با سلام
من می خوام تو شبکه مون فقط همکارامون به منابع شبکه دسترسی داشته باشن و اگه یه روزی مهمونی اومد خواست از موبایلش یا نوت بوکش از اینترنت استفاده کنه از یه رنج دیگه ip بگیره که فقط اینترنت داشته باشه..
در حال حاضر dhcp server داریم که به همه از یه رنج ip میده. تجهیزاتی که داریم شامل موارد زیر میباشد:
سرورها همه 2008
روتر میکروتیک 1100
isa سرور
access point
ممنون از شما
برای APتون یک رنج DHCP مشخص کنید و بعد میتونید هم از طریق ISA یا Microtic دسترسیشونو به منابع شبکه ببندی !
توی ISA یک رول ایجاد کن که اون رنج IP به شبکه Internal دسترسی داشته باشه ولی External رو بزار تو لیست استثناهاش !
ممنون
یعنی توی شبکه دوتا dhcp server !
شاید یکی از مهمونا از کابل بخواد استفاده کنه برای دسترسی به اینترنت.
من تو این فکرم نمیدونم مثلا مک فیلترینگ استفاده کنم یا روی میکروتیک vlan ست کنم یا مثلا با gpo سرور2008 کاری بشه کرد؟ ممنون میشم راه کارهای شما عزیزان رو بدونم
به لینک زیر مراجعه کنید.
[url=http://bushehr-network.ir/showthread.php?tid=21]نحوه محدود کردن چند کاربر یا IP به شبکه ای دیگر در ISA Server 2006[/url]
[QUOTE=ICT-M;356840]برای APتون یک رنج DHCP مشخص کنید و بعد میتونید هم از طریق ISA یا Microtic دسترسیشونو به منابع شبکه ببندی !
توی ISA یک رول ایجاد کن که اون رنج IP به شبکه Internal دسترسی داشته باشه ولی External رو بزار تو لیست استثناهاش ![/QUOTE]
پیشنهاد شما درست نیست .اضافه کردن یه DHCP Server دیگه باعث مشکلات بیشتر میشه !
دوست عزیز وقتی شما در محیط دامین هستید و تنظیمات رو به درستی انجام داده اید ،نباید نگرانی داشته باشید.بالفرض که مهمانان هم ازDHCP شما ip بگیرند .خب به چه منابعی می تونند وصل بشن ؟اگه شما منابع رو فقط برای Domain User ها تعریف یا Share کرده باشید .
شما اگه توی تنظیمات ایزا هم میتونید به این مهمانان اینترنت ندید.اونوقت هیچ کاری نمی تونن انجام بدن.برای اینترنت دادن به اونها هم میتونید روی ISA ، VPN Server راه بندازید و از مهمان بخواهید که به سرور شما وصل بشن و اینترنت داشته باشن و شما هم روی کار اونا نظارت داشته باشی.
خب مثل اینکه باید شفاف سازی بشه !
همه AP ها قابلیت Alias IP دارند یعنی اگر Lan شما توی رنج 1.1 هست میتونید یک IP دیگه توی رنج 2.2هم به AP خودتون بدین و حالا شما می آین اون رنج IP که قراره از طریق AP DHCP به کلاینت ها داده بشن ، از اون یکی رنج میدین که توی شبکه داخلی شما نیست و Default Gateway هم میشه IP AP شما ! فکر نکنم مشکلی پیش بیاد ! فکر کنم 3 یا 4 جا اینو انجام دادم.
این باعث نمیشه که ترافیک شبکه زیاد بشه؟ اگه طرف بره توی یه اتاقی که ap انت نده چی؟بخواد از کابل استفاده کنه چی؟
[QUOTE=ICT-M;356859]خب مثل اینکه باید شفاف سازی بشه !
همه AP ها قابلیت Alias IP دارند یعنی اگر Lan شما توی رنج 1.1 هست میتونید یک IP دیگه توی رنج 2.2هم به AP خودتون بدین و حالا شما می آین اون رنج IP که قراره از طریق AP DHCP به کلاینت ها داده بشن ، از اون یکی رنج میدین که توی شبکه داخلی شما نیست و Default Gateway هم میشه IP AP شما ! فکر نکنم مشکلی پیش بیاد ! فکر کنم 3 یا 4 جا اینو انجام دادم.[/QUOTE]
[QUOTE=ICT-M;356859]خب مثل اینکه باید شفاف سازی بشه !
همه AP ها قابلیت Alias IP دارند یعنی اگر Lan شما توی رنج 1.1 هست میتونید یک IP دیگه توی رنج 2.2هم به AP خودتون بدین و حالا شما می آین اون رنج IP که قراره از طریق AP DHCP به کلاینت ها داده بشن ، از اون یکی رنج میدین که توی شبکه داخلی شما نیست و Default Gateway هم میشه IP AP شما ! فکر نکنم مشکلی پیش بیاد ! فکر کنم 3 یا 4 جا اینو انجام دادم.[/QUOTE]
دوست عزیز شاید این مسئله شدنی باشه ولی به قولی Recommended نیست . شما چرا بیای زحمت اضافه برای خودت درست کنی و تنظیم Ap ها رو تغییر بدی. شاید روی همون اکسس پوینت یکی از کارمندان شرکت بخواد با موبایلش وصل بشه.
سولوشون که باید برای شما در نظر گرفت اسمش NAC است. معمولا کاربرای مهمان به یک VLAN-Guest سوق داده میشن که در آن قسمت فقط به اینترنت دسترسی دارند. اما برای پیاده سازی آن احتیاج به اعتبار سنجی AAA و Radius و User Directory یا MAC List دارید.
سولوشن ساده تر دیگری تقریبا مثل طرح اقای [URL="http://forum.persiannetworks.com/members/50704.html"][B][COLOR=#417394]ICT-M[/COLOR][/B][/URL] است. شما باید به اون کاربر یک رنج آی پی دیگه اختصاص بدی. حالا یا با یک اکسس پوینت جدا که به یک DHCPمجزا متصل است و آن امکان فوارد کردن پکت ها به سمت ایزا را نیز دارد.
خوب حالا تو ایزا یک مسیر برای اون سابنت ایجاد کن و یک رول برای اعطای دسترسی به اینترنت ..
ساده ترین راه برای دسترسی مهمان به اینترنت :
راه اندازی hotspot روی یکی از پورت های میکروتیک و اتصال یک اکسس پوینت به پورت مربوطه
هات اسپات میکروتیک به طور اتوماتیک یه سری rule توی فایروالش اضافه میکنه و دسترسی و امنیت بخش های دیگه شبکه رو از کاربرانی که به هات اسپات متصل شدند فراهم میکنه
اگه hotspot راه بندازم و ap رو به پورت مربوطه وصل کنم از اون ap میشه علاوه بر اینکه برای مصرف اینترنت مهمان ها هست میشه کاری کرد که به یکی از کاربرها دسترسی داخلی بده..(توی اتاق مدیر یه ap هست که مدیر از اون استفاده میکنه که هم اینترنت داره هم دسترسی به شبکه خودمون مثل همه .آیا میشه که مدیر همون امکاناتو داشته باشه ولی مهمونش از همون ap از hotspot میکروتیک اینترنت بگیره؟) کارم با nap که برای win server2008 هست راه نمیوفته؟
ممنون از همه شما
راستی از مهمونها هم که بگذریم خیلی از همکارها نوت بوک هاشونو میارن شرکت کابل شبکه بهش وصل میکنن و براحتی ip میگیرن میرن فیلم دانلود میکنن .میخوام این افرا اصلا ip نگیرن
عزیز من معلوم نیست اینایی که ازشون صحبت میکنن مهمونن یا صابخونه ! میگین لپ تاپ دارن ، کامپیوتر دارن ، از شبکه بی سیم استفاده می کنن ، از شبکه سیمی استفاده میکنن ! حالا اون چیزی که دوستمون راجع به VLAN هم گفتند ، خب معلون نیست شاید مهمان(صابخانه) اومد سیستمشو به یه پورت دیگه ای از سوییچ زد که جزء Internal Vlan هست !!!!!!! خلاصه که فکر نکنم این چیزی که میگی با این شبکه بی در و پیکرتون شدنی باشه ! خب اگر اینطوریه که هرکسی بتونه کابل شبکه بزنه خب میره فلش میزنه تو سیستمهاتون ، کم دردسرتر هم واسش هست !
با این اوصاف شما باید با مک آدرس کار کنی که هیچ سیستمی غیر از سیستم های اصلیتون نتونن وصل بشن
[QUOTE=ICT-M;356976]عزیز من معلوم نیست اینایی که ازشون صحبت میکنن مهمونن یا صابخونه ! میگین لپ تاپ دارن ، کامپیوتر دارن ، از شبکه بی سیم استفاده می کنن ، از شبکه سیمی استفاده میکنن ! حالا اون چیزی که دوستمون راجع به VLAN هم گفتند ، خب معلون نیست شاید مهمان(صابخانه) اومد سیستمشو به یه پورت دیگه ای از سوییچ زد که جزء Internal Vlan هست !!!!!!! خلاصه که فکر نکنم این چیزی که میگی با این شبکه بی در و پیکرتون شدنی باشه ! خب اگر اینطوریه که هرکسی بتونه کابل شبکه بزنه خب میره فلش میزنه تو سیستمهاتون ، کم دردسرتر هم واسش هست ![/QUOTE]
ممنونم از شما که انقدر خوب و با صبر و با اخلاق در مورد هر چیزی اظهار نظر و گویا فقط تنها چیزی که براتون مهمه جواب دادن هست نه درست جواب دادن نه مفید واقع شدن..شبکه بی در و پیکر ؟؟؟؟؟؟ من به اندازه مو های سر شما تو این شیکه سرویس دارم ..ممنون میشم که اول صورت سوال رو درست بخونید بعد اظهار نظر کنید که ممنون میشم اظهار نظر نکنید
جناب توکلی شما میخوایید از همین تجهیزات موجود خودتون استفاده کنید و دیوایسی رو اضاف نکنید؟؟؟
و یه سوال دیگه در حال حاضر از AP ها چه استفاده ایی می کنید؟؟؟
[QUOTE=mtavakoli;356986] من به اندازه مو های سر شما تو این شیکه سرویس دارم ..[/QUOTE]
بابا سرویس !
[QUOTE=yavar;357019]جناب توکلی شما میخوایید از همین تجهیزات موجود خودتون استفاده کنید و دیوایسی رو اضاف نکنید؟؟؟
و یه سوال دیگه در حال حاضر از AP ها چه استفاده ایی می کنید؟؟؟[/QUOTE]
بله با همین تجهیزات می خوام..حقیقتش اینکه آقا رضا خودم نظرم این بودکه توی dhcp مک هام که هست ، مک کلاینت هارو توی alow لیستم اضافه کنم بقه Deny کنم و شایدم تو اتاق مدیرها که ap هست بندازمشون توی یه vlan کارمم راه میوفته یا dhcp با nap راه بندازم که اوونم تا یه حدودی مسئله منو حل میکرد ولی بعد از این همه سال یاد گرفتم که کار ما کاریه که واسه هر مسئله کلی راه کار مختلف هست و باید بهترین را ه روبسته به امکاناتمون انجام بدیم این شد که این سوالو مطرح کردم چون میدونم این فروم کلی دوستان با تجربه و اساتید خوب و محترم هست که هدفشون کمک کردن ومفید بودنه هست ،حالا شاید چند تا تازه وارد اومده باشن که کلاس سایتو بیارن پایین و بخاطر اینکه فعال ترین کاربر بشن هرچی که دلشون می خواد میگن بدون کوچکترین فایده ای که متاسفانه قبلا مدیر های سایت برخورد میکردن ولی الان نمیدونم چی شده!!بگذریم..ap ها اغلب برای استفاده تو بخش های مدیریتی هست که معمولا برای اتصال ipad ,macbook ,notebook به شبکه شرکت هست..ممنون از شما
