Windows Xp internet verbieten?

Icke ®. schrieb:
> Feste IP-Adresse vergeben und das Standardgateway freilassen.

Wie ein altes Hacker-Sprichwort sagt, wo ein Draht ist ist auch ein Weg, 
100%ig sicher ist das nicht. Aber für normale Ansprüche müsste es 
reichen. Änderungen am Router usw. sind komplizierter und auch nicht 
absolut sicher.

Georg

XP hat eine Firewall, wenn diese aktiv ist, kommt niemand von außen 
(außerhalb von deinen Subnetzt) drauf.

Reinhard S. schrieb:
> Der TO will aber den umgedrehten Weg (XP ins Internet) verbieten...

Könnte man auch mit einer Firewall-Regel machen. Aber auch das ist, wie 
Georg schon sagt, nicht 100% sicher.

Im Router der die Internetanbindung realisiert, diesen Pc mit seiner 
MAC-Adresse in der Firewall sperren. Einfacher geht es wirklich nicht.
Kann (sollte) heute jeder Router können.

kopfkratz
Tja wie wird denn das Ganze angesteuert ?
In XP kann man in den TCP/IP Ports blockieren/freigeben, also wenn die 
Ansteuerung über Port 666 läuft alle anderen ausschalten, dann kann nur 
noch der Teufel darauf zugreifen ;-)
Man kann auch im Router eine bestimmte IP oder IP-Range blockieren, 
einfach mal in der Hilfe/Bedienungsanleitung nachsehen.
Firewall ist auch eine Lösung, dann aber lieber die obsolete KerioPF 
2.xyz installieren, findet sich noch bei CNET oder Chip u.ä.
Da kann man dann auch erstmal deny any to any angeben und wenn dann die 
Anfrage auf den passenden Dienst aufpoppt freigeben bzw. gleich als 
Regel definieren, alles andere kommt weder rein noch raus.
Bei vollständiger Paranoia einen alten Rechner zwischen Gerät und Netz 
und dann mit OpenBSD einen Gateway einrichten ...
Probier's mal in der Reihenfolge aus ;-)

> Dann erklär mal, wie Pakete den Weg ins Internet finden, wenn es kein
> Gateway, sprich keinen Weg dorthin gibt?

Z.b. so:
Wenn der RAS-Service auf dem XP laeuft, reicht ein aktiver RIP-Router
und zack hat er ein Gateway.

Oder der Router sendet Router Advertisements.
Und zack hat er ein Gateway.

Davon gibt bestimmt noch mehr...


Den PC ins MAC-Filter einzutragen ist u.U. fuer die lokale Kommunikation
hinderlich :-).

DHCP ausschalten und eine statische IP eintragen ohne Gateway
ist zumindest schonmal ein guter Anfang.

Mit einem netstat -rn kann man sich gelegentlich davon ueberzeugen,
das da keine "0.0.0.0" heimlich nachgewachsen ist.

> Sehr theoretisches Szenario, welches groben Vorsatzes und einer
> gehörigen Portion Nachlässigkeit bedarf, um praktisch realisiert zu
> werden.

Falsch. Beides Faelle aus der Praxis die ich so vorgefunden habe.

Manche Router starten einen RIP-Router per Default ohne die Moeglichkeit
einer Konfiguration, z.B. des Abschaltens.
Das verringert in DAU-Umgebungen den Supportaufwand.
(Weil es dann "automagisch" trotzdem funktioniert.)
Router Advertisments sind fester Bestandteil des ICMP-Protokolls
um Clientmaschinen das dynamische Lernen von Routen zu ermoeglichen.


> verpasse ich ihm ein
> eingeschränktes Konto und vernagle die Kiste zusätzlich mit GPOs.

Wer nur Naegel kennt, braucht keinen Schraubendreher.
Gegen die beschriebenen Szenarien wuerde das uebrigens nichts nuetzen.


> Wenn ich ganz fies bin, konfiguriere ich
> extra noch Gateways oder Proxys, die ins Leere laufen.

Damit handelt man sich u.U. fuer regulaeren Traffic dann
minutenlange Timeouts ein.


Bevor Du hier weiter Ratschlaege erteilst, solltest Du an Deiner
Bildung arbeiten.

> Horrorszenarien

Dazu braucht es kein IPv6.
Das war alles in IPv4-only Umgebungen.

Gegenfragen:
Welcher Windowsservice verwendet einen RIP-Router?

Welche Parameter des Netzwerkstacks lassen sich nicht mit GPOs
administrieren?