IPsecとは

個人の持ち込んだPCをドメインリソースと「通信自体を行えない」ようにするにはＩＰsecを使う。

ユーザーIDとパスワードを知っていても会社のファィルサーバーと通信できなくなる。

 

（質問１）

AD登録外PCからの共有フォルダーアクセスの制限

 

W2008のADを使っています。

ADに登録されているPC以外からのPCからでもLANに接続できさえすれば、

サーバーの共有フォルダーへアクセス許可されているユーザーIDとパスワードが分かればアクセスできてしまいます。

ドメインに入っていないPCからはアクセス不可能にするにはどうしたらいいのでしょうか。

個人のPCを持ち込んで使用するのを防ぐためです。

よろしくお願いいたします。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

（質問２）

認証用のダイアログを表示しない方法

 

お世話になります。

 

ドメイン（またはワークグループ）に参加していないPCを、ファイルサーバーにアクセスさせたくないと考えています。

 

ドメインに参加していないクライアント上で、エクスプローラーのアドレス欄に「\\サーバー名\共有フォルダ名」と入力すると表示される、認証用のダイアログを利用すると、誰でもサーバーにアクセスできてしまいます（IDとパスワードを知っている必要はありますが）。

 

このダイアログをそもそも表示しないようにすることは可能なのでしょうか。

ドメインに参加していないクライアントにはエラーが表示されなくてもかまいません。

 

いろいろ検索してみたのですが、私の知識不足のためかこれといったものが見つかりません。

設定方法や参考となるサイトなど、なにか助言を頂ければ幸いです。

隠し共有にするなども考えましたが、ユーザー様に納得していただけず。。。

 

【環境】

サーバー：Windows Server2003

クライアント：Windows XP以降

 

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－  

（回答）

○○○○です。

 

確かにNAPを活用する方法はありますが、こういうケースでは、IPsecによる「ドメインの分離」設定を行なうことを、MSは想定しているようですね。

 

ドメインの分離とは、ネットワーク上ドメイン認証されていないクライアントマシンが、ドメインリソースと「通信自体を行えない」ようにするためのソリューションで、IPsecを使います。くわしくはしたの資料を見てみるといいと思いますよ(左側のナビゲーションウインドウにある参考資料も見るようにしてください。)。

 

http://technet.microsoft.com/ja-jp/library/dd362838.aspx

（資料）
セキュリティ保護された ASP.NET アプリケーションの構築 : 認証、認定、および通信のセキュリティ保護 2 つのサーバー間の通信を IPSec で保護する方法-msdn
Windows 2000のIPSec機能を有効にする方法－@IT

 

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/d676017d-732a-486d-a79b-596d0de4bcbf/#24f49523-7376-44ab-a1da-53f66696a6f6

http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2003ja/thread/45315838-b01d-4dc2-a2e3-18dcc8000626/