Запрет RDP по WiFi в сети - Форум Kerio-rus

D.NeeZ_K · 28.01.2014, 11:55

Такое дело: стоит AD на 2003 с DHCP в сеть подключена точка доступа DAP-1360, работает как прозрачный интерфейс. пароль стоит не сложный, но все же требуется разрешить доступ только в интернет по WiFi. Просто было замечено что работает RDP через эту точку доступа, от этого и хочу перекрыть доступ к локальной сети через эту точку. Что посоветуете? нашел один выход поставить еще одну сетевую и к ней подключить эту ТД, тогда можно будет настроить интерфейс на запрет. Еще как вариант, можно привязать к ТД определенный ИП сети, настроить запрет на этот ИП, но тогда будет видно точку доступа и она будет раздавать ип и другого диапазона. Что вы посоветуете?

naliman · 28.01.2014, 11:59

Wi-Fi роутер надо поставить вместо точки доступа и настраивать на нём какие нужно фильтры

ну либо вход в подземелье через чердак

D.NeeZ_K · 29.01.2014, 09:58

Цитата:

Сообщение от naliman Посмотреть сообщение

Wi-Fi роутер надо поставить вместо точки доступа и настраивать на нём какие нужно фильтры

ну либо вход в подземелье через чердак

Это хорошо такая функция и этой тд есть, но сразу возникает вопрос а аутентификация пользователей на доступ в интернет останется? Нсть такое ощущение что нет.

naliman · 29.01.2014, 17:53

Цитата

Сообщение от D.NeeZ_K Посмотреть сообщение

а аутентификация пользователей на доступ в интернет останется? Нсть такое ощущение что нет.

неизвестно где и какая авторизация
вероятно нет

в любом случае:
1. все пользователи "через штото" ходят в интернет, т.е. через шлюз
2. на шлюзе можно фильтровать трафик

rion_nagel · 30.01.2014, 16:03

А через что аутентификация? Керио? Радиус? Баклажаны?

D.NeeZ_K · 31.01.2014, 11:02

Цитата:

Сообщение от naliman Посмотреть сообщение

неизвестно где и какая авторизация
вероятно нет

в любом случае:
1. все пользователи "через штото" ходят в интернет, т.е. через шлюз
2. на шлюзе можно фильтровать трафик

В таком случае зачем вообще керио ставить это и лишние деньги и заморочек больше.
Мне надо фильтровать трафик через керио, вести учет кто куда и заяем. Да и перекрыть сайты тоже не лишним будет. Так есть идеи какие?

slalom · 01.02.2014, 10:36

Уже озвучили ведь - вместо АП поставить роутер. Тогда и контролить его будет проще. Или, если железо умное - зарулить VLAN на отдельный интерфейс кири и там уже по спискую

D.NeeZ_K · 02.02.2014, 16:52

Цитата:

Сообщение от slalom Посмотреть сообщение

Уже озвучили ведь - вместо АП поставить роутер. Тогда и контролить его будет проще. Или, если железо умное - зарулить VLAN на отдельный интерфейс кири и там уже по спискую

Она и настроена как роутер, в понедельник посмотрю.

D.NeeZ_K · 05.02.2014, 19:23

Настроил точку как роутер см. рис. мод. и мод.2, теперь она транслирует ИП от дхцп сервера. Инет работает по аутентификации в керио как и положено. Но вот запреты правил не работают см. рис. правил. Куда подскажите копать дальше?

naliman · 05.02.2014, 20:08

Цитата

Сообщение от D.NeeZ_K Посмотреть сообщение

Инет работает по аутентификации в керио как и положено

ежели это так, то:

Цитата

Сообщение от D.NeeZ_K Посмотреть сообщение

Но вот запреты правил не работают

не вижу запретов для аутентифицированных пользователей

вообще не вижу а какое правило разрешало бы РДП в инторнеты
сори, забыл чего изначально было надо

что б запретить доступ вайфайщиков - надо фильтра натсраивать на роутере, керио тут не играет никакой роли

Цитата

Сообщение от D.NeeZ_K Посмотреть сообщение

Настроил точку как роутер см. рис. мод. и мод.2, теперь она транслирует ИП от дхцп сервера.

имхо это лишнее, потому что противоречит задуманному
должны быть "вне" общей сети, что б в неё не лазить
а ты их пихаешь в общую сеть

rion_nagel · 05.02.2014, 20:10

А с фигли работать? ты запретил точке доступа выходить на рдп, а не то, что выходит в сеть через эту точку доступа. Более того даже на точке это работать не будет если не прописан шлюз. Яб рекомендовал сетевуху отдельную - точку туда отдельную, подсеть для wi-fi отдельную, дхцп на эту подсеть настроить... на белом коне покататься. Ну или в дхцп делай резервирования на каждое устройство по маку и правило для этой группы устройств.

pss//Не понял. Точку, как роутер?... Нат из точки доступа перед натом из сервера с керио? где всё... в одной... подсети?... И dhcp раздаётся из точки, которая перед натом из точки доступа и до сервера с керио?... где выдаётся... шлюз.... с адресом сервера керио устройсвам подключенным по wi-fi? Это хрень какая-то.

naliman · 05.02.2014, 20:17

Цитата

Сообщение от rion_nagel Посмотреть сообщение

Не понял. Точку, как роутер?...

ага, видать длинк шото мудрое придмал
DAP-1360

Добавлено через 7 минут

Цитата

Сообщение от rion_nagel Посмотреть сообщение

Это хрень какая-то.

об чём и речь
городуха какая то получилась

rion_nagel · 05.02.2014, 20:26

Но wi-fi клиенты получают в качестве шлюза адрес керио скорее всего (хз как у него настроено)... и чё-то я очень сомневаюсь что там пахнет натом на точке доступа, не смотря на галочку "включён".

С текущим правилом я думаю надо просто отдельную подсеть на точке, на точке же свой дхцп(самое простое), либо создать на серваке зону (настроить чтобы шлюзом была точка) и пробросить в роутере порты для дхцп, воткнуть сеть с керио в wan (настроить wan не забыть)... проще же простого...

naliman · 05.02.2014, 20:26

D.NeeZ_K, если в точке доступа есть сетевой экран (а он там судя по тому что ты его включил - есть), то что мешает с его помощью "заблочить" нужный трафик?
ну если конечно там есть хоть какой то функционал, помимо галочки "включить"

Цитата

Сообщение от rion_nagel Посмотреть сообщение

Но wi-fi клиенты получают в качестве шлюза адрес керио скорее всего (хз как у него настроено)... и чё-то я очень сомневаюсь что там пахнет натом на точке доступа, не смотря на галочку "включён".

да, только прикол в том (перечитай самое первое сообщение), что товарищ хочет воздушным клиентам запретить "лазить по локалке"

не просто РДП зарезать а вообще оставить вайфайщикам только лишь интернеты одни
а для этого манипуляции с правилами в керио безсмысленны без отдельной (для вайфая) сетевухи

думаю всё таки в данном конкретном случае правильнее было бы воспользоваться дополнительной сетевухой в керио
тем самым он физически отделит вайфай от локалки, чем и убьёт своего зайца

naliman · 05.02.2014, 20:39

Цитата Функции межсетевого экрана
• Преобразование сетевых адресов (NAT)
• Контроль состояния соединений (SPI)
• IP-фильтры
• URL-фильтр
• MAC-фильтр
• DMZ-зона
• Функция защиты от ARP- и DDoS-атак
• Виртуальные серверы

[Для просмотра данной ссылки нужно зарегистрироваться]

не знаю ка кони там устроены, но думаю что с их помощью можно звпретить трафик от клиентов в локалку и оставить им только инторнеты

rion_nagel · 05.02.2014, 20:42

Цитата:

Сообщение от naliman Посмотреть сообщение

запретить "лазить по локалке"

Ёпт.. я думал это уже другой человек с новой проблемой). Дак тогда несомненно - для wi-fi отдельную сетевуху с отдельной подсетью. Это всё будет куда проще велосипедов с седлом от унитаза. Да и логи от каждого устройства же.

naliman · 05.02.2014, 20:43

Цитата

Сообщение от rion_nagel Посмотреть сообщение

Это всё будет куда проще велосипедов с седлом от унитаза.

да, видимо получается проще воткнуть сетевуху чем настроить д-линк

rion_nagel · 05.02.2014, 20:51

Да ща будет в последствии - настройки одних и тех же функций на разных железках/софтинах c последующим придумыванием как это всё прикрутить.. например к нагиос hemp

D.NeeZ_K · 06.02.2014, 15:59

Почитав ваши рассуждения принялся копать дальше. Что получилось: теперь пользователь Wifi не может лепиться по рдп к керио пк, добавил еще протоколов для запрета, теперь он же еще и не пингуется. Вот только незадача пингуется и по рдп лепится к другому пк в сети. Что делать ума не приложу, остается последний вариант, сетевух ставить?

Пользователь проходит аутентификацию один, остальные пользуются интернетом. Все действия производятся через wifi.

Еще одно фото не могу загрузить с планшета. Там wan: 192.168.10.50 ну и естественно днсы, маска и шлюз

В командной строке пинги на сервера: один керюха, второй пк.

В последнем как раз правила. Я их сдвинул вместе для наглядности.

naliman · 06.02.2014, 17:16

D.NeeZ_K,

Цитата

Сообщение от D.NeeZ_K Посмотреть сообщение

В командной строке пинги на сервера: один керюха, второй пк.

оно и будет пинговаться, поскольку это - локальный трафик
и керио его никак не фильтрует, он не является посредником между хостами локальной сети

точно так же как входная дваерь в квартиру тебе не мешает ходить в туалет располоденный в той же квартире

"посредником" является - точка доступа, там и надо налаживать фильтрацию

коль не получается настроить фильтры на точке доступа, то остаётся один вариант - дополнительная сетевуха в керио
и тогда именно в керио все "отношения" вайфайщиков с инторнетами и локалкой можно будет отрегулировать как нужно\хочется, ибо в этом случае керио станет посредником между локалкой и вайфайщиками

28.01.2014, 11:55	#1
D.NeeZ_K Песака Регистрация: 12.08.2011 Сообщений: 65	Запрет RDP по WiFi в сети Такое дело: стоит AD на 2003 с DHCP в сеть подключена точка доступа DAP-1360, работает как прозрачный интерфейс. пароль стоит не сложный, но все же требуется разрешить доступ только в интернет по WiFi. Просто было замечено что работает RDP через эту точку доступа, от этого и хочу перекрыть доступ к локальной сети через эту точку. Что посоветуете? нашел один выход поставить еще одну сетевую и к ней подключить эту ТД, тогда можно будет настроить интерфейс на запрет. Еще как вариант, можно привязать к ТД определенный ИП сети, настроить запрет на этот ИП, но тогда будет видно точку доступа и она будет раздавать ип и другого диапазона. Что вы посоветуете?

28.01.2014, 11:59	#2
naliman особый Регистрация: 19.06.2006 Сообщений: 9,439	Re: Запрет RDP по WiFi в сети Wi-Fi роутер надо поставить вместо точки доступа и настраивать на нём какие нужно фильтры ну либо вход в подземелье через чердак __________________ Не только лишь все!

29.01.2014, 09:58	#3
D.NeeZ_K Песака Регистрация: 12.08.2011 Сообщений: 65	Re: Запрет RDP по WiFi в сети Цитата: Сообщение от naliman Wi-Fi роутер надо поставить вместо точки доступа и настраивать на нём какие нужно фильтры ну либо вход в подземелье через чердак Это хорошо такая функция и этой тд есть, но сразу возникает вопрос а аутентификация пользователей на доступ в интернет останется? Нсть такое ощущение что нет.

29.01.2014, 17:53	#4
naliman особый Регистрация: 19.06.2006 Сообщений: 9,439	Re: Запрет RDP по WiFi в сети Цитата Сообщение от D.NeeZ_K а аутентификация пользователей на доступ в интернет останется? Нсть такое ощущение что нет. неизвестно где и какая авторизация вероятно нет в любом случае: 1. все пользователи "через штото" ходят в интернет, т.е. через шлюз 2. на шлюзе можно фильтровать трафик __________________ Не только лишь все!

30.01.2014, 16:03	#5
rion_nagel Знатный писарь Регистрация: 08.02.2010 Сообщений: 276	Re: Запрет RDP по WiFi в сети А через что аутентификация? Керио? Радиус? Баклажаны?

31.01.2014, 11:02	#6
D.NeeZ_K Песака Регистрация: 12.08.2011 Сообщений: 65	Re: Запрет RDP по WiFi в сети Цитата: Сообщение от naliman неизвестно где и какая авторизация вероятно нет в любом случае: 1. все пользователи "через штото" ходят в интернет, т.е. через шлюз 2. на шлюзе можно фильтровать трафик В таком случае зачем вообще керио ставить это и лишние деньги и заморочек больше. Мне надо фильтровать трафик через керио, вести учет кто куда и заяем. Да и перекрыть сайты тоже не лишним будет. Так есть идеи какие?

01.02.2014, 10:36	#7
slalom Навичёг Регистрация: 26.11.2010 Адрес: Moscow Сообщений: 43	Re: Запрет RDP по WiFi в сети Уже озвучили ведь - вместо АП поставить роутер. Тогда и контролить его будет проще. Или, если железо умное - зарулить VLAN на отдельный интерфейс кири и там уже по спискую __________________ А все так хорошо начиналось...

02.02.2014, 16:52	#8
D.NeeZ_K Песака Регистрация: 12.08.2011 Сообщений: 65	Re: Запрет RDP по WiFi в сети Цитата: Сообщение от slalom Уже озвучили ведь - вместо АП поставить роутер. Тогда и контролить его будет проще. Или, если железо умное - зарулить VLAN на отдельный интерфейс кири и там уже по спискую Она и настроена как роутер, в понедельник посмотрю.

05.02.2014, 20:08	#10
naliman особый Регистрация: 19.06.2006 Сообщений: 9,439	Re: Запрет RDP по WiFi в сети Цитата Сообщение от D.NeeZ_K Инет работает по аутентификации в керио как и положено ежели это так, то: Цитата Сообщение от D.NeeZ_K Но вот запреты правил не работают не вижу запретов для аутентифицированных пользователей вообще не вижу а какое правило разрешало бы РДП в инторнеты сори, забыл чего изначально было надо что б запретить доступ вайфайщиков - надо фильтра натсраивать на роутере, керио тут не играет никакой роли Цитата Сообщение от D.NeeZ_K Настроил точку как роутер см. рис. мод. и мод.2, теперь она транслирует ИП от дхцп сервера. имхо это лишнее, потому что противоречит задуманному должны быть "вне" общей сети, что б в неё не лазить а ты их пихаешь в общую сеть __________________ Не только лишь все!

05.02.2014, 20:10	#11
rion_nagel Знатный писарь Регистрация: 08.02.2010 Сообщений: 276	Re: Запрет RDP по WiFi в сети А с фигли работать? ты запретил точке доступа выходить на рдп, а не то, что выходит в сеть через эту точку доступа. Более того даже на точке это работать не будет если не прописан шлюз. Яб рекомендовал сетевуху отдельную - точку туда отдельную, подсеть для wi-fi отдельную, дхцп на эту подсеть настроить... на белом коне покататься. Ну или в дхцп делай резервирования на каждое устройство по маку и правило для этой группы устройств. pss//Не понял. Точку, как роутер?... Нат из точки доступа перед натом из сервера с керио? где всё... в одной... подсети?... И dhcp раздаётся из точки, которая перед натом из точки доступа и до сервера с керио?... где выдаётся... шлюз.... с адресом сервера керио устройсвам подключенным по wi-fi? Это хрень какая-то.

05.02.2014, 20:17	#12
naliman особый Регистрация: 19.06.2006 Сообщений: 9,439	Re: Запрет RDP по WiFi в сети Цитата Сообщение от rion_nagel Не понял. Точку, как роутер?... ага, видать длинк шото мудрое придмал DAP-1360 *Добавлено через 7 минут* Цитата Сообщение от rion_nagel Это хрень какая-то. об чём и речь городуха какая то получилась __________________ Не только лишь все! Последний раз редактировалось naliman; 05.02.2014 в 20:24.. Причина: Добавлено сообщение

05.02.2014, 20:26	#13
rion_nagel Знатный писарь Регистрация: 08.02.2010 Сообщений: 276	Re: Запрет RDP по WiFi в сети Но wi-fi клиенты получают в качестве шлюза адрес керио скорее всего (хз как у него настроено)... и чё-то я очень сомневаюсь что там пахнет натом на точке доступа, не смотря на галочку "включён". С текущим правилом я думаю надо просто отдельную подсеть на точке, на точке же свой дхцп(самое простое), либо создать на серваке зону (настроить чтобы шлюзом была точка) и пробросить в роутере порты для дхцп, воткнуть сеть с керио в wan (настроить wan не забыть)... проще же простого...

05.02.2014, 20:39	#15
naliman особый Регистрация: 19.06.2006 Сообщений: 9,439	Re: Запрет RDP по WiFi в сети Цитата Функции межсетевого экрана • Преобразование сетевых адресов (NAT) • Контроль состояния соединений (SPI) • IP-фильтры • URL-фильтр • MAC-фильтр • DMZ-зона • Функция защиты от ARP- и DDoS-атак • Виртуальные серверы [Для просмотра данной ссылки нужно зарегистрироваться] не знаю ка кони там устроены, но думаю что с их помощью можно звпретить трафик от клиентов в локалку и оставить им только инторнеты __________________ Не только лишь все!

05.02.2014, 20:42	#16
rion_nagel Знатный писарь Регистрация: 08.02.2010 Сообщений: 276	Re: Запрет RDP по WiFi в сети Цитата: Сообщение от naliman запретить "лазить по локалке" Ёпт.. я думал это уже другой человек с новой проблемой). Дак тогда несомненно - для wi-fi отдельную сетевуху с отдельной подсетью. Это всё будет куда проще велосипедов с седлом от унитаза. Да и логи от каждого устройства же.

05.02.2014, 20:43	#17
naliman особый Регистрация: 19.06.2006 Сообщений: 9,439	Re: Запрет RDP по WiFi в сети Цитата Сообщение от rion_nagel Это всё будет куда проще велосипедов с седлом от унитаза. да, видимо получается проще воткнуть сетевуху чем настроить д-линк __________________ Не только лишь все!

05.02.2014, 20:51	#18
rion_nagel Знатный писарь Регистрация: 08.02.2010 Сообщений: 276	Re: Запрет RDP по WiFi в сети Да ща будет в последствии - настройки одних и тех же функций на разных железках/софтинах c последующим придумыванием как это всё прикрутить.. например к нагиос hemp

06.02.2014, 17:16	#20
naliman особый Регистрация: 19.06.2006 Сообщений: 9,439	Re: Запрет RDP по WiFi в сети D.NeeZ_K, Цитата Сообщение от D.NeeZ_K В командной строке пинги на сервера: один керюха, второй пк. оно и будет пинговаться, поскольку это - локальный трафик и керио его никак не фильтрует, он не является посредником между хостами локальной сети точно так же как входная дваерь в квартиру тебе не мешает ходить в туалет располоденный в той же квартире "посредником" является - точка доступа, там и надо налаживать фильтрацию коль не получается настроить фильтры на точке доступа, то остаётся один вариант - дополнительная сетевуха в керио и тогда именно в керио все "отношения" вайфайщиков с инторнетами и локалкой можно будет отрегулировать как нужно\хочется, ибо в этом случае керио станет посредником между локалкой и вайфайщиками __________________ Не только лишь все!

Опции темы
Версия для печати Отправить по электронной почте