A autenticação mais fácil para redes LAN?

Question

Existem muitos clientes dentro de uma LAN. O servidor é confiável, os clientes não são.

É necessário garantir que outros clientes não consigam falsificar outros clientes ou o endereço IP da LAN dos servidores.

Eu quero evitar incomodar com algo como openvpn ou ipsec, porque a criptografia não é necessária (LAN) e essas soluções são exageradas e complicadas de se aprender.

Existem alternativas simples?

    

Answer 1

Devido ao design básico da Ethernet, você não pode proteger clientes no mesmo domínio de transmissão de falsificar um ao outro. Mesmo que o switch ao qual eles estão conectados aprenda o endereço MAC para os mapeamentos de portas e tente enviar apenas tráfego para a porta correta, existem truques que podem ser extraídos para falsificar o endereço MAC de outra estação e obter seu tráfego. Procure ferramentas como o Ettercap.

Portanto, você precisa desenvolver seu modelo de segurança em torno de segregar as coisas que não devem, de forma alguma, falsificar umas às outras em VLANs diferentes. Por exemplo, você pode colocar tudo o que tem acesso de administrador em uma ou mais VLANs e colocar tudo que tenha usuários não confiáveis em uma ou mais outras VLANs.

Dentro de cada VLAN, o tráfego que não deve ser representado / inalado por outras estações na mesma VLAN deve usar criptografia na camada de transporte.

    

Answer 2

A alternativa mais fácil seria colocar um firewall de algum tipo entre os segmentos de LAN do cliente e do servidor. Então você gostaria de configurar o firewall com opções em torno de spoofing de pacotes e tal. Gostaria de configurar e reforçar uma versão do servidor Ubuntu com IPTABLES habilitado que fica entre os clientes e servidores. Gostaria de configurar as regras IPTABLES em um desktop Ubuntu usando o construtor Firewall e, em seguida, implantar o conjunto de regras para o servidor de firewall. Essa seria a versão barata. Se você tiver algum dinheiro em mãos, eu pedir, instalar e configurar um firewall de hardware, como o Cisco ASA ou um ponto de verificação.