Точка доступа и несколько IP-адресов на один MAC.

Есть какие-нибудь рекомендации по этому поводу? Я наткнулся на несколько старых постов с такой же проблемой, но ни разу не видел решения. У меня ещё в таблице хостов отображается несколько публичных IP-адресов, но я не нашёл ни одного поста, объясняющего, почему так происходит. Буду благодарен за любую подсказку.

Эй, чувак! Буду признателен, если ты подробнее объяснишь, как решил проблему. У меня такая же ситуация, и я просто в отчаянии. Спасибо!

ICMP-перенаправления вызываются сообщениями SSDP от других устройств. Источник всё ещё отслеживаю, предполагаю, что причиной проблемы являются маршрутизаторы, подключённые наоборот.

У наших пользователей несколько типов роутеров: Belkin, Dlink, Netgear, Cisco/Linksys. Я проверил, что блокировка ICMP-редиректов решает проблему в лабораторных условиях. Не получилось заблокировать этот трафик с помощью файрвола Mikrotik, хотя уверен, что это возможно. Я настроил access-list на Cisco-коммутаторе, к которому подключена точка доступа Mikrotik, и всё работает правильно. Этот список доступа будет применён в рабочей сети в понедельник.

Хотя это может быть решением, мне всё же интересно, почему эти редиректы появляются и почему Mikrotik их ловит и создаёт хост-записи для IP-адресов. Планирую провести дополнительные исследования по этому вопросу. Опубликую обновления после запуска в продакшене.

Мой простой access-list:  
access-list 100 deny icmp any any redirect  
access-list 100 permit icmp any any  

Порт на интерфейсе свитча, к которому подключается точка доступа:  
int fa 0/1  
ip access-group 100 in  

Если у кого-то есть идеи, почему возникает такое поведение или как создать подобное правило файрвола на Mikrotik — буду благодарен. Я пробовал:  
chain=x action=drop protocol=icmp icmp-options=5:1  
где x — тип цепочки, несколько вариантов перебрал, безрезультатно. Также в моих сетях с точками доступа, где нет роутеров пользователей, такой проблемы нет, так как именно роутеры конечных пользователей генерируют эти ICMP-редиректы.

У нас тоже возникают с этим проблемы. Мы выяснили, что причина в том, что Hotspot видит трафик (в основном мультикаст) от пользователей (протоколы указаны ниже) и затем вставляет (недопустимые) arp / записи Hotspot. Чтобы решить эту проблему, можно заблокировать этот трафик с помощью правила бриджевого файрвола. Трафик, который нужно блокировать, описан в этом посте от Princeton. http://www.net.princeton.edu/filters/index.html

Есть несколько способов «обойти» эту проблему. Говорю «обойти», потому что она всё равно иногда проявляется в определённых случаях, а я не старался их определить, так как это сложно воспроизвести. Первый способ — использовать коммутаторы, которые поддерживают private VLAN (как это называет Cisco). Это изолирует пользователей друг от друга, и icmp redirect-сообщения между ними не проходят. Второй способ — создать access list и применить его на порт коммутатора, к которому подключается MikroTik с запущенным hotspot. Этот access list должен блокировать все icmp redirect-сообщения. В зависимости от возможностей коммутатора, можно применять access list к каждому порту, к которому подключены пользователи, либо использовать vlan acl. Пример Cisco acl для применения на уровне порта: Access-list 1 deny icmp any any redirect Access-list 1 permit ip any any Я сталкивался с этой проблемой только на сетях, где у нескольких пользователей подключены роутеры таких марок, как dlink, Belkin, linksys и т.п. Если бы я мог отказаться от использования hotspot, я бы так и сделал, потому что с ним сплошные проблемы. Надеюсь, MikroTik когда-нибудь решит эту проблему. Надеюсь, это поможет.

Если есть какое-то простое решение по этому вопросу, пожалуйста, сообщите нам и причину, почему это происходит. Я вижу, что один MAC-адрес одновременно получает разные IP-адреса, и единственный выход для меня — заблокировать сам MAC-адрес. Ещё вопрос: как вообще возможно, что одно устройство получает IP-адрес вне установленного диапазона? У меня настроен хотспот с сетью 10.10.0.0/24, но я вижу пользователей с адресами вне этого диапазона, например 100.100.0.67 или 192.168.0.54. Как такое может быть в одном интерфейсе? Пожалуйста, помогите.