Filtrer par adresses MAC iptables Fermé

Question

Bonjour à tous!
Après avoir minutieusement et désespérément cherché une solution sur le net, je me tourne vers vous, chers frères et soeurs de CCM, pour résoudre mon problème:

J'ai à disposition un Réseau 192.168.1.X/24 avec différents serveurs dessus, un routeur (Linux Ubuntu LTS 12.04) qui donne accès à internet. Seulement voilà: Je dois identifier les pc d'un second réseau Wifi en 10.1.0.X/24 en fonction de leur adresse MAC, pour les restreindre à un accès à internet + serveurs pour les uns, et internet seul pour les autres.
J'ai donc pensé aux iptables: une simple règle qui autorise l'accès à mon réseau 192.168.1.X pour les adresses mac spécifiées, et juste la passerelle pour le reste. Seulement ça ne fonctionne pas :/ En réfléchissant, c'est normal, car mes règles iptables étant dans la table FORWARD, le routeur à déjà pris sa décision de routage, et donc à déjà modifié l'adresse MAC source par la sienne :-(
Je ne peux évidemment pas ajouter ces règles dans la table PREROUTING car la chaîne filter n'existe pas...
J'ai alors pensé: Grâce à la table PREROUTING et à la chaîne mangle, je pourrai modifier la valeur de mon TOS (Type Of Service), et ensuite dans ma tables FORWARD, utiliser la table filter pour restreindre l'accès en fonction de ce TOS  --> FAIL, car apparemment, on ne peut cibler le TOS que depuis la chaîne mangle donc même si je change ce TOS, je ne peux pas filtrer en fonction de celui-ci...
Je me retrouve coincé sans savoir comment restreindre un réseau à des adresses Mac...

Si une bonne âme expérimenté dans le domaine ou bien tout simplement originale pouvait m'aider je lui en serais très reconnaissant!

Merci d'avance!
 
Jak

mamiemando · Answer

Personnellement voici comment je ferais (c'est un peu différent de ton approche).

Pour chaque PC en question, je relève son adresse MAC. Au niveau de dhcp-server, j'associe chacune de ces adresses MAC à une adresse IP locale. Si un PC avec une adresse MAC en dehors de cette liste, je ne lui en donne pas (ça évitera que des gens s'amusent à trafiquer leur adresse MAC ou que des gens extérieurs se connectent à ton réseau).

Au niveau iptable, tout ce qui provient d'une IP que je n'ai pas explicitement attribué par DHCP est jeté. Ensuite pour chaque IP à l'intérieur de se bloque, tu peux définir des règles supplémentaires.

Bonne chance