Reprise du message précédent :
Sinon ton Dell ou HP ils donnent pas un rpm ou quoi ?

Plus supporté depuis pas mal de temps ça. Tu veux faire quoi avec ?

 
Non mais faire le windows to go avec la VM les enfants enfin !    

Hein? Non, faire la clé Windows to Go depuis une VM Windows

Les windowsiens  

Ah yes j'ai un ventoy qui traine

 
Vous faites dans le simple quoi...

Ya quoi pour contrer un PC portable (branché) qui se met en AP+NAT pour servir ses copains ?

vrai question ?

 
Mais sinon depuis le temps que tu cherches tu aurais eu le temps de mettre temporairement un disque dans la tronche du serveur pour mettre windows dessus

Oui.

802.1x ? Mais je vois pas comment ça peut faire quelque chose contre ça car le Pc portable NAT. D'un point de vue PDU c'est transparent.

Dans ton outil d'analyse réseau & sécurité tu check le TTL et tu tapes à coup de batte

 
anéfé merci
 
https://sflow.org/detectNAT/

Technique utilisée par certains ISP mobile avant que l'usage modem soit autorisé dans les CGV
TTL 64-1 => KO
TTL 65-1 => OK

802.1x + les users pas admin sur les postes ça devrait suffire.
GPO pour interdire de faire un partage de co ?

Tiens quelqu'un sait si c'est possible de conserver l'enregistrement automatique sécurisé de serveurs Windows dans la zone dns gérée par l'AD quand ces serveurs envoient leurs requêtes DNS à un serveur bind qui se contente de forward la zone AD et avec le flux dns fermé entre les serveurs et les contrôleurs de domaine ?

Je dirais que non mais sait-on jamais

Ah ui c'est des PC "invités".

Typiquement c'est pour l'accès internet des résidents (cablés) on refait tout, là on a eu la fibre 10gb/s (oui je sais Free toussa, mais bon on était à 8mega ADSL avant ).
Actuellement l'auth et le filtrage sont fait par proxy (Squid) mais bon c'est pas super perf, et foireux sur les sites en HTTPS / HSTS etc...

Donc avec la refonte je voulais faire un truc propre (et pas trop cher) et perf, Delta en Bridge (on vient de l'avoir), routeur 2x10gb/s (UDM pro ou Mikrotik CCR2004-16G-2S+) avec auth par Radius ou BDD local et portail captif.
IPS et/ou DNS menteur pour le filtrage.
Et du coup on voulait éviter que les étudiants puissent partager la connexion en faisant des AP avec leurs PC portable.

A part, c'est un délire cette génération, le nombre d'AP (téléphone en partage de connexion) qu'on scan  

A priori y'a bien moyen de forward les requêtes update de rfc2136, pfsense et powerdns ont l'air de savoir le faire.
En lisant rfc2137 en diagonale, j'aurais tendance à dire que c'est imaginable, j'ai pas l'impression que la rfc mette de point bloquant à ça. C'est plus "les requêtes updates sont signés avec une clé validée" de ce que j'ai vu.
Sauf que, j'ai rien trouvé sur "forward rfc2137".
Ptete en bricolant avec la conf de bind, mais j'pense que t'es seul sur terre là

Ouais je vais peut être pas avoir envie

C'est mort.
Ouai tu va pouvoir bricoler des trucs. Mais non seulement ce sera du bricolage, mais en plus ce sera contournable si t'a pas la main sur les pc en question.
Vous voulez éviter ça pourquoi exactement ?

Parceque l'accès internet est payant et est tenu par une association, et konveukipayent

Après ca me fait penser, mais en partage de co ca se passe comment au niveau DNS, ca se trouve ca va se bloquer tout seul.

Faut que je test mais le client qui est derrière le partage de co il a quoi en serveur DNS ? l'hote et l'hôte forward à son serveur ?   Je crois pas, sinon ca voudrait dire que l'hôte sait faire forwarder

Car vu qu'on bloque les requêtes DNS vers *:53 sauf notre DNS, ca pourrait s'autobloquer

Je vais tester.

VM Windows connectée a une instance AWS + Guacamole + passthrough USB over IP pour faire l'iso.  

Salut les pros, je viens encore vous embêter.
 
Je vais downgrader un pc Dell préinstallé en W11 pro vers W10 pro. De ce que j'ai lu et compris, il n'y a pas besoin d'acheter une nouvelle licence. Pour l'installation de l'OS, j'ai téléchargé le support d’installation sur le site de Microsoft sur une clé USB.
 
La config du pc est celle-ci : https://www.dell.com/fr-fr/work/sho [...] p/bdx89503
 
Question :
Est-ce qu'il y a un risque de problème logiciel ou matériel lié au downgrade ? Par exemple concernant les drivers installés sur la machine ? Des trucs auxquels je dois penser avant de lancer l'opération ?
 
Merci d'avance
 
(motif du downgrade : le pc servira principalement à exécuter un logiciel métier qui n'est à ce jour supporté que sur W10 pro)

DNS over HTTPS, c'est un truc nouveau. Ça marche bien. Ou alors ils utilisent votre dns. Ou un tunnel vpn. Ou... Bref.

Non mais tu drop TTL-1 et t'as filtré 95% des AP rogues

 
Aucun problème, win 10 et 11 c'est la même base technique à 99%, mêmes pilotes si tu veux (les pilotes vidéo WDDM 3.0 en numero de build 30.x ont débarqués sur win 10), tu n'as presque que l'explorer Windows qui change au passage à windows 11.

Merci Slyde

Ils vont activer DNS Over HTTPS et hop bypass de tes DNS  

Bah facture au Go.

 
Alors on est sur des jeunes entre 16 et 20ans

Alors fais rien ils sauront meme pas partager une connexion sur windows 11

Ouai, après j'ai regardé le déploiement de DoH, c'est par défaut dans Firefox  

Mais a priori Firefox envoi quand même une requete au DNS configuré dans le PC pour résoudre "use-application-dns.net"

Et suivant la réponse il active ou pas le DoH intégré. On peut donc mettre la valeur kivabien pour qu'il le désactive. Jusqu'au prochain changement où ils vont activer de base.

Putain, laissez nous faire du nazillon Chine style  

Plus personne utilise FF, encore moins des jeunes entre 16 et 20 ans

Après c'est pas très compliqué de se monter son propre serveur DoH. J'ai fait ça en perso pour bypass le DoH par défaut dans Android, et ainsi bloquer traqueur et pubs.
Edith: ah non, Android c'est du DoT.

Pile l'âge où je faisait du vpn sur le 443 vers un serveur avec une IP et pas un nom pour bypass les limitations du réseau de ma cité U ouai  

Tu étais en Bac STMG ou BTS négociation relation commerciales ?

Bon on a le BTS info mais c'est des devs, et c'est plus ce que c'était

DUT R&T puis école d'ingé  

Voilô
 
Donc le contournement pour eux c'est bien plus difficile que de faire un AP.

Les systèmes à portail captif, en général ça se base sur quoi pour autoriser/bloquer le trafic client par client ? Chaque session utilise l'adresse MAC pour identifier le client ?

je dirais que oui puisque le changement d'adresse mac marche en général très bien pour continuer à surfer sur les portails captifs avec durée limitée

C'est quoi comme matos ? fwupd le prend pas en charge ?