ongewenst internet delen tegengaan

[Rene59]

Ik heb maar even een tekening gemaakt om het wat duidelijker te maken:



Voor zover ik weet is bovenstaande situatie mogelijk.
PC1, 2 en 3 kunnen en mogen internetten via de router.
Maar, PC3 heeft 2 netwerkkaarten en besluit zijn verbinding te gaan delen voor PC A, B en C.

Is er een manier om dit te blokkeren? Oftewel, hoe zorg ik ervoor dat alléén PC1, 2 en 3 op internet kunnen, en dus niet eventuele pc's 'achter' (A, B en C) die drie pc's.

[warp]

Gewoon de MAC adressen van die PC's blokken op je switch en/of je router.

[Osiris]

warp schreef op 04 maart 2004 @ 17:16:
Gewoon de MAC adressen van die PC's blokken op je switch en/of je router.

Als PC3 als router fungeert, krijg je de MAC-adressen van PC's A,B en C niet te zien hoor?

[Rene59]

Dus als ik alleen de mac adressen van PC1, 2 en 3 toegang geeft dan werkt dat?
Als PC3 zijn verbinding deelt, dan heeft de router toch niets te maken met de mac adressen van die andere pc's?
Werkt dat dan wel?

[Standeman]

uhmm.. klinkt misschien simpel, maar "internet delen" op PC3 uitzetten? (ergens in je netwerk properties van de kaart die naar je switch gaat)

[Rene59]

Het gebeurt ongewenst, oftewel stiekem (lees: PC3 is stout ). Ik zoek naar een oplossing om het in de router tegen te gaan.

[ Voor 11% gewijzigd door Rene59 op 04-03-2004 17:19 ]

[Osiris]

Dat lijkt mij niet kunnen.

Daarom verboden ISP's het vroeger ook. Als ze het zelf konden voorkomen, dan deden ze dat immers wel hè

[Verwijderd]

Als je iemand hebt op PC3 die weet wat-ie doet, is het niet tegen te gaan (behalve PC3 ook geen internet geven natuurlijk )

[reddog33hummer]

Dat kan niet zo maar op de router ingeteld. Met nat kan de router niet zien of het A/B/C is i.p.v. 3.

Wat wel kan is als je een domein hebt in de group pollicy instellen dat network sharing uit staat. Dan kan je met een windows bak niet meer windows sharing aan zetten.

[Nibbz]

heb je niet een functie op de router dat je kunt instellen wie wel en wie niet mogen internetten? Dat kan die van mij nl. wel (Belkin wireless router)

edit: dan bedoel ik dus dat je gewoon alle PC's aan de router hangt

[ Voor 20% gewijzigd door Nibbz op 04-03-2004 17:22 ]

[Sick Nick]

Heel simpel eigenlijk, gewoon zodra je vermoed dat het gebeurt sluit je pc3 ook gewoon af. Dan leren ze het maar 'the hard way'

[The Dolf]

Rene59 schreef op 04 maart 2004 @ 17:19:
Het gebeurt ongewenst, oftewel stiekem (lees: PC3 is stout ). Ik zoek naar een oplossing om het in de router tegen te gaan.

Je limiteerd de snelheid voor PC3 in je router zodat je geen last hebt als ze met z'n 4'en surfen.

Een tweede oplossing is PC3 netwerkkabeltje uit de router te trekken.

[mabarto]

Rene59 schreef op 04 maart 2004 @ 17:19:
Het gebeurt ongewenst, oftewel stiekem (lees: PC3 is stout ). Ik zoek naar een oplossing om het in de router tegen te gaan.

Jij bent systeembeheerder op een school en in een klaslokaal zitten een aantal IT studenten die een netwerkcomputer gebruiken om eigen pc's toegang tot internet te geven. Right? Ik ken dat soort tuig.

Oplossing? Proxy gebruiken dat alleen maar domeincomputers toelaat of gewoon telkens de tweede netwerkkaart eruit halen. Het leuke hiervan is dat je aardig wat netwerkkaarten kan verzamelen voor eigen gebruik ;-) of inderdaad gewoon PC3 eruit flikkeren.

[Verwijderd]

in deze setup horen PC A, B en C zo al zo geen internet te hebben.

"Het gebeurt ongewenst, oftewel stiekem (lees: PC3 is stout ). Ik zoek naar een oplossing om het in de router tegen te gaan"

Ff je PC3 goed instellen, geen "internet sharing" aan zetten en geen "proxy forwarding" draaien.

[Voutloos]

Verwijderd schreef op 04 maart 2004 @ 17:28:
in deze setup horen PC A, B en C zo al zo geen internet te hebben.

"Het gebeurt ongewenst, oftewel stiekem (lees: PC3 is stout ). Ik zoek naar een oplossing om het in de router tegen te gaan"

Ff je PC3 goed instellen, geen "internet sharing" aan zetten en geen "proxy forwarding" draaien.

TS heeft weinig controle over PC3 zelf.

Ik zou óf de eigenaar van PC3 laten weten wat jouw regels zijn en anders letterlijk de stekker eruit trekken, of zeggen dat je wegens overlast de snelheid gaat limiteren.

[Wok]

Wat bij mij ff snel in gedachten kwam:

Als je het netwerk nou enigszin verbouwt? Zie plaatje:


Zet PC3 ook aan de switch. Werk met vaste IP's voor PC 3, A, B en C. Blokkeer in de router de TCP-poorten voor het internet voor PC A, B, en C.

Misschien een optie? Dit is een snelle hersenscheet van me, dus als ik denkfout maak (of de situatie laat dit niet toe), wees dan mild voor me

Mijn idee hierachter is dat PC3 niet als gateway en/of DHCP-server fungeert voor A t/m C. De router moet de gateway zijn, waar internet toegang voor deze PC's is geblokkeerd.

[Osiris]

Wok schreef op 04 maart 2004 @ 17:37:
Wat bij mij ff snel in gedachten kwam:

Als je het netwerk nou enigszin verbouwt? Zie plaatje:
[afbeelding]

Zet PC3 ook aan de switch. Werk met vaste IP's voor PC 3, A, B en C. Blokkeer in de router de TCP-poorten voor het internet voor PC A, B, en C.

Misschien een optie? Dit is een snelle hersenscheet van me, dus als ik denkfout maak (of de situatie laat dit niet toe), wees dan mild voor me

Mijn idee hierachter is dat PC3 niet als gateway en/of DHCP-server fungeert voor A t/m C. De router moet de gateway zijn, waar internet toegang voor deze PC's is geblokkeerd.

PC's A, B en C zijn juist ongewenst. Dan ga je ze toch niet aan de switch hangen?

[Voutloos]

Wok, volgens mij staan PC3 en ABC bij iemand anders, dus TS zou het met dat schema niet kunnen controleren als tussen bijv A en 3 een kabel komt te lichten voor internet via 3.

edit:

Osiris heeft ook een goede invalshoek, alhoewel ik niet weet hoe erg TS het bestaan van A,B & C in het LAN vindt.

[ Voor 28% gewijzigd door Voutloos op 04-03-2004 17:40 ]

[AteZ]

Je kunt ook gewoon "Prohibit use of Internet connection sharing" en "prohibit installation and configuration of networkbridge" in je group policy aanzetten in je domein

[mabarto]

Wok schreef op 04 maart 2004 @ 17:37:
Wat bij mij ff snel in gedachten kwam:

Als je het netwerk nou enigszin verbouwt? Zie plaatje:
[afbeelding]

Zet PC3 ook aan de switch. Werk met vaste IP's voor PC 3, A, B en C. Blokkeer in de router de TCP-poorten voor het internet voor PC A, B, en C.

Misschien een optie? Dit is een snelle hersenscheet van me, dus als ik denkfout maak (of de situatie laat dit niet toe), wees dan mild voor me

Mijn idee hierachter is dat PC3 niet als gateway en/of DHCP-server fungeert voor A t/m C. De router moet de gateway zijn, waar internet toegang voor deze PC's is geblokkeerd.

PC A, B, C zijn dus neergezet zonder toestemming van TS.

[mabarto]

AteZ schreef op 04 maart 2004 @ 17:40:
Je kunt ook gewoon "Prohibit use of Internet connection sharing" en "prohibit installation and configuration of networkbridge" in je group policy aanzetten in je domein

Zou die tweede oplossing WinRoute ook blokkeren? (om maar een voorbeeld te noemen)

[Rene59]

Je moet het zo zien: ná de utp kabel naar PC3 heb ik geen controle meer over de situatie. PC A, B, en C (d, e, f, g, etc.) al helemaal niet dus (zijn willekeurig meegenomen laptops).

Maar het komt dus neer op enig 'social engineering' begrijp ik?

[ Voor 13% gewijzigd door Rene59 op 04-03-2004 17:41 ]

[AteZ]

ik weet niet of dit om een bedrijf gaat of een thuisnetwerkje
maar ik zou mensen zowiezo niet rechten geven om Winroute laten installeren.
een gebruiker is een gebruiker, een beheerder een beheerder

[Voutloos]

Rene59 schreef op 04 maart 2004 @ 17:41:
Je moet het zo zien: ná de utp kabel naar PC3 heb ik geen controle meer over de situatie. PC A, B, en C (d, e, f, g, etc.) al helemaal niet dus (zijn willekeurig meegenomen laptops).

Maar het komt dus neer op enig 'social engineering' begrijp ik?

Ja.

Anders laat je je buurman maar zijn eigen breedbandverbinding kopen hoor. Je bent niet verantwoordelijk voor hem.

[BCC]

Dat moet je toch aan de TCP/IP Header kunnen zien? (Kan ik mij ergens vaag herinneren van een college Netwerk protocollen..)

[Wok]

Dan kun je het op sociaal vlak op twee manieren spelen:
- Je maakt duidelijke afspraken met de gebruiker van 3 wat wel en niet is toegestaan. Overtreding van deze (wellicht op schrift stellen) regels leidt tot ontzegging van de faciliteiten.
- Je gebruikt een programma a la Netlimiter en knijpt de verbinding met 3 dusdanig dat het voor 3 niet werkaar is om meerdere PC's aan het lijntje te hangen.

Drastische oplossing: 3 resoluut afkoppelen. Zo heb ik mijn buurman duidelijk gemaakt dat hij iets aan zijn PC moest doen, omdat zijn PC de complete verbinding dichttrok met als gevolg dat niemand in ons netwerk meer kon inetten.

edit:

Hard- en softwarematige oplossingen zou ik anders niet weten buiten de aangedragen manieren

[ Voor 9% gewijzigd door Wok op 04-03-2004 17:55 ]

[Baziz]

Als je de switch nu direct aansluit op de router en als je nu in je router aangeeft welke MAC adressen wel naar buiten mogen (pc1, 2 en 3) en op pc 3 een share maakt waar pc A, B en C wel op mogen komen, dan moet het probleem toch zijn opgelost? Dan kunnen PC A, B en C wel op PC3 komen maar niet op Internet.

[Verwijderd]

Ik twijfel over welk MAC-adres in het TCP/IP packet komt te zitten, die van de zender (bv PC A) of die van PC 3 (wat de router is van PC A).

Misschiene en beetje off-topic maar als het MAC adres van PC A blijft staan in het TCP/IP packet dan is het te blokeren in de router.

[Lustucru]

Als pc3 zijn internetverkeer gaat delen krijg je dacht ik verkeer op niet standaard poortnummers? Dat moet dan toch te blokkeren zijn. Mijn zyxel biedt de mogelijkheid om verkeer op IP/TCP niveau te blokkeren afhankelijk van bestemming / poortnummer / protocol. Dan zou je dus door http verkeer naar pc3-ip op niet poortnr 80 te blokkeren al een aardig eind komen. Of is dit complete en utterly nonsense?

[Voutloos]

Niesje schreef op 04 maart 2004 @ 21:52:
Als pc3 zijn internetverkeer gaat delen krijg je dacht ik verkeer op niet standaard poortnummers? Dat moet dan toch te blokkeren zijn. Mijn zyxel biedt de mogelijkheid om verkeer op IP/TCP niveau te blokkeren afhankelijk van bestemming / poortnummer / protocol. Dan zou je dus door http verkeer naar pc3-ip op niet poortnr 80 te blokkeren al een aardig eind komen. Of is dit complete en utterly nonsense?

nonsense. Bij NAT/routering worden niet per difinitie de poorten verandert. (kan wel overigens, alleen dat zou degene van PC3 toch nooit zo regelen )

OlafvdSpek schreef op 04 maart 2004 @ 23:57:
Waarom mogen die A, B en C dan eigenlijk niet op internet en 3 wel?

Ik kan me best voorstellen dat als je zo aardig bent om je buurman (of zo) aan internet te helpen dat je het dan niet fijn vind als er allemaal random laptops aan gehangen worden die je bandbreedte gaan opslurpen.

[ Voor 23% gewijzigd door Voutloos op 05-03-2004 00:17 ]

[Olaf van der Spek]

Waarom mogen die A, B en C dan eigenlijk niet op internet en 3 wel?

[Lustucru]

Voutloos schreef op 04 maart 2004 @ 22:50:
[...]

nonsense. Bij NAT/routering worden niet per difinitie de poorten verandert. (kan wel overigens, alleen dat zou degene van PC3 toch nooit zo regelen )


[...]

Enlighten me please. Ik heb een router en die geeft aan een pc toegang tot het internet. Hoe kan die dan internet delen -en dus het retoerverkeer correct terugleiden- zonder dat ie poorten veranderd als ik maar een IP-adres toelaat op die desbetreffende verbinding?
M.a.w. hoe zou degene van pc3 het dan wel kunnen regelen zodat ik het niet merk?

[Olaf van der Spek]

Niesje schreef op 05 maart 2004 @ 01:19:
[...]

Enlighten me please. Ik heb een router en die geeft aan een pc toegang tot het internet. Hoe kan die dan internet delen -en dus het retoerverkeer correct terugleiden- zonder dat ie poorten veranderd als ik maar een IP-adres toelaat op die desbetreffende verbinding?
M.a.w. hoe zou degene van pc3 het dan wel kunnen regelen zodat ik het niet merk?

Als PC3 een vrije bronpoort kiest die in de router ook toevallig vrij is, dan hoeft de poort niet veranderd te worden.
En dit geldt eigenlijk per doel-IP adres. Dus tenzij twee PCs een connectie openen naar hetzelfde IP adres met dezelfde bron-poort, hoeven er geen poorten veranderd te worden.