Kako blokirati pristup facebook-u koristeci sigurnosne polise?

Hteo bih da znam kako da specim pristup nekim web stranama kao facebook.com ili www.youtube.com. I to putem security policies kao ipsec.
Da li neko moze da me uputi gde ima vise informacija u vezi toga. Moja mreza se sastoji od servar MS 2003 i PC-ja sa XP. Imam AD i domen, pa mislim da je moguce da se naparave neke police koje ce da blokiraju nekoliko sajtova za korisnike u mojoj mrezi.

Ako koristis uglavnom MS tehnologije i nemas nijedan proxy u firmi onda :
- instaliraj i konfigurisi MS ISA server (za web filtering)
- force all users to use the proxy. Na firewall-u zabranis direktan pristup internet-u iz lokalne mreze sem preko proxy-ja

ISA moze lepo da posluzi i za sve vrste application layer filtering-a.

A može i ljakse metoda.

Na DNS serveru otvoriš zonu facebook.com i youtube.com i onda lepo sve recorde upućuješ na ip 127.0.0.1 ili nešto bzvz.

Je l' useri koriste isključivo IE, ili i FF/Operu?

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

jedno pitanje, a sta cemo ako dodje do zagusenja u mrezi jer se svi zahtevi upucuju dns serveru? da li postoji neko bolje resenje? meni vise pije vodu instalacija ms isa serevera

Vidi, ako admin nezna ni ono osnovno, bezveze je reci mu da instalira ISA server. Nece on sam da radi.

Prijatelju, dizi ruke ili uci. Neprijatelj je naoruzan mnogobrojnim i efikasnim naoruzanjem.

Potpis

U padu jednog carstva stradaju svi, tako je uvek bilo, tako će biti i sada. Verovatno će posle svega ovoga
biti formirani neki novi blokovi, nova uređenja. A mi? Eh, a mi..

Reda radi da pitam. Imas li neki Microsoft sertifikat?

Bez obzira koji DNS klijent pita i bez obzira na odgovor - on ce pitati, tako da ti nece zagusiti mrezu.

OpenDNS je sjajna stvar, mozes blokirati odredjene sajtove ili odredjene kategorije sajtova (social, dating... ). Postoji i pregled tj. statistika za prethodni dan prema odredjenim kriterijumima - blokirani sajtovi, najvise poseceni itd...
Dovoljno je promeniti DNS servere na ruteru ili racunaru koji ima funkciju rutera.

Ovo ne moze da zameni ISA server ali uzmi u obzir da je potpuno besplatno (za sada) i lako za konfigurisanje.

http://www.opendns.com

Potpis

Slika govori više od 128K reči.

>> Bez obzira koji DNS klijent pita i bez obzira na odgovor - on ce pitati ....

A sto bi pitao? Kada admin cacka sa DNS-om 69.63.184.142 je sasvim ok zamena za face... Ubacis u favorite da ne kucas stalno.

Potpis

U padu jednog carstva stradaju svi, tako je uvek bilo, tako će biti i sada. Verovatno će posle svega ovoga
biti formirani neki novi blokovi, nova uređenja. A mi? Eh, a mi..

Ser_Boyler,

Ovi nemaju Cisca. OK moze sa ip name-server ..... Moze i sa samog servera, ali meni se cini da je u pitanju da se DNS od ISP zameni sa onim od OpenDNS-a?
Da li sam to dobro razumeo?

Igor,

Nemoj se igrati sa DNS resenjem u velikoj mrezi (na osnovu prethodnih tvojih postova bi rekao da ti nije mala mreza i da imas i neke branch office-e)
Application layer filtering sam spomenuo jer verujem da ces kroz koju nedelju pitati kako da zabranis razne instant mesendzere. ;-)

Ako imas "neki GNU" firewall, vidi da li sa njim mozes nesto da odradis. Ko ti odrzava taj proxy? Obrati se proxy adminu.
Pogledaj malo specifikaciju ISA servera i onda proceni da li ce moci da ti posluzi, ako ne mozes da odradis sa postojecim proxy serverom.

Imam nameru da kupim ASA firewall. Ali do tada a firma u kojoj radim je u pomanjkanju novca. Sada ima dodatni modul na njemu za Content Filtering, i sad aje pitanje da li da ga kupim ili ne, Mislim da li bi mozda mogao da koristim nesto drugo kao squid?

Mozda neki drugi firewall?

ajde da se i ja malo ukljucim u disksiju...

Sto se tice polisa i zabrane na win2k3, od toga nema nista jer filizofija rada windowsa i njegovih servisa nije uopste zamisljenja da se na nivou AD blokiraju takve stvari. Win 2008 je nesto drugo.

Sto se tice samog DNS i kreiranja zona, ovo je mozda i najblize resenju, ali je daleko od najboljeg. U svakom slucaju radice.

Korisnik nije rekao sta mu rutira izlaz na net? mozda se moze to puno jednostavnije rijesiti na nekom ruteru...

Dizanje proxyja, ne mora da bude isa, ce da radi sasvim korektno, mada takvo resenje zahtjeva jos administracije.

Na korisniku je da procijeni sta je najmanje zlo....

Potpis

Bojan

Moje znanje rada na racunaru je osnovno plus pride jos nesto dodatno. A zasto ne instalirate neki program, na primer k9 web protection, i ukucate sta zelite da zabranite.
Program ima razne filtere - a facebook, myspace i slicni spadaju u kategoriju Social Networking. Ili zabranite konkretnu stranicu. I kad radnik ode na tu stranicu izadje mu poruka da je zabranjena i da ukuca sifru. I eto cele mudrosti. Ako je neka veca firma, valjda je bolji i open dns.

K9 ima ralzicite vrste filtera, i raznih podesavanja. Ne znam zasto toliko komplikovati

Ako je vas nacin bolji, postujem to

Ruter je Cisco 2801. Znam da postoji instrukcija inspect ali ne bih operecivao ruter sa time. Sa druge strane, K9 web protection zahteva da na svakom racunaru instaliramo to. Opet, imamo i drugih problema a to je da on nije besplatan za komercijalnu upotrebu.

Cinimi se squid moze da bude resenje toga sto trazim, jer nemam licencu za ISA. Upravo ga proucavam.

Ehej, ne napadajte me za DNS, lepo sam napisao da je to ljakse metoda. :)

Za Squid može, ali moraš onda naterati usere da koriste isključivo proxy server i da nikako drugačije ne mogu na net.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Da, promeni DNS servere provajdera u DNS servere OpenDNS-a.
Jos jednom napominjem da je za ozbiljniji filtering prema bilo cemu ili bilo kom kriterijumu ipak potrebno drugo resenje. Nista ne kosta da probas pa odluci.

Potpis

Slika govori više od 128K reči.

Moze squid bez problema na winblozama - vozio sam ga do skoro...


acl blockdomains dstdomain "/etc/squid/blockdomains.acl"
acl blockword url_regex -i "/etc/squid/blockword.acl"
acl blockfiles urlpath_regex -i "/etc/squid/blockedfiles.acl"


blockdomains.acl

maps.google.com
.facebook.com
.youtube.com
.rapidshare.com
.wow-europe.com

blockword.acl

arcade
game
pornhub
[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+

ovo zadnje skaki IP adresu :))

blockedfiles.acl
\.[Tt][Aa][Rr]$
\.[Rr][Aa][Rr]$
\.[Ww][Mm][Vv]$
\.[Ff][Ll][Vv]$

I ja dajem glas za OpenDNS, koristio sam to i lepo radi.
Mislim da ti je to najjednostavnije resenje.

Potpis

Of all the things I've lost, I miss my mind the most

Kao sto rekoh, sve je to uzaludna borba. Pricamo o sajtovima koji su medju prvih 5 u svetu, svi u delimicnom vlasnistvu mikrosofta, duboko ukorenjeni u novim IE ...

Posebno je problem sto cesto ( pa i ovde ) muvu gadjamo teskim haubicama. Tu muva moze biti samo kolateralna steta - slucajan pogodak, ali je zato sve okolo unisteno. Pobrisati rut hinteve na jednom AD orijentisanom DNS-u je vrlo problebaticno. Staviti opendns za forvajdera je vec jeres ....

Slicno i za squid - svaki proksi, pa i ovaj radi sa samo par protokola, a pustati sekjuriti protokole kroz tudj proksi je sve sem sigurno. To se mora raditi unutar firme ...

Potpis

U padu jednog carstva stradaju svi, tako je uvek bilo, tako će biti i sada. Verovatno će posle svega ovoga
biti formirani neki novi blokovi, nova uređenja. A mi? Eh, a mi..

Cisco 2801 je jedan jako jako robusna masina, ne moras da brines da ce da je zagusi... Ja bi ipak isao na tu varijantu, plus bi ukljucio da inspektuje sve audio i video formate.. Ovo sve ostalo moze da se zobidje na super lake nacine...

Potpis

Bojan

Jeste to jaka masina, ama ima da radi pametnija posla. Briga o fejsu mi je na 184. mestu medju prioritetima. A opet, mnogo mi je lakse da deinstaliram medija plejer nego da prekopavam po paketima i da mi se ljudi smeju.

Teorija je jednostavna: ubi sve i propusti samo ono sto je potrebno za posao. Deinstaliraj sve nepotrebno i ostavi samo program sa kojim se radi. Ostaje veoma malo i vrlo je sigurno.

E, sad ako imas bezbedonosnu rupu ( krater ) koja se zove prioritetni gazda, tu ti niko i nista ne pomaze.

Potpis

U padu jednog carstva stradaju svi, tako je uvek bilo, tako će biti i sada. Verovatno će posle svega ovoga
biti formirani neki novi blokovi, nova uređenja. A mi? Eh, a mi..

Kakav ruter ima ta firma? Ako je neki od pametnijih, zgodno resenje bi bilo da se blokira saobracaj ka celom adresnom opsegu Facebook-a: 69.63.176.0/20

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.