Subdomain acces and adresse MAC

Discuss Advanced use case
1

Hello, (:fr: ci-dessous).

I am trying to find out if the following is achievable.

Situation: my YunoHost is organized into subdomains. Some subdomains are accessible to the public (blog etc) and others only to my members (families).

Project: I would like to be able to regulate the access to my subdomains according to the visitor for example:

subdomain01: allow all flows.
subdomain02: block all flows except MAC01 MAC02 MAC03?

Or is it possible to tell the server you allow the following macs addresses to access such and such subdomains and the others you send them to an empty page or the Google page for example.

Which solution do you think is used? Can Fail2ban allow macs addresses based on domains?
I know the MAC address may be spoofing, but it seems to me that is more difficult right? Is there any other criteria that could be used to lock down the security?

Thank you for your opinions and your feedback on similar practices that you have put in place.

Thank you
Guillermo

Bonjour,

Je cherche à me renseigner si la chose suivante et réalisable.

Situation : mon YunoHost est organisé en sous-domaines. Certains sous-domaines sont accessibles par le public (blog etc) et d’autres uniquement à mes membres (familles).

Projet : J’aimerais pouvoir régler l’accès à mes sous-domaines en fonction du visiteur par exemple :

sousdomaine01 : autoriser tous les flux.
sousdomaine02 : bloquer tous les flux sauf MAC01 MAC02 MAC03 ?

Ou alors est-il possible de dire au serveur tu autorises les adresses macs suivantes à accéder à tel et tel sous-domaines et les autres tu les renvoies vers une page vide ou la page Google par exemple.

Quelle solution utilisée selon vous ? Fail2ban peut-il autoriser des macs adresses en fonction des domaines ?
Je sais que l’adresse MAC peut-être usurper, mais il me semble que c’est plus difficile non ? Il y a t’il un autre critère qui pourrait permettre de verrouiller la sécurité ?

Merci pour vos avis et vos retours sur des pratiques similaires que vous auriez mis en place.

Merci
Guillermo

2

Bonjour Guillermo,

Les accès et échanges à ton serveur via internet (qu’il s’agisse de sous-domaines ou pas) se font avec l’adresse IP du client et non son adresse MAC (l’adresse IP est une adresse logique, l’adresse MAC est une adresse physique).

Même si mes connaissances sur le sujet remontent à biiiien longtemps, dans un échange TCP seule l’adresse IP du client est conservée à travers internet ; si ton serveur devait observer une adresse MAC, ce serait celle du dernier routeur par lequel a transité la requête du client.

1 Like
3

J’ai peut-être dû l’extrapolé à partir du SSH alors ? Il me semblait avoir lu quelque part qu’un accès pouvait se filtrer avec la MAC adress d’un appareil, mais j’ai peut-être mélanger les choses.

Donc admettons l’adresse IP, mais pour un terminal en 4G par exemple l’IP dépendra du relais par lequel passera le signal alors ?

4

Si tu es sur le même réseau IP (par exemple, un réseau local chez toi où tous les appareils sont connectés à la même box), alors oui : ta box peut d’ailleurs filtrer par adresse MAC les appareils autorisés à s’y connecter. Mais pas via internet, puisque l’adresse MAC n’est pas conservée.

Entre autres, oui. En tout cas, l’adresse IP peut varier.

Tu pourrais éventuellement demander à tes utilisateurs de passer par un VPN dont l’adresse IP serait fixe : tous les clients qui se connecteraient à ton serveur via ce VPN auraient la même adresse IP ; tu pourrais donc refuser toutes les connexions qui ne proviennent pas de cette adresse IP en particulier. Sauf qu’en réalité, là tu ne fais que transférer ton problème initial au VPN, qui a la charge de vérifier si un client/user donné a le droit de s’y connecter (toujours via un système de login/mot de passe ou autre certificat). Et les utilisateurs devront quand même s’authentifier à ton serveur ensuite.

D’après moi, le mieux est tout simplement de laisser ton YunoHost tel quel, et lui laisser la gestion des accès avec le système de login/mdp. Le service Fail2Ban bloquera de toute façon une IP si celle-ci fait trop de tentatives de connexions infructueuses.

5

Si ce qui t’inquiète c’est les mots de passe de tes users, tu as un settings qui permet de demander des mots de passe plus fort.