Netzwerk ja, Internet nein?

[Markus Elsken]

Moin!

Problem: ein neuer Rechner (10.8.3). Zwei User: Papa (admin) darf alles,
Filius (user) darf zwar im internen Netz rumwuseln (Drucker, NAS etc.),
darf aber NICHT ins Internet (auch eventuell eingeschmuggelte Programme
nicht). Wie stelle ich das am intelligentesten an?

mfg Markus

[Bjoern Seegebarth]

Post by Markus Elsken
Moin!
Problem: ein neuer Rechner (10.8.3). Zwei User: Papa (admin) darf alles,
Filius (user) darf zwar im internen Netz rumwuseln (Drucker, NAS etc.),
darf aber NICHT ins Internet (auch eventuell eingeschmuggelte Programme
nicht). Wie stelle ich das am intelligentesten an?
mfg Markus

Hi!

Das sollte mit der Kindersicherung an sich kein Problem sein.

Grüße
Björn

[Volker Birk]

Post by Markus Elsken
Problem: ein neuer Rechner (10.8.3). Zwei User: Papa (admin) darf alles,
Filius (user) darf zwar im internen Netz rumwuseln (Drucker, NAS etc.),
darf aber NICHT ins Internet (auch eventuell eingeschmuggelte Programme
nicht). Wie stelle ich das am intelligentesten an?

Aus man pf.conf:

user <user>
This rule only applies to packets of sockets owned by the
specified user.

Damit kannst Du eine Regel setzen, um Pakete von und zu Prozessen eines
bestimmten Nutzers ins Internet weg zu schmeissen. Dabei erlaubst Du
Pakete von und zu 127.0.0.0/8 und 192.168.0.0/16 (oder wie Du halt Dein
internes Netz strukturierst), und den Rest verbietest Du. Bei IPv6 gehst
Du entsprechend vor.

Mehr zu PF findest Du in o.g. Manpage oder aber hier:

<http://www.freebsd.org/doc/en/books/handbook/firewalls-pf.html>
<http://www.openbsd.org/faq/pf/>

Hat jemand eigentlich eine MacOS-X-Dokumentation dafür ausser den
Manpages?

Viele Grüsse,
VB.

[Christian Schmidt]

Post by Markus Elsken
Problem: ein neuer Rechner (10.8.3). Zwei User: Papa (admin) darf alles,
Filius (user) darf zwar im internen Netz rumwuseln (Drucker, NAS etc.),
darf aber NICHT ins Internet (auch eventuell eingeschmuggelte Programme
nicht). Wie stelle ich das am intelligentesten an?

Du koenntest dafuer sorgen, dass Dein System kein Default Gateway mehr
kennt, wenn Filius angemeldet ist.
...oder es eben nur kennt, wenn und solange Papa angemeldet ist.

Gruss,
Christian

[Nils Hott]

Post by Christian Schmidt
Du koenntest dafuer sorgen, dass Dein System kein Default Gateway mehr
kennt, wenn Filius angemeldet ist.
...oder es eben nur kennt, wenn und solange Papa angemeldet ist.

In einem Multiuser-System ist das keine sehr schlaue Lösung. Das
Einschalten der Kindersicherung ist vermutlich wesentlich effektiver. :)

Findet Nils