Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Windows (http://netadmin.ws/forum/forumdisplay.php?forumid=43)
-- Win2k Server, как отсечь неавторизованные компы из LAN от WAN? (http://netadmin.ws/forum/showthread.php?threadid=9917)

Win2k Server, как отсечь неавторизованные компы из LAN от WAN?

Есть вопрос по Win2k Server..

Ситуация такая: установил сервер, в домашнюю сеть, чтобы обеспечить выход в интернет с нескольких компов...

Хотелось совместить сразу несколько задач, чтоб был сервер для совместной работы домашней сетки из 3-4 компов (file-server, www-server, ftp-server, print-server). Кроме этого нужен доступ в и-нет с одного IP.

В общем, установлен Домен, AD, стоят штатные NAT и RRAS... ISA-server или другой прокси не установлен.
Предполагалось, что клиент должен авторизованно входить в Домен и получить в числе разных сервисов - доступ в И-нет..

Все это так происходит, но я вдруг случайно обнаружил, если какой-то клиент, не входит в домен, не авторизуется, а просто прописав IP сервера как

свой гейт и DNS - он также получает доступ в внешнюю сетку и Интернет..

Если я настраиваю файрвол, запрещающий транзитные пакеты - это отрубает WAN от всех внутренних клиентов. Т.е. это не есть решение проблемы.

В чем дело?? Что сделать, чтобы отсечь неавторизованные компы от и-нета??

Iris
неавторизованные компы/пользователи могут быть отсечены, только если поставить какую-то проксю - стек протоколов TCP/IP ничего не подозревает о неавторизарованных пользователях.

з.ы. можно конечно извратиться с шифрованием трафика внутри домашней сети

А что, невозможно решить проблему каким-то образом иначе, например настроить RRAS или NAT?
Кроме Прокси других решений проблемы нет??

Понимаю, что прокси по-любому придется ставить, но ради интереса, хочется понять, можно ли мою проблему в принципе решить иначе?

на сколько я знаю ни RRAS/NAT (суть маршрутизатор в твоем случает) не помогут- ведь не к тебе дозваниваются, а ты служишь гейтом в инет ...

что до решить иначе - смотри мой пост выше -
можно попробовать затребовать от всех хостов юзать ipsec (например, на сертификатах) - и отрубать всех, кто не свой

Поставь им доступ в Инет по VPN. И все. Будут получать второй IP и ходить в инет через него, а для WAN IP номеров NAT/маршрут закрой полностью. И овцы целы, и волки сыты.

PFW или DHCP (imho как вариант)

__________________
WWW.SECURITY-TEAMS.NET
icq: 865491