![如何使用 Windows 2012 R2“隔离”非域 DHCP 客户端?](https://linux22.com/image/649455/%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8%20Windows%202012%20R2%E2%80%9C%E9%9A%94%E7%A6%BB%E2%80%9D%E9%9D%9E%E5%9F%9F%20DHCP%20%E5%AE%A2%E6%88%B7%E7%AB%AF%EF%BC%9F.png)
我寻找一种方法来阻止不属于我们公司 Active Directory 域的设备进行网络访问。
有些人将他们的个人笔记本电脑连接到我们的公司网络,其中一些人无意中造成了问题。
我已经使用 DHCP 策略为他们提供单独的 DNS 名称(aliens.contoso.com),这样我就可以快速查看此类设备是否已连接(我只是查看了 DNS 控制台)。当客户端不属于我们的 contoso.com 域时,此策略将被激活。这种
方法的问题是:不需要的笔记本电脑已完全纠正 IP 设置,因此用户可以使用它。
这只允许拥有单独的 DNS 名称。我无法指定不同的路由器或不可用的 IP 地址。
我们希望为这些笔记本电脑分配不可用的 IP 设置。这样用户就不会使用它,也不会给我们打电话。这将使我们能够确保笔记本电脑是干净的,并向用户提供指导。
当然,他们可以手动输入正确的设置,但我们很少有用户能做到这一点,这将大大减少问题。
我不打算使用 802.1X 强制网络访问。我知道 DHCP 方法比较弱。
我认为我们可以使用网络保护服务器来实现这一点(我们的服务器使用 Windows 2012 R2),但我不明白如何做。
答案1
简而言之:你不能
为了让 DHCP 服务器知道设备是否在域内,它必须与域控制器通信,因此它首先有一个 IP 地址。
这就是您想要的设置显示为灰色的原因。
一个技巧是使用特殊前缀命名您的计算机。这样,当计算机协商 DHCP 租约时,DHCP 服务器就可以检测到它。因此所需的选项将可用(不会变灰)。
答案2
实现此目的的常用方法是使用 802.1X 身份验证,但您曾表示不想这样做。NPS 与 802.1X 一起使用,因此如果您不打算使用它,那么 NPS 就没什么用处。
我能想到的唯一其他方法是使用基于端口的 VLAN(不是 802.1q)将所有未使用的网络端口(可能是“来宾”端口)移到不同的 VLAN 上,在该 VLAN 上添加 DHCP 助手并将 DHCP 请求转发到您的 2012 R2 服务器并向它们发出不同的子网/网关/等。或者您可以将它们引导到强制门户。或者您可以根本不向它们发出 IP 地址并且没有网关。