Dotaz: zamezení přístupu k internetu

[microcz]

Ahoj, zajímalo by mě, zda je možné nějak softwarově znemožnit počítači, který je připojen k routeru, vidět "intertnet", tak aby připojení k vnitřní síti zůstalo zachováno. Nebo lépe zda by bylo možné zablokovat konkrétní servery tak aby se k nim počítač nemohl připojit.

Odpovědi

[kozzi]

firehol

[Jiří J.]

zda je možné nějak softwarově znemožnit počítači, který je připojen k routeru, vidět "intertnet", tak aby připojení k vnitřní síti zůstalo zachováno.

Zkusil bych pro začátek zrušit default gateway v routovací tabulce

Nebo lépe zda by bylo možné zablokovat konkrétní servery tak aby se k nim počítač nemohl připojit.

Firewall na routeru? Blokování/falšování DNS reply?

[milanr1]

pokial sa jedna o par serverov, na ktore nema ist ziadna konunikacia, riesil by som to cez iptables

iptables -A FORWARD -i eth1 -p TCP -s pocitac_ip -d cielovy_server -j DENY

pokial ide o http, tak cez proxac a jeho acl, ako uz bolo spominane

[rhm]

Třeba do hosts souboru zadat dané servery a přiřadit jim IP adresu localhostu nebo vnitřního serveru.

[Filip Jirsák]

Pokud konkrétními servery myslíte nějaké HTTP servery, dejte na router web proxy server (např. Squid), ve kterém můžete určit, které adresy smí který uživatel navštívit (nebo které naopak nesmí). Pak zařiďte, aby se pro přístup k webu používal ten proxy server – buď zakažte na firewallu pro zvolené počítače porty 80 a 443 (případně všechny porty mimo nějakých povolených) a uživatelům těch počítačů řekněte, že si mají nastavit proxy serevr. Druhá možnost (té bych se raději vyhnul) je udělat transparentní proxy server, tj. veškerý odchozí provoz na port 80 přesměrovat na proxy server.

[vencas]

Proč se vyhnout transparentní proxy? Používám to a funguje bezvadně. (desítky současných uživatelů, nikdy žádné problémy)

[Filip Jirsák]

Za prvé tím odchytíte jenom komunikaci na nějaké předem stanovené porty, pokud chce uživatel jít na web, která běží na nějakém nestandardním portu, má uživatel smůlu. Za druhé, pokud uživatel i prohlížeč vědí o proxy mezi nimi a internetem, vědí, na čem jsou – prohlížeč si může vynutit, že chce ale opravdu čerstvou kopii stránky, a ne nakešovanou. A uživatel nemusí (v případě problémů) projít fázemi – ono to nefunguje – ten počítač si ze mne snad dělá legraci – není tady proxy – ona to má špatně nakešované, ale může ze začátku hned přejít do poslední fáze.

Stručně by se to dalo také vyjádřit tak, že rád hraji s uživateli otevřenou hru – a pokud mezi nimi a internetem je proxy server, nevidím důvod, proč by to neměli vědět. Jiná věc je, že můžete proxy server provozovat v obou módech – jak klasický proxy server, tak transparentní, a transparentní proxy se použije v případě, že je uživatel líný si zadat proxy server do prohlížeče. S tím bych se dokázal smířit.