[MSN messenger / NW6] Disable op user niveau

[TXC]

[disclaimer]Ik heb gezien dat er al veel topics over MSN messenger uitschakelen zijn, maar die lossen mijn probleem niet op[/disclaimer].

De directie hier wil graag MSN messenger uitschakelen voor alle gebruikers in het gebouw, behalve voor henzelf .

De organisatie hier bestaat uit meerdere divisies en ik, de systeembeheerder van een divisie, moet dit zien te realiseren. Wij maken gebruik van Netware 6 als netwerkbesturingssysteem. De internetverbinding komt hier binnen via een andere divisie (hoofdkantoor zeg maar). Daar staat een Novell bordermanager en de router.

Normaal gesproken zou gewoon de MSN messenger IP range op de router worden geblokkeerd, maar de directie hier wil dus nog wel kunnen messengen. Nu vraag ik mij af of je zoiets ook op gebruikersniveau op de bordermanager kan regelen. Een systeembeheerder van het hoofdkantoor zegt dat blokkeren alleen voor de gehele organisatie kan via de router, en ik weet te weinig over bordermanager om daaraan te twijfelen. Maar wellicht is hier een tweaker die beter weet

Een andere mogelijkheid is lokaal blokkeren. Maar ook hierbij een probleem. Gebruikers zijn lokaal Admin dus hebben alle rechten. Nu zijn het vooraal N00bs, maar als ik msnmsg.exe blokkeer (als niet-toegestane uitvoerbare) via de lokale policies zijn er denk nog wel een aantal die het gaan proberen via cmd.exe (en dat werkt). Ook kan ik dus niet het installeren afschermen gezien ze Admin zijn. Dit zou ik overigens eventueel wel kunnen veranderen in hoofdgebruiker als dat iets bijdraagt aan een oplossing.

Wie weet raad?

[m3gA]

http://www.updatexp.com/disable-messenger-msn.html

misschien dat dit werkt?

[ Voor 22% gewijzigd door m3gA op 08-11-2004 13:29 ]

[Verwijderd]

Je kunt niet in de router op gebruikersniveau blokkeren denk ik. Gewoon de bewuste port (ik weet niet welke) blokkeren voor een ip range zou denk ik wel kunnen. Je kunt mischien ook een port mappen (in het geval dat de directie uit 1 persoon bestaat ).
Mischien krijg je wel het probleem dat ze trillian gaan installeren, ik weet niet of dat met dezelfde port werkt of niet.

[ Voor 15% gewijzigd door Verwijderd op 08-11-2004 13:34 ]

[TXC]

m3gA schreef op 08 november 2004 @ 13:29:
http://www.updatexp.com/disable-messenger-msn.html

misschien dat dit werkt?

Dat is alleen om ervoor te zorgen dat het niet mee opstart. Als je het even reïnstalled werkt het al weer.

Verwijderd schreef op 08 november 2004 @ 13:31:
Je kunt niet in de router op gebruikersniveau blokkeren denk ik. Gewoon de bewuste port (ik weet niet welke) blokkeren voor een ip range zou denk ik wel kunnen.
Mischien krijg je wel het probleem dat ze trillian gaan installeren, ik weet niet of dat met dezelfde port werkt of niet.

In de router kun je niet op username blokkeren idd. Maar ik vroeg me af of dit niet kan met de Novell bordermanager.

[ Voor 85% gewijzigd door TXC op 08-11-2004 13:37 ]

[Verwijderd]

Volgens mij staat hier o.a. hoe je met bordermanager per ip kunt blokken.

[Verwijderd]

Blijkbaar heeft het blokken van port 1863 het gevolg dat messenger het niet meer doet, maar microsoft.com ook niet.

edit:
Oh nee, klopt ook niet. Dat is alleen bij een andere methode om msn te blokkeren. Welke methode dat is word er niet gezegd.

[ Voor 38% gewijzigd door Verwijderd op 08-11-2004 13:49 ]

[TXC]

Dat is een interessant artikel, dank je. Even nog over het blocken van die poort of microsoft.com. Hotmail moet wel werken, dus dat is in dit geval geen oplossing. Maar in een ander topic vond ik de dingen die geblokkeerd moeten worden om alleen messenger buiten te sluiten ([rml][ XP] MSN Messenger 6.1 Blokkeren[/rml]).

De oplossingen op die site zijn voor de gehele organisatie en de directie moet nog wel kunnen. Ik ben er nog niet achter of je dit per user nu wel of niet kunt blocken op de bordermanager.

De eerste oplossing op die link is op zich wel goed, het ip op 0.0.0.0 zetten, maar als je messenger dan even weer herinstalleert werkt het weer gewoon. Hij blockt het alleen bij het inloggen en niet de hele tijd natuurlijk, da's het nadeel van zo'n lokale oplossing.

[ Voor 43% gewijzigd door TXC op 08-11-2004 13:59 ]

[Verwijderd]

TXC schreef op 08 november 2004 @ 13:51:
Dat is een interessant artikel, dank je. Even nog over het blocken van die poort of microsoft.com. Hotmail moet wel werken, dus dat is in dit geval geen oplossing. Maar in een ander topic vond ik de dingen die geblokkeerd moeten worden om alleen messenger buiten te sluiten ([rml][ XP] MSN Messenger 6.1 Blokkeren[/rml]).

Het blokkeren van die port heeft geen invloed op hotmail.com of microsoft.com. Het heeft dan waarschijnlijk ook geen invloed op webmessenger, dus op msn kunnen ze dan nog steeds, alleen moeten ze dat nog wel ff weten dan.

[McMiGHtY]

Indien je hier een oplossing voor vind ben ik ook zeer geinteresseerd. Zit momenteel bij een klant van ons (ROC) die MSN gedeeltelijk disabled wil hebben (een aantal lokalen wel en bv een OLC weer niet, het Onderwijs, altjd makkelijk)

[Edwin van Cleef]

het probleem is ook dat wanneer je internet op kan dat je ook online msn kan gebruiken hoe wil je dat dan weer op gaan vangen?

[Abom]

Geen proxyserver? Dan zou je MSN dicht kunnen zetten en alleen toestaan door de proxy en de berechtiging op de proxyserver regelen.

[JoetjeF]

Ik heb helaas niet zoveel ervaring met BorderManager, maar kan je het niet met Access Rules afschermen?

De nieuwe versie van Border Manager (Secure Gateway) zou meer mogelijkheden hiervoor moeten hebben. Vandaar dat ik wel de klepel gehoord heb, maar misschien net de bel gemist heb

[WPN]

ik weet dat als je de IP range blokkeert dat je dan ook technet blokkeert, dat was bij mij op de zaak zo....

we hebben via gpedit.msc het starten van windows messenger uitgeschakelt, klopt dat je dan nog wel msn kan downen en installen, maar als het een policy in het bedrijf is dat je geen msn gebruikt moeten de gebruikers zich daar aan houden....

via proxyserver kan je bijhouden wie allemaal op msn zit, mits je proxy logged natuurlijk, zorg gewoon dat de default gateway een ip is dat niet doorkan naar internet.... dan worden de clients gedwongen om via de proxy te gaan...


[morele toer?] Wat is de rede achter het uitschakelen van msn voor de normale users, behalve voor de directie?
persoonlijk vind ik het nogal f*cked op dat ze iedereen indirect verbieden te msn'n maar dat zij dat wel gaan zitten doen....
Als ze dan willen messagen zet dan een internet msn op, eentje die niet over internet servers gaat en dus ook niet naar buiten kan/gaat [/morele toer?]


wat je misschien zou kunnen doen is zorgen dat alle clients gedwongen via de proxy gaan, en op de proxy msn proberen te blokkeren...
ik ken border manager niet maar misschien dat je aan het id van de directies gasten (of hun computer naam) een andere default gateway kan geven zodat zij wel internet op kunnen
[!] als zij wel direct kunnen internetten dan kunnen dus ook malicious dingen direct op internet [/!]

[ Voor 18% gewijzigd door WPN op 08-11-2004 23:12 ]

[zomertje]

Een policy gebruiken voor bepaalde groepen? Ik denk nogal in Active Directory stijl dan, ik dacht dat Netware ook zoiets had (MS heeft het daar toch vandaan?).

[TXC]

McMiGHtY schreef op 08 november 2004 @ 22:47:
Indien je hier een oplossing voor vind ben ik ook zeer geinteresseerd. Zit momenteel bij een klant van ons (ROC) die MSN gedeeltelijk disabled wil hebben (een aantal lokalen wel en bv een OLC weer niet, het Onderwijs, altjd makkelijk)

Hmm dit is ook voor een ROC, ze hebben toch niet stiekum jouw ook ingehuurd mag ik hopen ?

Tot dusver nog geen oplossing gevonden waar ik iets mee kan. Lokale policies die standaard in W2k zitten zijn erg makkelijk te omzijlen (bijvoorbeeld starten via cmd.exe).

Alle clients gaan op dit moment al gedwongen via de proxy (bordermanager). Ik ken bordermanager dus ook niet, en vraag me dus ook af of MSN blokkeren (met de poorten of Ip's) op userniveau kan met bordermanager. Dat zou namelijk de ideale oplossing zijn. De bordermanager staat dus buiten mijn beheer dus kan ik dit niet uitproberen (zie OP).

De enige oplossing die ik op dit moment kan bedenken is MSN voor iedereen op de bordermanager blokkeren (dat zal toch wel kunnen met bordermanager), en dan de directie buiten de proxy om laten internetten (met idd alle risico's van dien).

[ Voor 12% gewijzigd door TXC op 09-11-2004 13:02 ]

[McMiGHtY]

TXC schreef op 09 november 2004 @ 13:01:
[...]


Hmm dit is ook voor een ROC, ze hebben toch niet stiekum jouw ook ingehuurd mag ik hopen ?


* McMiGHtY zit in Zaandam..jij ook toevallig?


Tot dusver nog geen oplossing gevonden waar ik iets mee kan. Lokale policies die standaard in W2k zitten zijn erg makkelijk te omzijlen (bijvoorbeeld starten via cmd.exe).

Alle clients gaan op dit moment al gedwongen via de proxy (bordermanager). Ik ken bordermanager dus ook niet, en vraag me dus ook af of MSN blokkeren (met de poorten of Ip's) op userniveau kan met bordermanager. Dat zou namelijk de ideale oplossing zijn. De bordermanager staat dus buiten mijn beheer dus kan ik dit niet uitproberen (zie OP).

De enige oplossing die ik op dit moment kan bedenken is MSN voor iedereen op de bordermanager blokkeren (dat zal toch wel kunnen met bordermanager), en dan de directie buiten de proxy om laten internetten (met idd alle risico's van dien).

Bordermanager kan voorzover ik weet niet filteren op Application zoals bv ISA server wel kan. Je kan dus eigenlijk alleen maar bepaalde IP adressen blocken, wat dus weer inhoud dat iedereen msn niet meer kan gebruiken.

Vervolgens moeten ook alle Webmessenger geblocked worden, wat weer een boel extra werk oplevert om alle site's bij te houden en in te voeren.
Sucht

[Virtugon]

Kan bordermanager niet net zoals ISA MSN messenger blokkeren behalve voor bepaalde computers (ipv gebruikers), zeg maar dat je de block policy override voor de computers van de directie?

[Steven]

Of 2 proxy server gebruiken natuurlijk...

[P.B.]

Waarom doe je het niet met policys?

[McMiGHtY]

2 Proxy servers gebruiken? Betekend het volgende:

1. Hardware aanschaffen
2. OS (+licensiekosten)
3. Proxyservice (+licensiekosten)
4 . Tijd == geld

I don't get the point?

[TXC]

Duncan schreef op 10 november 2004 @ 21:35:
Waarom doe je het niet met policys?

Wat voor policies, local system policy's zijn makkelijk te omzeilen (heb je de OP en de andere posts wel gelezen?). Of bedoel je user extensible policies hoe wil je daar MSN messenger gebruik in beperken (laat staan webmessenger)

McMiGHtY schreef op 10 november 2004 @ 21:35:
2 Proxy servers gebruiken? Betekend het volgende:

1. Hardware aanschaffen
2. OS (+licensiekosten)
3. Proxyservice (+licensiekosten)
4 . Tijd == geld

I don't get the point?

Mee eens, dit vind ik ook niet zo'n geweldige oplossing. Gaat nogal wat tijd in zitten, en voor alleen de directie een extra proxy is natuurlijk min of meer overkill.

offtopic:
Ik zit by the way niet in zaandam maar in Friesland

[ Voor 47% gewijzigd door TXC op 11-11-2004 11:30 ]

[DGTL_Magician]

Tuurlijk kun je het prima met Bordermanager users afschermen. Alleen we regelen internettoegang voor de administratie gebruikers centraal. Jullie divisie afschermen betekend dus ook onze divisie afschermen.

[McMiGHtY]

collega's zo te zien

[Abom]

Ik heb toevallig deze week een Cisco PIX cursus. Bij een PIX kun je doormiddel van AAA (RADIUS/TACACS+) toegang van je interne netwerk naar buiten toelaten na authenticatie. Je krijgt dan een login venster, PIX verifieerd dit tegen de AAA server (die gekoppeld kan worden met bv AD) en bij een match krijgt de gebruiker toegang tot bv MSN. Misschien kan dit ook met bordermanager?

[ Voor 19% gewijzigd door Abom op 11-11-2004 17:48 ]

[Wimlem]

hoe zit het met webmessenger.. Daar al over nagedacht ?

Vind het trouwens raar dat gebruikers software mogen installeren op je netwerk...

[MoBi]

Het dicht zetten van de nieuwste msn 6.2 is moeilijk, zodra hij niet netjes naar buiten kan, gaat hij via poort 80 naar buiten (via de proxy). Webmessengers kan je wel via bordermanager blokken. Een manier voor het blokken van de messenger is het op een pc te testen en er mee werken en dan uit de logbestanden van bordermanager proxy server halen welk adres wordt gebruikt en dat blokken.

[Verwijderd]

Je kan met BorderManager 3.7 & 3.8 per user container de access rules aanpassen. (tenminste als je met groepen werkt...)

Dan kan je daarbij port 1863 blocken. Dat is het fijne van BorderManager

[DGTL_Magician]

Verwijderd schreef op 12 november 2004 @ 08:01:
Je kan met BorderManager 3.7 & 3.8 per user container de access rules aanpassen. (tenminste als je met groepen werkt...)

Dan kan je daarbij port 1863 blocken. Dat is het fijne van BorderManager

Jammer genoeg wordt poort 1863 al minimaal 2 of 3 versies niet meer gebruikt door MSN.