Dotaz: OpenWrt - rodičovská kontrola

[Petr Fiedler]

Zdravím,
potřeboval bych od vás poradit, jak v OpenWrt co nejlépe nastavit rodičovskou kontrolu. Přesněji řečeno nějaký black list, nebo tak něco. Prostě seznam webů, na které by děti nemohly. Našel jsem tohle, ale u každé možnosti je nějaká nevýhoda a s mými znalostmi nedokážu posoudit, co z toho je nejlepší řešení. Poraďte prosím, co z toho by bylo nejlepší, nebo klidně něco jiného, ještě lepšího.

Díky

Odpovědi

[_]

Co zkusit adblock a do blacklistu zadat požadované adresy?

[Petr Fiedler]

Drawbacks:

• If the IP of the server is known, it can be reached directly without using DNS altogether.
• These restrictions can be foiled quite easily by using another internet site to lookup the IP address for the site and bypassing DNS altogether.
• If several DNS are in the LAN just changing the local settings to the unfiltered DNS renders this control useless.

[Bugsa]

Napadly mne tyto 3 nejjednodušší způsoby:

1. DNS blocking - do OpenWRT doinstalovat balíček "simple-adblock" a použít vhodné seznamy.

2. Proxy - do OpenWRT doinstalovat balíček "squid" a na klientech nastavit použití proxy. Na firewallu dropovat požadavky na porty 80 a 443. Pak vhodným configem Squidu blokovat požadované domény.

3. Firewall - do IPSetů "naházet" všechny blokované domény a nechat blokovat přímo ve firewallu.

[Bugsa]

U 1. jsem zapomněl doplnit - na firewallu pak forwardovat všechny odchozí požadavky portu 53 na firewall, aby veškeré DNS šlo přes filtrovaný DNS server na routeru.

[_]

Myslím, že na to má klasický adblock (ne simple) volbu “force DNS” která by tohle měla dělat

[billgates]

Treba ale mysliet na to, ze akonahle zacne byt bezne v browseroh DoH, tak akekolvek figle s DNS uz budu nepouzitelne.

Ak je moznost adminovat vsetky stanice, tak je proxy cesta asi najschodnejsia. Treba napchat kazdemu vlastnu CA, povypinat rozne kontroly, ktore overuju validitu certifikatov vedlajsimi kanalmi a nechat squid robit http(s) proxy.

[Bugsa]

Máš pravdu. Teď jsem koukal a simple-adblock má tu volbu také, takže to je opravdu jednoduché na nastavení. Pro blokování porna doporučuji Energized Protection Porn - https://github.com/EnergizedProtection/block Pro blokování reklam maximálně Blu. Basic a vyšší už mají blokovaných spoustu legitimních domén (nenačítají se fotografie a videa na zpravodajských webech apod.).

[_]

zrovna tyhle *porn seznamy na openwrt adblocku padají do kategorie XXL a to má vztah na RAM:

List of supported and fully pre-configured adblock sources, already active sources are pre-selected.
To avoid OOM errors, please do not select too many lists!
List size information with the respective domain ranges as follows:
• S (-10k), M (10k-30k) and L (30k-80k) should work for 128 MByte devices,
• XL (80k-200k) should work for 256-512 MByte devices,
• XXL (200k-) needs more RAM and Multicore support, e.g. x86 or raspberry devices.

u mě na routeru jsem je musel odznačit - jinak jsem ho každý ráno musel restartovat

[Bugsa]

To je pravda. Jako alternativa mne napadlo použití DNS "cloudflare-family" (1.1.1.3 a 1.0.0.3), které by mělo být filtrované na "adult content".

[Peter Golis]

A kvôli takejto ochrane sa do Netscape Navigátora pridala podpora DNS over HTTPS.

[bigBRAMBOR]

4. najít dětem vhodné weby s pornem, které nebudou obsahovat kdovíjaký škodlivý *ware a nechat onanovat dle potřeby

[Bugsa]

Předpokládám, že má dítě nízkého věku, které by takové weby opravdu nemělo vidět. Pokud to ale chce blokovat náctiletému, tak tam už bych souhlasil s tvým bodem 4 Jeho hlavní pozitivum by to bylo v tom, že by to případně teenagera dokopalo k doučení IT problematiky (TOR, VPN, vlastní DNS-over-HTTPS server, hotspot přes mobil, ...), aby se na ty zakázané weby dostal. :)

[Petr Fiedler]

Chci se zeptat. Jakékoliv řešení lze obejít použitím Toru? Pokud ano, Toru nelze zamezit přístup na určité weby?

[Bugsa]

S Torem nemám praktické zkušenosti, ale předpokládám, že ano. Za tímto účelem, obejít blokace a restrikce, byl vytvořen. Třeba nám to tu někdo osvícenější vysvětlí.

[vencour]

Tor přece také tuneluje, end point tunelu je identifikován jako exit node. Ale pokud máte admin práva na lokálním stroji, můžete to ověřit. A taky dělat něco jako statistickou analýzu provozu.

[vencour]

Uvědomte si, že se může jednat o weby, které i vy potřebujete, třeba věci od googlu.
U nás se to řeší obecně přes DNS, přes nastavení routování do "pryč", access-listama.
Někdy se hodí to zablokovat a nevědět. Někdy se hodí to zablokovat a vědět o tom, kam děti chtěly jít.
Uvědomte si, s kym to zápolíte. Routování pomůže, když budou používat dns over https. Když najdou nějakou proxy na internetu, zase to obejdou.
Za mne je důležité, aby děti měly co dělat, abyste je inspiroval, aby měly vzor ve vás v tom, co je pěkné a aby následovaly a chtěly následovat více vás než nějaký vobejdy na internetu.
A abych nezapomněl, i to, že změníte šířku pásma (třeba dle času), může ovlivnit, co děti dělají, nemůžou pouštět videa ve velkém rozlišení, nebudou na webu s hodně reklamama, protože nevydrží čekat na načtení stránky.
A samozřejmě je podstatné, aby vám děti věřily, věřily v to, co chcete a děláte (syn napovídá aby jim to dávalo smysl). A aby měly možnost se aspoň trochu vyřádit, dejme tomu 10-20% času denně, jak kdy.

[j]

Jestli chces aby tvoje deti presne tyhle weby vyhledavaly, tak ses na idealni ceste ...

Jako proc to probuh resis? Maly deti to naprosto nezajima, a nijak jim neuskodi, kdyz na nejaky to Pcko nahodou narazi (a vazne bych chtel videt, jak se na to narazi nahodou ...), a ty starsi, ktery to zajimat zacne, si stejne poradi.

Nemluve o tom, ze to stejne nejde. Az docilis toho, ze ti doma nebude fungovat nic (neni jednodussi odstipnout ten kabel rovnou?) tak si zajdou k sousedovi.

---

Dete s tim guuglem dopice!

[vencour]

Vono stačí, když děti koukaj třeba na "pět největších pravd o ...", když takhle zabíjí čas, místo aby si to přečetly za 1/10 času i s nějakým historickým pozadím, tj. když jen konzumujou, místo toho aby se učily používat mozek.

Registrovaný google nevotravuje. Taky otázka priorit ...

[Petr Šobáň]

Podle mě zbytečná ztráta času, peněz a prostředků.....

Pokud je to nezajímá tak to hledat nebudou (porno, násilí atd.. atd....)

A pokud je to zajímá tak to stejně obejdou a dostanou se na ty stránky.

Jediné smysluplné blokování je serverů s různým malwerem, a další škodnou a na to je adblock, firewall.

[Petr Fiedler]

Jen aby bylo jasno. Neřeším to kvůli sobě a děti nemám.

[Petr Šobáň]

Tak proč to řešíš?

[Petr Fiedler]

Abych někomu, kdo není ani BFU, pomohl.

[vencour]

Tak ale na to bacha, to se pak o to budete muset starat furt, jestli ho to nenaučíte, když už jednou na sebe vezmete odpovědnost.
Navíc, tohle souvisí s něčím jako uživatelskou znalostí IT věcí. Co je někde na OpenWrt je jen nějaké nasázení pravidel a konfigurace, mělo by tomu předcházet nějaké poučení, jak se chovat, abych nedělal komplikace.

[Petr Šobáň]

Tak mu třeba vysvětlit že je to blbost.

[vencour]

Ok, takže asi máte existující levné železo a ten "ani BFU" do toho nechce dát ani korunu navíc. Dokonce ani svůj čas.
Když to vezmu obecně, potřebujete něco filtrovat. Můžete to dělat někdo na straně "zákazníka". Nebo si i za to můžete nechat platit. Platit penězma, časem nebo něčím jiným. Platit teď nebo až se něco podělá nebo až budou děti zvlčilé (ještě víc) a bude pozdě (ještě víc).

Měl jsem za to, že jsem v posledních cca 10 letech viděl něco jako "managed services pro SOHO", tj. že se vzal zpravidla nějaký access-list a nasadil se. A pak se člověk divil, že mu třeba občas nejde wikipedie nebo co. Podstatné tedy je, že k tomu je nějaká obsluha a reaguje dřív než za měsíc.
Turris Omnia nějakou analýzu a rozbor dělá, jestli to je relevantní funkcí pro Vaše potřeby nedokážu posoudit, stable větev má jiné podmínky než devel.
Tuším Eset měl nějakou nabídku na takovou "L7" filtraci. Pamatuju, že pro "Sofos Antivirus" prý kolega měl nějaké instalace. No a korporace tohle dělaj přes UTM apod. a taky je štve placení aktualizací za "databáze blokací".

Obecně byste měl zvážit to, že všude je aspoň jedna chyba, může se vyskytnout. To technické řešení je doplněk pravidel a norem chování, nemělo by tu být jen tak pro nic za nic.
Mimochodem, můžete rozjet něco svého, tak jako je vsfree pro hosting, vyviňte nějaké modelové řešení a nabízejte ho "vzorným rodičům", toto by mohla být první vlaštovka. Zřejmě přes proxy plus něco k tomu byste to okoučoval. Se vzdálenou správou a více spravovanými rodinami by to dávalo smysl jako nějaké občanské sdružení = věřím, že spousta rodičů by se našlo. Tohle dává smysl.

[Hasak]

Jenze tva pomoc nebude fungovat dokud na to nepujdes komplexne. Tzn. na PC zalozit uzivatelsky ucet (pokud se bavime o OS MS Windows) s omezenim na instalace software atd. Dale nainstalovat internet security (eset, avg,....) a v nem filtrovat obsah (Parental control). Na urovni routeru se hleda reseni tezko, pokud nemas zajistenou/zabezpecenou uzivatelskou stanici. Co se tyka tabletu a mobilu tam by se hodila politika co neni povoleno je zakazano. Takze zvlast vlan pro zarizeni tablet/mobil pro "zlobivce" a zablokovat vsechny ASka facebooku atd. Dobre jsou i blokace na urovni DNS napriklad OpenDNS ma dobre filtry. Levna volba je napriklad PiHlole - umi blokaci reklam, zavadnych webu atd. Takze ve VLANach, ktere se maji drzet na uzde pouzit jako DNS prave Pi-Hole.

Zkus si prohledat kolik existuje webovych tunelu na facebook - je toho mrte. Pokud dany jedinec chce vzdycky si najde cestu. Je lepsi jit cestou osvety nez omezeni.

[vencour]

Obecně se říká, že je vhodná přiměřenost, že náklady by neměly být vyšší než chráněný objekt.
Pravda, vše vyčíslit nejde.

[Petr Fiedler]

Zatím se to týká pouze chytrého telefonu.

Díky za nasměrování.

[Petr Šobáň]

Pokud jenom mobil tak co takhle https://blokada.org/, nainstaluješ na mobil a podle filtru máš různé věci blokované.

[Petr Fiedler]

Podívám se na to, dík.

[Pavel 'TIGER' Růžička]

Blokáda je hlavně kvůli otravným reklamám, na telefon to chce spíše rodičovskou kontrolu, když už tedy cenzura ...

[Petr Fiedler]

Díky Pavle.

[Petr Šobáň]

Jasně, a samozřejmě uživatel si to klidně vypne.

Ale mohlo by to být to co uživatel chce aby se mu nestahovaly různé nechtěné věci do telefonu.

U telefonu to beru, drahé data, malé úložiště tak tam to podle mě má smysl....

[Petr Fiedler]

Ještě jsem to nevyzkoušel, ale předpokládám, že před tím, než se v té aplikaci bude moci něco vypnout, nebo než se reinstaluje, bude uživatel (synáček) vyzván k zadání hesla. A to bude samozřejmě znát jen jeho otec. Kdysi jsem na Androidu používal Avast a tam to tak bylo. Jen se to muselo nastavit v pokročilých volbách. Pokud by to tak ta aplikace neměla ošetřeno, tak by byla samozřejmě k ničemu.

[Pavel 'TIGER' Růžička]

Cenzura je zlo. Už v raném dětství se rozvíjí sexualita jedince, pokud jí budete cenzurovat, může se stát, že v pozdějším věku jí člověk bude potlačovat a nebude vědět, kam skutečně patří. A to snad nechce nikdo z rodičů.

[vencour]

Tak to stačí pustit třeba něco jako film Kinsey a zapracovat na výchově nebo prevenci.
Obecně udržovat něco jako rovnováhu v přístupu "ke světu".

[Petr Fiedler]

Teď neřeším cenzuru. To teď nechám stranou. Jen k tomu podotknu, že o tom uvažuji a osvěta mi taky přijde lepší, než cenzura. Ale ucelený a jasný pohled na to ještě namám.

Ta rodina jsou křesťané s naprosto odlišným názorem na masturbaci, nebo pornografii, než má (asi jen kromě mě) každý tady. V našich očích je oboje zvrácenost a rozhodně to nikdo z nás nehodlá schvalovat, natož podporovat. Pohled lidí zde na abc chápu. Kdysi, jako nevěřící jsem to viděl taky tak a těžko by mi to tenkrát někdo vymluvil. Dnes to ale vidím jinak a těžko mi to někdo vymluví. Oboje je zvrácenost.

Snažil jsem se tomu tady vyhnout, protože to spíše patří do blogu. Když to tu zde ale stále někdo vytahuje, tak jsem zareagoval. Více to zde ale řešit nehodlám.

[Pavel 'TIGER' Růžička]

Zvrácenost je maximálně v té prezentaci, jinak je to lidská přirozenost (i křesťané mají děti). Ale v tomto na mne nehleď, protože jsem bezvěrec a můj názor že náboženství a politika je nejhorším zlem této planety nikdo nezmění.

[_]

Aby se casem díky samému odvrácení se a odlišnému názoru neřešilo třeba těhotenství 15 leté žáby s jejím bratrem - protože ji nejaká oběť z podobně postižené rodiny na zpovednice.cz nakukala, ze s bráchou to nejde...

V tomhle případě je osvěta to nejlepší co se dá udělat - hormony a tělesný vývoj žádná vira nezastaví...

Kdysi jsem taky dělal něco jako "rodičovskou" kontrolu. Zakazoval jsem stránky, vyhodnocoval, kam kdo chodí a podle toho doplňoval zákazy... To je na palici a je to úplně k ničemu. Internet je poněkud rozsáhlý na to, aby se to dalo stíhat.

Jediné, co má smysl technicky nějak řešit, je omezení šířky pásma pro jednotlivé klienty. Prostě, postarat se, aby jeden klient nemohl zablokovat ostatním celý přístup k internetu. Dynamické dělení šířky pásma podle aktuálního počtu klientů. A to celé tak, aby to ten omezující prvek zvládal pokud možno s prstem v nose.

[Petr Šobáň]

Přesně souhlasím.......