Как запретить пользователям менять IP адрес

[Raper]

на W2k сервере установлен *DHCP, хочется запретить пользователям менять IP на клиентских местах (например, они могут назначить IP адрес явным образом и выбрать не занятый IP).

Можно ли как-нить жестко связать IP и MAC адрес клиентской машины, чтобы если клиент поменял IP, при авторизации на сервере его отшили?

[netphil]

Кажется можно в свойствах DHCP посмотри там можно сделать строгую привязку к MAC !

[Raper]

Спасибо конечно за адресок только я вот это уже пробовал это не помогает у меня Вынь2000про может там как нить подругому?

[Raper]

Цитата:



Можно также в систем полиси настроить запрет на смену ипишника.....



Fronik мне как раз это и нужно, но как это зделать?



я в регистре копался но там нету это папки "Network" и куда потом приписывать этот "NoNetSetup" ????

[BullDeZir]

Dmitrich

Смотрите:

http://forum.oszone.net/topic.cgi?fo...amp;topic=1210

Там пост Vasketsov'а:

"...в свойствах адаптера (там где оборудование) если есть параметр "адрес" - это он и есть, по умолчанию там пусто, то есть, передается физический адрес."

Т.е. чел, являясь админом своей машины, пробьет в свойствах адаптера мас=адрес, и система будет подставлять его вместо физического мас-адреса. Я так думаю, что DHCP не различает, что это не физический, а подставной мас-адрес и соответственно привязка к IP не сработает.



Повторюсь, имхо правильный путь - не делать пользователей админами своих машин.

[netphil]

Лучше всего не делать таких пользователей админами своих машин. Тогда они ничего не поменяют, как бы им адрес не присваивался - статически или через DHCP.



В DHCP резервирование можно создать и там связать MAC-адрес с IP. Правда я не пробовал проставлять на раб. станции вручную адрес из DHCP-диапазона, не знаю - будет у него доступ в сеть или система выдаст конфликт адресов.

Но даже если выдаст конфликт адресов (в чем я сильно сомневаюсь), все равно остается возможность поставить IP не из диапазона DHCP, например диапазон 192.168.10.50-192.168.10.200. Используется маска 255.255.255.0. Тогда пользователь сможет поставить например 192.168.10.49. Чтобы это закрыть можно либо firewall какой-нить настроить на сервере, либо использовать такой диапазон DHCP, который не оставит возможности увидеть сеть, используя IP адрес за его пределами (чтобы большим не делать можно маску нестандартную использовать).



Если же учетная запись, под которой работает чел, включена в группу администраторы данной раб. станции, то он по-идее все равно сможет обойти это ограничение. Мак-адрес подменив например.



На дорогом активном оборудовании вроде-бы можно ограничить IP для порта, что с др. IP просто не подключишься.

[Dmitrich]

Цитата:



... Мак-адрес подменив например.



Это интересно как??? Если он привяжет IP к MACу сетевухи, то человек пойдёт лосом при попытке указания не того IP.

[Dmitrich]

Animal

Обязательно сообщи о результатах, желательно по подробнее. Буду очень признателен...

[Fronik]

Можно также в систем полиси настроить запрет на смену ипишника и все, и нет ни каких головняков.

А на счет статического МАС адреса я сомневаюсь, DHCP в Win2000Server помоему отличает от физического...

[Fronik]

Fronik

Проверю как будет время, отличает или нет.