Можно ли настроить DHCP и статику одновременно?

Question

[Михаил Гаврилюк]

Можно ли на Windows Sever 2019 настроить DHCP и статику одновременно ?

Например: если устройство просто подключено к сети ему выдается один диапазон 192.168.2.0/24 и нет доступа к ресурсам домена.

Если устройство добавлено в контроллер домена то присваивается статический ip-адрес из сети 192.168.1.0/24

Comments

[Alexey Dmitriev]

"Добавлено в контроллер домена". Это пять.

Answer 1

[Рональд Макдональд]

Сделайте ему привязку по MAC-адресу и не изобретайте велосипед.

Answer 2

[nApoBo3]

В принципе это можно сделать через определение vlan при 802.11x авторизации на оборудовании. Но для этого вам потребуется достаточно серьезная инфраструктура включая сетевое оборудование с поддержкой всех необходимых фич, radius сервер и скорее всего pki.

Comments

[Akina]

По-моему, в простейшем варианте вполне достаточно управляемых L2-коммутаторов и port-based VLAN. Всё остальное нужно лишь в случае, если юзерам позволено произвольно дёргать за сетевые кабели.

[nApoBo3]

Akina, то что вы описываете называется закрытие "уязвимости" орг.мерами. Тоже решение, но не решение поставленной автором задачи, фильтрация по макам это не безопасность.

[Akina]

nApoBo3, оргмеры - это обязательная часть imho.

А про mac-based - это не мои слова. Я вообще не сторонник фильтрации по МАС на портах коммутаторов.

Answer 3

[Akina]

Если устройство добавлено в контроллер домена то присваивается статический ip-адрес из сети 192.168.1.0/24

Статический адрес присваивается на устройстве. Сервер в этом процессе не участвует, вообще никак.

Comments

[RTFM_VLAD]

Ну тогда нельзя исключать, что может случиться конфликт.

[Akina]

RTFM_VLAD, port-based VLAN (и два интерфейса на сервере) плюс DHCP Snooping - это как минимум. И тогда статики пусть там конфликтуют промеж собой, пока не надоест.

[Saboteur]

RTFM_VLAD, Ну статический адрес присваивается не случайно, а руками. И конфликт может случиться, если руки кривые.

Answer 4

[Максим Гришин]

Такие штуки по идее должен решать Network Policy Server на микрософте, тем более если у вас Windows AD. Во всяком случае, в руководстве к нему я такое видел, но на практике я не видел, чтобы он где-то был развернут. Вообще в вашем случае я бы назначал диапазон DHCP в .2.0/24 а статику назначал на том же DHCP-сервере по MAC-адресу устройства, но если вдруг устройство окажется с настроенной статикой .1.0/24, можете поиметь проблем.

Answer 5

[Alexey Dmitriev]

Да можно. Нужны коммутаторы с поддержкой 802.1x авторизации, настройка ее через NPS сервер и распределение по разным виланам в зависимости от ее статуса.
Прошел авторизацию, попал в основной VLAN с отдельным DHCP скопом, не прошел - попал в failover VLAN.

Answer 6

[АртемЪ]

Конечно.
DHCP позволяет раздавать как статику, так и динамику.

Answer 7

[Денис]

Я возможно чего-то не понял, но разве вкладка "Альтернативная конфигурация" в настройках сетевого адаптера не для этого?

Comments

[Максим Гришин]

Альтконфиг работает, если по DHCP ничего не было получено. К сожалению, это ужасно негибкое и неуправляемое решение, но в конкретном частном случае может и сработать. Если пользователь в настройки сети не полезет с тех пор.

[Денис]

Максим Гришин, не обязательно. Как я понял, у Михаил Гаврилюк две сети. В одной адрес можно получать по DHCP, в другой нужно использовать ручные настройки. Поэтому настраиваем альтконфиг на ручные настройки, а дальше просто переставляем сетевой провод в зависимости от того, какая сеть нужна.

Answer 8

[BaksiPhone]

Может скрипт какой есть? Получить адрес автоматом, а потом выделить 2шт полученный по DHCP и статику?