Suche Router der den Internetzugang beschränken kann

[snake99 13]

Hallo zusammen,

 

ich bin auf der Suche nach einen Router, der den Internetzugang gruppenbasiert steuern kann.

 

Das heißt, der Router soll eine gewisse Gruppe von Usern diverse Internetseiten nicht anzeigen, während eine andere Gruppe vollen Access haben soll.

 

Derzeitig ist ein reines Windows Netzwerk mit einem ISA Server installiert, jedoch sollen die PC's nach und nach von Apple Macs abgelöst werden.

 

Kennt jemand einen Router, mit dem man den Internetaccess á la ISA Server steuern kann?

[Dukel 436]

Wieso macht das nicht der ISA? Du wirst dazu einen Proxy benötigen.

[snake99 13]

Weil Macs nicht mit einem ISA Server und Gruppenrichtlinien arbeitet ;)

[Bkolbe 10]

schau dir mal als Router den Hersteller Fortinet an. Die Produktreihe FortiGate kann zwar erheblich mehr, seit Version 4 ist auch ein Proxy mit dabei.

 

http://www.fortinet.de/

[zahni 521]

Weil Macs nicht mit einem ISA Server und Gruppenrichtlinien arbeitet ;)

 

Warum sollte der ISA Proxy-Zugriffe vom MAC nicht filtern ?

 

-Zahni

[snake99 13]

Bisher werden die "Proxy" Konfigurationen via GPO verteilt und der Access zur Änderung der Einstellungen im IE ist gesperrt.

 

Auf dem Mac kann man es nicht sperren, dass die Einstellungen änderbar sind. Der ein oder andere schlaue User könnte dann Full Access bekommen, wenn er die IP des Internetgateways einträgt. Das will ich verhindern.

[Stephan Betken 43]

Bisher werden die "Proxy" Konfigurationen via GPO verteilt ...

Warum nicht mit WPAD? Kann der MAC doch eigentlich auch.

Auf dem Mac kann man es nicht sperren, dass die Einstellungen änderbar sind. Der ein oder andere schlaue User könnte dann Full Access bekommen, wenn er die IP des Internetgateways einträgt. Das will ich verhindern.

Der ISA-Server sollte doch eigentlich Gateway und Proxy sein.

[snake99 13]

Ja, der ISA ist auch Gateway plus Proxy. Wenn jedoch nicht Port 8080 im IE hinter legt ist, routet der Server ungefiltert zum Router durch ...

 

Was ist denn WPAD?

[Stephan Betken 43]

Web Proxy Autodiscovery Protocol ? Wikipedia

Automatic Discovery for Firewall and Web Proxy Clients

 

Beim ISA würde ich aber noch den Zugriff einschränken.

[snake99 13]

Du meinst, ich hinterlege auf dem Mac den ISA als Proxy und jedes mal wenn der User Internetaccess haben will kommt ein Authentifizierungsfenster wo Username und Passwort einzutragen sind?

[Dukel 436]

Man kann auch einen Transparenten Proxy einrichten, bei dem alter Internet verkehr nach Port 80 auf den ISA mit dem entsprechenden Port umgeleitet wird.

[Stephan Betken 43]

Du meinst, ich hinterlege auf dem Mac den ISA als Proxy und jedes mal wenn der User Internetaccess haben will kommt ein Authentifizierungsfenster wo Username und Passwort einzutragen sind?

Nein, wenn die MACs in der Domäne sind, dann sollte es auch ohne zusätzliche Authentifizierung funktionieren (vor OS 10.5.3 kann es wohl schon mal Probleme geben). Am Besten, du nutzt Firefox.

 

Ansonsten gibt es natürlich noch die Möglichkeit, die Authentifizierungsinformationen zu speichern oder Tools wie authoxy.

[Marcel85 10]

vieleicht wäre eine Astaro mit Webfilger interessant für dich....

[Dukel 436]

vieleicht wäre eine Astaro mit Webfilger interessant für dich....

 

Wozu? Wenn er schon einen ISA hat und der das machen kann, was er benötigt sollte das reichen.

[Beeboop 10]

Hallo,

wie ist denn dein Netz aufgebaut:

 

1. Clients <=> ISA <=> Router

Wobei die Clients und der ISA mit einem "Bein" in einem anderen Netz als der Router stehen?

 

Oder

 

2. Clients <=> ISA <=> Router

Alle stehen im gleichen Netz?

 

Bei Variante 1 sollte es auf dem ISA doch möglich sein; da ich den ISA so nicht kenne, ich gehe von der Annahme aus, das der ISA-Server eine Firewall ist; jeden http-Traffic zu unterbinden, der nicht auf dem Proxy-Port ankommt.

 

Somit können die Clients nicht anders surfenn als über den im IE eingetragenen Proxy-Port.

 

Wenn dein Netz aber aus Variante 2 besteht, wovon ich ausgehe, dann wird es schwer.

 

Du hast selbst gesagt, das bei den Clients nur die IP des Routers eingetragen sein muß, damit sie ins Internet können.

 

Wenn also Variante 2 Status ist und der ISA das kann was ich angenommen habe, würde ich das Netz umstellen, damit ich dann auf dem ISA den Traffic filtern kann.

 

Dann sollte es doch kein Problem sein, da der ISA ADS-Anbindung hat, die Gruppen zu selektieren.