iT邦幫忙

0

私接網路設備

請教各位大大:
公司內有多出來的網路孔,擔心有人私接電腦會有安全上的漏洞。
是否有方法可以使未經控管的電腦完全無法與內網連上?
謝謝!

看更多先前的討論...收起先前的討論...
802.1x ??
slime iT邦大師 1 級 ‧ 2019-04-19 09:40:40 檢舉
1. 換網管式設備, 對於未使用的 port disable .
2. 如果區網是用 DHCP 分配 IP , 限制只有註冊過的設備才能取得 IP .
goodnight iT邦研究生 4 級 ‧ 2019-04-20 10:10:34 檢舉
是想限制上網際網路是嗎? 還是連區網都限制?
我公司都用固定 ip + mac 偵測, 非法設備不能連網使用
主要是想針對區網做限制
goodnight iT邦研究生 4 級 ‧ 2019-04-23 00:10:08 檢舉
你的意思是跟我一樣, 非法設備連區網也禁止嗎?
那就用 dhcp 依 mac 配發ip, 但缺點就是管理時複雜了一點
4
門神JanusLin
iT邦超人 1 級 ‧ 2019-04-19 10:02:19

802.1x 驗證
或是 Switch
IP-MAC-Port-VLAN Binding

https://ithelp.ithome.com.tw/upload/images/20190419/20001416l0fD58WcOR.png

Switch
IP-MAC-Port-VLAN Binding
這樣如果公司有多台Switch 是不是要一台一台設定
有中控可以處理嗎??

有機會

goodnight iT邦研究生 4 級 ‧ 2019-04-23 00:13:33 檢舉

竹本, 是的, 你可以先用 dhcp 自動配發, 讓 dhcp收集 mac+ip, 到時候你就可以理處, 也可以手動, 我記得好像有軟體可以收集對應的 mac+pc name, 要看你的設備方便性到哪
我公司的設備可以自動建立清單, 對應完成後, 改成依mac指定配發, 全公司的電腦要全開

1
mytiny
iT邦大師 1 級 ‧ 2019-04-19 17:00:36
  1. 首先,使用802.1x,可以
    但是若Client眾多,就需要用憑證中心
    且user可能會需要到點服務
    交換器及無線基地台要支援802.1x

  2. 交換器綁定 MAC、IP、port
    請先考慮使用者習性,會不會不通就亂插
    亂插,MIS就會頭大,設每台交換器也煩人

  3. 網管軟體或身分認證系統
    通常算User數量,恐怕不便宜

推薦:Fortinet資安鐵三角及BYOD功能
簡單、方便、省時、省力、省錢

看更多先前的回應...收起先前的回應...
pis520 iT邦新手 3 級 ‧ 2019-04-20 05:53:26 檢舉

個人愚見~這也不行,那也花錢...最簡單的方法,就是找出那條線,直接拔掉。你不說我不知,沒人知道。

goodnight iT邦研究生 4 級 ‧ 2019-04-20 10:13:05 檢舉

哈哈哈, 再接上 24v 電源是嗎?

mytiny iT邦大師 1 級 ‧ 2019-04-20 11:13:44 檢舉

@pis520
可惜有時就是找不出那條線(或設備)
公司網路的准入控制其實是件複雜的事
"不花錢的"有時最貴
要看做到哪個程度

tsang iT邦新手 2 級 ‧ 2019-04-21 02:59:11 檢舉

我也是這樣,找出那條線,直接拔掉,有一種工具叫做尋綫器的,可找出那條線,立卽標示好,正好整理一下。

1
kiss515520
iT邦新手 5 級 ‧ 2019-04-20 09:48:42

1.架一台Linux DHCP 來綁MAC
2.AD server GPO 套下去,可把區域網路鎖起來,或使用者權限降為PowerUser
3.對於Internet 可架設一台Linux Squid來控管IP
(但必須先架一台Linux DHCP來派送固定IP)

看更多先前的回應...收起先前的回應...

整體下來,免費

外來裝置呢?? 如筆電 ,AP......???

想要在區網的部分就防堵, 可網管的switch 一定避免不了

goodnight iT邦研究生 4 級 ‧ 2019-04-23 00:15:03 檢舉

依mac配發, 就可以封鎖非法設備了

外來筆電呢, 不管DHCP 我自己手動設定IP 區網也能封鎖??

2
Sergeyau
iT邦研究生 3 級 ‧ 2019-04-20 10:23:18

之前寫過網路存取管制系統 NAC的介紹
https://ithelp.ithome.com.tw/articles/10196998

可以試試開源的openNAC,PacketFence

1
nansen
iT邦新手 4 級 ‧ 2019-04-20 13:14:37

非廣告,以前有分析過類似的需求
https://imgur.com/kPSz2TF

https://imgur.com/mxKSM0A

https://imgur.com/UHsrQYW

有一種內網IP/MAC管理機制不需要修改switch或架構
使用Ethernet L2的技術,只要把要管理的網段給Tag到這台設備就可以了
台廠有台眾UPAS(以前叫做ARPScanner),進口的有IPScan,不過都是By IP數量授權

1
灰灰
iT邦新手 3 級 ‧ 2019-04-22 14:15:44

真誠的建議!!
如樓上所說的,找出來拔掉.

這是最省也最快,同時也是網管之後控管的鋪陳.

我要發表回答

立即登入回答