Newsgroup: it.comp.reti.locali
Titolo: Realizzare rete 'limitata'

In una sala riunioni arriveranno diversi clienti tutti dotati del loro 
notebook. Tutti dovranno accedere ad internet e per questo verrï¿œ 
predisposto un AP WiFi e delle prese LAN per chi non dovesse disporre 
del WiFi. Il tutto sarï¿œ in DHCP e verrï¿œ comunicato ai parteicpanti che 
provvederanno a configurarsi i loro dispositivi.Il probelma ï¿œ impedire 
che la rete creata permetta ai vari utenti di poter curiosare sui pc dei 
colleghi. C'ï¿œ qualche accorgimento che potete suggerirmi ?
Grazie
-- 
-------------------------------------------
Massimiliano Cairo 
http://www.zonadriver.it
Athlon 64 X2 4400 - Asus A8V Deluxe
Mio P550 - NB Asus M51VA
-------------------------------------------

 colleghi. C'� qualche accorgimento che potete suggerirmi ?
Nella configurazione dell'AP, seleziona Isolamento peer ed hai risolto.
Ciao!
Zac

Zac� ha scritto:

Grazie della dritta.
Per� sto guardando l'access point in dotazione (un Dlink DAP 1160) ma 
non trovo nulla che possa fare riferimento ad una voce simile a ci� che 
mi hai indicato.
Eventualmente sapresti indicarmi un AP che abbia tali funzioni ?


 colleghi. C'� qualche accorgimento che potete suggerirmi ?
Secondo me risolvi praticamente solo con le VLAN. In questo modo puoi
anche permetterti di assegnare degli IP completamente diversi da
quelli della rete. Certo devi avere tutta l'infrastruttura adatta a
gestirle.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 Nella configurazione dell'AP, seleziona Isolamento peer ed hai risolto.
bhe dipende come � configurabile. Se serve solo per isolare i client
wireless non serve a molto, se invece si possono impostare i client
che rimangono visibili (almeno il firewall e il DHCP se sono separati)
allora pu� andare.


 colleghi. C'� qualche accorgimento che potete suggerirmi ?
Prima di tutto, assicurati che la connessione cablata dell'access point
finisca su una VLAN o comunque in una DMZ in modo che l'unico tipo
di accesso (a parte quello locale tra i partecipanti) sia verso
internet,
in secondo luogo, configura l'accesso ad internet limitando al massimo
le porte; niente SMTP, niente DNS (la risoluzione verr� effettuata dal
DNS forwarder integrato nell'AP) e comunque il MINIMO di porte aperte
E fin qui, abbiamo salvaguardato la rete locale e la connessione WAN
da eventuali abusi/virus/fregnacce (termine tecnico <g>) a questo punto
resta il discorso "isolare i sistemi dei partecipanti" beh... prima di
tutto
chiediti se sia VERAMENTE necessario, vedi, in linea di massima � il
proprietario di ciascun sistema a dover accertarsi di essere "al sicuro"
se vuole stare "nudo in mezzo al gay pride" ... affari suoi :)
In seconda istanza, dovendo veramente mettere in piedi un sistema di
questo tipo, potresti, come gi� suggerito, valutare l'adozione di un
"isolation
mode" per cui i vari clients avranno accesso ad internet ma NON avranno
la possibilit� di comunicare (direttamente) l'un l'altro allo scopo ti
servir�
qualcosa di questo genere 
http://tinyurl.com/mbla8a
 (ovviamente esistono
anche altri prodotti) ossia un prodotto che abbia la cosiddetta "Layer-2
isolation" e che permetta quello che chiedi (in pratica delle VLAN
automatiche)

 DNS forwarder integrato nell'AP) e comunque il MINIMO di porte aperte
dimenticavo; siccome suppongo tu non voglia che qualche "wardriver"
possa comunque "sbafare" la connessione, ti converr� valutare anche
l'adozione di un server radius dedicato e magari l'uso di smartcards USB
per l'autenticazione, a questo punto, i partecipanti alla riunione
avranno la
propria smartcard, connetteranno il lettore al proprio laptop e da quel
momento in poi saranno in grado di accedere all'AP e navigare
ciao

 automatiche)
..questa mi sembra un'ottima soluzione ma visto che l'utilizzo sarï¿œ 
sporadico e non continuativo vorremmo limitare i costi utilizzando i 
dispositivi che abbiamo in casa.
Alla fine, visto che dovremo comunicare a chi drovrï¿œ utilizzare la rete 
la password di protezione e la variazione dell'IP su DHCP aggiungeremo 
questa info 'per la vostra sicurezza' :
Nel cambio di configurazione disattivare dalle proprieta 
dell'interfaccia di rete la "condivisione file e stampanti",
..si tratta di una semplice spunta che spero anche il piï¿œ idiota degli 
utonti sia in gradi di fare, magari aggiungeremo uno screenshot nelle 
varie aree di lavoro.
Grazie a tutti per i suggerimenti.


 aggiungeremo questa info 'per la vostra sicurezza' :
UH ?!? Come sarebbe "la password" ? Sei impazzito ?
Stai optando per una soluzione che oltre a crearti una serie di
problemi (e di crearla agli "ospiti") non ti garantir� il livello di
sicurezza che hai richiesto e sar� un inferno da gestire !!
Ripensaci !

 sicurezza che hai richiesto e sar� un inferno da gestire !!
Perch�? se l'AP � limitato da una VLAN e il firewall fa il suo lavoro
non ci vedo grossi problemi. Ovviamente la password della cella non
sar� quella aziendale...


 se vuole stare "nudo in mezzo al gay pride" ... affari suoi :)
:-DDD
bye G.L.
-- 
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 sicurezza che hai richiesto e sarï¿œ un inferno da ges
..capisco che non ï¿œ il massimo del sistema per quel che riguarda la 
sicurezza, ma l'uso ï¿œ saltuario (solo in caso di meeting), le risorse 
economiche aziendali limitate (c'ï¿œ la crisi) e dovremmo avere a che fare 
con persone che usano il pc solo per lavorare .... il condizionale ï¿œ 
d'obbligo perï¿œ :-).. inoltre i pc della nostra rete aziendale saranno al 
di fuori di questa mini rete per i navigatori.
Grazie


 
Grazie anche a te per il supporto. Ora ho le idee un p� pi� chiare. Una 
sola domanda e scusa se � banale, ma tu cosa intendi per 'cella' ?
Ciao


 nipote non dovrebbero restare isolate su quel pc ?
In un mondo ideale dove gli OS non hanno vulnerabilitï¿œ e gli utenti 
installano tutte le patch appena escono, non eseguono mai programmi da 
fonte non sicura, eccetera, si, le schifezze resterebbero isolate.
... peccato che questo sia tutt'altro che un mondo ideale :-)

 sola domanda e scusa se � banale, ma tu cosa intendi per 'cella' ?
Una cella wireless. Anche se forse � pi� corretto parlare di ssid nel
caso esistano pi� AP che fanno roaming.


 Grazie
Ciao

 
Ok era quello che avevo intuito allora.


 gestire le vlan.
Da un sondaggio fatto con alcuni collaboratori sembra che 
sostanzialmente serva solo la connessione WL, quindi niente cavi, quindi 
si pu� 'osare ' la richiesta di un netgear da te segnalato... :-D .. 
per� mi sorge un quesito ulteriore da porti, il client isolation 
funziona anche se ci collego degli AP WL che non supportano il client 
isolation, giusto ? Scusa la banalit�.
Ciao


 concedere l'accesso a internet.
Si ok, "captive portal" e tutto l'ambaradan, ma mi sembra di aver
capito che l'OP si riferisse proprio all'uso di WPA ed alla creazione
di passwords da usare di volta in volta

 isolation, giusto ? Scusa la banalità.
Questo non l'ho capito, l'AP WL deve avere il client isolation.
Ciao

 di passwords da usare di volta in volta
secondo me parlava di WPA e di creazione di *una* password da dare a
tutti. Alla fine se quell'AP (o quel SSID) � limitato da una VLAN non
ci vedo nulla di strano.


 non ci vedo nulla di strano.
Non ho detto che sia strano, ma � uno sbattimento mica da poco !
A questo punto meglio usare una WiFi "open" (isolata ovviamente)
con un captive portal (come appunto hai suggerito) ed appoggiata
ad un RADIUS sul quale di volta in volta si andr� a generare un set
di credenziali "a scadenza" da assegnare ai partecipanti

 tutti. 
..avevi capito giusto.


 Questo non l'ho capito, l'AP WL deve avere il client isolation.
..ok chiaro, quindi io poteri tenere il modem router che abbiamo (non 
WL), l'importante � che gli AP che andremo a prendere abbiano la 
funzione di client isolation. Indicazioni in merito, vista l'estrema 
disponibilit� ?
Grazie
