zabrana pojedinih sajtova u MTu

slazem se s kolegom network10 :) svaka cast Cynic!

Potpis

MyCoNfa:
CPU: AMD Phenom II X4 965 3,4GHz BOX
Maticna:Asus M4A89GTD PRO
RAM: Corsair 4x2GB 1600MHz, 9-9-9-24
Grafa: Diamond ATI 5870 1GB
HDD:3xWD 320GB AAKS, stripe raid
DVD/RW:LG,SATA
SilverStone SST-ST50F 500W
CoolerMaster CM690
LG 24" 2453TQ-PF
Tastatura A4Tech X7 G800
Stakor: A4Tech X7-755FS

da, da i ja se definitivno slazem sa kolegama...

na pocetku treba dodat u address-list dvije adrese, bilo koje, sa komentarima s1 i s2.

zatim, u odredenim vremenskim razmacima pokretat gornju skriptu.
u nat drop staviti listu "jubito"

_{[Ovu poruku je menjao buha18 dana 04.01.2009. u 16:43 GMT+1]}

Potpis

>>Mirkec<<

Šta bi u prvoj skripti trebalo prepraviti da recimo facebook i youtube budu zabranjeni svakog radnog dana od 09 - 15h, a posle toga sve normalno da funkcioniše? Znači, da ne bude totalna restrikcija za zaposlene

Mozes taj skript da stavis u scheduler da ti se startuje u 9:00 i gasi u recimo 17:00

Mozes taj skript da stavis u scheduler da ti se startuje u 9:00 i gasi u recimo 17:00

Ja koristim DNS provajdera... Onda ova skripta ne bi kod mene radila, ako nemam podignut DNS server na Mikrotiku?

Pozdrav drustvo!
Evo i da se i ja malo ukljucim u ovo....
Mozda nisam dobro shvatio , ali da li ste sigurni da ce ovakav nacin blokiranja pojedinih adresa biti uspjesno?
Naime, da li ce to blokirati i pristup pojedinim stranicama kada im korisnici pristupaju preko free anonimnih web proksija, kao sto je npr "ipodtunnel.com"...
Ako i na ovaj nacin ne dozvoljava pristup sajtu(npr youtube), onda je extra resenje, ali nisam siguran...
Da li MT moze da vrsi takvu dubinsku kontrolu paketa, pa da vidi da se u komunikaciji nekog hosta sa web proxijem, ide na facebook?
I jos samo nesto..
Moze li neko, molim vasm, posto sam relativno nov i ovoj oblasti, da mi kaze kako da ovu skriptu(prva skripta) napisem, tj kako da kreiram listu za odbacivanje paketa...?
Bio bih vam zahvalan, znaci samo da mi kazete gdje i kako, ja cu sam ostalo srediti !

Pozdrav

Skripta za provjeru DNS cash-a i liste adresa u firewallu mi ne radi... Odradio sam copy - paste u MT. Zna li neko sta nije u redu u kodu pa da popravimo? Koliko mi se cini nema dosta zagrada...

Zašto se ne proba ovako:

Sve konekcije na TCP 80 "zaokreneš" na interni proxy na MT:



U listi dalje zabranjuješ šta hoćeš.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Ovo sa proxijem radi odlično!

Kako bi se izvelo da ova zabrana važi od 09-15h svakog radnog dana? Da li je to izvodljivo?

Može, a što ne bi moglo :)
Kreiraj skript koji uključuje ovo pravilo redirekcije i u schedule na MT stavi da ga pokreće u 09h.
Kreiraš još jedan skript koji isključuje isto pravilo i taj skript kroz schedule pokreneš u 15h.

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Pa i pretpostavio sam da se to nekom skriptom može riješiti. I probao sam, ali on mi dodaje novo pravilo u listi. Ne umijem da editujem već postojeće.
Kako bi trebalo da izgleda ta skripta?

ovo funka, ali je nezgodno kad korisnici otvaraju https://www.facebook.com
ima li tu nekog resenja?

zabrana https saobracaja u FW. Jest problematicno zbog drugih sajtova, ali radi.

Https koristi port 443. Možda pomogne, ako se sav saoboraćaj po tom portu redirektuje na port proxy-ija 8080 i tamo se odradi već postavljena zabrana za facebook. Mišljenja?

U proxy slozi whitelist stranica na koje mogu da idu i to je to...

Potpis

ROCK"n"Roll

Tako je, https koristi port 443 i to stavis u fw i nema ga vise. Problem je sto time zakljucavas komplet https. Mozda nesto mozes da iskemijas sa otvaranjem nekih IP za https, a sve ostale da zabranis... komplikovano.
Uzgred, https saobracaj je zatvoren od svog polazista tako da ga proxy ne moze filtrirati, ni na koji nacin jer sadrzaj zahtjeva se ne vidi a samim tim ne moze ni da se filtrira.


Ta whitelist ne utice na https saobracaj, niti bilo sta sto mozes kroz proxy da uradis.

Pa i meni je prvo palo na pamet da zatvorim 443, ali mislim da cu da napravim potencijalni problem jer mi je https potreban, a isto tako moram da zabranim facebook.
@bvladan
ovo mi nije palo na pamet, isprobacu pa cu reci da li hoce da radi.
hvala jos jednom :)

Onda dozvolis sve IP (taksativno za svaki ip) za koje ti treba https, a onda na kraj te "443 liste" stavis da dropuje sve ostale ip. Sve druge kombinacije otpadaju.
I uzaludno je prosljedjivanje saobracaja kroz 8080. Objasnio sam vec zasto. A i probao sam pa znam da ne radi.

Imam ideju kako bi se taj problem mogao rjesiti ali cu prvo kod sebe da isprobam. Ako uspijem, javim... ako ne, cutacu ko zaliven

/edit
Evo mozda moze ovo da pomogne.
U ip/dns uneses staticki zapis da ti se facebook.com nalazi na nekoj ip (recimo 74.125.39.147 google ) i kad korisnik uputi zahtjev za https://www.facebook.com, dns sa tika ce ga resolvati na ovaj google ip.

Uslov je da svi klijenti u podesavanju DNS na svojim NIC imaju primarni DNS IP od mikrotik rutera.
Nadam se da sam bio jasan