Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

AD Win 2k3 Server - Kontoanmeldung in Relation zur momentanen IP,MAC-adresse,UUID machen.

Frage Microsoft Windows Userverwaltung

Mitglied: Peacer

Peacer (Level 1) - Jetzt verbinden

18.03.2010, aktualisiert 11:16 Uhr, 4574 Aufrufe, 9 Kommentare

Also ich habe hier eine Idee und ein damit verbundenes Problem:

Ich habe einen Win 2k3 Server mit AD, DHCP. Alle Clients im Netz sind natürlich NICHT im AD registriert.
Ich plane eine LAN bei der sich die Teilnehmerclients abhängig von Ihrer IP/MACadresse/UUID mit einem Konto anmelden das sich nur unter dieser IP/ MACadresse/UUID anmelden lässt - für die Dauer der LAN.
Gibts da Policyeinstellungen wo ich solche Prüfungen durchführen lassen kann bevor sich die Clients vollständig anmelden können?


Ich möchte eben die Zugriffe (FTP usw) sicherstellen und nachverfolgen können. Und ich will leicht manipulierbare komponenten wie MAC/IP ausschliessen, deshalb die UUID-Prüfung.

Ich hab leider noch keine Idee wie sich so etwas umsetzen ließe.

Wenn jemand eine andere Idee zur genannten Problematik hat wäre ich sehr dankbar.


greetz
Mitglied: Edi.Pfisterer
18.03.2010 um 11:27 Uhr
Hallo Lutz!
ullaaallaaaaaaa

Du schreibst, die Clienst sind NICHT im AD registriert. Wofür betreibst Du es dann?
Was meinst Du mit "für die Dauer der LAN"?
stehe ich auf der Leitung, oder sind das Tippfehler...?

Du könntest innerhalb der Gruppenrichtlinienverwaltung einzelne Rechner in eine OU zusammenfassen oder zu einer Gruppe hinzufügen...

Denkbar wäre auch ein VBScript, das nach dem Login überprüft, ob die UUID in einer Liste vorhaden ist und den User im NMgativfall wieder abmeldet...

wenn es nun aber darum geht, Webzugriffe zu Verfolgen, dann ist das ohnehin imho nicht der richtige Weg. Da hilft Dir dann ein ISA oder ähnliches wesentlich besser...

Falls ich irgendetwas grundlegend falsch verstanden habe: Sorry!

gutes gelingen
lg
Edi
Bitte warten ..
Mitglied: Peacer
18.03.2010 um 11:37 Uhr
Okok also bevor hier noch mehr Inhaltslöcher entstehen mit LAN meine ich ne "LAN-Party". I'm sry. Ich hätts gleich deutlicher ausdrücken müssen. LAN-Party, deswegen auch "für die Dauer der LAN(-Party)"


greetz
Bitte warten ..
Mitglied: Edi.Pfisterer
18.03.2010 um 11:52 Uhr
OK!
Jetzt kommt etwas Licht in die Sache...

dh, NICHT im AD ist korrekt...
Dann kannst Du aber die Idee mit
abhängig von Ihrer IP/MACadresse/UUID mit einem Konto anmelden
und
Grouppolicy
gleich vergessen! Wie soll sich jemand im AD anmelden, wenn der Client nicht Mitglied ist?
Woher sollen Deine Admin-Schreibrechte für die Registry der Clients kommen (auf die Du ja per GPO zugreifst), wenn sie nicht Mitglied im AD sind und Du folgedessen auch nicht deren Administrator?

Du brauchst ein völlig anderes Konzept.

Vorweg: was anderes als am Proxyserver die Quell- und Ziel-IP-Adressen zu Protokollieren wird nicht funktionieren...
(lasse mich aber gerne eines Besseren belehren...)

Was soll den herauskommen? Was sind Deine Mindestanforderungen an die Sicherheit deiner Lanparty?
Bitte warten ..
Mitglied: Peacer
18.03.2010 um 12:26 Uhr
Anmelden müssen sie sich ja... allein wenn sie zb. Datei zugriff haben wollen. Für diesen Zugriff muss ich ja min. 1 Konto erstellen, theoretisch könnten sich alle mit diesem Konto anmelden und hätten zugriff auf die Daten die für dieses Konto freigegeben sind (Patches, Programme usw.). Ich hatte aber die idee das nicht alle sich mit demselben Konto anmelden, sondern jeder sich mit seinem "eigenen" konto anmeldet.

Wenn ich jetzt allen sage sie sollen sich zum Beispiel mit dem folgenden kontonamen anmelden: Kontoname = [letztes Feld von der IP] + "@domain.local" zb. 100@domain.local, um ihre Dateizugriff und überhaupt "Zugriffe" evtl. Angriffe nachverfolgen zu können.

Ich will aber gleichzeitig verhindern das sich div. Teilnehmer sich einfach ne manuelle IP zuweisen bzw. wenn sie ne zweite Netzwerkkarte haben, plötzlich mit ner anderen MAC im Netz sind und somit nicht nachzuverfolgen sind.

Wenn ich jemanden kicken will dann will ich das er so lange nicht mehr mitmachen kann bis ich es sage/entscheide.
Deswegen brauch ich einen Wert der auf jedem Rechner vorhanden ist, evtl abrufbar ist und vielleicht auch in Verbindung mit anderen prüfbaren Variablen wie MAC/IP den Rechner im Netz eindeutig erkenntlich macht.



Ist vielleicht auch n falscher Ansatz.

zur info: ich benutze folgende Switches während der LAN: 5x 3COM Baseline Switch 2924-PWR Plus, sind managebar


Wenn ihr nen ganz anderen Ansatz habt, wenn es ohne AD lösbar ist bin ich für jeden Vorschlag dankbar.
Bitte warten ..
Mitglied: Edi.Pfisterer
18.03.2010 um 13:42 Uhr
Sorry, aber Dein Ansatz ist wirklich falsch!

wenn sich jemand mit 100@domain.local anmeldet, dann musst du
1.) diesen user im AD anlegen
2.) er meldet sich als USER und nicht als MACHINE an

es ist also mit diesem Ansatz nicht möglich, jemanden daran zu hindern, dass er seinen nachbar um dessen Kennung fragt und sich dann an seiner Maschine mit zb 10.0.0.10 als 10.0.0.234@domain.local anmeldet...

bin grad in Eile
später mehr....
Bitte warten ..
Mitglied: Peacer
18.03.2010 um 14:06 Uhr
hmm kk...

"Mehr" wäre echt super, danke

greetz
Bitte warten ..
Mitglied: Edi.Pfisterer
19.03.2010 um 09:34 Uhr
Hola compagnero!
zuallererst wäre interessant, wie Deine Umgebung aussieht...
wieviele Clients, welchen Proxy, betreibst Du ein Internetcafe oder ist das eine Aktion der Schülervertretung vor den grossen Ferien....

prinzipiell gilt (imho):
Falls das eine Einmalveranstaltung ist, dann sollte sich der Aufwand in Grenzen halten!

der einfachste Weg:
Das Lanparty-Netz ist von Deinem komplett abgeschottet!!!
Falls die Teilnehmer Games spielen, die keinen Internetzugriff brauchen, dann haust Du ihnen einen alten Switch hin, teilst eine Liste mit den IP-Adressen der User aus und fertig isses!
Wer zu unbegabt ist, sich selbst eine IP-Adresse einzutragen, wird sich schnell selbst Hilfe besorgen, glaube mir!!! (die wollen ja spielen...).
Falls jemand selbst keine Firewall installiert hat und sich so den Angriffen seiner Mitspieler aussetzt ist selber Schuld. Dein Netz bleibt aussen vor...

Falls die Internetzugang benötigen, gilt beinahe das selbe:
Du trennst die Netze und führst sie vor deinen Internetzugang wieder zusammen. Zuvor schottest du die Netze über eine Firewall (was Du verwendest weiss ich nicht) voneniander ab...

Alternativ dazu kannst du den Switch an einen (WLAN-)Router hängen, und von dem dann in dein Produktivnetz. Am Router schnell eingestellt, dass nur http funktioniert und gut isses. Achtung: Logs gibts in dieser Konfig keine.

Wenn Du Logs brauchst, dann hilft Dir nur ein ISA oder SQUID o.ä.
Das ist aber dann eher nichts für "ich mach das schnell zwischen Mittagessen und Nachmittagsjause..." und lohnt sich für einmalshows keinesfalls!

in diesem Sinne
je mehr Infos du für mich hast, desto detaillierter kann ich Dir sagen, was geht/nicht geht/nicht ökonomisch ist

lg
Edi
Bitte warten ..
Mitglied: Peacer
19.03.2010 um 11:12 Uhr
Ok, dann bauen wir mal vor deinen Augen die Netzstruktur auf. Vorab: ich veranstalte LAN-Parties sehr oft und kenne mich mit vielen dingen im Netzwerk aus. Jedoch eben langenicht mit allen.

So:

Es soll so aussehen. Kein Internet. Es wird eine Gamer-LAN.

Es wird einen zentralen Win 2k3 Server geben auf dem sollen Grundsätzlich folgende Dienste laufen: DNS, DHCP, Dateiserver

Mit AD regele ich Netz/Ordnerfreigaben.

Ich habe 5 x 24Port Gigabit Switche, managebar. ca. 100Mann sollen bei der LAN dabei sein.

Jeder Gamer soll Dateizugriff auf den Server haben. Ich regle das oft mit einem einzigen Konto, dem ich die passenden Zugriffsrechte zuteile und in der Policy Rechte wie: lokale Serveranmeldung usw. deaktiviere.

Jeder Gamer bekommt also automatisch eine IP zugewiesen. Jeder Gamer nutzte dasselbe Konto zur anmeldung. somit habe ich kaum eine Ahnung darüber wer was macht.

Es soll jetzt so sein: Wenn jemand austickt, cheatet oder sich sonst irgendwie unfair bzw. den AGB entgegen benimmt, wird erstmal gekickt, später gebannt.

Netzwerktechnisch wäre es sicherlich möglich ihm einfach den Port am Switch zu sperren, nur muss ich erstmal rausfinden welche IP er hat, an welchem Switch er sitzt. Steckt er sein Kabel einfach in einen anderen Port ein, könnte er theoretisch weiterzocken. Ich hätte es halt gern das ich unabhängig des Ports/Switches eine Sperre gegen den rechner "verhängen" kann.

So, differenziert genug? ;)
Bitte warten ..
Mitglied: Edi.Pfisterer
19.03.2010 um 12:04 Uhr
Hola!
Kein Internet -->
Ich möchte eben die Zugriffe (FTP usw) sicherstellen und nachverfolgen können.
kannst Du vergessen.

nur 1 USER: AD hat so überhaupt keine Sinn (sorry für die harten Worte). Es würde auch ein Server ohne AD mit DHCP und DNS reichen.

lokale Serveranmeldung usw. deaktiviere.
wofür das denn? Steht der Server am Gang?

Wenn jemand austickt, cheatet oder sich sonst irgendwie unfair bzw. den AGB entgegen benimmt, wird erstmal gekickt, später gebannt.

wie merkst Du das? hier muss Deine Lösung ansetzen...
Wenn es auf Layer8 (sprich: der Mensch) bemerkt wird, dann muss auch hier der Kick angesetzt werden.

Wie beim guten alten Poker: wer mit gezinkten Karten spielt, wird gefedert und geteert (und nicht an einer aufwändigen Lösung gebastelt, die das Zinken von Karten verhindert - Titan oder so

Was ginge (aber das hast Du schon selbst ausgeführt):
MAC am Switch (an allen Switches) sperren --> bringt aber wenig, weil er senie MAC umstellt
MAC am Server abfangen (zb via DHCP unbrauchbare IP per Reservierung zuweisen o. ä.) --> bringt aber wenig, weil er senie MAC umstellt
UUID am Switch --> geht nicht, weil Switch nur Layer2
UUID am Server + Script, das den Client herunterfährt (oder so ähnlich) --> ghet nicht, weil Dir die Schreibrechte am Client fehlen, um dort ein Script abzuarbeiten

eine Möglichkeit wäre, Du nimmst mein Script aus der Anleitung (hier) und legst für jeden User eine Kennung mit komplexem Passwort an.
Das Script errichtet Dir nebst dem Share "angabe" mit Leserechten (das wäre das, wo Du deine Games plazierst) auch eine csv-datei mit
Username --> 10stelligem hochkomplexem Passwort
Du scheidest nun von der Tabelle für jeden User eine Zeile mit Kennung und Passwort aus und teilst sie vor Spielbeginn aus.

wenn jemand cheatet sperrst Du den User im AD.

Eine andere Kennung zu "erraten" ist aufgrund der komplexen Passwörter nicht möglich. Falls jemand seine Kennung an den Cheater hergibt, dann hast Du wieder dein Layer8-Problem...

was ginge wäre 802.1x (denke ich zumindest), aber das können meine Switches hier nicht und daher kann ich Dir dazu auch nichts sagen...

Tut mir leid, dass ich Dir nicht weiterhelfen kann

lg
gutes gelingen
Edi
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(8)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
Windows Server
SBS2008 AD funktioniert nur im LAN mit bestimmter IP. wie ändern? (13)

Frage von tomeknfr zum Thema Windows Server ...

Windows Server
Win 2003 Server von außen nicht erreichbar (9)

Frage von Fighter89 zum Thema Windows Server ...

Windows Server
gelöst DNS server - Hrausfinden welche interne IP domains geöffnet hat (1)

Frage von aif-get zum Thema Windows Server ...

Heiß diskutierte Inhalte
Microsoft
Ordner mit LW-Buchstaben versehen und benennen (21)

Frage von Xaero1982 zum Thema Microsoft ...

Netzwerkmanagement
gelöst Anregungen, kleiner Betrieb, IT-Umgebung (18)

Frage von Unwichtig zum Thema Netzwerkmanagement ...

Windows Update
Treiberinstallation durch Windows Update läßt sich nicht verhindern (15)

Frage von liquidbase zum Thema Windows Update ...

DSL, VDSL
Problem mit variernder Internetgeschwindigkeit (12)

Frage von schaurian zum Thema DSL, VDSL ...