Hjelp! Må stenge internett.

[tihe]

Hei, jeg trenger desperat litt hjelp her.

Problemet er flg:

 

Har en NT 4.0 server som er filserver, påloggingsserver, applikasjonsserver og print-server for bedriften.

Noen ganger vil jeg at f. eks et rom skal være uten tilgang til internett og fremdeles ha tilgang til skrivere og filer osv. Kan ikke bare røkke kabelen ut for da mister resten av maskinene internett også. Har ikke funnet no prorgram man kan installere på serveren som kan gjøre dette. Har hørt om Microsoft ISA Server men har ikke kikket nærmere på den.

Finnes det andre løsninger? Alle forslag taes imot.

[CrZy_T]

åssen tilgang har du mot internett da ?

[skarsk]

Kan du ikke bare gå inn å slette (zip den) programfila til MIE og OExpress på den aktuelle maskinen?

Fjerne snarveier?

[tihe]

åssen tilgang har du mot internett da ?

Har 2mbit på fiber.

Kan du ikke bare gå inn å slette (zip den) programfila til MIE og OExpress på den aktuelle maskinen?  

Fjerne snarveier?

Det er tungvindt på f.eks et kursrom med 30 maskiner. Uansett så er det jo bare å inn i Windows Utforsker eller min datamaskin å skrive inn en URL.

[FlatBeat]

Kjører du DHCP med router som peker mot maskina som deler internett eller har du satt opp fast ip på alle maskinene? Har du en egen router med DHCP? Hvis du har DHCP server på NT4 maskinen, er det bare å fjerne routeren i det aktuelle scopet og fjerne de aktive leasene på de aktuelle maskinene. ellers må du til med noe annen administrasjon. hvis du kjører fast ip, er det mulig du kan sette opp noe i routeren som sperrer konnunikasjon til disse IP-ene. eller så må du gå på mac- adresser. Det er bare stress. må helst vite litt om hvordan du har satt opp systemet.

 

Hvis du kjører ie fra applikasjonsserveren, kan du vel fjerne tilgangen for de brukerene til det programmet.

 

Er ikke sikker på hvordan det er med policyer i NT4, men i 2000 kan du sette opp til at brukerne ikke har tilgang til å starte f.eks. iexplore.exe

 

vil vite litt mer om systemet.

[tihe]

Har DHCP på NT maskinen ja. Men om jeg fjerner ruteren fra scopet, mister ikke alle andre maskiner også internett da? Og om jeg fjerner en leaset ip fra serveren så ber vel bare arbeidsstasjonen om en ny nesten med en gang?!

Har heller ikke ie fra serveren og det med policyer har jeg sjekket. Hjelper ikke å fjerne tilgang til iexplore.exe, da er det bare å gå på Min Datamaskin eller Mine Nettverksteder, evt. Utforskeren og skrive inn en URL i adressefeltet. Har Win2k arbeidsstasjoner.

[FlatBeat]

du mister internett på de maskinene som restarter eller ber om ny ip. men så lenge du bare tilbakestiller leasene på de maskinene du ikke vil ha nett på, sånn at de får en konfigurasjon uten gateway. eller du kan sette opp alle maskinene med fast ip, men uten adressen til gateway, kanskje...

 

vet ikke om noen programmer for å administrere det noe bedre.

 

Det er fredag, litt tom for ideer.

 

på en av våre avdelinger er det satt opp en nt4 server som dhcp, og de maskinene som skal ha internett hele tiden står med statisk ip. datarommet står med dhcp og når vi skal sperre internett der, går vi bare inn og fjerner ruteren.

 

hvis du har mange andre maskiner kan det være litt stress å dytte inn fast ip...

 

lykke til.

[tihe]

Ja, får gruble litt til på det. Er et veldig aktuelt tema for oss så vi må finne en løsning. Til nå har vi brukt en helt lik kopi av serveren og bare hatt den på en svitsj for seg selv og bare koblet over kablen for de rommene det gjelder. Men det er litt tungvindt det også for begge bør helst være identiske til enhver tid. Kjipt å drive å flytte filer osv hele tiden. Pluss at det ser ut til å bli en konflikt med ip-adressene så vi må inn lokalt på mange maskiner å melde de ut og så inn i domenet igjen. Vet ikke hvorfor.

Men takk for svar.

[laaknor]

Lag et eget scope for de maskinen det gjelder i DHCP, og lås IP-adressene til MAC-adressen på nettverkskorta, slik at de alltid vil få den IP-adressen.

 

 

Fjern router'n eller DNS fra scopet når det ikke skal være tilgang, og pass på at max leasetime er på ti minutter eller.no sånt. 10 minutter etterpå har de ikke tilgang til Internett...

 

 

 

Det letteste hadde nok vært å satt opp en Linux box som firewall/proxy....

 

 

finnes mange diskettdistroer ute på Nettet beregnet på dette....

[CrZy_T]

åssen tilgang har du mot internett da ?

Har 2mbit på fiber.

 

Det jeg mente var om du har en router på samme nett som klientene og server'n eller om du har den gjennom en FW eller lignende. Står router'n på samme nett kan du sikkert sperre brukere i router'n (kommer an på router'n) Hvis ikke er en linux-burk som firewall en grei løsning hvis du kan linux.

[xcomiii]

Jeg har brukt wingate til ditt formål, enkelt å bare sperre de portene/tjenestene du ikke vil spesifikke klienter til å bruke. Men dette gjør jo stort sett de fleste proxy'er i dag, også ISA og en haug andre. Poenget mitt er at wingate er den enkleste jeg har vært borte i hvis du ikke liker å knote for mye. :wink:

[tihe]

Omtrent slik ser nettet ut:

 

Internett----Ruter----Server----Arbeidsstasjoner og skrivere fordelt på flere rom.

 

Ruteren er en Cisco 1700

Serveren NT4.0 med DHCP

Arbeidsstasjonene er Win2k uten fast IP.

[tore-]

Hvis det ikke er fast ip sliter du. Kan sperre port 80 med mac adresse. Eneste jeg kan tenke på.

[tihe]

er ikke fast ip nei men hva kunne jeg gjort om jeg hadde hatt det? Er ikke noe problem å gi dem det om det hjelper. Hva mener du med å sperre port 80? Lokalt på hver maskin eller på server eller?

[laaknor]

Hvis det ikke er fast ip sliter du. Kan sperre port 80 med mac adresse. Eneste jeg kan tenke på.

 

Som jeg foreslo øverst; gi fast IP i DHCP, slik at alle sammen vil få samme IP.

 

 

 

Å sperre port 80 vil si å nekte tilgang til http på Nettet. https vil funke, samme med IRC, POP, SMTP, whatever

[voktern]

letteste er vel bare og sette opp et vlan

[Defender]

Hmm, hva med brukerrettigheter? Sette de som er i "rommet" i en gruppe, deretter stenge internett tilgangen til denne gruppen?

[laaknor]

Hmm, hva med brukerrettigheter? Sette de som er i "rommet" i en gruppe, deretter stenge internett tilgangen til denne gruppen?

 

På skolen har de satt opp ftp.exe og iexplore.exe med rettigheter slik at kun gruppa INTERNETT har mulighet til å kjøre dem...

 

 

Problemet er bare at man kan bare installere opera eller Mozilla, så funker det..... men for personer som ikke har så mye peiling er det en helt ålreit og kjapp løsning

[Defender]

Ja, man kan jo kjøre en enkel MMC (kjør - mmc - snap in - local policy settings), deretter sette "rommet" gruppa til ikke å kunne aktivere port 80?

[christt]

Du bør nok ha en firewall på utgående linje som du kan kontrollere trafikken. a kan du hindre grupper av ip addresser å sende/motta pakker.