дозволяти доступ до локальної мережі при блокуванні доступу до Інтернету [дублікат]

21

У мене є мережевий комп’ютер, який використовується як віддалений сервер друку / сканування (яким поділяються численні користувачі) Чи є якийсь спосіб я заблокувати доступ до Інтернету на машинах, але все ще дозволяю йому підключатися до нашої локальної мережі?

редагувати-

По суті, його машина Windows XP поділилася між собою та 5 іншими людьми у моєму відділі (рішення щодо спільного використання сканера без придбання сканера з підтримкою мережі) VNC-сервер встановлюється на діючому "серверному" комп'ютері, і кожен користувач використовує клієнт vnc для доступу до машини. У машини є власний обліковий запис, і я хотів би відключити доступ до Інтернету. Чи є спосіб я відключити весь доступ до Інтернету з самого комп’ютера, не змінюючи налаштувань групової політики?

internet blocking

— Джон
джерело

4

Це насправді може отримати кращу відповідь на ServerFault.

— C. Росс

Ви можете дати нам більше деталей? яка ОС на мережевому комп'ютері? що таке пристрій маршрутизатора / шлюзу в локальній мережі?

— шарлатанний кіхот

1

Найпростіший спосіб зробити це на сьогоднішній день (але будь-хто, хто може технічно обійти), це просто перейти до ресурсів Інтернету та змінити проксі на щось неіснуюче.

Крім цього, якщо у вас немає інтрамережі, ви можете подивитися на брандмауер Windows (якщо це Vista +, не впевнений, що XP підтримує це) та заблокувати порт 80 вихідних.

Обидва ці методи можна протидіяти, якщо машина не заблокована.

Особисто, якщо немає ніяких причин, щоб користувачі не мали інших програм, ніж там, просто повністю заблокуйте це через групову політику.

— Вільям Гілсум
джерело

6

-1: зміна проксі-серверів та блокування порту 80 (не кажучи вже про порт 443, для HTTPS) може закрити веб-браузер, але "доступ до Інтернету" не обмежується браузерами. +1: блокування через групову політику є гарною пропозицією.

— шарлатанний кіхот

ну, ми говоримо про машину, що використовується як сервер, який потребує доступу користувачів - зазвичай, зміни проксі або блокування порту 80 достатньо, щоб відмовити людей від його використання - як правило, якщо вони відкривають IE і бачать сторінку не може бути відображена, цього достатньо ! ... але принаймні я закінчую 0, а не -1 у ваших книгах, тож +1 від мене! :)

— Вільям Гілсум

можливо, -1 краще застосувати до питання, оскільки він незрозумілий ...;)

— шарлатанний кіхот

9

Блокуйте шлюз за замовчуванням у брандмауері

netsh advfirewall firewall add rule name="Block default gateway" dir=out action=block remoteip=192.168.0.1

- хороший метод, оскільки

порівняно зі зміною
- адреса шлюзу за замовчуванням на недійсну адресу, для netsh interface ip set address name="Local Area Connection" static 192.168.0.2 255.255.0.0 0.0.0.0цього не потрібно відключати DHCP
- Адреса DNS до недійсного netsh interface ip set dns "Local Area Connection" static 127.0.0.1 validate=noдоступу до адреси без використання DNS (fe http://74.125.224.72) також заблокована
порівняно route delete 0.0.0.0 mask 0.0.0.0 192.168.0.1з налаштуванням зберігається

— Джон Петерсон
джерело

Імовірно, для того, щоб змінити це правило, це просто netsh advfirewall firewall delete "Block default gateway"?

— Ден Аткінсон

2

netsh advfirewall firewall delete rule name="Block default gateway"

— Джон Петерсон

8

Я думаю, що найпростіший спосіб зробити це - встановити неправильний шлюз за замовчуванням.

— Масьєк Савіцкі
джерело

3

або видалити маршрут за замовчуванням повністю, тому єдині IP-адреси, які він може маршрутувати, - це його локальні інтерфейси. не експериментуючи, я не впевнений, який підхід працював би краще - Windows може вважати за краще брехати. :)

— кихат шарлатан

1

Я спробував рішення @MaciekSawicki пропонує, але не зміг його працювати. Коли я встановив шлюз за замовчуванням на щось недійсне, він взагалі не зміг підключитися до мережі - навіть локальної інтранети.

Натомість я досяг цього, залишивши з'єднання на DHCP (чи дійсному конфігурації вручну) та встановивши DNS вручну. Перший DNS-сервер я встановив недійсну IP-адресу ( 192.0.0.0), а другий залишив порожнім, тому жоден домен не зможе бути вирішений до IP-адреси. Це означає, що все, що явно використовує IP замість доменного імені, буде працювати, але всі імена не вдасться. Це робить його досить марним для кінцевих користувачів, які намагаються перевірити свій facebook. Якщо ви хочете додати список дозволів доменів, які користувачі можуть вирішити, ви можете помістити їх у файл хостів . Просто не забудьте постійно оновлювати його, якщо змінити IP-адреси.

— Майк
джерело

Це не вдасться, коли користувач зможе і досить розумно редагувати DNS-сервери для свого мережевого інтерфейсу.

— klaar

@klaar Це правда. Це була конкретна робоча станція. Я робив це на тому, що я маю права адміністратора. Мені потрібні були працівники, щоб можна було друкувати, але не мати доступу до Інтернету на цьому пристрої, і це те, що працювало для мене. Якщо вам потрібно це зробити в більш масштабних масштабах, коли кілька клієнтів, над якими ви не маєте абсолютного контролю, не повинні мати доступ до Інтернету, це рішення, очевидно, не буде працювати. У такому випадку ви можете використовувати брандмауер на своєму сервері DHCP, щоб надати доступ до IP-шлюзу лише певним клієнтам на основі їх MAC-адрес.

— Майк

0

Я також думаю, що зміна маршруту за замовчуванням у вашому маршрутизаторі повинна зробити свою справу. Однак це не зупинить маршрутизатор від маршрутизації, якщо один вказує на нього. Зміна маршруту за замовчуванням, опублікованого сервером DHCP, видалить маршрут за замовчуванням лише з клієнтських комп'ютерів. Кожен, хто додасть маршрут вручну, отримає доступ до Інтернету назад. І видалити маршрут за замовчуванням ДЛЯ САМОГО МАРШРУТУ не може бути гарною ідеєю, оскільки він забороняє доступ до Інтернету для всіх.

Іншим рішенням може бути маршрутизація на основі джерела IP. Ви можете заблокувати доступ до Інтернету до IP-адрес під xxx128, дозволяючи іншим. Якщо у вас є маршрутизатор на базі Linux, такі правила легко запрограмувати. З таким маршрутизатором, як той, який ви купуєте в магазині, це може бути більшою проблемою.

Багато маршрутизатори також можуть мати права доступу, які можуть базуватися на IP-діапазоні. Перевірте власну конфігурацію маршрутизатора. Або просто перейдіть на Linux!

— jfmessier
джерело

0

Я вважаю, що ви могли це зробити на рівні маршрутизатора (залежно від вашого QOS) і встановити правило БЛОКУВАТИ весь трафік (вихідний від локальної мережі) для цього конкретного сервера / комп'ютерного IP.

Таким чином сервер може функціонувати просто добре всередині, але маршрутизатор знизить / заборонить весь доступ зовні.

— Якуб
джерело