www.zeroshell.net

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

Salve a tutti,
Sto settando una macchina ZeroShell per un ambiente amministrativo su un dispositivo embedded a 4 porte LAN + WiFi.
Nella porta ETH01 ho settato un DHCP con range da 0.20 a 0.200 e questa rete (192.168.0.0) dovrebbe avere alcuni siti bloccati (Facebook, Instagram, ecc..).
Il mio problema ora è bloccare Youtube e Play/App Store (compresi i Download).
Purtroppo non so come fare e quindi chiedo aiuto.
Per bloccare Facebook e Instagram ho utilizzato delle stringhe per le chain di FORWARD e INPUT nel menù del Firewall.
Aspetto risposte, grazie a tutti.
-Pier

tiger · Registrato: 02/02/16 10:34 Messaggi: 431

che versione zs usi?

nel firewall ci sono le regole ndpi che servono per bloccare numerosi servizi fra cui facebook e apple...

partiamo da una cosa per volta

versione zs
elimina le regole vediamo di ricrearne da 0 le nuove con le regole ndpi

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

Ciao Tiger,
Innanzitutto ringrazio per la risposta.
Dopo aver installato la mia subscription key (zs 3.8.0) ho subto installato una nuova regola al firewall bloccando, tramite nDPI, Facebook, instagram, youtube, ecc...
Facebook.com è bloccato come anche l'app Facebook Lite ma non quella normale. Instagram rimane accessibile e funzionante e Whatsapp anche (apparte le immagini che quando arrivano non vengono scaricate).
Aspetto risposte.

tiger · Registrato: 02/02/16 10:34 Messaggi: 431

puoi fare uno screenshot di come hai bloccato le regole? prima di queste hai impostato altre regole?

altrimenti vediamo di sfruttare un servizio di opendns sempre tramite zs

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

Ciao Tiger,

Lascio in allegato l'URL dello screenshot fatto alla regola con nDPI.
http://imageshack.com/a/img922/7360/cUBQuC.png
ho provato con OpenDNS ma non sono riuscito già in passato.

tiger · Registrato: 02/02/16 10:34 Messaggi: 431

allora con opendns ti spiego come fare se nn funge con ndpi...

in primo luogo togli la porta 443 e lascia vuoto il campo,
ndpi deve poter analizzare anche una possibile chiamata alla porta 80 prima di un redirect alla 443

Metti la voce ALL in protocol matching,

in source perche hai dato quel range di ip?

elimina il range nn serve,
basta indicare la lan da esaminare se è eth01 lascia solo quella come voce

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

Il range di IP serve per applicare la regola solo su quegli IP.
Dopo le modifiche che hai suggerito continua a non fungere il blocco....
EDIT: La regola funziona con il Browser ma qando accedo all'Applicazione il blocco non si applica.

tiger · Registrato: 02/02/16 10:34 Messaggi: 431

mi fai screenshot?

hai fatto riavviare zs?

hai notato se dove fai le prove quel terminale rientra in quei ip?

puoi darmi dati di accesso remoto a zs per controllo?

edit:strano perchè l'app richiama cmq url di facebook come browser, eppoi ndpi ispeziona i pacchetti quindi a prescindere dovrebbe bloccarli.

non è che i terminali hanno qlc autorizzazione free?

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

Ho appena riavviato la macchina... controllo se funziona e ti faccio sapere.
Si, il dispositivo in questione rientra nel range di IP.
Dovrei riuscire a riconnettermi tra circa 2 ore e mezzo, quindi se mi rispondi potrò risponderti a quell'orario.

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

dopo aver riavviato la macchina ZS il problema persiste...
Mi chiedevo se dovesse cambiare qualcosa se usassi IP di categoria B in quanto i client connessi saranno più di 250...

tiger · Registrato: 02/02/16 10:34 Messaggi: 431

Nn cambierebbe nulla per il blocco

Ripeto va visto un Po la configurazione tutta.

Prova il blocco di un servizio per volta

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

Ho creato una regola per volta e pare che funzioni il tutto. Ringrazio per l'aiuto!
Ho utilizzato nDPI.
iIo ho un net balancer attaccato alla macchina ZS che rilascia un DHCP, questo protocollo può infastidire il DHCP di zs? oppure l'IP viene rilasciato solo dopo autenticazione?

tiger · Registrato: 02/02/16 10:34 Messaggi: 431

anche zs fa da net balancer,

zs rilascia ip dopo autentificazione wifi, o se si tratta di lan e ha dhcp suo attivo lo rilascia prima del cp

non credo dia fastidio

puoi fare un test se usi ndpi

siccome sembra che singolarmente vada il servizio,

prova a rimetetrli insieme ma stavolta separati da virgole

nel senso che ho notato che zs se copi piu di un servizio ci mette lo spazio fra un sevrizio e l'altro, tu prova a metetrci la virgola

tipo: facebook,twitter, etc

fammi sapere

Pier · Registrato: 09/10/17 11:10 Messaggi: 8

Ora che il servizio funziona correttamente lo lascio così, non voglio rischiare di incasinare tutto anche se elementare come questione...
Domani ho il montaggio della rete e ti farò sapere l'esito.
Ringrazio infinitamente per l'aiuto!