Internetnutzung zeitlich für User beschränken
Andre Bischof
ich weiß das man soziale Probleme nicht technisch lösen soll, würd's
aber trotzdem gern machen ;-)
Ich hab von squidguard gehört, evtl. kann SELinux sowas auch - mir
fehlen ehrlich gesagt die richtigen Suchbegriffe für google.
Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
nicht auf IP-Basis (Router-Config geht also nicht).
Gruß, Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Schreiben von Versicherungsnehmern:
Sofort nach dem Tod meines Mannes bin ich Witwe geworden.
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/
Zum AUSTRAGEN schicken Sie eine Mail an debian-user-g...@lists.debian.org
mit dem Subject "unsubscribe". Probleme? Mail an listm...@lists.debian.org (engl)
Frank Becker
> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
> nicht auf IP-Basis (Router-Config geht also nicht).
Wie wäre es mit einem iptables-Script?
Um 9 Uhr wird ein Script internet_aus ausgeführt, um 12 Uhr kommt ein
Script internet_ein, um 13 Uhr wieder internet_aus.
In den Scripten stehen dann entsprechende iptables-Anweisungen (man
iptables).
Sperrt natürlich dann den ganzen Rechner vom Internet aus.
HTH
Frank
Andreas Kretschmer
> Hallo,
>
> ich weiß das man soziale Probleme nicht technisch lösen soll, würd's
> aber trotzdem gern machen ;-)
>
> Ich hab von squidguard gehört, evtl. kann SELinux sowas auch - mir
> fehlen ehrlich gesagt die richtigen Suchbegriffe für google.
>
> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
> nicht auf IP-Basis (Router-Config geht also nicht).
Lokale User oder im Netz? Direktes Routing ins Internet oder Proxy?
Es gibt viele Wege zum Ziel.
Andreas
--
Andreas Kretschmer
Kontakt: Heynitz: 035242/47150, D1: 0160/7141639 (mehr: -> Header)
GnuPG-ID: 0x3FFF606C, privat 0x7F4584DA http://wwwkeys.de.pgp.net
Sebastian Günther
> Hallo,
>
> ich weiß das man soziale Probleme nicht technisch lösen soll, würd's
> aber trotzdem gern machen ;-)
>
> Ich hab von squidguard gehört, evtl. kann SELinux sowas auch - mir
> fehlen ehrlich gesagt die richtigen Suchbegriffe für google.
>
> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
> nicht auf IP-Basis (Router-Config geht also nicht).
Du kannst es so einrichten, dass sich user erst auf einem Rechner
einloggen müssen, um überhaupt ins Internet zu kommmen. Sprich ein
Gateway vor die Userrechner schalten, und da kannst Du dann über die
Loginzeiten, alles selber regeln und entsorechende iptables Regeln
aufstellen.
Squid ist aber weniger Aufwand...
>
> Gruß, Andre
>
>
HTH
Sebastian
--
" Religion ist das Opium des Volkes. " Karl Marx
SEB@STI@N GÜNTHER mailto:sam...@guenther-roetgen.de
Andre Bischof
> In response to Andre Bischof :
>> Hallo,
>>
>> ich weiß das man soziale Probleme nicht technisch lösen soll, würd's
>> aber trotzdem gern machen ;-)
>>
>> Ich hab von squidguard gehört, evtl. kann SELinux sowas auch - mir
>> fehlen ehrlich gesagt die richtigen Suchbegriffe für google.
>>
>> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
>> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
>> nicht auf IP-Basis (Router-Config geht also nicht).
>
> Lokale User oder im Netz? Direktes Routing ins Internet oder Proxy?
> Es gibt viele Wege zum Ziel.
lokale User, direkt über FritzBox ins Internet.
Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Schreiben von Versicherungsnehmern:
Mein Motorrad sowie ich selbst mußten wegen starker Beschädigung
abgeschleppt werden.
Andre Bischof
> * Andre Bischof (a.bi...@gmx.net) [18.03.09 23:21]:
>> Hallo,
>>
>> ich weiß das man soziale Probleme nicht technisch lösen soll, würd's
>> aber trotzdem gern machen ;-)
>>
>> Ich hab von squidguard gehört, evtl. kann SELinux sowas auch - mir
>> fehlen ehrlich gesagt die richtigen Suchbegriffe für google.
>>
>> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
>> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
>> nicht auf IP-Basis (Router-Config geht also nicht).
>
> Du kannst es so einrichten, dass sich user erst auf einem Rechner
> einloggen müssen, um überhaupt ins Internet zu kommmen. Sprich ein
> Gateway vor die Userrechner schalten, und da kannst Du dann über die
> Loginzeiten, alles selber regeln und entsorechende iptables Regeln
> aufstellen.
>
> Squid ist aber weniger Aufwand...
ja, scheint mir auch so - zumal ich nicht verstehe warum die sich erst
an einem anderen Rechner anmelden sollen, an dem dann die Kontrolle
läuft - da kann ich die doch direkt auf dem Rechner laufen lassen, auf
dem die angemeldet sind.
Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Schreiben von Versicherungsnehmern:
Mein Motorrad sowie ich selbst mußten wegen starker Beschädigung
abgeschleppt werden.
Andre Bischof
>> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
>> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
>> nicht auf IP-Basis (Router-Config geht also nicht).
>
> Wie wäre es mit einem iptables-Script?
>
> Um 9 Uhr wird ein Script internet_aus ausgeführt, um 12 Uhr kommt ein
> Script internet_ein, um 13 Uhr wieder internet_aus.
>
> In den Scripten stehen dann entsprechende iptables-Anweisungen (man
> iptables).
>
> Sperrt natürlich dann den ganzen Rechner vom Internet aus.
und das wollte ich ja nicht - User, nicht IP-Adresse.
Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Schreiben von Versicherungsnehmern:
Mein Motorrad sowie ich selbst mußten wegen starker Beschädigung
abgeschleppt werden.
Philipp Flesch
Uwe Kerstan
> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
> nicht auf IP-Basis (Router-Config geht also nicht).
Hallo Andre,
für kleine Kinder könntest du dir mal den tracker anschauen:
http://git.kernel.org/?p=linux/kernel/git/torvalds/tracker.git
Wenn du möchtest kann ich dir meine eigene GUI dazu schicken. :-)
Gruß Uwe
Andreas Kretschmer
> >>Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
> >>Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
> >>nicht auf IP-Basis (Router-Config geht also nicht).
> >
> >Wie wäre es mit einem iptables-Script?
> >
> >Um 9 Uhr wird ein Script internet_aus ausgeführt, um 12 Uhr kommt ein
> >Script internet_ein, um 13 Uhr wieder internet_aus.
> >
> >In den Scripten stehen dann entsprechende iptables-Anweisungen (man
> >iptables).
> >
> >Sperrt natürlich dann den ganzen Rechner vom Internet aus.
>
> und das wollte ich ja nicht - User, nicht IP-Adresse.
Man kann auch auf den owner matchen - man verbiete halt ausgehende
Verbindungen, hier gleich die ausgehenden Anfragen.
Andreas
--
Andreas Kretschmer
Kontakt: Heynitz: 035242/47150, D1: 0160/7141639 (mehr: -> Header)
GnuPG-ID: 0x3FFF606C, privat 0x7F4584DA http://wwwkeys.de.pgp.net
Andre Bischof
Uwe Kerstan schrieb:
der ist aus dem Blog von Linus, richtig? Die GUI hätte ich gern - und am
liebsten auch einen Tipp wie ich mit git umgehen muss, das kenne ich
noch nicht.
Besten Dank!
Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Polizeiberichten und Gerichtsverhandlungen:
Bei unseren Gesprächen haben wir die Genitalbereiche nur ganz kurz
berührt.
Andre Bischof
> In response to Andre Bischof :
>> Frank Becker schrieb:
>>>> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
>>>> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
>>>> nicht auf IP-Basis (Router-Config geht also nicht).
>>> Wie wäre es mit einem iptables-Script?
>>>
>>> Um 9 Uhr wird ein Script internet_aus ausgeführt, um 12 Uhr kommt ein
>>> Script internet_ein, um 13 Uhr wieder internet_aus.
>>>
>>> In den Scripten stehen dann entsprechende iptables-Anweisungen (man
>>> iptables).
>>>
>>> Sperrt natürlich dann den ganzen Rechner vom Internet aus.
>> und das wollte ich ja nicht - User, nicht IP-Adresse.
>
> Man kann auch auf den owner matchen - man verbiete halt ausgehende
> Verbindungen, hier gleich die ausgehenden Anfragen.
Hm, das hört sich gut an - hast du vielleicht ein Beispiel, eine Seite
zum Einlesen oder gar was Fertiges? Mein Wissen bei iptables begrenzt
sich nahezu darauf zu wissen was es ist.
Ich meine auch im Zusammenhang mit virtuellen Maschienen mal was von
quota gelesen zu haben - ich kann mir irgendwie nicht vorstellen, dass
es da ncihts Fertiges geben soll?
Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Schreiben von Versicherungsnehmern:
Sofort nach dem Tod meines Mannes bin ich Witwe geworden.
Michael Mohn
Hm, das hört sich gut an - hast du vielleicht ein Beispiel, eine Seite zum Einlesen oder gar was Fertiges? Mein Wissen bei iptables begrenzt sich nahezu darauf zu wissen was es ist.
Ich meine auch im Zusammenhang mit virtuellen Maschienen mal was von quota gelesen zu haben - ich kann mir irgendwie nicht vorstellen, dass es da ncihts Fertiges geben soll?
Andreas Kretschmer
> Andreas Kretschmer schrieb:
> >In response to Andre Bischof :
> >>Frank Becker schrieb:
> >>>>Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
> >>>>Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
> >>>>nicht auf IP-Basis (Router-Config geht also nicht).
> >>>Wie wäre es mit einem iptables-Script?
> >>>
> >>>Um 9 Uhr wird ein Script internet_aus ausgeführt, um 12 Uhr kommt ein
> >>>Script internet_ein, um 13 Uhr wieder internet_aus.
> >>>
> >>>In den Scripten stehen dann entsprechende iptables-Anweisungen (man
> >>>iptables).
> >>>
> >>>Sperrt natürlich dann den ganzen Rechner vom Internet aus.
> >>und das wollte ich ja nicht - User, nicht IP-Adresse.
> >
> >Man kann auch auf den owner matchen - man verbiete halt ausgehende
> >Verbindungen, hier gleich die ausgehenden Anfragen.
>
> Hm, das hört sich gut an - hast du vielleicht ein Beispiel, eine Seite
> zum Einlesen oder gar was Fertiges? Mein Wissen bei iptables begrenzt
> sich nahezu darauf zu wissen was es ist.
Aber Google kennst Du doch schon, oder?
http://lmgtfy.com/?q=iptables+owner+match
Andreas
--
Andreas Kretschmer
Kontakt: Heynitz: 035242/47150, D1: 0160/7141639 (mehr: -> Header)
GnuPG-ID: 0x3FFF606C, privat 0x7F4584DA http://wwwkeys.de.pgp.net
Michelle Konzack
> und das wollte ich ja nicht - User, nicht IP-Adresse.
Wo ist das Problem?
Du bastelst Dir ein Startup-Script und legst es ins
/etc/X11/Xsession.d/let_user_login
Im Script sendest Du dann per SSH einen Befehl wie
RET=$(ssh -l root ${ROUTER} -c "IPT_gateway ${LOGIN}")
und in ${RET} kommt dann der Returnstatus zurück.
So, im script "IPT_gateway" kannste dann ${1} auswerten und entsprechend
IPT aktivieren wie:
(cat /etc/IPT_gateway/${1}) |
while read LINE
do
TIME_H=$(date +%H)
TIME_M=$(date +%M)
TIME=$(($TIME_H*6))
TIME=$(($TIME+$M))
S=$(echo "${LINE}" |cut -d ' ' -f1)
E=$(echo "${LINE}" |cut -d ' ' -f2)
if [ ${TIME} -ge ${S} ] && [ ${TIME} -lt ${E} ] ; then
touch ${TMPDIR}/ALOWED_${1}
fi
done
if [ -f ${TMPDIR}/ALOWED_${1} ] ; the
iptables ....
rm -f ${TMPDIR}/ALOWED_${1}
fi
Dann brauchste nur noch ein durch "cron" ausgeführtes Script was die
${USER} nach den Logauszeiten checked und die Gateway wieder schließt.
for IPT_USERS in $(ls /etc/IPT_gateway/*) ; do
IPT_USER=$(basename ${IPT_USERS})
(cat /etc/IPT_gateway/${1}) |
while read LINE
do
TIME_H=$(date +%H)
TIME_M=$(date +%M)
TIME=$(($TIME_H*6))
TIME=$(($TIME+$M))
S=$(echo "${LINE}" |cut -d ' ' -f1)
E=$(echo "${LINE}" |cut -d ' ' -f2)
if [ ${TIME} -ge ${S} ] && [ ${TIME} -lt ${E} ] ; then
touch ${TMPDIR}/BLOCK_${1}
fi
done
if [ -f ${TMPDIR}/BLOCK_${1} ] ; the
iptables ....
rm -f ${TMPDIR}/BLOCK_${1}
fi
done
somit kannste in die /etc/IPT_gateway/${1} mehrere Zeiten definieren,
wobei das ${1} der loginname des Users ist und in der Datei pro Zeile
zwei Zeiten in Minuten stehen müssen wie:
540 960
wobei 540 eben 09:00 und 960 16:00 entspricht.
Thanks, Greetings and nice Day/Evening
Michelle Konzack
Systemadministrator
24V Electronic Engineer
Tamay Dogan Network
Debian GNU/Linux Consultant
--
Linux-User #280138 with the Linux Counter, http://counter.li.org/
##################### Debian GNU/Linux Consultant #####################
<http://www.tamay-dogan.net/> Michelle Konzack
<http://www.can4linux.org/> Apt. 917
<http://www.flexray4linux.org/> 50, rue de Soultz
Jabber linux4m...@jabber.ccc.de 67100 Strasbourg/France
IRC #Debian (irc.icq.com) Tel. DE: +49 177 9351947
ICQ #328449886 Tel. FR: +33 6 61925193
Michelle Konzack
> ja, scheint mir auch so - zumal ich nicht verstehe warum die sich erst
> an einem anderen Rechner anmelden sollen, an dem dann die Kontrolle
> läuft - da kann ich die doch direkt auf dem Rechner laufen lassen, auf
> dem die angemeldet sind.
Und wenn jemand mit dem laptop da reingeht?
Ich meine, ich habe ein PHP5 Webinterface plus suPhp für einen meiner
Router (cybercenter) gescriptet und die ${USER} müssen sich erst auf
der "gateway" Anmelden um das Netzwerk überhaupt benutzen zu können.
Andre Bischof
...
>>>>> Sperrt natürlich dann den ganzen Rechner vom Internet aus.
>>>> und das wollte ich ja nicht - User, nicht IP-Adresse.
>>> Man kann auch auf den owner matchen - man verbiete halt ausgehende
>>> Verbindungen, hier gleich die ausgehenden Anfragen.
>> Hm, das hört sich gut an - hast du vielleicht ein Beispiel, eine Seite
>> zum Einlesen oder gar was Fertiges? Mein Wissen bei iptables begrenzt
>> sich nahezu darauf zu wissen was es ist.
>
> Aber Google kennst Du doch schon, oder?
Nein, was ist das? Ist das Englisch? Leo übersetzt das mit googeln, das
bringt mir leider nichts. Wahrscheinlich wieder einer dieser
IT-Neologismen, oder?
> http://lmgtfy.com/?q=iptables+owner+match
Spaß beiseite, lmgtfy kannte ich wirklich nicht, _dass_ ist lustig!
Ich hatte:
und das war nicht wirklich zielführend.
Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Schreiben von Versicherungsnehmern:
Unsere Autos prallten genau in dem Augenblick zusammen, als sie sich
begegneten.
Andre Bischof
> Am 2009-03-19 13:07:22, schrieb Andre Bischof:
>> und das wollte ich ja nicht - User, nicht IP-Adresse.
>
> Wo ist das Problem?
Bin ich Linus?
>
> Du bastelst Dir ein Startup-Script und legst es ins
>
> /etc/X11/Xsession.d/let_user_login
>
> Im Script sendest Du dann per SSH einen Befehl wie
>
> RET=$(ssh -l root ${ROUTER} -c "IPT_gateway ${LOGIN}")
und {ROUTER} kann der gleiche Rechner sein? Ich hab ja wie gesagt auf
dem Weg ins Internet dann als nächste Station die FritzBox, da geht nix
mit ssh.
Mir ist nicht klar, was in meinem konkreten Fall der Router und das
Gateway wären, bzw. wenn das beides die FritzBox ist, ob das dann
überhaupt geht.
Ich hab mittlerweile ein Programm für KDE4 gefunden, dass das wohl kann,
aber ich hab noch KDE3, und scheue etwas die Pakete aus experimental.
KDE bzw. dessen Internetzugang zu sperren würde reichen.
Andre
--
Personal weblog and more: http://bischof.homelinux.net
Stilblüten aus Schreiben von Versicherungsnehmern:
Unsere Autos prallten genau in dem Augenblick zusammen, als sie sich
begegneten.
Andre Bischof
> Am 2009-03-19 13:09:26, schrieb Andre Bischof:
>> ja, scheint mir auch so - zumal ich nicht verstehe warum die sich erst
>> an einem anderen Rechner anmelden sollen, an dem dann die Kontrolle
>> läuft - da kann ich die doch direkt auf dem Rechner laufen lassen, auf
>> dem die angemeldet sind.
>
> Und wenn jemand mit dem laptop da reingeht?
Bei mir zuhause hab ich da schon Kontrolle, und WLAN ist über MAC
gesichert - da geht also keiner einfach so rein (auch wenn's theoretisch
ginge).
> Ich meine, ich habe ein PHP5 Webinterface plus suPhp für einen meiner
> Router (cybercenter) gescriptet und die ${USER} müssen sich erst auf
> der "gateway" Anmelden um das Netzwerk überhaupt benutzen zu können.
Wow!
Andre
--
Personal weblog and more: http://bischof.homelinux.net
"Das Schwein trägt seinen Namen nicht umsonst" - Stilblüten aus
Kinderaufsätzen: (Geschichte)
Die Periode der Königin Elisabeth dauerte 30 Jahre.
Michelle Konzack
>> RET=$(ssh -l root ${ROUTER} -c "IPT_gateway ${LOGIN}")
>
> und {ROUTER} kann der gleiche Rechner sein? Ich hab ja wie gesagt auf
> dem Weg ins Internet dann als nächste Station die FritzBox, da geht nix
> mit ssh.
Ich dachte Du hast die Friz an einem Linux-Router...
Wenn Du auf der gleichen Maschine bist, kannste mein Script kürzen
> Mir ist nicht klar, was in meinem konkreten Fall der Router und das
> Gateway wären, bzw. wenn das beides die FritzBox ist, ob das dann
> überhaupt geht.
Also wenn Du NUR die eine Kiste hast die an der Friz hängt, wo ist das
problem? Du kannst ja das Freigabe-Script direkt auf der gleichen
Maschine aufrufen, ohne SSH zu verwenden
Jochen Schulz
> Michelle Konzack schrieb:
>>
>> Und wenn jemand mit dem laptop da reingeht?
>
> Bei mir zuhause hab ich da schon Kontrolle, und WLAN ist über MAC
> gesichert - da geht also keiner einfach so rein (auch wenn's theoretisch
> ginge).
*kicher*
J.
--
I wish I looked more like a successful person even though I'm a loser.
[Agree] [Disagree]
<http://www.slowlydownward.com/NODATA/data_enter2.html>
Michelle Konzack
> Andre Bischof:
> > Bei mir zuhause hab ich da schon Kontrolle, und WLAN ist über MAC
> > gesichert - da geht also keiner einfach so rein (auch wenn's theoretisch
> > ginge).
>
> *kicher*
:-)
Hmmm MAC spoofen? Das versucht man schon seit Jahren hier in Strasbourg
weil die es noch nicht geraft haben das ich MAC nicht verwende...
Andre Bischof
> Hallo,
>
> ich weiß das man soziale Probleme nicht technisch lösen soll, würd's
> aber trotzdem gern machen ;-)
>
> Ich hab von squidguard gehört, evtl. kann SELinux sowas auch - mir
> fehlen ehrlich gesagt die richtigen Suchbegriffe für google.
>
> Beides scheint mir mit Kanonen auf Spatzen geschossen, hat jemand einen
> Tipp für mich für die zeitlich begrenzte Internetnutzung auf Userbasis,
> nicht auf IP-Basis (Router-Config geht also nicht).
Danke nochmal für die Tipps. Ich habe mich jetzt für folgende,
pragmatische Lösung entschieden:
In /etc/crontab definiere ich für die von mir gewünschten Zeiten für
user 1003:
00 23 * * 0-4 root /sbin/iptables -A OUTPUT -m owner --uid-owner
1003 -j REJECT
00 06 * * 0-4 root /sbin/iptables -D OUTPUT -m owner --uid-owner
1003 -j REJECT
00 24 * * 5-6 root /sbin/iptables -A OUTPUT -m owner --uid-owner
1003 -j REJECT
00 06 * * 5-6 root /sbin/iptables -D OUTPUT -m owner --uid-owner
1003 -j REJECT
Viele Grüße
Andre
--
Personal weblog and more: http://bischof.homelinux.net
--