Newsgroup: it.comp.os.linux.sys
Titolo: Vietare l'accesso ad internet agli "intrusi"...

Ciao a tutti,
da un amico che lavora presso un liceo dalle mie parti mi è stata fatta la
seguente richiesta: è possibile impedire che uno sconosciuto collegandosi
con un portatile ad una presa di rete non "sorvegliata" possa navigare su
internet sfruttando la connessione della scuola?
In pratica il liceo possiede già un firewall (linux) e un PDC W2K che
gestisce l'accesso in rete di circa 80 pc. E' chiaro però che se un utente
(es: un studente) arriva a scuola con il suo portatile non ho bisogno di
loggarsi nel dominio per poter navigare. E comunque anche forzando
l'autenticazione con squid, gli studenti devono poter avere login e
password per navigare dai computer della Lan della scuola. 
L'unica cosa che mi è veneta in mente è quella di mappare sul firewall i MAC
address delle schede di rete di ogni pcc della scuola in modo da consentire
solo a quelli la navigazione. 
La soluzione però è un po' scomoda.
Vi viene in mente qualcos'altro?
Grazie per l'aiuto.
Ciao Tony!!! 
-- 
..:: TONY ::..

 Vi viene in mente qualcos'altro?
Si, 802.1x ...
Se poi valga la pena di metterlo, è altro discorso...
Un'altra ideuzza su cui sto lavorando a tempo perso proporrebbe anche
un'altra soluzione, ma devo ancora stabilire se è fattibile o no, e se lo
fosse sarebbe ancora da codare...
-- 
Afterlife confessions
Tell me who you used to be
Looking on in wonder
As I show you it was me

 
Non credo nemmeno che vogliano farlo.
Secondo me però dovrebbe essere possibile far effettuare al PDC W2K una
autenticazione della macchina e poi gestire l'autenticazione di un proxy
squid attraverso winbind. 
Un po' incasinato...
Grazie.


 Un po' incasinato...
Che poi è più o meno quello su cui sto lavorando, anche se sto vedendo il
tutto ad un livello più generale... :-/


 
Diverse cosette, ma tutte richiedono o l'impiego di soldi, o di tempo, o 
l'introduzione di una password :-)
Dipende da cosa ha più a disposizione la tua scuola... se ha i soldi, 
puoi dotare i PC "ufficiali" di un sistema di autenticazione HW 
(smartcard e affini) e filtrare sulla base di quello. Se ha tempo (il 
tuo? :-)), allora studiare soluzioni basate sui MAC è la strada più 
"diretta", magari a livello di DHCP se non di FW (tipo mettere una 
reservation per ogni MAC riconosciuto, e non dare lease fuori da quelle 
riservate). Senno' squid o simili tecniche, certo che dare qualche 
centinaio di coppie utente/passwd a studenti più o meno interessati a 
custodirle equivale tout-court a rendere l'accesso pubblico...
-- 
Fabrizio "Hermooz" Ermini

 wrote in
news:brn81o$edv$
1...@grillo.cs.interbusiness.it
: 

con squid, mi pare fosse già disponibile qlcs...
con un modulo apposito, una volta inserite le credenziali via browser, 
squid controllava i permessi di un file in \\PDC\NetLogon.
se le credenziali inserite consentivano la lettura del file in questione 
(permesso r su ntfs assegnato al file in questione per l'utente da 
autenticare), l'accesso al proxy viene autorizzato.
in caso l'accesso al file fallisca, niente navigazione.
purtroppo l'avevo trovato per caso navigando e non ho più il link, ma mi 
era sembrata una cosa interessante e piuttosto semplice da 
implementare... avendo già il modulo, ovviamente!
:-)
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
| (fake address in reply-to field!)
+-------

 
Ovviamente con un numero molto alto di studenti password e altro non servono
a nulla.
Soprattutto se nella scuola ci sono alcuni appassionati di Linux e
networking...
 
Grazie!!!
Ciao Tony 
-- 
..:: TONY ::..

 networking...
Ti consiglio, comunque, se già non ci hai pensato, di usare arpwatch per
archiviare e notificare le varie operazioni di aggiunta o modifica di
mac-address nella rete, che ti dovrebbe almeno rendere più comoda
l'amministrazione...
Ciao


 
Grazie per il consiglio. Non l'ho mai usato e mo lo provo.


controlla e annotare i mac ok va benissimo, impostare il firewall per
gestirli non te lo consiglio, perchè non hai la certezza dell'autenticità,
il mac può essere forzato, sia con linux che con windows....
io sto adottando una soluzione ad hoc per un'altro impiego basata sempre
sull'autentica ma di ip, è un pò lunga da spiegare ma funziona molto bene.
rimane il fatto che 802.1x è la soluzione migliore nel tuo caso, un server
radius come freeradius non è male, non è nemmeno costosa se chi gle la monta
è qualcuno all'interno...diventa costosa se lo fa un'azienda esterna
Stefano

 Stefano
Non lo conosco bene, ma mi pare che 802.1x sia uno standard per reti
wireless. In che modo potrebbe essermi utile? Nel mio caso non ci sono
access point wireless, solo punti rete rj45 "incustoditi".
Grazie.


 access point wireless, solo punti rete rj45 "incustoditi".
No. 802.1x è salito alla ribalta con le WLAN per via dei problemi di
sicurezza insiti nelle stesse (di solito le aziende non piazzano plug rj45
collegati agli switch nei muri di cinta, ma con la radio è diverso...) ma
è un protocollo nato per reti cablate.
In ogni caso, ti richiede il supporto adeguato da parte degli switch di
tutta la rete...
Hola..
