Re: Jak sobie poradzić z blokowaniem facebuka?

W artykule <i5ssnh$7uf$1@news.onet.pl>, Przemysław Adam Śmiejek napisał(a):

>> Z ISA nigdy nie korzystałem, ale nie chce mi się wierzyć, że nie ma tak
>> podstawowej funkcjonalności.
>> To już głupi squid potrafi wycinać ruch po IP/maskach, portach, domenach
>> (w dowolnej postaci), po numerach AS, protokołach, pełnych adresach URL,
>> nagłówkach HTTP, typach mime i 15 innych rzeczach.
>> Chyba muszę w końcu ISA zainstalować i sprawdzić co to potrafi.
>
> Blokowanie po nazwach niby jest, ale ja niestety za głupi jestem na to,
> żeby to odpalić w wersji bez Firewall Client. A znów FC to dość średnio
> mi działa na końcówkach (sam się wyłącza) no i takie to dość mało
> sensowne, bo wystarczy go wyłączyć i filtrowanie przestaje działać.

Na squidzie ja to robię tak:
1. przez dhcp przypisuję komputerom wyjście tylko przez proxy.
2. redundantnie na proxy.pac/wpad.dat/wpad.da również robię przekierowanie
na proxy (drobna uwaga - w zależności od przeglądarki i jej wersji,
poszukują one jednego z tych 3 plików - zawartość tych plików powinna
być identyczna i nie sugeruj się rozszerzeniem "da" lub "dat").
3. ponieważ u mnie klienci logują się do domeny, dlatego w skrypcie
logowania wymuszam wyjście przez proxy dla znanych mi przeglądarek
(IE, FF, ... - przez rejestr lub modyfikację plików tekstowych).
4. klienci żeby działać muszą mieć wpisane w przeglądarce proxy (o ile
pkt 1, 2 i 3 nie zrobią tego automatycznie). Ewentualnie można jeszcze
przekierować cały ruch wychodzący przez port 80, na proxy (ja tego
nie robię)
5. wyjście inne niż przez port 8080 i IP proxy, jest zablokowane
(ma to taką zaletę, że cfaniak nie wpisze sobie IP:port jakiegoś obcego
proxy).

Przydatne linki:
http://wiki.squid-cache.org/Technology/WPAD
http://en.wikipedia.org/wiki/Proxy_auto-config

> Mówisz, żeby coś w stylu transparent proxy zrobić? Kurcze nigdy w życiu
> takich rzeczy nie dotykałem.

Ja tego nie oparłem o transparent proxy, ale można (patrz pkt.4).

> I będzie się dało na zasadzie łatwej obsługi wybór blokad robić?

Dla mnie jest to łatwe. Jeśli nigdy nie miałeś kontaktu ze squidem,
to możesz mieć początkowo trochę problemów z odpowiednim skonfigurowaniem
ACLek oraz praw dostępu/blokad.
U mnie jest ta lista bardzo rozbudowana (niektóre strony mają bezpośrednie
wyjście, inne są dostępne tylko w określonych godzinach, część jest
zablokowana dla konkretnych grup osób, część typów plików jest blokowana
dla określonych grup, a dla niektórych IP mam wymuszoną autoryzację).

Nie wiem jaką funkcję spełnia teraz u Ciebie ISA.
Zakładając, że potrzebujesz blokować tylko facebooka, to konfiguracja
ACL/http_access to:
acl banned_dom dstdomain "C:/squid/etc/rules/banned_domains"
acl inet src 10.0.0.0/8 #cała podsieć
acl inet_kierownik src 10.0.2.0/24 #pula adresów osób uprzywilejowanych
acl inet_goscie src 10.0.8.0/24 #pula adresów IP gości
Kolejność wpisów "acl" nie ma znaczenia.

i przed linijką z "http_access allow localnet" dopisujesz reguły pozwoleń
i blokad (ważna jest kolejność!) dla wszystkich osób w sieci (bez
wyjątków):
http_access deny banned_dom
# lub jeśli np: kierownicy mają mieć dostęp do stron, to dopisujesz:
http_access deny banned_dom !inet_kierownik
# co oznacza tyle, ze zabron dostepu do wszystkich adresow URL z banned_dom
# z wyjatkiem osob, ktore naleza do grupy inet_kierownik
# lub jeśli chcesz blokować tylko dla gości, to wpisujesz:
http_access deny banned_dom inet_goscie
# co oznacza, że zabroń dostępu do banned_dom dla osób z grupy inet_goscie

#a wszystkie inne żądania dostępu do stron, są dozwolone:
http_access allow inet

Przy czym zawartość pliku banned_domains, może mieć taką postać (każda
domena w osobnym wierszu):
facebook.com
.facebook.com
unblockf.com
.unblockf.com

facebook.pl nie dopisuję, bo on i tak przekierowuje na facebook.com.
unblockf.com to strona, której moi kochani użytkownicy dopatrzyli się
chcąc obejść zabezpieczenia ;)
Jeśli chcesz rozszerzyć listę, np: dodać naszą klasę, to do tego samego
pliku dopisujesz kolejne domeny, np:
nasza-klasa.pl
.nasza-klasa.pl
nk.pl
.nk.pl
.s-nk.pl

PS: po więcej szczegółów odsyłałbym do FAQ:
http://wiki.squid-cache.org/SquidFaq
a w szczególności do:
http://wiki.squid-cache.org/SquidFaq/SquidAcl
http://www.eu.squid-cache.org/Doc/config/acl
http://www.squid-cache.org/Doc/config/http_access

I ostatnie słowo - ja Ciebie nie namawiam na przejście na squida.
Jeśli ktoś znajdzie skuteczny sposób na ISA i FC, to super. Jeśli nie
i masz trochę czasu na naukę, to potraktuj to jako nowe doświadczenie.

Jacek
Received on Sat Sep 4 12:00:04 2010