Zamezeni pripojeni do site s DHCP serverem

[gammar]

Existuje nejake prakticke reseni, jak zamezit cizim zarizenim, aby se prihlasila do site s DHCP serverem? Jedna se o malou sit, asi 20 stanic, server Win 2008. Jde o to, aby si nikdo nemohl pripojit treba domaci notebook a neziskal IP. Jedna se sice o domenu a tento cizi notebook by v ni nemel ucet, ale myslim, ze IP by presto dostal.
Napadlo mne zatim, ze by se dali vytvorit rezervace na MAC adresy pro vsechna existujici zarizeni a pak excludovat cely zbyly range z DHCP, aby nemelo vlastne co pridelovat.
Existuje nejake elegantnejsi reseni?


//jan.svoboda - přesun z MS OS

[LiveBomb]

Co povolit na FW pristup k netu jen urcitym MAC adresam a zbytek blokovat -> mac adresa zarizeni nebude v listu tak ji firewall posle do pryc...

[gammar]

Ono nejde jen o to, aby se nedostali na internet, ale aby vubec nemohla byt jina zarizeni aktivni v lokalni siti.
Pokud jsou nastaveny politiky na domene, ze uzivatele nemohou nic instalovat, zakazana USB, tak by jim ale nic nebranilo prinest si svoje zarizeni jiz s cimkoli nainstalovanym a leccos si zkouset v siti.
Kdyztak mne opravte, jestli ted budu placat nesmysly.
Politika bude nastavena na stanice v domene a uzivatele, tim padem na prinesena zarizeni, ktera nebudou v domene se tato politika nevztahuje. Stanice dostane IP z DHCP a je v siti. Nebo muze zkouset nastavit statickou a klidne se muze trefit tak, ze udela duplicitni IP v siti, nebo to trefi i spravne. Ted je otazka, co vsechno muze. Neni clenem domeny, takze pres okolni pocitace by se do ni nemel dostat, pokud zde ale jeste existuji nejake skupiny, tak do tech asi ano.
Dale je otazka, zda bude mit pristup ke zdilenym prostredkum v domene, nebot uzivatel ma ucet v domene a pravdepodobne si pres net use muze s timto uctem sitove zdroje namapovat. I kdyz to je take otazka, protoze se bude snazit pouzit sice domenovy ucet, ale na stanici, ktera neni v domene. To jsem nezkousel.
Kdyby treba existoval software, jehoz klientska cast musi byt nainstalovana na kazde stanici v siti, aby byla duveryhodna. Pokud dojde o pripojeni cizi stanice a vyzada si IP, tak bude odmitnuta a hned prijde spravci zprava o cizim zarizeni.
Mozna resim blbost, treba mi jen chybi zasadni informace, ze stanice, ktera nebyla prihlasena do domeny, nedostane vubec platnou IP a i kdyz bude mit spravne nastavenou statickou, tak si v siti domeny ani neskrtne.
Kdyby zde nekdo vedel, jak na to, staci mi i pripadne odkazy, kde nacerpat info.

Diky.

[petr_]

dělá se to pomocí radiusu a switche s 802.1x. Na win 2008 lze ověřovat pomocí NPS, doménovým účtem včetmě skupinových politik. Funguje to tak, že port na switchi je v podstatě vypnutý, dokud nedojde k autentifikaci (třeba proti doméně).