Razlicito workgroup ime - dovoljno za izolaciju?

Zelim da izolujem jedan racunar iz p2p mreze, i dodelim mu samo internet (adsl) pristup preko rutera.
Svaka druga komunikacija sa radnim stanicama treba da bude blokirana (iz sigurnosnih razloga).

To sam vec postigao preko lokalnih firewallova, medjutim pitam se da li je mozda dovoljno za blokadu, pomenutom racunaru dodeliti samo workgroup ime drugacije od aktuelnog workgroup imena ostalih racunara u mrezi (sto je i trenutno stanje)?

Hvala

Da li ce onda moci da komunicira sa ruterom?

Hoce, jer da bi komunicirao sa ruterom on koristi protokol treceg sloja TCP/IP arhitekture (to je IP sloj i IP protokol). NetBios je protokol aplikacionog sloja koji je iznad IP sloja u pomenutoj arhitekturi. Tj. NetBios koristi IP protokol, a ne obrnuto => iskljucis NetBios, nisi ukinuo komunikaciju na IP sloju. Ovo ti verovatno nije jasno, ali ako te zanima procitaj nesto o TCP/IP i OSI arhitekturama racunarskih mreza.


Iskljucivanjem NetBios-a neces spreciti korisnika tog racunara da pristupi drugim racunarima u LAN-u, samo ces ga spreciti da vidi te racunare u Network Neigbourhood-u. Ako je dovoljno pametan, koristeci IP adrese drugih racunara moci ce da im pristupi.

Ako je taj racunar kome je zabranjeno sto sta, direktno povezan sa ruterom, onda mozes na ruteru da definises pravila kojima ces saobracaj sa njegove IP adrese ka LAN-u da filtriras i na taj nacin mu zabranis pritup.

Ukoliko je racunar povezan preko switch-a u LAN, onda je jedini nacin da mu zabranis pristup ostalim racunarima taj da mu na njihovim firewall-ovima zabranis pristup, kao sto si i uradio.

Pozdrav

Potpis

http://www.linkedin.com/in/radegm

Hvala na preciznom odgovoru.

1)
Da li to znaci da racunar iz druge workgrupe moze da se pinguje?
(nisam siguran, ali ako se dobro secam - ne moze (?) )

2).
Mozes li mi u najgrubljim crtama opisati kako izgleda u menadzmentu rutera (u opstem smislu) to filtriranje (blokiranje) pristupa sa jedne lokalne IP adrese ka ostatku LANa (nisam trenutno pri ruteru, pa pitam za svaki slucaj)

3) Da, povezan je preko switch-a.

4)Znam ponesto o OSI modelu.

Pozdrav

Sto ce reci da je rj444-ova konstatacija na mestu.

Nema na cemu.


Moze!!! Ja imam mrezu od 50-ak korisnika ciji workgroup nije MSHOME (sto je podrazumevano), pa kada se prikljuci novi korisnik mogu lepo da koristim njegove resurse preko "My Network Places" ili cega vec.


Prakticno podesavanje zavisi od rutera, ali sustinski je uvek isto. Potrebno je da ruter ima nekakav firewall na sebi. Onda u tom firewall-u definises pravila za tretiranje IP paketa koji pristizu na ruter (i na firewall program) i koja kazu nesto ovog tipa: ako je izvor paketa IP adresa 192.168.0.55, protokol viseg TCP/IP sloja (transportni) je TCP, a port 8080 onda paket odbaci (DROP, REJECT...). Tako ce svaki paket koji se salje sa racunara sa datom IP adresom, preko porta 8080, pri cemu je koriscen TCP protokol komunikacije biti odbacen - filtriran na firewall-u.

Postoji jos nesto sto se zovu inbound i outbound paketi (konekcije na transport sloju - malo sam pojednostavio terminologiju radi jednostavnosti izlaganja) gde se za inbound podrazumeva da je odrediste racunar (IP adresa) na kom je firewall, a za outbound data adresa nije racunar sa firewall-om. Ako se budes igrao sa podesavanjem nekog firewall-a lako ces na osnovu ove sustine napraviti sve sto ti treba. Danasnji firewall programi su dovoljno fleksibilni.

Pozdrav

Potpis

http://www.linkedin.com/in/radegm