Как сунуть MAC в нужный VLAN?

Question

[Талян]

Кю!

Сможет кто подсказать? На дебиане имеется интерфейс vlanXXX, на интерфейсе есть интернет, и DHCP.
C интерфейса eth1 приходят маки. На eth1 нет ничего, ни айпишника, ни DHCP.

Как можно сделать так, чтобы определенный мак-адрес "попадал" автоматически в vlanXXX и чтобы у него появлялся интернет, а все остальные маки попадали скажем в vlanYYY?

ebtables -A FORWARD -s D4:6E:0E:1E:AB:DF -i eth1 -o vlanXXX

ничего не дает. Мак адрес не попадает в интерфейс vlanXXX и не получает айпишник.

Answer 1

[Sergey Ryzhkin]

Очень похоже на необходимость 802.1x

Answer 2

[Валентин]

Тыц. Но это плохое решение. Лучше подумать, зачем вы это хотите, и найти способ более подходящий для маршрутизатора (а сервачок на линукс нужно рассматривать именно с этой стороны) - 802.1x, динамические логические интерфейсы ака pppoe/pptp, IPoE, policy based routing, vrf...

Comments

[Талян]

Давайте я вам лучше всё по секрету расскажу))
Чтобы вы не думали, что я сумасшедший.

Кстати за ответ - спасибо.

Мы - компания (мааааленькая примаааленькая) провайдер.
Хотим предоставлять в общагах интернет студентам, но с разной скоростью.

Идея в том, чтобы любой вася смог подключиться в общаге к открытому вифи, и - если его мак есть в нашем сервере, то сунуть его в нужный влан, где у него на всю шайку-лейку (на его договор) скорость делится между устройствами.

Можно было бы шейпить скорость по IP но не тут то было.
Во-первых абонент покупает именно себе конкретную скорость.
Биллинг на BRAS даёт абоненту VLAN типа v2567... и т.д.
В этом влане у него обрезана скорость по тарифу.

Во-вторых это какая-никакая изоляция. Вася из кв.45 не должен видеть Петю из кв. 46 в сети.

Вместо роутера - мы подымаем IPoE у нас на сервере (отдельный виртуальный интерфейс для каждого абонента, со своей скоростью).

Для каждого поднятого IPoE интерфейса мы создаем новый интерфейс вида vlan567... и там раздаём новый DHCP. Получается, что у абонента несколько устройств получают новый адрес, но все они ходят в интернет через интерфейс IPoE, соответствующий его тарифу. То бишь v567 ходит через IPoE vlan 2567 и т.д.

Вот в чем прикол.

По идее дураку понятно, что надо сунуть всех абонентов в один влан, а у нас в серверной поставить коммутатор с mac-vlan, но блин косяк в том, что таблицы mac-vlan в коммутаторах ограничены. Туда много не засунешь. Потому надо сервер.

Я уже и не знаю что делать. Я сейчас с домашнего компа пишу, могу завтра подкинуть статейки которые я нашел - там вроде как то что мне надо, но нифига не работает.

[Валентин]

Талян, я дал ссылку на нужный модуль.

Идея в том, чтобы любой вася смог подключиться в общаге к открытому вифи, и - если его мак есть в нашем сервере, то сунуть его в нужный влан, где у него на всю шайку-лейку (на его договор) скорость делится между устройствами.

Это решается другими инструментами из рубрики captive portal, hotspot, wifi с авторизацией, 802.1x. Не понятно, почему вы отвергаете что-то из этого перечня.

Во-вторых это какая-никакая изоляция. Вася из кв.45 не должен видеть Петю из кв. 46 в сети.

Ну сделайте port isolate, MAC based ACL на коммутаторе выше точке доступа, хотя так себе сомнительная изоляция с учетом логики работы радиоинтерфейса вай-фай.

Мы - компания (мааааленькая примаааленькая) провайдер.
Хотим предоставлять в общагах интернет студентам, но с разной скоростью.

10 лет назад в абсолютно аналогичной ситуации (тоже для универа) мы сделали личный кабинет, куда абоненты добавляли свои мак адреса. Понятно, что чуть-чуть прослушав эфир вай-фая можно подменить свой мак на валидный соседский и пользоваться халявным интернетом.

[Талян]

Валентин, спасиб я почитаю завтра. Хотспот и captive portal то у нас есть. Но там без шейпинга. А такую муть я делаю, потому что у нас в биллинг нереально что то внедрить такое.

Приходится извращаться. Так что идеальный вариант было бы превратить линукс в мак-бейзд влан. Но мне это пока не удается

[Валентин]

Талян, биллинг - набор скриптов, тем более для шараж-провайдера. почему же в него нельзя добавить ещё одну веб формочку?

[Талян]

Валентин, потому что биллинг на винде и ему 22 года ))) большего мы позволить себе не можем)

[Валентин]

Талян, ну так и что? Не помогло?