Деление пользователей на группы с ограничением и без

[kpik2008]

Здравствуйте, столкнулся с проблемой нужно поделить всех пользователей на 2 группы которым разрешено открывать vkontakte а другим нет.
пользователи получают настройки по DHCP c привязкой по МАС

нужно чтоб 172.16.1.101-172.16.1.115 и 172.16.1.201-172.16.1.210 - не могли открывать vkontakte (87.240.131.117)

а все остальные (172.16.1.2-172.16.1.100 и 172.16.1.116-172.16.1.200 и 172.16.1.211-172.16.1.255) могли открывать

[Algon]

Эта задача имеет много вариантов решения. Самое простое по сути, но и самое трудоемкое: обойти все компы пользователей и вручную заблокировать адреса вконтакте в файле hosts.
Остальные варианты требуют специального оборудования или программного обеспечения. Каким образом у вас раздается интернет?

[kpik2008]

Эта задача имеет много вариантов решения. Самое простое по сути, но и самое трудоемкое: обойти все компы пользователей и вручную заблокировать адреса вконтакте в файле hosts.
Остальные варианты требуют специального оборудования или программного обеспечения. Каким образом у вас раздается интернет?

получил по PPTP отдал по локальной сетке по dhcp ip с привязкой по мак

через Firewall можно как-то заблокировать?

[Algon]

Смотря какой Firewall. Если что-то типа Kerio Сontrol, то можно. Если встроенный в винду, то нельзя.

[malou05]

2 kpik2008 тебя же спросили:

...Каким образом у вас раздается интернет?

распиши пдробней, если стоит комп то "что на нём вертится"(какое програмное обеспечение используеш на компе для раздачи инета), если раздаёш "железным" роутером то каким.
если на компе стоит прокси, тогда настрой правила в прокси:етих пускать, тех непускать. в роутере (смотря каком) можно также настроить...

[kpik2008]

2 kpik2008 тебя же спросили:
распиши пдробней, если стоит комп то "что на нём вертится"(какое програмное обеспечение используеш на компе для раздачи инета), если раздаёш "железным" роутером то каким.
если на компе стоит прокси, тогда настрой правила в прокси:етих пускать, тех непускать. в роутере (смотря каком) можно также настроить...

стоит RouterOS v5.18, без прокси, раздает микротик (PC c установленной RouterOS)

[ALYRM]

нада сервак туда проксу - squid у нее есть функции по фильтрации в том числе и контента!

[kpik2008]

нада сервак туда проксу - squid у нее есть функции по фильтрации в том числе и контента!

А есть другой вариант без использования прокси? Просто на клиенстких машинах стоит ПО которое не может работать с проксей

[ALYRM]

))))клиентам не надо будет ниче настраивать! сервер сам знает разрешить ему в контакт или нет,респект Linux

[kpik2008]

))))клиентам не надо будет ниче настраивать! сервер сам знает разрешить ему в контакт или нет,респект Linux

а без участия другого PC ?

родной проксей можно? также без настроек на клиенстких, и если ставить линуху то какую посоветуете? у меня есть веб сервер на винде хотелось бы чтоб его можно было там поднять :wacko:

[Algon]

В RouterOS это можно нормально сделать и без прокси.
1. Создаете группу IP, в нее вносите все IP, которым надо запретить доступ.
2. Создаете правило Firewall, которым запрещаете доступ этой группы к IP соцсети.
Всё.

[kpik2008]

В RouterOS это можно нормально сделать и без прокси.
1. Создаете группу IP, в нее вносите все IP, которым надо запретить доступ.
2. Создаете правило Firewall, которым запрещаете доступ этой группы к IP соцсети.
Всё.

Спасибо огромное, а не подскажете как сделать чтоб не drop'ать, а сделать переадресацию?

[Algon]

Это случайно не через ip-Firewall-address lists ? (создать группы)

Именно так.

Для каждого IP создаете новую запись, где в качестве Name указываете имя группы, например "stop_vk".

Как создать правило чтоб оно касалось определенной группе?

Создаете New Firewall Rule, где указываете примерно так:
Chain - forward
Dst. Address - здесь список IP, на которые надо заблокировать доступ. Можно указывать сразу подсетями, например 87.240.156.0/24
Src. Address List - выбираете группу "stop_vk".
Action - drop

[malou05]

скриптом меньше писать IP-ов
получай скрипт:
:foreach i in=[/ip dns cache find] do={
:local bNew "true";
:local cacheName [/ip dns cache all get $i name] ;
# :put $cacheName;

:if (([:find $cacheName "odnoklassniki"] != 0) || ([:find $cacheName "vk.com"] != 0)) do={

:local tmpAddress [/ip dns cache get $i address] ;
# :put $tmpAddress;

# if address list is empty do not check
:if ( [/ip firewall address-list find ] = "") do={
:log info ("added entry: $[/ip dns cache get $i name] IP $tmpAddress");
/ip firewall address-list add address=$tmpAddress list=restricted comment=$cacheName;
} else={
:foreach j in=[/ip firewall address-list find ] do={
:if ( [/ip firewall address-list get $j address] = $tmpAddress ) do={
:set bNew "false";
}
}
:if ( $bNew = "true" ) do={
:log info ("added entry: $[/ip dns cache get $i name] IP $tmpAddress");
/ip firewall address-list add address=$tmpAddress list=restricted comment=$cacheName;
}
}
}
}
в закладке Скрипт создай скрипт и потом в Шедуле точно такое же название и интервал, а в правилах Фаервола для каждой групы адресов укажи в закладке Адвансед удалённый адрес-лист restricted и в закладке Актион drop.
скрипт валит сайты odnoklassniki и vk.com и радуйся жизни

чтоб не дропать а пререадресовать тогда почитай про jump или return вместо drop.

[kpik2008]

Спасибо!