einzelne internetseiten ZULASSEN?!

Proxy ist eine Möglichkeit, in der c't gab es mal eine Artikel, wo das ganze noch anders gelöst wurde, über Dateien die in den IE einzubinden sind, aber frag mich bitte nicht nach der c't-Ausgabe ;)
Proxy wäre aber meine erste Wahl: eine Maschine klarmachen, darf durchaus eine ältere sein. Da eine Linux-Distri installieren und Squid-Proxy drauf. Wenn du dich mit dem Thema Linux noch nie befasst hast, vllt. nicht ganz so trivial, aber sollte mit etwas Einarbeitung zu schaffen sein

Ich bin mir nicht sicher ob der IIS sowas auch kann, aber selbst wenn, würde ich davon die finger lassen und den Proxy physikalisch davon trennen.

Virenscanner gibt es z.B. von Norman, F-Secure, McAfee, Symantec, etc. Mit Norman habe ich bisher sehr gute Erfahrung gemacht, McAffee ist mir zu lahm und Symantec zu ressourcenlastig. Wichtig ist ja auch, dass du einen Virenscanner hast, der auf deinem Serverbetriebssystem läuft.

Moin!

@Dorian84
Die Lösung deines Problems ist ein Proxyserver. Dabei kannst du auf ISA oder aber wie schon erwähnt Squid zurückgreifen. Der ISA liegt nur bei SBS 2003 Premium dabei. Bei allen anderen Versionen von M$ muss dieses Produkt extra eingekauft werden.
Die Lösung hängt auch ein bisschen von der Netzwerkgröße und der Useranzahl ab. Wir haben hier z.B. 240.000 Entanwender, wir werden nie den Proxy zusammen mit den Fileservern legen. *g* Ich sag mal, wenn du 5-20 User hast und der Server ordentlich bestückt ist, würde ich ihn auf die gleiche Maschine ballern.
Sobald du den Proxy auf eine eigene Maschine installiert, stellt sich die Frage ob über das Internet der Webserver o.ä. erreichbar sein sollte. Dann wiederrum solltest du über ein DMZ System nachdenken. Mehr dazu, wenn es zutrifft!

Proxy ist am Einfachsten zum konfigurieren. Am Besten du verpasst dem Server 2 Netzwerkkarten. 1. NIC ist mit dem Router verbunden und bilden ein eigenes Netz (10.10.10.0). Die andere NIC stellt die Verbindung ins LAN her (auch eines Netz - 192.168.168.0). Der LAN-Karte keinen GW hinterlegen und als DNS die 127.0.0.1. Bei der anderen Karte als GW den Router (muss natürlich auch noch angepasst werden). Als 1. DNS den Server als 2. DNS den Router.
Somit läuft der Internettraffic über den Server und du brauchst nichts an den Clients umstellen. Sprich du hinterlegst eine Blacklist / Whitelist und schon gilt es für alle!

Ziemlich naiv, so zu denken! Wir können auch durch Popup der zugelassenen Seite kommen.

Somit ist mal die bekanntesten und größten Löcher gestopft. *g* Guter Anfang....

Die Produktplatte ist breit. Ich würde mich für ein Produkt entscheiden, bei dem du einfach den Lizenzmodus abändern / erweitern kannst (z.B. Antivirus für Exchange oder sogar ISA) und die Verwaltung der Clients über eine Managementconsole möglich ist. Ich kann dir nur Sophos empfehlen.... Frisst kaum Ressourcen, ist einfach zu bedienen und mit wenigen Klicks der Console ist das Virenscanner "Safe". Das erweitern ist kein Problem.... Die Produkteplatte findest du auf der Homepage wieder oder du stellst einfach mal an cykes (User hier) eine kl. Anfrage.

@Connor1980
Der IIS ist ein reiner M$ Webserver und hat NULL mit einem Proxy zu tun. aber

Siehe 1. Absatz oben.


Grüße
Dani

Hab mich schon intensiver mit dem Thema befasst, in dem Umfeld das Du beschrieben hast würde ich dir keinen ISA-Server empfehlen, kannst ja mal nach dem Preis googlen, meines Wissens nach kostet der gut 2000€ !

Ich habe auf mehreren SBS und 2003Std-Servern die Windows-Variante von squid am laufen.

Klappt super, ich habe eine txt-file in die ich alle domains bzw url's reinschreibe, die erlaubt sind.

Und bisher 0 (in Worten 'NULL' ) Probleme.
Und das kostenlos, was gibts besseres ?

Musst nur Anfangs einmal die standard-config durchforschen und alles deinen Ansprüchen genügend einstellen und ab gehts.

Falls Du Probleme mit der config hast, schreib mir einfach ne PM

Ach und Virenscanner auf den Clients ist meiner Meinung nach Pflicht !!!
Solltest Du wirklich keine einsetzen gibts von mir ein dickes 'pfui!' ;)
Schau dir mal die Scanner AVG von Grisoft an, die sind erschwinglich im Preis und leisten mir bisher gute Dienste. Hatte bisher nur einen Fehl-alarm, und das in nun fast 2 Jahren.

Es gibt auch eine kostenlose Version von AVG, den findest Du allerdings nicht auf der HP von grisoft. Einfach mal nach 'AVG free' googlen. Da findest Du was, ist zwar nur in English verfügbar, dafür aber kostenlos.

Moin!
Hmm....ist vllt. der falsche Weg! Im Internet stehen immer nur die offizielle Preise. Wir fordern direkt von M$ immer das Angebot an oder aber über einen Partner. Das kommt auch immer auf das Lizenzmodell drauf an. Da wir z.B. alle Lizenzen über M$ direkt kaufen (eine Art Vertrag), wird das Produkt noch um 25-50% günstiger. Ist zwar dann immer noch ein stolzer Preis, aber wie gesagt kommt auf deine Vorgaben von oben an und welche Funktionen du nutzen möchtest.


Grüße
Dani

Für AVG-Produkte gint es den AVGAdmin, ein Tool mit dem Du alle Virenscanner auf den Clients von einer zentralen Maschine aus managen kannst, also Updates verteilen, gplatne Aufgaben erstellen, Scanner installieren usw...

Ob nun die SBS-Edition Sinn macht bin ich mir nicht sicher. Da Du, wie Du sagst, ja hinter einer SPI-Firewall vom Router sitzt denke ich, daß "AVG Anti-Virus Pro" ausreicht, ich benutze auch nur die "Pro"-Version, die kann Dateien und E-Mails prüfen. Ich denke das reicht !
Benutzt Du die XP-Firewall an den Clients ??

Zu Squid:
Auf Linux musst Du dich gar nicht einlassen. Wenn Du dich nicht gut damit auskennst ist es wahrscheinlich nur eine zusätzliche Belastung für dich. Ich würde dir wie gesagt zur Windows-Variante von Squid raten.

http://www.heise.de/software/download/squid_for_windows/21859

Ich lasse den Squid als Dienst auf den SBS- oder 2003Std-Servern laufen. Geht auch mit nur einer NIC im Rechner.
Als Proxy-Adresse trägst Du dann an den Clients die Server-IP und den Port von Squid ein (std. 3128) also z.B. 192.168.1.1:3128

Jetzt fängt der Server die Internetanfragen ab, übergibt Sie an den Proxy und der stellt dir dann die Verbindung her (oder auch nicht, je nachdem obs ne erlaubte Seite ist oder nicht). Das alles klappt problemlos über eine Netzwerkkarte.

Du solltest die Proxy-Einstellungen am besten per Gruppenrichtlinie an die Clients verteilen und gleichzeitig über die RL im IE die Proxy-Einstellungen sperren, denn solange der Client ein Gateway hat, kann er am Proxy vorbei über das Gateway ins Internet - ungefiltert !

Vorsicht:
Wenn sich ein User Firefox o.ä. installiert und keinen Proxy einträgt waren alle anstrengungen für die Katz, denn dann hat er auch uneingeschränkten Zugang zum I-Net.

Das einzige was hier hilft ist, den Clients keine Gateway-Adresse zu geben. Das hat allerdings den Nachteil, das ausser den Programmen, bei denen Du den Proxy aktiviert hat, kein anderes mehr Internetzugang hat.
Jetzt musst Du wissen ob das eher gut oder eher schlecht für dich wäre...

Das könnte vielleicht daran liegen, daß Ihr aufgrund eures hohen Umsatzes mit MS andere Preise bekommt. Wenn du schon sagst, daß bei euch die 2k3 EE zum Einsatz kommt scheint ihr ein etwas anderes Kaliber zu sein wie Dorian, mit seinen 10 Clients in ner Domäne.

Moin!

@ c-webber
Unter anderem... (habe ich auch oben als Größenordung mal angegeben) aber wenn du sagst, als Unternehmen du bleibst dabei, fallen immer ein "paar" Euro weg.


@Dorian84
Das ist sicherheittechnisch wohl für die Katz! Sobald einer sein Firefox-Portable dabei hat ist er bzw. sich das rumsppricht, bist wieder genau da wo du jettz stehst.
Wenn du wirklich was mit deinem Proxy erreichen möchtest, würde ich 2 Netz bilden wie schon oben beschrieben. Somit musst du keinen Proxy bei den Clients hinterlegen und dir entgeht kein Zugriff bzw. es ist kein Umgehen mehr möglich! Und das willst du ja erreichen...alle anderen Varianten kannst du den Hasen geben (außer du hast einen "richtigen" Router (z.B. LanCOm oder Cisco).


Grüße
Dani

@Dani
ISA meinte ich doch, hab mich vertippt ;)

volle Zustimmung meinerseits

@Dorian84
auf Linux musst du dich natürlich nicht einlassen. Squid gibt auch für Windows, wie c-webber schon gesagt hat. Aber das kostet natürlich auch eine Windows-Lizenz. Linux ist kostenlos. Wenn du dich aber mit Linux nur rumquälst, ist das natürlich keine Lösung. Aber das musst du wissen

Wegen Antivirus würde ich mich noch bei F-Secure und Norman umschauen. Letztere haben aus eigener Erfahrung sehr guten Support.

Wen es interessiert: Zum Thema Firefox und Gruppenrichlinie gibt es Proxyeinstellungen per Gruppenrichtlinien bei Firefox und Co einen Thread

Deshalb sollte man ja auch, nachdem man dem Proxy per Richtlinie zugewiesen hat, den Clients das Default-Gateway wegnehmen.

Somit kommt keiner mehr aus dem internen Netz raus, es sei denn über den Proxy eben...

Da kann er gerne mit Firefox portable kommen, der schaut dann auch in die Röhre !!!

Wirkliche Sicherheit bekommt man eben nicht mit 2-3 Mausklicks hin, da muss alles ineinandergreifen. Proxy allein hilft nicht viel, wenn die User einfach "am Proxy vorbei" ins I-Net können.

Als erstes solltest Du dir überlegen was Du mit deinen Anstrengungen erreichen willst.
Wenn es nur darum geht den Internetverkehr zu filtern, also nur auf bestimmte Seiten den Zugriff gestatten, dann reicht dir ein Proxy. Andere Browser klammerst Du dann dadurch aus, daß Du dem Client wie gesagt kein Gateway zuweist.

Solltest Du noch andere Software einsetzen, die Internetzugriff benötigt, bei der kein Proxy konfiguriert werden kann, sind die Grenzen dieser Lösung erreicht. Es sei denn, Du kannst diese SW auf der selben Maschine laufen lassen, auf der auch der Proxy läuft, denn der muss sein Gateway behalten.

Man kann sehr viel mit kostenlosen Mitteln und/oder Denkarbeit abfangen, es muss nicht immer teure Software sein, allerdings müssen vorher einige Fragen geklärt werden:

• Wird SW eingesetzt, die Internetzugang vorraussetzt (Wenn Ja, auf wievielen und welchen Maschinen (Client/Server?))
• Setzt Du einen eigenen Exchange-Server ein oder haben die User externe Postfächer ?
• Was ist mit privaten Notebooks, dürfen/können oder sollen deine User eigene Notebooks anschließen ?

Klar muß auch sein, daß mit zunehmender Sicherheit der Komfort abnimmt, das heißt, Du musst Kompromisse machen. Lieber den Inertnet-Zugang im Pausenraum einschränken, als dafür alle uneingeschränkt ins I-Net zu lassen.

Klar, wenn das deinen Ansprüchen genügt kein Problem.

Zum WSUS und der Buchhaltungs-SW:

Die laufen ja wahrscheinlcih auf dem Server, oder ? (Der WSUS klar, aber die andere auch ?)
Der behält ja seinen I-Net-Zugang, da er ja über ein Gateway verfügt.
Einschränkungen gelten hier nur für Clients !

Allerdings musst Du bei deiner Lösung immer mehrere Listen pflegen, bei nem Proxy eben nur eine.

Moin!

@c-webber
Diese Funktion wird bei Verwendung von IE 7 wohl nicht gnaz funktionieren. Den Clients das Std.-GW. zu klauen halte ich für nicht sinnvoll. Sobald du das Netz umbauen musst, hast wieder Arbeit ohne Ende und das muss ja nicht sein.

Da Frage ich mich, was eine Softwarelösung einer Firma im Internet sucht. Sowas ist ein Sicherheitsrisiko.

Na, wenn du jeden REchner einzeln pflegen möchtest und dir ansonsten langweilig ist, klar..warum nicht.

@Dorian84
Glaub mir, einfach den FF Portable per Mail schicken und schon ist deine Idee wieder hinfällig. User können bei sowas ziemlich kreativ werden. Aber warum FF verbieten?? Ich glaube, du hast dir einfach zuwenig Gedanken darüber gemacht.

Ich schreibe mir die Variationen immer auf Papier / Word und dahinter, was ich alles ändern muss und wie flexibel ich dann in der Zukunft sein kann, wenn Änderungen kommen.


Grüße
Dani

Doch klar, geht ohne Probleme... Wieso auch nicht ??
Was siehst Du denn da für Probleme ??

Vom Prinzip istdie Anordnung richtig. Schau mal auf den ipcop-forum.de Seiten, dort findest du Hinweise, Tutorials und links zu url-filtering
Gruß
Connor1980