Dotaz: Jak na Linuxovem serveru zablokovat youtube na zarizenich v lokalni siti

[Hrabosh]

Zdravím.

Mám Linuxový server, který slouží jako gateway do internetu pro domácí síť. Je na něm nějak možné zablokovat youtube, aby nešla na určených IP adresách v podsíti ... jedná se o Android TVs a Tablety.

Našel jsem pár návodů, jak to udelat pomocí iptables, ale žádný mi nefunguje.

Díky, Z.

Odpovědi

[PanZvedavy]

Pomocí iptables ne. Je potřeba použít sw typu Pi-Hole nebo NXFilter. Na koncových zařízeních je potřeba vynutit dns s filtrováním a zakázat ostatní dns. Prakticky se to dělá tak, že na domácím routeru se nastaví DHCP server s předmětnou DNS(pi-hole,nxfilter) a zakáže se pomocí fw jakákoliv komunikace na jiné dns servery(port tcp/udp 53), problémem může být dns over https apod. řeší se to například https://discourse.pi-hole.net/t/blocking-dns-over-https-doh/69404. Jako řešení pro filtrování přístupů běžných BFU dostačující. Použitím VPN to lze obejít a pak se musí agresivněji filtrovat na routeru.

[Indiánský lotr]

Blokování přes DNS funguje možná na počítače, ale pokud někdo přistoupí na youtube z android aplikace, tak ta má zadrátované IP adresy v sobě a bez problému se připojí, youtube navíc používá tisíce IP adres a dynamicky se mění. Částečně funguje BanIP ale je nutné mít neustále aktualizované seznamy a i tak v 10-20% případů provoz neodfiltruje. Možná by stálo za to mít filtr na aplikační vrstvě, ale tam nevím jak to je s šifrovaným provozem a stále to neřeší youtube aplikaci na telefonech.

[hmmmw]

Takže zařízení má v sobě zadrátované IP adresy, kterých se používá tisíce a dynamicky se mění?

[pavel]

squid proxy

[Hrabosh]

Pokud by to zjedndoušilo situaci, můžem na to jít obráceně a zakázat všechno kromě aplikací na Disney+, HBO Max a Magenta TV, ČT apod.

Dík, Zb.

[PanZvedavy]

Pak je zapotřebí zablokovat veškerou komunikaci na routeru do internetu, nastavit http/https proxy, třeba uvedenou squidproxy a jít cestou whitelistu. To znamená zjistit si IP adresy koncových služeb a zavést je do whitelistu. Může to být mravenčí práce, ale po nějaké době to lze dotáhnout do funkční podoby. Je však potřeba počítat s tím, že whitelist bude zapotřebí průběžně udržovat, aby byl funkční/aktuální.

[hmmmw]

Pozor, je možné, že to do funknční podoby dotáhnout nepůjde, protože zařízení pak můžeš odmítnout pracovat, protože se nedostane na nějaké call home adresy. Je to sviňárna, ale stává se to.

[hmmmw]

zařízení pak může* odmítnout pracovat

[Hrabosh]

Zatím jsem pres IPtables dropnul vsechny pakety na IP tech televizí a nejede samozrejme nic, ale že by se to nejak programově zablokovalo, tak to ne.

[Hrabosh]

V principu to chápu, ale jak zjistím ty IP? iptraf?

[PanZvedavy]

třeba IPtraf. Lepší ale bude rovnou rozjet http proxy, přinutit koncové klienty k jejímu používání a v rámci provozu si z logu proxy budovat whitelist. Ten lze aplikovat třeba i pro jednu IP, kde se to dá pak testovat. Jak už jsem uváděl dříve, bude to chtít tomu věnovat nějaký čas a úsilí.