@kained111

Добрый день, подскажите как можно закрыть доступ на сайты кроме одного, host или как его там не предлагать, я все устану записывать.
вроде как то можно через антивирус, но вот какой (желательно бесплатный) и как в нем можно это сделать.
Кто может пошагово объясните, че и куда, а то нет инфы. нашел только через че можно а как не кто не говорит.

0

@eagle nest

что я и предложил, инструкций в интернете много, аддонов для расширения потребностей много.

0

@KDE777

И опять перечитаем уже предложенное:

А ваше решение "На пограничной с Интернетом железке заблокируйте TCP 80 и 443", позволит пользователю настроить внешний прокси-сервер, например, на порту 8080 и ходить по всему И-нету

Добавлено через 3 минуты

0

@eagle nest

а ограничение для созданных групп ничего не дает? если одним разрешили одно вторым другое? и если как выше сказано пользователи не имеют прав администратора можно запретить менять настройки хоть шлюза хоть днс хоть прокси

0

@Karen87

Возможность настройки данного функционала легко блокируется в доменной сети

Добавлено через 1 минуту
Насколько мне известно порты 80 и 443 далеко не all порты, используемые в глобальной сети

0

@KDE777

Отлично, с помощью одного решения оставляем часть портов открытыми, а затем с помощью другого начинаем с ними бороться. Зато всегда есть чем заняться

И чего сразу не дописали, что дополнительно к вашему решению понадобится, через так не любимое автором GPO, прокси запрещать?

Ну и прокси на порту отличном от 80 и 443, это только первая дыра в вашем решение, оставь хоть что-то незакрытым и ушлый народ начинает туннели через dns строить Так и будете потом за всем гоняться?

Добавлено через 2 минуты
И поэтому вы предложили блокировать только их???

0

@Karen87

Вопрос какой был? Запретить, а не изучать IT-способности пользователя, который будет искать дыры в решениях.
Человек был и остаётся самым ненадёжным элементом IT-безопасности. Поэтому данной категорией граждан пусть занимается IT-безопасность

Добавлено через 1 минуту
А Вы знаете ещё настолько же популярные порты в веб-серфинге?

0

@kained111

я писал в 6 ответе что есть ))

0

@KDE777

А вы выполнили его на 0,004% запретив 2 из 65535

Причём здесь вообще популярность TCP порта? Если открыт хоть один порт в И-нет, я организую вам через него web-сёрфинг. Например, запускаю опубликованный через RemoteApp браузер и вот вам web-сёрфинг через (TCP 3389) И это мы ещё не начали всякие туннели рассматривать...

1

@kained111

я же раньше писал что брандмаур не выход, он сам по себе не понять как работает так еще в запутанную сеть пробовать его применить, представьте вы попадаете в организацию с 200 машинами, по 10 машин где то на группу, примерно 20 групп, из этих групп какая то часть вообще не может работать с брандмауром, ресурс просит отключить, это уже повод отказаться

0

@KDE777

0

@AL_O

Ещё раз - костыль с прокси не годится почему то.
Брандмауэр встроенный этого делать не умеет - никто не смог показать конфиг с примером.
Групповые политики (по сути то же самое регулирование брандмауэра и прокси, но с контроллера) этого не умеют.
Шлюз автор трогать не хочет (по сути будут группы профилей, то же самое прокси и лишняя пара логин-пароль).
Детский режим операционной системы использовать не хотим потому что слишком показательно и объект может обидеться.
Бесплатные антивирусы такого модуля не имеют.
Коммерческие программы учёта и ограничения на то и коммерческие.
Хостс умеет делать то, что надо, но наоборот. Запрещая по одной записи.

Всё? Глына? Какие ещё есть принципиально новые идеи?

Мне уже тоже интересно.
Вот есть у меня домен (и KSC в нём есть, и в ДНС-сервере я всякое разное блокирую) а не сторонними программами и не на стороне контроллера или шлюза я такое без геморроя заблокировать не сумею, получается?

0

@KDE777

Вот поэтому я вам сразу и написал, что с вашим подходом помогут только деньги.

Т.е. идите к тому кто вам поставил задачу ограничить доступ и объясните:

Решение 1 - купить лицензии на Kaspersky Endpoint Security (или подобное решение)
Решение 2 - взять на работу специалиста с зп в 3-4 раза выше чем у вас и тогда уверяю, что даже встроенными средствами (тем более уже есть централизованное управление через AD) он решит эту задачу, пока вы будете "собирать из мусора комп с линуксом, чтоб чистить флешки"

А из "Решения 2" есть ещё и вывод - лично вам заняться тщательным изучение администрирования Windows Server, Active Directory и просто клиентских версий Windows и тогда GPO внезапно перестанет быть "гемороем", а руководства по настройке брандмауэра Windows "одной водой"

1

@Karen87

Запретить доступ ко всем сайтам. Большинство из них будет недоступно при блокировке этих портов
Находясь в доменной сети с настроенной политикой безопасности Вы ничего не организуете.
А может стоит попробовать напрячься немного и понять как он работает? Или как работает GPO? А если не хочется понимать, то пусть за деньги организации всё сделается "под ключ"
В случае некорректно настроенной политики безопасности, которая так же осуществляется через GPO к Вам придут не только по вопросам доступа в глобальную сеть

0

@KDE777

И какая политика в доменной сети запретит мне открыть в браузере http://site.com:8080

0

@AL_O

0

@KDE777

А вы тоже считает, что для решения задачи "закрыть доступ на сайты" достаточно закрыть "TCP 80 и 443", а всё остальное сделают не описанные здесь "политики безопасности в доменной сети"?

0

@Karen87

Добавление всех узлов в запрещённые и использование только IE

Добавлено через 3 минуты
Конечно с открытым портом 8080 и других Вы много чего сделаете.... Особенно, если все возможности настраивать систему заблокированы GPO

Добавлено через 1 минуту
А ещё можно индивидуально для таких ушлых оставить на рабочем столе только ярлык с необходимым сайтом

0

@AL_O

Вот кстати да - я слегка не понимаю - у автора нет времени покопаться в целевом компьютере и поэкспериментировать?
Ранее заявлялось что пользователь не переустановит браузер, что админских прав нет...
Снесите тот что есть, оставьте тот который вы хотите (да хоть эксплорер в котором работает мой костыль), подберите расширение-блокировщик (или прокси) скройте в настройках...

0

@KDE777

Кликаем по этому ярлыку, открывается браузер в адресной строке которого я набираю http://site.com:8080, а там web-доступ к rdp-сессии

А потом долго разбираемся почему большинству современных web-сервисов (пусть даже они развёрнуты в локальной сети) нужен Chrome

+ всё это вы изначально забыли объяснить автору темы, предлагая только: "На пограничной с Интернетом железке заблокируйте TCP 80 и 443, добавив исключение", а во вторых, по моему, вы всё это предлагаете сделать, что бы обосновать правильность изначально странного решения - deny TCP 80 и 443, вместо простого deny all

0

@Karen87

Не наберёте, будет скрыта
Озвучьте сервисы, которые не работают в IE11?

Добавлено через 2 минуты
Вы отрицаете правильность того, что если будут заблокированы эти порты, то доступ к 90% сайтов заблокирован не будет? Я не беру Ваши ухищрения с прокси и прочими прелестями, позволяющими обходить блокировки ибо всё это блочится и скрывается вплоть до пустого рабочего стола

0