2009-12-10 14:34:19 +0000 2009-12-10 14:34:19 +0000
20
20

autoriser l'accès au réseau local tout en bloquant l'accès à l'internet

J'ai un ordinateur en réseau qui sert de serveur d'impression/scanner à distance (partagé par de nombreux utilisateurs). Y a-t-il un moyen de bloquer l'accès à Internet des machines tout en leur permettant de se connecter à notre réseau local ?

edit-

Essentiellement, c'est une machine Windows XP partagée entre moi-même et 5 autres personnes de mon service (une solution de contournement pour partager un scanner sans acheter un scanner compatible réseau). Le serveur VNC est installé sur l'ordinateur “serveur” et chaque utilisateur utilise un client VNC pour accéder à la machine. La machine a son propre compte et je voudrais désactiver l'accès à Internet. Y a-t-il un moyen de désactiver tous les accès à l'internet à partir de l'ordinateur lui-même sans modifier les paramètres de la politique de groupe ?
Source

Réponses (6)

9
9
9
2013-01-30 01:46:29 +0000

Bloquer la passerelle par défaut dans le pare-feu

netsh advfirewall firewall add rule name="Block default gateway" dir=out action=block remoteip=192.168.0.1

est une bonne méthode car

  • par rapport au changement de l'adresse de passerelle par défaut
  • à une adresse invalide netsh interface ip set address name="Local Area Connection" static 192.168.0.2 255.255.0.0 0.0.0.0 il ne faut pas désactiver le DHCP
  • l'adresse DNS à une adresse invalide netsh interface ip set dns "Local Area Connection" static 127.0.0.1 validate=no l'accès sans utiliser le DNS (par exemple http://74.125.224.72) est aussi bloqué
  • par rapport à route delete 0.0.0.0 mask 0.0.0.0 192.168.0.1 le réglage est sauvegardé
Source
8
8
8
2009-12-10 14:52:11 +0000

Je pense que la façon la plus simple de procéder est de définir une mauvaise passerelle par défaut.
Source
1
1
1
2013-02-03 01:02:28 +0000

J'ai essayé la solution proposée par @MaciekSawicki, mais je n'ai pas réussi à la faire fonctionner. Lorsque j'ai réglé la passerelle par défaut sur quelque chose d'invalide, elle ne pouvait pas du tout se connecter au réseau - même à l'intranet local.

Au lieu de cela, j'ai accompli cela en laissant la connexion sur DHCP (ou configuration manuelle valide) et en réglant le DNS manuellement. Le premier serveur DNS, je l'ai réglé sur une adresse IP invalide (192.0.0.0) et j'ai laissé le second vide, de sorte qu'aucun domaine ne pourra être résolu sur une adresse IP. Cela signifie que tout ce qui utilise explicitement l'IP au lieu d'un nom de domaine fonctionnera, mais que tous les noms échoueront. Cela rend la tâche assez inutile pour les utilisateurs finaux qui essaient de vérifier leur facebook. Si vous souhaitez ajouter une liste de domaines autorisés que les utilisateurs peuvent résoudre, vous pouvez les placer dans un fichier hosts . Veillez simplement à le tenir à jour si les adresses IP changent.
Source
0
0
0
2009-12-10 18:44:10 +0000

Je pense aussi que changer la route par défaut dans votre routeur devrait faire l'affaire. Toutefois, cela n'empêchera pas le routeur de router, si l'on pointe vers lui. La modification de la route par défaut telle que publiée par le serveur DHCP ne fera que supprimer la route par défaut des ordinateurs clients. Toute personne qui ajoute la route manuellement récupère alors l'accès à l'internet. Et supprimer la route par défaut POUR LE ROUTEUR EN LUI-MÊME n'est peut-être pas une bonne idée, car cela prive tout le monde de l'accès à l'internet.

Une autre solution pourrait être le routage basé sur l'IP source. Vous pourriez bloquer l'accès à l'internet aux adresses IP sous x.x.x.128, en autorisant les autres. Si vous disposez d'un routeur basé sur Linux, de telles règles pourraient facilement être programmées. Avec un routeur tel que ceux que vous achetez au magasin, cela peut représenter un plus grand défi.

De nombreux routeurs peuvent également avoir des autorisations d'accès qui peuvent être basées sur la plage d'IP. Vérifiez la configuration de votre propre routeur. Ou bien passez à Linux !
Source
0
0
0
2009-12-10 14:43:19 +0000

Le moyen le plus simple de le faire (mais que n'importe quel technicien pourrait contourner) est simplement d'aller dans les propriétés Internet et de changer le proxy en quelque chose d'inexistant.

A part cela, si vous n'avez pas d'intranet, vous pouvez regarder dans le Pare-feu Windows (si c'est Vista +, pas sûr que XP le supporte) et bloquer le port 80 sortant.

Ces deux méthodes peuvent être contrées si la machine n'est pas verrouillée.

Personnellement, s'il n'y a pas de raison pour que les utilisateurs soient sur cette machine en dehors de leurs programmes, il suffit de la verrouiller complètement par le biais d'une politique de groupe.
Source
0
0
0
2009-12-10 14:39:17 +0000

Je pense que vous pourriez le faire au niveau du routeur (en fonction de votre QOS) et mettre en place une règle pour BLOCKER tout le trafic (sortant du LAN) pour cette IP de serveur/ordinateur spécifique.

De cette façon, le serveur peut fonctionner parfaitement en interne, mais le routeur bloquera / refusera tout accès en externe.
Source