layer 7 protocol blok facebook

Pozdrav

kao sto vec u nazivu stoji ,potrebno mi je da blokiram jedan racunar u mrezi da ide na facebook.Sa layer 7 i firewall filterom sam uspeo da blokiram sve racunare u mrezi da idu na face,al meni je potrebno jedan ako je moguce sa mac addressom da ga blokiram.

Nisam nasao konkretno po forumima za to zato sam otvorio temu.

Unapred Hvala

Potpis

backo

Podesis DHCP da ti za odredjenu MAC adresu daje isti IP i onda u firewall-u kazes da taj IP blokira sa ukljucenim layer 7 pravilom.

Potpis

Šaka

Hvala puno,pozzz

Potpis

backo

pa u firewall ima opcija src-mac-address koliko ja znam, na kartici advanced :) vjerovatno i na taj nacin moze markirati saobracaj kojem je sourc mac adresa ta kojoj zeli zabraniti fejs.

Potpis

MyCoNfa:
CPU: AMD Phenom II X4 965 3,4GHz BOX
Maticna:Asus M4A89GTD PRO
RAM: Corsair 4x2GB 1600MHz, 9-9-9-24
Grafa: Diamond ATI 5870 1GB
HDD:3xWD 320GB AAKS, stripe raid
DVD/RW:LG,SATA
SilverStone SST-ST50F 500W
CoolerMaster CM690
LG 24" 2453TQ-PF
Tastatura A4Tech X7 G800
Stakor: A4Tech X7-755FS

Treba obratiti pažnju ako je laptop pa ima dve mrežne kartice.

Potpis

rajco.me/blog

Sto jednostavno kad moze komplikovano ;)

Potpis

Šaka

sad imam jos jedan problem

postavio sam da dhcp dodeli tom racunaru uvek istu IP,ali problem je sto neko ko se na racunaru malo bolje snalazi da manuelno upise neki drugi IP.

Da li se dhcp moze podesiti da radi samo navedenom adresom koja je uneta za tu karticu tj mac adresu kartice?

Potpis

backo

hm... ne znam koliko je pametno da layer7 filterise face... Zasto?!

Zato sto gomila sajtovai ma neki facebook addont tipa like, share i slicno i ako ga layer7 dropuje odrazice ti se u brzini ucitavanja stranice ili gresaka da se stranica nije ucitala do kraja ili da ima neucitane delove...

I ovde takodje nisi resio ako neko pristupa face-u preko https-a jer to l7 nece da ti resi.

Resenje:

Da li ti je i DNS na istom mikrotiku ???

Najlakse je da stavis u DNS server staticku jednu od adresa za www.facebook.com i onda kome vec zelis zabranis saobracaj ka toj ip adresi.

To ti je buletpruf resenje... sve ostalo ima potencijalni bug.

Ako ti nije DNS na tom racunaru, uvek mozes da preusmeris DNS zahteve za zeljeni racunar na mikrotik pa opet tu da dodelis DNS rekord za face pa da ga koljes...

Mozda sam malo konfuzan ali i vrucina je danas...

Sve u svemu tvoj problem se da resiti lako.

Poz,
Dejan

Potpis

::www.kladovo.net ::

Možeš li da pojasniš ovo rešenje jer ja nisam ukačio dobro. Koliko znam jedini način je dropovanje svih opsega koje fb koristi.

Potpis

rajco.me/blog

^

[admin@gw0] /ip dns> print
servers: 212.200.191.150,212.200.190.166
dynamic-servers:
allow-remote-requests: yes
max-udp-packet-size: 512
cache-size: 2048KiB
cache-max-ttl: 1w
cache-used: 1310KiB

[admin@gw0] /ip dns static> print
Flags: D - dynamic, X - disabled, R - regexp
# NAME ADDRESS TTL
0 www.facebook.com 31.13.80.17 1d


I sad u IP firewall dropujes sav saobracaj ka 31.13...

Ako su ti korisnici podeseni da DNS dobijaju od Mikrotika, uvek ce za www.facebook.com da dobiju 31.13.80.17 :)

A ako nisu podeseni, uvek mozes da sav UDP saobracaj ka portu 53 (DNS) redirektujes u tvoj mikrotik na port 53 (preusmeris DNS tzv) .


Pozzz

Potpis

::www.kladovo.net ::

Možda je danas od vremena, al ja i dalje ne vidim ovo kao rešenje :). Šta se dešava ako ne koriste dns uopšte za pristup fb?

Potpis

rajco.me/blog

E pa ako ne koriste DNS... onda zaista ne znam!

Potpis

::www.kladovo.net ::

Ipak nije buletproof ;)

Potpis

rajco.me/blog

meni je sa layer 7 blokirano na fej i na https

Potpis

backo

Mozda neka skripta koja odradi nslookup za facebook.com i www.facebook.com i dropuje pakete koji imaju za dst-adress te adrese?

A sto se tice L7 ako se stavi za regexp ovako nesto:



onda ne bi trebalo da dropuje sve sajtove.

Ovo je bio sarkazam... Kako mogu da ne koriste DNS ?

Potpis

::www.kladovo.net ::

Mislio sam da ne koriste taj rekord, odnosno ako imaju u kešu ili host fajlu rekord koji kaže da ide na drugu ip adresu. Možda sam nešto propustio, pogledaću sutra detaljnije pa ću testirati.

Potpis

rajco.me/blog

Pa mogu da koriste Google DNS ili OpenDNS ili nesto trece, ne moraju Tik-ov.

@Zivanicd Probao sam tvoje rešenje i meni samo radi kada pita Mikrotik za dns, ali pretpostavimo da nemam nikakva prava na računaru flušujem dns ili pustim da istekne rekord za fb koji mi ne odgovara, nakačim se na neki od wifi koji nije na mojoj mreži (može i 3g ako neko ima instaliran modem) pingujem fb ili ga posetim, ostaje mi rekord sa drugom ip adresom i kada se vratim na moju mrežu radi mi normalno. Da li grešim negde?

Potpis

rajco.me/blog

^^Grešiš: kako tačno misliš da ti "ostane" drugi DNS kada prilikom dolaska na prvu mrežu se radi flush posle neuspelog renew?

...izvadiš SIM iz telefona dok je uključen - staviš drugu, a telefon zapamtio i prvi broj - pa zoveš sa oba

podesiš zapise facebook.com, *.facebook.com da idu na 127.0.0.1 - a na kompovima oduzmeš privilegiju ručnog upisivanja IP/DNS
====

Usput: beše podesiš ARP na reply-only za tu IP adresu - i onda mu džabe što upiše drugu IP - kad internet radi samo sa onom koju dobija od DHCP-a imaš uputstvo na wireless.uzice.net

Potpis

Kad, tokom pravljenja Nes kafe, umesto da uzmeš mleko iz friza tamo ustvari staviš Nes konzervu - shvatiš koliko je multitasking za*ebana i pipava rabota :)