Newsgroup: it.comp.os.win.win2000
Titolo: SBS2003. Restrizioni a livello utente.

Riprendo un thread di qualche giorno fa perché mi trovo nella stessa 
situazione.
E' possibile impedire l'accesso ad internet ad  un utente di un dominio 
controllato da un sbs2003 che fa il logon su qualsiasi macchina della rete?
Mi ci ha fatto pensare il suggerimento di una GPO a livello computer.
In effetti, se tramite lo script di avvio (quello che il server "impone" al 
client di eseguire) riuscissi semplicemente a dare dati "falsi" alla 
configurazione del gateway della macchina locale.
Grazie a chi avrà un po' di pazienza con me!



Nel thread a cui ti riferisci c'è tutto quello che è da fare  :-)
-- 
Rossano Orlandini
MCSE MCSA MVP - Windows Server

che in User configuration (come logon) lo script che avevo preparato.
Basta a livello Computer (tanto nella OU c'è un Computer).


Allora.
Dopo un pomeriggio di studio di guide e manuali solo per capire cosa è
una OU :) ho fatto le seguenti operazioni.
Gestione server-gestione avanzata-gestione criteri di
gruppo-forest:XXX-domains-nomedominio.local
Ho scelto "new OU" e l'ho chiamata "vietati".
Poi ho creato una GPO che ho chiamato "Divieto".
Ho linkato OU e GPO ed ho ottenuto un "rametto" chiamato Vietati con
sottoramo "Divieto".
Poi ho editato la GPO "Divieto".
Tra i Security filtering ho aggiunto l'utente "pippo" che voglio
blindare.
Tra i settings ho inserito sia in Computer configuration (come startup)
che in User configuration (come logon) lo script che avevo preparato.
Provo il logon con l'utente Pippo e naviga con tutta tranquillità.
Mi torna il dubbio che se Pippo non ha l'autorizzazione per eseguire il
comando route sul pc locale, lo script va a farsi benedire.
Boh?

Rossano Orlandini [MVP] ha scritto:

Allora non capisco bene.
Ho creato un utente "pippo" nel dominio.
Vorrei che pippo potesse accedere al dominio ma gradirei non potesse
navigare.
Poi sul computer al quale accede pippo ho provato ad impostare lo
script che reimposta il gateway al logon dell'utente.
Lo script si chiama pippo.bat ed ha questo contenuto:
ROUTE DELETE 0.0.0.0
ROUTE ADD 0.0.0.0 MASK 0.0.0.0 192.168.0.99
Naturalmente il 192.168.0.99 non esiste.
Ora le dolenti note.
Sul computer locale devo fare in modo che quando pippo fa il logon,
parte lo script.
Allora ho fatto: pannello di controllo-account utente-aggiungi.
Però qui se aggiungo:
utente "pippo"
dominio "ilmiodominio"
poi non mi da' alcuna possibilità di fargli caricare scritp all'avvio.
Infatti, cliccando sulle proprietà dell'utente creato mi fa solo
cambiare il tipo di utente (user, poweruser etc etc).
Se invece aggiungo:
utente "pippo" ma sul computer locale, in effetti mi aggiunge un utente
pippo e nella pagina di proprietà  mi consente di indicargli lo
script.
Risultato:
faccio il logon con utente pippo, nel dominio, mi viene eseguito lo
script impostato dal server ma non quello impostato in locale.
Che cosa sbaglio?
Scusa la prolissità!

Scusa la prolissità!
Lo script non deve essere configurato in locale, ma sul server
SBS2003, perché il logon lo fai verso il dominio. Crei una OU
specifica in cui inserirai quell'utente, crei una GPO che lancia
quello script a livello Computer, collegherai questa GPO appena creata
alla OU.


Ho cancellato tutto e rifatto tutto.
A questo punto sono abbastanza sicuro di aver fatto tutto
correttamente.
Ho una OU nella quale ho messo il computer e l'utente.
Ho una GPO che mi carica lo script.
La ou e la gpo sono linkate tra loro.
L'utente fa il logon su quel computer e naviga che è una bellezza.
C'è un modo per controllare che lo script sia stato lanciato?
Comincio ad avere il dubbio che, per qualche assurdo motivo, come ti
dicevo prima, il comando route non funzioni sulle mie macchine.

dicevo prima, il comando route non funzioni sulle mie macchine.
Il problema è l'applicazione della policy.
Ho appena fatto una GPO di prova applicata ad un pc di prova e al
riavvio la route è stata modificata.


Mi è venuto un sospetto.
Tra le opzioni ambito del DHCP c'è quella "router" che ha come
indirizzo il router, appunto.
Non è che "comando route" o non "comando route", alla fine del logon
il server dhcp mi reimposta l'indirizzo del router?

il server dhcp mi reimposta l'indirizzo del router?
Mmm... anche nella mia prova c'č di mezzo un server DHCP ma ha
prevalso l'impostazione di route.


 prevalso l'impostazione di route.
Scusate se mi intrometto... Ma personalmente non impazzisco con script e
comandi di routing.. 
1a soluzione: Imposto su Internet Explorer un falso proxy e impedisco
all'utente di cambiarlo.
2a soluzione: Visco che hai un DHCP, crei una reservation per il macaddress
del pc usato da PIPPO e gli levi il gateway. 
Max
-- 
Le persone si dividono in tre: quelle che sanno contare e quelle che non
sanno contare.

Max
Eh lo so, lo so  :-)
Ma la discussione si č aperta gią il 13 giugno e avevamo valutato
varie cose  :-)


Grazie dei suggerimenti, intanto.
Il mio problema è che sto tentando di regolare gli accessi a livello
utente e non a livello pc.
Purtroppo se "pippo" accede ad un pc non suo, si trova libero di
navigare.
Io, infatti, avevo già risolto con metodi da scarparo :-) mettendo un
gateway falso sulla macchina di "pippo".
Però Pippo è in malafede e quando trova un pc libero si logga e
naviga.



Qui la situazione si allarga e infatti ti avevo già parlato di
implementare un proxy/firewall  :-)


Hai consigli du un proxy/firewall attendibile, magari che preveda un
periodo limitato di prova per valutare se faccia al caso mio?
Conviene un p/f hardware o software?
Isa server farebbe al caso mio? Si vende come componente separato?
Grazie per la pazienza che hai avuto fin'ora.

Isa server farebbe al caso mio? Si vende come componente separato?
ISA Server 2004 č un buon prodotto e si integra molto bene in Active
Directory, ma va studiato e capito attentamente prima di metterlo in
produzione.


Il mio budget è "il meno possibile".
A parte gli scherzi.
Non ho grossi problemi da risolvere, nè decine di utenti.
Per questo mi basterebbe qualcosa di molto semplice (ed economico)
salvo poi, eventualmente, passare a qualcosa di più complesso.
Diciamo che mi serve  un entry level.

 salvo poi, eventualmente, passare a qualcosa di più complesso.
Linux con squid. E' gratis, lo puoi installare su un 486 =D, è
relativamente semplice da installare/implementare.


relativamente semplice da installare/implementare.
Se si parla di un semplice firewall può anche andare, ma un proxy
richiede molte più risorse.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.