[win2k] Werkstation uitsluiten van internet

[Toink]

Beste allemaal,

Ik zit met een beetje een raar probleem maar van de andere kant is 't van de zotte dat ik een complex iets op moet gaan zetten voor een simpele actie:

De pa van m'n vriendin heeft 3 computers thuis. Een ervan (de internet-deler) heeft Win2k draaien en de andere 2 winXP. Die computers zijn van m'n vriendin en 1 van der broertje. Nou maakt der broertje een beetje een potje van z'n school door "het internet" en daarom zoek ik een hele eenvoudige oplossing waarmee ik aan de hand van de *naam* van het netwerkstation het internet kan blokkeren....

Omdat die pc's nogal regelmatig veranderen van hardware en ook vaak opnieuw geinstalleerd worden kan ik geen vaste ip's uitdelen [denk ik, toch?] die ik kan blokkeren [tenminste, ik dacht dat dat het er makkelijker op maakt]. Het probleem is ook dat zij zelf die pc's opnieuw installeren en ik kan niet altijd als telefonische helpdesk dienen om ze te helpen. Een ander bijkomend probleem is dat zodra de broer merkt dat het internet niet meer werk, dan pakt ie meteen de winXP cd en installeert ie z'n pc opnieuw.....

Dus concreet: Kan ik op de server op 1 of andere manier zorgen dat 1 netwerkstation GEEN internet heeft en de rest wel zonder dat de installatie van de werkstations aangepast hoeft te worden (en hoe/met welke software)?

Mijn dank!

[Equator]

simpelste oplossing: trek de netwerkkabel eruit.. Maar dat zoek je waarschijnlijk niet.

Als dat station altijd hetzelfde IP adres zou hebben, dan kan je hem blocken door een onbekende route terug te geven. Ik bedoel dat je op de server een route toevoegd naar het IP adres van het werkstation, via een onbekend ip adres.
stel het ip adres van die PC is: 192.168.1.10
dan type je op de server:

code:

route add 192.168.1.10 192.168.1.5 -p

het teurgkomende ip pakketje voor dat station zal dan proberen via 1.5 bij de destination te komen. Maar dat zal dus niet lukken.

-p is persistent route. (blijft na reboot)

[ Voor 0% gewijzigd door Equator op 13-11-2002 11:24 . Reden: uitleg -p erbij ]

[Arno]

Gewoon default gateway uit de IP configuratie slopen

[Reptile209]

Traag schreef op 13 november 2002 @ 11:25:
Gewoon default gateway uit de IP configuratie slopen

Dan pakte hij dus de XP install-CD en vult het, waarschijnlijk, weer opnieuw in. Waarmee deel je internet? Standaard Win2k functie, winroute, sygate, etc?

[Equator]

Dat was mijn eerste gedachten ook, maar de topicstarter zei:

Dus concreet: Kan ik op de server op 1 of andere manier zorgen dat 1 netwerkstation GEEN internet heeft en de rest wel zonder dat de installatie van de werkstations aangepast hoeft te worden (en hoe/met welke software)?

EN dat kan dat broertje misschien wel weer vinden..

[Arno]

Reptile209 schreef op 13 November 2002 @ 11:28:
Dan pakte hij dus de XP install-CD en vult het, waarschijnlijk, weer opnieuw in. Waarmee deel je internet? Standaard Win2k functie, winroute, sygate, etc?

Je zorg er op zijn minst voor dat je hem geen adminrechten geeft op die bak, d0h

[Toink]

Traag schreef op 13 November 2002 @ 11:29:
[...]

Je zorg er op zijn minst voor dat je hem geen adminrechten geeft op die bak, d0h

Tja.... formatteren kan natuurlijk altijd admin of geen admin. Ik gebruik trouwens standaard Win2k sharing, maar andere ideeen (mits reeel natuurlijk) zijn altijd welkom.

[Verwijderd]

kan je niet met een firewall zijn internet toegang blockeren?

wat je ook kan doen is 2 netwerken maken zeg maar..
dus 1 met internet+ file sharing en 1 met alleen file sharing.

alleen kan je dan niet van client 1 naar client 2.. maar wel van client naar server

[Equator]

Verwijderd schreef op 13 november 2002 @ 11:34:
kan je niet met een firewall zijn internet toegang blockeren?

Ja, dat kan, maar dan moet je zijn IP adres altijd weten.

[Verwijderd]

CyberJ schreef op 13 November 2002 @ 11:36:
[...]


Ja, dat kan, maar dan moet je zijn IP adres altijd weten.

stel dan een vast ip range in.. dus 2 beschikbare ip adressen voor de clients, client 1 heeft dan 1tje.. en krijgt de 2e toch altijd die andere/ en dus vaste ip.

maar 2 netwerken lijkt me makkelijker

[bazs2000]

Verwijderd schreef op 13 November 2002 @ 11:39:
maar 2 netwerken lijkt me makkelijker

Om één pc uit te sluiten van het internet.
Dat lijkt mij een beetje overkill en onnodig moeilijk. Nee, dan liever vaste IP-adressen en voor het IP-adres van de pc in kwestie een extra rule aanmaken in de firewall die ervoor zorgt dat al het uitgaande en inkomende verkeer wordt geblokkeerd. Het netwerk functioneerd wel maar het internet werkt niet meer.

Toink schreef op 13 november 2002 @ 10:58:
Dus concreet: Kan ik op de server op 1 of andere manier zorgen dat 1 netwerkstation GEEN internet heeft en de rest wel zonder dat de installatie van de werkstations aangepast hoeft te worden (en hoe/met welke software)?

Ik zweer bij de firewall van Symantec, deze kun je op alle fronten configureren en het blijft ten alle tijden overzichtelijk. Ook de logfiles die de firewall uitspuwt zien er overzichtelijk uit. Dus als ik je één tip mag geven dan raad ik jou aan om deze firewalle te nemen.

[Toink]

Kan ik niet op 1 of andere manier het Mac-adres van die netwerkkaart in die pc blocken ofzo?

[Equator]

Hmm.. invalid entry in je ARP tabel over dat MAC adres.. Hmm..Denk denk
arp -s <invalid IP adres> MAC Adres
Zou moeten kunnen

[Toink]

En... dat doe ik dan op de server neem ik aan?

[Verwijderd]

met linux iptables kun je een filter rule aanmaken op basis van mac address. Mocht je een technisch aangelegt broertje hebben, kun je 2 dingen doen:

1) alle mogelijke manieren gebruiken om hem te blocken (null-route, packetfilter rules, default gateway, etcetcetc)
2) op je (hopelijk manageable) switch een acl op zijn switch port plaatsen

[Toink]

ja... maar ik heb geen linux... (en al zou ik het hebben: ik heb er nog nooit mee gewerkt en dan is het nogal heel complex en abra-ca-dabra voor mij als beginner voor een functionaliteit die eigenlijk niet zo heel moeilijk zou moeten zijn....)

[Equator]

Toink schreef op 13 november 2002 @ 12:23:
En... dat doe ik dan op de server neem ik aan?

Yep..

[Koffie]

Move > NT
Knal een proxy neer ipv NAT, en laat de gebruikers authenticeren voordat ze kunnen inetten.

[Toink]

CyberJ: Bedankt! Ik ga dat eerst even proberen. Mocht 't niet lukken dan post ik hier wel weer...

[Fish]

Ehm je kan de proxy in winroute zo configureren dat je een password in moet kloppen om internet op te kunnen ..... en dan blokkeer je verder alle uitgaande NATshit naar poort 80

[Toink]

CyberJ, ik heb met ARP -s <invalid IP> macadres een entry gemaakt in de tabel. Nu staat deze netwerkkaart er 2x in. 1x met de valid en 1x met de invalid entry. Maar internet werkt nog steeds. Doe ik iets fout?

[Gianni Rombios]

Waarom heb je dit thuisnetwerkje enkel toch om allemaal te kunnen internetten zeker? Niet de kabel uit zijn pc trekken maar gewoon die netwerkkaart innemen tot zijn cijfers beter zijn, wat zullen we nu krijgen...

[Fish]

Nuke that pc !

[Toink]

Gianni, ik kan begrijpen dat dit je eerste reactie is en ik zou ook zeggen: Stekker eruit maar zo simpel ligt 't nu eenmaal niet. Het gaat er gewoon om dat de stekker er wel uit is... maar dat hij niet weet hoe ie er weer in moet, want daar is ie gewoon TE handig voor.... als je z'n netwerkkaart afneemt koopt ie zelf een andere etc etc etc

/Reactie op FISH: INDERDAAD , maar hoe?

[Gianni Rombios]

Sorry Toink niet aan gedacht...

[m0nk]

Kan de pa van je vriendin niet gewoon wat strenger optreden? is wel het makkelijkst! ipv zo'n hele omweg

[axis]

Je zet de server + hub/switch in de meterkast, meterkast op slot, en je haalt zijn stekkertje uit de hub tot zijn resultaten beter zijn...

[Toink]

Thanks voor de creatieve reacties maar het enige wat goed en veilig staat IS de server. Dat is net wat ik uitleg: Via de server wil ik dat oplossen.... iemand?

[Jorn]

Ok, ga ip's toewijzen op basis van het macadres van de netwerkkaart.
Hierna kun je zijn ip vast wel bouncen met een firewall.

sim-pel, dat nog niemand eerder hieropkwam heej

[Toink]

j_iscool schreef op 14 November 2002 @ 21:31:
Ok, ga ip's toewijzen op basis van het macadres van de netwerkkaart.
Hierna kun je zijn ip vast wel bouncen met een firewall.

sim-pel, dat nog niemand eerder hieropkwam heej

Klinkt sim-pel maar met welk pakket doe ik dat? Naar mijn weten kan dat niet in Win2k dus vandaar m'n vraag....

[Jorn]

Toink schreef op 15 november 2002 @ 11:47:
[...]


Klinkt sim-pel maar met welk pakket doe ik dat? Naar mijn weten kan dat niet in Win2k dus vandaar m'n vraag....

Welke versie van w2k gebruik je?
In w2k server kan het namelijk wel.
Winroute pro kan dit geloof ik ook makkelijk.

[Toink]

Win2k Advanced Server (ja het is werkelijk waanzin maar ik had geen gewone cd bij de hand ) Probleem is echter dat ik die CD al lang niet meer heb (want wat moet je nou met w2kas?) dus ik kan de optionele componenten niet meer installeren.

Dus dan denk ik dat ik uit moet gaan van WinRoute

[Toink]

Server opnieuw geinstalleerd met een clean win2k installatie. Het probleem met winroute is dat ik de gedeelde verbinding niet aan de praat krijg. Misschien gebrek aan kennis, misschien het feit dat Winroute binnen 3 minuten na opstarten crasht