Форум по информационной безопасности: обсуждение продуктов Смарт-Софт

User

04.09.2013 17:24:00

Тестирую на новом железе актуальную сборку 3.0.0.803. WinSRV 2008 SP2. Никаким способом не получается заблокировать доступ к сабжевому ресурсу. Форум пересмотрел несколько раз, все ответы на похожие вопросы перепробовал. В лучшем случае начинает фильтровать, через полчаса опять есть доступ.
Возможно ли железобетонно заблокировать доступ по https к vk.com и facebook.com так, чтобы не потерять доступ к остальным ресурсам по 443 порту?

VladimirK Administrator Сообщений: 11855 Регистрация: 20.02.2021	#2 0 04.09.2013 18:13:00 Опишите, как создаёте правило? Как идёт трафик, прокси или NAT?

kamlay

User

04.09.2013 18:44:00

В Объекты - IP сети завожу два списка. vk.com, содержащий vc.com, vk.me и vkontakte.ru. И facebook.com, содержащий fb.com, fb.me, facebook.com.
В правилах пользователя создаю соответственно два правила на запрет - используются соответствующие списки, протокол TCP/443. Добавляю эти правила пользователю.
Наличие или отсутствие галок "HTTP мимо прокси" на facebook не влияет никак - доступ не блокируется, на vk то блокируется, то нет. Т.е. доступ может заблокироваться, я отвлекаюсь на часок/другой, смотрю, опять фильтр не работает.

kamlay User	#4 0 04.09.2013 18:52:00 Если отключить NAT, то нет доступа по 443 порту на другие ресурсы.

VladimirK Administrator Сообщений: 11855 Регистрация: 20.02.2021	#5 0 04.09.2013 18:56:00 Пропингуйте с клиента дуступный сайт. В ответе Вы увидите IP адрес. Внесите его в Ваш список IP сетей.

kamlay

User

04.09.2013 18:58:00

Пропинговать Gmail, или Youtube, к которым нужен доступ по 443 порту? Например.
Или iCloud. Почта предприятия на домене Google, и количество их IP неисчислимо. Также как число зеркал у Youtube.
Компьюьеры у юзеров как под Windows, так и под OS X, не говоря об устройствах под iOS, Android и Blackberry.

kamlay2013-09-04 19:28:57

DmitryPC

Administrator

Сообщений: 7065 Регистрация: 02.03.2021

05.09.2013 08:12:00

Цитата

в Вашем правиле нет смысла указывать порт. укажите просто ип список днс имен(в настройках ип списка загляните на вкладку днс и сделайте минимальный период проверки).

kamlay

User

05.09.2013 13:25:00

Спасибо, но период проверки 1 час и ошибку 1 минуту я поставил сразу. И начал с того, что не стал ограничиваться 443 портом. Просто на какое то время ресурсы заблокировались после того, как я ограничил фильтрацию только 443 портом.
Не помогает, увы!

DmitryPC

Administrator

Сообщений: 7065 Регистрация: 02.03.2021

05.09.2013 13:30:00

в таком случае, выясняйте сети сервисов и блокируйте целые сети. для любителей развлечений, заблокированные попутно, ресурсы скорее вовсе не важны..

кроме прочего - определите для себя: как работает пользователь - через прокси или для него нет проксирования.. есть вероятность того, что Вы просто ошиблись с порядком разрешающих\запрещающих фильтров на пользователя\группу пользователей. чудес не бывает.

DmitryPC2013-09-05 13:33:12

kamlay User	#10 0 05.09.2013 13:31:00 Вы понимаете, о чем Вы говорите? Почитайте выше. Ответ на дополнение к Вашему комментарию. Пробная исталляция пока что чистая, в системе заведен только один пользователь - я. На группу правила не назначены. Работающая машина с Traffic Inspector на сборке 2,0,1,721 с обязанностями тоже перестала справляться после перехода соцсетей на защищенное соединение. А в свете последних событий, когда большинство бродкастеров контента в сети переходят на защищенное соединение, невозможность заблокировать доступ к некоторым ресурсам по 443 порту чертовски неприятна и ставит под вопрос целесообразность использования программы, которая не в состоянии это сделать! kamlay2013-09-05 13:47:07

Форум компании Смарт-Софт