Discussion :

[vg-matrix]

Bonjour,

Je souhaite bloquer l'accès à Facebook dans un réseau local. Mon soucis est mon routeur ne me permet que de le bloquer en HTTP et non en HTTPS. Je souhaite donc savoir s'il existe un moyen de bloquer en HTTPS avec un type de routeur spécifique ou avec un serveur particulier à installer dans le réseau?

[ram-0000]

Mon soucis est mon routeur ne me permet que de le bloquer en HTTP et non en HTTPS.

C'est quoi comme routeur ? Je suis surpris

Sinon, tu as un DNS interne ? Tu peux redéfinir facebook.com en 127.0.0.1. Cela n'empêchera pas les utilisateurs de taper l'adresse IP directement mais tu vas embêter la vie de ceux qui ne savent pas.

Pour cela, il faut un DNS interne et surtout que tu obliges tes utilisateurs à passer par ce DNS interne (donc 1 filtre DNS sur le routeur)

Une autre possibilité, un proxy (genre squid) et tu obliges tes utilisateur à passer par ce proxy (donc filtre à mettre dans le routeur)

Et sinon, un vrai routeur (Cisco ou Juniper ou autre), ceux là savent filtrer le HTTP et le HTTPS. Ils ont même des fonctions supplémentaires (IPS, antivirus, listes blanches et noires pour les accès WWW, ...). Par contre, il va falloir casser un peu la tirelire.

[ciscowarrior]

Bonsoir Raymond,

Pour cela, il faut un DNS interne et surtout que tu obliges tes utilisateurs à passer par ce DNS interne (donc 1 filtre DNS sur le routeur)

Il suffit à l'utilisateur de rentrer les IP de facebook dans le fichier hosts et cette mesure sera contournée.

Concernant le filtrage web sur un routeur Cisco c'est possible en http mais pas en https à ma connaissance.
Il me semble que la meilleure solution c'est un proxy web comme Squid.

Alain

[ram-0000]

Il suffit à l'utilisateur de rentrer les IP de facebook dans le fichier hosts et cette mesure sera contournée.

C'est vrai aussi (mais cela limite)

Concernant le filtrage web sur un routeur Cisco c'est possible en http mais pas en https à ma connaissance.

Je ne sais pas ce que tu entends avec le filtrage web, moi je pensais à une ACL TCP port 443 à destination des adresses facebook (je ne sais pas combien il y a d'adresses à bloquer).

Il me semble que la meilleure solution c'est un proxy web comme Squid.

C'est clairement la meilleure alternative et en plus, c'est évolutif, c'est à dire que le jour où tu veux bloquer twitter aussi, c'est facile. Et puisque je viens de finir la gabarisation de l'article il n'y a pas longtemps, un peu de littérature : Squid et SquidGuard

[ciscowarrior]

Je ne sais pas ce que tu entends avec le filtrage web, moi je pensais à une ACL TCP port 443 à destination des adresses facebook (je ne sais pas combien il y a d'adresses à bloquer).

NBAR ou zone based firewall en utilisant des expressions régulières.

Le problème des ACLs c'est que si Facebook change ses IP cela ne fonctionnera plus

Alain

[ram-0000]

NBAR ou zone based firewall en utilisant des expressions régulières.

Je ne connaissais pas cette fonctionnalité, c'est donc plus un filtrage applicatif qu'un filtrage par ACL au niveau 3 ou 4

Le problème des ACLs c'est que si Facebook change ses IP cela ne fonctionnera plus

C'est vrai donc ==> proxy forever