Решено: статичная ARP таблица

[wzor]

какими (где и что писать) настройками добиться ?

[sash-kan]

http://www.google.com/search?hl=ru&inl...&as_qdr=all

[wzor]

м, я видимо либо недопонял чегото либо нетак выразился, с привязкой мака к айпи нет трудностей, но дело в том что приходится скриптом при загрузке забивать все диапазоны чтобы при вхождении копьютера в сеть с незанесенным в таблицу маком оно автоматически добавляется, а этого надо избежать... - есть ли способы "заморозить" таблицу?

[sash-kan]

сформулируйте, чего именно Вы хотите добиться.

[wzor]

есть сервак есть дом сеть, надо чтобы все кроме некоторых личностей не видели сервер, решаю задачу с помощью привязки мака к айпи с помощью arp, забивая на определнных связках айпи-мак реальные айпи и маки а остальные значения айпи нулями мака, но если человек меняет айпи адрес на тот которого НЕТ в таблице, то он добавляется в таблицу и человек может видеть сервер.. вот как бы сделать чтобы АРП таблица заморозилась и в нее не добавлялись новые значения

[sash-kan]

$ sudo ip l s arp off dev eth0

[wzor]

а тогда еще вопрос: данное действие нужно повторять периодически при загрузке или можно какнить прописать в настройке сетевого подключения?

[sash-kan]

один раз. в любой момент времени. достаточно чтобы интерфейс к этому моменту уже существовал. я имею в виду именно сетевой интерфейс, а не ip-адреса, закрепляемые за ним.
если уж отключаете работу arp (address resolution protocol), то будьте готовы полностью вручную заниматься resolution-ом. (:

[wzor]

чет все интересней и интересней )) вот отключил я его и что тогда ? - будет выполняться условие, что комп будут видеть тока прописанные в таблице айпи с определенными маками а айпи не прописанные в таблице либо имеющие непраавильные маки будут посылаться куда подальше ?

[sash-kan]

Вы слишком усложняете. на конкретном ethernet-интерфейсе всего лишь не будет работать arp. address resolution protocol. man 8 arp.

[wzor]

ну тоесть изначально поставленная задача будет выполняться ? (:

[serzh-z]

прописать в настройке сетевого подключения?

См. /etc/conf.d/net, /etc/conf.d/net.example и функцию postup.

айпи не прописанные в таблице либо имеющие непраавильные маки будут посылаться куда подальше

Да.

[wzor]

спасибо за ответы! и спасибо что сразу не послали, как обычно... ))

[sash-kan]

serzh-z, вот ты ответил человеку «да», а в общем-то, не все там так просто. например, ядро просто не будет отвечать на arp-запросы. если топик-стартер готов к упомянутому полностью ручному управлению тем, чем занимается протокол arp — как говорится, флаг в руки.

[serzh-z]

топик-стартер готов к упомянутому полностью ручному управлению тем

Я ответил на конкретный вопрос... -) Ты же уже упомянул выше про неободимость ручного сопровождения таблицы ARP.

[sash-kan]

Я ответил на конкретный вопрос

я, конечно, зануда, но на тот конкретный вопрос ответ «да» не подходит. потому что «посылаться подальше» будут вообще _все_. точнее, не то чтобы посылаться, а просто для всего ethernet-сегмента машина будет как бы выключена.
достучаться до нее смогут только те, кто знает ее mac-адрес. а работать с ней нормально смогут только те машины, в которых этот mac-адрес будет прописан перманентно и, так же перманентно, их mac-адреса должны быть прописаны в arp-таблице машины топик-стартера.

[serzh-z]

а работать с ней нормально смогут только те машины, в которых этот mac-адрес будет прописан перманентно и, так же перманентно, их mac-адреса должны быть прописаны в arp-таблице машины топик-стартера.

Как понимаю - последнее не пугает автора... Вопрос в том - захочет ли он прописывать адрес сервера на каждом из клиентов... Ну что же - а разве у него есть другой выход? Отвечать ARP-ответом только лишь конкретным клиентам, с заданными MAC-адресами, вроде бы нельзя.

Если уж на то пошло, то, если не ошибаюсь, в netfilter есть возможность фильтрации по MAC. Но это уже выходит за рамки топика.

[wzor]

мужики - это рзрыв мозга какойто ))
может расширим георграфию топика, это я к тому что

Если уж на то пошло, то, если не ошибаюсь, в netfilter есть возможность фильтрации по MAC. Но это уже выходит за рамки топика.

и

Отвечать ARP-ответом только лишь конкретным клиентам, с заданными MAC-адресами, вроде бы нельзя.

- а мне кажется какраз этого и надо ибо

работать с ней нормально смогут только те машины, в которых этот mac-адрес будет прописан перманентно и, так же перманентно, их mac-адреса должны быть прописаны в arp-таблице машины топик-стартера.

- а лазить и прописывать всем адрес сервера чтото неочень хочется...

[sash-kan]

может расширим георграфию топика, это я к тому что

тогда создавайте новый топик. про iptables match extension под названием mac. потому что к arp-таблице это никакого отношения не имеет.

- а лазить и прописывать всем адрес сервера чтото неочень хочется...

да я вот тоже намекал открытым текстом, что arp-протокол, в общем-то, штука довольно полезная. и не стоит нарушать его работу (:

в общем, не с того боку Вы зашли. поверхностное прочтение man iptables в части про mac-и, немного экспериментов, отдельный топик (на случай, если все-таки помощь потребуется), и Вы уже настоящий сетевой гуру (:

[wzor]

ну спасибо вобщем, но одно дело "намекать открытым текстом" а другое дело прямо сказать: не того тебе паря надо! не там ты ищеш и вообще

man iptables в части про mac-и

))