Iptables с фильтром контента

[TonnyBennet]

Здравствуйте.

Есть локальная сеть 192.168.0.0/24, которая поделена на меньшие сети /28 в соответствии с отделами компании. Сервер под Ubuntu Server, на котором крутится NAT, squid, samba, postfix+dovecot, bind, apache, MySQL, DHCP и кое-что ещё. Сервер подключен к интернету через двух провайдеров и средствами iproute2 возможно разделение трафика сети между провайдерами. Т.к. клиентов в сети много и частенько появляются гости подключающиеся по wi-fi возникло желание настроить шейпер и разграничить доступ к сетевым папкам хотя бы на сервере. HTB работает только с NAT и ввести его в схему с прозрачным squid невозможно. Предположим я его уберу и будет только NAT? Но в squid есть удобная система фильтрации контента, причём условия руководства компании такие, что эта фильтрация работает ещё и по времени (к примеру попасть на сайт vk.com нельзя только в рабочее время с 9-00 до 13-00 и с 14-00 до 18-00, в обеденный перерыв и в нерабочее время можно). Как построить такую гибкую систему фильтрации при помощи iptables я не представляю.

В настройках DHCP сервера чётко прописан MAC-адрес и IP адрес для конкретного клиента из определённой подсети /28. Если MAC не прописан, соответственно я такому клиенту выдаю адрес из сети 192.168.0.224/27. Я могу ограничить доступ для этой сети в скорости и разрешить только выход в интернет. Но как быть если к сети подключится клиент с неизвестным мне MAC адресом, и пропишет в настройках сетевой адрес 192.168.0.15, к примеру? Сервер его пропустит. Как быть в этом случае? Создать отдельную цепочку и помещать в неё пакеты от неизвестных MAC-адресов?

[pelmen]

режьте скорость сквидом

[Bluetooth]

Но как быть если к сети подключится клиент с неизвестным мне MAC адресом, и пропишет в настройках сетевой адрес 192.168.0.15, к примеру?

Не пущать. arptables вроде тут подойдет.
по поводу шейпинга - squid имеет какие-то средства для управления скоростью, а то что в обход squid через NAT идет, то с помощь HTB.

[pelmen]

Всегда было интересно.
Подключаешься к коммутатору, получаешь какой-нибудь ip по dhcp (или если не получаешь, то подбираешь). Далее пингуешь всю сеть. Смотришь, какие ip с какими MAC-адресами. Далее ждешь 18-00, когда все уходят. Начинаешь методом перебора менять свой МАС, пока не получишь по dhcp тот ip, на котором будет максимальная скорость интернета.
От этого спасают умные свичи?

[Bluetooth]

От этого спасают умные свичи?

Да, некоторые умные свитчи умеют привязывать мак к порту.
Для офиса это не актуально, а вот в "домашних сетях", где такой возможности нет, постоянно какие-нибудь школьники промышляют таким.