Фильтрация URL на терминале.

[WALRUS]

Всем привет.
Столкнулся с проблемой точечно открывать/закрывать ресурсы.

Керио 9.1.4 на Vmware esxi
Авторизация пользователей по AD.

Суть вопроса теперь вот в чем. Все наши пользователи работают на терминалах. Т.е. фактически у всех один айпи и один мак.
Необходимо следующее: Пользователю Вася разрешить ВК, пользователю Петя Заблокировать ВК, но пользователям Вася и Петя заблокировать ОК.
Пытаюсь реализовать следующее:
создаю Правило запрещающее узлы ОК, и ВК для всех. Оно прекрасно работает и всех пользователей блокирует.
А потом создаю правило которые разрешает пользователю Вася доступ к ВК.
но почему то не работает((( пользователя Васю все так же не пускает к разрешенному ресурсу.
Галочку "Пользователи могут разблокировать правила содержимого HTTP" не хочу использовать. Ведь тогда получается что к ОК у Васи тоже появится доступ.

[HOG]

WALRUS, работать через интернет на терминале и при этом открывать с него тот-же интернет, тем более - соцсети - это, имхо, как-то странно, типа удаления гланд через жопу. Это чисто мое мнение. У меня, пользователям терминала вообще через GPO разрешено использовать только определенные приложения в принципе, а про то, что установка приложений пользователем запрещена уже и не говорю. Кстати, пользоваться браузерами запрещено.

P.S. Есть смысл создания определенных групп пользователей, и выпускать их через проксюк с опцией авторизации каждой браузерной сессии.

[WALRUS]

Цитата:

Сообщение от HOG

WALRUS, работать через интернет на терминале и при этом открывать с него тот-же интернет, тем более - соцсети - это, имхо, как-то странно, типа удаления гланд через жопу. Это чисто мое мнение. У меня, пользователям терминала вообще через GPO разрешено использовать только определенные приложения в принципе, а про то, что установка приложений пользователем запрещена уже и не говорю. Кстати, пользоваться браузерами запрещено.

P.S. Есть смысл создания определенных групп пользователей, и выпускать их через проксюк с опцией авторизации каждой браузерной сессии.

Пользователи сидят на тонких клиентах. т.е. кроме терминала у них и нет ничего. прямой пробос туда.
На керио настроено прокси. в непрозрачном виде. все что описно выше работает как раз через него и вот столкнулся с такими проблемами. может быть как то по другому это нужно настроить?

[HOG]

WALRUS, попробуй разрулить группами пользователей. По меньшей мере у меня на терминале, правда, года два назад фильтровало так, как было нужно. Причем да, правила выполняются сверху вниз, до совпадения.

[naliman]

Цитата

Сообщение от WALRUS

Пытаюсь реализовать следующее:
создаю Правило запрещающее узлы ОК, и ВК для всех. Оно прекрасно работает и всех пользователей блокирует.
А потом создаю правило которые разрешает пользователю Вася доступ к ВК.
но почему то не работает((( пользователя Васю все так же не пускает к разрешенному ресурсу.

по логике вася не авторизуется

[HOG]

naliman, а скорее всего да. Чет я затупил...

[WALRUS]

Цитата:

Сообщение от naliman

по логике вася не авторизуется

Почему Вася не авторизуется?

[HOG]

WALRUS, потому, как иначе его-бы пустило. Уж по меньшей мере во вконтакт.

[WALRUS]

Цитата:

Сообщение от HOG

WALRUS, потому, как иначе его-бы пустило. Уж по меньшей мере во вконтакт.

Как проверить авторизуется он или нет?

Настройки прокси и доменной аутентификации

[HOG]

WALRUS, Ну ты чего?? Галочка "всегда требовать аутентификации пользователей при доступе к веб страницам" - это раз. "Включить принудительную аутентификацию непрозрачного прокси сервера" - это два. Тогда все заработает.

[WALRUS]

Цитата:

Сообщение от HOG

WALRUS, Ну ты чего?? Галочка "всегда требовать аутентификации пользователей при доступе к веб страницам" - это раз. "Включить принудительную аутентификацию непрозрачного прокси сервера" - это два. Тогда все заработает.

Тогда вылазит принудительная авторизация. а мне надо что бы было ntlm

[HOG]

WALRUS, это означает то, что по NTLM у тебя что-то не работает... Без принудительной авторизации оно у тебя вообще никого не авторизует. Ты про авторизацию на терминале вообще что-то где-то читал??

[exchar]

Цитата

Сообщение от WALRUS

Тогда вылазит принудительная авторизация. а мне надо что бы было ntlm

думаю, этого пока нет (но советую спросить официальную поддержку на сайте - иногда бывают открытия после этого )

однако, для ntlm систему нужно сначала [Для просмотра данной ссылки нужно зарегистрироваться]
умеет ли все это работать в таком виде на терминальном сервере - хз, но вряд ли

если таки не умеет, то для терминальных серверов есть галка "включить принудительную аутентификацию непрозрачного прокси", после установки которой у пользователя будет запрашиваться логин-пароль.

если пароль и логин при этом вводить экстремально лень, то можно попытаться сваять какой-нибудь патчик на скриптовых языках, который бы в том или ином виде делал ввод учетных данных за пользователя (в начале сеанса пользователя или при каждом запуске браузера). дерзай, короче.

[naliman]

WALRUS, камрад
обрезай скриншоты, на них 80% ненужной информации
и не у всех 100500 дюймовые мониторы
да и меня лично крайне бесит когда скрин шырше страницы

PAINT тебе в помощь

[naliman]

Цитата

Сообщение от WALRUS

Тогда вылазит принудительная авторизация. а мне надо что бы было ntlm

не все браузеры его умеют
еслишто

[WALRUS]

Почти получилось. Но есть один подводный камень, уже скорее не относящийся к керио.
Опишу в кратце что сделал. Настроил на сервере виртуализацию IP адресов. поднял DHCP под это дело. Настроил прозрачный прокси.
Пользователь автоматически авторизуется на керио по нтлм.
Но!!!!!!!
Как работают виртуальные IP.
DHCP создает под каждого пользователя свой айпи и дописывает к реаьлному маку свой саб.макадрес.

Дальше керио сопоставляет пользователя и айпишник и фильтрует по разрешениям пользователя. кому можно кому нельзя. и так до тех пор пока все пользователи разово зашли на терминал и получили свои айпишники.
т.е. Вася получил айпи 121 ему нельзя в вк
Петя получил айпи 122 ему можно в вк но нельзя в Ок
Маша получила айпи 123 ей нельзя везде.
через какое то время и Маша И Петя вышли с терминала, и через какое то время Маша вернулсь. и ВОТ СУТЬ. она получает айпишник 122, по почему то керио видя что Маша получила айпишник 122 по прежнему считает что под этим айпишником работает Петя. даже в логах Машины запросы отображаются не только с айпишником 122 но и с логином Пети.
По сему вопрос!!! Как сделать привязку выдачи айпишника в DHCP по пользователю. Чо бы Маша всегда всегда получала 123, а Петя всегда 122. Либо как сделать что бы керио не хранил кэш входов.


авторизация на керио при входе пользователя на терминал происходит с помощью вбс скрипта

Dim IE
Set IE = CreateObject("InternetExplorer.Application")
IE.Visible = False
Wscript.Sleep(3000)
IE.Navigate2("https://kerio-fw.habr.local:4081/login/?NTLM=1")
Wscript.Sleep(20000)
IE.Quit

[exchar]

Цитата

Сообщение от WALRUS

Либо как сделать что бы керио не хранил кэш входов.
авторизация на керио при входе пользователя на терминал происходит с помощью вбс скрипта

посмотри [Для просмотра данной ссылки нужно зарегистрироваться] скрипт для выхода пользователя

[WALRUS]

Цитата

Сообщение от exchar

посмотри [Для просмотра данной ссылки нужно зарегистрироваться] скрипт для выхода пользователя

То что надо сделать скрипт на выход уже тоже подумал об этом.
Можно тупой вопрос?
Как сделать что бы при выходе пользователя выполнялся скрипт?

Добавлено через 2 часа 55 минут
Сделал средствами GPO

[HOG]

Цитата

Сообщение от WALRUS

Сделал средствами GPO

Ну, оно вообщемта всегда так делается. Все правильно сделал.

[Semen]

Оффтоп:
exchar, как приятно видеть ссылки на свои ответы)