Hvordan begrense tilgang til internett på lokalnett?

[Rikky]

Har installert ADSL fra Tiscali i leiligheten nå. Vi har lokalnett i huset med maskiner i andre leiligheter, men det er bare de to maskinene i leiligheten min som skal ha tilgang til internett. Skal bruke en Unex bredbåndsrouter for å dele nettet.

[Espen_^]

Ikke skriv dns og gateway adresse på de maskinene som ikke skal på nett.

[stigfjel]

Får du ikke lov til å ha mer enn 2 maskiner på nett eller vil du ikke ha mer enn 2 maskiner på nett?

[Rikky]

Ikke skriv dns og gateway adresse på de maskinene som ikke skal på nett.

Trenger ikke skrive det, er på nett selv om alt står på auto.

Får du ikke lov til å ha mer enn 2 maskiner på nett eller vil du ikke ha mer enn 2 maskiner på nett?

Vil ikke.

[stigfjel]

Du kan jo sette opp en firewall som kun slipper de 2 aktuelle maskinene, og blokkerer for de andre ut mot internet. Da kan du ha alle på samme nettverk. Problemet er bare å sette det riktig opp. Holder på med noe lignende selv.

[Espen_^]

En maskin med to nettverks kort som deler tilkoblingen.. Da kan du la være å stille gateway/dns adresse el som en annen sa bruke firewall og sperre de som ikke skal ut.

[Rikky]

Er det mulig å sette opp noe slikt på routeren? Har blant annet en meny der som heter "access control" med flere grupper der man kan velge "block/allow ports" etterfulgt av et felt der man kan skrive noe. Eller?

[sofTest]

Hvilken Unex er det?

 

Men det beste vil generelt være å:

1. Konfigurere DHCP (static DHCP) slik at de to PC'ene som skal få lov til å aksessere Internet får tildelt en fast IP-adresse (basert på MAC-adressen til nettverkskortene).

2. Sette opp et brannmurfilter (firewall filtering) slik at kun disse to IP-adressene får lov til å kommunisere med Internet.

[Torbjørn]

hvis man først skal basere ip på MAC, kan man like gjerne filtrere på MAC med en gang. iptables gjør dette hvis du har en linux box til overs. mulig routern også gjør det.

[Rikky]

Det er en Unex ISO50.

Og nei, jeg har nok ikke en linux-boks til overs...

 

Finner ikke noe i DHCP-oppsettet til routeren om tildeling av fast IP.

 

Hadde vært fint om noen kunne hjelpe meg med dette...

 

Kan evt bruke en CNet-router til dette.

[sofTest]

hvis man først skal basere ip på MAC, kan man like gjerne filtrere på MAC med en gang. iptables gjør dette hvis du har en linux box til overs. mulig routern også gjør det.

 

Han sa han skulle bruke en Unex-router, og basert på dokumentasjonen på Unex IS050P-modellen (mest sannsynlig så har han denne) så kan jeg ikke se at filtrering direkte på MAC er mulig. Hadde det vært mulig, så hadde jeg skrevet dette.

[Rikky]

Det står bare ISO50, manualen ligger her.

[Rim]

Legg inn fast IP på maskinene uten gateway. Dhcp serveren i ruteren deler ut dette når maskinen står på "auto" som du kaller det. Helt klart den enkleste løsningen.

[Rikky]

Legg inn fast IP på maskinene uten gateway. Dhcp serveren i ruteren deler ut dette når maskinen står på "auto" som du kaller det. Helt klart den enkleste løsningen.

På denne måten hver enkelt maskin/bruker kunne styre tilgangen til internett selv, men jeg ønsker å ha kontrollen over hvilke maskiner som har tilgang.

 

Hvis dere ser i manualen under "4.8 Access Control", er det ikke noe der jeg kan bruke? Har prøvd litt, uten å lykkes.

[Torbjørn]

hvis noen annen "tar" en av IP'ene som er lovligge, vil du i verste fall få en ip konflikt og pakker vil fly veggemellom. hvis den lovlige maskinen tar sin lovlige ip først, går alt sannsynligvis greit pga arp-cache i router og switch.

 

Det eneste sikre, er å dele inn nettet ditt i 2 subnett. lovlige på det ene og blokkerte på det andre. da kan de ta så mange iper de vil uten å komme noen vei med det.

 

sofTest:

Han sa han skulle bruke en Unex-router, og basert på dokumentasjonen på Unex IS050P-modellen (mest sannsynlig så har han denne) så kan jeg ikke se at filtrering direkte på MAC er mulig. Hadde det vært mulig, så hadde jeg skrevet dette.

 

det er greit, jeg tror deg på ditt ord!

[Rikky]

hvis noen annen "tar" en av IP'ene som er lovligge

Jeg kan vel sette fast IP på de "lovlige" maskinene? Har forsøkt det, og forsåvidt fått blokkert tilgangen til internett via Access Control på routeren, problemet er bare at jeg ikke kom på nett med noen maskiner med Access Control påslått... skal forsøke litt mer nå.

[Rikky]

Da ser det ut som jeg kom i mål etterhvert, Access Control ble løsningen

Takk til alle som har svart.

[sofTest]

Hmm, ligger stadig litt på etterskudd her med hensyn til informasjon. Denne versjonen av routeren hadde meget begrensede konfigurasjonsmuligheter.

 

Men med denne informasjonen ville jeg prøvd å legge inn DHCP på de maskinene som IKKE skal på Internet, f.eks. pool område 100-199 som i manualen. For de to som skal ha tilgang til Internet, ville jeg lagt inn fast IP-adresse på PC'n, f.eks. 192.168.123.10 og 192.168.123.11.

 

Under Access Control, kryss av enable, la default group stå til Allow, og feltet Ports blankt (betyr tillat ingenting). Under Group 1, sett opp Members 10-11, og Block og feltet Ports blankt (betyr blokker ingenting). Dette betyr att alle unntatt de to IP-adressene vil bli nektet tilgang til Internet.

 

Jeg har en reservasjon, som du må teste selv. Jeg vet ikke hvilken Subnet Mask routerens DHCP konfigurert som over genererer. Dette kan du teste. Hvis dette er 255.255.255.0, så skulle ovennevnte fungere.

 

Det er riktig som Torbjørn skriver, at om noen av de andre "stjeler" dine faste IP-adresser, så får du problemer. Skal ALLE maskinen i nettverket kunne kommunisere med hverandre? Hvis ikke så er nok det beste å dele nettverket i flere subnet som foreslått.

[CastorFiber]

Spørs jo litt på hvor "oppegående" brukerne på "ikketilgangsmaskinene" er, men du kan jo bruke en annen protokoll enn TCP/IP på de maskinene? Da får de jo ikke tilgang..

[Rikky]

Jeg kom som sagt i mål etterhvert, og jeg brukte samme metode som sofTest beskrev. Pool er 100-199 og IP på lovlig maskin 1 og 2 er 101/102. Alle maskinene er på samme subnett, og kommuniserer fint med hverandre. Igjen, takk for alle svar!