Netwerk studentenhuis afschermen

[Verwijderd]

Ik zit met de volgende kwestie. Ik regel bij mij in huis het internet, dat via een bedraad netwerk gaat. Het is geen huis waarin iedereen even close met elkaar is en de betaling voor het internet loopt dan ook niet altijd even vlekkeloos. Nu wil ik dus het netwerk zo inrichten dat ik kan bepalen wie wel (degenen die wel betalen) en wie niet gebruik kan maken van het netwerk en daarmee internet.

Wat gegevens:

• 14 personen, waarvan 9 personen momenteel gebruik maken van het internet.
• modem: onbekend (kamer waar modem staat is nu op slot, maar ik vermoed dat dat voor deze kwestie ook niet relevant is)
• router: SMC Barricade 7004VBR (4 poorten, 10/100Mbps)
• hub: Target 9-poorts 10-100 Mbps Ethernet Hub

Verder:

• De hub wordt binnenkort vervangen door een 16-poorts switch, zodat alle personen in huis in principe op het netwerk kunnen. Alle 9 poorten zijn nu al vol.
• We maken gebruik van @Home kabelinternet.

Ik heb uiteraard al wat gezocht en kwam vooral uit bij het toestaan van bepaalde MAC-adressen. Toen ik wat verder zocht, bleek dat dat weer vrij makkelijk te omzeilen is. Klopt dat? Of denken jullie dat dit een voldoende oplossing zou zijn? Er zitten wel 1 of 2 huisgenoten bij die in staat zijn en waarschijnlijk zullen proberen de beveiliging te omzeilen.

Zijn er dus nog eventueel andere opties?

Ik hoop dat iemand een goed idee heeft of eventueel kan bevestigen dat ik het met MAC-adressen zal moeten doen.

Als jullie nog meer info nodig hebben, geef ik die graag.

[Dreamvoid]

- zet de switch op je eigen kamer of in een kastje waar jij alleen de sleutel van hebt
- trek de UTP stekker van de gebruiker die niet betaalt eruit


(edit: wellicht wat simpel, maar in mijn ervaring zijn dergelijke "hardware" oplossingen doorgaans effectiever dan complexe hackable software oplossingen. En het opent de deur naar de betere BOFH praktijken: "hee, poort 4 knippert...mwuhahahah....even 5 minuten geen netwerk voor poort 4...SHNOKK!!! ")

[ Voor 51% gewijzigd door Dreamvoid op 25-09-2006 14:50 ]

[joggie]

Volgens mij is het wel mogelijk om de gebruikers een statisch ip-adres te geven. Deze zou je dan aan een MAC kunnen koppelen, waardoor je via de router bepaalde ip/mac adressen zou kunnen blokkeren...hoe het precies allemaal werkt, zou je moeten uitzoeken. Er zijn denk ik sowieso meer als 1 oplossingen mogelijk. De vraag is waarschijnlijk alleen; welke is de beste in jou situatie??

Verder zou het denk ik verstandig zijn om de bewoners misschien een contract te laten ondertekenen..Dan sta je zelf sterk in je schoenen en kun je ze erop wijzen wanneer ze niet op tijd betalen...

Stekker uitrekken van de betreffende gebruiker zou trouwens ook een effectieve oplossing zijn

[Verwijderd]

- vorm een knokploeg om de niet betalende student tot betaling te dwingen

[bartgabriels]

Het valt altijd wel te omzeilen denkik.

Als je bovenstaan idee toepast, kan, wanneer er 2 studenten goed bevriend zijn, 1 student betalen, en de kosten tussen hen 2 betalen en een switch op 1 van de kamers plaatsen (of draadloos).

De enige mogelijke oplossing is te werken via een portaalsysteem, waarin iedereen zijn gebruikersnaam moet ingeven, en je al dan niet toegang krijgt tot het systeem naargelang je de juiste cookie hebt op je systeem. Zo behoudt je wel de mogelijkheid om onderling bestanden uit te wisselen op het netwerk, maar niet iedereen internet krijgt. Maar weer: wat als iemand het wachtwoord/gebruikersnaam doorgeeft.

Ik denk dat je gewoon er moet vanuitgaan dat IEDEREEN internet gebruikt. Geen "dure" beveiligingsmaatregelen. Aangezien ze met 14 zijn, heb je voor ieder 5€ extra in de maand al een mooi abbonement denkik.

[ Voor 7% gewijzigd door bartgabriels op 25-09-2006 14:44 ]

[Verwijderd]

via een switch die je kan managen, dit via een webpagina, en dan zijn poort uitschakelen. Op deze manier geen gezeur, met kabels en of mac adressen.

Ik weet niet of het mogelijk is om het internet te blokkeren, maar wel het netwerk te laten bestaan. Zodat je wel via windows zooi kan delen etc.

[The Eagle]

Gewoon met de verhuurder opnemen. Aansluiting zal ook wel op zijn naam staan gok ik zo, dat zie je vaker in een studentenhuis. Gewoon iedereen van laten gebruiken en laten betalen. En idd, dat kost geen drol meer in de maand en je hebt er wel profijt van. Gewoon mee verrekenen in de huurprijs van de kamer.

[Mishmash]

Koop een managable switch waarmee je via een webinterface de poorten in en uit kunt schakelen. Zo kan jij met een klik op de knop een pc uit je netwerk knikkeren als ze niet betalen...

[Verwijderd]

bartgabriels schreef op maandag 25 september 2006 @ 14:43:
De enige mogelijke oplossing is te werken via een portaalsysteem, waarin iedereen zijn gebruikersnaam moet ingeven, en je al dan niet toegang krijgt tot het systeem naargelang je de juiste cookie hebt op je systeem.

Het internet bestaat uit meer protocollen dan alleen http

[leuk_he]

De eerste optie is gewoon fysiek: zet de switch achter slot en grendel en koppel alleen netwerk kabel van betalende mensen erin. Dat snapt iedereen en is heel duidelijk.

Als je mac adressen kunt toestaan in de SMC/barricade zou je dat kunnen doen. Iemand kan wel een macadrea van iemand anders faken, maar dan werkt die iemand anders ook niet goed meer. Mac adressen filteren lijkt me voldoende voor wat je hier voor ogen hebt.

Uiteraard kan iemand een kabletje doorpluggen naar iemand die niet betaald (via een router of 2e netwerkkaart,) maar dan sluit je gewoon de eerste af tot hij dubbel betaald. uiteraard wel goed afspreken!

Het kan zijn dat je in de toekomst afspraken wil maken over het bandbreedteverbuik, maar dat is het makkelijk op te lossen door als router een echte server(=oude pc met speciale software) neer te zetten. In de tussentijd kun je afspeken dat mensen met p2p (emule/torrent) programma's niet meer dan xx kb/s uploaden. In dergelijke software kun je ook beter regelen wie toegang heeft.

[Montaner]

Heb zelf altijd een sitecom router gehad, de computers die aan het netwerken kwamen te hangen verschenen vanzelf sprekend in de router, hierin kon je dan weer groepen maken:

Groep met internet en beschikking tot intranet
Groep zonder internet met beschikking tot intranet
Groep zonder internet en zonder intranet

Zo kon je de computers in de groepen indelen en dan het internet voor ze uitschakelen. IP renewen had hier tegen geen zin, je computer opnieuw installeren met een andere naam werkte weer wel als je het zonder netwerk eraan deed. Zo kunnen ze natuurlijk wel hun computer blijven reinstallen, maar dat maakt eigenlijk niets uit sinds jij hem weer in 2 seconden kan blokkeren. De persoon zelf merkt dit overigens niet, zijn computer ziet het gewoon als aangesloten tot internet.

Volgens mij kan dit met veel routers, al dan wel niet op exact dezelfde manier. Anders zet je de switch bij jezelf neer, desnoods achter slot en trek je gewoon hun kabels eruit als ze niet betalen.

Succes met je vervelende huisgenoten.

[Diabolical]

Managable switch. Switch beveiligen met ww, en verder poortjes blokkeren. Wil je wel intern maar geen extern vekeer door de host (i.e., hij moet wel een ander computer in netwerk kunnen benaderen maar mag geen inet) dan kun je dit door middel van vlan's regelen.

[Verwijderd]

Je kunt het goed oplossen, maar dat kost geld. Een beetje manageble switch waar je dit op kunt regelen kost je al snel een paar honderd euro. Als een paar euro per maand meebetalen voor internet al een probleem is, dan kan ik me slecht voorstellen dat zoveel geld voor een "rechtvaardige" oplossing enig enthousiasme oproept bij je huisgenoten. Maar als je het echt wilt, dan is dat de oplosrichting.

OT: M'n studietijd ligt alweer een tijdje achter me, maar is de studiefinanciering tegenwoordig zo beroerd dat 5 euro per maand niet meer kan?

[bartgabriels]

Verwijderd schreef op maandag 25 september 2006 @ 14:47:
[...]


Het internet bestaat uit meer protocollen dan alleen http

Weet ik wel, en bedoelde ik ook.
Op school bij ons was er zo'n systeem. je kreeg alle functies van een netwerk, behalve internetconnectie als je op de Wlan verbond. Pas wanneer je je aanmelde met je gebruikersnaam en wachtwoord van de school, kreej je toegang tot het internet, welk protocol dan ook.

Het wil niet zeggen dat je voor je beveiliging via HTTP werkt, je de andere protocollen niet kan beveiligen.

[Verwijderd]

bartgabriels schreef op dinsdag 26 september 2006 @ 06:22:
Het wil niet zeggen dat je voor je beveiliging via HTTP werkt, je de andere protocollen niet kan beveiligen.

Dat kan idd, maar dat werkt dan niet met cookies zoals jij stelt...

[Verwijderd]

Ik heb zelf een 2e hands HP hub gekocht voor ik dacht 40 euro zoiets met een zeer geile web interface.

Port Security

Use the Per-Port Security dialog box to set an authorized station (MAC) address and other security parameters for each port.

In the window:

Address Selection -- Shows how the authorized address of a device is assigned to a port on the hub. The field can show one of three settings:

* Continuous -- The hub regards any device to be an authorized address. When the hub learns the station address of any end node, it treats that end node as an authorized address. This option provides the lowest level of port security.
* First Heard -- The hub regards only the first device it learns to be its authorized address. When the hub learns the station address of the first end node it encounters, it treats that end node as an authorized address. This method is useful for quickly identifying and authorizing end users. If an intruder is detected on the port, the port will be disabled. This method provides a moderate level of security.
* Assigned -- The hub regards only the device(s) that you assign to be its authorized address(es). To assign devices as end nodes for a hub, enter them in this dialog box or at the hub console interface. As with the First Heard method, if an intruder is detected on the port, the port will be disabled. This method provides the maximum level of security.

Authorized Address -- The network (IP) address of the device that has been determined to be the authorized device for the specific port.

Eavesdrop Prevention -- Indicates whether Eavesdrop Prevention has been enabled.

Send Alarm -- When activated, an entry is made in the Intrusion Log when an unrecognized address is received.

Disable Port -- This is a consequence of choosing "First Heard" or "Assigned" as the Address Selection and setting Eavesdrop Prevention to "On".

Hiermee kan je dus poorten aan/uit zetten en per poort locken op MAC adres.
Mocht dus iemand zo silm zijn om de buurman te helpen met een hubje/switch ruikt de HP hub onraad en gooit de poort op non-actief.

(ik bedenk net dat je deze pret nog steeds kunt omzeilen als ICS wordt aangezet op een van de PC's)

terug naar de tekentafel

[ Voor 8% gewijzigd door Verwijderd op 26-09-2006 13:55 ]

[kamstra]

regel een router, zorg dat jij degene bent die als enige het routerpass weet. Vervolgens geef je iedereen een statisch IP adres, DHCP gaat uit. Mijn ervaring is dat 95% toch zo noob is dat ze geen idee hebben hoe of wat te regelen als internet het niet doet.

En de overige 5% kan je ook gewoon eens proberen aan te spreken . Is doorgaans echt niet heel eng, en een stuk minder kinderachtig dan het internet uitschakelen. Maar ik geef toe dat het bij sommige personen wel de ultieme oplossing is. Overigens is er nog wel een optie, en dat is het afknippen van de UTP stekker

[Verwijderd]

Hele simpele oplossing: netwerkkabel van wanbetaler uit de switch halen
Simpele oplossing: een routertje nemen waarbij je je hosts LAN- en internet-toegang kunt toestaan of weigeren. (Mijn simpele US Robotics van een paar tientjes kan dit al, kan zelfs tijden specificeren waarop hosts internet-toegang hebben.)

Poortjes aan of uitzetten via webinterface van een manageable switch lijkt mij niet handig. Trek dan gewoon het stekkertje eruit..... (al is dat natuurlijk geen 1337-oplossing, effectief is het wel)

Maarreh, wat doe je tegen mensen die gewoon een router, AP of switch plaatsen in hun kamer en op die manier 4 andere huisgenoten van internet voorzien?

Ik zou toch eens kijken of je "internet-toegang" niet bij de basis-voorzieningen in het huis kunt krijgen. Dan hoef je je helemaal geen zorgen meer te maken over wie er wel of niet gebruik mag maken van internet.

[Verwijderd]

ind e huizen van mijn pa hebben we het op de hardwarematige manier opgelost

we hebben elke kamer voorzien van een dubbel UTP stopcontact en kabel stopcontact. dit loopt via een weg gewerkte goot naar beneden een apart afsluitbaar deel van de meterkast in. waar een 19" frame zit geschroeft.

in de meterkast komt het uit op een patchpaneel

vanaf het patchpaneel gaat er een patchcable de 24 poorts 3com superstack 3 in.

op poort 2 van de utp doos zit telefonie/ bel/deuropener de telefonie gebeurt met een patchcable richting een poort van de 2 ISDN telefoon centrales

achterop poort 2 zit de bekabeling vaneen kastje met een bel en een knopje voor de automatische deuropener. de voorkant van poort 2 is gewoon geschikt voor telefonie. daar sluiten de huurders hun telefoon op aan.

casema kabel is gewoon een kwestie van de stekker in de meterkast losdraaien van de versterker (Astro) en signaal is dr af.

de kast zit op slot.

betaald de huurder zijn servicekosten niet? dan zal ie afgesloten worden door 2 stekkers uit zijn aansluitingen op het patchpaneel te trekken en de coax kabel van de versterker af te halen.


voordeel hiervan is: geen kabels meer als spaghetti door het trapgat en centraal controleerbaar.

ook konden we gelijk de benodigde bekabeling voor de (door de brandweer verplichte) hitte,brand en koolstof mono oxidemelders wegwerken.

[ Voor 12% gewijzigd door Verwijderd op 26-09-2006 14:16 ]

[Verwijderd]

leuk, maar die superstack ziet niet als iemand ICS loopt te draaien net zoals mijn HP hub.

waar ik zat aan te denken, de hedendaagse jeugd is zo verslingerd aan internet, als je nou eens een overtreder een week lang afsluit (dan heb ik het niet over een niet-betaler, maar over een barmhartige samitiraan)

ik zou helemaal gek worden als ik een week zonder internet zit en het wel uit m'n hoofd laten de boel te dwarsbomen.

[Verwijderd]

Bedankt voor alle reacties! Er zitten zeker bruikbare bij! Ik hou het voorlopig even op de eenvoudigere oplossing met de MAC-adressen. Ik hoop dat iedereen zo genoeg gestimuleerd wordt om te dokken en anders hebben ze gewoon idd geen internet.. Kijken hoe lang ze dat volhouden!

Intussen heb ik een nieuwe switch en daarmee een nieuw probleem, maar daar zal ik een nieuw topic voor openen..