Netzwerk ja - Internet nein ?

[Gina]

Hallochen,

unsere Firmennotebooks verfügen auch über onboard-Lan. Dies wird auch benötigt, damit sie mit dem Firmennetzwerk verbunden werden können (für Infos, updates etc.). Doch wie kann man unterbinden, dass jemand diese Notebooks an einen Router/ein DSL-Modem anschließt und damit surfen kann (sensible Daten müssen geschützt werden). Und wie sieht es bei einem USB-Modem aus oder anderen Möglichkeiten? Wie kann man also generell den Zugang zum Internet sicher verhindern?

Vielen lieben Dank, Gina.

PS: Betriebssystem ist XP home.

[DymonD]

Hi,
also beim Router ganz einfach: die IP-Adresse des Gateways und des DNS-Servers gar nicht erst eingeben.
Dann geht zwar das Netzwerk, aber der Rechner weiß nicht, wen er ansprechen soll, falls der ins Internet will ;-).
Des Weiteren könnte man die Rechte einschränken, dass ein Benutzer die IP-Einstellungen gar nicht ändern kann.

[Phoenix]

Zitat:

Zitat von Gina

Wie kann man also generell den Zugang zum Internet sicher verhindern?

Gar nicht. Zumindest nicht technisch. Wenn jemand das Notebook an ein Netzwerk anschliesst, welches den Zugang ins Internet ermöglicht ist auch das Notebook im Internet. Da hilft keine Firewall und da hilft keine andere Software.

Die _einzige_ Möglichkeit wäre, dem System komplett zu verbieten, eine Netzwerkverbindung aufzubauen indem man den TCP / IP - Stack deinstalliert und den Nutzern nicht die Möglichkeit gibt, diesen wieder zu installieren. Blöderweise geht das Notebook dann freilich auch nicht im Firmennetz.

Das einfachste wird sein, den Mitarbeiter schriftlich bestätigen zu lassen, das dieser nicht ins Internet geht und eine Software zu installieren, die eine pro Notebook spezielle Nummer permanent an einen Internet-Server übermitteln wird, sobald der Rechner eine Internetverbindung herstellt - zur Kontrolle. Und den Mitarbeiter dies auch wissen lassen. Somit hat der einen triftigen Grund, den Rechner nicht anzuschliessen, da er weiss das eine Abmahnung droht.

Ein Verhindern ist defakto leider nicht möglich, und die beschriebene Methode nicht gerade sehr fein. Ich kann jeden Admin verstehen, der Kündigt wenn er den Auftrag erhält sowas einzurichten.

[Darty]

Viel Möglichkeiten wird es wohl nicht geben. Wenn ich mich richtig erinnre sind die Port 1080 zum "surfen" u.s.w. das man diese Ports blockiert ? Eventuell mit Firewall ?

[Phoenix]

Zitat:

Zitat von DymonD

also beim Router ganz einfach: die IP-Adresse des Gateways und des DNS-Servers gar nicht erst eingeben. Dann geht zwar das Netzwerk, aber der Rechner weiß nicht, wen er ansprechen soll, falls der ins Internet will ;-). Des Weiteren könnte man die Rechte einschränken, dass ein Benutzer die IP-Einstellungen gar nicht ändern kann.

Schonmal was von DHCP gehört?

[Darty]

@Phoenix: Aber es muss doch Möglich sein die Ports zu schliessen für die man zum Surfen braucht ??

[DymonD]

@ Phoenix: JA.
aber guckst du :-D -> Des Weiteren könnte man die Rechte einschränken, dass ein Benutzer die IP-Einstellungen gar nicht ändern kann.
Da kann der auch nicht mehr auf DHCP umstellen ;-)

[Gina]

Vielen Dank für die vielen Antworten.

@DymonD
Das klingt interessant. Werde ich mal probieren. Du meinst also den Standardgateway weglassen und bei DNS-Server anklicken "folgende DNS-Serveradressen verwenden" und dort nix eintragen? Und danach die Einstellungsrechte dafür entziehen? Und dann werden auch nicht die in Windows integrierten bentuzt?

Herzlichen Dank, Gina.

[DymonD]

Hi,
genauso meine ich das. Wenn der PC nicht weiß, wo Internet ist, kommt er ja auch nicht "raus" ;-)
Eigentlich (bin mir nicht sicher, hab XP Prof. :-D ) wenn Du den Account-Inhaber nur als Benutzer "definierst", kann er generell keine Einstellungen vornehmen.

[DymonD]

Kleiner Nachtrag: hab jetzt mal ein Screenshot gemacht ;-)

[czapie]

habt ihr nur nen paar Ports, nen Router, nen DHCP und das wars?
Es gibt Netzmanagement-Software mit der man umfangreiche Möglichkeiten zur Konfiguration hat,
z.B. QIP von Lucent.

[Gina]

Wie meinst du das @ czapie ? (Sorry, bin heut nicht mehr so "denkfähig" *oops*)

LG, Gina.

[czapie]

Naja,
es gibt eben Software mit der man sagen kann,
der Rechner von Lise Müller darf jetzt nicht mehr ins Internet.
Das Beispiel ist jetzt starkt vereinfacht, aber vom Prinzip her
ist es das.
Wie groß ist euer Netz? Der Einsatz solcher Software rechtfertigt
sich, nicht zuletzt wegen dem hohen Preis, nur in großen Netzen.

[Gina]

Oh, also hoher Preis scheidet wohl aus, auch wenn es ca. 1200 User betrifft... Dann müssen wohl Boardmittel reichen. Aber danke für den Hinweis.

Gina.

[DymonD]

@ czapie:
wieso einfach, wenn's auch schwer geht, gell? :lol:

[Tubos]

Zitat:

Naja,
es gibt eben Software mit der man sagen kann,
der Rechner von Lise Müller darf jetzt nicht mehr ins Internet.
Wie groß ist euer Netz? Der Einsatz solcher Software rechtfertigt
sich, nicht zuletzt wegen dem hohen Preis, nur in großen Netzen.

Hoher Preis?
Da reicht doch einer normale Proxy-Software wie Squid. Das gibts sogar kostenlos!

[czapie]

Naja noch besser, wenns auch für lau geht.
Hab auf dem Gebiet nicht so den Background, und kenne Lucent ausm Arbeitsleben,
daher die Anmerkung.

[DymonD]

@ Gina: Dürfen die Rechner generell nicht ins Internet? (Denn dafür würden die "abwesenden Einstellungen" vollkommen reichen.) Wenn die Leute doch mal ab und zu ins Internet gehen dürfen, da empfiehlt sich natürlich eine Software. Aber...

@ Tubos:
... wie geht das? Muss man das auf jedem der 1200 Rechner installieren? Und wenn das ein Server ist, dann muss man da genauso Proxyeinstellungen vornehmen. Also, was ist leichter? Und außerdem ist das viel zeitaufwändiger, als die Einstellungen rauszunehmen.....

[Marcel Gascoyne]

Wir haben unsere Notebooks mit dem Checkpoint Secure Client ausgestattet. Selbst wenn so ein Notebook sich über ISDN, Modem, Netzwerk oder WLAN mit dem Internet verbindet bekommt er nur eine Verbindung zu unserem VPN-1 Server. Alle Verbindungen laufen nur über das VPN und dort regeln wir dann alles in der Firewall. Der Spaß kostet allerdings einiges...

Gruß,
Marcel

[Tubos]

@DymonD: Das Programm wird auf einem Rechner installiert der dann als Proxy-Server fungiert. Ich glaube aber dass das nichts mit deinem Problem zu tun hast da du ja willst dass man nirgendwo anders mit dem Notebook ins Internet kommt.

[Gina]

Danke für die vielen Antworten. Also die Notebooks sollen generell nicht in Internet gehen dürfen, egal wie. Für Internet gibt es extra PCs, die nicht am Netzwerk sind...

Liebe Grüße, Gina.

[DymonD]

@Gina:
Dann lass einfach die Gateway-Einstellungen raus, das geht am einfachsten und am schnellsten ;-)