due gfruppi di lavoro , stesso router, come fare restrizioni nella rete? [Archivio]

Bibolo

26-08-2009, 08:33

ciao a tutti, devo "sistemare" un rete precedentemente creata, è composta in questo modo:

ci sono due dipartimenti di uno stesso ufficio, ogni dipartimento è collegato a degli hub eche a loro volta sono collegati ad uno stesso router, ci sono due distinti gruppi di lavoro, ma succede che tuti i computer possono collegarsi tra di loro e vedere i rispettivi documenti, come posso fare affinchè sia inibito l'accesso tra un gruppo di lavoro e l'altro e rimanga invece la possibilità di accedere ai singoli gruppi di lavoro?

so che la domanda è strana ma vi ringrazio sin d'ora per l'impegno.

ilratman

26-08-2009, 08:36

caro ex concittadino

devi mettere un server mi sa!

Bibolo

26-08-2009, 08:39

cioa ex-concittadino, il server c'è già, mi son dimentiocato di scriverlo, è un pc con windows xp che fa appunto da server.

p.s.: ma ti sei trasferito?

ilratman

26-08-2009, 08:49

cioa ex-concittadino, il server c'è già, mi son dimentiocato di scriverlo, è un pc con windows xp che fa appunto da server.

p.s.: ma ti sei trasferito?

ok ma xp non fa da server quindi non gestisce i gruppi di lavoro o le reti per cui ci dovresti mettere un os server così da gestire ipermessi e il routing.

si ormai da 5 anni, prima stavo in via orione se sai dove si trova.

Bibolo

26-08-2009, 09:03

slowped

26-08-2009, 12:10

come posso fare affinchè sia inibito l'accesso tra un gruppo di lavoro e l'altro e rimanga invece la possibilità di accedere ai singoli gruppi di lavoro?

Come suggerito, una soluzione è rappresentata dal passaggio a un dominio Active Directory (ma hai già risposto che per te è arabo;)).

Come soluzione alternativa, se il tuo router lo consente, potresti configurarne il firewall in modo da inibire agli indirizzi IP assegnati ai PC appartenenti a un gruppo l'accesso agli indirizzi IP assegnati all'altro (e viceversa).

ilratman

26-08-2009, 12:57

solo che ora mi stai parlando in arabo....... .

via orione? si dovrebbe essere dietro via cristoforo colombo, una laterale, diciamo in zona via lince, conosco abbastanza.

ma non esiste un qualche programma che mi permetta di filtrare gli ip solo per per questo server? cioè permettere che si colleghino a questo server solo determinati ip?
si esatto la via è quella!

Come suggerito, una soluzione è rappresentata dal passaggio a un dominio Active Directory (ma hai già risposto che per te è arabo;)).

Come soluzione alternativa, se il tuo router lo consente, potresti configurarne il firewall in modo da inibire agli indirizzi IP assegnati ai PC appartenenti a un gruppo l'accesso agli indirizzi IP assegnati all'altro (e viceversa).

si infatti un os server sarebbe la soluzione migliore, magari un bel linux.

interessante la gestione tramite router, guarderò i due router che ho a disposizione se possono fare questa impostazione, non ci avevo mai pensato anche perchè non mi serve avendo il server.

Bibolo

26-08-2009, 13:41

si ma in questo modo basta che mi aggiungano un pc, magari con indirizzo ip uguale e siamo punto e a capo. ma con ipsec non si può fare nulla?

maxime

26-08-2009, 14:54

La soluzione è quella di affidarsi ad un server (vero).. windows server o linux (ci sono anche distro adhoc come freenas).
Altrimenti la cosa più semplice ed economica è quella di comprare un NAS che abbia la gestione degli account.

slowped

27-08-2009, 07:17

si ma in questo modo basta che mi aggiungano un pc, magari con indirizzo ip uguale e siamo punto e a capo.

Scusa ma non l'ho capita. Se aggiungono un PC alla rete non possono assegnargli un indirizzo IP uguale a uno già esistente.

Se vuoi che i due gruppi di lavoro rimangano confinati nel loro ambito la soluzione migliore è quella di dividere fisicamente o logicamente le due reti.

Le soluzioni alternative che ti sono state presentate sono chiaramente sub-ottimali ma sono realizzabili con quello che hai già in casa.

ma con ipsec non si può fare nulla?

:confused:

slowped

27-08-2009, 07:18

ma non esiste un qualche programma che mi permetta di filtrare gli ip solo per per questo server? cioè permettere che si colleghino a questo server solo determinati ip?

Puoi usare il firewall di windows.

Bibolo

27-08-2009, 10:59

Scusa ma non l'ho capita. Se aggiungono un PC alla rete non possono assegnargli un indirizzo IP uguale a uno già esistente.

Se vuoi che i due gruppi di lavoro rimangano confinati nel loro ambito la soluzione migliore è quella di dividere fisicamente o logicamente le due reti.

Le soluzioni alternative che ti sono state presentate sono chiaramente sub-ottimali ma sono realizzabili con quello che hai già in casa.

:confused:

intendevo dire che filtrando gli ip dei pc che appartengono all'altro gruppo di lavoro basta aggiungere un quanlsiasi pc al gruppo di lavoro di prima, con ip diverso ovviamente ed ottengo la possibilità di riconnetermi al server.

sbaglio?

Bibolo

27-08-2009, 11:16

Puoi usare il firewall di windows.

intendi dire permettendo l'accesso al server da parte solo di alcuni ip?

slowped

27-08-2009, 12:53

intendi dire permettendo l'accesso al server da parte solo di alcuni ip?

Esattamente.

slowped

27-08-2009, 12:58

intendevo dire che filtrando gli ip dei pc che appartengono all'altro gruppo di lavoro basta aggiungere un quanlsiasi pc al gruppo di lavoro di prima, con ip diverso ovviamente ed ottengo la possibilità di riconnetermi al server.

No. Se configuri opportunamente il firewall, per esempio bloccando tutto il traffico tranne quello consentito, solo gli IP a te noti possono accedere alle risorse. Questa soluzione però implica che tu (e soltanto tu) abbia il controllo completo sull'assegnazione degli indirizzi. Altrimenti qualcuno del gruppo 1 potrebbe cambiare il proprio indirizzo IP prendendone uno assegnato a una macchina spenta del gruppo 2 e accedere alle risorse dell'altro gruppo.

Secondo me la soluzione migliore rimane la separazione (logica o fisica) delle due reti.

ilratman

27-08-2009, 13:00

No. Se configuri opportunamente il firewall, per esempio bloccando tutto il traffico tranne quello consentito, solo gli IP a te noti possono accedere alle risorse. Questa soluzione però implica che tu (e soltanto tu) abbia il controllo completo sull'assegnazione degli indirizzi. Altrimenti qualcuno del gruppo 1 potrebbe cambiare il proprio indirizzo IP prendendone uno assegnato a una macchina spenta del gruppo 2 e accedere alle risorse dell'altro gruppo.

Secondo me la soluzione migliore rimane la separazione (logica o fisica) delle due reti.

molto meglio fare le cose fisiche con un server in mezzo!

slowped

27-08-2009, 13:03

molto meglio fare le cose fisiche con un server in mezzo!

Perché creare due VLAN non ti piace?

ilratman

27-08-2009, 13:09

Perché creare due VLAN non ti piace?

intendi wlan con vlan o solo lan?

se wlan la cosa non mi piace, non considero la wlan come una rete per lavorarci è troppo lenta e non sicura.

se intendi lan io farei un server con due schede di rete ad ip diverso, tipo 192.168.0.1 e 192.168.1.0 e quindi due reti e le gestirei.

potrebbe anche fare come hai detto tu con due router a ip diverso o altro.

ma sai secondo me in una rete ci deve essere il server almeno in un ufficio con molte macchine perchè così gestirà lo spooler e tutti gli altri servizi di rete senza impegnare le macchine con cui si deve lavorare.

nightfly

27-08-2009, 13:25

Perché creare due VLAN non ti piace?

VLAN ovvero Virtual LAN, consente di separare gli host connessi ad uno stesso switch come se appartenessero a LAN diverse, anche se fisicamente non è così. Sono molti i dispositivi che supportano le VLAN a partire dai Cisco (i Catalyst 2950 si trovano a poco su E-bay) fino a qualche modello HP.
Anche secondo me la soluzione basata sull'uso di VLAN è la meno impegnativa e la più logica.

maxime

27-08-2009, 14:11

VLAN ovvero Virtual LAN, consente di separare gli host connessi ad uno stesso switch come se appartenessero a LAN diverse, anche se fisicamente non è così. Sono molti i dispositivi che supportano le VLAN a partire dai Cisco (i Catalyst 2950 si trovano a poco su E-bay) fino a qualche modello HP.
Anche secondo me la soluzione basata sull'uso di VLAN è la meno impegnativa e la più logica.

Parli degli switch gestiti?
Se è così spende meno con un router con firewall integrato..

nightfly

27-08-2009, 14:48

Parli degli switch gestiti?
Se è così spende meno con un router con firewall integrato..

Cosa intendi per switch gestiti? Parlo di switch in cui è possibile configurare le VLAN.
Router con firewall integrato? Sono giocattolini nel 50% dei casi...

maxime

27-08-2009, 16:08

Cosa intendi per switch gestiti? Parlo di switch in cui è possibile configurare le VLAN.
Router con firewall integrato? Sono giocattolini nel 50% dei casi...

Gli switch gestiti sono switch che hanno un proprio indirizzo ip ed possibile ad esempio configurare una diversa classe di indirizzo sulle diverse porte che hanno.

nightfly

27-08-2009, 17:21

ed possibile ad esempio configurare una diversa classe di indirizzo sulle diverse porte che hanno.

Le VLAN, appunto. Comunque non sempre "switch gestito" equivale a "switch molto costoso".

Bibolo

27-08-2009, 21:48

quindi devo prendere uno di questi aggeggi per fare ciò che voglio......

ilratman

27-08-2009, 21:58

quindi devo prendere uno di questi aggeggi per fare ciò che voglio......

secondo me fai prima amettere un bel os linux, tipo ubuntu server e studiare un po' come funziona!

nightfly

28-08-2009, 07:02

secondo me fai prima amettere un bel os linux, tipo ubuntu server e studiare un po' come funziona!

Ok ma tirare su un PC ad hoc che funga da firewall e che magari deve rimanere acceso 24/7 non conviene (costa parecchio in termini di corrente). Conviene piuttosto acquistare un dispositivo dedicato.

maxime

28-08-2009, 08:29

secondo me fai prima amettere un bel os linux, tipo ubuntu server e studiare un po' come funziona!

Secondo me no! Mettere su una macchina con Linux che faccia da firewall-file server non è poi così complicato (visto che in rete si trovano molte guide step by step)... ma hai idea del tempo di fermo lavoro nel caso in cui succede qualcosa alla macchina e non sai dove mettere le mani?
Anche io, che non sono certo un guru di Linux ne avevo messa su una utilizzando opensuse e Samba, ma non l'ho certo usata come macchina di produzione (non perchè non funzionasse bene, ma per i motivi di sopra).
Anche i costi di gestione non sono affatto trascurabili..
Qui si parla di un ufficio, la continuità di lavoro è fondamentale.

ilratman

28-08-2009, 08:39

Ok ma tirare su un PC ad hoc che funga da firewall e che magari deve rimanere acceso 24/7 non conviene (costa parecchio in termini di corrente). Conviene piuttosto acquistare un dispositivo dedicato.

non è detto che un pc dedicato consumi di più, il mio server dell'ufficio che però fa solo da printserver e fileserver e ftp, l'ufficio è mio quindi me lo gestisco da solo, consuma 29W in idle per cui veramente poco e credo meno di un paio di dispositivi dedicati.

Secondo me no! Mettere su una macchina con Linux che faccia da firewall-file server non è poi così complicato (visto che in rete si trovano molte guide step by step)... ma hai idea del tempo di fermo lavoro nel caso in cui succede qualcosa alla macchina e non sai dove mettere le mani?
Anche io, che non sono certo un guru di Linux ne avevo messa su una utilizzando opensuse e Samba, ma non l'ho certo usata come macchina di produzione (non perchè non funzionasse bene, ma per i motivi di sopra).
Anche i costi di gestione non sono affatto trascurabili..
Qui si parla di un ufficio, la continuità di lavoro è fondamentale.

non hai per niente torto, effettivamente i costi di gestione non li ho tenuti in considerazione.

certo che per imparare io ci proverei, al max lo testo per un po' con una rete casalinga per farmi le ossa.

maxime

28-08-2009, 08:57

...
certo che per imparare io ci proverei, al max lo testo per un po' con una rete casalinga per farmi le ossa.

In questo pienamente daccordo! ;)

nightfly

28-08-2009, 10:38

In questo pienamente daccordo! ;)

Ok ma a quanto pare urge una soluzione quasi immediata, per cui tralasciando la fase ti testing volta all'apprendimento, suggerisco caldamente di acquistare un dispositivo dedicato :D

Comunque sono daccordo con voi... tirare su un server linux non ha prezzo, per tutto il resto c'è Cisco :D