Как запретить «двойной» NAT?

Question

[Alex]

Здравствуйте. Стоит интересная задача. Есть некая небольшая сеть. В качестве шлюза в интернет Linux-компьютер на базе CentOS. Доступ в интернет разрешен только некоторым компьютерам (фильтрация по IP адресам через iptables. В конфиге DHCP адреса строго привязаны к MACам). Продвинутый пользователь, имея ноутбук подключенный по кабелю, или компьютер с WiFI-адаптером, может сделать открытую точку доступа посредством организации NAT'а на своем компьютере. Надо это как-то запретить. На ум пришло следующее - блокировка по TTL. Все пакеты, отправляемые напрямую шлюзу (через неуправляемый коммутатор) имеют TTL равный 64. При проходе через NAT TTL уменьшается на единицу, т.е он уже равен 63. Поэтому, можно отсекать все пакеты с TTL = 63 из локалки на шлюзе через Iptables, что я и делаю (enp2s0 - интерфейс, "смотрящий" в локалку):

iptables -A INPUT -i enp2s0 -m ttl --ttl-eq 63 -j DROP

Подключил ноутбук с линуксом по кабелю, раздал вай-фай, поднял NAT и подключил к этой ноутбуковской точке доступа планшет. Но, к сожалению, моя идея не сработала. На планшете сайты открываются (примечание: очень долго открываются. Если убрать вышенаписанную строчку iptables, то сайты открываются гораздо шустрее).
Большое спасибо, что дочитали до конца. Где я таки неправ?

Answer 1

[Maksim]

Т.е. Вы думаете, что только Вам подвластно сменить значение TTL-наивный:)

Возможно стоит ограничить кол-во одновременных соединений с одного IP?

Comments

[Alex]

Попробую, спасибо за ответ. Но, может NAT вносит какие-то изменения в пакет (кроме трансляции IP-адреса), по которым можно однозначно определить, что пакет был преобразован?

[Maksim]

OXDemager: Вы уверены, что у вас вообще появится такой продвинутый пользователь?

[Alex]

Maksim: Это вряд ли. Большинство пользователей с трудом Word открывает ;) Тут больше чисто спортивный интерес начинающего сисадмина ;)

[Maksim]

OXDemager: Отвечу на ваш вопрос вы, кроме как изменения Source IP мне лично в голову нечего не приходит.

И совет, не занимайтесь ху*ней потратьте время на что то более полезное :)

Answer 2

[athacker]

Кроме TTL, в пакете, прошедшем через NAT, ничего тотально не меняется. SRC-адрес, SRC-порт (возможно), ну и контрольные суммы. Да и с TTL тоже вопрос. На фре, например, можно собрать ядро с опцией STEALTH, и тогда в пакетах, проходящих через NAT, не будет меняться TTL.

Если на планшете сайты таки открываются -- смотрите tcpdump'ом, что за пакеты ходят в это время между ноутом и шлюзом. Разные системы задают разные TTL. Винда, например, проставляет TTL 64, а фря -- 128. Возможно, что на планшете тоже не 64. Это не объясняет тормоза, но объясняет факт открытия сайтов.

Answer 3

[Ogogon]

Объективно говоря - технически никак!

Всегда будет мальчик, который это объедет.

Но, если у вас организация, то это можно запретить административно.
В любой вменяемой организации есть внутренние правила. Там нужно запретить создание левых подключений. Такая штука называется "инициативный шлюз".
При устройстве на работу каждый сотрудник подписывает порядок пользования информационными ресурсами предприятия. Там это запрещено.

Остается только ловить нарушителей. Это можно делать аналитически.
Если у обычной рабочей станции начинается много одновременных исходящих соединений, то это значит что она или словила трояна или на ней сгородили шлюз.

Answer 4

[alegzz]

вы блокируете пакеты, предназначенные для сервера. для транзитных пакетов правило надо добавлять в цепочку FORWARD