COMODO firewall e consentire i MAC

[pipppero]

Ciao a tutti,
scrivo a voi perché fino ad oggi mi avete sempre aiutato e spero che tra voi ci sia qualcuno "esperto" di COMODO firewall.
Detto questo, ciò che vi chiedo è perché, se creo una regola IN ENTRATA che concede come indirizzo sorgente un MAC, COMODO fa entrare in quell'applicazione TUTTE le macchine della LAN e non solo quella corrispondente a quel MAC.
Potreste aiutarmi? Non vorrei fare delle concessioni in base agli IP ma li vorrei in base ai MAC.

[RunDLL]

Non conosco minimamente questo Comodo Firewall ma comunque penso che dovresti fare una relazione più dettagliata della tua rete.

[pipppero]

Ho una LAN e un router wifi che si collega ad internet.
Se creo una regola in entrata concedendo l'accesso ad un indirizzo MAC di un PC della mia LAN succede che COMODO mi fa entrare tutti i PC della LAN nell'applicazione a cui affido tale regola (es. FileZilla Server).
Se invece, creo una Rete consentita, e metto un indirizzo MAC e poi dalla regola di cui sopra metto questa rete consentita come accesso in entrata, COMODO funziona benissimo consentendo l'entrata al predetto MAC e impedendo agli altri PC di entrare (o al limite facendo la domanda di accesso).
Come è possibile questo comportamento?

[borgata]

Curiosità, perchè vuoi utilizzare il MAC Address come riconoscimento? Hai qualche problema ad assegnare ip riservati?

Comunque non conoscendo comodo firewall (mi pare lo conoscesse Booty, ma ultimamente non sta frequentando molto il forum) posso supporre che tu non stia utilizzando la procedura corretta per fare ciò che desideri.

Da quel che ho capito quindi vuoi che solo il PC la cui scheda di rete ha uno specifico mac address possa accedere ad una determinata risorsa di rete. Giusto?

[retalv]

Inviato da borgata

Curiosità, perchè vuoi utilizzare il MAC Address come riconoscimento? Hai qualche problema ad assegnare ip riservati?

Perchè con il MAC Address usa DHCP per tutto e se ne impippa di inpostare indirizzo fisso e dell'ordine di connessione dei sistemi, immagino...

Prima di dire che non funziona facci vedere la regola, poi ne riparliamo.

Tanto per farti capire, l'altra settimana ho fatto un bonifico e avendo messo luglio invece di giugno ho chiamato la banca per dire che il bonifico non era arrivato a destino... ti lascio immaginare come mi sono sentito pistola quando la signorina (presumo) del call center mi ha fatto notare la data di esecuzione...

[borgata]

Aspetta... il DHCP assegna SAP del livello di rete (ossia indirizzi ip), il MAC è il SAP di livello link e di non è assegnato perchè legato all'hardware.
Se vuole semplicemente gestire degli IP riservati, la maggior parte dei router moderni può farlo tramite DHCP.
Se lo fa perchè così crede di bloccare eventuali accessi non autorizzati usare il MAC non è certo sicuro, dato che qualunque macchina può trasmettere un indirizzo MAC che non è quello della sua scheda di rete.

[retalv]

Inviato da borgata

Se lo fa perchè così crede di bloccare eventuali accessi non autorizzati usare il MAC non è certo sicuro, dato che qualunque macchina può trasmettere un indirizzo MAC che non è quello della sua scheda di rete.

Ho presunto, poi dirà lui se è così...
Ognuno sceglie di impiccarsi come vuole...

[pipppero]

Inviato da borgata

Curiosità, perchè vuoi utilizzare il MAC Address come riconoscimento? Hai qualche problema ad assegnare ip riservati?

Ho già gli IP riservati. E' solo che gli IP possono essere anche spenti e qualcuno potrebbe cambiarsi il suo IP ed avere carta bianca ad entrare nella mia "rete riservata". Col MAC, è più complicato (dato che conosco i miei inquilini difficilmente lo farebbero).
A proposito, dato che uso un sacco di servizi sul mio server (FTP, accesso remoto, controlli di player video e audio a go go), ho lasciato le "porte aperte" e visibili (tanto se uno vuole entrare il firewall chiede). Ma ditemi, se io le nascondessi, le varie applicazioni, troverebbero lo stesso i loro server?

Inviato da borgata

Da quel che ho capito quindi vuoi che solo il PC la cui scheda di rete ha uno specifico mac address possa accedere ad una determinata risorsa di rete. Giusto?

Francamente dico ad una applicazione che IN ENTRATA è CONCESSO accedere ad un determinato MAC come indirizzo origine.
Così facendo, lui dovrebbe vietare (o chiedere) agli altri MAC.
Invece lui fa entrare TUTTO.
Se invece creo una rete consentita con quel MAC e imposto questa rete consentita IN ENTRATA e CONCESSA allora tutto funziona ed entra solo quel MAC. Io non capisco!

[borgata]

Gli IP riservati sono comunque associati a MAC Address (ossia ad uno specifico hardware di rete). Se una macchina tenta di utilizzare un certo IP riservato per una scheda di rete con indirizzo MAC differente, dovrebbe impedirglielo ("dovrebbe", perchè dipende da come è implementato il server DNS sul router).
Quella degli IP riservati mi pare una soluzione più pulita, anche perchè non si rischia di fare confusione tra i compiti che dovrebbero svolgere i diversi livelli dell'architettura di rete.

Per quanto riguarda il tuo "non capisco", escludendo un bug del firewall, magari la seconda procedura è quella corretta se vuoi filtrare in base al MAC address e la prima non funziona perchè pensata per lavorare in modo differente. Sto solo ipotizzando, dato che non conosci il software.
Hai provato a fare una ricerca per vedere se è un problema noto o riscontrato da altri?
Hai provato a chiedere sul forum di supporto di Comodo?

[retalv]

Direi proprio di no: non esiste una regola preimpostata riguardo i MAC.
Devi prima dirgli di bloccarli tutti e poi escluderne alcuni.

Abilita in entrata la rete LAN in range o singoli indirizzi e con altre regole per ogni MAC BLOCCHI in antrata "ad esclusione" di quel MAC.

Comunque credo tu stia facendo un lavoro poco utile...

http://lmgtfy.com/?q=windows+credenziali+rete

Inviato da pipppero

A proposito, dato che uso un sacco di servizi sul mio server (FTP, accesso remoto, controlli di player video e audio a go go), ho lasciato le "porte aperte" e visibili (tanto se uno vuole entrare il firewall chiede). Ma ditemi, se io le nascondessi, le varie applicazioni, troverebbero lo stesso i loro server?

Non sono sicuro di aver capito ma, detto in modo grezzo, una porta nascosta è semplicemente una porta che non risponde alla richiesta del protocollo ICMP (in soldoni il PING va in timeout) ma per tutto il resto è una porta come tutte le altre...

Inviato da pipppero

Se invece creo una rete consentita con quel MAC e imposto questa rete consentita IN ENTRATA e CONCESSA allora tutto funziona ed entra solo quel MAC. Io non capisco!

E' la filosofia opposta: stai impartendo al firewall l'ordine di abbinare (far entrare) solo quel MAC sulla lan dichiarata. Tutte le richieste provenienti da qualcosa non sia quel MAC vengono ignorate.

La logica generale è: prima blocchi poi decidi cosa lasciar entrare (o uscire), il modello è gerarchico.
Senza un blocco preventivo, dici al firewall di fare qualcosa che sta già facendo, ordini di lasciar passare una cosa che passerebbe comunque.

[LoryOne]

Devi considerare quanto segue:
Se il pacchetto giunge dall'esterno sull'interfaccia esterna del router (il tuo IP dinamico/statico pubblico) e quest ultimo possiede una regola per la quale deve forwardare verso un IP della rete interna, modificherà sia MAC sia IP di destinazione del pacchetto; in particolare, il MAC sarà quello dell' interfaccia interna del router.
Se i pacchetti viaggeranno all'interno della rete senza attraversare il router (cioè avranno identica subnet, quindi attraverseranno il router solo come connessione elettrica, senza intervento di natura logica sui pacchetti), ogni MAC sarà identico a quello della scheda di rete dalla quale si saranno generati.