[решено] ограничить доступ к сети и интернету

[kairden]

Здравствуйте, есть проблема...

имеется сеть, состоящая из:
1 - роутер-модем DSL_2640NRU (раздача интернета, ип-адресов, нат), 192.168.1.1, проводное подключение;
2 - роутер-вайфай TP-WR940N (раздача ип-адресов, {смысл его использования - беспроводное подключение, т. к. роутер№1 находится далеко}), проводное подключение;
3 - сервер Windows Server 2008 R2 Standart (общие файлы, раздача ип-адресов), проводное подключение.
4 - компьютеры, проводноые подключения;
5 - ноутбуки, беспровдные подключения.

Задачи:
1 - ограничить доступ к сети по МАС-адресам, как проводных так и беспроводных устройств;
2 - ограничить доступ к интернету по МАС-адресам, только для проводных подключений;
3 - ограничить доступ онлайн-программ (чаты, торрент-клиенты и т. д.)

Вопросы:
1 - то, что на каждом модеме и сервере настроен dhcp-server, это ведь неправильно?
2 - как организовать сеть, чтобы раздача ип-адресов была от одного устройства, желательно от сервера?
3 - читал, что если в роутер-модеме, подключение к интернету через PPPoE, то фильтрация по МАС-адресам работать не будет. Проверил - правда. Можно это как нибудь обойти?

Примечание: Конечно, заранее извиняюсь, если подобные вопросы уже поднимались и решались

[Angry Demon]

1 - то, что на каждом модеме и сервере настроен dhcp-server, это ведь неправильно?
Неправильно.

2 - как организовать сеть, чтобы раздача ип-адресов была от одного устройства, желательно от сервера?
Отключить везде DHCP. На сервере - оставить. TL-WR940N включить в режим точки доступа.
Сервер установить между модемом и остальной сетью. На сервер установить, например, TMeter (www.tmeter.ru). Им и рулить доступ. Можно сервер оставить там, где есть, а установить между модемом и сетью простенький компьютер с Windows + TMeter, либо с pfSense (http://www.pfsense.org/), либо с чем там вы умеете работать.

[kairden]

TL-WR940N включить в режим точки доступа. »
[/q]
не совсем понимаю...
даже если со включенным dhcp-server, компьютеры беспроводного подключения берут ип адреса от роутер-модема DSL_2640NRU. Если просто отрубить dhcp-server, я получу то, о что мне нужно?
Примечание: у каждого сервера dhcp (DSL_2640NRU, TL-WR940N, сервер) своя область раздачи ип-адресов, не один компьютер не получает ип-адрес из области указанной TL-WR940N

Сервер установить между модемом и остальной сетью. »
Как бы не вариант... Я понимаю, что так было бы проще.
Но модем стоит слишком далеко от всех, поэтому пришлось отключить там беспроводную сеть и поставить доролнитульный роутер для беспроводного подключения к сети.
Я, вообщем, искал вариант, чтобы физически все оставалось как есть.

[Rezor666]

kairden, Зачем все так усложнять?
Задачи:
1 - ограничить доступ к сети по МАС-адресам, как проводных так и беспроводных устройств;
2 - ограничить доступ к интернету по МАС-адресам, только для проводных подключений;
3 - ограничить доступ онлайн-программ (чаты, торрент-клиенты и т. д.) »
Вам этого не сделать с вашим оборудованием, то что вы сделаете будет висеть на соплях и обходиться за пару минут.

Если просто отрубить dhcp-server, я получу то, о что мне нужно? »
Где отрубить?
Ну отрубите его везде.
Вам нужен только 1 DHCP сервер, от этого и отталкивайтесь.

И научитесь рисовать схемы, а то голову можно сломать пока читаешь.

[freese]

Я, вообщем, искал вариант, чтобы физически все оставалось как есть. »
не получится
Как бы не вариант... »
лучший вариант и уже на сервере разделить на "своих" и "чужих"

[kairden]

Сервер установить между модемом и остальной сетью. »
лучший вариант и уже на сервере разделить на "своих" и "чужих" »
Так и надо, в том смысле, чтобы дать сетевую власть серверу. но вот дистанция до модема все портит.
А это будет считаться вариантом: в модеме установить подключение bridge?
1 - Как это вообще будет выглядеть?
2 - каждому компьютеру придется проходить авторизацию доступа в интернет или один раз, например на сервере?
3 - если каждому, то можно раздавать интернет через сервер?

[Rezor666]

А это будет считаться вариантом: в модеме установить подключение bridge?
1 - Как это вообще будет выглядеть? »
Вики (http://ru.wikipedia.org/wiki/%D0%A1%D0%B5%D1%82%D0%B5%D0%B2%D0%BE%D0%B9_%D0%BC%D0%BE%D1%81%D1%82)
2 - каждому компьютеру придется проходить авторизацию доступа в интернет или один раз, например на сервере? »
3 - если каждому, то можно раздавать интернет через сервер? »
Чего?
Научитесь формулировать вопросы!
Я вот не хрена не понял что за авторизация, что за "если каждому" и что за раздача интернета на сервер.

[Angry Demon]

Так и надо, в том смысле, чтобы дать сетевую власть серверу. но вот дистанция до модема все портит.
И какова же эта дистанция?

[kairden]

Где отрубить? »
Моя не понимать, что означать "точки доступа". Роутер для беспроводной сеть не присваивать ип-адрес. Поэтому моя решить, просто отключать DHCP-сервер. Моя думать, что все итак понять из контекст - речь идти о роутер беспроводная.

Доступно?
А я вот пока ничего полезного от тебя не узнал, только твое нытье о том, что ты туго врубаешься в суть без картинок.

И какова же эта дистанция? »
Не слишком большая, но беспроводное подключение к нему не тянется.
Проблема даже не в этом, а в том что он находится в закрытом помещении и только там находится тел. линия.

[Rezor666]

Доступно? »
Нет.
Моя не понимать, что означать "точки доступа »
Вас в гугле забанили?
Беспроводная точка доступа (http://ru.wikipedia.org/wiki/%D0%91%D0%B5%D1%81%D0%BF%D1%80%D0%BE%D0%B2%D0%BE%D0%B4%D0%BD%D0%B0%D1%8F_%D1%82%D0%BE%D1%87%D0%BA%D0 %B0_%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0)
Роутер для беспроводной сеть не присваивать ип-адрес. »
просто отключать DHCP-сервер »
Это гениально.
Моя думать, что все итак понять »
А моя думать что придет модератор и сделает выговор Вам.

только твое нытье о том, что ты туго врубаешься в суть без картинок. »
Да, я туго врубаюсь в кривые описания и по моему схема сети это нормальное явления.

Ваш вопрос сам по себе дурацкий.
Всего то нужно сделать сервер или роутер шлюзом, сделать ограничения по макам и все.
И как я написал выше о всяких ограничениях Вы можете забыть.
Ваш уровень знаний не позволит использовать методы ограничения трафика.

[kairden]

Rezor666, Не психуй, это всего лишь форум. И перестань ныть, скину я тебе картинки:) потом... половину:)
просто, сейчас немного занят.

Если роутер-модем подключен к общей сети, можно ограничить к нему доступ, чтобы только сервер мог получать от него интернет?

[Rezor666]

Если роутер-модем подключен к общей сети, можно ограничить к нему доступ, чтобы только сервер мог получать от него интернет? »
Если он выступает в роли шлюза то нет.
Максимум что Вы сделаете это сделайте авторизацию по mac и тогда клиенты не смогут получать от него интернет, но в таком случае вы ставите сервер под удар.

[freese]

Не слишком большая, но беспроводное подключение к нему не тянется.
Проблема даже не в этом, а в том что он находится в закрытом помещении и только там находится тел. линия. »
кабеля нет от модема к сети/серверу?

[kairden]

Если он выступает в роли шлюза то нет.
Максимум что Вы сделаете это сделайте авторизацию по mac и тогда клиенты не смогут получать от него интернет, но в таком случае вы ставите сервер под удар. »
Мне кстати всегда было интересно, роутер-модем обязательно должен быть основным шлюзом, чтобы раздвать интернет?
"авторизация по мас" - это как бы фильтрация по мас-адресу?
"сервер под удар" - что с ним станет?

[Rezor666]

Мне кстати всегда было интересно, роутер-модем обязательно должен быть основным шлюзом, чтобы раздвать интернет? »
Зависит от роутера и пониманием фразы "раздавать интернет", на роутере может стоять squid и он будет раздавать интернет но при этом он не будет шлюзом.
"авторизация по мас" - это как бы фильтрация по мас-адресу? »
Все верно.
"сервер под удар" - что с ним станет? »
Если начнут клонировать mac то это парализует связь с сервером.
Но если у Взломщика есть выбор то он предпочтет отключить клиентский компьютер.

[kairden]

кабеля нет от модема к сети/серверу? »
в смысое, проводное или беспроводное подключение к общей сети? через проводное подключен

[freese]

через проводное подключен »
тогда в чем проблема поставить сервер между модемом и сетью?

[kairden]

а я не могу Максимум что Вы сделаете это сделайте авторизацию по mac и тогда клиенты не смогут получать от него интернет »
не вариант наверно, просто DSL_2640NRU не дает использовать эту функцию, если подключение не через bridge
Зависит от роутера и пониманием фразы "раздавать интернет", на роутере может стоять squid и он будет раздавать интернет но при этом он не будет шлюзом. »
незнаю как еще можно понимать эту фразу, squid'a нету.
Если начнут клонировать mac то это парализует связь с сервером.
Но если у Взломщика есть выбор то он предпочтет отключить клиентский компьютер. »
для безопасности фаервол должен быть перед сервером (в небольших организациях маломальски эту роль выполняют роутер, в которых есть фаервол) »
то есть модем - сервер - рабочая_сеть, единственный вариант в моем случае?

тогда в чем проблема поставить сервер между модемом и сетью? »
сервер и модем находятся на разных этажах, связываюся через хаб. это можно считать проблемой?

[Rezor666]

не вариант наверно, просто DSL_2640NRU не дает использовать эту функцию, если подключение не через bridge »
Тогда вообще без вариантов.
squid'a нету. »
Знаю.
то есть модем - сервер - рабочая_сеть, единственный вариант в моем случае? »
Да.
Но самый правильный - модем - шлюз - сервер - рабочая сеть.
Шлюз можно реализовать 2 способами:
1- Покупкой железа или роутеров типа ALIX.
2- Гипервизором.

Ах да, потребуется знания Linux/Unix.

[kairden]

1- Покупкой железа или роутеров типа ALIX. »
имеется ввиду то, что имеется в моем случае?
2- Гипервизором. »
это еще что такое?
Ах да, потребуется знания Linux/Unix. »
зашибись, всегда мечтал их приобрести.