限制上网？

Question

如何限制用户，使他们只能访问某些网站？我需要什么设备？以及如何配置设置？请指导我。

（我正在考虑使用防火墙，设置允许访问的 ip 地址。就这样吗？）我是系统管理方面的新手。请多多包涵。

Answer 1

您需要一个代理（可以内置在普通防火墙中，也可以是特殊设备，也可以是“应用程序感知”防火墙）。

像鱿鱼这样的东西非常非常普遍。如果它在您的网关上（在防火墙中，例如 pfsense），您可以将其配置为透明防火墙。Windows 世界中的另一种常见方法是ISA/TMG。

这些解决方案都通过实际检查流经设备的流量来工作。简单地阻止 IP 地址并不是一个特别好的解决方案，因为站点 IP 地址可能会改变，或者实际上可能有数千个站点位于一个 IP 地址上。通过检查流量，您可以通过以下方式阻止：

• 域名（例如阻止 facebook.com）
• 请求字符串（例如，在 URL 中使用 ?myrequest=asdf 阻止任何内容）
• 返回的内容（例如阻止页面上带有“chicken”一词的任何内容）
• 内容标题（mime 类型，例如块 RAR/ZIP）
• 内容长度（例如块下载 > 5mb 大小）
• 病毒内容（即您实际上可以在下载文件时即时进行病毒扫描，在网络边缘阻止它，而不是在本地机器上）

等等等等。大多数设备甚至会为您编制一份不错的报告，为您提供用户浏览习惯的细分。热门网站、一天中的时间、内容类型等。

它们中的大多数（如鱿鱼和 TMG）还包括缓存，因此经常提出的请求不必每次都访问互联网并返回（例如谷歌主页）