Форум сетевых администраторов

Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Безопасность в сетях (http://netadmin.ws/forum/forumdisplay.php?forumid=82)
-- Авторизация Dhcp (http://netadmin.ws/forum/showthread.php?threadid=11573)

Помещено Viktor 17-03-2006 в 11:00:

Авторизация Dhcp

Можно ли в MS DHCP-сервере настроить выдачу адресов только определенным компьютерам?

Другим адрес выдаваться не должен!

__________________
Тест - проверка верности!

Помещено revlis 17-03-2006 в 12:36:

дык привязка по мак адресу....

Помещено Viktor 17-03-2006 в 12:48:

Ты имеешь в виду резервирование?
Тогда ж и IP будет жестко привязан.

__________________
Тест - проверка верности!

Помещено revlis 17-03-2006 в 13:14:

quote:
Первоначальное сообщение от Viktor
Ты имеешь в виду резервирование?
Тогда ж и IP будет жестко привязан.

ну да, а чем это мешает?

Помещено Viktor 18-03-2006 в 07:46:

Мне жесткая привязка компов к IP не нужна.
Иначе зачем им динамическое выделение?

Так можно и ручками все прописать (даже проще будет).

__________________
Тест - проверка верности!

Помещено revlis 19-03-2006 в 19:43:

ну чисто теоретически можно в фаере разрешить общаться с дхцп только избраным макам... а остальные с другим дхцп сервером и там тоже соответственно только им разрешить ....

но никак не могу понять твоей задачи а точнее цели... может проще будет адаптировать задачу?

Помещено Viktor 20-03-2006 в 09:20:

quote:
не могу понять твоей задачи а точнее цели

задача такая: чтоб чужие компы (ноуты и т.д.) не могли получить адрес в сети.

Можно это, например, сделать через членство компьютера в домене?
Т.е. каким-то макаром настроить DHCP, чтоб он выдавал адреса только тем компам, чьи учетные записи есть в домене?

__________________
Тест - проверка верности!

Помещено revlis 20-03-2006 в 09:57:

quote:
Первоначальное сообщение от Viktor
задача такая: чтоб чужие компы (ноуты и т.д.) не могли получить адрес в сети.

Можно это, например, сделать через членство компьютера в домене?
Т.е. каким-то макаром настроить DHCP, чтоб он выдавал адреса только тем компам, чьи учетные записи есть в домене?

к сожалению общение с ДХЦП происходит раньше чем общение с АД :-(
поэтому могу посоветовать только использовать фаер.... :-( чисто теоретически думаю это должно сработать

но вот думаю я что твоя задача должна решиться использоватием к примеру умных свичей и/или �_адиуса
это позволяет доступ к сети только зарегистрированых клиентов

Помещено Viktor 20-03-2006 в 10:15:

quote:
задача должна решиться использоватием к примеру умных свичей

наверно это единственный выход.

А на счет �_адиуса.
В этом случае для подключения к сети юзеру нужно дополнительное подключение к сети (типа VPN) или я ошибаюсь.
И, скорей всего, юзер сможет и со своего ноута войти всетку через Radius-сервер.

А мне нужно, чтоб его ноут вообще к сети подключиться не мог, даже если юзер имеет на это права.

Я слышал, что SMS такое может. Он помещает компы в DMZ-зону с ограниченными правами.
Правда или нет.
И дружит ли SMS с WSUSом?

__________________
Тест - проверка верности!

Помещено revlis 20-03-2006 в 17:19:

в случае с радиусом юзер сможет видеть радиус клиентов и все что на основе его либо в его сети только после регистрации в нем

revlis добавил 20-03-2006 в 17:20:44:
либо если без свичей умеющих по порту фильтровать авторизацию по радиузу увидят тока себе подобных

Помещено gryshadow 21-03-2006 в 12:10:

может тебе 802.1x поможет?
И кстати жесткая привязка к mac в DHCP очень даже выход нормальный (это если закрыть глаза на возможность изменения МАК адреса парой кликов мышки )
Можно еще pppoe использовать.

__________________
Чайник, мечтающий стать самоваром!

Помещено Viktor 21-03-2006 в 12:24:

quote:
И кстати жесткая привязка к mac в DHCP очень даже выход нормальный (это если закрыть глаза на возможность изменения МАК адреса парой кликов мышки )

И я о том же...

И забив мак-адреса в порты свича можно получить гемор, если юзеры изменят мак-адреса.
У меня, например, в одной машине постоянно глючит карточка и меняет мак-адреса. То хх-хх-хх-хх-хх-хх, то 00-00-00-00-00-00.

А если VLAN на свичах поднять?
Поможет?

__________________
Тест - проверка верности!

Помещено revlis 21-03-2006 в 13:27:

quote:
Первоначальное сообщение от Viktor
И я о том же...

И забив мак-адреса в порты свича можно получить гемор, если юзеры изменят мак-адреса.
У меня, например, в одной машине постоянно глючит карточка и меняет мак-адреса. То хх-хх-хх-хх-хх-хх, то 00-00-00-00-00-00.

А если VLAN на свичах поднять?
Поможет?

поможет 100%
только если у клиента глючит карта то имхо лучше ее сменить

а не под глюки подстраиваться

Помещено Viktor 21-03-2006 в 13:51:

Так а в этом случае смена мак-адреса повлияет на доступ к сети?

__________________
Тест - проверка верности!

Помещено gryshadow 22-03-2006 в 08:06:

Если поднять VLAN то смена мак-а на подключение к сети не повлияет.
Может тебе действительно в сторону PPPoE посмотреть? пока не авторизуешься - вообще ничего неполучишь.
Кстати там можно как статические каждому логину IP выдавать, так и динамически.

__________________
Чайник, мечтающий стать самоваром!

Помещено annanimmaus 15-06-2006 в 12:26:

quote:
Первоначальное сообщение от revlis
поможет 100%
только если у клиента глючит карта то имхо лучше ее сменить а не под глюки подстраиваться

Если карта глючит заменить Клиент не должен не имеет право даже перезапускать сетевуху а а тем более менять даже ай пи не говоря о мак адресе поменял телегу начальству . А так естественно резервирование айпи и обнуление ( arp -s ip.add.re.s 00-00-00-00-00-00 ) не зарезервированных тобой связок ай пи - мак адресс на сервере а можно и на юзерских машинах и будет тебе счастье не одна собака не приконнектится

Помещено Viktor 15-06-2006 в 14:32:

как раз хотельсь уйти от ручной привязки ip-адресов к мак-адресам.
ip-адреса то - динамические!

__________________
Тест - проверка верности!

Помещено revlis 15-06-2006 в 19:39:

полностью согласен с gryshadow это наиболее правильный способ параноидальной покалки
а с остальным замучаешся при росте сети

Формат времени GMT. Текущее время 21:06.

Показаны 18 сообщений на этой странице