" с "-D"  т.е. iptables -D .....
. Това е цялата "сложност".

[laskov]

Гласувам ЗА решението на vesselinkolev.  '>

[George Andonov]

Решенията, които предлагат всички (с използване на iptables), спират конкретен IP адрес.

Но ако IP адресите в мрежата се конфигурират от DHCP сървър (и този сървър не раздава фиксирани адреси), то всички  споменати решения няма да имат дълготраен ефект.  '>  Освен това, обърни внимание, че твоя човек може да си сменя IP адреса колкото си иска.

С две думи, по-добрият подход е да правиш ограничение по MAC адрес.

Цитат

Гласувам ЗА решението на vesselinkolev.

И преди крайното гласуване,    идея за един бърз тест.
Във файлът /etc/ethers пишеш:

Примерен код

00:00:00:C0:FF:EE   Мизерникът_Петров

Това 00:00:00:C0:FF:EE е истинският MAC адрес на Петров.

А в /etc/hosts:

Примерен код

1.1.1.1   Мизерникът_Петров

И пишеш: arp -f /etc/ethers (за да не правиш рестарт на машината).

Сещаш ли се какво става  '>  

А като видиш, че е резултатно - може да го реализираш и с iptables.

[pironkov]

Безкрайни благодарности на gandonov да си жив и здрав човече.
Разбира се благодаря и на всички които взеха отношение по въпроса.
Видях, че се породиха и малко спорове, но в спора се ражда истината.
Успех на всички и ви пожелавам да се сблъсквате с хора като gandonov.

[sdr]

Само да не останеш с впечатление че мак адреса е наистина твърд и не може да се сменя ... Единственото истинско/пълно решение е pppoe! По чист LAN  оправия няма!