1 обычный неуправляемый свич на 2 группы компов

Vose · Сообщение **Vose** » 04 июл 2009, 19:06

Вот такой глупый чисто теоретический вопрос:
Можно на одном обычном неуправляемом свиче сделать две разные независимые рабочие группы компов с разными масками статических IP, без всяких VPN или глючить будет? Как в этом случае быть с Обозревателем сети? Или таки два свича надо.

Al_lexx · Сообщение **Al_lexx** » 04 июл 2009, 19:59

Скорее всего нет.
Свич, должен быть управляемый, с возможностью переадресаций по портам. Или (как вариант), который виртуально делится на два, с внутренним линком, что почти одно и то же.
Неуправляемый - как тот хаб, разве что сеть не грузит.

Vose · Сообщение **Vose** » 04 июл 2009, 20:54

Al_lexx писал(а):Скорее всего нет.

Мне вот с теоретическим обоснованием хотелось бы, а не так, априори. Это я так понимаю, что на каком-то из уровней модели OSI рассматривать/копать надо? С точки зрения нижнего физического уровня, вроде должно работать?
Вот на хоботе http://forum.ixbt.com/topic.cgi?id=7:35160 нашёл, что вроде бы можно так делать, только надо меры "хитрозамудрёные" принимать, чтобы из одной группы в другую залезть нельзя было.

Al_lexx · Сообщение **Al_lexx** » 04 июл 2009, 23:56

Честно скажу, что совершенно не понимаю, как можно управлять неуправляемым свичем.

Нет, бывает, что у них есть rs232, для простейшей конфигурации (ремап портов, свой ац-пи), но и всё. Да и то редко.
Я же писАл, что неуправляемый - тот же хаб, с той разницей, что их можно ставить много, без риска, что сеть встанет колом. Других достоинств у неупр свичей нет.
Я бы иначе поставил вопрос: стоимость современного управляемого свича, на 100мбит -> к нулю. Ну оч дешево. Зачем сверлить себе моск, когда всё решается воздержанием от пива в течении недели?;)
Тем более (и очевидно), что не домашнее задание, но...

Sharp · Сообщение **Sharp** » 04 июл 2009, 23:58

Можно. Но если вы хотите чтоб разные группы не лазали друг к другу, придется настраивать клиентские машины. Если вы просто укажите разные раб. группы - то каждый из членов, будет видеть "только своих", но нажав на ссылочку "Вся сеть" в "Сетевом окружении", пользователь ессно увидит все группы. Чтобы он не смог попасть на компьютеры "чужой" группы, надо в на машинах "чужой" группы запрещать фаерволлом соединения от ненужных IP.

Небольшой финт ушами можно сделать таким образом - если сеть автономная, т.е. без шлюза, то назначаем одной рабочей группе IP из одной подсети, скажем 192.168.1.0/24, а другой - 192.168.2.0/24. Насколько я помню windows ищет себе подобных только в пределах одной подсети - соответственно рабочая группа у всех будет высвечиваться только нужная. При этом даже зная IP из другой группы попасть на него будет нельзя, ибо нет шлюза. Правда при этом остается одна дырка - если пользователю разрешено менять IP на машине - он сможет бродить по всем группам (для предотвращения этого придется настраивать фаерволл на каждой машине).

З.Ы. Я не понял про теоретическое обоснование - обычный неуправляемый свитч знает только про MAC адреса и коммутирует пакеты на основании своей таблицы MAC адресов - что до IP, рабочих груп, протокола SMB - ему все это до лампочки. Так что если у всех подключенных машин разные MAC - что и должно быть по умолчанию - то пакеты между ними коммутироваться будут. Что до уровней L3-L7 - это зависит от настроек машин

Al_lexx · Сообщение **Al_lexx** » 05 июл 2009, 00:02

О блиннн, про настройку рабмест я как то не подумал.

Да там кое что можно сделать, если права у юзеров ограничены.

Vose · Сообщение **Vose** » 05 июл 2009, 01:07

Sharp писал(а):надо в на машинах "чужой" группы запрещать фаерволлом соединения от ненужных IP

Ну там, как я почитал вкользь на http://forum.ixbt.com/topic.cgi?id=7:35160, даже без фаеров, средствами самой винды много разных способов "позапрещать", особенно со SCOPE ID интересный метод.

Sharp писал(а):Правда при этом остается одна дырка - если пользователю разрешено менять IP на машине - он сможет бродить по всем группам (для предотвращения этого придется настраивать фаерволл на каждой машине).

Ну, эт само собой. Всего лишь не надо давать юзерам админские права.
Во времена 98-й винды я кое-где практиковал для юзерской учётки метод закрывания входа в настройки сети и принтеров путём модификации определённых ключиков реестра (запрет на вход в винду без ввода пароля, естественно, тоже настраивался).

Sharp писал(а):обычный неуправляемый свитч знает только про MAC адреса и коммутирует пакеты на основании своей таблицы MAC адресов - что до IP, рабочих груп, протокола SMB - ему все это до лампочки.

Сенькс за просвещение - может и пригодится где "на свичах съэкономить"

Sharp писал(а):нажав на ссылочку "Вся сеть" в "Сетевом окружении", пользователь ессно увидит все группы.

А разве нельзя через редактирование реестра убрать эту ссылку или запретить нажимать на неё?
А вот не смогут ли юзеры по IP ходить вместо имени?

Sharp · Сообщение **Sharp** » 05 июл 2009, 12:55

Хм, про Scope ID я не в курсе. Про реестр согласен - можно сделать много полезного

. Про хождение по IP - по идее если netbios через tcp/ip запрещен - то не смогут.