Запрет подключения компьютеров, не подключенных к домену, к моей сети

Question

Запрет подключения компьютеров, не подключенных к домену, к моей сети

Как запретить любому компьютеру, не подключенному к домену, запрашивать какие-либо услуги из моей сети? Учитывая, что компьютер находится в другой сети.

0

domain network-protocols network-security content-security-policy

Источник

Alaa AlHafez 17 июл '18 в 08:32

2 ответа

Другие вопросы по тегам domain network-protocols network-security content-security-policy

Andreas Heinlein 17 июл '18 в 18:44 2018-07-17 18:44 · Answer 1 · 2018-07-17 18:44

Я думаю, что это невозможно на уровне TCP/IP. Вы можете обезопасить каждую отдельную службу, используя аутентификацию AD. Если служба не поддерживает это изначально, вы можете попробовать использовать прокси (например, SOCKS), который поддерживает. Другой подход был бы на более глубоком уровне с использованием аутентификации на основе портов 802.1x на коммутаторах. Это потребует от компьютера аутентификации, прежде чем коммутатор "откроет" порт. На машинах, не прошедших проверку подлинности, не будет сетевого подключения и доступа к Интернету. Должна быть возможность использовать AD в качестве бэкенда для аутентификации. Вам также понадобятся коммутаторы, поддерживающие 802.1x

nutcase 17 июл '18 в 15:06 2018-07-17 15:06 · Answer 2 · 2018-07-17 15:06

Проблема заключается в том, что TCP/IP не определяет, откуда взяты пакеты домена AD. Насколько мне известно, на рынке нет брандмауэра, который бы облегчил создание правила, которое гласит: "разрешать трафик только из источников, которые являются членами домена AD MYCORP.COM". Брандмауэр должен иметь учетные данные в исходном домене и должен будет запрашивать AD для каждого нового IP-адреса - это будет мучительно медленно.

Что вы МОЖЕТЕ сделать, так это определить IP-адреса или подсети авторизованных пользователей, создать группу, содержащую этих пользователей, и создать правило, которое гласит: "разрешить компьютерам в этой группе доступ к моей сети". Это нетривиальная задача, если вы не знакомы с TCP/IP и брандмауэрами. Я думаю, что вы должны рассмотреть вопрос о найме консультанта.