2008 - Ограничение доступа http выборочным юзерам Active Directory

Angry Demon · Отправлено: **10:08, 13-11-2014** | #2

UGN, ИМХО, варианты есть проще, аналогичные вашим:
1. Установка на компы из "чёрного списка" бесплатной редакции "TMeter" с одинаковыми фильтрами.
2. Установка на раздающий Интернет компьютер бесплатной редакции TMeter, где настроить URL фильтрацию "чёрному списку".

Ruldik · Отправлено: **12:03, 13-11-2014** | #3

Доброго времени суток!!! А если пойти другим путем, проксей, например Linux+Squid+SquidGuard прозрачно или непрозрачно...?
Там можно и по IP и по юзерам все это настроить....

UGN · Отправлено: **14:24, 13-11-2014** | #4

Angry Demon , про TMeter спасибо. Посмотрю.
Инет раздает не комп, а шлюз dlink DFL-260E. Я же планировал просто поставить Traffic Inspector в режиме прослушивания (внешний шлюз). Не знаю как это влияет на пинг и доступность портов, надо тестировать.
Ruldik Тот же нюанс, Линукса нет вообще ни на одной машине, и докупать для этого дела системник тоже не вариант, да и зачем так сложно...

Цитата:

А если пойти другим путем, проксей, например Linux+Squid+SquidGuard прозрачно или непрозрачно...?

Проксю не хочу использовать, т.к. в офисе немаленький штат бухгалтеров с их Клиент-банками, Референтами и прочим хламом, который очень чувствителен к подключению. А такскоме чуть что не так, сразу вылезает ошибка в диагностике рабочего стола. И прочее.
Да и зачем создавать еще одну базу юзеров, хочу чтобы все бралось из AD.

UPD. Как я понял, бесплатная редакция TMeter имеет лимит: всего 3 адреса можно добавить в блок лист. Маловато.

Angry Demon · Отправлено: **15:58, 13-11-2014** | #5

Цитата UGN:

Как я понял, бесплатная редакция TMeter имеет лимит: всего 3 адреса можно добавить в блок лист.

Неверно поняли. Максимальное число фильтров трафика.

Ыть · Конфигурация компьютера

Цитата UGN:

Линукса нет вообще ни на одной машине, и докупать для этого дела системник тоже не вариант, да и зачем так сложно... »

можно использовать виртуальную машину.

Цитата UGN:

Да и зачем создавать еще одну базу юзеров, хочу чтобы все бралось из AD. »

сквид работает с AD.

Цитата UGN:

с их Клиент-банками, Референтами и прочим хламом, который очень чувствителен к подключению. »

их можно настроить мимо прокси.

так же сквид портирован на Windows

, правда опыта с ним и AD нет.

Цитата UGN:

Хотел решить это настройкой шлюза DFL-260E, но ограничивать нужно не всех, а лишь избранных пользователей »

избранным пользователям можно назначить постоянный адрес, и создавать правила блокировки только для него.
Метод не работает, если у пользователей права локальных администраторов.

UGN · Отправлено: **16:24, 13-11-2014** | #7

Цитата Angry Demon:

Неверно поняли. Максимальное число фильтров трафика. »

точно, сначала написал, потом полез проверять.

Вопрос: пробую заблочить Вконтакте. Добавляю в список URL vk.com, vk.com/*, vk.ru. *vk.com* и так далее.
Применяю. При наборе в адресной строке vk.com/feed доступа нет, вылезает кукиш и все как надо.
Но если открыть https://vk.com/feed то страничка доступна. Https трафик не мониторится?

В фирме еще процентов 20% компов на MacOS. Под них я что-то шейперов не нашел. Кто сталкивался?

Ruldik · Отправлено: **16:26, 13-11-2014** | #8

Кальмар юзеров и с AD может тянуть... но если могут возникать такие грабли, то тогда не стоит...

Ыть · Конфигурация компьютера

Цитата UGN:

В фирме еще процентов 20% компов на MacOS. Под них я что-то шейперов не нашел. Кто сталкивался? »

я сталкивался, только не с шейперами - они для резки скорости.
блокировал сайты по имени, но вот какая штука получилась - правило не работало для OS X, ибо он разрешал имена в IPv6, а мой роутер его не поддерживал (не мог блокировать).
Для Win 7 правило в это же время прекрасно работало.
так что будьте внимательны:

Цитата:

nslookup vk.com

Address: 192.168.1.201

Не заслуживающий доверия ответ:
╚ь*: vk.com
Addresses: 2a00:bdc0:3:103:1:0:403:907
2a00:bdc0:3:103:1:0:403:906
2a00:bdc0:3:103:1:0:403:905
87.240.131.97
87.240.143.241
87.240.131.99

UGN · Отправлено: **16:40, 13-11-2014** | #10

Цитата Ыть:

можно использовать виртуальную машину. »

это бэк-оффис, там дохлое оборудование, дешевенький сервак из Юлмарта, 20+ юзеров. Всё ПО должно быть белое, без кряков. Может ошибаюсь, но вроде как только VirtualBox есть бесплатный. Да и как-то многовато возни для такой задачки.

Цитата Ыть:

так же сквид портирован на Windows »

вы про SquidNT? Тоже опыта нет. Вообще, я так понимаю, если шлюз у меня DFL а не сервак, то для того чтобы использовать такие решения как сквид, надо сначала на железке завернуть трафик на сервер, а на сервере уже ставить прокси или сквид. Опять таки, как то сложновато. Я не совсем айтишник, и моих скромных познаний явно не хватит для этого.

Цитата Ыть:

я сталкивался, только не с шейперами - они для резки скорости. »

а можно поконкретнее? с названиями и прочим ?