Доступ к серверу по MAC адресу

[LordMerlin]

Доброго дня уважаемые. Прошу строго не судить. Новичекс...собственно в чем суть, как ограничить доступ к серверу из интернета по МАС адресу? Сервер за роутером. Попробовал так

iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth0 -m mac --mac-source 00:C0:DF:10:19:FB -j ACCEPT
iptables -A INPUT -j LOG --log-prefix "INPUT DROP: "
iptables -A INPUT DROP

По логу вижу что блокируется клиент. Причем в логе какой-то длиннющий МАС адрес.Пробовал его в правила подставлять, iptables-restore ругается на эту строку, видимо неправильный синтаксис.
Помогите пожалуйста.

[kononvaler]

А из интернета разве MAC адреса транслируются в пакете?

[Pilot6]

LordMerlin,
Никак. Мак адреса существуют до ближайшего маршрутизатора.

[LordMerlin]

Так а что тогда посоветуете. Был бы белый ИП адрес статический другое бы дело. А может можно по ДДнс имени как то?
Пользователь решил продолжить мысль 21 Декабря 2015, 16:51:48:А если сервак в ДМЗ выстаить?

[kononvaler]

Белый и статический это разные понятия. Если серый то DDNS не получится (а регистрация в no-ip.org приведет к неминуемым атакам, замечено лично). Поставьте fail2ban неплохое описание что это вот например: http://putty.org.ru/articles/fail2ban-ssh.html
Хотя вы не сказали, что за доступ вы хотите ограничить снаружи.

[LordMerlin]

Спасибо, я в курсе чтем они различаются. И обычно когда покупаешь статический адрес, то дают обычно белый. У меня же другая проблема, хоть адреса и динамические но они белые так что с этим проблем нет. Доступ ТВ приставкам кабельных операторов. Путем подмены ДНС и поднятием на своей машине нДжинкса отдаем приставкам полный пакет услуг. При подписке на минимальный. Вот и хотел чтобы доступ давать только по МАС адресу клиента. Хотя вроде бы получается пока с конструкцией вида
iptables -A INPUT -s site.ddns.net -j ACCEPT
Главное чтобы случайно не выдал провайдер серый адрес. И плюс вопрос, как бороться со сменой адреса на клиенте при ежедневном рестарте РРоЕ сессии? ИП адрес то скешируется.

[kononvaler]

Спасибо, я в курсе чтем они различаются. И обычно когда покупаешь статический адрес, то дают обычно белый.

Извините, но статический адрес не может быть серым ну никак (не ну если конечно ваш провайдер совсем не обурел и продает внутренние серые адреса, только смысл в них какой, а потому такого не может быть). 

главное чтобы случайно не выдал провайдер серый адрес.

как это, провайдер вперемешку выдает то белые адреса, то за NAT пробрасывает? Впервые слышу, даже сложно представляю как реализовать без дополнительных ухищрений

как бороться со сменой адреса на клиенте при ежедневном рестарте РРоЕ сессии

да никак, потому то они и динамические адреса.
Не понял с приставками, а откуда они знают что надо днс резолвить у вас? или они с какой-то еще сети к вам конектятся, а затем уходят к провайдеру? или вы в них перенастроили авторизацию? непонятно откуда могут взяться несанкционированные клиенты в общем.

[LordMerlin]

Спасибо огромное, что отвечаете, и простите за немного нервный тон. Да, представьте себе местный Ростелеком развлекается иногда выдавая то серый то белый адрес в динамике. Спасибо что поправили, пока в статике серого не замечал. Ну да неважно.
В приставках указан ДНС сервер мой. Он сам на себя резолвит адрес сервера провайдера и проксирует нДжинксом запросы, и ответы от сервера, изменяя его таким образом чтобы приставки думали что у нас подключен полный пакет услуг.
Вот и хотелось бы ограничить как-то доступ к этому серверу. Слетели вчера настройки ИПТабла так злыдни засканировали его вдоль и поперек. Может fail2ban поставить? Но сможет ли он отличить хороших от плохих? Ведб приставки при активном переключении каналов много запросов делают.

[LordMerlin]

А может как то можно делать REJECT всем кто запрашивает не тот адрес или УРЛ?