Gruppenrichtlinie zugriff auf IP sperren

[Frederik 10]

Hallo in die Runde,

 

hier eine Kurzbeschreibung zum Thema:

 

wir haben grade VPN für die Einwahl externer Dienstleister gegen das so genannte G/On getauscht.

 

Wir haben eine W2k3 Domäne mit fast 500 Clients und Servern.

RDP ist deaktiviert, so dass nur unsere Fernwartungssoftware benutzt werden kann.

 

Kein System verfügt über einen Internetzugang und eine anbindung an einen Proxy o.ä. Das System kann auch kein Internetzugang erhalten, da dies auf Grund von Sicherheitsrichtlinienen untersagt ist.

 

Wir haben ausschließlich Server der DL 360 und 380 G5 Serien von HP und ebenfalls ILO2 am laufen.

 

 

Nun zu meinem Anliegen:

 

Mit G/On habe ich es so realisiert, dass nur für einen Zeitraum x (von-bis) externe auf eine bestimmte Anzahl (je nach Freigabe) von Geräten Zugriff haben.

 

Um nun zu verhindern, dass externe sich einen Browser schnappen und auf ein ILO von einem anderen Server 'hoppen' würde ich gern diese IP´s /Hostnames bzw. die URL´s zum ILO per GPO sperren. Gibt es da eine möglichkeit oder ein Template?

 

Ich habe auch schon an die hosts gedacht, dass ich die Adressen dort eintrage und einfach ins nirvana laufen lasse. Da dies aber nicht die sauberste Lösung ist, hoffe ich, dass ihr mir helfen könnt ;).

 

Danke und Gruß

Frederik

[jose 10]

Sollten alle Clients im selben Segment sein (eher unwahscheinlich, wie ich denke), dann könntest du das Standardgateway löschen, um zu verhindern, dass sich Clients über die Grenzen deines Netzwerkes hinwegbewegen. :D

 

Sauberer wäre das einrichten von Access-Lists auf Routern, worüber du den Zugriff auf andere Netzwerke unterbinden kannst.

 

Ein probates Mittel per GPO fällt mir ad hoc nicht ein, aber womöglich haben noch andere gute Ideen. ;-)

[Frederik 10]

Hallo Jose,

 

danke für deine Antwort.

 

Leider kann ich weder das Gateway entfernen noch eine Access-List einrichten.

 

Das Netzwerk arbeitet über 7 verschiedenen VLANS welche über einen Layer3 Switch geroutet werden. Dieses benötigen wir leider da sonst die Kommunikation zwischen Sicherheitseinrichtungen und den Systemen nicht mehr gegeben ist. Ausserdem soll weiterhin die Möglichkeit bestehen über G/On auf die ILO´s zuzugreifen. Halt nur nicht von den Systemen im Netzwerk.

 

Trotzdem Danke!

 

Gruß

Frederik