Bloquear o acesso à Internet, mas não o acesso à rede para um usuário

Question

Oi eu gostaria de bloquear um usuário em todas as máquinas Linux (Debian Wheezy) de ser capaz de navegar na internet, chat e e-mail. No entanto, eles estão usando estações Rip baseadas em Linux para impressoras de grande formato, portanto precisam acessar tudo na rede local. Eles não precisam, no entanto, acessar qualquer coisa fora da rede local.

    

Answer 1

Use a regra iptables para bloquear o tráfego de saída de um usuário específico:

link

Desta forma, você tem controle total sobre os intervalos de ips que passam (por exemplo, apenas permitir bloco de endereços da rede local). É provavelmente útil também bloquear apenas portas específicas. No entanto ... se você permitir ssh, um usuário experiente irá configurar um túnel e sair do firewall. Se você permitir ssh para máquinas locais, este firewall terá que ser configurado em todas as máquinas que o usuário pode acessar, caso contrário, você pode simplesmente fazer um túnel para a máquina irrestrita mais próxima e acessar a web de lá.

Tudo depende do tipo de usuário que você tem. Se o usuário deve ser capaz de usar o ssh, e você realmente quer bloqueá-lo, então você tem um problema. Se for destinado a usuários não técnicos sem conhecimento ssh, apenas bloqueie todo o tráfego de saída e feche as portas ssh.

    

Answer 2

Se você estiver simplesmente tentando ocultar o acesso de saída de um nó à Internet e tiver certeza de que ele só precisa de recursos em sua sub-rede local, remova a rota do gateway padrão para esse host.

ip route delete <gateway address> dev <interface>