Newsgroup: it.comp.os.linux.iniziare
Titolo: Impedire l'accesso a Internet per un account

Salve, come posso fare per impedire completamente l'accesso a Internet 
per un account? Ci ho pensato a lungo ma non ho trovato una risposta. Se 
non sbaglio iptables non agisce a livello di account.
Il computer è sempre connesso a Internet tramite una scheda di rete 
(collegata a un altro computer che fa da router).
Grazie.


Caspita, molto utile questo NG. Non è la prima volta che posto una 
domanda abbastanza semplice e non ricevo risposta. Sono io l'unico ad 
avere idee strane?


Calma, siamo mica tutti qui al servizio del news group. :-)
Non e' passato nemmeno un giorno.
Non e' una chat, qui si legge quando si puo'.
Fammi capire: due pc, uno fa da router l'altro passa attraverso il primo
per arrivare in internet.
Sullo stesso pc lavorano piu' utenti, e uno di questi non lo vuoi far
collegare ad internet. Per internet intendi il web, o tutto, mail,
ftp, eccetera?
Non dici che cosa c'e' sull'altro pc, quello che fa da router.
Se c'e' qualcosa che finisce per x, puoi usare un proxy con
autenticazione, se non ha utente e password, fuori non ci va,
visto che inibisci tutto il resto del traffico.
Un'altra possibilita' e' di relegare l'utente in un gruppo che non ha
diritti su nulla di navigabile, e non puo' installarsi nulla.
Dipende ovviamente quale grado di liberta' vuoi lasciargli.
Puoi arrivare fino a rinchiuderlo in una gabbia con shell ristretta
e visibilita' della sua sola home directory, chrootandolo.
Prova a specificare cosa questo utente puo' fare, e cosa non deve
fare assolutamente, e che cosa c'e' sul *router*.
Poi, magari non ci caviamo un ragno dal buco, ma ...
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Poi, magari non ci caviamo un ragno dal buco, ma ...
Sul router c'è linux che condivide la connessione con iptables. L'ideale 
sarebbe fare in modo che ogni programma eseguito dall'utente non sia in 
grado di comunicare con indirizzi IP diversi da quello della rete 
locale. Ma probabilmente questo è impossibile (a meno che io non imponga 
il limite per tutti gli utenti). Effettivamente l'unica soluzione forse 
attuabile è impedire l'accesso a tutti i programmi che possano in 
qualche modo accedere a Internet, ed è quello che farò, se non trovo 
niente di meglio. Oppure il proxy...vedrò.
Grazie per le risposte.

 locale. Ma probabilmente questo è impossibile (a meno che io non imponga 
La cosa si potrebbe anche fare, ma solo se trasformiamo in monoutente il
sistema.
Basterebbe mettere le route chiuse, e lasciare i diritti di modificarle 
solo agli altri utenti.
Il problema e' che se da un altro terminale poi accedi tu, se non fai
nulla, non esci nemmeno tu, se modifichi il route default, esce anche
pippo.


,

Se non ti sta bene come funziona questo gruppo, pagati un consulente. E
fatti passare per la testa che non tutti leggono le news giornalmente.
E vedi di essere più chiaro nell'esporre le tue richieste, solo nei
post successivi ti sei spiegato.
Per quanto riguarda il problema che hai, è vero, iptables lavora a
livello di TCP/IP, quindi ignora le utenze. Quello che ti serve è un
firewall di tipo "proxy applicativo" specifico per ciascuna
applicazione che vuoi fare uscire dalla rete interna. Ad esempio squid
per il web, che chiede le credenziali a chi si connette. Una suite
abbastanza completa di proxy era FWTK, ma non so quanto sia aggiornato.
Ovviamente devi anche disabilitare il forwarding del traffico.
Fai una ricerca su google per "application gateway" o "proxy
applicativi".
LG
-- 
Dott. Ing. Leandro Gelasi
LinuxHelp - Servizio supporto utenti Linux
Università di Roma "La Sapienza" - C.I.T.I.Co.R.D.
Email: gelasi(At)linuxhelp(punto)uniroma1(punto)it
Home Page: 
http://linuxhelp.uniroma1.it
Tel: 0649913828 - 23828 (int)

 LG
Ok, terrò in considerazione l'opzione proxy.

 pippo.
Già, è come pensavo. A questo punto o proxy, o restrizione all'accesso 
di tutti i programmi che usano il TCP.
PS. Come posso fare a modificare la route senza usare l'account di root? 
con uno script suid?

 con uno script suid?
sudo e i suoi amici sudoers


Luca wrote:

se l' utente che non deve andare in internet non sa smanettare potresti
anche forzare l' uso di un proxy nei settaggi dei browser e pero' metterci
parametri inventati e inesistenti, quando cerchera' di navigare
semplicemente dira' che e' impossibile collegarsi all' host.
-- 
GizMo
http://gizmo2.dyndns.org
ICQ UIN: 60127262
Se fossi nato ignorante avrei vissuto felice in un mondo controllato da
altri ignoranti come me...
Ma visto che son nato intelligente mi tocca subire questo mondo di merda
comunque governato da ignoranti...

 
Ecco, alla fine credo che farò proprio così. Si tratta della soluzione 
più facile, e l'eventualità che due persone debbano usare lo stesso 
computer è piuttosto rara.

 
Il rischio c'è, quindi credo che userò uno script che modifichi la route.


Magari se ce la fai tra poco comparirà un suo post sul NG, magari postato da
casa ....
Non conterei molto sull'ignoranza dell'utente, può sempre chiedere a
qualcuno scafato ...
Non puoi giocare con i file hosts.allow o simili .... ? Capisco che sono
regole per tutti ...
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 regole per tutti ...
Meglio bloccare tutto, non solo alcuni hosts.