Как правильно настроить безопасность сети AD?

Question

[I_AM_SHEFF]

Имеем сервер AD+DHCP+DNS, шлюзом стоит Squid (перед ним MikroTik).
Подскажите пожалуйста, как защитить доменную сеть от людей, которые могут просто воткнуть свой ПК (либо через WiFi) в интернет-розетку и получить доступ к сети?
Как вариант - можно выдавать всем адрес статически с привязкой к МАСу, но думаю есть что-то наподобие arp-tables защиты?
Спасибо!

Answer 1

[Sasha Odarchuk]

как минимум блочить не использованные порты на свичах (с Ви-Фи не поможет)
как вариант на портах поднять портсекьюрити но опять таки с ви-фи не поможет
Отсается заюзать 802.1х :)

Answer 2

[Константин Цветков]

свой ПК (либо через WiFi) в интернет-розетку и получить доступ к сети?

Он получит IP в вашей сети, но не доступ. Компьютер же не в домене. Запретить локальному администратору ввод в домен. Запретить прямой доступ в интернет. На прокси-сервере не обрабатывать недоверенные компьютеры.
Я прикалывался так: для левых MAC выдавал через DHCP адреса, который маршрутизатор замыкал на себя.

Comments

[I_AM_SHEFF]

Поясни пожалуйста по каждому пункту?
Запретить локальному администратору ввод в домен. (т.е. чтобы с доменного ПК нельзя было зайти под локальной учеткой админа? или как сделать то, о чем ты говоришь?)
Запретить прямой доступ в интернет. (т.е. те кто не в домене - не имеют доступ?)
Спасибо!