Посоветуйте облачный DNS для контентной фильтрации в компании

Question

[Павел]

Я нашел всего 3 продукта:
www.umbrella.com/
www.skydns.ru/
usergate.ru/cloudsolutions/gatewall_dns_filter.php

Umbrella среди них самый продвинутый, но и самый дорогой. За 30 компьютеров в год придется выложить около 1000$.
Наши продукты дешевле, но функционал не впечатляет.

В компании больше 20 компьютеров (Win, Os X, Ubuntu), несколько офисов и для разных компьютеров необходим разный уровень доступа — «наши» продукты так фильтровать не могут :(

Искал аппаратное решение — нашел у Zyxel — но и они требуют абонентскую плату. А мне то всего лишь надо ограничить доступ у ряду сайтов (но для разных групп это ограничение будет разным, поэтому просто заблокировать сайты на модеме для всех — не подходит).

P.S. Серверные решения внутри офисов для такой небольшой задачи тоже не подходят :( Сейчас в одном из офисов стоит UserGate (предыдущее поколение) на винде -и результаты его работы не очень радуют — с ним всё лагает :(

Comments

[Павел]

Общий принцип работы данных сервисов мне понятен: регистриуемся в их системе и прописываем IP нашего офисного шлюза в интернет. На шлюзе прописываем DNS сервиса. При приходе запроса на сервис он видит с какого IP пришел запрос и сопоставляет с клиентом в базе. Эта схема мне понятна.
Но мне не понятно, как Umbrella и SkyDNS определяют какой именно компьютер внутри моей сетки сделал запрос к DNS-серверу?

Answer 1

[Iliapan]

Не вижу тут ничего, что нельзя было бы выполнить своими руками.
Берем простейшую облачную машину в AWS, поднимаем openvpn, настраиваем сертификатами, пробрасываем порт. Далее по инструкции настраиваем клиентов, сертификаты они сами подхватывают и соединяются.
На машине настраиваем dns сервер и прописываем его внутренний openvpn адрес на машинах. Все…

Comments

[Павел]

интересная схема. Можно где-нибудь про не прочитать подробный how-to?

[Iliapan]

Можно. В гугле. Есть много вариантов, лучше всего поднять dnsmasq, а его подцепить к бесплатному opendns аккаунту.

[Iliapan]

В такой схеме можно и без openvpn обойтись

Answer 2

[Александр]

А если подойти с другой строны и для этого использовать антивирус Касперского? И антивирусная защита и контроль рабочего места с разделением по пользователям, компьютерам.

Comments

[Павел]

Касперский предполагает установку на компьютеры пользователей и на сервер.
Я хочу полностью отказаться от серверов в офисах.
Касперский только для Windows.

[Александр]

Сервер можно и один использовать, можно его в облаке разместить. Касперский есть для всех платформ.
Ну и есть Kaspersky Hosted Web Security — Сервис Kaspersky Hosted Web Securityпредоставляет следующие возможности:
Фильтрация входящего и исходящего http-трафика на наличие вирусов;
Фильтрация контента (содержимого) интернет-трафика по заданным фильтрам;
Гибкое администрирование — вы можете создавать собственные политики фильтрации, ограничивать объём трафика для клиентов с помощью квот и т.п.

[Павел]

Kaspersky Hosted Web Security интересно. Но к сожалению проект закрыли kaspersky24.ru/news/view/71/

Answer 3

[mikes]

есть еще rejector.ru

Comments

[Павел]

Похоже этот проект умирает — новости последний раз обновлялись 2011-08-19

[LMik]

Он не умирает. Просто работает.

Answer 4

[LMik]

SkyDNS ставит клиент на комп, но это не просто клиент, это ещё и DNS прокси. Только он не просто проксирует, а ещё и добавляет в запрос токен, по которому и определяют клиента и его фильтры.

Comments

[Павел]

Увидел, что Вы автор rejector. Я писал Вам сегодня в саппорт. Не планируете написать такого же клиента для rejector?

[LMik]

Да даже написали. Но так как проект на чистом энтузиазме работает, не хватает времени довести до релиза…

Answer 5

[Илья Флакин]

А почему вы не рассматриваете вариант с прокси? Там разбиение на группы хоть по ip, хоть по mac, хоть по связке логин/пароль.

Comments

[Павел]

А есть облачные прокси с хорошей скоростью, предоставляющие подобные решения?

[Илья Флакин]

Если честно — не в курсе, я имел ввиду локальный.

[Павел]

я хочу полностью отказаться от серверов в офисах компании — максимум embeded pc размером с маршрутизатор. Но подобных готовых решений я не видел или не знаю по каким ключевым словам гуглить.

[Илья Флакин]

Ваше желание понятно, но подсказать готового решения — не сталкивался раньше с такими задачами (работал в гос. организации — поэтому все было свое, чтобы ничего не утекало =)) За UserGate тоже ничего не скажу, использовали только squid в связке с sams и авторизацией из АД. Под него был выделен виртуальный сервер с 2 CPU и 8 Гб ОЗУ — но это для более 100 пользователей — никаких проблем с производительностью не наблюдалось и производительность явно с запасом.
Кстати интересно тоже попытался поискать в интеренете предложения прокси серверов иммено для задачи ограничения доступа — их просто нет (в основном анонимные прокси), похоже не целесообразно просто…

[Павел]

ну почему же не целесообразно? Может просто нет предложения, поэтому нет и спроса?
Раньше, о продуктах подобных umbrella и skydns тоже никто не задумывался.
А сейчас эта услуга популярна, хоть и очень ограничена в возможностях.

Answer 6

[kinofob]

Скажу по SkyDNS - "наши продукты" все могут.
Можно ставить агента на компьютер, соответственно можно профиль фильтрации привязать как к самому компьютеру и даже к отдельным пользователям.
Можно привязать профиль к роутеру, шлюзу, прокси, но все компьютеры за ними соответственно будут с одними и теми же настройками фильтрации.
Если использоваться ZyXEL Keenetic с модулем SkyDNS, то тогда как и в случае агента можно каждому устройству за роутером (не только ПК, но и все что угодно) привязать свой профиль фильтрации.

Umbrella продвинута, но совсем не в этом.

Answer 7

[kuPyxa]

Вот такой еще вариант НетПолис. Сейчас там есть 60 дневный тестовый период, времени хватит, чтобы познакомиться с сервисом.