רשימה לבנה למשתמש בודד

A0533057932

@ליכט לכאורה דרך חומץ האש של eset

ליכט

@A0533057932
אני לא מוצא שם אפשרות להפריד בין משתמשים.

clickone

@ליכט כמה הם מתוחכמים?
אפשר להפנות את כל התעבורה לקובץ פרוקסי על המחשב, ולהחריג רק את הכתובות הספציפיות.
ובגלל שאין על המחשב באמת פרוקסי, אז רק מה שברשימה הלבנה יעבוד, והשאר לא.
זה מיועד רק למשתמשים לא מתוחכמים. (אחרת הם יוסיפו כתובות, או יעיפו את הגדרות הפרוקסי)
ואפשר כמובן לעשות לכל משתמש קובץ אחר
מבנה קובץ לדוגמא: (סיומת JS בד"כ)

function FindProxyForURL(url, host)
{
	if (isInNet(dnsResolve(host), "10.0.0.0", "255.0.0.0") ||
      isInNet(dnsResolve(host), "172.16.0.0",  "255.240.0.0") ||
      isInNet(dnsResolve(host), "192.168.0.0", "255.255.0.0") ||
      isInNet(dnsResolve(host), "127.0.0.0", "255.0.0.0"))
		return "DIRECT";
	
	if (host == "ttttttttttttttt.co.il")
		return "DIRECT";
if (host == "ws101.pelecard.biz")
		return "DIRECT";
if (host == "955.co.il")
		return "DIRECT";

	return "SOCKS 127.0.0.1:1080";
	
}

פשוט תעתיק את התנאים ותשנה לפי הצורך

dovid

@clickone אני חושב שהרעיון שלך כן טוב גם למתחכמים אבל בתנאי:
א. לעשות את הגדרות הפרוקסי דרך הGPO
ב. שהמשתמשים יהיו בדרגה שאינם ניהול
ג. לדאוג שלא יכולו להתקין דפדפנים עוקפי פרוקסי כמו פיירפוקס

אולי אני טועה.

dovid

כעת אני חושב שדרך הGPO אולי אי אפשר לעשות קובץ אחר פר משתמש.

clickone

@dovid אני זוכר שאפשר. אבל גם אני לא בטוח
@ליכט הנה עוד אתר עם הסברים לקבצי PAC
https://help.zscaler.com/zia/writing-pac-file

clickone

יש עוד אפשרות, זה לנעול את המשתמש בREG מלשנות את הפרוקסי.
אני בכוונה לא שם את זה כאן - מסיבות מובנות.
לא יודע אם זה ממש יועיל למשתמש מתוחכם מאד

dovid

@clickone לדעתי אם המשתמש לא מנהל זה לא יעזור לו חכמתו וגם אם הוא יודע איך עשו.

ליכט

@clickone

המשתמשים הם לא מנהלים. 2. הם לא מתוחכמים.

אשמח אם תוכל להחכים בור כמוני, איך מגדירים פרוקסי לקובץ ?
(בהגדרות אני רק מוצא אפשרות להפנות לכתובת).

shraga

נראה לי שזה כאן:

clickone

@dovid
אם זה נעילה בREG אז זה בHKEY_CURRENT_USER ואת זה כן המשתמש יכול לשנות גם אם הוא לא אדמין.

אם זה GPO אז אתה צודק בהחלט
עריכה: למשתמש רגיל אפשר אולי לחסום גישה לREG וREGEDIT
עריכה 2: אפשר גם לתת הרשאות קריאה בלבד לערך הזה. - לא בדקתי כמה זה יעזור

upsilon01

אפשר להוסיף את האתרים המותרים 'בחריגים'

איפה שכתוב: אל 'תשתמש בשרת Proxy עבור כתובות המתחילות ב:'

ולהפריד את הערכים באמצעות ;

clickone

@upsilon01 זה עושה לדעתי את אותה עבודה (ז"א, הוא כנראה בונה את הקובץ PAC במקביל)

yossiz

@dovid אמר ברשימה לבנה למשתמש בודד:

אני חושב שהרעיון שלך כן טוב גם למתחכמים...
אולי אני טועה.

אולי...
אם מדובר במתחכמים לא הייתי סומך על זה. זה גדר מלאכותי לגמרי.
(ואם בגדרים מלאכותיים עסקינן, אפשר לעשות משהו דומה על ידי הגדרת DNS לא תקין, ולהוסיף את הרשימה הלבנה לקובץ ה-hosts)

א. לעשות את הגדרות הפרוקסי דרך הGPO

אם הגלישה הוא דרך כרום צריך גם לעשות להגדיר policy בנפרד עבור כרום ולא יעזור הפוליסה המובנה של ווינדוס.

לדאוג שלא יכולו להתקין דפדפנים עוקפי פרוקסי כמו פיירפוקס

נראה לי שבזה טמון החולשה העיקרית.

@clickone אמר ברשימה לבנה למשתמש בודד:

עריכה: למשתמש רגיל אפשר אולי לחסום גישה לREG וREGEDIT

חסימת גישה ל-REG וכו' לא ממש יעיל מול "מתחכם"

עריכה 2: אפשר גם לתת הרשאות קריאה בלבד לערך הזה. - לא בדקתי כמה זה יעזור

למפתחי רג'יסטרי יש הרשאות בצורת ACL בדומה לקבצים. בתיאוריה (ומסתבר שגם בפועל) זה אמור להיות בטוח לגמרי (מול משתמש שאינו מנהל). (אם מצאת פירצה בזה, אתה זכאי לקבל כ ס ף ממייקרוסופט)

(ז"א, הוא כנראה בונה את הקובץ PAC במקביל)

מהיכ"ת?

ליכט

למעשה יצאתי מבולבל.
יש משהו שאני יכול לעשות כדי למנוע גישה לאינטרנט מלבד רשימה לבנה ממשתמש בודד שהוא לא מנהל ולא מתוחכם ?

yossiz

@ליכט הכי קל להגדיר proxy ל-127.0.0.1 ולעשות מה ש@upsilon01 הציע

אפשר להוסיף את האתרים המותרים 'בחריגים'

איפה שכתוב: אל 'תשתמש בשרת Proxy עבור כתובות המתחילות ב:'

ולהפריד את הערכים באמצעות ;

כל זה בהנחה שהתשתמשים לא ידעו לשנות הגדרות פרוקסי.
אחרת צריך לנעול הגדרות הפרוקסי על ידי group policy או משהו אחר.

ליכט

@shraga

בווינדוס 10 זה נמצא כאן:

@yossiz
החסימה אכן הצליחה.
אך הרשימה הלבנה לא עובדת (בדוגמא הנ"ל האתר של נטפרי) מה יכולה להיות הסיבה ?

ליכט

@ליכט אמר ברשימה לבנה למשתמש בודד:

אך הרשימה הלבנה לא עובדת (בדוגמא הנ"ל האתר של נטפרי) מה יכולה להיות הסיבה ?

כבר עליתי על הסיבה, יש להכניס את הכתובת ללא http.
עכשיו זה עובד. תודה.

ליכט

@yossiz אמר ברשימה לבנה למשתמש בודד:

אחרת צריך לנעול הגדרות הפרוקסי על ידי group policy או משהו אחר.

אם ארצה לחזק את החסימה, תוכל להדריך אותי יותר איך עושים את זה ?

yossiz

@ליכט בשמחה. כנראה זה יהיה רק מחר.

תחומים - פורום חרדי מקצועי

רשימה לבנה למשתמש בודד