Newsgroup: it.comp.reti.locali
Titolo: bloccare acceso rete ai portatili

Ciao a tutti,
premetto che sono amministratore di rete in un'azienda, volevo sapere se è
possibile bloccare l'accesso alla rete per alcuni portatili, per questioni
di sicurezza, tramite macaddress o qualche altro modo (GPO?).
Grazie

 altro modo (GPO?).
Più banalmente, se usi DHCP, puoi riservare gli indirizzi alle sole
macchine abilitate..
-- 
		Luca Amicone
		ICQ: 14890779
		Microsoft MVP
"How to Set the Number of Rings for RAS Auto-Answer in Windows NT 
4.0/Windows 2000" 
http://support.microsoft.com/?id=145879


Metodo sicuro: tutta la rete filtrata da un proxy con autenticazione
degli utenti. Puoi filtrare ogni utente perché vada solo dove vuoi.
Se vuoi lavorare a livello di IP, invece, l'unica idea che mi viene è
quella un po' acrobatica di assegnare ai portatili un pool DHCP che
filtri a piacere.
Le workstation invece le imposti con indirizzi fissi; quelli non
assegnati li blindi sul firewall.
Questo però non esclude che qualche "furbone" assegni al suo portatile
l'IP fisso di una workstation in quel momento spenta e ne prenda così i
"permessi".
Alternativamente, sul DHCP server di Win2000 server è possibile
assegnare rigidamente un IP a certe macchine (basandosi però sul nome
netbios), il che di nuovo non impedisce che uno cambi nome al proprio
portatile ed eluda il filtro prendendo un IP diverso.
Però guardaci a questo perché mi ricordo di aver visto da qualche parte
qualcosa relativo ai macaddress, qui non ti so dire molto però perché
firewall e proxy li preferisco di gran lunga su Linux :-)
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 macchine abilitate..
La rete è già in DHCP, e gli unici indirizzi riservati sono per noi del Ced
(oltre che ovviamente x i server e le stampanti). Non vorrei dovermi
mettere a impostare a mano le riservation per circa 200 utenti.
O c'è un modo piu'semplice che non conosco?

 O c'è un modo piu'semplice che non conosco?
Vedila da un altro punto di vista. Sei "la rete" e ad un certo punto ti 
arriva una richiesta DHCP. Tu cosa PUOI fare per verificare che la 
macchina richiedente sia tra quelle alle quali assegnare un indirizzo 
valido e acconcio?
Forse potrebbe essere più conveniente predisporre una "sandbox" per il 
dhcp e un ISA per abilitare la navigazione sulla rete "vera".
Dipende anche dalla topologia.
-- 
		Luca Amicone
		ICQ: 14890779
		Microsoft MVP
"Disattivazione di Condivisione connessione Internet in una connessione 
di rete di Windows 2000" 
http://support.microsoft.com/?id=237254

Crononauta wrote:

Anch'io preferisco di gran lunga Linux, ma i DC sono Windows 2000 con le
Active Dirctory.
Il Proxy esiste già (Squid), e il filtraggio per la navigazione viene
controllato da questo.
Quello che vorrei fare è impedire che chiunque (agenti, consulenti,...)
possa arrivare col suo portatile e si prenda un indirizzo rilasciato dal
DHCP attaccandosi alla rete.

 DHCP attaccandosi alla rete.
Attaccandosi alla rete in che senso?
Per navigare fuori, o non vuoi proprio che possano collegarsi neanche
alla LAN?
Nel primo caso, metti l'autenticazione sul proxy e inibisci l'accesso
diretto alla rete. Username e password li dai solo agli utenti
autorizzati e chi arriva e si attacca alla rete... si attacca ;-)
Nel secondo lavora sulle autorizzazioni di dominio di Win2000.
-- 
Massimo Bacilieri AKA Crononauta
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Nel secondo lavora sulle autorizzazioni di dominio di Win2000.
In che modo, scusa? 

 Esatto, non voglio proprio che si colleghino alla LAN.
Aspetta, non mi sono spiegato.
Ovviamente, se sulla rete vi č un servizio DHCP attivo, non puoi
impedire che XY arrivi col suo portatile e lo colleghi a una presa di
rete che entra nello switch, ricevendo un indirizzo IP dal server
DHCP, o peggio assegnandosi arbitrariamente un IP fisso con tanto
di collisione.
Puoi "solo" impedire che entri sul dominio. Se non vuoi che con *quel*
computer possano accedere nemmeno utenti che hanno un account sul
dominio, imposta i criteri in Utenti e computer di Active Directory.
Al limite, puoi accertarti che la workstation sia quella che vuoi tu
usando le riserve degli indirizzi IP, da dove č possibile associare
un mac address a un indirizzo IP. Questo perň di fatto significa
rimappare tutta la rete in IP fissi, e allora non ha piů senso
usare il DHCP...
