Newsgroup: it.comp.reti.locali
Titolo: TP-Link TD-W8970 Parental Control

In pratica inutilizzabile, o sono rinciturllito io. Il Parental Control
vero e proprio, taglia tutti i siti https... non funziona niente.
Ma quel che mi rode di più, è che non riesco neppure a configurare le
regole del Firewall in modo da ottenere un accesso limitato. Router che
per il resto funziona anche benino.
Premetto che ho collegato tutti i MAC addrss noti a degli IP
preassegnati dal DHCP, sia nella sezione del DHCP che in una sezione "IP
Bound", anche se non capisco il motivo della ripetizione.
Ho creato degli Host LAN in base agli IP, ovviamente al mio ho dato
subito una regola Any IN ed Any OUT, prima di modificare il Firawall a
"Dany as default".
Per quelli dei figli, volevo un accesso limitato ai siti didattici ma
sempre disponibile, ed un accesso a tempo per i siti ludici. Pertanto ho
creato un Host WAN basato sugli URL, ma se seleziono tale Host, non si
accede a nulla se non alle ricerche Google (Google l'ho lasciato anche
nei didattici). Selezionando come Host i Siti_didattici, automaticamente
viene impostato come regola OUT, e scompare la possibilità di
selezionare il protocollo... tornando su Any, mi trovo il protocollo
settato su TCP... boh. Ho provato anche a creare una regola IP_Figli a
Any in entrata, ma niente.
Ho provato anche a rimettere il firewall in "Pass as default", con
ultima regola Dany... ma il mio continua ad accedere, mentre i
dispositivi che dovrebbero passare per la regola "Siti_didattici"
vengono bloccati.
Comunque, qualcuno ci ha già avuto a che fare (con FW e Parental Control
su router TP-Link)? E' riuscito ad impostare delle regole che
funzionino? Che prove si possono fare per capire dove si intoppa?
 
-- 
Per contattarmi, togliere -NOSPAM- dall'indirizzo.
To contact me, remove -NOSPAM- from address.

Constatato che il Parental Control č inutilizzabile, sto cercando di
configurare il firewall per ottenere un minimo di regolamentazione.
Tenendo conto che la regola default č "Dany", che regole mi servono per
un funzionamento regolare? Io avevo creato regole sua per il traffico
"IN" che quello "OUT", ma mi pare che bastino quelle "OUT". Giusto?
Inoltre ho l'impressione che ci siano comunque problemi nella gestione
dei siti https... in pratica se non creo una regola che apre la porta
443, anche se ne ho una che permette l'accesso ad una serire di URL, se
gli stessi sono in https, di fatto non vengono visualizzati. Se d'altro
canto permetto l'accesso indiscrimnato alla porta https (se non sbaglio
non posso fare una regola unica URL e porta), si riesce ad accedere a
tutti i siti https, anche se l'URL non č autorizzato da nessuna regola.
E' normale che un firewall non permetta un controllo migliore? E' una
ciofeca di firewall (lo so che da un router da 70 euro non si puņ
pretendere chissą che, ma cosģ mi pare quasi del tutto inutile)?
 
 
-- 
Per rispondere, togliere -NOSPAM- dall'indirizzo.

 pretendere chissà che, ma così mi pare quasi del tutto inutile)?
 
bhe è un router casalingo non si può pretendere chissà che... ma il
parental control l'hai provato?
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 parental control l'hai provato?
Sì. Non gestisce i siti https. Vista la realtiva semplicità del pannello
di configurazione del Parental Control, non ci sono molte altre
possibilità. Anche se purtroppo la documentazione (compresi i manuali
trovati in rete), sono molto scarsi.


 trovati in rete), sono molto scarsi.
 
bhe insomma scarsi... per la fascia dell'oggetto più di 100 pagine di
manuale mi sembra buono... :-) 


 manuale mi sembra buono... :-)
Beh, almeno scirvere chiaramente che non è possibile gestire il parental
control su siti https... è che probabilmente sarebbe come scrivere: c'è
ma non te ne fai molto.
Comunque, non mi ritengo un esperto, ma credo che anche il Firewall sia
molto limitato. Credo che cercherò un router più adatto all'uso
casalingo... forse un FrizBox


 casalingo... forse un FrizBox
 
è un router non un firewall e pure di livello domestico, capisco che
uno legge una cosa e vorrebbe che funzionasse alla perfezione, ma
direi anche che non bisogna aspettarsi mai molto da questi apparati...
fritzbox se ricordo giusto di firewall non ha mica molto. Ma potrei
ricordare male (quello che ho usato io aveva un sacco di funzioni, che
funzionavano anche bene, ma lo ricordo molto basico nella
configurazione)... 


 configurazione)...
Basico, ma con Parental Control... e da quel che ho sentito dire, quello
che fa lo fa bene. Del resto, se mi servisse un vero firewall, mi
prenderei un ALIX con pfSense.


 comunque problemi nella gestione dei siti https... in pratica se non
 
prova ad usare un approccio differente; configura il router in modo da
utilizzare i DNS di OpenDNS o quelli di Google; tali DNS effettuano di
loro sponte un filtraggio e non permettono di raggiungere siti o server
manifestamente sospetti o ... peggio
 
 

 fanno discretamente...
 
tra l'altro il modello in questione non è malaccio e, se non ricordo
male, dovrebbe anche essere supportato da WRT (Open) e comunque, per
esperienza diretta, so che fa bene il suo lavoro, anche se, come per
tutte le cose, è necessario PRIMA di tutto capire come funziona
 

 manifestamente sospetti o ... peggio
Non basta. Non voglio che i miei figli passino interi pomeriggi su
youtube, siti di gaming o simili (che non credo siano blindati dai DNS):
un ora al giorno è più che sufficiente... e non voglio stare
continuamente a controllare, contestare, ecc... d'altro canto ci sono
siti utili e quasi necessari per la scuola, sui quali vorrei dare libero
accesso.


 tutte le cose, è necessario PRIMA di tutto capire come funziona
La cosa sembra piuttosto complicata... serve un intervento con lo
stagnatore per farci un collegamento seriale. Alla fine preferisco
renderlo o venderlo e prendere qualcosa che funziona.


 renderlo o venderlo e prendere qualcosa che funziona.
 
Hai considerato la possibilita' di usare un software di controllo
parentale, tipo ad esempio questo?
 
http://www1.k9webprotection.com/
 

 accesso.
 
Il Fritz!Box ha un sistema di Parental Control gestito da interfaccia 
admin dove puoi definire il profilo da assegnare ad ogni macchina in rete, 
con fasce orarie di accesso alla rete e quantità totale di tempo online 
per ogni giorno della settimana, autorizzazione alle connessioni https, 
whitelist e blacklist, blocco degli indirizzi IP numerici con eccezioni.
 
Non so se la versione attuale di FritzOS permette l'uso di un sw AVM per 
windows di anni fa che, installato sulla macchina client, faceva più o 
meno lo stesso, ma identificando l'utente loggato sul pc.
 
-- 
Sans

 meno lo stesso, ma identificando l'utente loggato sul pc.
Tanto qui non c'è neppure 1 PC windows... ;-) solo Mac e Android. Per i
Mac c'è il parental control di sistema, ma per gli smartphone avrei
qualche problema in più. E poi lasciare lo strumento con il blocco nelle
loro mani è uno stimolo a cercare di craccare il blocco. Ultima
questione sarebbe l'inserimento di un nuovo sito nelle varie liste, che
come la configurazione originale, dovrebbe essere eseguita ogni volta su
tutti i dispositivi.


 
http://www1.k9webprotection.com/
 
 
Come già scritto, il problema è dover configurare ed eventualmente
aggiornare almeno 4 dispositivi. 2 Mac, di cui uno piuttosto datato con
CPU PPC e 2 Android 4.1. Il problema più grande al momento potrebbero
essere gli Smarphone su cui ho un controllo molto limitato.
Comunque se non combino con il router, rivaluterò la soluzione.


 diverse marche di router.
E mi sa anche per i Frizbox: 
http://tinyurl.com/hs2pgmv
 



visto che sei in gioco ed il gioco si fa duro: 
http://tinyurl.com/zpvqdee
 

 visto che sei in gioco ed il gioco si fa duro: 
http://tinyurl.com/zpvqdee
 
Conosco pfSense, ma volevo evitare altri "aggeggi in casa", visto che 
ogni nuovo arrivo č fonte di sospetto e discussioni con mia moglie. E
poi trovo assurdo che i router "casalinghi", non permettano un controllo
sui siti https, che ormai sono quasi la maggioranza. Insomma, le
richieste per forza di cose passano sul router, se non altro
impostandolo come DNS della LAN e bloccando le richiesta ad altri DNS.
Come detto, non chiedo un filtro per contenuti, che potrebbe essere
difficile da gestire, ma una black/white list su URL non dovrebbe
esserlo.



 
Fatto sta che se la VS2 riesce a filtrare i siti https, non capisco
proprio perché altri router non lo facciano.


 Comunque se non combino con il router, rivaluterò la soluzione.
 
Ma se la preoccupazione è che i figli, prima o dopo, riescano a cojonarti, 
non ti resta che adottare un bel proxy casalingo da cui filtrare tutto il 
filtrabile, in base a terminali e/o utenti, abituali o ospiti, etc.
Se hai un muletto, anche con HW minimo, ti consiglio di provare zeroshell:
http://www.zeroshell.net
 (di Fulvio Ricciardi, sempre molto gentile e 
disponibile), ti fai la birra, il caffè e pure il digestivo.
In particolare, per quello che ho capito ti serva, gli installi il modulo 
DansGuardian 
http://www.zeroshell.net/dansguardian/
 :
 
"Una delle caratteristiche di Zeroshell è quella di poter realizzare un 
Access Point Wi-Fi con supporto per il Multi SSID. In altre parole, tale 
access point può distribuire su di uno stesso canale radio più Wireless 
LAN, ognuna indipendente dall'altra e con il proprio metodo di 
autenticazione ed eventuale cifratura del traffico (Captive Portal, 
WPA/WPA2, WEP o Plain-text). Si può pertanto pensare di applicare il 
servizio proxy e quindi DansGuardian soltanto ad un SSID destinato alla 
navigazione dei minori, mentre un altro SSID, opportunamente protetto in 
modo che questi ultimi non vi possano accedere, agli adulti."
 
-- 
Sans

 
http://www.zeroshell.net
 
Ti ringrazio dei consigli, ma se dovessi arrivare ad aggiungere un
dispositivo ad-hoc, probabilmente andrei su un pfSense con cui ho già
una certa dimestichezza.
Tra l'altro non sento la necessità di un doppio SSID... per la sicurezza
della rete ho sempre attivato il filtro sui MAC Address, e a tutti i MAC
conosciuti assegno un IP predeterminato nel DHCP. E' anche vero che uno
potrebbe impostare l'IP a mano, ma al momento la vedo una possibilità
piuttosto remota. Pertanto mi basta associare gli IP (che reggruppo in
base alle regole a cui dovranno sottostare) a delle regole, per gli URL
disponibili e per gli orari. Con pfSense sono abbastanza certo di
poterlo fare... ma come già detto da altre parti, volevo evitare di
aggiungere dispositivi in casa.
E credevo di poterlo fare anche con il TD-W8970, solo che non
riconoscendo i siti https, di fatto non è così. E non capisco a cosa
serva il Parental Control senza la possibilità di controllare i siti
https... cosa non impossibile visto che lo fa anche la Vodafone Station
2.


 Tenendo conto che la regola default è "Dany"
 
Prova con Mary. :)
 


 
Ma la banalissima Vodafone Station 2 lo fa senza tante storie.


 utilizzare i DNS di OpenDNS
Alla fine ho dovuto arrendermi ad usare questo approccio... che ritengo
poco sicuro perché facilmente aggirabile (basta impostare manualmente i
DNS sul dispositivo). Comunque al momento è meglio di niente.
 
Per la cronaca, ci sono gli Open DNS già filtrti:
208.67.222.123
208.67.220.123
 
Oppure si può fare un account (anche gratuito), su cui configurare i
blocchi a gruppi, e inserire siti che oltrepassano tali regole, sia in
un senso che nell'altro.
 
Prima o poi vorrei arrivare a qualcosa di diverso: 24/24 accesso a siti
molto limitati, 1 ora al giorno accesso *quasi libero*. Al mimento ho un
accesso *quasi libero* 24/24.


 accesso *quasi libero* 24/24.
 
Ma perché non fai un semplicissimo script che passa dai dns che hai 
indicato prima a quelli "liberi" 208.67.220.220 e poi lo metti in cron?
 

 indicato prima a quelli "liberi" 208.67.220.220 e poi lo metti in cron?
Perché non saprei come fare con i dispositivi Android. E poi dovrei fare
tutto (e ogni eventuale modifica) su tutti i dispositivi. E poi, visto
che quello di adesso è un accesso *quasi libero*, dovrei restringere
l'accesso ai siti innoqui ma *perditempo*. Youtube ed il forum di
Minecraft in primis.


 momento ho un accesso *quasi libero* 24/24.
 
beh, puoi sempre aggiungere 
http://www.tp-link.com/en/faq-453.html
 nota
che per specificare i siti si usa semplicemente il nome del sito e che
il filtro funziona indipendentemente dal protocollo (http o https)
 

 https)
 
mi correggo, funziona solo per http
 
 
 
 

 mi correggo, funziona solo per http
Appunto. Praticamente inutile.


 il filtro funziona indipendentemente dal protocollo (http o https)
 
Mi dispiace sementirti, ma con i siti https non funziona.
C'è la nota a fondo pagina, e l'avevo già constatato (nel manuale la
nota non c'è).


 Minecraft in primis.
 
Lo script non va impostato sui dispositivi ma sul router.
Però hai ragione, nel senso che in effetti ho dimenticato che stavi 
parlando del router in oggetto, che non conosco e che forse non supporta 
gli script, come invece succederebbe con qualunque dispositivo Open/DD-wrt.
 

 Lo script non va impostato sui dispositivi ma sul router.
In effetti non avevo capito parlassi del router e l'aggeggio in
questione non permette script. Tra l'altro non permette di duplicare e
spostare le regole, ma solo di accodarne di nuove, eliminarne a scelta e
disabilitare/abilitare quelle esistenti... piuttosto fastidioso se si
vuole inserire una regola in cima :-/
Sto provando a bloccare l'accesso ad altri DNS, e ho inserito in cima le
seguenti 4 regole, che non capisco perchè non premettano nessun accesso
al di fuori che al mio computer (quest'ultima coasa è voluta):
 
Dscrizione    LAN              Target           Rule   
------------------------------------------------------
DMZ           my_ip            any_host         allow
Router        router_lan_IP    any_host         allow
LAN           any_host         router_MAC       allow
DNS_lock      any_host         porta_53         deny
 
con le regole a seguire disabilitate (o abilitate, fa lo stesso), solo
dal mio computer si naviga: qualcuno sa dirmi perché? Già ho inserito la
regola del router (rifacendo tutte le regole sottostanti)... la regola
di default del firewall è "allow"... disabilitando la regola DNS_lock,
si naviga... non capisco (penso che anche la seconda e la terza non
siano necessarie, ma non funzionando le ho inserite). Cosa gli manca?!
 
P.S. Tutte le regole sono "Any time", "OUT" e protocol "ALL"


 siano necessarie, ma non funzionando le ho inserite). Cosa gli manca?!
 
chi si occupa della risoluzione DNS? 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 chi si occupa della risoluzione DNS? 
Il router. Ho inserito gli OpenDNS protetti nella connessione, nel DHCP
(sempre sul router) ho messo l'indirizzo del router come DNS. Senza la
regola "DNS_lock", tutti navigano (con le limitazioni imposte dei DNS
protetti), attivando la regola, navigo solo dal mio computer (che ha un
indirizzo nell'intervallo "my_ip").


 indirizzo nell'intervallo "my_ip").
 
 
ma se dai client bloccati fai una query sul DNS del router ti
risponde? 
Il router riesce a fare query sui DNS esterni? 
Il tuo PC punta al DNS del router o sono impostati dns esterni?


 Il tuo PC punta al DNS del router o sono impostati dns esterni?
Punta al router.
