Newsgroup: it.comp.reti.ip-admin
Titolo: problema che mi assilla...

Salve a tutti,
non son capace di trovare una soluzione seria
al seguente problema:
ho una rete basata su tcp/ip che ha una propria
intranet con dei DNS e gateway specifici. In questa
situazione i PC volutamente non possono andare
in Internet. Il programma gestionale ha bisogno
degli stessi parametri per funzionare...
PROBLEMA: se voglio far uscire alcuni PC
in internet come posso fare?
la soluzione di installare un modem sui pc
non mi piace....
secondo voi questa strada è percorribile:
configurare una macchina NT 4.0 con servizio
"terminal server" e con una connessione ADSL....
i client che dovranno andare in internet li faccio
andare con l'emulatore agganciato al terminal-server....
mah voi che ne dite?

Io dico che sarebbe molto più semplice specificare il gateway solo in quei
pc che desideri vadano su internet.
Se utilizzi una politica corretta all'interno del tuo dominio, o comunque
sulle tue workstation, gli utenti non potranno cambiare questa impostazione.
Una domanda te la faccio io però. Parto dal presupposto che sono ignorante,
perché utilizzare terminal service per mandare dei client su internet? Come
funzionerebbe questa cosa? Credo che uno dei due abbia le idee confuse su
Terminal Services.
Ciao, Antonio

 in internet come posso fare?
Se per "fare uscire in internet" intendi la navigazione WEB
installa Squid con autenticazione NTML o NCSA a seconda del OS 
prevalente o con delle ACL che verifichino l'IP e il gioco è fatto.
Ciao.
Andrea.
--
StarNet srl

prevalente o con delle ACL che verifichino l'IP e il gioco è fatto.
ma squid non è per linux ?? secondo me la soluzione  è o  applicare
delle politiche di protezione sul server di active directory in modo
da configurare il gateway solo su i pc che devono uscire oppure
semplicemnte installare un proxy tipo squid ma chiaramente per win ed
ogni utente che dovrà uscire dovrà inserire user e pass 

 ogni utente che dovrà uscire dovrà inserire user e pass 
Non è obbligatorio. Con la autenticazione NTML gli utenti che hanno 
correttamente effettuato in login sul server NT o Win2000 possono uscire 
senza mettere la password in Squid.
Maggiori informazioni le trovi nella ottima documentazione di Squid.


Io continuo a parteggiare per la mancanza del gateway nelle impostazioni di
rete...
Perché non vi sembra una buona idea?
Ciao, Antonio

Il Mon, 20 Jan 2003 21:28:18 GMT, "Andrea C. Granata"
<""andreag\"@(none)> ha scritto:

Ma non è questo quello ke vuole baila, lui vuole che tutti si
autentichino al dominio come giusto in una rete del genere ma solo
alcuni utenti (già autenticati) possono uscire su internet.

 ha scritto:

La tua idea è buona ma è troppo macchinosa metti che io voglio uscire
al volo su internet da una macchina che non è la mia non potrei mentre
con il proxy tutti possono uscire su internet previo inserimento della
pass e username.
tra l'altro per fare quello ke tu dici devi creare un gruppo di utenti
in active directory, blindare il pannello di controllo e le propietà
della rete agli utenti, tenere al sicuro il server xkè un utente molto
smaliziato potrebbe in un momento di assenza sul server cambiare la
policy associata alla sua macchina o al suo userid, mentre un proxy
per modificare le impostazioni correnti di solito richiede una pass
amministrativa

 ha scritto nel messaggio
news:gf853vs7r39rb8mp4...@4ax.com...



premesso che un server, di qualsiasi tipo, non deve essere accessibile a
nessuno tranne che all'amministratore, di seguito qualche considerazione
(personale, ovviamente :-))
se imposti il gw sui client che vuoi far uscire, chiunque conosca l'ip del
gw, puň impostarlo sulla propria macchina e navigare come gli pare e piace.
quindi ti tocca mettere un firewall sul gw, in modo da poter controllare
quali ip possono uscire e quali no.
se cambi le macchine, reimposti la rete o hai un dhcp, la gestione del
firewall diventa un incubo.
se installi un proxy, gestisci solo le coppie user/pass e al massimo nome
macchina (parlo per squid, che conosco e uso con client w9x, wnt e w2k).
ovvio che se qualcuno ruba l'user di un'altro, esce da qualsiasi macchina,
ma a questo punto, tu sai chi andare a prendere, cosa ha fatto, da quale
macchina e hai le prove (log) per farlo fustigare sulla pubblica piazza.
anche in questo caso, serve un firewall sul gw, ma devi controllare solo gli
ip dei server, dato che nessun altro deve avere il permesso di uscire (tanto
c'č il proxy per chi č autorizzato a navigare).
settando il proxy, t si semplifica molto la gestione della rete,
responsabilizzi gli utenti (se c sono grane sai a chi dare la colpa...) e se
vuoi aggiungere nuovi utenti, cambiare i permessi di accesso, filtrare
alcune cose (io impedisco l'accesso a qualsiasi sito di advertising per
ridurre il traffico), puoi farlo da un'unica postazione, con effetto
immediato su tutti i client.
t sfido a impostare un filtro sulle pagine visibili a 50 client w2k
distribuiti per tutto un palazzo! :-)
lo so, lo fai dalla console del server, in un dominio, ma le modifiche sono
istantanee?
l'effetto č indipendente dal client? (forse sě, ma č ms e non si sa mai...
;-P)
se arriva uno con un portatile non appartenente al dominio t frega
bellamente e tu non c puoi fare niente!!!!
con un proxy, tutti devono passarci attraverso e quindi sei sicuro che le
tue policies vengono applicate a TUTTO il traffico destinato all'esterno
(traffico web, ovviamente).

- se imposti il gw sui client che vuoi far uscire, chiunque conosca l'ip del
gw, puň impostarlo sulla propria macchina e navigare come gli pare e piace.
Su una rete con client winNT, un domain user non puň cambiare le
impostazioni di rete.
Gli utenti comuni mortali, dovrebbero essere esclusivamente domain user
(IMHO)
- se arriva uno con un portatile non appartenente al dominio t frega
bellamente e tu non c puoi fare niente!!!!
E' vero, ma uno non č tutti, se cosě fosse, te ne accorgeresti presto.
Sempre questo uno magari potrebbe essere un consulente esterno che č venuto
a lavorare temporaneamente in azienda...
In ogni caso la soluzione "giusta" non esiste. Io continuo a considerare la
mia la piů rapida e meno costosa, dato che non devi aggiungere nulla di
nuovo alla tua rete.
Bisogna pure porsi una domanda. Vuoi limitare l'accesso ad internet per
evitare il cazzeggio, importazione di virus e backdor, spreco di banda,
spreco di denaro? Oppure per oggettivi motivi di sicurezza?
Pensi stia sbagliando..? Comunque, adesso ci mangio su e poi ci rifletto...
Ciao, Antonio

 Pensi stia sbagliando..? Comunque, adesso ci mangio su e poi ci rifletto...
nel mio caso, la tua soluzione non č applicabile.
ho due vpn e se non imposto il gw, i client non raggiungono piů le reti 
remote...
con uno scenario simile, devi per forza filtrare in qualche maniera sul 
gw.
piuttosto che smanettare un fw, preferisco bloccare tutto e passare 
attraverso un proxy.
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------