Kako onemoguciti ulazak preko wireless-a u lan mrezu

Postavio sam u mini hotelu internet preko mikrotika, i pokrio ga sa wireless-om a osoblje je dobilo internet preko switcha. to sve super radi, ali imam slijedeci problem: osoba (gost) koja pristupi internetu preko ovog wireless-a ima pristup svim sherovanim dokumetima koje osoblje koristi u lan mrezi medjusobno i koje uvijek mora biti sherovano. postoji li mogucnost da onemogucim pristup gostima ovoj lan mrezi, odnosno tim sherovanim dokumentima. jedino sto sam pokusao je da promjenim naziv workgroup, al nije bilo rezultata, opet mogu da udju u te dokumente i naprave mi katastrofu. Svaka pomoc je dobrodosla.

Znaci, mikrotik je ukljucen u wan port routera, router salje internet na racunare wirelessom i preko Lan-a, problem sto wireless korisnici mogu koristiti lan mrezu i sherovane dokumente.

Verovatno ima opcija kao kod windowsa kad udjes u local area connections/propertis i tu iskljucis File and Printer Sharing for Microsoft Networks.

Potpis

www.lovric.me

Nisam bas razumio gdje, na kojem racunaru, da iskljucim print sharing, jer ako iskljucim tu opciju onda mi sharing nece raditi tamo gdje mi je potreban. Mogu li onemoguciti sharing samo za wireless korisnike, jer kod njih ne mogu nista mjenjati jer su to gosti hotela.

postoji li mogucnost izoliranja lan mreze od wireless mreze.

Konacno sam nasao neko rjesenje.

nisam uspio da razdvojim wireless od lan-a, medjutim uspio sam postaviti password na sherovane dokumente na slijedeci nacin. U user accounts sam ukljucio guest account koji je po obicno iskljucen, znaci stavio sam ga na ON, u command promptu sam ukljucio mogucnost dodavanja passworda za guest account upisvajuci Net user guest password. Ponovo sam se vratio user acconuts, kliknuo na guest account i dodao mu password na change password i restartovao racunar. Pokusao sam sa laptopa da pristupim sherovanom dokumentu i nisam mogao da ga otvorim sve dok nisam upisao password koji sam pretohodno kreirao za gosta.

i mene zanima ovaj deo price, ali onaj command prompt nesto sa passw. ne funkcionise, mozes li jos bolje da objasnis sta ukucas u command p.?

prvo trebas u kontrol panelu da ukljucis guest account, znaci bude na ON :), nakon toga otvaras cmd i upises Net user guest password i naravno potvrdis enterom. Ponovo ides u kontrol panel-user account-guest, ovdje ti moze izbaciti error ne znam tacno sta je u pitanju, trazi da uradis debug, al ne moras cancel i nastavis da radis, otvoris guest account i odaberes change password, i upises password koji zeli, poslije samo restartujes i to je to.

A zasto nisi razdvojio osoblje hotela i WiFi korisnike na posebna 2 interfejsa? Na taj nacin bi mogao da napravis zabranu na samom ruteru, a ovako imas ozbiljan sigurnosni propust i sve mehanizme zastite moras postavljati na svakom racunaru pojedinacno.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

da to je vise od ozbiljnog propusta. Nazalost nisam znao kako da ih razdvojim. koristim airlive WL5470ap u gateway modu, nisam nasao nista sto bi mi osiguralo razdvajanje wi fi korisnika i lan korisnika. Ako imas prijedlog kako da uradim slobodno pomagaj :)

Spomenuo si mikrotik, Airlive WL-5470ap i switch. Pomoglo bi ako bi pokusao da objasnis kako je to sve tacno povezano, ili da prikacis bar neku grubu skicu te mreze. Pretpostavljam da je switch neupravljivi, a posto si spominjao workgroupe onda nagadjam da nemas domen. To nam sve ostavlja jako mali broj mogucnosti, tj. ostaje nam samo "budzenje" korisnickih naloga ili IPSec polisa na pojedinacnim racunarima.

To bi bila sema. Ne znam da li je switch neupravljivi, a sto se tice workgroupe si upravu, nemam domen. Haj pokusaj mi pomoci ako mozes ikako.

Ako MiktoTik ima vise ETH portova, u jedan tih portova prikljuci kabal koji si nazvao INTERNET ZA SWITCH, i podesi taj port da preko njega osoblje izlazi na Internet.
Na taj nacin ces onemoguciti da ti wireless korisnici budu u istom emisionom domenu sa osobljem. Mada i ovakav nacin povezivanja treba zastiti na samom MikroTiku, pravljenjem odgovarajucih zabrana.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Ne nemam vise portova, samo je jedan preko kojeg se pusta internet i napaja mikrotik preko PoE.
Nesto mi se mota po glavi da postavim jedan router izmedju switcha i ap-a, al ne znam sta cu dobiti time, mozda da postavim jos jednu masinu koji ce koristiti kao firewall, al sam totalno dekocentrisan da bi nastavio sa ovom novom zamisli. Imas li ideju, da li bi se moglo nesto tako odraditi?

Tek sam posle video da si na slici oznacio POE i WAN PORT. Dakle imas neku RouterBoard plocu koja ima 2 eth porta?
Ne vidim razlog da ne iskoristis i ethernet port na kojem je POE za uredjaj. Mozes na taj port da povezes switch.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Zeznuo sam se, samo jedan kabal imam kroz koji ide wan port i poe. Znaci pogresna slika trebam to ispraviti, sorry



to je prava sema

Koji je to uredjaj sa Mikrotik-om? Verujem da on ima bar jos jedan eth port.
Ja bih izvukao jos jedan UTP kabal i na njega povezao taj sw za osoblje.
Ovako ti ostaje da se petljas sa jos jednim ruterom izmedju.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

routerboard 411, samo jedan eth port nazalost

Hm, u tom slucaju ili jos jedan ruter koji ce imati 3 interfejsa (za wifi korisnike, za osoblje i za vezu ka RB 411) ili eventualno neki manji upravljivi switch, ili kao treca opcija zamena tog RB 411 sa nekim drugim RB (npr 133). Ili da sve ostane kao do sada, i da ceo mehanizam sigurnosti ostane na samim racunarima.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Upravljivi switch: pomocu odgovarajuceg kabla ili pomocu web interfejsa (kucas u browseru IP adresu switcha, npr http://192.168.0.1) mozes podesiti razne parametre switcha (npr. brzinu svakog porta, DHCP itd.), formirati VLAN-ove (sto bi tebi koristilo), pratiti protok na svakom portu, i sl. Neupravljivi ne moze nista od toga, kod njega bukvalno samo ubodes mrezni kabel, a elektronika u switchu po nekom ugradjenom algoritmu uradi ostalo, i to je to.

Da bi sebe sprecio glavobolja, najbolje je da razdvajanje uradis na jednom mestu - ako imas domen, to bi islo preko odgovarajucih polisa, ali ga nemas. Ako imas odgovarajuci ruter, onda preko njega, ali ti ga izgleda takodje nemas. Ako imas odgovarajuci switch, onda preko njega, ali nisi siguran da ga imas. Znaci ostaje ti ili da dokupis hardware, ili da cackas sa IPSec polisama i pravima pristupa na folderima na svakom pojedinacnom racunaru.

Kolega Janko, imam neki osecaj da samo zbunjujemo coveka... sve vise i vise . Ali ajd da se malo nadovezem na tvoj zadnji post.

Ideju sa VLAN-ovima bih i ja primenio, jer je po meni najoptimalnija. Ali potreban ti je switch koji ima mogucnost podesavanja TRUNK porta, koji bi povezao sa postojecim MikroTik ruterom i na njemu kreirao odgovarajuce VLAN interfejse (podesio IP adrese, da bi imali i pristup Internetu). U dosadasnjem radu sa opremom znam da tu mogucnost imaju Allied Telesis i (naravno) Cisco swithch-evi. Postoje i neki jeftini upravljivi Tp link sw, ali nisam se upustao u podesavanje istih. Dakle, sve u svemu, ne verujem da imas neki upravljivi switch, kao najjednostavnije resenje ti ostaje kao sto je i do sada. Za nesto komplikovanije, treba malo ulaganja u opremu - jednostavno, koliko para, toliko muzike.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

ostavicu za sada ovaj vid zastite, nisam vidio opciju da bi neko sa prosjecnim znanjem mogao da zaobidje password koji se trazi za guest account. Ovo sto je Valjan spomenuo nemam nista, ni domene, ni upravljivog switcha, ni odgovarajuceg routera. Sad zasad ovo funkcionira solidno.

Hvala vam na iscrpnim odgovorima