Configurazione Proxy/DNS per controllo contenuti

[carlo74]

Salve a tutti.
Spero di fare cosa gradita a molti con questo post/guida. Utilizzo IPFire da più di 10 anni, solo per uso casalingo, travandomici molto bene.
Sono arrivato ad un punto cieco e non so se quello che ho fatto è giusto al 100%.
Dato che ho bisogno di un "parental control" nella mia rete, ho impostato i parametri nelle varie sezioni, ma ultimamente vedo che il filtro web e il DNS non funzionano adeguatamente.
Poi ho bisogno di capire se le mie richieste in https sono filtrate oppure no: avrei bisogno che, oltre a http venga filtrato anche https. Questo perchè ho bisogno di uno stretto controllo sui contenuti "adult" all'interno del mio nucluo familiare.
Qui sotto invio un paio di screenshot del mio ipfire. Spero che mi riusciate a capire.

1 - Qui i parametri della mia rete. Ipfire sotto un router internet.
Non puoi visualizzare questo allegato.

2 - NIC: ho lasciato tutto di default. OK?
Non puoi visualizzare questo allegato.

3 - DNS: ho inserito i 3 principali DNS "worldwide" e attivato safesearch ... OK? Oppure inserire altri DNS "Family" come OpenDNS e/o Norton Family?
Non puoi visualizzare questo allegato.

4 - Proxy: Transparent ok? Filtro URL su http OK?
Non puoi visualizzare questo allegato.

5 - Filtri URL: in base ai contenuti, ho poi inserito una lista che si aggiorna mensilmente, ma credo solo per HTTP e NON HTTPS.
Non puoi visualizzare questo allegato.

6 - DHCP: DNS primario la stessa macchina con ipfire, DNS secondario OpenDNS con filtro famiglia. OK?
Non puoi visualizzare questo allegato.

Grazie
Carlo   

[umby]

Ciao Carlo,
in riferimento alla tua domanda è necessario verificare alcune impostazioni
la prima verifica sul proxy nella casella "Porte di destinazione" se è presente oltre alla porta 80 anche la 443
se non fosse cosi inseriscila.
una volta fatto questo e riavviato il proxy i siti che sono in Blacklist non dovrebbero essere visualizzati indifferentemente se sono in http oppure in https
facci sapere se dovresti avere ancora problemi in quel caso ci servono maggiori informazioni
Umby

[carlo74]

Porta di destinazione verificata e correttamente inserita come qui sotto
Non puoi visualizzare questo allegato.
l grosso problema è che sulla porta 80 il proxy entra e sulla porta 443 NO.
Faccio un esempio:
se sulla barra degli indirizzi scrivo "p_o_r_n_h_u_b.com" ora tutti i browser vanno in automatico sulla 443 e NON filtra.
Poi se tolgo la "s" di http entra il proxy web sulla porta 80 con il giusto messaggio.

[umby]

ciao Carlo, sinceramente non capisco cosa non funzioni, anche io ho la stessa tua configurazione in casa, da me funziona perfettamente non fa differenza se il sito è in http oppure https
Ti chiedo di fare una prova per capire meglio, se dentro il filtro url inserisci in "Blacklist personalizzata" un sito, per esempio google.com (proprio come lo scritto io) riesci andare a navigare il sito ?
perché l'unica cosa che mi viene in mente ma dovrei indagare e vedere come è fatto il database
che sorgente usi come database dei filtri?

[ryuw]

Salve ho visto che come dns nelle prime schermate hai messo google pe quad 9 prova i DNS della OpenDNS family che hanno già restrizioni per siti hot,..ecc 208.67.222.123,... sia come dns del firewall sia come principale per la rete lan(nella tua schermata è solo come secondario) non solo come secondario, già fanno molto per i contenuti protetti. Poi se ipfire non ti soddisfa potresti affiancargli un pc o raspberry(lowcost) con pihole (pi-hole.net/) in cui caricare in aggiunta, per maggiori blocchi, le liste che puoi prendere in giro da ublock origini e vari adblock ottimizzando per il tuo utilizzo una blacklist tarata sul tuo utilizzo ondevitare che blocchi falsi-positivi.

[carlo74]

Devo fare altri approfondimenti, ho provato come hai detto tu @umby ed effettivamente funziona mettendo google.com (sul pc fisso mi ci va sempre sul sito ... non so il perchè - forse la cache ... ma ho provato 2 browser), ma sullo smartphone mi blocca e vedo che sulla barra degli indirizzi mi mette 0.0.0.0.
Come vedi qui sotto la lista è aggiornata mensilmente ... sbaglio?
Forse sarebbe opportuno cancellare il database di blacklist e cominciare daccapo. (compreso squid)
per @ryuw: ho visto pi-hole, molto interessante, ma volevo un prodotto all-in-one .... chissà, devo trovare un secondo raspberry.
Non puoi visualizzare questo allegato.

[umby]

Ciao Carlo
credo di aver capito dove nasce il problema, nella pagina di configurazione del proxy devi renderlo non trasparente

il filtro url non puo funziona con un proxy trasparente

[carlo74]

Grazie umby
ho provato come hai detto te, ho tolto la spunta da "non trasparente", funziona !! ma non posso andare su ogni client a configurare l'indirizzo del proxy .... e i tablet/cellulari?
Devo provare altre alternative, ancora non ho provato a resettare la configurazione di ipfire ... proverò nei prossimi giorni.
Grazie

[sergio70]

Mi aggancio a questo post se pur datato (inutile aprirne uno nuovo) per chiedervi una mano a capire come mai non mi funziona il controllo dei contenuti
Ho la versione 2.27 installata, ho abilitato il web proxy su green e attivato la modalità trasparente, quindi ho abilitato il Filtro URL e riavviato e salvato il WebProxy
Poi sono andato su "Filtro URL", aggiornato la lista e riavviato.
Ho poi spuntato le categorie che volevo bloccare d eseguito un test URL a carattere porno ma purtroppo non viene bloccato.

Ho anche provato ad abiliatare la Black List Personalizzata inserendo a sx e dx il dominio interessato (www.dominio.etc)
Anche in questo caso puntando direttamente all'url, non viene bloccato.

Ho quendi seguito una guida per Additional DHCP options ma ancora niente.
Cancellato la cache e riavviato il brower, ancora niente
Usato un altro browser, ancora niente

Che cosa mi sfugge?
Grazie

[sergio70]

Dopo aver scritto il post ho fatto un altro test e mi sono accorto che il problema c'è solo con il browser di Chrome ed Edge (non ho provato con Firefox)
Ho provato a navigare con Internet Explorer e la pagina a contenuto HARD viene correttamente bloccata

[walter]

Dipende anche da come ė strutturata la tua rete. Normalmente il proxy sta tra il router ed il resto della rete

[walter]

Dipende anche da come ė strutturata la tua rete. Normalmente il proxy sta tra il router ed il resto della rete
Walter

[umby]

ciao Sergio l'errore che fai te lo fanno tutti tera cui il sottoscritto, il filtro URL è abbinato al proxy per tanto in modalità trasparente è in grado di verificare solo i siti in http e non in https.
Per far si che filtri anche il traffico https devi fare delle modifiche alla configurazione del firewall, ti consiglio di seguire la guida da me realizzata reperibile a questo link
www.ipfireitalia.it/index.php/content_pa...-con-siti-https.html
oppure in inglese
wiki.ipfire.org/configuration/network/proxy/extend/wpad
Ti anticipo che il sistema indicato sulla guida è funzionante per Chrome e Edge se utilizzi Firefox e per alcuni dispositivi mobili dovrai intervenire sulle regole del firewall in modo da far transitare il traffico https sul proxy
se ti serve altri chiarimenti siamo qui

[sergio70]

Dipende anche da come ė strutturata la tua rete. Normalmente il proxy sta tra il router ed il resto della rete
Walter

Certo, la mia RED è collegata al router e la Green alla LAN

ciao Sergio l'errore che fai te lo fanno tutti tera cui il sottoscritto, il filtro URL è abbinato al proxy per tanto in modalità trasparente è in grado di verificare solo i siti in http e non in https.
Per far si che filtri anche il traffico https devi fare delle modifiche alla configurazione del firewall, ti consiglio di seguire la guida da me realizzata reperibile a questo link
www.ipfireitalia.it/index.php/content_pa...-con-siti-https.html
oppure in inglese
wiki.ipfire.org/configuration/network/proxy/extend/wpad
Ti anticipo che il sistema indicato sulla guida è funzionante per Chrome e Edge se utilizzi Firefox e per alcuni dispositivi mobili dovrai intervenire sulle regole del firewall in modo da far transitare il traffico https sul proxy
se ti serve altri chiarimenti siamo qui

Grazie umby per la guida. Prima di fare il post (forse non lo avevo segnalato bene) avevo seguito anche la tua guida che avevo trovato. Infatti prima di postare ho fatto delle ricerche e dopo aver provato le varie soluzioni (compresa la tua), ho fatto il POST ma non ho risolto e continuo a visualizzare url appartenenti a categorie che invece dovrebbero essere bloccate

[umby]

ciao Sergio
di solito se esegui la modifica da me indicata funziona
non funziona come da me gia detto se usi Firefox ed su alcuni dispositivi mobili in quel caso dovrai eseguire altre modifiche
usi un pc oppure un dispositivo mobile che sistema operativo usi
che programma usi per navigare
comunque ti invito a questo punto di vedere il manuale sul sito della comminuta internazionale ed applicare le ulteriori modifiche indicate sul documento
wiki.ipfire.org/configuration/network/proxy/extend/wpad