Блокування Facebook та Myspace за IP-адресою

У мене виникають певні проблеми із створенням пристрою Cisco ASA, який блокує певні сайти соціальних мереж, які стали протіканнями часу в нашому офісі. Це питання дійсно в двох частинах:

1. Чи є надійний спосіб отримати всі IP-адреси для цих сайтів?
   • Схоже, сервери DNS Facebook відповідають випадковими IP-адресами. digСупроводжується nslookupвиходом два різних IP - адреси для www.facebook.com.
2. Чи є хитрість дозволити мені додавати імена хостів до Cisco ASA за допомогою диспетчера адаптивних систем безпеки (ASDM).
   • Я знайшов фільтр URL-адрес, але для цього потрібна сторона програмного забезпечення, яке, я сумніваюся, отримаю фінансування лише для того, щоб заблокувати ці сайти.

Ми шукаємо тимчасове рішення, доки я не зможу розпочати роботу кальмарів , а це може бути аж півроку (нам потрібен адміністратор мережі, погано).

Кого ви використовуєте в якості постачальника послуг DNS? Якщо ви можете перейти на когось, як OpenDNS (це безкоштовно), вони забезпечують автоматичне (і дуже настроюється) блокування сайтів соціальних мереж, веб-пошти, вмісту для дорослих тощо.

EDIT: Вам також не потрібно нічого змінювати з провайдером.

У своєму Cisco asa ви можете зробити наступне:

regex facebook1 "facebook\.com"

class-map type inspect http match-any block-url-class
  match request uri regex facebook1


policy-map type inspect http block-url-policy
  parameters
class block-url-class
  drop-connection log
policy-map global_policy
  class inspection_default
  inspect http block-url-policy

service-policy global_policy global

Я настійно пропоную прочитати повну інформацію на веб-сайті Cisco .

1. Зберіть журнали веб-активності користувача.
2. Перейдіть до робочого столу користувача.
3. Покажіть їм журнали та скажіть, якщо вони не перестануть накручувати час компанії, вони будуть звільнені.
4. Реєструйте подію.

Ви можете навіть отримати підвищення до управління, якщо ви будете продовжувати це. ;)

У мого клієнта була така точна проблема. Ось як ми вирішили це рішення:

1. Встановлено вікно IPCop із вбудованим проксі-сервером Squid, а також встановлено додаток URLFilter. Весь трафік зараз протікає через вікно IPCop.

2. Важко зашифровано IP-адресу кожного на своє телефонне розширення для простого факту, який спростив ідентифікацію правопорушників! Ми також змінили всі налаштування сервера DNS, щоб вказати на OpenDNS . (Додаткові параметри фільтрації можливі за допомогою OpenDNS, але виявилося, що вони не потрібні.)

3. Вилучено (і заборонено) використання всіх публічних клієнтів чату, таких як Yahoo Messenger, MSN, AOL, ICQ тощо, і т. Д. Замість цього ми встановили захищений XMPP- сервер лише для компанії під назвою SeuredIM, щоб весь трафік чату реєструвався і гарантується, що це лише комунікація компанії.

4. SeuredIM також має унікальну можливість робити знімки екрану робочих столів кожні XX хвилин. Якщо працівника підозрювали у відкопуванні (на основі журналів IPCop), картина коштувала 1000 слів. Вибрані скріншоти можуть бути заархівовані та надіслані електронною поштою для подальшого огляду (або до участі в дії)

5. Ми заблокували Facebook, Myspace, Hulu та два-три інші основні зловживання через URLFilter у вікні IPCop.

6. Огляд вручну (і при необхідності більше заблокованих сайтів) протягом тижня.

7. Під час обіду (12:00 до 13:00) відкрито серфінг "безкоштовно / розблоковано".

До кінця тижня компанія пройшла тотальну трансформацію. Продуктивність різко зросла, і ніхто не так нарікав.

Як і в будь-якій компанії, там завжди є 1-2 повстанці, які вважають, що це "гра".

Коли nytimes.comйого заблокували, вони перейшли на інший сайт новин. Коли це було заблоковано, вони вибрали ще одного. Інші зупинилися серфінг і взяли хобі , такі як Солітер і Сапер , але SecuredIM скріншоти спіймані , що (IPCop не міг , очевидно).

Протягом двох тижнів (і пару дискусій між роботодавцями та працівниками, включаючи дисциплінарну відповідальність за впертих людей) все пройшло гладко і вже майже два роки працює безперебійно.

URL-адреси:

http://www.ipcop.com

http://www.securedim.com

http://www.opendns.org

БІЛКА ПРИМІТКА:

Як смішна побічна історія. Приблизно через рік електрична проблема в будівлі призвела до того, що джерело живлення на коробці IPCop вимкнувся, і минуло 2-3 дні, перш ніж можна було б встановити новий IPCop короб.

Ми з'ясували, що працівники зайняли менше 48 годин, щоб повернутися до своїх старих / оригінальних навичок серфінгу, а продуктивність знизилася.

Це був цілком соціальний експеримент. :-)

Рішення DNS звучить як найкраща відповідь для мене, але пам’ятайте, що, звичайно, вони все-таки зможуть отримати доступ до сайтів через IP-адресу (ви, мабуть, знаєте з рівня свого запитання, але інші, хто знайде це в Google може не бути).

По-друге, подивіться на відповідь Евана на те, щоб дискретно обмежувати користувачі запускати певні програми на комп’ютерах Windows про те, щоб зупинити користувачів від запуску певних програм. Я думаю, ви намагаєтеся вирішити проблему управління ІТ. Дійсно, вони, мабуть, повинні найняти людей, які мають достатню відповідальність за виконання будь-яких правил, і вони, мабуть, повинні турбуватися про те, щоб вони виконали свої завдання добре та вчасно, а не про те, які веб-сайти вони відвідують у час простою. Блокування цього матеріалу, ймовірно, просто поширюватиме обурення по всій компанії. Ви, звичайно, повинні робити все, що вам потрібно зробити, і це, мабуть, навіть не залежить від вас, - але я думаю, що це слід завжди враховувати, перш ніж робити такий крок, якщо цього ще не було.

Я по-іншому підходив до вирішення цього питання.

Замість того, щоб розшифрувати трафік ASA, я створив зону пошуку вперед на своєму локальному сервері DNS для "facebook.com" і залишив усі записи DNS порожніми. Якщо ви хочете, ви завжди можете вказати сайт на внутрішню веб-сторінку, повідомивши користувачеві, що він намагається отримати доступ до сайту, забороненого політикою компанії.

Я сподіваюся, що це допомагає.

Якщо у вас немає часу та персоналу для створення власного рішення, ви можете розглянути продукт під ключ.

Ми використовуємо Threwall eSoft, який чудово справляється з контролем доступу (через IP або URL). Досить просто налаштувати прапорці для всіх поширених типів сайтів, а також можливість додати свій власний та мати білий список. У них є різні пакети (наприклад, у нас також фільтрується спам).

Не пов'язаний з eSoft, крім клієнта, Дейв

Можливо, замість блокування IP-адрес, ви можете направити імена хостів на localhost, тобто відредагувати свій хост-файл, щоб він виглядав приблизно так:

www.facebook.com     127.0.0.1

Це зупинить справжню IP-адресу Facebook тощо.