Filtriranje korisnika koji mogu pristupiti internetu

Kako je moguce podeliti korisnike u dve grupe: jedni sa pravom koriscenja interneta, a drugi bez tog prava. Doticne grupe su napravljene, mreza ima 30-ak racunara, ISA server 2004 je instaliran, internet je bezicni. Politika firme je bila da svi mogu da koriste internet, pa je u medjuvremenu promenjena.
O ISA serveru znam vrlo malo pa mi je svaka sugestija dobrodosla, pri cemu bi bilo pozeljno da odgovor bude sto prostije obrazlozen jer kako rekoh ISA sever mi je nepoznanica.

Potpis

optimizacija sajta
vencanice | upravljanje projektima | satovi

nadam se da imas DC(valjda to podrazumjevas kad spominjes grupe).napravis 2 G_L grupe.u njih uclanis korisnike po izboru.
na isi vec imas podeseno da svi imaju full access.
kakav ti je plan??da jednog grupi das full access a ostalim samo browse ili kompletnu zabranu net-a?

Plan je da jedna grupa ima full access, a ostali da ne mogu posecivati internet, znaci kompletna zabrana za drugu grupu

Potpis

optimizacija sajta
vencanice | upravljanje projektima | satovi

Naravno da postoji DC, mreza je u domenu.

Potpis

optimizacija sajta
vencanice | upravljanje projektima | satovi

Pazi, pošto nemam ISA 2004 pri ruci, pričam po sećanju: ako želiš da kontrolišeš pristup Internetu po grupama u AD-u, onda na ISA serveru moraš nekako te klijente da identifikuješ. Zato instaliraj na svaku radnu stanicu Firewall Client, i kada to napraviš, na ISA serveru (ne sećam se tačno gde) podesi da se klijenti obavezno autentifikuju koristeći naloge iz AD-a. Kada si to postigao, samo u access polisi na ISA serveru odredi da samo klijenti koji su u grupi "X" imaju pristup internetu, ostalima "deny". Nadam se da sam ti pomogao sa ne skroz preciznim odgovorom.

Pozdrav

ISA je mocan alat i to sto ti andre2000 preporucuje je prava stvar.

Ali, ako si u "svadji" sa ISom evo jednog predloga, pod uslovom da se korisnici ne loguju na vise racunara, vec iskljucivo na svom, tj. jedan racunar - jedan korisnik.
Ako ISu koristite kao Proxy, na racunarima kojima nije dozvoljen Internet iz podesavanja izbrisi adresu i port Proxy-a. Ti racunari vise nece moci na Internet. Ovako si taj racunar onesposobio za Net, tj. bilo koga ko se loguje na taj racunar. Zato i stoji gorepomenuti uslov da svako ima svoj racunar, jer ako se sef loguje na tri racunara moze doci u situaciju da sa dva racunara moze na Net, a sa treceg ne.
Ako je mreza NATovana, onda na nezeljenim racunarima u podesavanjima izbrisi Default Gateway, ali pod uslovom da lokalna mreza nije segmentirana, tj. da ne postoji ni jedan ruter izmedju klijenta i ISA servera. Posto imate svega 30 racunara, mislim da je taj uslov zadovoljen. I u ovom slucaju vazi da si racunar onesposobio, ali samim tim i onoga ko se loguje na taj racunar.
Vasa mreza moze biti istovremeno i NATovana i organizovana preko Proxy-a, to moras sam da utvrdis.

Pozdrav

jesi li resio problem??

Hvala na korisnim savetima. Sve je bilo podeseno na ISA serveru, nego doticni Firewall clienti-i nisu bili instalirani na ostalim racunarima te stoga nista nije htelo da radi. Kada sam instalirao klijente proradilo je bez problema. Cak radi bez Deny karakteristike, znaci samo Allow internet users, gde doticnu grupu Internet users cine samo oni korisnici koji imaju pravo pristupa internetu.

Potpis

optimizacija sajta
vencanice | upravljanje projektima | satovi

Dali sa ISA servera se moze ograniciti mesecni saobracaj klientima na interneta

Moze li to sa ISA serverom da se odradi bez dodatnih programa na klijentima?

U mrezi je domen kontroler i ISA koja je uclanjena u taj domen. Problem je sto ne mogu da nateram ISA-u da propusta korisnike po korisnickom imenu.
Ili prolaze svi, ili nijedan. Mogu da podesim da to ide preko IP adrese, ali nije u tome poenta.

Potpis

YU2MP

Mislim da je ovde već odgovoreno?

Ne bih da instaliram nista na racunarima, lakse mi je onda da podignem RADIUS.

Potpis

YU2MP

Pa i ne instalira se nešto posebno. Instalacija ISA firewall client-a se može i automatizovati, jednostavnije sigurno nego da dižeš još jedan server. :)