[請益] SSG-140 Block Facebook(已解決)

看板MIS作者 (腦袋爛掉了)時間8年前 (2015/10/22 15:58), 8年前編輯推噓8(8推 0噓 14→)
留言22則, 6人參與, 最新討論串1/1
公司一直以來都用DNS阻擋Facebook，今天有需求某同是特例開放! 原先想說用SSG-140來阻擋，嘗試了一下... http://www.pchome.com.tw https://tw.yahoo.com 主要是測試一般80port和443port是否能阻擋，結果是ok的! 在Address List中的Domain name分別是 pchome.com.tw以及tw.yahoo.com 這樣都可以沒有問題! 接下來實上Facebook! Domain name: Facebook.com.tw 怎麼樣設定都全體pass...換一個 Domain name: www.facebook.com.tw 一樣!!!還是全體pass... 表示我連基本全體阻擋都無法做到T.T... 各位先近是否針對facebook真的無法阻擋? 大感恩... 感謝deadwood大 最一開始狀況在ssg上dns指向分別是168.95.1.1、8.8.8.8 clinet則是永遠指向內部dns 此時ssg解析到 facebook Domain:www.facebook.com dsn解析:31.13.70.1 facebook2 Domain:facebook.com dsn解析:31.13.70.1 facebook4 Domain:facebook.com.tw dsn解析:31.13.70.1 facebook_tw Domain:www.facebook.com.tw dsn解析:31.13.87.1 但如果用clinet、內部dns server去ping均會得到 facebook Domain:www.facebook.com dsn解析:173.252.88.66 facebook2 Domain:facebook.com dsn解析:31.13.70.1 facebook4 Domain:facebook.com.tw dsn解析:31.13.70.1 facebook_tw Domain:www.facebook.com.tw dsn解析:173.252.88.66 在設定上就變成無法正確解析，儘管設了policy仍舊可以pass 最後在deadwood大的點醒... 將ssg的dns帶一組內部dns server，此時ssg解析到 facebook Domain:www.facebook.com dsn解析:173.252.88.66 facebook2 Domain:facebook.com dsn解析:31.13.70.1 facebook4 Domain:facebook.com.tw dsn解析:31.13.70.1 facebook_tw Domain:www.facebook.com.tw dsn解析:173.252.88.66 如此一來就可以生效policy。 感覺是很基礎的東西，但我一直把想法僅卡在ssg上，整個在鬼打牆。 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 59.120.66.218 ※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1445500700.A.CFE.html ※ 編輯: lu760423 (59.120.66.218), 10/22/2015 15:59:40 ※ 編輯: lu760423 (59.120.66.218), 10/22/2015 15:59:47
推
10/22 17:29, , 1F
如果前面兩個都可以的話，那你試試www.facebook.com不加tw
10/22 17:29, 1F
→
10/22 17:30, , 2F
因為我查了一下它的確有這兩個Aliases
10/22 17:30, 2F
推
10/22 19:57, , 3F
用dns很難管理....
10/22 19:57, 3F
→
10/23 08:33, , 4F
超難管...就有Firewall...卻不用
10/23 08:33, 4F
今天測試一下 www.facebook.com www.facebook.com.tw facebook.com firewall都可以解析，規則設下去之後pign出去反而是 star.c10r.facebook.com 可是我已經下了facebook.com 的domain應該檔的住 卻還是pass~T.T~~~怎麼會這樣~ ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 08:50:31
推
10/23 10:03, , 5F
可以用正規表示法來設定有facebook.com的字串就檔嗎?
10/23 10:03, 5F
你是說像是直接從URL字串中有Facebook就擋? 這個設定在其他網站都可以生效 如pchome、yahoo、google等等之類，但發現只要facebook就無法。 目前作法是將star.c10r.facebook.com解析173.252.88.66阻擋， 但我相信過一段時間serve又會跳... ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 10:09:54
推
10/23 10:28, , 6F
買一台PaloAlto來，直接鎖應用程式
10/23 10:28, 6F
→
10/23 10:28, , 7F
還能限制是否只能看，不能PO文等等
10/23 10:28, 7F
→
10/23 10:29, , 8F
用Content Filter 的效果很差
10/23 10:29, 8F
推
10/23 10:34, , 9F
懶的上傳，用手機拍 http://i.imgur.com/zBMLZEn.jpg
10/23 10:34, 9F
有評估啊...說到這個~ 上半年打算買LoadBlance下半年打算買L7設備... 主管最近突然冒出 「國產很多功能一起，吞吐量也很大，價格也不錯，我們先考慮這種」 然後冒出「居易」....我都傻眼了。 ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 10:46:24
推
10/23 10:49, , 10F
國產UTM根本拉機，用過PA就回不去了
10/23 10:49, 10F
→
10/23 10:50, , 11F
我們的政府都買3000系列的PA，一台200多萬吧，還HA喔
10/23 10:50, 11F
推
10/23 10:50, , 12F
我記得Facebook domain name解析出來的TTL只有20秒
10/23 10:50, 12F
→
10/23 10:50, , 13F
所以你可能得看你家的DNS有沒有可以增加TTL的設定
10/23 10:50, 13F
→
10/23 10:51, , 14F
我想這樣應該可以暫緩一下吧XD
10/23 10:51, 14F
→
10/23 11:05, , 15F
login.facebook.com也加進去擋看看?
10/23 11:05, 15F
最後決定下了這些... facebook Domain:www.facebook.com dsn解析:31.13.70.1 facebook2 Domain:facebook.com dsn解析:31.13.70.1 facebook3 Host: 173.252.88.66 facebook4 Domain:facebook.com.tw dsn解析:31.13.70.1 facebook_tw Domain:www.facebook.com.tw dsn解析:31.13.87.1 只是不知道會檔多久= = ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 11:34:53
→
10/23 11:49, , 16F
問題可能出DNS上，用8.8.8.8解析star.c10r.facebook.com
10/23 11:49, 16F
→
10/23 11:52, , 17F
31.13..70.1
10/23 11:52, 17F
我也解析到這個...不過如果直接用電腦Ping www.facebook.com.tw 就是會得到173.252.88.66 ...在想這到底怎麼解析到的 ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 11:55:32
→
10/23 12:07, , 18F
確認SSG跟client的DNS server是一樣的吧
10/23 12:07, 18F
解析出來啦!! 終於一致了! 不過還是有點不明白，DNS Server解析出來為什麼會跟fw指定168.95.1.1 的結果不同? ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 12:22:13 ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 12:33:20
→
10/23 12:36, , 19F
用的是公司自有DNS，要看你們的server是怎麼設的
10/23 12:36, 19F
→
10/23 12:37, , 20F
少了一句...不同DNSserver會跟不同上層查詢，你們client
10/23 12:37, 20F
原來如此...不過我發現我家的dns server全部指向自己...和彼此， 是不是應該有一筆要指向外部? ※ 編輯: lu760423 (59.120.66.218), 10/23/2015 13:59:19
推
11/09 14:09, , 21F
作法可分內外DNS，a.內部 b.內部 c.外部查解 ，a與b.透過
11/09 14:09, 21F
→
11/09 14:09, , 22F
認證方式（防止使用者自行設定）向c.查解
11/09 14:09, 22F
‣ 更多 lu760423 的文章
文章代碼(AID): #1MA9SSp- (MIS)