Prohibir acceso a internet a ciertos usuarios en dominio

[donguru]

Hola amigos, como prohibo el acceso a internet a ciertos usuarios en mi dominio de active directory? Existe alguna política que debo ajustar para esto? uso Win Server 2003.
Destaco que no quiero usar proxys ni el ISA server..

Gracias de antemano!

[BrujoNic]

Si están en un dominio, lo más que podrías hacer, es entrar manualmente a cada uno de esos equipos y quitarles el DNS.

Si los equipos obtienen la IP por DHCP, debes cambiar la estructura de tu red y ponerles a todos IPs fijas.

[donguru]

sí, estaba pensando en eso de retirar los dns, pero hay algunos servicios que van a estar necesitando el dns, y no debo quitarles..yo solo quiero que este restringido la web..
no es por dhcp..
existe alguna manera que determinadas ip's tengan acceso a internet, y las demas no?

desde ya muchas gracias..

[BrujoNic]

Investiga sobre el router que estés usando a ver si podes aplicar filtros por IP.

[donguru]

brujonic..justamente quiero evitar eso porque es un router-firewall bsd..y no quiero entrar en su configuracion..
hay alguna forma "pura" de habilitar que ip's y que no tendran acceso a internet? usando active directory?

[BrujoNic]

Que yo sepa, por AD NO, por ISA Server SI.

Existen también programas como winproxy que te crea grupos para realizar lo que necesitas.

[donguru]

Ya, justamente me quiero evitar instalar el ISA o el winproxy como dicen aquí..
El active directory no tiene algun ACL lista control de acceso por ip?
tambien suelo ver que en el AD uno define que computadoras (aparte de usuarios) estaran en la red..

Y si con esto no hay caso,tengo un firewall BSD, pero no se que paso realizar..

alguien puede ayudarme?
desde ya muchas gracias..

[dogduck]

A los usuarios que desees que no accedan a Inet, puedes definirles un script de inicio de sesión tal que le quite el gateway o puerta de enlace.
Por ejemplo con un bat o cmd

@echo off
rem -- quita_gateway.cmd
rem si fueras a quitar un gateway determinado: netsh interface ip delete address "Conexión de área local" gateway=192.168.0.1
rem quitar todos
netsh interface ip delete address "Conexión de área local" gateway=all



o le asignas un gateway inexistente

netsh interface ip add address "Conexión de área local" gateway=10.255.255.1

Tambien valdria hacerlo con el comando route:

route change 0.0.0.0 mask 0.0.0.0 10.1255.255.1


Y luego con las directivas del dominio impide que puedan configurar la puerta de enlace manualmente.

salu2

[donguru]

buenísimo! gracias dogduck!
estaré probando esta semana...