Forum Debian Users Gang

Spytaj raczej na forach rosyjskich i białoruskich, tam to jest bardziej zaawansowane. :D

Na poważnie, to najprościej dać pacjentom dożywotnio adresy statyczne, potem w bazie zapisać, który adres do którego pacjenta, i gotowe.

W przypadku dynamicznych, masz logi DHCP czy PPPOE, do tego logi często Radiusa, i tam możesz to oskrypcić, Radius z resztą  może zapisywać do bazy każde logowanie i wylogowanie pacjenta.
PPPOE można na 100% oskrypcić w tym celu. DHCPD też.

Logi FW IMHO większego sensu nie mają, bo i tak nie mówią, kto użytkował dany adres IP od godziny X do godziny Y.

Logi połączeń?
Można na kilka sposobów, np użyć dsnifa - ma kilka zabawek do dokładnej inspekcji ruchu, da się to oskrypcić, żeby zapisywało w bazie.

W każdym razie jak ktoś się logował do serwera X czy Y z publicznego adresu,
to psiarnia tylko potrzebuje info, kto miał ten adres dnia o godzinie.
Materiał dowodowy mają na serwerze, gdzie się logował, włącznie z publicznym IP pacjenta i dokładną godziną w formacie czasu unixowego.

Z resztą sam zobacz.
http://www.trzepak.pl/viewtopic.php?f=12&t=42511

Ostatnio edytowany przez Jacekalex (2015-02-14 12:07:02)

Dsniff i logowanie do bazy danych?
Któryś z programów w pakiecie dsniffa (o ile pamiętam, urlsnarf) wyrzuca na konsolę dokładnie te dane,
o które pytasz, inny natomiast czesze hasła razem z adresami domenowymi.
Na 150% się da, tylko trzeba to oskrypcić trochę.

Nawet na bazie tcpdumpa mógłbyś coś wyrzeźbić, chociaż to byłaby ciężka partyzantka. :D

EDIT:
Urlsnarf:

<nazwa hosta > - - [14/Feb/2015:12:53:13 +0100] "GET http://forum.dug.net.pl/search.php?action=show_new HTTP/1.1" - - "-" "Mozilla/5.0 (X11; Linux x86_64; rv:35.0) Gecko/20100101 Firefox/35.0"

O to chodzi?

Jedna wada, pokazuje wszystkie wywołania GET, a tych na jedną stronę FF wysyła tylko 24. :D

W przypadku torrenta i p2p, ftp, itp masz adres Ip i godzinę połączenia z psiarni, które sprawdzasz z danymi z logów DHCP/PPPOE/RADiUSA.
Możesz też postawić transparentny proxy, i logować cały ruch.

Tcpdump by się do tego nadawał, ale z tcpdumpa nie można, albo nie znalazłem rozwiązania, by logował do bazy.

Z odpowiednim regexem może wypluwać dowolne dane prosto do skrypta, który będzie pakował do bazy SQL.

Ostatnio edytowany przez Jacekalex (2015-02-14 13:35:26)

a od kiedy trzeba trzymać logi z historii dns?
masz logi z połączeń do ip i tyle - fizycznie na poziomie isp nie masz możliwości stwierdzenia jaki adres ip miał w zeszłą sobotę dupa.dyndns.cn. niech podadzą ip to masz obowiązek im podać.

@jacekalex: kiedy ostatnio widziałeś adres ipv6 na podstawie maca np. w windowsie albo osx? owszem, da się ale to trzeba włączyć.
na swoim ubuntu mam przez radv skonfigurowane dwa adresy, jeden na podstawie maca, drugi randomowy (zmienny) który służy jako wyjściowy. i na routerze nie mam szans sprawdzenia który z randomowych adresów był przypisany do którego kompa.
owszem - dla isp problem nie istnieje: dostałeś klasę /64 czyli druga połówka adresu nas wali.

tym niemniej kolejny raz cię proszę - nie wypowiadaj się na tematy o których masz blade albo zerowe pojęcie. trzymaj się wydobycia węgla, a niuanse adresacji ipv6 pozostaw adminom.

Tak przy okazji: może nie zauważyłeś drobiazgu. Nie chodzi o to, który pacjent w danym momenciewychodził danym adresem IP i się z czyś tam łączył. Problem polega na sprawdzeniu, który się łączył w zeszły wtorek o siedemnastej z dupa.tld (przy czym nie masz pojęcia jaki IP miał dupa.tld w zeszły wtorek o siedemnastej).

Ostatnio edytowany przez ethanak (2015-02-14 15:18:52)

to źle wiesz.

adres z autokonfiguracji (obojętnie - randomowy czy wzięty z maca) będzie unikalny w sieci /64 bo o to dba protokół identyfikacji sąsiadów w lanie. sieci /64 są raczej unikalne.
no chyba że ktoś wpadnie na szczęśliwy pomysł zrobienia sieci mniejszej niż 64 - ale to już jego problem.

ethanak napisał(-a):

@jacekalex: kiedy ostatnio widziałeś adres ipv6 na podstawie maca np. w windowsie albo osx? owszem, da się ale to trzeba włączyć.
na swoim ubuntu mam przez radv skonfigurowane dwa adresy, jeden na podstawie maca, drugi randomowy (zmienny) który służy jako wyjściowy. i na routerze nie mam szans sprawdzenia który z randomowych adresów był przypisany do którego kompa.
owszem - dla isp problem nie istnieje: dostałeś klasę /64 czyli druga połówka adresu nas wali.

tym niemniej kolejny raz cię proszę - nie wypowiadaj się na tematy o których masz blade albo zerowe pojęcie. trzymaj się wydobycia węgla, a niuanse adresacji ipv6 pozostaw adminom.

Tak przy okazji: może nie zauważyłeś drobiazgu. Nie chodzi o to, który pacjent w danym momenciewychodził danym adresem IP i się z czyś tam łączył. Problem polega na sprawdzeniu, który się łączył w zeszły wtorek o siedemnastej z dupa.tld (przy czym nie masz pojęcia jaki IP miał dupa.tld w zeszły wtorek o siedemnastej).

Nie na podstawie maca, tylko zawierający mac-adres.
Różnica jak między szczaniem w piwnicy a piciem wina w Szczawnicy.
Układ następujący:

Dla podsieci będących LAN-em przydzielana jest pula adresów z maską /64, co umożliwia tworzenie unikatowych adresów lokalnych dla łącza w oparciu o (niepowtarzalne) numery sprzętowe MAC (IEEE 802). Adres taki (dla adresu MAC 10:22:33:44:55:66) będzie miał postać: 64bitowy_prefiks_sieci:1222:33FF:FE44:5566.

Sznurek:
http://pl.wikipedia.org/wiki/IPv6#Autokonfiguracja

I to nie Windows czy MacOS ma ustalać adres, tylko router przydziela adresy, 7000 razy prościej, niż w dhcp, bo w założeniu pacjent końcowy ma dostawać adres Ip z maską 64 bity, a operatorzy internetu adresy z maskami 32 albo 48 bit.

Wiec zamiast szukać dziury w całym, lepiej sam sobie poczytaj:
http://pl.wikipedia.org/wiki/IPv6

Ile unikalnych mac-adresów zmieścisz bez problemu na jednym adresie z maską /64, to spróbuj policzyć, i wszystkie adresy IP będą widoczne w internecie jako unikalne, bo cały adres ma 128 bit.
Przy okazji, jak adres o długości 128 bit dostajesz, to ile unikalnych adresów 128 bitowych możesz wygenerować jeśli  maska to 64 bit?

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2015-02-14 17:23:22)

@up

Windowsowe marketoidalne pierdolenie możesz sobie w schować w d....., i nigdzie więcej, M$ o prywatność użyszkodników dba tak samo, jak o bezpieczeństwo Windowsa.

W Iphonie fajnie to przygotowali już do IpPv4, czyli randomowy mac, przy każdym włączeniu sieci inny.

A w Linuxie można np tak:

perl -e 'for ($i=0;$i<6;$i++){@m[$i]=int(rand(256));} printf "%X:%X:%X:%X:%X:%X\n",@m;'

Trudne?
xD

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2015-02-14 17:31:25)

Pod tym jednakże warunkiem, że M$ zdąży włączyć to rozszerzenie przed premierą 1024 bitowego systemu Windows 999. :D
Oczywiście, może przesadzam,ale pamiętam, ile lat trwało, zanim IE zaczął prawidłowo obrabiać CSSy zgodne z W3C.

Albo np któraś wersja M$ Outlook (ten darmowy) zacznie normalnie obrabiać IMAPv4, czyli gadać z Dovecotem z użyciem  tls.

Ostatnio edytowany przez Jacekalex (2015-02-14 17:50:39)

@Nicram OpenWrt z Gargoyle jakoś sobie z tym radzi - może warto podejrzeć ?

Nie jestem ISP i nie znam ustawy. Tam to jakoś działa, chciałem kolegę nakierować ;-)

djjanek napisał(-a):

Ja ma to tak zrobione, iptables loguje wszystkie pakiety NEW, mam postawionego BIND i na nim logowanie kto co gdzie jakie zapytania. Wymusiłem korzystanie z mojego BIND i teraz wystarczy ze połączę te dwa logi i mam to co chciałeś.

W przypadku Google  Chrome nie wymusisz własnego DNS, bo ta przeglądarka ma wszyte na sztywno DNSy Google.
A jak je otworzysz dla Chrome, to każdy program może ich używać,
i nici z monitorowania, bo router nie dowie się nawet, jaki program woła na 8.8.4.4:53.


Także mocno "nieszczelny" masz ten system.

Dodam tylko, że mój ISP zrobił taką blokadę obcych DNS wraz z automatycznym przekierowaniem wywołań na port 53 na swoje DNSy, ale u mnie FW te odpowiedzi z przekierowanych adresy traktował, jak to FW zazwyczaj, radosnym komunikatem martias_source, czy coś w ten deseń, także działają po IPv4 tylko DNSy Google, inne natomiast (np OpenDNS) śmigają po IPv6 przez tunel  Teredo.


Ja myślę, że co do  zasady, skuteczne może być tylko info z Radiusa czy logów, kto w danej minucie i sekundzie używał danego  adresu IP, a reszta, to zawsze będzie w jakimś stopniu gdybologia stosowana, bo i tak nie masz pewności, jakie ktoś wpisał sobie DNSy.
Natomiast problem jest z prawnikami, bo taki prokurator raczej niewiele wie o sieciach, a syn jego ciotki, który ma genetyczne umiejętności informatyczne i udaje informatyka w Prokuraturze Rejonowej wie jeszcze mniej, także wnioski piszą "w dobrej wierze", ciekawe, kiedy któryś poprosi o "zawartość transmisji internetowej z okresu od 5 stycznia  do 27 kwietnia br". :D

Np w przypadku takiego pacjenta jak ja, nie miałbyś ani jednego zapytania DNS,
i ciekawe, co byś wtedy wysłał do prokuratury. :D

Pozdro
:craz:

Ostatnio edytowany przez Jacekalex (2015-02-16 02:51:11)