iptables, permitir o acesso de certos endereços MAC

Question

Atualmente, limito quais clientes podem acessar meu servidor usando endereços IP via iptables, somente endereços IP aprovados podem se conectar.

No entanto, o problema é que, se um cliente estiver em um laptop e for para um local diferente, ele não poderá mais se conectar porque o IP foi alterado.

Por diversas razões, a autenticação do iptables é a única opção que eu tenho.

Existe uma maneira de restringir o acesso por dispositivo em vez de endereço IP. Por exemplo, apenas permita que certos endereços MAC se conectem à porta 5000.

É possível fazer isso via iptables? Note, os computadores não estão na mesma rede, eles podem estar se conectando de qualquer lugar do mundo.

    

Answer 1

Você não pode fazer isso porque endereços MAC não estão disponíveis para você para conexões que atravessaram a Internet.

Para fazer o que você quer, seria muito mais seguro configurar uma VPN e permitir conexões apenas com isso para sua infraestrutura crítica. Se você não puder fazer isso, poderá tentar configurar algum tipo de autenticação de dois fatores .

Se você realmente está preso com apenas iptables, então você pode conviver com porta batendo . Parece haver um bom bom tutorial sobre isso no wiki do Arch Linux, mas cuidado com o aviso e não use as portas / sequências de exemplo em seu ambiente.

Uma combinação das técnicas acima seria ainda melhor.

    

Answer 2

O Iptables tem um módulo mac . Você pode usá-lo assim:

/sbin/iptables -A INPUT -m mac --mac-source 00:0F:EA:91:04:08 -j DROP

O nixCraft tem um guia abrangente sobre como criar regras de filtro com base em endereços mac .

Mas isso funciona apenas na mesma rede, pois o endereçamento MAC é específico da camada de link e não será encaminhado ao usar o roteamento. Portanto, desde que os dispositivos estejam em redes diferentes que precisem de roteamento, isso não funcionará.