iptables: Bereich von Mac-Adressen sperren.

[Kermit24]

Ich möchte in meinem privaten Netz einen ganzen Mac-Bereich sperren:

Netfilter Matches kann offenbar immer nur eine mac, oder kann man irgendwelche wildcards nutzen:

iptables -A sperre -m mac --mac-source fc:d8:48:**:**:** -j DROP
**:**:** = 00:00:00 - FF:FF:FF

Geht das irgendwie? Aus der helpseite werde ich nicht schlau und bei netfilter.org, bin ich auch noch nicht fündig geworden


Danke im Voraus

[MSfree]

Ich möchte in meinem privaten Netz einen ganzen Mac-Bereich sperren:

Blacklisting ist in diesem Fall extrem uneffizient.

Warum stellts du nicht eine Whitelist auf, in der du die erlaubten Macs inträgst?

Netfilter Matches kann offenbar immer nur eine mac, oder kann man irgendwelche wildcards nutzen:

Nein, Wildcars geht nicht, wäre bei Mac-Adressen auch nicht besonders sinnvoll.

Ganze Mac-Bereiche auszuschliessen würde Hersteller bestimmter Netzwerkchips betreffen, willst du das wirklich? Davon abgesehen kann man bei fast jeder Netzwerkkarte von aussen eine Mac-Adresse setzen, so daß deine Blacklist einfach umgehbar ist.

[mat6937]

Geht das irgendwie?

Statt iptables kannst Du arptables verwenden und mit arptables kann man eine "filter mask" verwenden.

Aus der manpage:

Code: Alles auswählen

 --source-mac [!] address[/mask]
              The source mac address. Both mask and address are written as 6 hexadecimal numbers separated by colons.

       --destination-mac [!] address[/mask]
              The destination mac address. Both mask and address are written as 6 hexadecimal numbers separated by colons.

Siehe z. B. auch: https://forums.extrahop.com/t/mac-addre ... xample/728
(bzw. gleichwertig).

[wanne]

Warum stellts du nicht eine Whitelist auf, in der du die erlaubten Macs inträgst?

Das sehe ich anders. Whitelists sind weitestgehend sinnlos. Da man ja die gewithelisteten MACs sieht.
Sinnvoll ist lediglich die MACs zu schützen, die schon im Netz sind. Und blacklists, sind da ein intuitiver Weg.

Geht das irgendwie?

Zuerst dachte ich, du kannst da auf jeden Fall mit irgend welchen Bifeldern machen.
Problem ist aber dass iptables eigentlich erst ab der Länge des IP-Headers anfängt zu zählen. Ist halt eigentlich iptables und entsprechend auf IP-Pakete angelegt. Und die sind halt im Ethernet Paket. Und teil von dem. Nicht umgekehrt.
Sinnvoll wäre wohl eigentlich ebtables. Das geht aber nur auf bridge devices. (Du kannst aber ein Bridge device erzeugen aus alleine deinem eigenen Device erzeugen.)
Daneben gibt es wohl noch arptables.

[wanne]

OK 0 ist bei der länge des IP-Paketes. Es ist aber wohl möglich negative Zahlen zu nutzen.
Quelle: http://boerde.lists.lartc.narkive.com/G ... -u32-match

Untagged müsste das dann das geben:

Code: Alles auswählen

iptables -A INPUT -m u32 --u32 '-8&0xFFFFFF00=0xfcd84800' -j DROP

Eventuell noch mit beliebigen Edinaness- und Zählfehlern

[eggy]

und falschen offsets ... klingt nach ner guten Methode sich mit Anlauf in den Fuß zu ballern.

[wanne]

und falschen offsets ...

Habe ja eventuell Zählfehler genannt. Könntest du dann gleich die richtigen nennen?

klingt nach ner guten Methode sich mit Anlauf in den Fuß zu ballern.

Ja. Ich denke schönere Methoden sind durchaus willkommen.

[wanne]

Nochmal nachgezählt:
0: Wäre die Länge -2
-2: TOS -1
-3: Header length -½
-3.5: Version -½
-4: Ethertype -2
-6: Source MAC -2
-8: Die ersten 32bit der MAC
& FFFFFF00: die ersten 3 Byte der MAC und die müssen =fcd848

Wo liege ich falsch?

Edit: obersten ist eher falsch. Habe das mal in ersten umgewandelt, Weil die MAC ja big endian ist.

[eggy]

@wanne: das ging nicht gegen Dich bzw gegen Dein konkretes Beispiel, sondern gegen den Ansatz im Allgemeinen, basierend auf der Grundannahme "die Schichten können sich nicht drauf verlassen, was unter und über ihnen ist". Ich dachte an abweichende darunterliegende Protokolle bzw optionale Felder. Ich kann mich irren, aber würde annehmen, dass man auf die Nase fällt sobald VLAN-Tags im Spiel sind.

[wanne]

dass man auf die Nase fällt sobald VLAN-Tags im Spiel sind.

Untagged

Sonst musst du nochmal 2 Kleiner.
Und wenn du was nicht Ethernet mäßiges hast hast du eventuell gar keine MAC Addresse…

[eggy]

@wanne: Kannst Du garantieren, dass eine Kiste nur untagged/optinalfeldfreie Pakete zu sehen bekommt?