Как закрыть инет пользователям с исключением

Здравствуйте товарищи!
Суть проблемы: есть у меня склад, ну достали они всякой фигней заниматься вместо работы. Хочу 2м пользователям закрыть весь инет и оставить только почту по вэбморде

Это реально реализовать?
а то я пробовал играться с фильтром содержимого:
Создал 2 правила в первом mail.yandex.ru открыт доступ, во втором все закрыто(думал получится исключить почту).
При расположении правил 1е с открытым доступом а 2е с закрытым - закрывает все.
При расположении правил 1е с закрытием а 2е с открытием пишет ошибку первое правило перекрывает второе правило.

Пробовал в правилах трафика подобную схему - тоже не получается.

Может я вообще не в те дебри полез?

Вот при таком варианте фильтрации содержимого после включения второго правила с запретом перестает трудиться все абсолютно.

Создаёшь группу юзеров - включаешь в неё ьех, кому разрешён инет. Созлаёшь два правила - 1. Разрешение всем и вся только почты по вебморде - там уже или по спискам айпишников или прям в правиле нужные вобьёшь в назначении. 2. Разрешение первой группе остального инета.

Разрешите уточнить.
на данный момент у меня есть несколько групп по отделам и группа все.
Прокси прозрачный.

мне нужно группу склад ограничить ко всему интернету.
я создал группу URL в которую впихнул сайт яндекса с разными вариациями (*.yandex.ru; mail.yandex.ru и т.д. с https и http)

Создал правило:
обноруженное содержимое: группа URL Yandex; Источник: любой; Действие: Разрешить.

Создал второе правило:
обноруженное содержимое: любой; Источник: группа пользователей Все(вней нет пользователей со склада); Действие: Разрешить.


Я вас правильно понял?

Следом возникает вопрос, а как же тогда закроется все остальное?

В Керио по умолчанию всё закрыто и открываешь ты своими правилами то, что тебе нужно. Ты открыл для всех только Яндекс (Организация, запрещённая вна территории Украины), открыл для группы, в которую не включены проштрафившиеся юзеры, остальной инет - всё - если других правил, что-либо разрешающих, ты не сделал, никто ни куда больше и не пролезет.

Цитата:

Сообщение от Mr.Torture

остальной инет - всё - если других правил, что-либо разрешающих, ты не сделал, никто ни куда больше и не пролезет.

У меня базовое правило было, его получается надо грохнуть?

Исесна

Печаль-беда...
При выборе данного правила нет возможности что либо с ним сделать
не изменить, не удалить, ничего

Единственное неизменимое и неудалимое праило в Керио - "Блокировать прочий трафик" - в самом низу. Все остальные правила редатируются и удаляются.

Цитата:

Сообщение от Mr.Torture

Единственное неизменимое и неудалимое праило в Керио - "Блокировать прочий трафик" - в самом низу. Все остальные правила редатируются и удаляются.

Да, данное правило в самом низу, только почему-то оно не запрещающее а разрешающее

Сделай прям над ним любой-любой-запретить.

Цитата:

Сообщение от Mr.Torture

Сделай прям над ним любой-любой-запретить.

Вот так?

При таком исполнении у всех обрезается доступ в инет без исключений.
Думаю проще будет ограничить доступ к музыке, соц сетям, видео, онлайн радио и прочей фиговине...

Не видя всех ТП трудно о чём-то судить - Ванге не родня.

Могу выложить скрины всех абсолютно правил фильтрации содержимого.
Правда там нет ничего сверх естественного.

Грохнул правила с которыми пытались играцо для склада.

Я говорил не о правилах фильтрации, а о правилах трафика.

Так а в правилах трафика не возможно указать URL группу.

Скрин прикрепил с правилами

Так значит правила ты создавал в фиьтрации, а не в трафике )))))
В правиле "Доступ к интернету (NAT)" источник заменяешь на твою группу юзеров, которым разрешено всё. Рядом с ним добавляешь правило - в источнике всё то, что у тебя сейчас в правиле "Доступ к интернету (NAT)", в назначении или заранее заготовленный список айпишников Яндекса (Организация, запрещённая вна территории Украины) или прям в правиле их все вобьёшь в назначении - это уже как тебе удобне.

Цитата:

Сообщение от Mr.Torture

Так значит правила ты создавал в фиьтрации, а не в трафике )))))
В правиле "Доступ к интернету (NAT)" источник заменяешь на твою группу юзеров, которым разрешено всё. Рядом с ним добавляешь правило - в источнике всё то, что у тебя сейчас в правиле "Доступ к интернету (NAT)", в назначении или заранее заготовленный список айпишников Яндекса (Организация, запрещённая вна территории Украины) или прям в правиле их все вобьёшь в назначении - это уже как тебе удобне.

Сейчас оттестирую и отпишусь

Результат:
50% пользователей совсем лишились интернета
из лишившихся только 1 пользователь был не заведенным.
Со склада 1 потерял совсем инет, а второй остался с не закрытым инетом
а если я закрою все на складе, оставлю порты почтовые и настрою почтовые клиенты, будет, наверно, проще? или правило с полным закрытием будет перекрывать правило с открытими почтовыми портами?