Newsgroup: it.comp.reti.locali
Titolo: bloccare in ufficio alcuni siti

devo bloccare, per esigenze di cloud computing, una serie di siti 
internet
 
sono indeciso se affidare il compito ad un nuovo router, perchè lo 
zyxel che ho al momento non è in gradi di farlo, oppure se utilizzare 
un software come Endian
 
dal punto di vista delle risorse, endian riuscirebbe a girare su uno 
dei pc già in rete? o necessita di una nuova macchina?
 
dal punto di vista della configurazione e dell'affidabilità, quale è la 
soluzione che preferite?
i 3 tecnici a cui ho chiesto hanno 3 idee diverse (router - nuovo pc - 
pc già presente)
 
la rete è molto semplice
 
un router che fa da gateway, 1 pc che fa da server ad un software 
contabile, 10 pc e 6 stampanti, uno smartphone
da un altro ufficio si collegheranno 2 pc sul software contabile, che è 
in cloud computing
tra i pc, il server ed uno dei pc, sono altamente performanti e sono 
accesi 24/24 7/7
 
-- 
Yoghurt
 
Non so se ti rendi conto che quando fai così
la discussione diventa un soliloquio mascherato da dialogo.
 
Yoghurt a Mk - IAT - 22/06/2012
 
 

 un software come Endian
 
se devi solo bloccare qualche sito puoi prendere un router/firewall
con web filtering e te la cavi con poca spesa e minima configurazione.
Chiaro che se poi le esigenze si complicano potresti trovarti
nuovamente a piedi e quindi potrebbe valer la pena usare prodotti più
performanti/costosi/complessi, ma questo lo sai tu.
 
PS. se l'ambiente lo consente potresti fare il tutto anche tramite dns
a costo zero.
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 contabile, 10 pc e 6 stampanti, uno smartphone
 
ti servirà un PC dedicato, sia che tu decida di usare "endian" sia che
tu decida di usare "PFsense" o qualsivoglia altra "firewall distro"; ad
ogni modo, ti converrà configurare il tutto in questo modo
 
Internet
|
router (in modalità bridge)
|
+---
|
PFsense
|
switches
|
LAN
 
in tal modo il router NON farà NAT o altro ma fungerà semplicemente da
"bridge" trasparente a TUTTO il traffico, PFsense (o quello che
deciderai di usare) invece fungerà da NAT, Firewall, traffic-shaper,
proxy, filter ... eccetera; potrai poi eventualmente inserire uno
switch dove ho messo il "+---" per connettere sistemi che dovranno
essere esposti ad internet (ma NON connessi direttamente alla LAN)
 
 
 
 

 qqrqq
 
palomaaaaaaaaaaa
 
(Yoghurt, IAT 26.11.2009)
 
 

 magari
 
 

 bloccare tutto tranne:
 
NON FUNZIONA :) vedi, ti troveresti a SBLOCCARE siti su siti su base
giornaliera, considera che qualsiasi pagina web, anche quelle "che sono
permesse" carica parte dei contenuti da servers "terzi" il che
significa che se NON abilitassi anche questi le pagine... non sarebbero
visualizzabili; lo "chiudi tutto, apri solo ..." non è un approccio che
possa funzionare a meno di non avere uno staff dedicato ed un sistema
di filtraggio abbastanza sofisticato
 
 

 sovradimensionato?
 
PFSense gira senza problemi anche su una schedina con sopra un
"Atom" :) quindi non credo sia "sovradimensionato" ... che c'entra, il
s/w scala tranquillamente anche su realtà con configurazioni CARP, high
availability etc etc... ma, appunto ... *scala* il che significa che si
può usare anche in una piccola realtà; considera però che in ogni caso,
sia che tu scelga Endian, IPCop, SmoothWall, ZeroShell, m0n0wall o,
come ho suggerito, PFSense, avrai *comunque* bisogno di una macchina
dedicata, con almeno due schede di rete (LAN e WAN) e che sia in grado
di stare accesa con continuità
 
 

 di filtraggio abbastanza sofisticato
 
funziona, funziona... ho un cliente che è impostato in quel modo. E a
parte le lamentele degli utenti grossi problemi di gestione non ce ne
sono.
Come sistema di filtraggio uso fortinet.


 E a parte le lamentele degli utenti
 
Appunto... :) ed a quel punto dipende dagli "utenti", se ti capita il
"nipote del titolare" o il "vecchio amico" che han "bisogno assoluto"
di accedere a certi siti e che si lamentano perchè "non si vede
niente" (magari perchè la pagina del sito X fa ennemila "include" verso
siti esterni) ... ad ogni modo, de gustibus; io personalmente quando si
tratta di filtraggi di questo genere preferisco lavorare alla rovescia;
di contro, quando si tratta di firewalls il "chiudi tutto (in entrata
ed in USCITA, apri solo se e come necessario" è e rimane l'approccio
corretto :D
 
 
 

 corretto :D
 
in quel caso dovrei inserire i siti proibiti e aggiornarli in base alle 
cronologie degli utenti    :)
 
-- 
Yoghurt
 
Ah, dopo aver visto la tua performance odierna su IAT, voglio vedere
se avrai ancora il coraggio di darmi del fancazzista nei mesi in cui
sono top poster su ICGA...
 
Topolaccio a Conny - IAT in xpost con ICGA - 14.10.2011
 
 

 tratta di filtraggi di questo genere preferisco lavorare alla rovescia;
 
ah bhe chiaro, solitamente blocco determinate categorie ma quando ti
chiedono di bloccare tutto e aprire solo il remote banking non è che
ci sia da fantasticare molto sulle soluzioni... 
Nel caso specifico dopo un periodo iniziale dove nessuno navigava il
titolare ha mollato un po' la presa e alcuni utenti possono ora
navigare, ovviamente sempre limitati dal web filter (e anche un po' di
application control...).


a costo zero.
 
In alcuni casi la richiesta è di un blocco a fasce orarie (che so, se
uno vuole andare su facebook durante la pausa pranzo ci può andare).
Via DNS non è fattibile, dato che i valori rimangono in cache.
 
Mi sono trovato di recente a cercare di impostare la cosa su uno
Zywall 5: la gestione delle fasce orarie è perfetta perché i filtraggi
hanno le schedulazioni, ma la macchina ha una pessima gestione del
blocco.
 
Se c'è anche un solo oggetto vietato (che so, un'immaginetta "mi piace
su facebook") sarebbe giusto che questo non venisse caricato.
Invece l'intera pagina viene sostituita da "sito non permesso".
 
E' un prodotto un po' vecchio ormai, sui nuovi modelli Zyxel la cosa è
migliorata?
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 senza farli incazzare troppo
 
sono curioso di sapere in che modo c'entra il cloud computing
 
 

 migliorata?
 
io l'ultimo zywall che ho usato è stato un 70, stessa famiglia del 5,
e stesso cesso del 5 (ma almeno il 5 costava poco). 
Sui primi usg so che la gestione era identica, sugli attuali non
saprei.


 LAN
 
Come regola abbiamo applicato il "chiudi tutto e passa solo autorizzati"
nell'orario di lavoro, ed il "blocca certi siti" al di fuori di questo
orario. Se serviva, aggiungevo una regola ad-hoc per un client
(riconoscimento basato sull'IP interno).
Come hardware, abbiamo usato un PC Engines ALIX che consuma poco.
PFsense l'abbiamo messo principlamente come server OpenVPN, ma poi
abbiamo implementato anche il filtraggio. Parlo al passato perch� lo
studio � restato con i soli titolari di cui non faccio parte (da 7
persone che eravamo :-(
Per le applicazioni facebook/twitter penso che basti bloccare il sito,
Skype � pi� difficile da gestire... ma il problema si risolve alla
radice non permettendo l'installazione.
 
-- 
Per contattarmi, togliere -NOSPAM- dall'indirizzo.
To contact me, remove -NOSPAM- from address.

 Per le applicazioni facebook/twitter penso che basti bloccare il sito,
 
non basta... mi passano su con il protocollo https.... hai idea di come 
fare?

 piu' vicino a tutti noi,si devo dire che a me piace
 
Fabmind - IAT - 19/12/2012
 
 

 fare?
Non permettendo l'installazione delle applicazioni. Il fatto è che anche
se chiudi tutto, ormai quasi tutti hanno uno smartphone, e se hanno
quella di perdere tempo il modo lo trovano.


 fare?
 
application control e ispezione https... 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non č da considerarsi pubblico,


 application control e ispezione https...
 
comunque un paio di cose l'ho capite
1. da solo non ce la farò mai
2. nessuno mi ha consigliato di prendere il router
 
-- 
Yoghurt
 
A'Tuin la Bisciascuela, Moska, Kink, Manfredo, Raffaella Carrà, snowdog
Mary Nox, Tony Randine, The Tiz, mfisk, Carminosky, uno nuovo, Joe 
Zarlingo,
il falso Demetrio, Fabio Piva, Russel Coutts, Lello Vitello, Rensy, 
Beccoblu, Zonter,
pecora nera, Acida, Beronz, Yoghi, rgrassi, ska, Sssilvia, Alim Bey .
Ci piace ricordarli così
Riposate in pace
 
 

 2. nessuno mi ha consigliato di prendere il router
 
io si... anche se visto poi lo sviluppo forse � meglio un firewall...
scrivimi in privato...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non � da considerarsi pubblico,



 
E cosa ha a che fare col cloud computing di grazia?

 E cosa ha a che fare col cloud computing di grazia?
 
bhe immagino che dovendo utilizzare il cloud per lavoro e in modo
intensivo si cerchi di evitare tutto quello che non serve ma che
occupa banda... no?
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non � da considerarsi pubblico,


 E cosa ha a che fare col cloud computing di grazia?
 
se il server in cloud è nel mio studio cosa c'entrerà mai?
dai, adesso vai a cliccare su mi piace, su
 
-- 
Yoghurt
 
la squssy e' la squagion
di tutti gli squali
Snowdog - IAT
22/01/2010, il giorno degli squali
 
 

> E cosa ha a che fare col cloud computing di grazia?
 
Continua a sfuggirmi il punto sinceramente.
 

 radice non permettendo l'installazione.
 
Mica tanto, si blocca anche skype... dipende dal firewall/filter ;)
 

 come fare?
 
Dipende da come hai implementato il blocco e da cosa fa il tuo proxy;
se il proxy gestisce solo HTTP, la vedo abbastanza dura, anche se ci
sarebbe la possibilità di implementare (sia) web (ch)e DNS filtering
 
 

 Mica tanto, si blocca anche skype... dipende dal firewall/filter ;)
Infatti non ho detto che non si pu�... ma non so quanto valga la pena
sbattersi, a meno che non si riesca a bloccare l'uso degli smartphone.
Da noi avevo semplicemente impossibilitato gli utenti di installare
applicazioni e skype ce l'avevo io e un titolare nella home dell'utente
(per uso prettamente inerente al lavoro).
Il fatto � che poco dopo aver messo a punto il filtro, chi non aveva
interesse nel lavoro che stava facendo, ha trsferito le sue attenzioni
sullo smartphone. E alla fine non ha avuto tutti i torti, visto che
anche chi si � dannato per lo studio ha avuto il benservito... :-(
