Hoe toegang blokkeren tot gateway voor een user

[FaceDown]

We hebben een W2k3 domein. Nu wil ik voor 1 user de toegang tot de gateway (die automatisch via DNS wordt toegewezen) blokkeren. Met andere woorden; de user mag niet het internet op. De user is een 'gewone user' maar is lokaal tevens administrator.

Ik wil hierbij het liefst niet gebruik moeten maken van bijv een proxy. Is er een mogelijkheid dit te bereiken door een instelling op de server misschien (group policy oid)?

[Tomsworld]

Firewall tussen het internet en het netwerk en gewoon alles droppen van die user.

Hoe deel je je internet ?

[Equator]

Als die jongen altijd op dezelfde PC zit, een reservering aanmaken binnen DHCP op zijn MAC adres. (Niet DNS, maar DHCP..) Dan een route op de server plaatsen richting dat gereserveerde IP adres naar een bogus gateway.

code:

route add <ip.address> <net.mask> <bogus.ip.address.for gateway> -p

Het is een smerige manier, maar zonder proxy of authenticating firewall kan je hem niet blokkeren.
Overigens hoeft deze persoon maar achter een andere PC te gaan zitten om toch op internet te kunnen

[Caeruleus]

Plaats deze persoon in een aparte OU en stel mbv een group policy in dat hij zelf geen gateway mag aanpassen (toegang tot netwerkeigenschappen blokkeren) en eventueel kun je de gateway voor hem op 127.0.0.1 oid zetten.

[ Voor 6% gewijzigd door Caeruleus op 20-04-2005 10:27 ]

[wizzzzzz]

Kun je in de router zijn ip-adres blokkeren via een soort access control. De ene router kan het wel de andere weer niet.

[FaceDown]

Hm ik ga het truukje van CyberJ eens proberen. Bedankt alvast. De pc heeft overigens geen vast IP.

[wizzzzzz]

Als hij lokaal admin is kan hij zelf het ip-adres en gateway invullen.

[ Voor 3% gewijzigd door wizzzzzz op 20-04-2005 11:08 ]

[FaceDown]

Ja daar dacht ik net ook aan.. dat is dus ook weer een probleem.

[X-Rey]

edit de group policy op zijn pc dan dat hij die niet kan aanpassen, de doorsnee user heeft toch geen idee hoe hij dat moet omzeilen, het is al een klein wonder als hij weet hoe hij de gateway moet aanpassen.

[FaceDown]

Hoe doe ik dat? De group policy op het werkstation beperkt de user toch niet als deze lokaal administrator is?

Ik heb nou een reservation binnen de DHCP toegevoegd, zodat de betreffende machine altijd een 'foute' gateway krijgt toegewezen. Er kan inderdaad handmatig nu nog een andere gateway worden ingesteld, dus dat zou ik nog ergens uit moeten schakelen.. maar waar?

[ Voor 55% gewijzigd door FaceDown op 20-04-2005 11:31 ]

[leuk_he]

FaceDown schreef op woensdag 20 april 2005 @ 10:49:
Hm ik ga het truukje van CyberJ eens proberen. Bedankt alvast. De pc heeft overigens geen vast IP.

Dat is wel simpel te regelen in de dhcp server, zijn macadres locken aan een ip.

[JackBol]

access-list op de router?

[Caeruleus]

FaceDown schreef op woensdag 20 april 2005 @ 11:18:
Hoe doe ik dat? De group policy op het werkstation beperkt de user toch niet als deze lokaal administrator is?

Ik heb nou een reservation binnen de DHCP toegevoegd, zodat de betreffende machine altijd een 'foute' gateway krijgt toegewezen. Er kan inderdaad handmatig nu nog een andere gateway worden ingesteld, dus dat zou ik nog ergens uit moeten schakelen.. maar waar?

Group policies overrulen de rechten van een local admin, oftewel, een group policy heeft wel degelijk effect. (correct me if I'm wrong)

[RammY]

Dirk-Jan schreef op woensdag 20 april 2005 @ 12:56:
access-list op de router?

Lekker in een grote organisatie
Iedereen toevoegen behalve 1
Tenzij je het om kan draaien natuurlijk

Hoe word de gateway geregeld.. Is dat de DHPC server zelf (of andere server) die gateway is of een router..

[FaceDown]

Caeruleus schreef op woensdag 20 april 2005 @ 14:39:
[...]


Group policies overrulen de rechten van een local admin, oftewel, een group policy heeft wel degelijk effect. (correct me if I'm wrong)

Hm dat zou kunnen. Waar kan ik deze group policy setting vinden dan (via AD users and computers -> eigenschappen, maar waar vind ik de bewuste instelling?).

Een access/deny-list op de router is geen optie, want als ik met m'n adminaccount inlog moet ik wel het internet op kunnen. Kan ik wel weer IP-settings gaan wijzigen enzo.. maar da's weer omslagtig.

Overigens werkt het nu wel; alleen zou ik de IP-instellingen nog af moeten kunnen schermen.

Het is trouwens niet zo dat 1 persoon in ons bedrijf niet op internet mag, maar dat er 1 pc staat met zeer beperkte netwerkrechten die een machine aanstuurt en het is niet de bedoeling dat de nachtploeg daar de hele nacht op zit te chatten. Dat is voorbehouden aan de netwerkbeheerder.

[ Voor 4% gewijzigd door FaceDown op 20-04-2005 15:24 ]

[The Eagle]

FaceDown schreef op woensdag 20 april 2005 @ 15:23:
[...]


Hm dat zou kunnen. Waar kan ik deze group policy setting vinden dan (via AD users and computers -> eigenschappen, maar waar vind ik de bewuste instelling?).

Een access/deny-list op de router is geen optie, want als ik met m'n adminaccount inlog moet ik wel het internet op kunnen. Kan ik wel weer IP-settings gaan wijzigen enzo.. maar da's weer omslagtig.

Overigens werkt het nu wel; alleen zou ik de IP-instellingen nog af moeten kunnen schermen.

Het is trouwens niet zo dat 1 persoon in ons bedrijf niet op internet mag, maar dat er 1 pc staat met zeer beperkte netwerkrechten die een machine aanstuurt en het is niet de bedoeling dat de nachtploeg daar de hele nacht op zit te chatten. Dat is voorbehouden aan de netwerkbeheerder.

NOFI, maar wat ben je dan voor malloot dat je dat ding dezelfde rechten enzo geeft als de rest van de machines? Als het geen standaard bureau-desktop maar een dedicated machine is, gelden daar toch ook geen desktop policies voor? En moet de user op die machine per se local admin zijn Kan me nauwelijks voorstellen.
Denk persoonlijk dat je naar een oplossing voor het verkeerde probleem zoekt

[RammY]

IDD.
Maak een gebruiker aan op het systeem en timmer hm HELEMAAL dicht.
Het enige (neem ik aan) wat de gebruiker hoeft te doen is een programma draaien die op de pc staat dus....
Dichtzetten die hap en niet moeilijk doen.

[FaceDown]

Helaas; het programma wat erop draait geeft foutmeldingen wanneer er lokaal geen adminrechten aanwezig zijn. Waar de oorzaak hiervan precies zit kan de leverancier niet zeggen en zullen we zelf een keer uit moeten zoeken, maar daar is nu geen tijd voor.
Verder maakt de machine wel degelijk gebruik van bepaalde netwerkbronnen (printers en bestanden) dus dit is volgens mij toch de beste oplossing.

[ Voor 4% gewijzigd door FaceDown op 20-04-2005 15:46 ]

[RammY]

dan kun je dus alsnog met verschillende policy's gaan werken dat je voor de gebruiker zelf alles dicht zet....

[The Eagle]

FaceDown schreef op woensdag 20 april 2005 @ 15:45:
Helaas; het programma wat erop draait geeft foutmeldingen wanneer er lokaal geen adminrechten aanwezig zijn. Waar de oorzaak hiervan precies zit kan de leverancier niet zeggen en zullen we zelf een keer uit moeten zoeken, maar daar is nu geen tijd voor.
Verder maakt de machine wel degelijk gebruik van bepaalde netwerkbronnen (printers en bestanden) dus dit is volgens mij toch de beste oplossing.

Ik zou hem lekker van het LAN afhalen. Geen gezeik meer mee, en heb je ook geen problemen met virii, spyware en aanverwante zaken

Hoeveel printers heeft zo'n machine nodig Kan ie niet met eentje af? Als dat zo is: lekker parallel kabeltje trekken naar de dichtsbijzijnde printer.
Bestanden: Zijn het statische of dynamische bestanden die op het netwerk benaderd moeten worden? Als het dynamisch (batchgewijs) is, kun je ook overwegen om e.e.a. via een crosslink met een andre PC met 2 NIC over te zetten.

Welk OS draait dat werkstation trouwens? Wel handig om te weten als je het e.e.a. dicht wilt spijkeren

[wizzzzzz]

Als je niet wilt dat ze kunnen internetten of (chatprogjes) kunnen downloaden kun je toch gewoon de internet explorer hernoemen of evt weggooien.

[FaceDown]

Dat is ook nog een extra optie wizzz maar ik denk dat ik het nu wel voldoende heb afgeschermd.

De pc zit aangesloten op een labelprinter, en de labels worden weer op het netwerk geplaatst door iemand op kantoor (flinke afstand ertussen). Standalone maken is dus _echt_ geen optie, tenzij een van jullie zin heeft om de hele dag gratis labels per diskette over te komen zetten. Een extra crosskabel ook niet, omdat er nu al een lange glasvezel ligt.

Er staat XP pro op de (nieuwe) machine.

[ Voor 14% gewijzigd door FaceDown op 20-04-2005 16:38 ]

[Verwijderd]

Zijn vast wel andere oplossingen voor.
Tweede netwerkkaart in de pc waar de etiketten vandaan komen en zo gesloten netwerkje maken ertussen bijvoorbeeld, of etiketten op usb stick zetten of of of ........

[ Voor 15% gewijzigd door Verwijderd op 20-04-2005 22:51 ]