Nieuw netwerk: 4000 users, wat voor authenticatie?

[jochemd]

Op donderdag 25 april 2002 15:59 schreef WeeBee het volgende:
Denk toch dat authenticatie op MAC address en eventueel PPoE het simpelste is.

Vergeet PPPoE.

Een beetje RedBack SMS 1800 kost al 4 ton, en daar kan je dan 1 Gb doorheen jagen. Met 4000 aansluitingen op 100 Mbit elk gooi je dan een factor 400 van je netwerkcapaciteit weg. Alleen hiervoor al zal je de authenticatie naar de rand van je netwerk willen verplaatsen, daar is capaciteit bijplaatsen veel makkelijker dan op een centraal punt de capaciteit bij blijven plaatsen.

Om nog maar te zwijgen van de vraag hoe je je internetradio aan PPPoE gaat koppelen. Of je mooie nieuwe Cisco VoIP telefoon.
Hoe ga je trouwens multicast regelen? Dat loopt vanaf de PPPoE server naar de client in unicast, dus dat schiet absoluut niet op.

Daarnaast is PPPoE nooit bedoeld voor shared ethernet. Iedereen die internet connection sharing aanzet antowoord op PADI's en adverteert daarmee een PPPoE server. Een beetje bijklussen tot je PADO de juiste vorm heeft en je hebt de bedoelde PPPoE server gespoofed en je voert een Man in the Middle attack uit.

Daarnaast is een PPPoE gebaseerd op een session ID van maximaal 16 bit. Ga uit van ethernetpakketjes van 100 byte en reken eens na in hoeveel tijd je met het gespoofde MAC adres van je slachtoffer een PADT stuurt die die connectie dichtgooit. Je kan zeer effectief een systeem waarvan je het MAC adres weet elke paar seconden disconnecten.

[Verwijderd]

Leuk om te lezen hoe er dik 10 jaar geleden gebrainstormd werd over het opzetten van de 100mbit verbinding van de SSHN.

Nu ben ik toevallig een huurder van de SSHN en er zal niet veel meer van de originele implantatie meer bestaan, echter het lijntje is nog steeds 100mbit, retesnel en stabiel (véél beter dan het fiberlijntje bij mijn ouders)

Nu krijgt elke huurder een eigen ip (welke echter wel gejat kan worden door een van je ganggenoten, hier heb ik echter nog nooit last van gehad)

[Zoetjuh]

Ander idee (en misschien te "simpel")
- MAC Based Authentication (802.1x/RADIUS) tbv juiste VLAN per port
- IP adressen dmv DHCP
- IP Based ACL per switchport

Ik neem zo aan dat het niet al te ingewikkeld is om voor dit geheel een script/webinterface te bouwen om het geheel te kunnen beheren.

Of zeg ik nou iets heel geks?

Maar wat is de policy nu precies rond meerdere devices?
- Mag men dit, dmv bijv. een eigen NAT/Router wel/niet doen (en eventueel met eigen Wireless?)
- Mag dit en zou het moeten kunnen doordat men er een switch op prikt; dan is het een ander verhaal
- Mag dit niet; dan ook interessant; want hoe ga je dat voorkomen?

[Equator]

Jongens.. Dit topic is bijna 12 jaar oud. Ik denk dat er nu heel andere technieken mogelijk zijn. Niet nodig om eer dergerlijk oud topic omhoog te schoppen.