公司内部局域网的问题，请高手指教

Question

我公司老板要求部分PC可以对外网，其他所有用户只能在局域网内，同时还要求禁掉USB和光驱等移动设备，所有用户不能把家里的东西带到公司来，要在技术上实现这一点，还有就是浏览网站，不允许，更不允许的就是下载...客服部和技术部可以对外网，但是同样是只能看，不能带进来，那种的....更郁闷的是...没有域控服务器...问题很严重...请高手指导一下，这个要怎么实现，谢谢了
我们用的是CISCO的2811路由，CISCO的WS-C3560-24TS-E核心交换机。两台思科WS-C2960-48TT-L的百兆交换机 还有CISCO的硬件防火墙ASA5510-SEC-BUN-K9 拥有文件服务器，邮件服务器和ERP服务器

Answer 1

在主板上我们可以通过BIOS来对USB设备进行控制。进入BIOS设置界面选中里面的“Integrated Peripherals”项按回车，进入后再选中“OnChip PCI Device(s)”后按回车，把里面的“OnChip USB Controller”设置为“Disabled”就可以了，但是为了防止一些知道此方法的人来修改该设置，最好再给BIOS设置加上密码，这样就确保万无一失了。
但是这个方法也有一个缺点，就是它禁用了所有的USB设备，如一些USB的鼠标、键盘、打印机等，都无法使用了，且别人也可能通个进入BIOS的方法修改，USB又能恢复正常使用。

还有一个方法就是通过修改注册表来实现。打开注册表文件，依次展开“HKEY_LOCAL_MACHINE\SYS
TEM\CurrentControlSet\Services\usbehci”双击右面的“Start”键，把编辑窗口中的“数值数据”改为“4”，把基数选择为“十六进制”就可以了。改好后重新启动一下电脑就可以看见效果了。为了防止别人用相同的方法来破解，我们可以删除或者改名注册表编辑器程序。
提示：“Start”这个键是USB设备的工作开关，默认设置为“3”表示手动，“2”是表示自动，“4”是表示停用。

可以通过组策略或注册表进行设置
也可以打开注册表编辑器，找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3，然后在右边找到1803这个Dword值，双击修改为3即可。重新启动IE看看还能不能够下载的？

如果要取消限制的话，只需要还原Dword值为0即可。

设置禁止下载开始运行即可:

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /v 1803 /d 3 /t REG_DWORD /f

还有什么不明白的，继续补充问题就行了

Answer 2

1.买个便宜的路由器吧,才100多块,然后里面设IP分类,比如192.168.0.1--192.168.0.100属于可以上外网的IP段,192.168.0.101--192.168.0.200属于不能上外网的IP段.

然后把可以对外的PC的IP设在前一段,不允许对外的IP设在后一段,然后不许对外的都设USER用户权限不许他们改配置.

或者,你找个网管软件用ARP欺骗把你的机器网卡做网关,然后里面设置IP限制,除了部分可以对外的PC,其他的IP都不允许对外访问.

2.不许连U盘和光盘的,你在设备管理器里把USB和光盘都禁用,同样只给使用者USER用户权限,不许他们改配置.

基本上就这样了.

Answer 3

1.没有域控制器,也能禁掉USB和光驱,禁USB的话改客户端的组策略,防止用户改回来的话,需要给用户power user的权限,别给admin权限.禁光驱的话在BIOS里面屏蔽光驱,同时防止用户修改,设定BIOS的Admin密码.
2.内外网的问题,在交换机上划分VLAN,简单点就划两个,上外网的在一个vlan,不上外网的在另外一个vlan,然后根据vlan进行设置.
3.不允许下载这个问题就麻烦了,需要代理服务器或者硬件防火墙,如果没有这个实现不了.

Answer 4

没有服务器，你们怎么上的网，只能通过服务器端来控制，不然难死了，哈哈
服务器连交换机，然后所有电脑连交换机，服务器弄个上网行为管理，就解决了

u盘和光盘，需要分别设置客户端

Answer 5

分成两个网不就行了
如果要用到共享就分网段
再者就不设DNS，修改注册码把网络连接禁掉
在BIOS设置的USB禁掉再设置个密码不让其改回来

Answer 6

飘雪驱动器管理大师(USB禁用、USB加锁) V1.0 ，可以禁用usb；光驱直接拆除；上网需要使用有限制上网功能的路由器，通过设置mac设置哪些机子可以上网，有些路由可以限制速度，把速度限制的低一点，上网没问题，下载慢，就没有人用了。还有就是使用软件不让下载。