Как закрыть доступ к домену компам не находящиеся в домене?

Question

[askes]

Добрый день,

Мне нужно закрыть доступ к домену, чтобы не доменные устройства не могли подключится к общим ресурсам, авторизоваться в впн.

Пробовал для начала закрыть доступ на NPS сервере, выставлял политику только для Domain Computers, но при подключение через доменный комп получаю ошибку авторизации. Использую L2TP с общим ключом и SSTP vpn.

Также нужно закрыть через обычно gpo, но не могу в политиках найти как реализовать.

Задача стоит в том, что нужно чтобы не доменные компы не могли войти куда-либо или подключится только по доменной учеткой, нужно обязательно быть в домене.

Comments

[Keffer]

если в домене компьютеры, то и так не авторизуется никто, кто не знает паролей от доменных учеток.

[aleks-th]

Ну собственно, кто не знает паролей, и у кого нет учетки в домене те и не зайдут.
Кто знает, подключатся к общим ресурсам по любому.

Авторизация в домене от компа(в домене он или нет) не зависит, там только учетные данные важны логин и пароль.

Answer 1

[Alexey Dmitriev]

Развернуть свой CA, выдавать всем доменным компьютерам сертификаты, которые по правам смогут получать только Domain Computers.
Настроить в NPS проверку по сертификату.

Comments

[Valentin Barbolin]

поидеи на радиус видно hostname и можна настроить фильтр если имена ПК стандартизирован, но врятли виндо радиус так умеет. Но сертификт it's a true way.

[Alexey Dmitriev]

Valentin Barbolin, hostname можно подделать, а вот выпустить сертификат, если нет прав - не получится.

[askes]

А если сотрудник каким-нибудь образом выгрузит сертификат и поставит себе на личный комп, то ведь он все равно подключится

[Alexey Dmitriev]

askes, а если он себе настройки в NPS откроет, чтобы без проверок подключаться-ему вообще ничего не надо будет.

Answer 2

[MVV]

Есть старое уже руководство от Microsoft по настройке Windows Firewall для этой цели (называлось сие Domain Isolation)