9
MAC Adressen Filter
Hallo ich bin neu hier und hoffe das mit geholfen werden kann.
Mein Problem betrifft hauptsächlich unsere "Internet-Domaine"
Diese ist wie folgt Konfiguriert:
Ein Win 2003 R2 Server der als DomainController, mit AD und DHCP funktioniert.
Und ein Win 2003 R2 Server auf dem WSUS 3.0, Symantec 10.0 und ISA 2006 laufen.
Der DHCP hat für jede zugelassene MAC adresse eine IP Reservierung.
Soweit läuft alles.
Jedoch gibt es noch eine Problematik deren ich einfach nicht Herr werde.
Sobald jemand seinem privaten Notebook, eine IPAdresse aus dem reservierten Bereich gibt (wie er die bekommt ist ja egal ob gehört, Zufall oder erscannt) ist er im Netzwerk.
Den Zugriff auf das Internet könnte ich noch unterbinden durch den ISA, sprich er muss sich an der Domaine anmelden und bekommt von daher keinen Zugriff zum Internet. Aber sämtliche andere Rechner im Netzt sind sogut wie ungeschützt. Die interne Firewall kann man nicht aktivieren weil dann der Symantec streikt ...
So nun zur konkreten Frage.
Gibt es die Möglichkeit zu erzwingen das alle PC im Netzwerk ihre IP über den DHCP beziehen, oder das IP-Adressen sperrt sobald die falsch MAC adresse dahinter ist?
(Mir ist klar das man auch MAC adressen fälschen kann, aber im Moment kann jeder 0815 user sein Notebook ins Netzbringen und das soll ich verhindern.
Mein Problem betrifft hauptsächlich unsere "Internet-Domaine"
Diese ist wie folgt Konfiguriert:
Ein Win 2003 R2 Server der als DomainController, mit AD und DHCP funktioniert.
Und ein Win 2003 R2 Server auf dem WSUS 3.0, Symantec 10.0 und ISA 2006 laufen.
Der DHCP hat für jede zugelassene MAC adresse eine IP Reservierung.
Soweit läuft alles.
Jedoch gibt es noch eine Problematik deren ich einfach nicht Herr werde.
Sobald jemand seinem privaten Notebook, eine IPAdresse aus dem reservierten Bereich gibt (wie er die bekommt ist ja egal ob gehört, Zufall oder erscannt) ist er im Netzwerk.
Den Zugriff auf das Internet könnte ich noch unterbinden durch den ISA, sprich er muss sich an der Domaine anmelden und bekommt von daher keinen Zugriff zum Internet. Aber sämtliche andere Rechner im Netzt sind sogut wie ungeschützt. Die interne Firewall kann man nicht aktivieren weil dann der Symantec streikt ...
So nun zur konkreten Frage.
Gibt es die Möglichkeit zu erzwingen das alle PC im Netzwerk ihre IP über den DHCP beziehen, oder das IP-Adressen sperrt sobald die falsch MAC adresse dahinter ist?
(Mir ist klar das man auch MAC adressen fälschen kann, aber im Moment kann jeder 0815 user sein Notebook ins Netzbringen und das soll ich verhindern.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 95055
Url: https://administrator.de/contentid/95055
Printed on: April 25, 2024 at 20:04 o'clock
9 Comments
Latest comment
Du hast dem DHCP die MAC-Adressen zugewiesen, das heißt du hast die MAC-Adressen-Filterung aktiv. Demnach kann sich aber nicht jeder x-beliebige einklinken in Netzwerk. Denn er dürfte keine IP bekommen, wenn die MAC nicht übereinstimmt.
Oder hast du die MAC-Adressen-Filterung gar nicht aktiviert ?
Oder hast du die MAC-Adressen-Filterung gar nicht aktiviert ?
Doch die Adress reservierung ist aktiv, also nur Bekannte MAC adressen bekommen eine IP bzw genau die IP zugewiesen die ich vorgegeben habe.
ABER
wenn jemand sich in das Netzwerk einklinkt, der seinem Notebook eine FESTE IP gegeben hat, welche im Adressbereich liegt, dann kann er auch alles machen was er will. Und das will ich bzw. muss ich verhindern.
ABER
wenn jemand sich in das Netzwerk einklinkt, der seinem Notebook eine FESTE IP gegeben hat, welche im Adressbereich liegt, dann kann er auch alles machen was er will. Und das will ich bzw. muss ich verhindern.
Hallo,
das Stichwort "MAC address filter" war schon ganz richtig, nur kann man das nicht auf dem DHCP-Server einzurichten (ein DHCP-Server teilt IP Adressen zu oder nicht zu, aber er kann KEINE FESTEN IP-ADRESSEN sperren).
Den Filter müsstest du auf dem Access-Point (WLAN) bzw. auf eurem Netzwerk-Switch einrichten.
mfg
Harald
das Stichwort "MAC address filter" war schon ganz richtig, nur kann man das nicht auf dem DHCP-Server einzurichten (ein DHCP-Server teilt IP Adressen zu oder nicht zu, aber er kann KEINE FESTEN IP-ADRESSEN sperren).
Den Filter müsstest du auf dem Access-Point (WLAN) bzw. auf eurem Netzwerk-Switch einrichten.
mfg
Harald
hm ok.. dat klingt jut ^^
also software bzw server seitige lösung gibt es nicht?
also software bzw server seitige lösung gibt es nicht?
Nicht mit den Bordmitteln des Windows Servers. Wenn Du zum Beispiel einen ISA-Server dazwischen setzt, dann schon ;)
und wie genau funktioniert das mit dem isa? ich meine ich habe AD aktiv.. sprich ins Internet kommt ein solcher user nicht. Da er sich an der domaine anmelden muss. Aber INTERN ist das netzt so gut wie ungeschützt. Und richtig schützen geht nicht wegen dem WSUS und dem Symantec...
Der ISA-Server ist ein Windows-basiertes Proxy- und Firewall-System. Du würdest also den ISA-Server (mit zwei Netzwerkkarten) zwischen den Server und den Rest des Netzwerkes setzen. Damit kann kein Verkehr zum Server gelangen, der nicht über den ISA fließt. Dann legst Du in den Firewall-Regeln des ISA fest, daß nur die von Dir vorgegebenen MAC-Adressen passieren dürfen.
Du kannst auch eine dritte Netzwerkarte einbauen und darüber Dein Internet laufen lassen. Dann kannst Du auch für den Internetzugriff noch mal sehr flexible Firewall-Regeln anlegen und kannst auch die Funktionalität des ISA als Proxyserver (zwischenspeichern von häufig genutzten Internetseiten) nutzen.
Von den renommierten Herstellen von Anti-Viren-Software gibt es übrigens auch Plugins für den ISA, so daß der Datenstrom aus dem Internet an zentraler Stelle geprüft wird.
Du kannst auch eine dritte Netzwerkarte einbauen und darüber Dein Internet laufen lassen. Dann kannst Du auch für den Internetzugriff noch mal sehr flexible Firewall-Regeln anlegen und kannst auch die Funktionalität des ISA als Proxyserver (zwischenspeichern von häufig genutzten Internetseiten) nutzen.
Von den renommierten Herstellen von Anti-Viren-Software gibt es übrigens auch Plugins für den ISA, so daß der Datenstrom aus dem Internet an zentraler Stelle geprüft wird.
Hey werde ich mal ausprobieren ..thx...
maybe to be continued ...
maybe closed...
maybe to be continued ...
maybe closed...
Moin,
was Du suchst ist eingentlich ein Switch mit 802.1X Unterstützung. (http://de.wikipedia.org/wiki/802.1x) )
Damit muss sich der Client am Switch authentifizieren, noch bevor das erste Paket verschickt wird.
lg,
Slainte
was Du suchst ist eingentlich ein Switch mit 802.1X Unterstützung. (http://de.wikipedia.org/wiki/802.1x) )
Damit muss sich der Client am Switch authentifizieren, noch bevor das erste Paket verschickt wird.
lg,
Slainte
