Bekijken welke PC op netwerk

[dexter07051982]

Hallo,

ik wil graag weten wat ik kan doen om een netwerk zo te beveiligen zodat alleen de PC in het netwerk toegang hebben.

Op dit moment heb ik al wel voor de gebruikers die inloggen geblocked dat zij bij de netwerkinstellingen kunnen. maar via dos is nog wel het ip-adress en het ethernet-adress op te vragen. tevens is hier met een beetje moeite de proxy uit te halen.

ik wil graag weten hoe ik kan zien dat iemand met zijn laptop op het netwerk aanwezig is als diegene het ip-adress, ethernetadress, computernaam, en proxy van een bestaande pc overneemt en hiervan de netwerkkabel in zijn laptop steekt.

ik weet namelijk dat dit gebeurt maar ik kan het op afstand niet zien. en om nu de hele tijd langs alle computers te lopen is te lastig.

iemand een idee?

Alvast bedankt!

[axis]

heb je alle ip's statisch of niet? wat voor proxy, etc.. er zijn zooo veel mogelijkheden.. in de firewall bepaalde MAC addressen toestaan, users alleen op bepaalde machines laten inloggen en die users explicitiet in je proxy toegang geven tot internet, etc, etc..

wat heb je allemaal al geprobeerd?

[Verwijderd]

Je zou eens kunnen kijken of je switches 801.2x ondersteunen.

[Verwijderd]

Inderdaad radius authenticatie gebruiken op je switch(es) zoals jeroenr vermeld. Daarnaast kun je programma's zoals arpwatch gebruiken om te kijken of er nieuwe mac adressen op je netwerk geregistreed worden. Ook kun je zien of dat een bepaald IP adres aan een ander MAC adres gekoppeld word.

edit:


Je kan natuurlijk ook de bestaande machines zo dicht timmeren dat men niet meer bij de ip instellingen/mac adres/proxy gegevens kan

[ Voor 22% gewijzigd door Verwijderd op 10-10-2003 23:23 ]

[DGTL_Magician]

dexter07051982 schreef op 10 October 2003 @ 20:13:
Hallo,

ik wil graag weten wat ik kan doen om een netwerk zo te beveiligen zodat alleen de PC in het netwerk toegang hebben.

Op dit moment heb ik al wel voor de gebruikers die inloggen geblocked dat zij bij de netwerkinstellingen kunnen. maar via dos is nog wel het ip-adress en het ethernet-adress op te vragen. tevens is hier met een beetje moeite de proxy uit te halen.

ik wil graag weten hoe ik kan zien dat iemand met zijn laptop op het netwerk aanwezig is als diegene het ip-adress, ethernetadress, computernaam, en proxy van een bestaande pc overneemt en hiervan de netwerkkabel in zijn laptop steekt.

ik weet namelijk dat dit gebeurt maar ik kan het op afstand niet zien. en om nu de hele tijd langs alle computers te lopen is te lastig.

iemand een idee?

Alvast bedankt!

Wat voor netwerk heb je? Hubs, switches, welk merk? Met Cisco Switches kun je port secure uitvoeren. Hiermee kun je een MAC adres locken op 1 poortje. Als je deze instelt op 1 MAC adres en een PC gaat aan op dat poortje zal er nooit weer een andere PC op dat poortje in het netwerk komen, tenzij je natuurlijk port secure weer uitschakelt

[Gé Brander]

DGTL_Magician schreef op 11 October 2003 @ 09:49:
[...]


Wat voor netwerk heb je? Hubs, switches, welk merk? Met Cisco Switches kun je port secure uitvoeren. Hiermee kun je een MAC adres locken op 1 poortje. Als je deze instelt op 1 MAC adres en een PC gaat aan op dat poortje zal er nooit weer een andere PC op dat poortje in het netwerk komen, tenzij je natuurlijk port secure weer uitschakelt

En persoon X vraagt het MAC adres op met IPCONFIG /ALL, stelt op zijn laptop dat MAC adres in en kan via zijn laptop toch het netwerk op, via de kabel van die pc...

[dexter07051982]

c70070540 schreef op 11 October 2003 @ 09:51:
[...]

En persoon X vraagt het MAC adres op met IPCONFIG /ALL, stelt op zijn laptop dat MAC adres in en kan via zijn laptop toch het netwerk op, via de kabel van die pc...

Dit is dus precies het probleem. Ik heb namelijk al mijn switches gekoppeld aan een MAC-adress (oftewel zoals al in de eerste vraag stond een ethernetadres). en de ip's zijn statisch. tevens heb ik in windows (nt) al gezord dat men niet kan opvragen wat de proxi is. maar zoals men waarschijnlijk wel weet is deze altijd nog te achterhalen door netstat -a -n uit te voeren.

dus vandaar. wat kan ik dan nog doen om te zien of iemand dus deze gegevens heeft achterhaald en deze "kopieert" naar zijn laptop. en dan dus het kabeltje uit de betreffende pc in zijn laptop steekt? en gaat internetten, downlaoden.

ff vergeten te vragen. Welke bekende manieren (bijv software om de boel te verbergen) zijn er dan nog? Dan kan ik deze namelijk direct verwijderen als ze worden gedownlaod zodat dat niet meer werkt.

[ Voor 12% gewijzigd door dexter07051982 op 12-10-2003 11:55 . Reden: nieuw idee ]

[DGTL_Magician]

c70070540 schreef op 11 October 2003 @ 09:51:
[...]

En persoon X vraagt het MAC adres op met IPCONFIG /ALL, stelt op zijn laptop dat MAC adres in en kan via zijn laptop toch het netwerk op, via de kabel van die pc...

Mjah, je kan het natuurlijk altijd verder doorvoeren. Ik denk dat je dan andere problemen dan technische hebt.

[dexter07051982]

DGTL_Magician schreef op 12 October 2003 @ 12:07:
[...]

Mjah, je kan het natuurlijk altijd verder doorvoeren. Ik denk dat je dan andere problemen dan technische hebt.

Dat zal best maar wat valt daar aan te doen? Of de problemen nu technisch zijn of niet maakt mij niet zo veel uit. Als ik maar van de problemen af kom.

[jochemd]

dexter07051982 schreef op 12 oktober 2003 @ 12:31:

Dat zal best maar wat valt daar aan te doen?

IEEE 802.1x

[dexter07051982]

En hoe werkt dat dan?
kan op google alleen maar van die dingen vinden voor inbellen.

En als dat nu niet wordt ondersteund (kan ik zo snel niet vinden) wat dan? is er dan geen manier om te zien dat iemand een pc "overneemt" om het kortweg zo ff te noemen.

[Dennis]

Ik begrijp dat je Windows NT gebruikt, uit je startpost. Maar dan kun je toch nooit een andere computer lid laten worden van het domein? Of gaat het je niet zozeer om het domein maar om het netwerk an sich .

[axis]

wat voor proxy draai je? Proxy Server 2.0, ISA Server 3.0? Zoals ik in mijn post al aangaf, kun je dus het 'internetten' dichtspijkeren door gebruik je maken van user-authenticatie. En je staat alleen domain users toe, en je zorgt ervoor dat users alleen op hun werkstations in kunnen loggen.

[dexter07051982]

ddc schreef op 12 October 2003 @ 13:21:
Ik begrijp dat je Windows NT gebruikt, uit je startpost. Maar dan kun je toch nooit een andere computer lid laten worden van het domein? Of gaat het je niet zozeer om het domein maar om het netwerk an sich .

hoe bedoel je dat precies. want ik weet niet precies hoe ze internet aan de praat krijgen. als ze zich nu wel of niet in een domein aanmelden. Waarschijnlijk gebruiken ze gewoon de studenten werkgroep. Hierop moet normaal ook worden ingelogd namelijk

[Dennis]

Ok, maar als jij een domein maakt, en geen werkgroep, en je geeft op je proxy server (ik weet niet welke je gebruikt maar met de meeste is dit wel mogelijk) rechten aan alleen domain users dan kunnen ze in ieder geval niet meer internetten.

Dat is trouwens wat axis hierboven ook al zei.

[ Voor 10% gewijzigd door Dennis op 12-10-2003 17:29 ]

[jochemd]

dexter07051982 schreef op 12 October 2003 @ 13:10:
En hoe werkt dat dan?
kan op google alleen maar van die dingen vinden voor inbellen.

http://www.surfnet.nl/innovatie/wlan/802.1Xen.pdf

En als dat nu niet wordt ondersteund (kan ik zo snel niet vinden) wat dan?

Dan zal je iets op de applicatielaag moeten doen in plaats van op de netwerklaag.

[jochemd]

dexter07051982 schreef op 10 oktober 2003 @ 20:13:

ik wil graag weten hoe ik kan zien dat iemand met zijn laptop op het netwerk aanwezig is als diegene het ip-adress, ethernetadress, computernaam, en proxy van een bestaande pc overneemt en hiervan de netwerkkabel in zijn laptop steekt.

ik weet namelijk dat dit gebeurt maar ik kan het op afstand niet zien. en om nu de hele tijd langs alle computers te lopen is te lastig.

Ik vraag me af of je dit niet helemaal verkeerd aanpakt. Als mensen zoveel moeite willen doen om op het netwerk te komen, is dat dan niet omdat ze een legitieme behoefte hebben? En ben jij er niet om de ICT-behoeftes van de organisatie te faciliteren, in plaats van die behoefte de kop in te drukken?

Ben je niet beter af als je simpelweg een aantal netwerk outlets aanwijst die voor dit doel gebruikt mogen worden, of een bepaald Access Point zo configureerd dat men daarop kan inloggen en men volgens hun behoeftes en jouw regels het netwerk kan gebruiken? Je krijgt er gewoon een aantal werkplekken bij die je niet zelf hoeft te betalen en beheren. Wat wil je nog meer?

Verder, je hebt het over de "studenten werkgroep", dus neem ik aan dat jouw instelling is aangesloten bij SURFnet. Waarom haak je dan niet gewoon aan bij de 802.1x projecten waar SURFnet mee bezig is? Dan krijg je meteen alle mooie dingen zoals support van leveranciers en roaming bij andere instellingen voor niets mee.