|
|
【類別】：網路資源 |
如何防止未核可之電腦連上 Intranet？ |
在 NT 中指定帳號只能登入允許的機器！ 當然如果使用者更改外來機器的名稱，讓他和既有機器一樣的話，這麼做也沒有用。 最佳的方法是透過 SMS 會類似的產品去監控登入的機器......... 然後非我族類，一律殺掉！ Sessionwall-3 也可以做到類似的功能！但是網路規劃上必須做得相當完整！ 買一台高級的 Router , 用 L2-Filter 就可以了.... BSDIROUTER(config)(filters-add)# ? address-filter - Create address filter port-address-lock - Create address-to-port lock secure-port - Create secure port filter static-entry - Create static entry filter Ctrl-z - Exits to previous level top - Exits to the top level 似乎要有專用的軟體，才能對 Port 鎖 MAC，前提是HUB要有SNMP的功能! Switch Hub 3COM CoreBuilder 2500，有 Packet Filter 的功能，由於它是 Layer 2 Switch，所以只能針對 MAC Address 來做判斷，現在就是用它來做只允許 Proxy Server 上 Internet，這樣一來，其它機器除非去偷 Proxy Server 的網路卡，否則應該都無法直接上 Internet；不過，這類Packet Filter 不是很好用，類似在寫組合語言，應該還有更好的工具來做這樣的事。 3COM SuperStack II Switch 中有個功能就是 by Port 可以鎖MAC address，就是當 Security Enable 時，則 Hub 會記錄每個 Port 第一次連上來的Device MAC Address。 使用Firewall的做法，先說禁止非法連上 Internet 的方法。 可以用 Session Authentication 的做法，也就是管理者可以幫 User 安裝一個 Client軟體，然後將防火牆內的規則設起來，當無此 Client 軟體的電腦，即使有 Username與 Password 也無法通過認證，如果需要更高等級的保全 ，還可以搭配 One-times password 與 Security Dynamic 之類的 SecureID Card，於是即使電腦可以連上網路，沒有授權的密碼或機制，那也無法通過認證。 但是此法要用在 Intranet 之上，必須將防火牆上架出個 DMZ 區，然後將Server架在 DMZ 內，如此一來，內部 user 要分享 DMZ 內的資源也可以被此法管制，而非 DMZ 內應該沒有重要資源（Peer to peer WIndows 95/98 shared 不算的話）。 未來可以結合 Windows 2000 的 IC 卡認證，於是無卡者無法上線，或是像Compaq 出的那類生物認證技術，不過這些方式需要額外硬體。 有一家 Alleiro （可能拼錯，中文叫阿力路）以色列公司推出的 Client 端Encryption 可以做到資源加密，更過分的是可以做到文件的某章節加密，這也是一種即使對方上線也無法取走資料的 Intranet Solution。 |
