DHCP Server

[rakli 13]

Wie kann ich verhindern, das jemand sein Notebook von Zuhause mitbringt und

eine Adresse von DHCP bezieht und sich damit in Netz bewegt.

Kann der DHCP unter 2K3 ein Anmeldung ?

 

Gruss

Rakli

[mawihst 10]

Wie kann ich verhindern, das jemand sein Notebook von Zuhause mitbringt ?

Schliess die Tür zu ;)

 

Hallo!

Jetzt im Ernst, was meinst du genau mit

 

Kann der DHCP unter 2K3 ein Anmeldung

[rakli 13]

Ich habe auf meinem Windows 2003 einen DHCP laufen.

Nun bringen Leute ihre Notebooks von Zuhause mit, stöpseln

sie in eine Natzdose ein und surfen fleissig in Internet und

greifen auf meine Server zu.

 

Ich will mein Netz für alle fremden Notebooks sperren,

so das sie keine IP Adresse vom DHCP bekommen.

 

Gruss

Rakli

[mawihst 10]

Ich habe auf meinem Windows 2003 einen DHCP laufen.

Nun bringen Leute ihre Notebooks von Zuhause mit, stöpseln

sie in eine Natzdose ein und surfen fleissig in Internet und

greifen auf meine Server zu.

 

Ich will mein Netz für alle fremden Notebooks sperren,

so das sie keine IP Adresse vom DHCP bekommen.

 

Gruss

Rakli

 

Nun, mein schließ die Tür zu war gar nicht so schlecht-legt eine Firmenrichtlinie Fest die das mitbringen bzw.anstöpseln gesondert regelt

dann kannst du reservierungen im dhcp verwenden

wenn du es noch weiter treiben willst mach IPsec

sonst fällt mir so auf schlag auch nichts ein

 

Edit: was meinst du mit-die greifen eifrig auf meine Server zu? Gibt es Gruppenrichtlinien, AD?

[adowoMAC 10]

Also ich bin nich so der Profi, meiner Meinung nach ist es aber möglich, dem DHCP Server zu sagen, dass nur "bekannte" MAC-Adressen in dein Netz dürfen und eine IP bekommen. Du müsstest dann hierzu eben eine entsprechende Tabelle pflegen wo die MACs drinstehen.

 

Guckst du hier: http://www.wintotal.de/Artikel/w2003server5/w2003server5.php

[firefox80 10]

wenn sie auf deinen server zugreifen können, würde ich die freigabeberechtigungen mal überprüfen und gegebenenfalls umkonfigurieren.

[rakli 13]

Die Idee von hkahmann geht gut, per GetMac die mac Adressen aller PC auslesen und

im DHCP per Reservierungen den PCs zuweisen.

Ist aber eine schweinische Arbeit alle mac Adressen einzutragen und wenn irgendwo eine Netzkarte gewechselt wird, dann wieder ...

 

Ich denke die ipsec Lösung mit ipsec und Zertifkaten würde da besser gehen.

Hat jemand da einen link ?

[mawihst 10]

Die Idee von hkahmann geht gut, per GetMac die mac Adressen aller PC auslesen und

im DHCP per Reservierungen den PCs zuweisen.

Ist aber eine schweinische Arbeit alle mac Adressen einzutragen und wenn irgendwo eine Netzkarte gewechselt wird, dann wieder ...

 

Ich denke die ipsec Lösung mit ipsec und Zertifkaten würde da besser gehen.

Hat jemand da einen link ?

 

schau mal hier http://support.microsoft.com/default.aspx?scid=kb;de;265112

[tikki 10]

Also wenn auch nur einer der Nutzer ein wenig Plan hat, dann bringt das mit dem DHCP-Server so gar nix. Der hat sich dann nämlich schon längst das Netz gemerkt und wenn er dann keine IP vom DHCP-Server bekommt wird er sich eine feste selbst vergeben und schauen ob die frei ist. Wird dann auch nicht lange dauern, bis die anderen auch die nötigen Werte kennen...

 

Ich würde da auch eher mal schauen, dass die Berechtigungen stimmen, dann können die Leute zumindest nicht mehr auf den Server. Das surfen im Internet ist eventuell schwerer zu verbieten, das kommt drauf an wie Du ins Internet gehst. Hast Du einen Router / eine Firewall? Gibt es dort Möglichkeiten den Zugriff aufs Internet zu verhindern?

[mr.toby 11]

sperr halt die mac adressen im dhcp! ;)

[Weihnachtsmann 10]

Informier dich mal über 802.1x damit kannst du schon auf Netzwerkebene den Zugriff auf dein Netzwerkkontrollieren. Desweiteren gibt es verschiedene Möglichkeiten mit den Switches da die User einzuschrenken hängt halt von dem Netzwerk ab was du im Einsatz hast.

 

Gruß

Weihnachtsmann

[giffy 10]

Bin gerade dabei 70-298 test abzulegen

Wenn ich es richtig verstanden habe sollte man zwischen technischer realisierung sprich verwehren des DHCP zugriffs und Sicherheitspolitischen Aspekten unterscheiden.

Ich denke du hast ein Sicherheitsproblem.

Ist denn von der Geschäftsführung das Mitbringen von privaten rechnern erlaubt /verboten.

 

Sonst solltest du darauf dringen das die Geschäftsführung das Mitbringen von Notebooks untersagt. Und zwar schriftlich an alle Mitarbeiter.

Weist du was diese Mitarbeiter für Spyware Trojaner usw auf Ihrem Blech haben?

 

Dann solltest du das physische Netz auf sicherheit härten.

Warum sind die Netzdosen, die nicht mit Rechnern aus dem Unternehemn verbunden sind gepatched.

Macht zwar mehr Arbeit wenn einer der Kollegen umzieht (wann zieht mal nicht eine Abteilung um ??). Somit hat dann auch keiner Zugriff.

 

Du siehst, dass es nicht nur mit technischer Umsetzung zu tun hat

[FrankMK 10]

HI,

 

nur über proxy ins Internet, Authentifizierung am proxy per Windows-Domänen-Account, Verbindung im Netz nur über IPSEC, beim switch die ports so einstellen, das unbekannte Mac's nicht weitergeleitet werden.

 

Dann kann anstöpseln wer will - kaum eine chance irgendwas zu machen. Ist nur etwas Arbeit am Anfang

 

Gruß

 

Frank

[lefg 276]

Wie kann ich verhindern, das jemand sein Notebook von Zuhause mitbringt und eine Adresse von DHCP bezieht und sich damit in Netz bewegt. Kann der DHCP unter 2K3 ein Anmeldung ?

Hallo,

 

streng auf die Frage bezogen: Eine Anmeldung am DHCP ist nicht möglich.

 

Zum Verhindern des Beziehens einer IP vom DHCP gibt es die Möglichkeit der MAC-Reservierung.

 

Zum Verhindern des Zuganges eines fremden Rechners zum physikalische Netz, wird ein geeignetes Netzwerkgerät(konfigurierbarer Switch) benötigt.

 

Die Erfahrung im Bereich Sicherheit lehrt: Jede technische Sperre hat irgendwo einen Schwachpunkt. Je komplizierter eine Sperre. desto mehr Schwachpunkte sind möglich. Das Erkennen ist natürlich meist der einfachen Reinigungskraft nicht möglich. Aber schon ein Pförtner kann absichtlich oder unabsichtlich ein Sicherheitssystem aushebeln, die Fälle sind Legion.

 

Sicherheit beginnt beim Menschen, dann kommt die Organisation, ergänzt wird das technisch.

[xcode-tobi 10]

Schon mal an eine Hardware-Sicherung gedacht? Cisco-router/switche können z.b. mit einer Port-Security die einzelnen Ports sichern. D.h. der erste Rechner am Port kann "durch" alle weiteren Rechner/MAC-Adressen werden geblockt! klar, das man hier immer noch mit einem privaten rein könnte, wenn man der erste ist... aber ich denke, das lässte sich ja irgendwie unterbinden, beispielsweise mit einer entsprechenden belehrung/verbot für die mitarbeiter...