Какие есть варианты разрешения сайтов(по dns-именам) на линуксе?

Question

[Алексей]

Существует 2-3 десятка удаленных подразделений с 1-3 ПК, подразделения за роутерами Asus WL-500, сейчас стоит на них(роутерах) openwrt. Задача - блокировать весь вх/исх трафик с ПК, кроме списка разрешенных DNS-имен и сервисов, типа googledrive,хангоутс,dropbox.

ищется стабильное решение и простое в обслуживании.
видится как настройка роутера на пропуск трафика openvpn с ПК(ПК будут поднимать опенвпн-канал) на центральный сервер, а на центральном сервере блокировка/разрешение.
но чем разрешать сайты(dns-имена) и перечисленные сервисы для клиентов?

поделитесь идеями, плз.

Answer 1

[Макс]

что мешает настроить маршруты от удаленных площадок на выход в интернет через 1 точку в голове, на этой точке либо настроить файрвол, либо прокси?
Сразу уточню - если хотите видеть статистику (кто когда и куда), то лучше прокси. На нем-же можно поднять сканирование антивирусом.
Проксю лучше на ПК, роутер начинает тупить безбожно.

Comments

[Алексей]

Макс, вариант хорош, вы предлагаете ограничивать acl - ями самого прокси по днс-именам или ип-адресам?
Как быть с проксированием https трафика?
И как быть с сервисами типа гугл-докс, гугль-диска? как то не уверен что их удасться разрешать ацл-ями прокси, там входное доменное имя и далее балансер сервиса разбрасывает далее по хостам ((
(под прокси здесь понимал squid)

[Макс]

Алексей: при проксировании https трафика проблемы возникают, если Вы хотите блокировать не весь домен, а какие-то отдельные типы трафика(например - только видео) - Вы не видите, что внутри потока. Для решения этого есть sslbump (посмотрите тут www.opennet.ru/openforum/vsluhforumID12/7201.html). для гуглдрайва и прочих - разрешите по маске.

[Алексей]

Макс: Макс, использую прокси мне придется ее ставить в прозрачном режиме, а в прозрачном режиме какой прокси проксирует https?

[Макс]

Алексей: на сколько мне известно - сквид. Наверняка не только он.

[Алексей]

squid я и имел в виду писав пост выше. напишите как это он умеет проксировать https?

[Макс]

Алексей: habrahabr.ru/post/168515 - вклинивается

[Алексей]

Макс: хм, интересно,спасибо . опробую - отпишусь как оно в работе(в продакшене)

Answer 2

[Алексей Черемисин]

О сколько нам открытий чудных. Готовит просвещенья друг.

Увы, это порочный путь! Абсолютно порочный!
Если сотрудники нифига не делают (как я сейчас), то дрючить нужно не сотрудника, а руководство и начальство, или выгонять сотрудников в отпуск, отгул, переводить на сухари и дрожжи.
Закрыв интернет, будут теребить планшеты и коммуникаторы, оплевывать курилку и целоваться за углом.

Ну а теперь предложения. Ставьте простой proxy с авторизацией, остальные порты просто перекройте нафиг.

Answer 3

[Евгений Хлебников]

А зачем поднимать на ПК впн, если с этим по идее справится роутер?
Соберите весь трафик с офисов (без доступа в интернет для ПК) в центральный, дальше уже в интернет рулите как надо.