Webseite sperren mit Hosts-Datei, aber.

[Frank (Gast)]

Ich soll im Auftrage eines Firmenchefs bestimmet Webseiten für die 
Mitarbeiter sperren (z.B. Facebook, Youtube, Yappi usw.). Diese 
Mitarbeiter arbeiten alle am selben Terminalserver. Mir fiehl da spontan 
die Hosts-Datei ein. Allerdings fände ich es eleganter, wenn die 
gesperrten Webseiten nicht einfach nur nicht erscheinen würden, sondern 
wenn es eine verständliche Meldung dazu geben würde (z.B. per Webseite).

Das Aufsetzen eines extra Webservers oder DNS kommt aus Aufwandsgründen 
nicht infrage.

Auf selbigem Server läuft auch ein Apache zu Testzwecken und fürs 
Intranet. Aber wie trage ich in die Hosts-Datei nicht nur die 
alternative IP (127.0.0.1) sondern auch noch irgend ein Verzeichnis ein? 
Denn die "Abgelenkten" sollen ja nicht auf der Startseite von 
irgendwelchen Tests landen ... ???

[Jens G. (jensig)]

>Das Aufsetzen eines extra Webservers oder DNS kommt aus Aufwandsgründen
>nicht infrage.

Dann gibt's auch keine elegante und verständliche Meldung ...

[Bernd (Gast)]

Man liest viel raus, vielleicht wäre ein Windows AD Kurs mal was für 
dich wenn du die Arbeit schon machen sollst.

[Andreas B. (andreasb)]

http://httpd.apache.org/docs/2.2/vhosts/examples.html

Ansonsten Proxyserver... Aber das ist wohl auch zuviel Aufwand...



mfg Andreas

[Icke ®. (49636b65)]

Frank schrieb:

> Das Aufsetzen eines extra Webservers oder DNS kommt aus Aufwandsgründen
> nicht infrage.

Das ist kein Aufwand. Ein Proxy für kleine Arbeitsgruppen benötigt wenig 
Ressourcen, kann man auf einem ausgedienten PC installieren oder 
notfalls in einer VM. Minimalistisches Debian plus Squid plus SquidGuard 
ergeben eine vernünftige Lösung, die zudem einfach über Blacklists zu 
pflegen ist.
Wahrscheinlich meinst du eher den Einarbeitungsaufwand. Aber wenn du 
dazu nicht bereit bist, sollte jemand anders den Job erledigen.

[oszi40 (Gast)]

> eine vernünftige Lösung, die zudem einfach über Blacklists zu
> pflegen ist.

Findige Leute finden immer ein Loch im Zaun. Man sollte stets Aufwand 
und Nutzen im Verhältnis sehen. Offensichtliche Sachen sperren ist zwar 
möglich, könnte aber ungewollt auch Nebenwirkungen auf andere 
Anwendungen haben.

[Purzel H. (hacky)]

Sowas sah ich auch mal. Dann hatten die Mitarbeiter private Modems in 
der Schublade, und tauschten das Telephon temporaer gegen das Modem aus 
...

[Tröte (Gast)]

Komplett blocken geht nicht, da gibts immer Bastellösungen.
Aus meiner Sicht ist DNS hier noch die hübscheste Methode
mit wenig Aufwand. Da könnt man dann mit einer anderen IP
als 127.0.0.1 auch auf eine Ersatzseite umleiten...
Alles was man dafür braucht sind rudimentäre Netzwerk-Kenntnisse
und eine Linux-Kiste (da reicht schon ein Router).

[Uhu U. (uhu)]

Elf von Dreizehn schrieb:
> Sowas sah ich auch mal. Dann hatten die Mitarbeiter private Modems in
> der Schublade, und tauschten das Telephon temporaer gegen das Modem aus

Das setzt aber einen analogen Telefonanschluß voraus.

[oszi40 (Gast)]

DNS verbiegen heißt Zensur oder schädliche Nebenwirkungen. Zum Beispiel 
wurde "xs4all" vor Jahren auch mal verboten. Dumm war nur, daß genau 
unter dieser Adresse gleichzeitig eine wichtige Transistordatenbank lag, 
was dann einigen Ärger einbrachte ...

[Tröte (Gast)]

oszi40 schrieb:
> DNS verbiegen heißt Zensur oder schädliche Nebenwirkungen.

Es wurde nach eine praktikablen Lösung gefragt, nicht nach den 
moralischen Hintergründen.

oszi40 schrieb:
> was dann einigen Ärger einbrachte

Implementierungsdetails.

[fonsana (Gast)]

Uhu Uhuhu schrieb:
> Das setzt aber einen analogen Telefonanschluß voraus.

OK, dann eben einen UMTS-Stick.

fonsana

[Uhu U. (uhu)]

fonsana schrieb:
> OK, dann eben einen UMTS-Stick.

Dem kann man durch Sperren des USB-Systems vorbeugen.

[Icke ®. (49636b65)]

Tröte schrieb:
> Komplett blocken geht nicht, da gibts immer Bastellösungen.

Freilich geht das. Proxy und Redirector.

Icke ®. schrieb:
> Squid plus SquidGuard

Außerdem Surfen übers Standardgateway per Firewall verbieten und die 
Userrechte mit Gruppenrichtlinien einschränken, sodaß die nicht tricksen 
können. Aus die Maus.

> Aus meiner Sicht ist DNS hier noch die hübscheste Methode
> mit wenig Aufwand.

Nein, das ist quick and dirty. Genau genommen noch nicht mal quick, denn 
die Verwaltung ist bei vielen URLs eher aufwendig. Für SquidGuard kann 
man vorgefertigte Blacklists im Textformat verwenden und nach Belieben 
eigene Einträge hinzufügen oder löschen.

[Tröte (Gast)]

Icke ®. schrieb:
> Freilich geht das. Proxy und Redirector.

Da kann man immer noch über nen DNS-Tunnel frei vorbeisurfen. Aber wie 
schon gesagt, irgendwie geht es immer. Oder willst du den Mitarbeitern 
ihre Handys einsammeln?

Icke ®. schrieb:
> Aus die Maus.

...denkt der beschränkte Admin.

Icke ®. schrieb:
> Nein, das ist quick and dirty. Genau genommen noch nicht mal quick, denn
> die Verwaltung ist bei vielen URLs eher aufwendig.

Kommt drauf an, über was für eine Infrastruktur wir hier reden. Ich 
denke nicht, dass der TO in einem Betrieb mit mehr als 20 Mitarbeitern 
sitzt, sonst würde man ihm diesen Job nicht zuteilen. Die Frage des TO 
hörte sich nach sehr wenigen URLs an.

[oszi40 (Gast)]

Je mehr Löcher man zustopft, desto findiger werden die Leute. Die 
besprochenen Lösungen hier mögen für manche Hausfrau eine große Hürde 
sein, für Proxyfreunde und PC-Bummi-Leser eher weniger.

[Icke ®. (49636b65)]

Tröte schrieb:

> Oder willst du den Mitarbeitern ihre Handys einsammeln?

Es geht um einen Terminalserver im Speziellen...

Frank schrieb:
> Diese Mitarbeiter arbeiten alle am selben Terminalserver.

...und nicht um die privaten Geräte der Mitarbeiter. Wenn der Admin bei 
Verstand ist, verbietet er den Usern eines TS sowieso alles, was sie 
nicht unbedingt zum Arbeiten brauchen. Mit GPOs kann man da schon viel 
machen. Wenn Surfen nur über HTTP-Proxy erlaubt ist, fallen diverse 
Tunnel schon mal aus oder lassen sich zumindest nachweisen. Für maximale 
Sicherheit arbeitet man eben nicht mit Black- sondern mit Whitelists. 
Ja, das ist Administrationsaufwand und schränkt die User sowie evtl. die 
Produktivität ein. Deswegen muß vorher mit der Geschäftsleitung 
abgeklärt werden, ob sie Sicherheit oder Freiheit für die User wollen. 
Ent- oder weder, es gibt keinen goldenen Mittelweg. Gewiß werden ganz 
spitzfindige Leute dennoch irgendwo ein Loch entdecken. Für diese gibt 
es dann noch den Weg arbeitsrechtlicher Konsequenzen. Auch dabei hilft 
ein Proxy mit seinen Logs.

[oszi40 (Gast)]

Icke ®. schrieb:
> mit seinen Logs

Irgendwann platzt der Dein Proxy wegen der vielen Logs :-)

[loller (Gast)]

LOL
Also wie das im Vertrag geregelt ist bleibt dem Arbeitgeber vorbehalten.
Wenn auf der Kiste schon ein apache läuft einfach eine passende 
HTML-Seite mit einem bestimmten Port verdüdeln und das dann in die hosts 
eintragen.
QuicknDirty :-P

[Icke ®. (49636b65)]

oszi40 schrieb:

> Irgendwann platzt der Dein Proxy wegen der vielen Logs :-)

Ja, wenn ich nicht aufräume, vielleicht in 100 Jahren.

[Jens G. (jensig)]

Kommt drauf an, wie fleißig die Leute hacken ;-)

[A. $. (mikronom)]

Tröte schrieb:
> oszi40 schrieb:
>> DNS verbiegen heißt Zensur oder schädliche Nebenwirkungen.
>
> Es wurde nach eine praktikablen Lösung gefragt, nicht nach den
> moralischen Hintergründen.

Ich würde zuerst einmal mit den Mitarbeitern reden. Nicht einzeln, 
sondern im Team. Also der Chef sagt wie es jetzt ist, wie er es 
zukünftig haben will und was passiert wenn das auf freiwilliger Basis 
nicht so funktioniert.

[Frank (Gast)]

Ui ... das ist ja eine richtig heftige Diskussion. Es geht in der tat um 
eine kleine Biotech-Firma, bei der es den Chef einfach stört, dass bei 
den meist jungen Laboranten z.B. ständig Facebook offen ist. Generell 
soll der Zugang zum Internet aber möglichst weit offen bleiben, damit 
z.B. Recherchen gemacht werden können.

Der Terminalserver ist der einzige Server, der ständig läuft, neben 
einem QNAP-NAS. Als DSL-Router und Telefonanlage kommt ein Draytek 2820 
IPPBX zum Einsatz - also nirgendwo Platz für einen extra DNS oder Proxy. 
Es handelt sich auch nicht um "Hacker" und sie haben nur Benutzerrechte. 
In sofern würde die Hosts-Datei vollkommen ausreichen, wäre da nicht der 
Wunsch nach einer Mitteilung per Ersatzseite ...

Vlt. findet sich ja irgendwo noch ein Stoppschild von Zensursula im Web 
:-)

[Michael M. (do7tla)]

Folgendes in die Hosts und es hat sich ausgefacesbookt:

# Globales Blocken von Facebook

127.0.0.1 66.220.153.13 # Haupt ip von Facebook
127.0.0.1 69.171.234.7  # FB External Hit
127.0.0.1 69.63.189.76  # Apps Facebook
127.0.0.1 on.fb.me
127.0.0.1 on.fb.com

127.0.0.1 de-de.facebook.nl
127.0.0.1 de-de.facebook.de
127.0.0.1 de-de.facebook.net
127.0.0.1 de-de.facebook.com
127.0.0.1 de-de.facebook.com.au

127.0.0.1 www.de-de.facebook.nl
127.0.0.1 www.de-de.facebook.de
127.0.0.1 www.de-de.facebook.net
127.0.0.1 www.de-de.facebook.com
127.0.0.1 www.de-de.facebook.com.au

127.0.0.1 nl-nl.facebook.nl
127.0.0.1 nl-nl.facebook.de
127.0.0.1 nl-nl.facebook.net
127.0.0.1 nl-nl.facebook.com
127.0.0.1 nl-nl.facebook.com.au

127.0.0.1 www.nl-nl.facebook.nl
127.0.0.1 www.nl-nl.facebook.de
127.0.0.1 www.nl-nl.facebook.net
127.0.0.1 www.nl-nl.facebook.com
127.0.0.1 www.nl-nl.facebook.com.au

127.0.0.1 www.facebook.nl
127.0.0.1 www.facebook.de
127.0.0.1 www.facebook.net
127.0.0.1 www.facebook.com
127.0.0.1 www.facebook.com.au

127.0.0.1 facebook.nl
127.0.0.1 facebook.de
127.0.0.1 facebook.net
127.0.0.1 facebook.com
127.0.0.1 facebook.com.au

127.0.0.1 m.facebook.nl
127.0.0.1 m.facebook.de
127.0.0.1 m.facebook.net
127.0.0.1 m.facebook.com
127.0.0.1 m.facebook.com.au

127.0.0.1 ok.facebook.nl
127.0.0.1 ok.facebook.de
127.0.0.1 ok.facebook.net
127.0.0.1 ok.facebook.com
127.0.0.1 ok.facebook.com.au

127.0.0.1 www.ok.facebook.nl
127.0.0.1 www.ok.facebook.de
127.0.0.1 www.ok.facebook.net
127.0.0.1 www.ok.facebook.com
127.0.0.1 www.ok.facebook.com.au

127.0.0.1 a.ok.facebook.nl
127.0.0.1 a.ok.facebook.de
127.0.0.1 a.ok.facebook.net
127.0.0.1 a.ok.facebook.com
127.0.0.1 a.ok.facebook.com.au

127.0.0.1 www.a.ok.facebook.nl
127.0.0.1 www.a.ok.facebook.de
127.0.0.1 www.a.ok.facebook.net
127.0.0.1 www.a.ok.facebook.com
127.0.0.1 www.a.ok.facebook.com.au

127.0.0.1 login.facebook.nl
127.0.0.1 login.facebook.de
127.0.0.1 login.facebook.net
127.0.0.1 login.facebook.com
127.0.0.1 login.facebook.com.au

127.0.0.1 www.login.facebook.nl
127.0.0.1 www.login.facebook.de
127.0.0.1 www.login.facebook.net
127.0.0.1 www.login.facebook.com
127.0.0.1 www.login.facebook.com.au

127.0.0.1 www-10-01-snc2.facebook.nl
127.0.0.1 www-11-01-snc2.facebook.nl
127.0.0.1 www-10-03-ash1.facebook.nl
127.0.0.1 www-12-08-ash1.facebook.nl
127.0.0.1 www-13-08-ash1.facebook.nl

127.0.0.1 www-10-01-snc2.facebook.de
127.0.0.1 www-11-01-snc2.facebook.de
127.0.0.1 www-10-03-ash1.facebook.de
127.0.0.1 www-12-08-ash1.facebook.de
127.0.0.1 www-13-08-ash1.facebook.de

127.0.0.1 www-10-01-snc2.facebook.net
127.0.0.1 www-11-01-snc2.facebook.net
127.0.0.1 www-10-03-ash1.facebook.net
127.0.0.1 www-12-08-ash1.facebook.net
127.0.0.1 www-13-08-ash1.facebook.net

127.0.0.1 www-10-01-snc2.facebook.com
127.0.0.1 www-11-01-snc2.facebook.com
127.0.0.1 www-10-03-ash1.facebook.com
127.0.0.1 www-12-08-ash1.facebook.com
127.0.0.1 www-13-08-ash1.facebook.com

127.0.0.1 www-10-01-snc2.facebook.com.au
127.0.0.1 www-11-01-snc2.facebook.com.au
127.0.0.1 www-10-03-ash1.facebook.com.au
127.0.0.1 www-12-08-ash1.facebook.com.au
127.0.0.1 www-13-08-ash1.facebook.com.au

127.0.0.1 static.ak.fbcdn.nl
127.0.0.1 static.ak.fbcdn.de
127.0.0.1 static.ak.fbcdn.net
127.0.0.1 static.ak.fbcdn.com
127.0.0.1 static.ak.fbcdn.com.au

127.0.0.1 www.static.ak.fbcdn.nl
127.0.0.1 www.static.ak.fbcdn.de
127.0.0.1 www.static.ak.fbcdn.net
127.0.0.1 www.static.ak.fbcdn.com
127.0.0.1 www.static.ak.fbcdn.com.au

127.0.0.1 login.facebook.nl
127.0.0.1 login.facebook.de
127.0.0.1 login.facebook.net
127.0.0.1 login.facebook.com
127.0.0.1 login.facebook.com.au

127.0.0.1 www.login.facebook.nl
127.0.0.1 www.login.facebook.de
127.0.0.1 www.login.facebook.net
127.0.0.1 www.login.facebook.com
127.0.0.1 www.login.facebook.com.au

127.0.0.1 login.facebook.com.nl
127.0.0.1 login.facebook.com.de
127.0.0.1 login.facebook.com.net
127.0.0.1 login.facebook.com.com
127.0.0.1 login.facebook.com.com.au

127.0.0.1 fbcdn.nl
127.0.0.1 fbcdn.de
127.0.0.1 fbcdn.net
127.0.0.1 fbcdn.com
127.0.0.1 fbcdn.com.au

127.0.0.1 www.fbcdn.nl
127.0.0.1 www.fbcdn.de
127.0.0.1 www.fbcdn.net
127.0.0.1 www.fbcdn.com
127.0.0.1 www.fbcdn.com.au

127.0.0.1 ads.ak.facebook.nl
127.0.0.1 ads.ak.facebook.de
127.0.0.1 ads.ak.facebook.net
127.0.0.1 ads.ak.facebook.com
127.0.0.1 ads.ak.facebook.com.au

127.0.0.1 www.ads.ak.facebook.nl
127.0.0.1 www.ads.ak.facebook.de
127.0.0.1 www.ads.ak.facebook.net
127.0.0.1 www.ads.ak.facebook.com
127.0.0.1 www.ads.ak.facebook.com.au

127.0.0.1 static.ak.connect.facebook.nl
127.0.0.1 static.ak.connect.facebook.de
127.0.0.1 static.ak.connect.facebook.net
127.0.0.1 static.ak.connect.facebook.com
127.0.0.1 static.ak.connect.facebook.com.au

127.0.0.1 www.static.ak.connect.facebook.nl
127.0.0.1 www.static.ak.connect.facebook.de
127.0.0.1 www.static.ak.connect.facebook.net
127.0.0.1 www.static.ak.connect.facebook.com
127.0.0.1 www.static.ak.connect.facebook.com.au

127.0.0.1 .facebook.com
127.0.0.1 nl.facebook.com
127.0.0.1 de.facebook.com
127.0.0.1 au.facebook.com
127.0.0.1 at.facebook.com
127.0.0.1 su.facebook.com
127.0.0.1 be.facebook.com
127.0.0.1 fr.facebook.com
127.0.0.1 dk.facebook.com
127.0.0.1 ru.facebook.com
127.0.0.1 ch.facebook.com

127.0.0.1 apps.facebook.nl
127.0.0.1 apps.facebook.de
127.0.0.1 apps.facebook.net
127.0.0.1 apps.facebook.com
127.0.0.1 apps.facebook.com.au

[Alex W. (a20q90)]

Frank schrieb:
> Ich soll im Auftrage eines Firmenchefs bestimmet Webseiten für die
> Mitarbeiter sperren (z.B. Facebook, Youtube, Yappi usw.). Diese
> Mitarbeiter arbeiten alle am selben Terminalserver. Mir fiehl da spontan

Wenn Du sehr bööhse wärst, könntest Du ein Script übergeben das bei 
Facebook die "Löschfunktion" des Accounts aufruft :-)

Ein Kunde von mir hat die Rechner so konfiguriert das beim Anstecken 
eines USB-Speichers erstmal der Inhalt gelöscht wird. Diese 
Vorsichtsmaßnahme wurde eingeführt damit keiner seiner Kunden 
versehendlich interne Firmendaten bekommt. Lustig wirds wenns private 
USB-Sticks mit Musik etc war...

PS:
Blocken ist quatsch! Sollte Facebook ein neuen Server öffnen, gehts 
wieder (bzw per Proxy). Whitelisting muss hier ausgeführt werden!

[Uhu U. (uhu)]

Alex W. schrieb:
> Blocken ist quatsch! Sollte Facebook ein neuen Server öffnen, gehts
> wieder (bzw per Proxy). Whitelisting muss hier ausgeführt werden!

Squid kann ganze Domains blocken - da bleibt von den vielen 
facebook-URLs nicht mehr viel übrig.