Newsgroup: it.comp.os.win.win2000
Titolo: Impedire accesso a risorse di rete per utenti "ospiti"

Salve a tutti,
ho un dominio Windows 2000 con Active Directory e DHCP attivi.
Il mio problema è questo:
un qualsiasi utente esterno che arriva con un portatile sulla mia rete è in
grado di accedervi e di configurare automaticamente i propri parametri
tramite DHCP.
Per quanto riguarda l'accesso ad Internet mi sta anche bene che lo possa
fare.
Il problema è che conoscendo anche solo un nome utente/password del dominio
è in grado di accedere alle risorse condivise del file server.
Come impedire questo accesso anche conoscendo utente/password di dominio
mantenendo la possibilità di navigare in Internet? In sostanza è possibile
riconoscere quella macchina come non appartenente al dominio e quindi
escluderla dall'accesso alle risorse di rete tramite ACL o Group Policy?
Grazie
Bye
John

 escluderla dall'accesso alle risorse di rete tramite ACL o Group Policy?
Ciao
puoi guardare nelle policy di dominio sotto la voce
configurazione computer\impostazioni di sicurezza\policy locali\Diritti
utente e Opzioni di sicurezza
Ma l'utente esterno conosce nome utente e password perchè è un utente di
dominio?
In ogni caso per la configurazione ad internet non ne ha bisogno, a meno che
non sia impsotato un proxy che richiede autenticazione per navigare.
Fammi sapere!
-- 
  _____________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups

 non sia impsotato un proxy che richiede autenticazione per navigare.
Infatti internet funziona grazie alle impostazioni del DHCP.
Grazie
Bye
John

è in grado di accedere alle risorse condivise del file server.
Il fatto è che se l'utente di cui parli conosce una user/pass che
differenza fa se usa il suo portatile o accede ad un PC fisso della
rete? Comunque riuscirebbe a identificarsi correttamente e il server
non troverebbe differenza con il "vero" utente del quale questo
conosce user/pass.
Tieni conto che comunque lui dovrebbe connettere il proprio portatile
al dominio in modo da fare lì il login, per poter connettere al
dominio un PC devi inserire un account abilitato quindi potresti
lavorare su questo...
La cosa migliore ovviamente è che gli account restino "personali" e
che si cambi la pass spesso (come admin tu puoi imporlo via GPO)
bye

 bye
Questo è chiaro ed è già stato fatto ma qualcuno non capisce l'importanza di
tenersi stretta la propria password e la canta ai quattro venti.... :)
Bye
John

 tenersi stretta la propria password e la canta ai quattro venti.... :)
Ciao
prova a impostare le IP Security Policies
Dovrebbero funzionare,ma ti consiglio di cercare un pò di documentazione a
riguardo,poichè non è un argomento semplicissimo.
Se no potresti impostare un indirizzamento IP statico, così la macchina non
può accedere a nessuna risorsa (nemmeno a internet)
Credo in ogni modo che la cosa migliore sia educare gli utenti della rete e
magari essere anche severi!


 può accedere a nessuna risorsa (nemmeno a internet)
idem come sopra, dovrei ogni volta configurare l'eventuale macchina ospite
invece il DHCP mi è comodo.
E poi dovrei eliminare il DHCP altrimenti nulla vieta all'ospite di settare
le impostazioni automatiche della rete.
Quello che veramente avrei voluto è la possibilità di discriminare l'accesso
alle risorse di rete sulla base del fatto che una macchina è stata unita o
meno al dominio, cosa che solo io come amministratore del dominio posso fare
quando il pc ospite viene collegato alla rete. In ogni altro caso lascio la
possibilità di configurare la macchina tramite DHCP e niente altro, in
sostanza lascio la sola possibilità di navigare in Internet.
Magari l'ho pensata troppo complicata, non è che poi abbia tutto questo via
e vai di gente che si attacca alla mia rete con un pc portatile (meno male
:) ) ma era per capire se una cosa del genere si può fare e quanto costa in
termini di smanettamento/incasinamento delle impostazioni di A.D.
Grazie
Bye
John

 termini di smanettamento/incasinamento delle impostazioni di A.D.
Si può fare, devi solo studiare bene i passaggi, magari fai delle prove con
un portatile di test.


Il 11/03/2004 16.23, Johnny scrisse:

Non puoi creare un file batch di login che effettua il controllo sul 
nome della/e macchine che devono avere accessi limitati ed agire di 
conseguenza con qualche policy che impedisce l'accesso alle risorse 
condivise?
ciao
	maxx
-- 
NOSPAM: Rimuovere i trattini dallo username!
Cut hyphens from my username!

 condivise?
Certo, si può tutto....
a parte che non ho ben chiaro come uno script possa discriminare
sull'applicazione o meno di una policy...
solo mi chiedo: quali sono le policies che impediscono l'accesso alle
risorse condivise?
e ancora, possibile che in tutto quel guazzabuglio di impostazioni, unità
operative, domini che va sotto il nome di Active Directory non ci sia il
modo per individuare e riconoscere una macchina NON appartenente al dominio?
Grazie
Bye
John

 modo per individuare e riconoscere una macchina NON appartenente al dominio?
Scusa, ma se l'utente riesce a loggarsi non significa che la macchina 
appartiene gia' al dominio?


 appartiene gia' al dominio?
Scusa non vorrei ripetermi ma visto che nascono ancora dei dubbi sui termini
che utilizzo vedo di spiegarmi un'altra volta.
A mio modo di vedere "appartenere ad un dominio" vuol dire in sostanza avere
la possibilità di affettuare il login all'avvio di Windows selezionando il
dominio corrispondente.
Questa possibilità di loggarsi sul dominio (quindi appartenervi) presuppone
che l'amministratore di dominio abbia modificato le impostazioni di rete
della macchina associandola al dominio in questione. In questa operazione è
necessario indicare il nome del dominio e ricevere l'autenticazione da parte
dell'amministratore di dominio.
Il problema che mi pongo io in questo thread invece è questo: una macchina
NON è appartenente al dominio. Questo non le impedisce di comunicare con i
pc del dominio in quanto è sufficiente conoscere alcune impostazioni della
rete o ottenerle dal DHCP per potersi collegare con gli altri pc. In che
modo?
Apriamo una finestra di esplora risorse.
Digitiamo \\NomeServer\NomeCartellaCondivisa e oplà, ci appare una bella
finestrella che ci chiede di autenticarci. Questo naturalmente perchè non
siamo autenticati sul dominio ma conoscendo un utente e password del dominio
possiamo tranquillamente accedere alla risorsa condivisa in questione
(sempre che l'utente utilizzato possa accedervi certo!).
La stessa cosa si ottiene naturalmente facendo il browse della rete e
accedendo al pc/risorsa condivisa.
Spero che sia chiaro cosa voglia intendere a questo punto!
E' chiaro che non ci sarebbero problemi se ognuno degli utenti tenesse per
se la propria password....
Io cercavo una strada per poter discriminare almeno gli accessi alla rete da
parte di un pc "ospite".
Grazie
Bye
John

 che utilizzo vedo di spiegarmi un'altra volta.
Ti sei spiegato benissimo, sono io ad aver capito il contrario.
Non so se funziona, non ho un dominio a disposizione in questo momento 
per fare un test, ma potresti usare delle restrizioni che coinvolgono 
gli Authenticated Users che sono utenti che sono stati autenticati nel 
dominio.
http://groups.google.com/groups?hl=en&lr=&ie=UTF-8&oe=UTF-8&threadm=af961c60.0302251131.c3feba3%40posting.google.com&rnum=11&prev=/groups%3Fq%3Dauthenticated%2Busers%26hl%3Den%26lr%3D%26ie%3DUTF-8%26oe%3DUTF-8%26start%3D10%26sa%3DN
Includendo in:
criteri di protezione locali->criteri locali->assegnazione diritti
utenti->accedi dalla rete al computer
Authenticated Users e togliendo i vari guest, Everyone, ecc. forse e' 
possibile impedire l'accesso alle macchine che non appartengono al dominio.



Fiko!
Potrebbe essere la strada giusta! In effetti io cercavo di discriminare un
computer piuttosto che un altro ma si puň fare anche attraverso gli utenti!
Mi sembra proprio che il problema discusso nel link che mi hai fornito
risponda alle mie esigenze!
Ora provo a mettere su un "dominietto" su pc da battaglia e fare delle prove
lě
Grazie
Bye
John

Doh!
Dalle prove che ho fatto temo che non funzioni nemmeno cosě!
evidentemente una volta che si inserisce il nome utente/password si diventa
un Authenticated User anche se non si č fatto il login vero e proprio inteso
come accesso all'avvio di Windows!!
Bisognerebbe proprio poter discriminare la macchina con cui si accede al
dominio!
:-/
Bye
John

 dominio!
Se vuoi discriminare in base alla macchina devi ricorrere allo script e 
caricarti, nel caso di macchina non autenticata nel dominio, la policy
"accedi dalla rete al computer" con delle opportune restrizioni (ad 
esempio senza nessun gruppo).
Mi sa che mi hai spremuto abbastanza, non ho altre idee ...
:-)


 Mi sa che mi hai spremuto abbastanza, non ho altre idee ...
Sei stato gentile comunque!
Bye
John

 ????
E' questo, ma non aggiunge molto a quanto gia' detto:
http://groups.google.com/groups?hl=en&lr=&ie=UTF-8&threadm=7m22mr%24ae4%241%40nslave1.tin.it&rnum=3&prev=/groups%3Fhl%3Den%26lr%3D%26ie%3DISO-8859-1%26q%3Dauthenticated%2Busers%26btnG%3DGoogle%2BSearch%26meta%3Dgroup%253Dit.*
ciao
	maxx
P.S. Se risolvi fammelo sapere perche' tra qualche settimana vorrei 
impostare anch'io una policy simile in alcune reti che amministro.
