Filtrage des sites consultables via BBOX3 - Ecoles

Hello à tous,

Je me tourne vers vous afin de trouver une solution simple à ma question

Au niveau informatique, dans plusieurs écoles (primaires) équipées de BBOX3 de chez Proximus, nous souhaiterions bloquer certains sites (Porn, jeux, etc..) via une blacklist ou autres ?

Est-ce que c’est possible de faire cela directement et facilement via la BBOX3 sans devoir configurer chaque appareil individuellement ?

En effet, il sera impossible de configurer chaque appareil manuellement vu le nombre d’appareil et de configuration différentes (tablettes, PC Pro, PC perso, smartphones, …)

En gros, nous souhaitons mettre en place un minimum de filtrage pour toutes les personnes connectées sur le réseau wifi de l’école (sans devoir investir dans des firewalls ou autres)

Merci pour votre aide et vos idées

Filtrage DNS ?
Kids — Un Internet sans risque pour les enfants — dns0.eu

adguard non ? ca filtre tout

Digitql a dit:

Filtrage DNS ?
Kids — Un Internet sans risque pour les enfants — dns0.eu

Cliquez pour agrandir...

Merci pour l'info, je vais tester !

titoum a dit:

adguard non ? ca filtre tout

Cliquez pour agrandir...

Cela implique de l'installer sur toutes les machines / périphériques ? Le but ici est de filtrer à la source afin d'éviter cela

Digitql a dit:

Filtrage DNS ?
Kids — Un Internet sans risque pour les enfants — dns0.eu

Cliquez pour agrandir...

super interessant, merci

Le risque avec Proximus c'est qu'un jour après avoir forcé un update dans leur BBOX, ils bousillent ta config (ça m'est déjà arrivé, bye-bye tables de routage & IPs fixes en 10.x.x.x) et que tout soit open sans que tu le saches.

Il vaudrait mieux se baser sur une solution avant leur routeur (dans le style de AdGuard Home).

troubleur a dit:

Cela implique de l'installer sur toutes les machines / périphériques ? Le but ici est de filtrer à la source afin d'éviter cela

Cliquez pour agrandir...

le mieux serait de placer un routeur juste derrière.

tu peux faire ca avec un minipc/nuc sous openwrt et lui filtrera tout le réseau avec adguard ou des règles spécifiques sur le firewall etc.

titoum a dit:

le mieux serait de placer un routeur juste derrière.

tu peux faire ca avec un minipc/nuc sous openwrt et lui filtrera tout le réseau avec adguard ou des règles spécifiques sur le firewall etc.

Cliquez pour agrandir...

dans 3 posts, vous allez lui proposer 3 nœuds ESX pour load balancé toute l'infra nécessaire : à savoir du firewall DFS, active directory ,kerberos, SSO, , des vlan avec switch low level, des GPO active directory, un proxy web, un reverse proxy , un service AV, en plus d'avoir son propre nœud BGP et ses serveurs DNS autogérés .

Je vous vois venir

on en peut rien si la bbox3 est fort limité surtout que pas sur qu'elle soit en mesure de bien gérer le traffic pour une école...

Est-ce que les écoles ne sont pas soumise un minimum au contrôle de leur trafic réseau/internet mis à disposition et ne doivent elles pas de ce fait logger un minimum celui-ci, et donc automatiquement prévoir un élément complémentaire à la Bbox ?

Ne serait-ce qu'en tant qu'employeur.
Ou ce n'est que la fédération wallonne qui est l'employeur de ce point de vue ?

pyngu a dit:

Est-ce que les écoles ne sont pas soumise un minimum au contrôle de leur trafic réseau/internet mis à disposition et ne doivent elles pas de ce fait logger un minimum celui-ci, et donc automatiquement prévoir un élément complémentaire à la Bbox ?

Ne serait-ce qu'en tant qu'employeur.
Ou ce n'est que la fédération wallonne qui est l'employeur de ce point de vue ?

Cliquez pour agrandir...

Les écoles s'en sortent déjà pas avec leur connerie de pacte d excellence.

Niveau IT, 75% c est le néant en terme de compétences. Le réseau c'est généralement la box FAI et des ap acheté au gré des promos. Voir des saletés de CPL

Bhazyl a dit:

Les écoles s'en sortent déjà pas avec leur connerie de pacte d excellence.

Niveau IT, 75% c est le néant en terme de compétences. Le réseau c'est généralement la box FAI et des ap acheté au gré des promos. Voir des saletés de CPL

Cliquez pour agrandir...

L'un n'empêche pas l'autre.

J'entend tout de même que depuis quelques années, les écoles commencent à avoir des conseillés en prévention qui font le job, j'ai eu des échos également sur la mise en place de politique de sécurité des données avec des DPO.

Alors, oui, je suis d'accord que ce n'est pas aux enseignants de s'inquiéter de ça, ils ont bien d'autres choses à faire, mais ça n'exempte pas les écoles de devoir respecter la règlementation. Les PO n'ont qu'à faire un peu leur job également.

Sinon il reste la solution simple , genre :
3 nœuds ESX pour load balancé toute l'infra nécessaire : à savoir du firewall DFS, active directory ,kerberos, SSO, , des vlan avec switch low level, des GPO active directory, un proxy web, un reverse proxy , un service AV, en plus d'avoir son propre nœud BGP et ses serveurs DNS autogérés .

en vrai le plus simple reste openwrt sur une machine reconditionnée.

une config qui est appliquée à l'ensemble des autres machines et fini.
si la machine A est màj, un fichier de config peut être partagé entre les écoles pour faire la même mise a jour.

instanz a dit:

Sinon il reste la solution simple , genre :
3 nœuds ESX pour load balancé toute l'infra nécessaire : à savoir du firewall DFS, active directory ,kerberos, SSO, , des vlan avec switch low level, des GPO active directory, un proxy web, un reverse proxy , un service AV, en plus d'avoir son propre nœud BGP et ses serveurs DNS autogérés .

Cliquez pour agrandir...

Tu peux nous donner le concret mtn stp

pyngu a dit:

L'un n'empêche pas l'autre.

J'entend tout de même que depuis quelques années, les écoles commencent à avoir des conseillés en prévention qui font le job, j'ai eu des échos également sur la mise en place de politique de sécurité des données avec des DPO.

Alors, oui, je suis d'accord que ce n'est pas aux enseignants de s'inquiéter de ça, ils ont bien d'autres choses à faire, mais ça n'exempte pas les écoles de devoir respecter la règlementation. Les PO n'ont qu'à faire un peu leur job également.

Cliquez pour agrandir...

Je te rejoins totalement sur le fait que les PO devraient jouer leurs rôles. C est malheureusement trop rarement le cas...

Pendant ce temps, en France...

le plus « rapide » pour du filtrage DNS , tu utilises les serveurs OpenDNS (maintenant Cisco Umbrella).

- Tu distribues les DNS d’openDNS via DHCP
- Tu dois t’inscrire sur https://signup.opendns.com/homefree/
- Renseigner ton ip publique sur le site
- Decider sur le site openDNS quelle catégorie tu veux filtrer

Sinon doc officiel :