ISA server + AD authentication

[cyclone]

Twijfelaartje om het hier te posten of in SA, maar ik schat mijn kansen hier iets hoger in.

Probleemomschrijving :
Op dit moment ben ik bezig met een pilot Win2k + AD en ISA server.
ISA server zal met name als proxy spelen.
Wat mogelijk is met ISA server is om met de AD te gebruiken om gebruikers te authentificeren.
Kortom je kunt een Security group in de AD creeren en deze group gebruiken in een ALLOW RULE om mensen internet toegang via de proxy te verschaffen.
Het mooie hiervan is dat we in een Native 2000 omgeving zitten en de Authenticatie op OS level wordt afgevangen en de gebruikers niet worden lastig gevallen met een Username Password vraag als ze willen gaan internetten.

Nu is het zo dat op zich binnen mijn bedrijf waar ik werk iedereen mag internetten op een aantal vaste publieke "internet p.c.'s" en een geselecteerde group vanaf de eigen werkplek.
Nu is het mogelijk in AD om p.c.'s ook toe te voegen in een Group.
Op deze manier zou ik maar 1 group met zowel users als p.c.'s bij te hoeven houden m.b.t. internet acces.

Echter op de een of andere manier werkt dit principe alleen met users en niet met p.c.'s ik verwacht dat dit te maken heeft met dat een p.c. geen username password gebruikt en derhalve ook geen credentials kan overleggen aan de ISA server.

Maar misschien heeft iemand anders hier een oplossing voor.
( ik heb het nu opgelost door 2 ALLOW RULES te maintainen, 1 m.b.v. IP adressen ( dit dus van de "internet p.c.'s" ) en 1 m.b.v. de security group uit de AD ( dit dus voor de indivuele users )

[Axel666]

Zoals je het nu gedaan hebt is het goed, je kan namelijk binnen 2000 geen rechten toekennen aan pcs. Gewoon 1 rule voor gebruikers en 1 client adres set met rule maken voor de pcs.

[Dromer]

Zit inderdaad niets anders op volgens mij om het zo te doen.
Is op zich een redelijke veilige oplossing, tenzij de gebruikers bij jullie zelf ip adressen veranderen.
Die publieke internet pc's wordt daar verder ook nog op gewerkt ?
Anders zou je die ook gewoon automatisch kunnen laten inloggen met een gebruikersnaam en wachtwoord.

[cyclone]

Op vrijdag 05 april 2002 14:21 schreef Dromer het volgende:
Zit inderdaad niets anders op volgens mij om het zo te doen.
Is op zich een redelijke veilige oplossing, tenzij de gebruikers bij jullie zelf ip adressen veranderen.
Die publieke internet pc's wordt daar verder ook nog op gewerkt ?
Anders zou je die ook gewoon automatisch kunnen laten inloggen met een gebruikersnaam en wachtwoord.

Mmmm jammer ..

Internet PC's zijn hebben ook a4 scanners e.d. en zijn soms ook tijdelijke werkplekken voor klanten e.d. die er maar een paar uurtjes zijn.
En i.v.m. logging van internet gebruik is het wel zo interresant om Juist mensen wel aan te laten melden

En de workstations in het algemeen zijn goed dichtgespijkerd de gewone user kan geen IP adressen wijzigen, proxy settings wijzigen .. eigenlijk kunnen ze helemaal nix alleen een achtergrondje wijzigen

[Axel666]

Nou dan maak je toch gewoon een paar "internet guest accounts" aan die alleen op die bakken aan mogen loggen, of als het niet nodig is dat gebruikers daar met hun eigen id aanloggen laat je die automatisch daar aanloggen. opties genoeg

Op vrijdag 05 april 2002 14:30 schreef CyCLoNe het volgende:

[..]

En de workstations in het algemeen zijn goed dichtgespijkerd de gewone user kan geen IP adressen wijzigen, proxy settings wijzigen .. eigenlijk kunnen ze helemaal nix alleen een achtergrondje wijzigen

Das natuurlijk een foute zaak, gebruikers die hun eigen achtergrond kunnen bepalen... spijker maar snel dicht zodat er alleen het bedrijfs logo als achtergrond staat.