Закрыть порт на маршрутизаторе win2003 [Версия для КПК]

Показать полную графическую версию : Закрыть порт на маршрутизаторе win2003

Donner

21-05-2009, 08:08

Я думаю проблемка плёвая, но для верности решил спросить. Есть сети объединенные посредством маршрутизатора на базе win2003, и есть пользователи, которые умудряются печатать на сетевые принтера не своей сети. Решение вроде как простое - закрыть трафик по порту 9100 (принтерный) между сетями. Так вот вопрос как это сделать? В свойствах интерфейсов во вкладке ip-маршрутизации есть что то типа фильтр входа, фильтр выхода, это оно, тут копать?

CaminoDeFlores

21-05-2009, 08:41

AD есть?
Сам не особо разбираюсь, но разве ПКМ > Безопасность, выбрать пользователей и выставить права не работает?

Donner

21-05-2009, 09:06

нет, принтер сетевой, т.е. по сути к ниму может получить доступ любая железка включенная в сеть, ад тут не поможет.

exo

21-05-2009, 09:32

ад тут не поможет »
Вы можете раздать права в свойствах принтера.
средствам маршрутизатора на базе win2003 »
маршрутизация штатными средствами или нет?
если штатными, то вам сюда (http://forum.oszone.net/thread-137467.html).

CaminoDeFlores

21-05-2009, 09:37

Всё таки я был прав.

exo

21-05-2009, 10:05

вообщем нужно разобораться с терминалогией принтеров. кто локальный, а кто сетевой.
чем отличается локальный на порту TCP/IP от сетевого подключённого через другой комп, на котором он подключён локально по TCP/IP

monkkey

21-05-2009, 12:52

локальный на порту TCP/IP »
Локальный принтер может быть подключен через физические порты компьютера( COM, LPT, USB и т. д.). Подключенный через TCP/IP - и есть сетевой, если учесть, что TCP/IP - протокол связи, а не физическое устройство.

exo

21-05-2009, 13:01

Подключенный через TCP/IP - и есть сетевой »
это то понятно, но почему когда я подключаю принтер, я выбираю - локальный принтер -> порт TCP/IP ?
т.е. дело не в технике, а в словах, почему так назвали ? почему не назвать сетевой -> IP такой-то?

Donner

21-05-2009, 13:17

ребят,то что принтером можно управляеть в свойствах и так понятно, этоне решает проблемы. Я пришел в сеть, зацепил ноут, получил по DHCP ip, установил сетевой принтер из другой сети (маршрутизация же работает независимо от домена) и сиди печатай. вот это надо запретить. да да, сетевой я имею в виду именно подключенный физически к свитчу, а не тандем принтер-компьютер-сеть.

exo

21-05-2009, 17:23

и сиди печатай »
а если разрешить печать только Domain Users ?
сетевой я имею в виду именно подключенный физически к свитчу »
как правило такие принтеры подключаются локально на принт-сервере, расшариваются, и используются с теми правами, которые ему назначил Администратор принт-сервера.

monkkey

21-05-2009, 17:51

и сиди печатай. вот это надо запретить »
В безопасности разрешить печать только OU из нужной подсети (если его нет, создать).

Donner

21-05-2009, 19:29

ребята, вы в каком веке, какие принтсервера? уже давным давно сетевая карта встроена в принтер, ограничить печать внутренним принтсервером невозможно в связи отсутствия функционала... ну на примере HP LJ3055, да и почти на всех современных мфу с сетью, кроме дорогих для больших групп, невозможно. Забудьте про компьютеры вообще, управление принтером происходит напрямую через сетевой порт, ни о каких доменных безопасностях и пользователях речи нет. Вопрос повторю, как на стандартном виндовом маршрутизаторе (не НАТ, а просто включенная маршрутизация средством rras и настроенными стат.маршрутами) выключить шлюзование отдельного порта?

exo

21-05-2009, 20:55

уже давным давно сетевая карта встроена в принтер »
ну да. без неё он бы не получил бы IP настройки, и не был бы доступен по сети.
ограничить печать внутренним принтсервером невозможно в связи отсутствия функционала...
доменных безопасностях и пользователях речи нет »
можете написать на support@microsoft.com, почему AD не имеет таких инструментов?

Хотите закрывать RRAS-ом порт принтера - желаю удачи.

Если уж AD не может управлять печатью в силу того, что управление происходит через сетевой порт Ethernet, то наверняка RRAS закроет порт в сети любого принтера...

P.S.: с помощью GPO можно управлять брендмауером компьютеров в домене...

Donner

21-05-2009, 21:12

так я не хочу закрывать порт принтера, это ессно невозможно, я повторяюсь, хочу закрыть этот порт на МАРШРУТИЗАТОРЕ, чтобы ограничить печать из других подсетей.

exo

21-05-2009, 21:22

Donner, 4 пост внимательно читали ?
там нет ответа, но есть примеры как закрыть порт.

Donner

22-05-2009, 07:12

да да, именно то что в 4ом посте мне немного и непонятно, а точнее что есть фильтр входа, а что выхода.

К примеру на маршрутизаторе 2 интерфейса А и B
интерфейс A в сети 192.168.0.0/24, а интерфейс B 192.168.1.0/24

мой компьютер в одной сети с A, скажем в сети В есть принтер 192,168,1,156. Если на интерфейсе A в настройках указать фильтр выхода на запрет адреса назначения принтера и порт 9100, всё равно сеть A может печатать. Если же указывать не "выхода", а "входа" то принтер отваливается.... вот эта система мне не понятна.

CaminoDeFlores

22-05-2009, 08:59

"... если используется сетевой порт (например, TCP/IP RAW или LPR), то принтер все равно является локальным. "Сетевой" принтер - это на самом деле подключение к серверу печати на другом компьютере, такое подключение сохраняется в профиле пользователя и видно только создавшему его пользователю."
*osr_ MVP http://social.technet.microsoft.com/Forums/ru-RU/xpru/thread/197bfc9c-5794-428d-903f-91a6dc25278d/

Отличие локального принтера от сетевого в наличии общего доступа (Из Степанека) а не типе подключения.
Мелочь, но знать не помешает.