Bloquer internet ?
Oleane
Responsable d'un service et ayant quelques connaissances informatique, j'ai
�t� au fil des ann�es promulgu� Administrateur r�seaux..
Nous sommes une petite structure poss�dant de faibles moyens.
Un r�seau de 10 PC sous XP et 2 serveurs en r�plication sous Win Server 2003
Un routeur ol�ane (notre passerelle, adresse IP 192.168.1.1)
2 (2 �tages) switchs pour connecter les PC
Comment faire pour bloquer l'acc�s � l'ext�rieur � partir des PC ? L'id�al
�tant de le faire par rapport au compte AD.
Comme cela sur n'importe quel PC en me connectant (administrateur� je
pourrais le mettre � jour.
le serveur est utilis� �galement comme contr�leur de domaine. Je pensais
mettre sur une sortie r�seau (il en dispose de 2) le raccordement au switch
(r�seau interne) et sur l'autre le routeur Oleane (r�seau externe).
J'avais essay� auparavant avec des strat�gies de comptes mais �a marche que
pour Internet Explorer et c'est facilement contournable...
Quelqu'un aurait il la gentillesse d'�clairer ma lanterne ? Y 'a t'il une
solution simple pour couper tout acc�s ext�rieur � un PC (le r�seau interne
doit fonctionner).
Un logiciel ou un mat�riel ? d'ailleurs suis je sur le bon forum ???
Merci de votre aide pour toutes ces questions,
St�phane
Fabien LE LEZ
bloquer l'acc�s � Internet, le plus simple est de s�parer le r�seau
"interne" d'Internet.
Voici ce que j'ai au bureau :
1 r�seau interne en 192.168.0.0/24, avec (presque) toutes les stations
de travail (Windows principalement).
1 r�seau "externe" en 192.168.32.0/24, qui comprend le modem-routeur.
Un serveur Linux est reli� aux deux r�seaux, et fait donc la liaison.
Sur ce serveur, un proxy HTTP (Squid) permet aux machines internes
d'avoir acc�s au web.
Dans ton cas, il suffit de lancer le proxy quand tu as besoin d'une
connexion au web sur une machine, et de l'arr�ter quand tu veux
bloquer l'acc�s.
Tu dois m�me pouvoir autoriser l'acc�s au proxy � une partie seulement
des stations de travail.
Tu peux aussi r�gler le proxy dans Firefox seulement, ce qui rend plus
compliqu� pour un �ventuel malware d'acc�der � Internet.
Frédéric PANES
...
> Quelqu'un aurait il la gentillesse d'ï¿œclairer ma lanterne ? Y 'a t'il une
> solution simple pour couper tout accￜs extￜrieur ￜ un PC (le rￜseau interne
> doit fonctionner).
> Un logiciel ou un matï¿œriel ? d'ailleurs suis je sur le bon forum ???
Avec un firewall matￜriel intercalￜ avant le routeur, une distribution
Linux spï¿œcialisï¿œe :
http://ipcop.org/index.php?&newlang=fra
L'interface est en franï¿œais, le proxy peut s'authentifier sur un AD et
il existe un tas d'add-ons pour ajouter des fonctionnalitï¿œs.
Un forum trï¿œs suivi en franï¿œais :
http://forums.ixus.fr/viewforum.php?f=10
--
Frï¿œdï¿œric
pxg
> Bonjour,
Salut
> Comment faire pour bloquer l'acc�s � l'ext�rieur � partir des PC ?
Tout internet ... Tu y vas fort ! mais tu as probablement de tr�s bonnes
raisons.
> L'id�al �tant de le faire par rapport au compte AD.
> Comme cela sur n'importe quel PC en me connectant (administrateur� je
> pourrais le mettre � jour.
Je suis assez partisan du filtrage centralis�. J'utilise pfsense sur
plusieurs acc�s dont disposent les salles de formation. Je suis moins
accoutum� � faire du filtrage personnalis�.
> le serveur est utilis� �galement comme contr�leur de domaine. Je
> pensais mettre sur une sortie r�seau (il en dispose de 2) le
> raccordement au switch (r�seau interne) et sur l'autre le routeur
> Oleane (r�seau externe).
Tu peux utiliser ton contr�leur de domaine comme routeur et �galement comme
proxy ; j'ai abandonn� ISA que je trouvais plut�t lourd � g�rer. J'�viterais
� tout prix cette solutioncar je ne suis pas z�lote du serveur qui fait
tout - et pourquoi pas le caf� ?
> J'avais essay� auparavant avec des strat�gies de comptes mais �a
> marche que pour Internet Explorer et c'est facilement contournable...
assez vrai !
> Quelqu'un aurait il la gentillesse d'�clairer ma lanterne ? Y 'a t'il
> une solution simple pour couper tout acc�s ext�rieur � un PC (le
> r�seau interne doit fonctionner).
> Un logiciel ou un mat�riel ? d'ailleurs suis je sur le bon forum ???
Des proxy comme Pfsense ou ipcop ou smoothwall peuvent te sortir l'�pine du
pied il te faut juste une machine � recycler. L'avantage du proxy
transparent bien r�gl� est que ce n'est pas si facile de le contourner. Tu
peux regarder le site ixus.net avant de te lancer.
Je peux aussi utiliser des netasq mais je suis plus limit� pour bloquer
certains trafics comme les messageries instantan�es qui sont vraiment une
plaie dans les salles de formation.
En logiciel tu "pourrais" envisager de recourir aux logiciels de "filtrage
parental" mais je pense que ce n'est pas adapt� ni m�me gratuit et surtout
que tu passerais ton temps � combler les br�ches.
> Merci de votre aide pour toutes ces questions,
de rien
pxg
Amandine Parmesan
wrote:
>Bonjour,
>Quelqu'un aurait il la gentillesse d'�clairer ma lanterne ? Y 'a t'il une
>solution simple pour couper tout acc�s ext�rieur � un PC (le r�seau interne
>doit fonctionner).
>
Simple :
http://fr.wikipedia.org/wiki/Hosts#Filtrage_web
Avec un script qui change ce fichier (ex : hosts.admin -> hosts) lors
de l'ouvertture de session...
Dedant on bloque tout sauf le reseau interne en mettant l'IP du DNS du
FAI sur 127.0.0.1
Yannick Palanque
Amandine Parmesan <nos...@nospam.fr> �crivit :
> Simple :
> http://fr.wikipedia.org/wiki/Hosts#Filtrage_web
>
> Avec un script qui change ce fichier (ex : hosts.admin -> hosts) lors
> de l'ouvertture de session...
> Dedant on bloque tout sauf le reseau interne en mettant l'IP du DNS du
> FAI sur 127.0.0.1
Non seulement �a ne bloquerait pas Internet mais en plus ce ne fichier
ne marche pas ainsi, cette m�thode ne marche donc absolument pas.
--
� Notre �poque sans doute, pour celui qui en lira l'histoire dans deux
mille ans, ne semblera pas moins laisser baigner certaines consciences
tendres et pures dans un milieu vital qui appara�tra alors comme
monstrueusement pernicieux et dont elles s'accommodaient. � Proust, LTr
Oleane
Au vu de tout vos �changes je pense que la solution consiste � mettre en
place un "proxy" entre mon contr�leur de domaine et le routeur Oleane.
J'aurai donc un truc du genre :
Tout les pc du r�seaux <-switch-> contr�leur de domaine <-direct-> Proxy
<-direct-> routeur Oleane
Ok mais c'est quoi un proxy ? un Pc sous linux qui va g�rer les connexions ?
Avec OLEANE je ne peut rien ma�triser sur le routeur (abonnement s�curis�)
le filtrage doit donc se faire en intern.
Ensuite sur le proxy on met un logiciel (pserve, ipcop, ...) pour pouvoir
mieux g�rer les acc�s c'est bien cela ?
Est ce que cela peut agir en fonction de l'Active Directory et surtout des
profils (groupe et utilisateur) ?
N'aurait t'il pas un tuto ou une doc ? Je suis pas compl�tement nul mais
linux, proxy, etc.. je n'y ai jamais �t� confront� alors si je peux gagner
du temps ?
Merci
St�phane
"Oleane" <sc...@archives-nord.com> a �crit dans le message de news:
h98384$ksm$1...@s1.news.oleane.net...
pxg
> Bonjour,
Bonjour
> Au vu de tout vos �changes je pense que la solution consiste � mettre
> en place un "proxy" entre mon contr�leur de domaine et le routeur
> Oleane. J'aurai donc un truc du genre :
> Tout les pc du r�seaux <-switch-> contr�leur de domaine <-direct->
> Proxy <-direct-> routeur Oleane
tu peux mettre la patte lan du proxy sur le switch, inutile de charge ton
contr�leur de domaine d'un routage superf�tatoire. Si ton contr�leur fait
d�j� routeur tu devra intercaler ton proxy entre le contr�leur et le routeur
oleane.
> Avec OLEANE je ne peut rien ma�triser sur le routeur
> (abonnement s�curis�) le filtrage doit donc se faire en intern.
c'est tout � fait faisable comme cela il y a probablement � retoucher ou
revoir le plan d'adressage.
> Ok mais c'est quoi un proxy ? un Pc sous linux qui va g�rer les
> connexions ?
Principalement un outil qui se substitunat aux machines de ton lan demande
pour son compte les pages internet et qui peut stocker localement des objets
(images, pages, voire mises � jour). Surtout un proxy peut �tre �quip� de
compl�ment pour filtrer les contenus soit par mot cl�s (un peu lourdingue)
soit par liste sp�cifique de domaine ou d'url ou mieux encore en utilisant
des listes t�l�chargeables (shalla ou encore universit� de Toulouse)
lesquelles listes cat�gorisent les sites. Tu peux donc bloquer ou autoriser
par cat�gorie plut�t que par domaine ou url. Sur Pfsense ou ipcop des
packages (ou des addons) te permettront de filtrer les messageries
instantan�es
> Ensuite sur le proxy on met un logiciel (pserve, ipcop, ...) pour
> pouvoir mieux g�rer les acc�s c'est bien cela ?
Je dirais les contenus, le mode transparent �vite d'avoir � param�trer les
navigateurs pour diriger leurs requ�tes vers le port d'�coute du serveur
proxy (typiquement 3128 ou 8080 suivant les solutions choisies).
> Est ce que cela peut agir en fonction de l'Active Directory et
> surtout des profils (groupe et utilisateur) ?
Avec pfsense il y a moyen d'utiliser un contr�le par l'annuaire mais dans ce
cas le proxy ne peut plus fonctionner en mode transparent et tu auras � te
charger du param�trage des navigateurs (faisable par les strat�gies pour ie
si tu n'as que ce navigateur).
Je n'utilise pas l'authentification en production car ma seule contrainte
est le filtrage de contenu.
> N'aurait t'il pas un tuto ou une doc ? Je suis pas compl�tement nul
> mais linux, proxy, etc.. je n'y ai jamais �t� confront� alors si je
> peux gagner du temps ?
le site ixus.net est assez d�taill� et on trouve pas mal de documentation
sur Ipcop et sur Pfsense
Bien s�r tu as les sites http://www.pfsense.org/ ou http://www.pfsense.org/
.
On trouve aussi pas de documentation en fran�ais si tu es f�ch� avec la
langue du "chat qui expire".
Je suis pass� d'Ipcop � Pfsense il y a 18 mois environ et m�me si j'aime
bien le premier je n'envisage pas un retour en arri�re.
> Merci
de rien
pxg
Michael DENIS
> Je suis passￜ d'Ipcop ￜ Pfsense il y a 18 mois environ et mￜme si j'aime
> bien le premier je n'envisage pas un retour en arriï¿œre.
Je suis en train de prï¿œparer ce mï¿œme passage, mais je dirais que si
Stￜphane n'envisage pas d'avoir, ￜ plus ou moins long terme, plusieurs
Lan, Dmz ou Wan, Ipcop me semble plutï¿œt plus accessible que Pfsense. Par
contre, si le multi-wan (pour une sￜcuritￜ accrue de l'accￜs internet)
est par exemple dￜjￜ dans les tￜtes, Ipcop risque d'ￜtre bloquant, mￜme
si je crois que ces fonctionnalitï¿œs sont dans la roadmap (mais sans date
prï¿œcise).
--
Michaï¿œl DENIS
pxg
> Par contre, si le multi-wan (pour une s�curit� accrue de l'acc�s
> internet) est par exemple d�j� dans les t�tes, Ipcop risque d'�tre
> bloquant, m�me si je crois que ces fonctionnalit�s sont dans la
> roadmap (mais sans date pr�cise).
Le multiwan de Pfsense ne m'a pas convaincu. Je n'en ai peut-�tre pas
compris la mise en oeuvre.
Cordialement
pxg
Erwan David
je l'ai en production, �a marche tr�s bin.
--
Le travail n'est pas une bonne chose. Si �a l'�tait,
les riches l'auraient accapar�
Oleane
Je n'ai pas les moyens ni le temps en interne d'installer cet appli. Wingate
peut il faire l'affaire ou vaut mieux Pfsense ?
Merci
"Oleane" <sc...@archives-nord.com> a �crit dans le message de news:
h98384$ksm$1...@s1.news.oleane.net...
GuiGui
> On me propose Wingate, ca semble correspondre mais cela vaut quoi ?
>
> Je n'ai pas les moyens ni le temps en interne d'installer cet appli. Wingate
> peut il faire l'affaire ou vaut mieux Pfsense ?
>
> Merci
>
Je ne sais pas ce que vaut wingate maintenant. Je l'ai testￜ il y a
quelques annï¿œes, et c'ï¿œtait une cochonnerie.
Dans tous les cas, il vous faut une machine avec 2 cartes rï¿œseau.
Pour pfsense, cela se suffit ￜ lui-mￜme, c'est gratuit, mais vous devrez
apprendre ￜ utiliser le systￜme.
Pour Wingate, vous devez installer un systï¿œme windows puis Wingate, vous
devez acheter les licences, mais vous n'aurez probablement que wingate ￜ
apprendre.
Ludo
pour ma part, je me sers de mon routeur DIR-635 de D-Link.
Ce ne doit pas �tre le seul � disposer de cette fonctionalit�.
Cordialement,
Ludovic
http://inforadio.free.fr