Dotaz: Blokace přístupu uživatele k internetovým stránkám s whitelistem

[Fidon]

Hezký den, mám OS Kubuntu a znalosti BFU (ls;cd;rm;nano). V počítači mám 2 uživatele a potřeboval bych toho druhého (ne roota) absolutně odstřihnout od internetu až na několik taxativně vyjmenovaných výjimek (domenaskoly.cz apod.). Je přitom důležité, aby takto internetově omezen byl z těch uživatelů skutečně pouze jeden. Děkuji za pochopení a přeji hezký zbytek dne.

Odpovědi

[Max]

Pokud to nechceme řešit globálně a mít proxy server s ověřováním uživatelů, na základě čeho by se řídilo, kdo může všude a kdo ne, tak by to asi šlo řešit možná přes firejail.
Existují snadná děravá řešení, která BFU nemusí obejít, ale existují i složitá, která cílí opravdu na globální úrovni.
Zdar Max

[Fidon]

Díky za rychlou reakci. Nemám žádný server :). Pro mě čím mi dáte triviálnější řešení, tím lepší, klidně děravé. Ti uživatelé mají ještě nulovější znalosti než já.

[Max]

Pokud máš tedy velmi neznalé uživatele, tak bych to řešil blocklistem v rámci prohlížeče. Internet Explorer toto podporuje hafec let (definovat si seznam povolených stránek a vše ostatní zakázat). Chrome toto umí od verze 86, viz: URLAllowlist a URLBlocklist.
Pokud jim tedy povolíš používat jen chrome, tak v rámci něj můžeš nastavit seznam povolených stránek a víc neřešit.
Zdar Max

[Max]

Ještě dodám, že se to dělá takto:

# vytvoříme si adresářovou strukturu
mkdir -p /etc/opt/chrome/policies/managed

# vytvoříme si json s pravidly
nano /etc/opt/chrome/policies/managed/policy_url.json

{
  "URLBlocklist": ["*"],
  "URLAllowlist": ["mail.example.com", "wikipedia.org", "google.com"]
}

Pokud to nechceš řešit globálním pravidlem, ale per user, vytvoříš to samé do profilu uživatele:

/home/uzivatel/.config/google-chrome/policies/managed/

Pokud nepoužíváš chrome, ale chromium, tak ten by měl mít politiky v:

# první varianta
/etc/chromium-browser/policies/managed/

# druhá varianta
/etc/chromium/policies/managed

Zdar Max

[Fidon]

Moc díky! Bohužel mi to ale nějak nešlo u těch lokálních uživatelů nastavit. Nicméně problém je vyřešen. Nastaví se to u jednoho prohlížeče pro celý systém a k ostatním prohlížečům se děckám prostě seberou spouštěcí práva :). Ještě jednou díky, a přeji hezký večer!

[Max]

A ještě dodám, že Firefox by měl mít tu samou fci. Tj. přes konfigurační json zakázat nějakou url a povolit. Příklad (dokumentace):

{
  "policies": {
    "WebsiteFilter": {
      "Block": ["<all_urls>"],
      "Exceptions": ["http://example.org/*"]
    }
  }
}

Zdar Max

[X]

iptables - maji modul 'owner'. nftables - Maji parametr 'skuid'. Takze vhodne nastaveny firewall by to mohl vyresit.

[bigBRAMBOR]

Uff, do toho bych nesel, resit pristup pouze na nejaky stranky na urovni blokace IP adreses.

[Fidon]

Hezký večer. Potřeboval bych na to nějaké o hodně jednoduší řešení (ideálně crtl→C, ctrl→V do terminálu). Ti uživatelé, které chci takto odříznout jsou děti, kteří nikdy terminál neviděly. Nastavení firewallu jsem nikdy nedělal a přiznám se, že se do toho bojím vrtat, protože pak bych mohl ohrozit bezpečnost celého systému a tím bych mohl ohrozit i ostatní uživatele a pak by z toho byly problémy. Proto bych byl rád za nějaké řešení, při kterém by nebylo potřeba ani rootnout systém(samozřejmě potřebné programy si doinstaluji). Díky, moc.

[X]

Neni problem. Tak zacni treba tim ze sem vypises stranky na ktere teda maji to "povoleni" a take bude potreba znat UID tech uzivatelu. To zjistis prikazem:

sudo id -u jmeno_uzvatele <-- tady to zmene na jmeno uctu deti.

Vyplivne to cislo, ktere jsem take zasli

[X]

Vis co beru zpet. Takto primitivne to opravdu nejde.

[bigBRAMBOR]

Ono je to skola a nejake skolni pocitace? Tech pocitacu je vic? Tak to snad proxy ne?

[Max]

Pokud to chce per user a né per pc, musel by nasadit i nějaké ověřování. Pokud neumí nastavit ani firewall, tak pochybuji, že nastavit proxynu s ověřováním a distribuovat nastavení bude schůdné řešení. Já bych to řešil na úrovni web prohlížeče jako jsem zmínil výše. Je to jednoduché, jde to udělat per user apod.
Zdar Max

[Peter Golis]

Schodné by to technicky bolo, ak si zaplatí hotové riešenie aj s podporou a údržbou. Ale z finančného hľadiska to môže byť oxymorón.