רשימה לבנה למשתמש בודד

[yossiz]

@dovid אמר ברשימה לבנה למשתמש בודד:

אני חושב שהרעיון שלך כן טוב גם למתחכמים...
אולי אני טועה.

אולי...
אם מדובר במתחכמים לא הייתי סומך על זה. זה גדר מלאכותי לגמרי.
(ואם בגדרים מלאכותיים עסקינן, אפשר לעשות משהו דומה על ידי הגדרת DNS לא תקין, ולהוסיף את הרשימה הלבנה לקובץ ה-hosts)

א. לעשות את הגדרות הפרוקסי דרך הGPO

אם הגלישה הוא דרך כרום צריך גם לעשות להגדיר policy בנפרד עבור כרום ולא יעזור הפוליסה המובנה של ווינדוס.

לדאוג שלא יכולו להתקין דפדפנים עוקפי פרוקסי כמו פיירפוקס

נראה לי שבזה טמון החולשה העיקרית.

@clickone אמר ברשימה לבנה למשתמש בודד:

עריכה: למשתמש רגיל אפשר אולי לחסום גישה לREG וREGEDIT

חסימת גישה ל-REG וכו' לא ממש יעיל מול "מתחכם"

עריכה 2: אפשר גם לתת הרשאות קריאה בלבד לערך הזה. - לא בדקתי כמה זה יעזור

למפתחי רג'יסטרי יש הרשאות בצורת ACL בדומה לקבצים. בתיאוריה (ומסתבר שגם בפועל) זה אמור להיות בטוח לגמרי (מול משתמש שאינו מנהל). (אם מצאת פירצה בזה, אתה זכאי לקבל כ ס ף ממייקרוסופט)

(ז"א, הוא כנראה בונה את הקובץ PAC במקביל)

מהיכ"ת?

[ליכט]

למעשה יצאתי מבולבל.
יש משהו שאני יכול לעשות כדי למנוע גישה לאינטרנט מלבד רשימה לבנה ממשתמש בודד שהוא לא מנהל ולא מתוחכם ?

[yossiz]

@ליכט הכי קל להגדיר proxy ל-127.0.0.1 ולעשות מה ש@upsilon01 הציע

אפשר להוסיף את האתרים המותרים 'בחריגים'

איפה שכתוב: אל 'תשתמש בשרת Proxy עבור כתובות המתחילות ב:'

ולהפריד את הערכים באמצעות ;

כל זה בהנחה שהתשתמשים לא ידעו לשנות הגדרות פרוקסי.
אחרת צריך לנעול הגדרות הפרוקסי על ידי group policy או משהו אחר.

[ליכט]

@shraga

בווינדוס 10 זה נמצא כאן:

@yossiz
החסימה אכן הצליחה.
אך הרשימה הלבנה לא עובדת (בדוגמא הנ"ל האתר של נטפרי) מה יכולה להיות הסיבה ?

[ליכט]

@ליכט אמר ברשימה לבנה למשתמש בודד:

אך הרשימה הלבנה לא עובדת (בדוגמא הנ"ל האתר של נטפרי) מה יכולה להיות הסיבה ?

כבר עליתי על הסיבה, יש להכניס את הכתובת ללא http.
עכשיו זה עובד. תודה.

[ליכט]

@yossiz אמר ברשימה לבנה למשתמש בודד:

אחרת צריך לנעול הגדרות הפרוקסי על ידי group policy או משהו אחר.

אם ארצה לחזק את החסימה, תוכל להדריך אותי יותר איך עושים את זה ?

[yossiz]

@ליכט בשמחה. כנראה זה יהיה רק מחר.

[ליכט]

@yossiz
היום זה מחר של אתמול....

אם תוכל, אודה.

[yossiz]

@ליכט אתה בווינדוס גירסת pro ומעלה?

[yossiz]

בינתיים אכתוב הוראות בהנחה שאתה משתמש בגירסת PRO ומעלה של ווינדוס

חלק א

1. תכתוב mmc בתפריט ההתחלה, אנטר
2. בחלון שנפתח תבחר בתפריט קובץ > הוספה/הסרה של יישום snapin
   
3. ברשימה שנפתחת תבחר מתוך הרשימה "עורך אובייקטי מדיניות הקבוצתית" ותלחץ הוסף.
   
4. באשף שנפתח, תלחץ על עיון > כרטיסיית "משתשמים" > שם שמשתמש שאתה רוצה להגביל > אישור > סיום
   
5. תחזור על פעולה זו עבור כל משתמש שאתה רוצה להגביל
6. אחרי שהוספת את ה-"snapin" עבור כל משתמש שרצית להגביל, תלחץ אישור.
7. מתוך העץ בצד ימין תפתח את הנתיב הבא: מדיניות <שם משתמש>\תצורת משתמש\Adminisrative Templates\‏Windows Components\‏Internet Explorer
   
8. מצא בצד שמאל את הרשומה: Prevent changing proxy settings. לחיצה כפולה עליו.
9. בחלון שנפתח תבחר "enabled". אישור.
   
10. תחזור על הפעולה עבור כל משתמש שאתה רוצה להגביל

ההמשך יבוא...

[ליכט]

@yossiz
יש לי windows pro.
ואכן הצלחתי (איך אפשר שלא להצליח עם מדריך מושקע כזה ?)

תודה רבה רבה.

אגב, איזה המשך יבוא, האם זה לא מספיק ?

[yossiz]

@ליכט איזה דפדפן מותקן? אם משתמשים בכרום, תכננתי לכתוב שלב נוסף שאפשר לעשות, לא חייבים, אבל זה ישפר את החסימה,
אבל בעצם, במחשבה שניה, יש עדיין חורים כל כך גדולים שאני לא יודע עד כמה השלב הבא ישפר את ההגנה, ואולי לא שווה אפילו את ה-5 דקות...

ו- @dovid , בנוגע למה שכתבת למעלה:

@clickone אני חושב שהרעיון שלך כן טוב גם למתחכמים אבל בתנאי וכו' וכו'

היום שמתי לב שה-GPO חוסם רק את הממשק הגרפי אבל עדיין אפשר לשנות ישירות ברג'יסטרי)

[ליכט]

@yossiz
עזוב...
אפי' את ההגדרה הראשונית הם לא יודעים לשנות (מה גם שמדובר במשהו זמני בלבד).
עם החסימה הנוספת במדיניות, זה כבר די והותר.
אל תתאמץ עבורי יותר.

[ליכט]

@ליכט אמר ברשימה לבנה למשתמש בודד:

אפי' את ההגדרה הראשונית הם לא יודעים לשנות (מה גם שמדובר במשהו זמני בלבד).
עם החסימה הנוספת במדיניות, זה כבר די והותר.

מלבד אם ישאלו בתחומים....

[יוני]

@yossiz אמר ברשימה לבנה למשתמש בודד:

@ליכט איזה דפדפן מותקן? אם משתמשים בכרום, תכננתי לכתוב שלב נוסף שאפשר לעשות, לא חייבים, אבל זה ישפר את החסימה,
אבל בעצם, במחשבה שניה, יש עדיין חורים כל כך גדולים שאני לא יודע עד כמה השלב הבא ישפר את ההגנה, ואולי לא שווה אפילו את ה-5 דקות...

ו- @dovid , בנוגע למה שכתבת למעלה:

@clickone אני חושב שהרעיון שלך כן טוב גם למתחכמים אבל בתנאי וכו' וכו'

היום שמתי לב שה-GPO חוסם רק את הממשק הגרפי אבל עדיין אפשר לשנות ישירות ברג'יסטרי)

יש תוכנה פשוטה לחסימה גישה לרישום
נועל הרישום.rar

[dovid]

@יוני מי ש"בקטע" של עריכת רישום, יכול לעקוף את זה בקלי קלות.
אבל @yossiz אמר שיש הרשאות ברישום שזה כן אפקטיבי.

[shraga]

הבעיה שאפשר להשתמש עם דפדפן כמו פיירפוקס שלא מתייחס להגדרות הפרוקסי במחשב וכדו'.

[yossiz]

@shraga הזכירו למעלה

@dovid אמר ברשימה לבנה למשתמש בודד:

ג. לדאוג שלא יכולו להתקין דפדפנים עוקפי פרוקסי כמו פיירפוקס

[ליכט]

@shraga אמר ברשימה לבנה למשתמש בודד:

הבעיה שאפשר להשתמש עם דפדפן כמו פיירפוקס שלא מתייחס להגדרות הפרוקסי במחשב וכדו'.

בדקתי כעת עם פיירפוקס (במשתמש החסום), ולא הצליח לגשת לשום מקום.
??

[dovid]

@ליכט נכון, בברירת מחדל הוא הולך בעקבות הגדרות הפרוקסי של המחשב, צריך לשנות בהגדרות ואז זה יעקוף.