如何禁止公司內網的Windows XP、Windows 7連上Internet

windows xp windows 7

jasonlin268 2022-03-29 17:05:53 ‧ 2367 瀏覽

分享至

網路環境：
公司內網使用DHCP派發IP給同仁使用，
但是有些同仁因為程式開發的需要仍須使用舊版OS的VM
(因需配合客戶的現有舊環境...)。

需求描述：
如何禁止公司內網的Windows XP、Windows 7連上Internet。

目前問題：
原本擬在對外的Fortigate防火牆上判斷OS版本來加以管控，
但是測試結果是無法正確判斷出來，
目前作法是人工指派固定IP給這些設備或VM，
然後在防火牆上禁止這些IP連出去，
只是作法比較繁瑣且同仁不一定乖乖配合，
請問各位先進有沒有甚麼方法可以比較方便做到禁止舊版OS (Windows XP、Windows 7)連上Internet的需求。

看更多先前的討論...收起先前的討論...

天黑 iT邦研究生 5 級 ‧ 2022-03-29 17:16:23 檢舉

VM很像有NAT、Bridge連網路的機制，應該很難抓到真實OS吧，卡個位看結果...很好奇

PPTaiwan iT邦好手 1 級 ‧ 2022-03-29 17:26:13 檢舉

這不是應該公司下達命令就可以的嗎?? 不配合公司方向與目標就是打考績不合格

DennisLu iT邦好手 1 級 ‧ 2022-03-29 22:28:57 檢舉

那你可以反過來
DHCP發配特定電腦MAC為特定IP
只放行這些特定IP能上網。
得到認證的電腦才能上網。
非認證的一律不能上網。

窮嘶發發發 iT邦高手 1 級 ‧ 2022-03-30 09:16:17 檢舉

VM 的網卡卡號是有一個規則的，鎖定前三碼，幾乎大多數的VM都會直接被鎖住
支援這個原則的防火牆要找一下

jasonlin268 iT邦研究生 2 級 ‧ 2022-03-30 09:46:30 檢舉

先謝謝各位先進在討論區與回答區的建議，因為內網的個人電腦(筆電)大約有200多部，VM的個數大約也有100多個(因應不同客戶的不同系統環境，會各建置一個開發與測試環境，當有需要維護客戶的系統時才開啟使用)，我再想想各位先進的建議如何應用上來，也請各位先進如果還有其他建議，敬請再提出讓小弟參考學習，謝謝！

michaelwan iT邦高手 1 級 ‧ 2022-03-30 11:35:49 檢舉

如果有登入網域的話, 可以利用啟動指令碼來判斷作業系統版本, 再用內建的防火牆去擋或是給不同的路由.

jasonlin268 iT邦研究生 2 級 ‧ 2022-04-06 11:19:15 檢舉

雖然過了4天假期，但是我還是有經常進來看各位先進提供的寶貴意見，目前公司雖然有AD，但並沒有要求大家的電腦要登入Domain，所以在還沒有其他輔助資源加入的情況下，可能暫時以DHCP搭配鎖MAC的方式為可行方案之一，雖然MAC Address是可以輕易修改，但用行政命令禁止舊OS上Internet，然後用鎖MAC的方式禁止舊OS自動連上Internet可能還是可行的辦法。
由於不想把問題拖太久時間沒有產生最佳解，因此先選出一位先進提供的回答作為最佳解，如果各位先進還有其他想法，也歡迎補充，謝謝大家。
(另外也非常同意mytiny大師的見解，搞資安就是要花錢，沒有免費的午餐，只是目前先救急，後續再來逐步計畫改進)

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

4 個回答

mathewkl

iT邦高手 1 級 ‧ 2022-03-29 17:33:07

最佳解答

位置物件在加入目標裝置時
類型用MAC Address
然後你可以從FortiGate的設備清單抓出你要的那些設備，清單紀錄上都有MAC Address
你不用過問他們也能封鎖那幾台電腦的對外流量

只要你上頭夠罩，他們氣噗噗來找你的時候要有主管幫

回應
分享
檢舉

登入發表回應

ZongXianLi

iT邦研究生 5 級 ‧ 2022-03-29 17:55:51

如果你用DHCP的方式配發IP
那就使用保留區的方式鎖定MAC給特定IP
就只要針對舊系統的MAC所拿到的IP禁止上網就可以了

不再保留區的就直接配發另外一段IP然後禁止上網

這樣就變成白名單上網的方式了

回應
分享
檢舉

登入發表回應

harrytsai

iT邦新手 1 級 ‧ 2022-03-30 11:35:13

如果這些虛擬機都是為了客戶環境測試,基本上你管不了,虛擬機你鎖mac沒用,因為可以手動換,除非你弄一台比較好的Server 把這些VM都搬移到主機上管理

回應
分享
檢舉

登入發表回應

mytiny

iT邦超人 1 級 ‧ 2022-03-31 08:53:13

在對外的Fortigate防火牆上判斷OS版本來加以管控，
但是測試結果是無法正確判斷出來

很好奇樓主用的是哪一版FortiOS
其實雖然近幾年的版本可以辨識終端系統
但其實只有6.0可以針對終端系統下policy
而且免費設備辨識也只能做windows類別
要針對終端物件或可看出windoes版本
所以樓主在於使用方向不對，而非是否正確判斷

其實，要徹底解決的辦法
應該是對每一個進入公司的終端都有准入控制(NAC)
這其實與有沒有DHCP無關
而是貴公司沒有資源盤點的概念
搞清楚進入網路的是什麼、流量用什麼是MIS網管的責任
弄得清楚才有可能管好網路

其實單靠一個Fortigate就要管整個網路實在不容易
不過可以試著採用"資安鐵三角"
這樣可以用"設備辨識"來進行管理
要不就是採用與AD結合的FSSO方案
或是導入FortiAuthenticator
這些都是花錢比較少的
花多點經費的可以搞FortiNAC
預算足夠的建議採用FortiSIEM
總之，搞資安就是要花錢，沒有免費的午餐