По DHCP раздается не та подсеть. Как решить проблему?

Question

[iMaddy]

Есть компьютер на Linux, который работает в качестве DHCP сервера. Он настроен на раздачу как фиксированных IP (по MAC-адресу), так и случайных IP из трех подсетей: 192.168.11, 192.168.12 и 192.168.13. Больше никаких подсетей на DHCP-сервере не настроено. Но каким-то образом иногда начинается раздаваться 192.168.30 подсеть мобильникам по вай-файю и компьютерам, естественно интернета нету в этом случае. В чем может быть проблема? Может ли быть такое, что кто-то притащил с дома свой wi-fi роутер с включенным DHCP и он начинает тем самым фонить 30 подсетью в нашу сеть? Проблема точно не в DHCP сервере.

Answer 1

[Александр Семененко]

Да, если кто-то воткнул в вашу сеть свой dhcp, то так и будет.

Клиент при включении отправляет широковещательный запрос, кто здесь dhcp сервер. Вот чей сервер первей ответит, тот и раздаст этому клиенту адреса.

Answer 2

[iMaddy]

Проблема найти теперь виновника. Через Wireshark определил кто раздает DHCP, есть информация об MAC адресе, только мне от этого легче не стало, так как нет нигде никакой информации о том, что это за устройство. Тот же Wireshark пишет, допустим, что под таким то MAC адресом это TP-LINK и т.д., с MAC адресом, который раздает 30 подсеть - глухо.
Через файрвол iptables на DHCP сервере полностью заблокировал этот MAC адрес, даже если кто-то включил роутер в сеть, то интернет у него не должен никак работать.

Comments

[Alexey Dmitriev]

По MAC адресу можно определить производителя устройства.

[iMaddy]

Пробовал уже, нигде нет никакой информации об производителе по этому MAC адресу. Собственно, вот сам MAC адрес: 5e:7a:ca:e8:8e:4c

[Дмитрий]

какие коммутаторы в сети? приличные умеют такую вещь как DHCP Snooping
это блокировка неразрешенных DHCP серверов в сети

[iMaddy]

Дмитрий, коммутаторы все обычные, неуправляемые (например D-Link DES-1024A). Есть один управляемый (TP-Link TL-SG1024DE), он выполняет функцию главного коммутатора, в него все идет, но в нем нет функции DHCP Snooping. Если его заменить на коммутатор с поддержкой DHCP Snooping - это поможет? Либо для эффективности надо менять все подобные коммутаторы (у нас их 5 штук) на хорошие управляемые с DHCP Snooping?

[Дмитрий]

В Wireshark должен быть виден и ip-адрес этого роутера. Пропишите статическую arp-запись с его маком и ip-адресом и попробуйте зайти на него вебкой. Есть вероятность, что это сработает. DHCP отключаете, WiFi отключаете, ставите свой пароль вместо дефолтного и предупреждаете сотрудников, что в следующий раз меры к тем, кто самовольно подключает в сеть неавторизованные устройства, будут уже административного характера

[Дмитрий]

iMaddy, замена сузит круг поиска. Если замените все - сможете до порта определять злоумышленника.
С другой стороны у вас есть мак адрес, с вашего коммутатора нельзя взять таблицу мак-адресов с привязкой к портам?

[iMaddy]

Дмитрий, да, IP-адрес виден, 192.168.30.1. Завтра попробую прописать arp-запись, но не уверен что это сработает, так как мак-адрес у него вообще непонятный. Ибо обычно по мак-адресу можно определить производителя роутера, во всяком случае если роутер более-менее именитого бренда. Либо роутер какой-то ноунейм китайский, либо это не роутер, а какое-то другое устройство.