router/firewall für schulnetzwerk

#1 Hallo, binmit grossem Interese gestern auf dieses Forum gestossen und habe viel gelernt - danke!
Problem:
Wir haben ein Schulnetzwerk mit ca 100 W2K workstations, DHCP, Breitband-Kabelmodemanschluss. Zur Zeit haben wir einen FREESCO Server als router/firewall, der sehr gut arbeitet.
Nun besteht aber der Wunsch, bestimmte Gruppen von Computern vom Internet abschalten zu können. Der FREESCO tut das nicht, wie mir unser Praktikant sagte (ich versteh davon leider nicht alles :-( ).
Was ist zu empfehlen, an Geld soll es nicht primär liegen (soviel habe ich begriffen aus dem Forum - turer=einfachere Handhabung), aber mehr als 2000 € sollten es auch nicht sein. Der Techniker, der das wartet, versteht von routing, NAT etc nur mittelmässig was (mehr ein hardware-Schrauber).
Ich bin um alle Tips dankbar!
Hans Meyer, Belgium

#2 Welche Services werden im Internet genutzt?

Geht es um eine Temporäre abschaltung des Inets?

Sind Linux-Kenntnisse vorhanden?

mfg p2k
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de

#3 Möglicherweise ist es besser vor den Router noch einen Proxy zu installieren, so daß alle Anfragen erst von diesem bearbeitet werden. Bei der Auswahl des richtigen Produktes kann man da auch entscheiden, wer wann und wie ins Netz kann. Da gibt es verschiedene Ansätze:

- Winproxy (www.ositis.com): anhand des DNS Namens / IP-Adresse
- WinGate (www.wingate.com): anhand des NT/2000 Benutzerkontos

--> beide Produkte bieten eine Überwachung des Verkehrs auf Viren

- ISA Server (www.microsoft.com): anhand des Benutzerkontos

Ich denke, daß man hier mit einem Proxy relativ flexibel die Sache erledigen kann - dies auf dem Router zu machen, wäre wohl etwas umständlich bzw. IMHO an der falschen Stelle.

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#4 Moin boardies...

eine recht einfache, vor allem wenn einmal eingerichtet, leich administrierbare Variante, wäre folgende:

1. Schritt: Vergabe eigener ClassIDs auf Clientseite - alle Clients einer Gruppe die gleiche ClassID.

2. Schritt: Einrichtung und Rechtevergabe für benutzerdefinierter ClassIDs auf dem DHCP-Server (win2000-Server vorausgesetzt).

3. Temporäres ab- oder zuschalten von Benutzergruppen mit gleicher ClassID via Mausklick: allen Clients mit der entsprechenden ClassID wird per Klick als Standardgateway nicht mehr die IP des Routers zugewiesen, sondern z.b. localhost. Schon kommt die Gruppe nicht mehr ins Netz. Die Wirkung zeigt sich allerdings erst nach einem Reboot der Clients

Einzige Voraussetzung: min. win2000server mit eingerichtetem DHCP. Wesentlich eleganter und einfacher wäre ein Novelserver. Für den gibt's fertige Admin-Tools, die genau das oben beschriebene Problem lösen. Ab- und/oder zuschalten auf Benutzer- oder Gruppenebene, zeitgesteuer, auch mit Zeitkonten (Benutzer XYZ darf nur 45 min/Tag ins Netz ). Ich denke aber, es ist heut (leider) wesentlich einfacher jemanden zu finden, der sich mit win2000server als mit Novel auskennt

Grüße, dicon
__________
Knie nieder NICHTS und danke der Welt, dass sie dir ein Zuhause gibt und dich am Leben hält.

#5 @dicon: sehr interessante Variante!!

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#6 Es gibt Programme die das für dich erledigen (novell)

Am Rande mal Master Protect und Inis erwähnt.

mfg p2k
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de

#7 poiin2000... eventuelle noch der BoarderManager unter Novel?!

Egal, auch f?r win2000server gibt's das: ISA-Server... allerdings sollte man sich f?r das Teil 'ne Schulung oder jemanden f?r die Administration g?nnen Aber wenn's einmal l?uft... Ich bin sonst nicht jemand, der zwingend auf Microsoft abf?hrt, aber wer in komplexen Umgebungen eine saubere Administration duchzieht, hat mit Microsoft eigentlich nicht viele Probleme... es bringt sogar richtig Spa?

Gr??e, dicon
__________
Knie nieder NICHTS und danke der Welt, dass sie dir ein Zuhause gibt und dich am Leben hält.

#8 @meyerhansu:

Was du benötigst ist eine Maschine auf der entweder Debian GNU/Linux läuft oder NetBSD ... ich finde beide Systeme sind sehr stabil. Natürlich muss du Kenntnisse davon besitzen. Am besten ist es du läßt den ganzen verkehr über Proxys laufen die lassen sich gut konfigurieren und fungieren wie eine Firewall du kanns bestimmte Adressen und/oder Adressklassen zu lassen andere wiederum nicht.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode