Здравствуйте!
В офисе стоит сервер на базе Suse.
На нем iptables - пробрасывает компы с локальной сетки в инет.
Проброс идет на основании правилп типа:
$IPTABLES -t nat -A POSTROUTING -s 192.168.0.11 -o $INTERNET_IFACE -j SNAT --to-source $INTERNET_IP
Теперь суть проблемы, сперли ноут, есть какая-то возможность узнать на сервере mac адресы компов которые выходили в инет через сервер(через iptables)? Если конечно это возможно.
LinuxForum.Fans
Как узнать mac адрес компа через роутер
Автор: meryfelow
15 сообщений
5012 просмотров
meryfelow
Могу только предположить копать в сторону логов самого iptables, если конечно они были включены при настройки.
Увы логирование в iptables не настраивалось(. А arp нигде не хранит историю?
А arp нигде не хранит историю?
Думаю навряд ли, при реконекте же маршруты по порту обновляются, так что и arp запросы стираются, хотя, опять же как настроена сам iptables.
А что у Вас нет промежуточного свича или маршрутизатора после сервера и крайними пользователями? Хотя бы простейшего учёта трафика ?? oO Для чего тогда использовать iptables как NAT и всё??? Смотрите в логах сервера, что то там должно быть.
Получается, что если и можно было узнать то через iptables, а так как не настроено то увы нет. Хорошо, а если с ноута, не только выходили в инет, но и залазили на расшареную папку на сервере? smb может что-то знать?
meryfelow
Вообщем, к чему только сообразила голова:
[console]# arp -a[/console]
or
[console]# arp -j[/console]
какая то из этих 2х комманд высыпить Вам всю arp таблицу, возможно так найдёте.
Если уж не будет, смотрим по smb
/var/log/samba или smb там будет храниться вся информация о входах, в каком нибудь из логов.
Стоп, стоп, а расшаренная папка на сервере, сервер чем управляется, какая ось? Если Линукс, то смотрите что я выше написал, если Виндовс, там уже другие заморочки.
openSUSE 11.1 (i586)
VERSION = 11.1
в arp -a - уже записи с нужным ip нет
В логах самбы - только ip
iptables настройте логирование делов то
Да что уж, если бы знал что ноут украдут, конечно бы настроил, а так думал как-то можно узнать на основании средств самого Suse
openSUSE 11.1 (i586)
VERSION = 11.1
в arp -a - уже записи с нужным ip нет
В логах самбы - только ip
Смотрите глубже, логирование расшаренных ресурсов должны быть максимальное, там всё должно быть, либо выкладывайте логи и будем смотреть уже все вместе.
$pwd
/var/log/samba
$ls
cores log.nmbd log.smbd log.smbd-20100630.gz log.smbd-20101215.gz log.swat
$cat /var/log/samba/log.smbd | grep 00-21
ничего не находит по началу моего mac
text
$cat /var/log/samba/log.smbd | grep 192.168.0.10
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 3788)
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 3791)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 9051)
btl-10 (::ffff:192.168.0.10) closed connection to service d
timeout connecting to ::ffff:192.168.0.10:445
timeout connecting to ::ffff:192.168.0.10:445
timeout connecting to ::ffff:192.168.0.10:445
timeout connecting to ::ffff:192.168.0.10:445
timeout connecting to ::ffff:192.168.0.10:445
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 11988)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 12672)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 4802)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 4788)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 7992)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 10044)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 4667)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 14995)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 15031)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 3739)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 4265)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 4825)
btl-10 (::ffff:192.168.0.10) closed connection to service d
btl-10 (::ffff:192.168.0.10) connect to service d initially as user userd (uid=1002, gid=100) (pid 4006)
btl-10 (::ffff:192.168.0.10) closed connection to service d
linux-q29z:/var/log/samba # cat log.smbd | grep 192.168.0.10
$cat /var/log/samba/log.smbd | grep 192.168.0.10
А почему Вы делаете выборку только по одному адресу?
Ну я взял выборку по ip, который был на ноуте, mac которго мне и был нужен
а в логах фаервола не может быть?
если ip назначался DHCP то может быть в логах DHCPd что-то есть?
Ну я взял выборку по ip, который был на ноуте, mac которго мне и был нужен
IP выдаёт DHCP сервер. Вот в его логах и лежит нужный mac-адрес.
Войдите или зарегистрируйтесь, чтобы ответить.
