如何限制部分使用者無法上網？

[casperyang]

公司架的DHCP SERVER是Winnt 4.0的
我在DHCP伺服器的功能頁內找不到milwater兄所提到的"用戶端保留區"
不知4.0的無此限制功能ㄋㄟ？

[ahome]

請問有沒有辦法防治上級對我這樣做？上有政策下有對策咩

[gerrybbs]

最初由 ahome
請問有沒有辦法防治上級對我這樣做？上有政策下有對策咩

我文章已討論到部分,client網卡先設為自動取得IP,向server 抓一組可上網IP後,winipcfg 抄下 所取得的 ip address,dns,gateway等數據,然後將其釋放,將網卡改為固定IP,將剛數據填入,reboot 後就可試了,建議用 ipscan 類型工具,掃出目前哪些IP在用及猜出dhcp配發IP的範圍,有些管理員會將一個c class 劃部分區為保留區,將IP設在保留區或後端位址,較不易衝突(視上線數及IP範圍而定).
建議網管架設防火牆較易防堵

[milwater]

最初由 casperyang
公司架的DHCP SERVER是Winnt 4.0的
我在DHCP伺服器的功能頁內找不到milwater兄所提到的"用戶端保留區"
不知4.0的無此限制功能ㄋㄟ？

...很遺憾, NT4內建並無Support這樣的功能,
(..所以"它"要停了~)
不過倒是可以找3rd-Party, 例如這兒
　
至於客戶端想要跳脫被束縳的窘境.. 戲法人人會變, 只是巧妙各有不同.
在網路世界, 安全性是沒有絕對的.
我只能說可行, 無論是從"技術面", 或是"人情面", 都是下手的方法
最根本的方法就是將網路技術多看多瞭多實驗,
多玩玩兒就會了~

[casperyang]

最初由 milwater

p.s:
以下For CasperYang:
以Win2K Server為例, 先打開DHCP;
　
在主控台樹狀目錄中按一下 [保留區]。
位置:　
　DHCP
　-適用的 DHCP 伺服器
　--適用的超級領域 (如果使用的話)
　---適用的領域
　----保留區
在 [執行] 功能表上按一下 [新增保留區]。
在 [新增保留區] 中，鍵入所需的資訊，以完成用戶端保留區的設定。
　
祝順利~　　　　　　　　　

想請問一下此作法是否以MAC為限制可否上網？
不知是否有作法可以by user去做限制的阿？
也就是使用者A不管他到哪台電腦登入不能上網就是不能上
可以做到這樣嗎？

[C.H.P]

1.笨方法是切 VLAN ( 有 IP/Block/MAC )
例：A,B,C,Router A&B&Router / C&B&A 那 C 就不能上網了

2.用登入去區分使用者可否上網
例：Windows 2000 VPN ，沒有通過驗証的使用者是不能上網的！
< 使用者用 DNU 做登入動作 >
( 其實由硬體上著手可能比較快吧 )

[milwater]

最初由 C.H.P
1.笨方法是切 VLAN ( 有 IP/Block/MAC )
例：A,B,C,Router A&B&Router / C&B&A 那 C 就不能上網了

2.用登入去區分使用者可否上網
例：Windows 2000 VPN ，沒有通過驗証的使用者是不能上網的！
< 使用者用 DNU 做登入動作 >
( 其實由硬體上著手可能比較快吧 )

　
Mmm.. 有個觀念交流一下,
即便CHP兄所言以"VPN"的方式, 會有兩個結果.
一個是PC原本沒有IP, 藉由VPN的方式取得IP, 如此的話連內部資源也無法使用了,
似乎非我們討論的目標;
另一個是PC本身已有了IP, 如此雖沒有連到VPN, 然還是可以上網的,
其防堵的只是"不得存取內部資源"而已.
　
就我目前所看所聞, 似乎還沒有一套OS可以依"使用者"來做網路的防堵的.
就目前設計得最完善的Windows2000(雖然M$很爛..) Server而言,
內建有"群組化原則"與"設定檔漫遊"功能,
但對於網路的應用與DHCP的發給,
似乎還沒有做到那樣地人性化, 還是得由MAC作判定...
　
(p.s:"DNU"是啥?)

[conankun]

裝ISA server也可以管制

[juoda]

我的作法如下，提供給大家作參考，如有更好的方法請告訴小弟，謝謝。

NT4.0 Server架設DHCP、WINS
IP範圍192.168.1.30 ~ 192.168.1.253
192.168.1.2 ~ 192.168.1.29留給固定IP使用

1、要上網的電腦IP設固定的(上司及自已)
2、不上網的電腦IP由DHCP取得
上網是透過Proxy Server，所以在Proxy Server安裝zone alerm pro軟體(Firewall)，
並設192.168.1.2 ~ 192.168.1.29可開放上網。
如此一來，其他由DHCP取得的IP就會被過濾掉，無法上網。
只要他的權限不是Administrator就不能改IP或其他設定值。

(但這樣有一個缺點，就是連內部的WEB也無法連線，不知是否有人可以解決這樣的問題?

[C.H.P]

Qp.s:"DNU"是啥?)
-------------------------------------
A:打錯了，是DUN 撥號網路啦！
-------------------------------------
Q:另一個是PC本身已有了IP, 如此雖沒有連到VPN, 然還是可以上網的,
其防堵的只是"不得存取內部資源"而已.
-------------------------------------
A: Router ---- Windows 2000 ------LAN
PC本身已有了IP，但要上網的話需要 Windows 2000 作中介，所以
LAN 正常運作，要上網就需要驗証進入 VPN 中啦！

所以用 VLAN 最實際啦！不用想的太複雜！