запрет доступа к сайтам без proxy

Discussion in 'Безопасность и Анонимность' started by Debian, 29 Sep 2010.

  1. Debian

    Debian New Member

    Joined:
    29 Aug 2007
    Messages:
    21
    Likes Received:
    1
    Reputations:
    0
    Здравствуйте уважаемые посетители и мемберы ресурса!

    Требуется Ваша помощь.

    Есть ubuntu 8.0.4 , работающая в качестве шлюза, стоит sqid.
    Требуется полная блокировка сайтов. Т.к. пользователи прошареные, ставить прокси в браузере нет смысла, снимают галки и "аля-улю" скачут на разные соц сети, качают музыку и прочее. Т.к. в компании тариф с трафиком, в конце месяца натекает немалая сумма.

    Хочу спросить каким образом можно запретить им пользоваться интернетом. Исключая почту и месейнджеры.
     
  2. DiplomatQ

    DiplomatQ Elder - Старейшина

    Joined:
    4 Jun 2008
    Messages:
    50
    Likes Received:
    5
    Reputations:
    1
    Так не надо им инет раздавать по умолчанию.
     
  3. Debian

    Debian New Member

    Joined:
    29 Aug 2007
    Messages:
    21
    Likes Received:
    1
    Reputations:
    0
    iptables -A PREROUTING -s 192.168.#.#/255.255.255.0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

    Подойдет ли данный конфиг? на проксе есть авторизация, зависит ли этот конфиг от авторизации?
     
  4. ghostwizard

    ghostwizard Member

    Joined:
    4 Dec 2005
    Messages:
    127
    Likes Received:
    36
    Reputations:
    21
    Не прокатит для "прошаренных", так ты кидаешь только 80 порт на прокси, есть сайты, левые проксики, которые работают с другими портами. Очень весело будет для 443 порта, т.к. сквид у тебя прозрачный.
    Чтобы отлавливать таких "умных" рекомендую ntop.
    Более правильно кинуть по всем портам в прокси. Или разрешить только нужные порты. Обычно достаточно 80,8080,8081 кинуть в прокси, 443 - свободный, все остальные что выше 1024 режим на корню.

    Можно еще заюзать xtables для iptables, взять фильтр по l7 для http, ftp и других запросов.
     
  5. Tomich

    Tomich New Member

    Joined:
    6 Oct 2010
    Messages:
    2
    Likes Received:
    0
    Reputations:
    0
    стоит указать уровень "прошаренности" контенгента ) если это тетки-бухи, которые только галки и умеют снимать - закрытие 80 порта может оказаться достаточно. если там поголовно айтишники - они найдут способ выйти в инет... )
     
  6. emomasson

    emomasson Member

    Joined:
    27 Jul 2010
    Messages:
    175
    Likes Received:
    12
    Reputations:
    5
    iptables-save в студию!
     
  7. Black Diver

    Black Diver Member

    Joined:
    20 Mar 2009
    Messages:
    89
    Likes Received:
    21
    Reputations:
    5
    Закрываем все порты в iptables кроме нужных, а http и https порты заворачиваем сначала на сквид. Реализуем прозрачную прокси http. А https все равно придется заворачивать на обычную проксю, а анонимайзеры прикрываем в самом squid.
     
  8. emomasson

    emomasson Member

    Joined:
    27 Jul 2010
    Messages:
    175
    Likes Received:
    12
    Reputations:
    5
    НАкуя ?! Просто нат киляем и радуемся жизни!!!
     
Loading...