[2003] GPO maken van een Whitelist

[Verwijderd]

Beste mensen,

Ik wil graag d.m.v. een GPO een whitelist maken van de websites die ze wel mogen bekijken andere websites mogen niet bekeken worden.

Ik ben er wel achter gekomen waar je dit kan doen..

GPO > Gebruikersconfiguratie > Windows-instellingen > Internet Explorer-onderhoud > Beveiliging > Inhoudsristricties

Hier kan je wel aangeven welke sites bekeken kunnen worden en welke sites je niet kan bekijken, maar het is me nog niet gelukt om gehele domeinen uit te zetten. Ik weet dat je gebruik moet maken van een joker, maar dit is me nog niet gelukt. Moet het op de volgende manier?

www.*.com? Of *.com ?

Ik wil graag gehele domeinen uitschakelen en alleen mijndomein.nl toegankelijk maken.

alvast bedankt voor jullie reacties

[djluc]

Kan je dat niet beter gewoon met je router regelen? Mocht er een slimmerik tussenzitten die op de client wat policies loskrijgt, alternatieve browser installeerd enzovoorts dan ben je meteen de sigaar. Een router hacken zal echter niet zo snel gebeuren, mag ik hopen

[mutsje]

in plaats van een router zou ik toch een proxy server neer zetten. Dit lijkt mij veel handiger dan een router. En de Proxy dan als default gateway naar het internet laten optreden dat ze niet via een truuk over het netwerk er voorbij kunnen komen.

[ShellGhost]

mutsje schreef op maandag 24 oktober 2005 @ 09:16:
in plaats van een router zou ik toch een proxy server neer zetten. Dit lijkt mij veel handiger dan een router. En de Proxy dan als default gateway naar het internet laten optreden dat ze niet via een truuk over het netwerk er voorbij kunnen komen.

Inderdaad.
Je zou bv een ISA server kunnen neer zetten die dat voor je kan regelen.
Dan heb je niet de kans dat je per ongeluk je gpo's om zeep hebt door een verkeerde setting.

[elevator]

Een ISA Server lijkt me nogal duur voor het simpelweg blokkeren van wat URL's - ik denk dat je met wat DNS trickery dit ook al voor elkaar kan krijgen bv

[Verwijderd]

Nee ik begrijp dat een ISA server deze taken perfect kan uitvoeren, maar je moet wel een overweging maken tussen de kosten en de baten. Vandaar dat ik het via een GPO wil doen.

Ik hoef niet bang te zijn dan de werknemers met de GPO aan de haal gaan, want ik kan met 100% zekerheid zeggen dat ze daar geen verstand van hebben. Ze weten alleen hoe ze een pc aan kunnen doen en voor de rest mogen ze alleen 1 applicatie starten vanaf hun desktop..

Ik heb alleen een Internet connectie nodig om een VPN-verbinding op te zetten richting mijn Win2k3 server.

Weet iemand hoe ik dus gehele domeinen kan blokkeren?

[Verwijderd]

GPO is hierin zeer beperkt.

Handige software:

ISA 20004
Surfcontrol

[Verwijderd]

Ik begrijp dat GPO beperkt is (ook al zijn de mogelijkheden onbepert volgens MS), maar ik wil geen andere applicatie installeren (dat kost namelijk geld) en het moet gewoon zo goedkoop mogelijk.

Nou mogen de gebruikers helemaal niets, behalve de applicatie starten. Dus ik kan IE helemaal uitschakelen (wordt lastig, omdat IE overal is in gebakken) of d.m.v. een GPO domeinen blokkeren.

Ik wil dus gewoon .com .nl .net .eu .xxx .info en de rest allemaal uitschakelen.

Dat kan je d.m.v. een joker instellen, maar ik wil dus alleen weten hoe je dat kan realiseren. Ik weet waar ik het kan doen, alleen nog niet hoe.

is het www.*.com of *.com?

Het heeft geen zin om een reply te geven dat ik ISA of Surfcontrol moet gaan gebruiken, want dat hoort niet bij de opties. Dit heb ik volgens mij al eerder gemeld.

[Verwijderd]

Verwijderd schreef op maandag 24 oktober 2005 @ 13:40:
Ik begrijp dat GPO beperkt is (ook al zijn de mogelijkheden onbepert volgens MS), maar ik wil geen andere applicatie installeren (dat kost namelijk geld) en het moet gewoon zo goedkoop mogelijk.

Nou mogen de gebruikers helemaal niets, behalve de applicatie starten. Dus ik kan IE helemaal uitschakelen (wordt lastig, omdat IE overal is in gebakken) of d.m.v. een GPO domeinen blokkeren.

Ik wil dus gewoon .com .nl .net .eu .xxx .info en de rest allemaal uitschakelen.

Dat kan je d.m.v. een joker instellen, maar ik wil dus alleen weten hoe je dat kan realiseren. Ik weet waar ik het kan doen, alleen nog niet hoe.

is het www.*.com of *.com?

Het heeft geen zin om een reply te geven dat ik ISA of Surfcontrol moet gaan gebruiken, want dat hoort niet bij de opties. Dit heb ik volgens mij al eerder gemeld.

Een goedkopere manier:

Je "HOSTS" file aanpassen, de domeinen .com verwijzen naar: 127.0.0.1, bestand vervolgens pushen met GPO.

[Verwijderd]

hmm dat is een mogelijkheid.. Hoe gaat dat in z'n werking? Of kan ik daar genoeg over vinden op het I-net? Ik zit nu even op het werk en daar heb ik beperkt internet rechten (alleen tweakers.net)

[Grolsch]

waarom blokkeer je op de router gewoon niet al het verkeer van je clients richting internet, behalve je VPN server

Dus gewoon een knetterharde deny

[Verwijderd]

Sommige gebruikers willen wel graag internet Vandaar de optie GPO

[Grolsch]

Verwijderd schreef op maandag 24 oktober 2005 @ 18:48:
Sommige gebruikers willen wel graag internet Vandaar de optie GPO

je kunt die sommige gebruikers ook in je firewall toestaan om te internetten.
Ik vind zulke zaken regelen in firewall wat netter geregeld als via een GPO IE settings door te voeren.

[elevator]

Je kan misschien ook een niet bestaande proxy server opgeven geforceerd waardoor de gebruikers ook niet op internet kunnen en dan eventueel 'uitzonderngen' maken voor de proxy voor sites die wel kunnen ?

[Verwijderd]

elevator schreef op dinsdag 25 oktober 2005 @ 14:15:
Je kan misschien ook een niet bestaande proxy server opgeven geforceerd waardoor de gebruikers ook niet op internet kunnen en dan eventueel 'uitzonderngen' maken voor de proxy voor sites die wel kunnen ?

Hier had ik ookal over nagedacht. Dat is wel een goede optie.

Het nadeel van een router is dat je het op IP basis moet doen of op MAC adres basis en ik wil het voor mezelf gewoon zo makkelijk mogelijk maken. Er komen namelijk in de toekomst meer gebruikers bij en ik wil die gewoon in dezelfde OU plaatsen. Dan heb ik er zelf weinig beheer aan.

Dus een niet bestaande proxyserver is wel een mogelijkheid.

[djluc]

Een alternatieve freeware proxy kan misschien een oplossing zijn?

[Verwijderd]

Niemand weet hoe ik het kan doen m.b.v. een joker toepassen en een GPO?

[Grolsch]

Verwijderd schreef op dinsdag 25 oktober 2005 @ 20:48:
Niemand weet hoe ik het kan doen m.b.v. een joker toepassen en een GPO?

en wat als een client bijv. opera of firefox installeerd?

Maak gewoon 2 range's ip adressen aan 1~100 mag wel internetten 101~200 niet, easy as that.

[mutsje]

Verwijderd schreef op maandag 24 oktober 2005 @ 13:40:
Ik begrijp dat GPO beperkt is (ook al zijn de mogelijkheden onbepert volgens MS), maar ik wil geen andere applicatie installeren (dat kost namelijk geld) en het moet gewoon zo goedkoop mogelijk.

Nou mogen de gebruikers helemaal niets, behalve de applicatie starten. Dus ik kan IE helemaal uitschakelen (wordt lastig, omdat IE overal is in gebakken) of d.m.v. een GPO domeinen blokkeren.

Ik wil dus gewoon .com .nl .net .eu .xxx .info en de rest allemaal uitschakelen.

Dat kan je d.m.v. een joker instellen, maar ik wil dus alleen weten hoe je dat kan realiseren. Ik weet waar ik het kan doen, alleen nog niet hoe.

is het www.*.com of *.com?

Het heeft geen zin om een reply te geven dat ik ISA of Surfcontrol moet gaan gebruiken, want dat hoort niet bij de opties. Dit heb ik volgens mij al eerder gemeld.

Dan maak je voor die mensen een high restrictive internet GPO aan zonder address bar en zorg je dat ze een snelkoppeling krijgen die internet explorer in kiosk mode opstart en rechtstreeks naar die url van die applicatie gaat en meer niet.

[Speeder]

mutsje schreef op woensdag 26 oktober 2005 @ 09:12:
[...]

Dan maak je voor die mensen een high restrictive internet GPO aan zonder address bar en zorg je dat ze een snelkoppeling krijgen die internet explorer in kiosk mode opstart en rechtstreeks naar die url van die applicatie gaat en meer niet.

mmm, volgens mij moet je dan ook de address-bar in de windows explorer weghalen want die is ge-ent op IE.

[Verwijderd]

Ja dat is indd ook een goede optie.

Ik ga dat even uit proberen.

Bedankt allemaal voor jullie reacties.

[mutsje]

Speeder schreef op woensdag 26 oktober 2005 @ 09:49:
[...]


mmm, volgens mij moet je dan ook de address-bar in de windows explorer weghalen want die is ge-ent op IE.

Dat klopt inderdaad alleen heb ik het over een zogenaamde published application. Als je ook heel explorer wil gaan dicht timmeren heeft topic starter nog wel ff wat te doen maar ja hobyen vinden wij allemaal het leukste niet dan.

[Zwelgje]

djluc schreef op dinsdag 25 oktober 2005 @ 16:54:
Een alternatieve freeware proxy kan misschien een oplossing zijn?

squidNT bijvoorbeeld, een veel gebruikt (industry standard) proxy server onder linux en werkt ook (ported) naar win32

en *gratis* wat de TS wil

http://www.serassio.it/SquidNT.htm

[ Voor 6% gewijzigd door Zwelgje op 28-10-2005 13:34 ]

[Verwijderd]

mutsje schreef op woensdag 26 oktober 2005 @ 16:24:
[...]

Dat klopt inderdaad alleen heb ik het over een zogenaamde published application. Als je ook heel explorer wil gaan dicht timmeren heeft topic starter nog wel ff wat te doen maar ja hobyen vinden wij allemaal het leukste niet dan.

haha zo is het maar net

[Verwijderd]

Zwelgje schreef op vrijdag 28 oktober 2005 @ 13:33:
[...]


squidNT bijvoorbeeld, een veel gebruikt (industry standard) proxy server onder linux en werkt ook (ported) naar win32

en *gratis* wat de TS wil

http://www.serassio.it/SquidNT.htm

TOP! Ik ga dit even bekijken. Ik zit nu helaas op het werk en daar heb ik alleen tweakers.net in de whitelist staan