Dotaz: Jak znepristupnit uzivatelum pristup na web

[polo23]

Ahoj chtel bych se zeptat jak znepristupnit uzivatelum pristup na web kdyz jsou pripojeni pres server ktery ma nainstalovany FW a proxy(SQUID). V prohlizeci jim nastavim proxy a pak nakonfiguruju proxy to je osetreno. Dejme tomu ze nekteri budou mit prava admina a zmeni si nastaveni prohlizece tak ze budou mit primy pristup na web. Do FW dam pravidlo

iptables -t nat -A PREROUTING -i eth1 --dport 80 -j REDIRECT --to 3128 
pricemz eth1 je rozhrani sitovky na ktere chodi pozadavky uzivatelu.
Timto pravidlem jsem vlastne muj problem vyresil az na to ze nejaky 
user si napriklad zprovozni web na portu 5555 tim padem moje pravidlo obejde
a na svuj web co pobezi na portu 5555 se dostane. Jedine co me napada a co 
iptables neumi ze bych zatrhl komunikaci HTTP(ktere je vsak na aplikacni vrstve)
pak by nezalezelo na portu co si user napise tak jako tak bych ho "dostal". Diky za 
kazdy napad.

Odpovědi

[Filip Jirsák]

Jedině zakázat přímou komunikaci s internetem úplně, nebo povolit jen komunikaci např. s vybranou bezpečnou IP adresou, kde je nějaká aplikace, která musí být dostupná, nebo kontrolovat protokol takové aplikace. Jakmile povolíte komunikaci ven, může si uživatel udělat ssh tunel a pak se dostane kamkoli.

[houska]

user si napriklad zprovozni web na portu 5555 tim padem moje pravidlo obejde

a to je takovej prusvih? kolik lidi tohle dokaze? ;)

Existuji moduly, ktere dokazi rozpoznat ruzne P2P spojeni, zkus se podivat po netu jestli neco takoveho neexistuje i pro http.

[polo23]

a to je takovej prusvih? kolik lidi tohle dokaze? ;)

No treba ja to dokazu nastavit behem 5 minut:) Jde o to ze jsme to dostal od sefa za ukol to vymyslet ale nenapadaji me jina reseni nez psal pak Jirsak.

[houska]

No treba ja to dokazu nastavit behem 5 minut:) hm tak to jsi sikula

a je to takovy problem ze nekdo bude moct jit naprimo? ... tak se proste nebudou jeho dotazy cachovat a vy nebudete moct sledovat kam se pripojuje ... ale pokud se nekdo bude snazit browsdat tak abyste nevedeli kam leze, tak to stejne udela - ssh tunel apod.

[houska]

zkus se podivat po netu jestli neco takoveho neexistuje i pro http

l7-filter.sourceforge.net