Verhinderung anderer IP

[crazymetzel 11]

Hi,

 

eine etwas ungewöhnliche Fragestellung habe ich heute für euch. Wir arbeiten hier für die Clients mit einem DHCP auf einem WIN2012R2 und verteilen die Adressen komplett per Reservierung, also ohne freien automatisch vergebenden Bereich. Nun haben wir 3 Mitarbeiter die mit ihren Laptops unterwegs sind und Inbetriebnahmen machen. Somit müssen diese auch ab und an per Hand die IP umstellen. Nun sind das vergessliche Vögel, und es kann vorkommen dass sie den Rechner wieder ans Netzwerk hängen, allerdings mit einer Handeingestellten IP welche auch gleich einer unserer verwendeten IPs sein kann.

 

Habe ich irgendwie die Chance zu verhindern dass MAC soundso mit einer anderen IP als der welche ich vorgebe ins Netzwerk kommt? NAP habe ich mir noch nicht näher angeschaut... :-(

[Dukel 436]

Wieso lasst ihr die IPs für Clients nicht automatisch vergeben?

[crazymetzel 11]

Sollten wir? Dann hätte ich ja das Problem zusätzlich, dass auch betriebsfremde ihren Laptop ranhängen und ne IP bekommen oder interpretiere ich das falsch?... Mit Reservierung das ist schon so gewollt und eine feine Sache.

 

Es handelt sich auch um eine überschaubare Menge, aktuell ca 250 Reservierungen sauber in verschiedene Bereiche geordnet!

bearbeitet 26. August 2014 von crazymetzel

[monstermania 53]

Moin,

also über MS Windows geht da m.E. nichts. Weil, was soll der Server machen, wenn die Clients mit einer festen IP (evtl. Doppelt) ins Netz kommen? Der Client meldet sich ja dann gar nicht am DHCP.

Müsste man über die Switsche realisieren. Also so, dass wenn eine bestimmte MAC und die zugehörige IP nicht übereinstimmen das Gerät geblockt wird... Weiß jetzt nicht, ob es so eine Funktion gibt. MAC ja, aber feste Bindung an MAC und IP weiß ich jetzt nicht.

 

Gruß

Dirk

[Dukel 436]

Du kannst z.B. mit einem Mac Adress Filter nur bekannten Geräten eine IP per DHCP vergeben.

Mir wären schon 50 Geräte zu viel zum manuelle verwalten.

 

Was machst du, wenn ein Betriebs fremder User eine feste IP vergibt?

[Daniel -MSFT- 129]

Das klingt nach NAP in Verbindung mit 802.1x portbasierender Authentifizierung: http://www.microsoft.com/germany/technet/webcasts/default.aspx?author=Daniel+Melanchthon&select=&qu=Nap

bearbeitet 26. August 2014 von Daniel -MSFT-

[crazymetzel 11]

Hmm aber die Mac müsste ich immer noch reintippen, dann kann ich in dem Zuge auch die IP (einmalig bei Rechnerkauf oder Gerätekauf) eintippen. Sehe jetzt nicht wo das mein Problem lösen oder schmälern würde....

Wie gesagt, der Bestand ist ja eingepflegt und nur neue Geräte oder defekte Netzwerkkarten erfordern händisches Eingreifen, was aber auch eine Whitelist genauso erfordern würde oder sehe ich das falsch?

[monstermania 53]

Sollten wir? Dann hätte ich ja das Problem zusätzlich, dass auch betriebsfremde ihren Laptop ranhängen und ne IP bekommen oder interpretiere ich das falsch?... Mit Reservierung das ist schon so gewollt und eine feine Sache.

 

Es handelt sich auch um eine überschaubare Menge, aktuell ca 250 Reservierungen sauber in verschiedene Bereiche geordnet!

Also, wenn es um Betriebsfremde geht kann man so etwas recht Simpel mit einem Managed Switch erledigen. Einfach eine MAC ACL hinterlegen. Kommt jemand mit einer unbekannten MAC und schließt sich an NW an, so wird einfach der entsprechende Port im Switch gesperrt und es gibt eine Mail an den Admin! Habe ich schon häufiger in z.B. Krankenhäusern erlebt.

Aber Du weißt schon, dass man eine MAC recht einfach fälschen kann, oder? Richtige Profis schreckt das nicht wirklich!

 

Gruß

Dirk

[Sunny61 773]

Evtl. kannst Du NAP ja so konfigurieren, dass fremde Geräte in ein Quarantäne Netz kommen.

[crazymetzel 11]

 

 

Was machst du, wenn ein Betriebs fremder User eine feste IP vergibt?

Genau das ist mein Problem. Muss nichmal ein Betriebsfremder sein, auch der User der eine falsche per Hand einstellt. GENAU das will ich verhindern, sodaß nur die von mir vorgegebene MAC/IP Kombi Zugang bekommt!

Daniel und Sunny, das klingt nach einem Ansatz. Das schaue ich mir genauer an. Sollte ich allerdings bestimmte Switches oder Switchfunktionen benötigen sehe ich schwarz, ich arbeite hier mit HP v1910 Switches :-(

[NorbertFe 1.826]

Übrigens DHCP ist kein Sicherheitsfeature. Weder mit noch ohne Reservierung. ;)

[crazymetzel 11]

Dessen bin ich mir bewusst :-) Aber ich habe eigene Fehler halbwegs unterbunden und bei Neuinstallationen der Geräte null Probleme, sowie meinen WDS sauber Lauffähig :-) und jeder Client hat brav immer seine ihm zugewiesene Adresse :-)

Außerdem war hier auch nicht die frage ob Reservierung oder nicht sondern wie ich verhindere dass ich wegen eines Fehlers oder einer meiner Leute oder wer auch immer eine IP, am besten dann auch die IP des Haupt DNS Servers doppelt nutzt.

[NorbertFe 1.826]

Wer keine Arbeit hat, der macht sich welche... ;)

[crazymetzel 11]

Jetz erklär mir aber bitte die Mehrarbeit von keiner Minute bei Neukauf eines Gerätes zu einer reinen Whitelist der ich auch die MAC hinterlegen muss? Wie lang brauchst du um eine IP einzutippen?

Dazu muss ich aber vielleicht noch sagen dass sich meine IP aus dem Rechnernamen herleitet. PC 25 hat die Endip 25, und die 3. Gruppe beschreibt die Geräte. 101 Rechner 102 Laptops usw. Also wirklich Lulli da die IP einzutippen wenn du eh die MAC tippst.

bearbeitet 26. August 2014 von crazymetzel

[NorbertFe 1.826]

ICh bezog mich auf DHCP Reservierungen, die ich für, in den meisten Fällen, sinnlos erachte.