Wifi WPA sin DHCP y Filtrado MAC - ¿Como detectar intrusos?

[pacco]

Si, pero tienes que pasar tiempo analizando con airodump / wireshark en alguna distro linux con live-cd

Gracias seguiré investigando. No hay nada como seguir dándole uso a un portatil Acer de mas de 10 años con Backtrack y Wifislax.

[xopito]

La otra forma que veo es que la mayoría de los routers, aparte de tener la pestañita de DHCP, también tiene una pestañita de ARP. Ahí estarán los ARP y su estado de los ordenadores conectados.
Pero solo te vendrán las MAC, y si el estado es "complete". Apúntate la de tus equipos, y mira de vez en cuando esa tabla

[SokarTefnut]

Desde luego desconectar DHCP no impide que se pueda configurar la red manualmente y seguir entrando, tambien es posible que el intruso, tras monitorizar la red, utilize una MAC clonada, incluso puede haber entrado al la configuracion del router y añadir una MAC definida por él, (yo lo haría).

Pienso que la manera mas rápida de averiguar quien está en la red en un momento dado es con nmap, si utilizas nmap -O -Pn 192.168.1.0/24 rtendras una vision bastante rápida.
Tambien con Wireshark, aunque puede llegar a ser mas cansino..

Utiliza WPA/WPA2
cambia la clave por defecto
desconecta WPS
filtra las MAC
cambia la contraseña de configuracion del router
y oculta SSID.

Si el router te lo permite limita el número de IPs máximas al número real de equipos conectados-

[flacc]

si tanto te interesa que tu vecino no haga nada, quita el filtrado mac y la wpa2 y coloca algo que él pueda "hackear", y lo pongo en comillas porque me refiero a que lo pueda lamer xD, en fin, suponiendo que sea el único lamer, será el único ocioso en tu vecindad que podrá entrar mientras tu router tenga wep, una vez hecho eso, como es un lamer que sigue tutoriales de google sin investigar ni pensar en aprender, mientras te este crackeando la wifi veras o su mac real o la típica 00:11:22:33:44:55, entonces esperas a que se conecte, no creo que se le pase por la cabeza que en windows tiene que cambiar la mac también para no ser detectado, en fin... el punto es conseguir que se conecte, luego puedes subir a wpa2 con filtrado mac y la misma clave, pero procura ejercer un control del ancho de banda desde el router, al menos en mi tp-link se puede, y le colocas 1kb de subida y 1 de bajada a la ip que le debes de asignar y a la mac de su tarjeta, si el tipo es un lamer adolescente de seguro tardará buen tiempo en darse cuenta de que tiene que usar la mac de alguien mas para evadir la restricción y que también tiene que cambiarla en windows, también le puedes bloquear algunos puertos como el 80 (web), 21(ftp)...saludos