Архив форумов ЦИТФорума

[Serega_krg]

Помогите, как сделать, чтобы пользователи в сети видели только компы, входящие в их группу

[McZim]

Раздели компы по разным подсетям
_________________
Я странный...

[Serega_krg]

А если пользователь входит в несколько групп, как он сможет видеть компы в разных подсетях?

[and3008]

[Serega_krg]

Жаль. У моего начальства такие взгляды на безопасность в сети: если не пользователь не видит комп не из своей группы, то и проблем нет.
Другой вариант: есть ли возможность разделить компы по группам так, чтобы в с сети из было видно в виде дерева из групп, при входе в которые показывались бы компы, входящие в эту группу?

[Greenering]

как вариант можно предложить пользование скрытых шар, но с точки зрения юзера не удобно и не решает задачу
_________________
С уважением, Таня

[and3008]

Хе-х! Эта задача еще сложнее первой. Тоже невозможно.

Если уж такой подход, то вообще уберите все компы из сетевого окружения (делается через правку реестра на каждом компе). Каждому юзверю заведите папку на рабочем столе и сделайте ярлыки на каждый нужный ему комп.

Вот игрой с ярлыками и решите эту задачу. Только у вас будет вечный геморой с правкой этих ярлыков, особенно если сеть большая и компов много. Так же надо понимать, что ярлык висит всегда, даже если комп выключен. Юзверь на комп пойдет, а там фиг. При этом explorer (графическая оболочка) блокируется и тебе будут звонить и топать ногами, мол комп мой завис. Не завис он. От тайм-аута ждет.

Начальству объясните, что требуемый механизм стандартными средствами Windows сделать невозможно. Операционная система этого не позволяет сделать.

Почему? Потому что протокол NetBIOS разрабатывался в начале 90х годов, и тогда разработчики считали, что в сети будет не более 20-30 компьютеров. Все глюки с сетевым окружением оттуда и растут.

Если у вас начальством уперлось рогом, то смотрите в сторону eDirectory от Novell. Это отдельный продукт, который надо будет купить.

Вообще подобная проблема - не проблема абсолютно. Храните все данные на серверах. Не фига их на рабочих станциях держать. Серверы работают круглосуточно, данные всегда доступны. С серверов проще всего сделать резервное копирование. Юзверь быстро к этому привыкает и сам сделает ярлык на рабочем столе с путем "\\serv\Документы_дяди_Васи", а про сетевое окружение забудет как про страшный сон.

Начальству проведите аналогию: Вот приехало оно в гостинницу. Дали ему ключ от номера, идет оно по коридору и видит кучу дверей (это типа компы), однако попасть оно туда не может, т.к. прав доступа нет, ключик только от одной двери!

[aC^dreik]

А что простите мешает пристрелить на машине которую надо убрать из сети NetBios over TCP/IP ?

Пропадёт в достаточно короткие сроки
_________________
Спасибо,
дрейк

[and3008]

Читайте внимательно вопросы.

Вопрос не в том, как убрать комп из сетевого окружения, а как сделать видимость тех или иных компов в зависимости от того под каким логином зашли в сеть.

Пример: Вася Пупкин должен видеть в сетевом окружении server1, server2, server3
Коля Деточкин только server 1, server3 и server5.

Ответ: Задача решения не имеет, т.к. протокол NetBIOS таких возможностей не предоставляет.

[aC^dreik]

[anton_wol]

IPSec я полагаю может помочь, там правила создаешь типа запретить юзверям с такими айпишниками вообще все и видеть они их перестанут по идее, TCP/IP будет правда

В сервере 2003 это оснастка secpol.msc

еще можно настроить VLAN
_________________
не стыдно быть дураком, стыдно им оставаться...

[and3008]

Сам понял что сказал?
Напиши план и убедись сам, что ты спорол чушь.

Граждане, поймите, что список компов отдает Master Browser. При чем отдает их сразу скопом, а не по-штучно на основании некоторых условий.

Не порите чушь про VLAN и IPSec. Эти вещи хорошие и не надо их путать друг с дружкой.

[anton_wol]

с помощью IPSec создать политику в которой прописать фильтр траффик с любого компа на этот - правило - запретить, и потом фильтр: разрешить траффик с компов группы данного компа, это проделать на всех компах и назначить данную политику

что это даст? разве компы не перестанут видеть другие компы с других групп?

VLAN: на коммутаторе погруппировать компы по портам в прилагающейся к коммутатору приложении управления данного дэвайса (через обыкновенный веб-браузер я видел работает) (получим разграничение по группам на канальном уровне)

если я ошибаюсь пишите pls, я еще маленький, учусь...
_________________
не стыдно быть дураком, стыдно им оставаться...

[Andy_user]

Автору темы:
Решения Вашей задачи не существует.

To and3008:

[and3008]

Благодарствую, но я сознательно не стал вдаваться в подробности.

Тема "Вся правда о сетевом окружении" была здесь обсуждена вдоль и поперек. Ищущий найдет все в архиве. Поднимать эту тему вновь не хочу.

[anton_wol]

[and3008]

[anton_wol]

ясненько

и про IPSec с VLAN еще дополните pls (удовлитворите мое любопытство, а то я тут уже MSDN, "Секреты хакеров", там FoundStone пишет, различные пособия для админов поднял) особенно про IPSec написано что через групповые политики можно управлять безопасностью даже лучше чем файрвол по безопасности, можно закрыть все порты(кроме 88, Kerberos, ISAKLM)
_________________
не стыдно быть дураком, стыдно им оставаться...