Toegang tot het netwerk in pfsene op macadres niveau

[Egbert Jan]

Is er een mogelijkheid om in pfsense in te stellen dat je alleen toegang hebt tot het netwerk op mac adres niveau. dus dat je alleen een IP-adres krijgt als je mac adres is toegestaan. Ik heb hier al op gezocht op internet alleen kwam ik niet verder dan het internet blokkeren niet kan op macadres. Ik wil graag dat hele apparaat geweigerd wordt als het mac adres niet is toegestaan.Ik wil dit graag doen om mijn netwerk beter te beveiligen in huis en dat alleen de apparaten er op werken waarvan ik het mac adres toe sta. Weet iemand of die mogelijk is?

[Ristols]

Je zou in de DHCP config een static ARP entry kunnen instellen per device.
Let wel op een MAC adres kan ook gespoofd worden waardoor deze toch kan verbinden met het internet.

[Luxicon]

Ristols schreef op maandag 15 februari 2021 @ 21:45:
Je zou in de DHCP config een static ARP entry kunnen instellen per device.
Let wel op een MAC adres kan ook gespoofd worden waardoor deze toch kan verbinden met het internet.

Dan kan o.a. bij de DHCP server, waarbij het een optie is om deze ook als static ARP toe te voegen.
@Egbert Jan Via hetzelfde scherm (DHCP server opties) kun je ook instellen dat onbekende devices geen adres toegewezen krijgen, dus enkel diegene die je zelf toevoegt.

[Egbert Jan]

Bedankt voor jullie antwoorden ik heb hier heel veel aan.

[Frogmen]

Vroeger werd dat uit security overwegingen veel bij bedrijven gedaan soms zelfs op de switch. Is erg onderhoudsintensief en levert naar verhouding weinig tot geen security. Je kan namelijk ook zelf je IP adres instellen of zoals gezegd mac adres spoofen. Kortom lijkt leuk maar kinderen hebben dit zelfs snel door en weten het te omzeilen.

[Clueless]

Ik weet niet wat voor netwerk je hebt staan. Over het algemeen zou je dan naar 802.1x kunnen kijken maar dat moet je omgeving ondersteunen. Bij mij op het werk zijn we momenteel met een FortiNAC implementatie bezig die op basis van authenticatie/autorisatie je in een bepaald VLAN plaatst maar je dus ook als alles faalt in een "dead-end" plaatst waar je niks kunt en ook geen IP krijgt.

Hiervoor hadden we een combinatie van FreeNAC in combinatie met de legacy VMPS feature op de Cisco switches. Geen idee of dat iets waar je wat aan hebt. Als je naar Open Source 802.1x wil kijken zou je naar bijv. PacketFence of OpenNAC oid kunnen kijken.

[Egbert Jan]

Kan ik 802.1x gebruiken bij pfsense 2.4.5? Ik heb er verder twee consumenten access points van netgear de ex7000 aan zitten? Ik kan andere accesspoints kopen als het nodig is.

[DukeBox]

Houd er ook rekening mee dat tegenwoordig veel wireless devices random MAC's gebruiken by default.

[johnkeates]

MAC-based filtering is nutteloos, je kan je MAC adres gewoon aanpassen. Je kan ook constant adressen proberen tot dat het werkt.

Afhankelijk van je doel zal je moeten kijken naar een passende oplossing:

- Wil je 'apparaten' beperken, dan is 802.1x met een certificaat een goede manier
- Wil je 'gebruikers' beperken, dan is 802.1x met een gebruikersnaam en wachtwoord een optie
- Wil je willekeurige gebruikers filteren, dan is een captive portal een optie

Voor 802.1x wordt RADIUS veel gebruikt, dat zit in pfSense en OpnSense ingebouwd, en de meeste accesspoints kunnen dat ook gebruiken met WPA.

Omschrijf voor dat je verder gaat je doel!

Bijv: "Ik wil soms mijn kinderen van internet verbannen" of "voor mijn bedrijfje wil ik dat alleen mijn personeel gebruik kan maken van het netwerk"

[Voor 26% gewijzigd door johnkeates op 16-02-2021 19:53]

[Egbert Jan]

Wat ik ook nog wel hebben is een gasten wifi netwerk met geen toegang tot mijn eigen netwerk, zodat mensen die even bij mij op bezoek komen ook even op internet kunnen

[Egbert Jan]

helaas kunnen mijn netgear rx7000 access points niet overweg met een radius over wpa