openbsd pf 上网权限分配问题

liaoxuebo

     公司用openbsd pf squid 代理上网，客户未登记mac地址，接上网线后，自动获取IP并上网，在允许上网的列表内，公司工作用电脑都在openbsd服务器内绑定了ip和mac地址，他们没权限改IP地址，给他们分类了哪些人可以上，哪些人不可以上。
    现在的困惑是，交换机都是普通的，无法限制mac地址访问，有员工用私人笔记本，接公司网线也能获取ip，还在下载东西。
    有没什么更好的方案，不让那些员工用私人电脑接入公司占用公司带宽上网呢？
   

剑心通明

绑定mac的ip允许，其他ip deny了不就行了

ioerr

我曾经想过这么个笨招，说出来供参考：把不用的ip全绑定00-00-00-00-00-00，咋样，就是麻烦点，用个脚本吧，还省事点。

单位管的松，没检验过，行不行不知道哦

liaoxuebo

回复 2# 剑心通明


    问题是不可能，每个客户来了，都去登记mac然后绑定，开通上网阿，万一哪天我没在公司，有客户来了，就没法上了

liaoxuebo

    我想比较理想的方式是，客户所在区域到，交换机为普通交换机，用dhcp分配可上网IP。
    其他区域交换机设置，只允许mac地址通过，其他未登记一律deny，可这样到话好像要比较高档到交换机，才有这一功能阿。
    另外好像openbsd没设置bridge的话，无法过滤mac，只能过滤ip

dooros

设定绑定MAC的IP能上网，另外指定一个IP段能上网（一般10个左右），DHCP分配的IP段不能上网。这样客户来的时候只要自己设置IP为那10个中的一个就OK了。

wosl2001

pppoe

saliana

还没有用过呢.
劲舞私服   真封神私服   魔力私服

lsstarboy

单位内部用mac限制，外来用户通过pppoe，这个方案是比较可能的，操作起来也方便。pppoe可以用临时密码，客户走了后马上换掉。

想麻烦的话，内部也是ppoe+mac绑定。

liaoxuebo

谢谢大家的回复，pppoe还没试过，想试试看不知到时候操作麻烦不，如果麻烦的话也不好，每个客户都要，我去给他们设置拨号用户和密码，也够麻烦的，还有openbsd的无法用mac来限制上网也是个问题，只能限制ip。