DHCP Server AP dwingt niet af

[William_H]

Mijn probleem is als volgt.
Ik heb een Linksys WRT160N router die als AP fungeert (de modem van de provider handelt het internetwerk af). Die twee zijn op standaard manier verbonden.
De Linksys levert het wireless via B/G/N met WPA2 PSK TKIP/AES.
Waar het om gaat is het toewijzen van IP adressen door de AP aan pakweg 10 clients binnen het thuisnetwerk. Vanwege het delen en synchroniseren van bestanden en de bijbehorende rechten voor bepaalde computers, moeten de clients een vast IP address hebben. Eerst deed ik dat door DHCP auto toewijzing op de AP uit te zetten en de clients handmatig een adres toe te wijzen. Veel makkelijker (lees: centraler beheer) is natuurlijk om dit gewoon vanuit de AP te doen m.b.v. de MAC adressen van de clients.
Echter ben ik even aan het 'hacken' geslagen en nu kan ik nog steeds handmatig op een client kiezen voor een gereserveerd IP adres binnen de range van de DHCP. Dat wordt dus lachen als de gereserveerde client online wil komen en dat adres is al bezet door een client die dat adres ook heeft omdat die op 'handmatig adres toekennen' staat.
Waarom ik hier niet vrolijk van wordt? Omdat mensen zo hun adres kunnen wijzigen naar een adres wat bepaalde rechten geeft om toegang te krijgen tot bepaalde schijven op een computer binnen het netwerk. Die computer is beheerd via een firewall, waarbij 'bestands- en printerdeling' alleen is toegestaan aan bepaalde IP adressen.

Iemand die weet wat ik verkeerd doe of probeer ik iets wat niet kan werkt. Ik weet dat in theorie door MAC spoofing hetzelfde 'probleem' kan onstaan. Maar wat ik vreemd vind is dat ik een adres handmatig kan toewijzen aan een client die al gereserveerd is, maar nog niet toegewezen (omdat die bijv. niet online binnen het netwerk is) en dit alles binnen de range van de DHCP server. Komt u maar

[Wim-Bart]

Je kan het niet tegenhouden zolang je de clients zelf niet beheerd. Alles wat zelf geconfigureerd kan worden kan zichzelf een IP adres geven. Enige oplossing is dus geen security op basis van IP.

[EverLast2002]

Je zou extra security kunnen toevoegen dmv users en daaraan toegangsrechten toekennen.
Een IP binding aan een MAC adres is niet dat dit "de rest" uitsluit of voorrang geeft.
Je zou nog kunnen nakijken of je ergens de optie "Anti Spoofing" of "Spoofing Defense" kunt activeren in je router/AP.

[ Voor 54% gewijzigd door EverLast2002 op 15-12-2014 10:42 ]

[JackBol]

Configureer DHCP snooping op je AP en/of access switches.

[William_H]

@Everlast2002 Ik weet wat jij bedoelt en in feite doe ik dat al, je moet namelijk een user name en password invoeren om toegang te krijgen tot de PC waarmee gesynct moet worden. (helaas, die verdomde XP password bug zorgt ervoor dat je te makkelijk toegang krijgt, maargoed -> snel upgraden).
Ik had gehoopt door het toevoegen van de MAC-adressen gekoppeld aan specifieke IP-adressen zou zorgen voor deze bescherming.
Helaas moet je om dit te voorkomen (een soort van ARP spoofing), bijna enterprise routers hebben om je hier tegen te beschermen. De 'simpele' consumentenAP'tjes hebben dit soort functies niet. Misschien dat ik nog eens moet kijken naar Open WRT of DD-WRT, of die beschermen tegen dit soort 'features'. Want 'Is it a bug of a feature', nou in mijn ogen een fikse security bug als clients zelf een IP adres kunnen kiezen als ik een DHCP server heb draaien op mijn AP.
Als er mensen zijn die zeggen, ook Open WRT of DD-WRT kan hier niet tegen beschermen, hoor ik graag andere opties. Sta ik altijd open voor. Wel interessant om te weten dat je dit dus in elk netwerk kunt flikken waar een DHCP server aanstaat en jij wat over de toekenning weet van welke IP adressen aan wat gegeven worden.

[ Voor 15% gewijzigd door William_H op 19-12-2014 15:46 ]

[Brahiewahiewa]

...nou in mijn ogen een fikse security bug als clients zelf een IP adres kunnen kiezen als ik een DHCP server heb draaien op mijn AP...

't Is in ieder geval geen "bug". Het is namelijk geen programmeerfout. Het is hooguit een "design error".

Koop een router of access point wat de mogelijkheid heeft om een guest-SSID te maken. Mijn 5 jaar oude DLink kan het al. Mensen die je vertrouwt geef je het password van het main-SSID en mensen die je niet vertrouwt geef je het password van het guest-SSID

[EverLast2002]

Mensen die je vertrouwt geef je het password van het main-SSID en mensen die je niet vertrouwt geef je het password van het guest-SSID

Die optie is niet echt waterdicht, en vrij makkelijk te "kraken".

@ William_H
Wat voor iets regelt nu de toegang, je schrijft over een firewall en een bepaalde computer ? Wat voor OS draait erop bijv, en hoe heb je het ingericht ?

[William_H]

@ Brahiewahiewa 'Security by design', daar zou eens wat meer over nagedacht moeten worden. Helaas is dat nog steeds niet altijd het uitgangspunt.
Overigens zou ik voor zoiets geen nieuwe AP heoven te kopen, want volgens mij hebben de open source router firmware ook die mogelijkheid. Dan hoef ik 'simpelweg' de router te flashen.
Maar zoals EverLast2002 aangeeft is dit niet waterdicht.

@ EverLast2002 De computer waarmee gesynchroniseerd wordt is een XP SP3 (ja, ik weet het, staat op de nominatie om geupgrade te worden naar W8). De firewall is de ingebouwde Windows firewall, waarbij ik op poortniveau de IP-adressen heb toegevoegd aan de 'bestands- en printerdelen' firewall regel, en het bereik gewijzigd heb van 'Alleen dit netwerk (subnet) naar een 'Aangepaste lijst'.
Poorten zijn; TCP: 139 & 445 en UDP: 137 & 138
Dit werkt goed, want apparaten kunnen nu geen toegang krijgen tot de PC die oa als synchronisatiepunt werkt. Ik wil alleen dat de apparaten waarvan ik ze toestemming geef, toegang hebben tot die PC.
Daarna dacht ik, laat ik eens kijken wat er gebeurt als ik een apparaat wat geen toestemming heeft, een IP-adres te geven wat wel toestemming heeft. En natuurlijk kreeg die wel toestemming. Toen besloot ik om de DHCP-server van het AP weer te activeren en adressen toe te kennen aan alle apparaten middels MAC.
Maar blijkbaar overrulen de handmatige settings op een apparaat de DHCP server van het AP, dus daar wordt ik ff niet vrolijk van.

[revertive]

Je spreekt hier van client's maar als een PC handmatig een IP kiest heeft het niet veel met een DHCP server te maken, dus moet je ervoor zorgen dat de PC's niet handmatig een IP mogen invoeren.

[William_H]

@revertive Dat snap ik. Maar het punt, zoals in de titel staat, wil ik het afdwingen. Nu betekend het dus dat mensen zelf op hun apparaat (mobiel of PC) handmatig een adres kunnen invoeren en toegang kunnen krijgen. Ik sta natuurlijk niet elk moment van de dag bij iedereen mee te kijken op hun scherm. Als er iemand 'per ongeluk' wat verkeerd doet, kan dat betekenen dat het netwerk op z'n gat gaat. Daarom wil ik afdwingen, maar het lijkt erop dat een DHCP server op een AP dit dus niet kan en dat vind ik een beetje vreemd.

[plizz]

IP Source guard en port security, Cisco term, is wat je nodig hebt. Zo voorkom je dat mensen IP adressen gaat spoofen.

[William_H]

@ plizz Kon dat maar, het gaat hier over een consumentenrouter, WRT160N. Die ondersteunen dus geen commandline, alleen een web-GUI. Op zich kunnen die dingen veel, maar dit dus ff niet.

[Brahiewahiewa]

Tja, je wilt een radius server, maar als jouw "server" XPSP3 draait, zal dat wel niet gebeuren

[Fish]

Brahiewahiewa schreef op zaterdag 20 december 2014 @ 21:37:
Tja, je wilt een radius server, maar als jouw "server" XPSP3 draait, zal dat wel niet gebeuren

http://freeradius.net/ ?

[Brahiewahiewa]

Touché

[William_H]

@ Brahiewahiewa Nee, ik wil geen Radius server en nee ik heb geen "server" die XP SP3 draait. Is gewoon een PC die als synchronisatiepunt fungeert, in plaats van een NAS in een router.
Overigens vind ik de website tip dan wel weer fantastisch hier, maar daar heb ik zelf nu niet zoveel aan.

Van de firmware van de Cisco Linksys ben ik al een tijdje niet tevreden.
Iemand die weet of OpenWRT of DD-WRT beter is in het oplossen van mijn probleem?

[ Voor 12% gewijzigd door William_H op 22-12-2014 04:24 ]

[CyBeR]

William_H schreef op vrijdag 19 december 2014 @ 15:42:
Als er mensen zijn die zeggen, ook Open WRT of DD-WRT kan hier niet tegen beschermen, hoor ik graag andere opties. Sta ik altijd open voor. Wel interessant om te weten dat je dit dus in elk netwerk kunt flikken waar een DHCP server aanstaat en jij wat over de toekenning weet van welke IP adressen aan wat gegeven worden.

Nee hoor. DHCP snooping en ARP-protection gooien roet in jouw eten. Zover ik weet kan jouw WRT-spul dat niet en moet je serieuze hardware kopen.

Overigens is je beveiliging afhankelijk maken van IP-adressen… niet zo handig. Zoals je dus inmiddels al ontdekt hebt.

[ Voor 5% gewijzigd door CyBeR op 22-12-2014 05:15 ]

[rjong5]

Als je een switch hebt die vlans ondersteund kun je kiezen om het AP in een apart vlan zetten met een ander subnet.
kunnen de cliënts handmatig configureren wat ze willen maar ze blijven in dat vlan zitten.

Prima te beveiligen ook

[EverLast2002]

William_H schreef op maandag 22 december 2014 @ 04:22:

Van de firmware van de Cisco Linksys ben ik al een tijdje niet tevreden.
Iemand die weet of OpenWRT of DD-WRT beter is in het oplossen van mijn probleem?

Als je een v2 revisie hebt kun je dd-wrt vergeten. OpenWRT weet ik uit mn hoofd niet, kwestie van even opzoeken.

[Equator]

Wat jij wilt is IMO gewoon niet mogelijk door alleen gebruik te maken van een DHCP server. Die bepaalt immers alleen welk IP adres ik krijg.

Wat jij echt zoekt is een configuratie met VLAN's en 802.1x beveiliging zodat alleen een geautoriseerde cliënt een specifiek IP adres uit een range kan krijgen. Niet geautoriseerde clients kunnen wel een eigen IP adres opgeven maar zijn doordat ze niet geautoriseerd zijn niet aangesloten op het juiste VLAN.

Gasten zijn dan uit principe niet geautoriseerd en komen daarmee alleen op het Gasten VLAN.

[William_H]

@ CyBeR Ja, ik dacht, ff uittesten of het ook echt werkt. En dan kom je er dus snel genoeg achter dat het dus zo niet werkt
@ rjong5 Dat is een oplossing. Helaas, zoals ik hierboven al aangaf hebben we hier te maken met consumentenrouters.
@ EverLast2002 Heb gelukkig de V1, dat had ik al ff opgezocht. Klopt inderdaad dat de v2 revisie bij DD-WRT niet ondersteunt wordt.
@ Equator Dank voor de heldere verwoording. Ik was hier al bang voor. Ik dacht, misschien kan het, maar dat wordt dus inderdaad 802.1x beveiliging als ik de netwerkbeveiliging dusdanig wil aanscherpen.
Dat is inderdaad zoals ik de netwerklay-out zou willen.

Andere hardware is op dit moment even niet een optie. Dus ik ga even kijken wat OpenWRT en DD-WRT mij kunnen brengen op firmware gebied voor deze router en dit netwerk.

[EverLast2002]

Ik kwam dit packet tegen in de package-lijst van pfSense, misschien kun je het in je eigen netwerk ergens toepassen ?

[ Voor 15% gewijzigd door EverLast2002 op 23-12-2014 20:04 ]

[Frogmen]

Het klinkt ook wel heel erg als een typisch studentenhuis probleem 1 internet aansluiting een paar vriendjes die elkaar wel vertrouwen en een paar niet. Leer hier vooral mee omgaan en maak een keuze leer ze te vertrouwen of regel een tweede secundaire router en ga dubbel natten. Meest simpele oplossing

[William_H]

@ EverLast2002 Bedankt voor de tip. Helaas werkt pfSense alleen op servers. Gaan we toch weer naar het professionele circuit. Maar misschien dat iemand anders wat aan deze tip heeft, want pfSense ziet er wel goed uit, en Open Source

@ Frogmen Nee, geen studentenhuis. Wist je dat zelfs bibliotheken met pro-sumer router oplossingen werken? Maar in dit geval gaat het gewoon om een gezinssituatie met gasten. En omdat er al genoeg draadloze netwerken in de buurt actief zijn, dacht ik het binnen 1 netwerk op te lossen. Dat heeft ook nog steeds de voorkeur. Aan "wen er maar aan" opmerkingen heb ik altijd een beetje een broertje dood, ook als een dokter zoiets zegt. Dan had ik net zo goed niet hoeven komen. Gaat hier niet alleen om vertrouwen, maar ook om beveiliging. Mobiele apparaten komen op openbare plekken, stationaire pc's niet. Maar blijkbaar lijkt het erop dat dit vooralsnog te ingewikkeld is voor een consumenten routertje. Blijkbaar wil ik weer teveel....;)