Network Port Restriction

Дайте идея как да имплементирам такава политика в мрежата.
Кратко описание на мрежата- рутер 192.168.1.1 4 switcha мога да ви кажа точната марка аko искате в мрежата има 200 ПЦ-та /Win XP Pro SP2/ и един Домейн 2003 маил сервер и други сервери с мрежови програмни продукти.
Не мога да пипам рутера не мога да сменям и мрежата и да я рутирам .Идеята ми е да не могат да си комуникират workstationite по между си и с други сервери освен на портовете разрешени от мен.

...с която настройваш FW-а на XP-то! Това на прима виста.

А със Squid може ли да стане това ми е ясно малко. Но не ми се вижда сигурно или така се прави? Не знам за това питам.

След като две работни станции си комуникират директно, как очакваш да спреш тази комуникация с помощта на настройки на прокси? Поне предполагам, че под Squid имаш предвид софтуера за прокси.

ДА Squid имам в предвид но този софт не е само прокси но не съм запознат с него достатъчно просто питах ;) .

ISA сервера не можеше ли нещо такова ?

Squid-a филтрира например интернет трафик (както и ИСА-та като прокси), в този случай за да не се виждат трябва да са на групи които да не се виждат, а те в отделни VLAN-и, които се рутират от рутера през аксес листи за ограничение на портовете. Това е нормалното решение, рутера също може да филтрира към и от интернет.
Не толкова нормално решение е да се използват файъруол устройства (РС-та) между потребителските комутатори и комутатор свързан на рутера.

В крайна сметка, щом не ти дават да пипаш рутера, накарай ги да го направи този който има право да го конфигурира.

Не мога да направя 300 vlana а и мислиш ли че ако можех да накарм човека с рутера щях да питам тук.
И ако не си разбрал аз искам и машините да си комуникират само на определени портове по-между си.А не само на вън.Точно както казха по горе нещо като firewalla na XP-to . Ама да е централизирано .

казаха ти бе човек... Firewall-a на ХР-та. Никакъв проблем нямаш особенно след като са в домейн тези машини. За конкретно ОУ конкретни настройки за стената слагаш и си шампион. Това което би трябвалод а те притеснява, е че firewall-a в ХР-то сработва на инкоминг пакет сиреч трафика ще стигне от РС1 до РС2 и чак тогава РС2 ще го блокне... т.е. можеш да го спреш да "влезе" в РС-то, но не можеш да го спреш да излезе... И като гледам тези 200 РС-та явно броудкаст трафика не те притеснява.
И ще е "централизирано" ако под централизирано разбираш от едно място да управляваш политиките членовете на кое ОУ с кой/на кои портове могат да комуникират.

П.С. и ИСА-та го може това ама си требе ИСА клиент да се наинсталира

Не вытащишь без труда, если сунул не туда.

Ми опитай тогава с CheckPoint firewall, той има нужните възможности. Това са фаъруоли в всяка мрежа, които се администрират централизирано от определна конзола, като правилата напомнят малко на ИСА-та, но този софтуер е създаден далеч преди ИСА-та.

И сега ако ми обясниш как ще накараш пакетите от ПЦ-тата да ходят до другото през FW, когато са в един мрежов сегмент ... цена няма да имаш.

Само не разбрах ти къде прочете че трябва да минават през FW преди да стигнат до другото ПЦ ;)

"И като гледам тези 200 РС-та явно броудкаст трафика не те притеснява. "

Не съм запознат с мрежовия трафик в една лан мрежа. Може ли малко пояснение и как да се справяс броудкаста ;).

Погледни поста на който съм отговорил ;-) не твоя въпрос ;-)

...както се прави ISP->Router->Switch with 2 Vlans->2 PCs,the same realisation.

Неможеш да се справиш. Можеш да го ограничиш.Става като ги изнесеш в отделни broadcast domains; най-разпостраненият начин за това е VLANs

Не вытащишь без труда, если сунул не туда.

/off topic
Чешит.
РС1 и РС2 са в един влан; как ще накараш трафика от РС1 адресиран до РС2 да мине през рутера/firewall-a преди да стигне до РС2?
Малко теория за да не разводняваме темата:
РС1 има пакет предназначен за РС2; РС1 прави ARP broadcast и казва: Кой е IP.на.PC.2 ? и някой в мрежата му отговаря Аз съм това и имам този МАС адрес след което РС1 вкарва Наученият МАС адрес в ARP таблицата си и праща пакета; Ако никой от този мрежови сегмент не му отговори РС1 праща пакета на default gateway-a. default gateway-а проверява интерфейсите си дали случайно някой от тях не е в тази мрежа и ако е така праща пакета на него; ако няма съвапдение го засилва към неговият default gateway и така докато пакета не стигне дестинейшъна си или не се дропне (изтича му ТТЛ примерно) или не се reject-не (firewall примерно) или не го изяде Голямото Зелено Мрежово Чудовище :)
Е ако се постарае човек може и изключения от горното да докара ама ще трябва доста да се постарае


В конкретният случай имаме матч още на първият ред.

Не вытащишь без труда, если сунул не туда.

като не можеш да сменяш мрежата, то не можеш да пречиш на станциите да се виждат една друга. за комуникацията с другите сървери трябва да си поиграеш с някоя машина, през която ти минава и-нет трафика. ако и такава не можеш да пипаш - стоиш си и си мичтаеш за времето, когато ще можеш

"РС1 има пакет предназначен за РС2; РС1 прави ARP broadcast и казва: Кой е IP.на.PC.2 ? и някой в мрежата му отговаря Аз съм това и имам този МАС адрес след което РС1 вкарва Наученият МАС адрес в ARP таблицата си и праща пакета; Ако никой от този мрежови сегмент не му отговори РС1 праща пакета на default gateway-a. default gateway-а проверява интерфейсите си дали случайно някой от тях не е в тази мрежа и ако е така праща пакета на него; "

Фундаментални глупости пишеш и ти.

Мислиш ли? Ако си отредактирам правописните грешки по-добре ли ще ти изглежда?
На мен пък звучеше толкова научно като го писах... жалко :(
Беше добър опит да те впечатля.

Не вытащишь без труда, если сунул не туда.