Onbekende clients van netwerk weren

[Verwijderd]

Het geval is vrij simpel.
We hebben hier een Windows netwerk dat met DHCP werkt, en nu wil ik onbekende clients geen toegang geven.
Dus als een medewerker bijvoorbeeld zijn laptop mee neemt en deze inplugt, dan moet hij/zij GEEN toegang krijgen tot het netwerk.
Iemand die weet of dit een standaard instelling is in Windows, of dat hier 3rd party software voor bestaat die dit goed kan afhandelen?

Geen DHCP server gebruiken werkt natuurlijk al IETS.. Maar elke gebruiker met basale kennis van netwerken i.c.m. Windows weet wel hoe hij zijn/haar IP kan opvragen, en dan het IP van de laptop in dezelfde range te zetten. Dat is dus geen optie.

Misschien is het te doen om een MAC filter in te bouwen ergens? MAC adressen zijn ook wel te clonen, maar dit gaat de meeste gebruikers boven de pet.
Voor mij als beheerder zal dat wel veel werk kosten, maar dit is in eerste instantie niet een zwaar wegend probleem.
(Bij WiFi is MAC adres filtering vrij eenvoudig in te schakelen, nu nog voor bedrade netwerken..)

Creative ideeën zijn ook welkom, zolang dit niet betekend dat het complete netwerk verbouwd moet worden.

[Nvidiot]

Managed switches gebruiken waar je voor elke poort een MAC adres kan instellen. Dit kan je dan eventueel nog uitbreiden door ergens een IDS (Snort ofzo) aan te hangen die je een warning laat geven als er toch pakketjes met een onbekend mac adres voorbij komen.

[Verwijderd]

Als het DHCP is van Windows zelf kun je zien welke pc's er een ip hebben gekregen, en deze altijd aan hun toekennen d.m.v. computernaam en mac. correct me if i'm wrong natuurlijk.

[Verwijderd]

Het idee van "statische ip's" lijkt me wel wat.
Is het dan een idee om de scope van de DHCP server zo in te stellen dat deze compleet buiten de range van het bedrijf ligt? Dus stel DAT iemand inplugt, dat die gene dan een IP krijg waarmee niets is te beginnen?
En dan de statische ip's wel goed in te stellen. (Optie Reservations in DHCP bedoel je denk ik?)

Maar als ik ook virri e.d. tegen wil houden, dan zal ik het bij de kabel zelf moeten aanpakken. En dan komen de routers/switches om de hoek kijken.
Die zouden dan ALLE toegang moeten verbieden, tenzijn het MAC adres bijvoorbeeld goed is ingesteld.

Alle 2 erg interessante opmerkingen! Bedankt alvast hiervoor!
Nog iemand meer goede ideeën?

[rvnieuwh]

Het is wat omslachtig maar wat je eventueel zou kunnen doen is een DHCP-pool maken ter grote van het totaal aantal clients en dan d.m.v. Client Reservations (maakt gebruik van de MAC-adressen)de client een vast IP-adres toekennen. Toegegeven, hiermee help je het hele DHCP-concept mee om zeep maar het is een oplossing. Mist er niet te veel clients zijn is dit te doen.

[PcDealer]

Verwijderd schreef op vrijdag 16 december 2005 @ 12:18:
Het idee van "statische ip's" lijkt me wel wat.
Is het dan een idee om de scope van de DHCP server zo in te stellen dat deze compleet buiten de range van het bedrijf ligt? Dus stel DAT iemand inplugt, dat die gene dan een IP krijg waarmee niets is te beginnen?
[...]

Ja, je kiest dan een van de drie privé ranges die dus afwijkt van de andere al in gebruik zijnde (privé) ranges.

rvnieuwh schreef op vrijdag 16 december 2005 @ 12:21:
[...]Toegegeven, hiermee help je het hele DHCP-concept mee om zeep [...]

Hoezo? DHCP deelt IP's uit, dat is de taak. Of het nou vaste of steeds andere IP's zijn maakt niet uit.

[ Voor 25% gewijzigd door PcDealer op 16-12-2005 12:22 ]

[Verwijderd]

Nvidiot,

Weet jij of of de HP ProCurve Switch 2650 MAC adressen aan een poort kan koppelen?
Met de web-interface kan je niet echt veel. Ik kan wel poorten uit en aan zetten, maar zodra een gebruiker zijn eigen netwerk stekker uit de pc haalt en in zijn/haar laptop prikt is de beveiliging om zeep.
Misschien kan je via Telnet nog meer instellen op die Switch, maar daar ben ik niet echt in thuis.

[TrailBlazer]

switch met 802.1x kopen. Hiermee kan je authenticatie doen op laag2 Volgens mij ondersteunt windows Xp dit standaard.
http://www.microsoft.com/...21x_client_configure.mspx
alle andere dingen met dhcp pools en dergelijke is schijnveiligheid imho. Het hard configureren van een mac adres is in ieder geval een redelijk goedkope oplossing om te implementeren. Beheer wordt wel een stuk lastiger. Ook is een mac adres te veranderen natuurlijk

[ Voor 64% gewijzigd door TrailBlazer op 16-12-2005 12:31 ]

[rvnieuwh]

PcDealer schreef op vrijdag 16 december 2005 @ 12:21:
[...]

Ja, je kiest dan een van de drie privé ranges die dus afwijkt van de andere al in gebruik zijnde (privé) ranges.
[...]

Hoezo? DHCP deelt IP's uit, dat is de taak. Of het nou vaste of steeds andere IP's zijn maakt niet uit.

DHCP is bedacht om de Administrator taken, het toekennen van IP-adressen aan clients, uit handen te nemen. Nu ga je weer zelf (veel) handmatig werk uitvoeren. Denk ook aan het kapot gaan van een NIC bijvoorbeeld. Moet je toch weer handmatig de DHCP database gaan aanpassen/bijhouden.

[Erwinkemink]

Enige oplossing is volgens mij de oplossing die door Nvidiot wordt aangedragen.

DHCP Scope beperken door maar een x aantal ips uit tegeven valt redelijk makkelijk te omzeilen je medewerker kijkt welke ip range je gebruikt en vult op zijn laptopje de waardes in en klaar.

[TrailBlazer]

Erwinkemink schreef op vrijdag 16 december 2005 @ 13:01:
Enige oplossing is volgens mij de oplossing die door Nvidiot wordt aangedragen.

DHCP Scope beperken door maar een x aantal ips uit tegeven valt redelijk makkelijk te omzeilen je medewerker kijkt welke ip range je gebruikt en vult op zijn laptopje de waardes in en klaar.

zie mij opmerking over het veranderen van een mac adres. Overigens kan een cisco ook gewoon de poort meteen dichtgooien als er een onbekend mac binnenkomt

[Verwijderd]

Probleempje:

Ik ben een beetje aan het testen gegaan met het Reservation idee in de DHCP server.
Een aantal Reservations aan gemaakt, en dit lijkt best leuk te gaan werken.
Als ik dan ook nog in de scope aangeeef dat de pc's die WEL via de normale weg een DHCP adres aanvragen aangeef dat deze een 172.16.0.x adres krijgen met subnetmasker 255.255.255.252 dan kunnen die ALLEEN maar lokaal netwerk verkeer aan. (GEEN netwerk verkeer dus)

Maar...
We hebben hier 2 DHCP servers staan, die alle 2 een deel van het DHCP verkeer afvangen. Zelfde scope, met een exclusion range zodat ze niet 2 keer hetzelfde IP kunnen uitdelen.
Maar als een client nu een adres opvraagt, dan heeft die server er maling aan dat zijn "partner" een Reservation hiervoor heeft, en krijgt hij alsnog een "normaal" DHCP adres.

Is er een manier om de DHCP server met elkaar rekening te laten houden? Dus als DHCP server A ziet dat server B een Reservation heeft staan, dan hij geen DHCP adres uitdeelt?

[PcDealer]

Verwijderd schreef op vrijdag 16 december 2005 @ 14:23:
Probleempje:

Ik ben een beetje aan het testen gegaan met het Reservation idee in de DHCP server.
Een aantal Reservations aan gemaakt, en dit lijkt best leuk te gaan werken.
Als ik dan ook nog in de scope aangeeef dat de pc's die WEL via de normale weg een DHCP adres aanvragen aangeef dat deze een 172.16.0.x adres krijgen met subnetmasker 255.255.255.252 dan kunnen die ALLEEN maar lokaal netwerk verkeer aan. (GEEN netwerk verkeer dus)

Maar...
We hebben hier 2 DHCP servers staan, die alle 2 een deel van het DHCP verkeer afvangen. Zelfde scope, met een exclusion range zodat ze niet 2 keer hetzelfde IP kunnen uitdelen.
Maar als een client nu een adres opvraagt, dan heeft die server er maling aan dat zijn "partner" een Reservation hiervoor heeft, en krijgt hij alsnog een "normaal" DHCP adres.

Is er een manier om de DHCP server met elkaar rekening te laten houden? Dus als DHCP server A ziet dat server B een Reservation heeft staan, dan hij geen DHCP adres uitdeelt?

Waarom twee maal dhcp servers?

[The Lord]

Ik zou zelf veel liever voor een combinatie van de 802.1x en IPSec gaan. Dit levert veel minder handwerk op dan veel van de eerder genoemde oplossingen.

[Verwijderd]

PcDealer schreef op vrijdag 16 december 2005 @ 14:39:
[...]

Waarom twee maal dhcp servers?

Jah wie deelt er nu wat uit dan ook al overlappen de ranges elkaar niet, allebei de servers worden door de client gequeried, lijkt me niet zo jofel? Of is de een een master en de ander een slave servert?

[Verwijderd]

Jah, de een is een DC en de ander een Member Server.
In geval van uitval kan het netwerk nog redelijk funtioneren op deze manier.
Ik ben er ook niet dol op. Misschien gooi ik gewoon een van die servers op in-active.
ALS er dan iets gebeurt, dan kan ik vrij eenvoudig die DHCP server weer up brengen.

Als ik die 802.1 toe ga passen.. Houden virri zich dan daar ook aan?
Kunnen die dan ook geen mogelijke exploits benutten op de servers?
En HOE test ik zoiets? (Ik ga geen server nuken)

[CyBeR]

Verwijderd schreef op vrijdag 16 december 2005 @ 12:26:
Nvidiot,

Weet jij of of de HP ProCurve Switch 2650 MAC adressen aan een poort kan koppelen?
Met de web-interface kan je niet echt veel. Ik kan wel poorten uit en aan zetten, maar zodra een gebruiker zijn eigen netwerk stekker uit de pc haalt en in zijn/haar laptop prikt is de beveiliging om zeep.
Misschien kan je via Telnet nog meer instellen op die Switch, maar daar ben ik niet echt in thuis.

Ja. Port security heet dat. Staat in de webinterface onder de Security tab.