Einrichten eines Proxy-Servers mit Jugendschutzfiltern für das MDM-Netz der paedML-Linux mit Erweiterung für iPads

Anmerkung Johannes Albani: Das LMZ hat nun die Anleitung zu JusProgDNS veröffentlicht.  Dieser Dienst könnte eine Alternative zur im folgenden Vorgestellten Jugendschutz Filterung darstellen. 

Anmerkung Tino Aidam: Wie es scheint, ist die Shalla-Liste zumindest vorrübergehend offline, wann sie wieder online geht ist nicht bekannt. 

 ("Due to personal reasons and the political situation in this country the company Shalla Secure Services has been closed and in consequence the blacklist service has been stopped.
Sorry for any inconveniences.
Time will tell if we can start in another country again.", http://www.shallalist.de/, 17.03.2022)

Diese Anleitung kann weiterhin mit anderen Blacklists genutzt werden, die an Stelle der Shalla-Liste eingetragen werden können. 

 

Wenn man in der paedML-Linux iPads nach der Anleitung des LMZ einsetzten will, wird man feststellen, dass Stand heute (08.12.2021) die aktuellste Anleitung keine wirklich befriedigende Antwort auf die Frage bringt, wie man denn eine Proxyfilterung für diese umsetzen kann. Glücklicherweise bietet die von der paedML-Linux eingesetzte Firewall - die pfSense – eine Möglichkeit, einen Squid-Proxy einzusetzen, um genau das zu erreichen.

Dazu muss man auf der Firewall unter „System/Package Manager“ die beiden Pakete „squid“ und „squidGuard“ installieren. Squid ist dabei der eigentliche Proxy und squidGuard der zugehörige Webfilter.

 

 

Wenn diese Pakete installiert sind, kann man den Proxyserver unter „Services/Squid Proxy Server“ konfigurieren.

Hier aktivieren wir nun einige Punkte:

   1. Enable Squid Proxy:

Ziemlich selbsterklärend

 

        2. Proxy Interfaces:

Hier wählen wir aus, auf welchen Interfaces unser Proxy laufen soll. In meinem Fall ist das das IPAD-Netz (entspricht dem MDM Netz aus der LMZ-Anleitung).
Zumindest bei mir ist der Proxy bereits angewesen und dem pädagogischen Netz zugewiesen, dies ist aber laut technischem Support LMZ nicht notwendig, da auf dem Server der paedML-Linux (10.1.0.1) bereits ein squid-Proxy läuft.

 

        3. Transparent HTTP Proxy:

Damit man keine Einstellungen auf den iPads machen muss, wir der Proxy als transparenter Proxy aufgesetzt.

 

        4. Transparent Proxy Interface(s):

Hier wählen wir wieder aus, auf welches Netzwerk wir den Proxy anwenden wollen. In meinem Fall das IPAD-Netz.

 

 

Da wir nicht nur HTTP-Anfragen abfangen wollen (die meisten „interessanten“ Webseiten benutzen inzwischen HTTPS), müssen wir nun noch das DNS-Filtering für HTTPS aktivieren.

Um das tun zu können, müssen wir unter „System/Cert. Manager“ noch eine neue interne CA (Certification Authority) hinzufügen (Falls man das gleiche Fenster benutzt, speichern nicht vergessen).
Auf dem Bild ist meine neue CA schon zu sehen, ich habe sie nicht extra nochmal gelöscht

 

Dazu auf „Add“ gehen und einfach eine neue Authority erstellen. Hier einen Namen eintragen. Ich habe noch die Haken bei „Trust Store“ und „Randomize Serial“ gesetzt, die restlichen Felder bleiben unberührt.

Nun mit Save erstellen und wieder zu „Services/Squid Proxy Server“ wechseln.

Dort stellen wir noch folgendes ein:

        5. HTTPS/SSL Interception:

Aktivieren, damit gefiltert wird

 

    6. SSL/MITM Mode:

            Splice All, sonst müssen wir auf allen Clients Zertifikate installieren

 

   7. SSL Intercept Interface(s):

Auch hier geben wir wieder die Interfaces an, auf denen das ganze laufen soll. In meinem Fall wieder IPAD.

 

        8. CA:

Hier wählen wir die eben erstellte interne CA aus.

Was das Logging angeht, dürft ihr selbst entscheiden, ob ihr Loggen wollt, wie viele Tage geloggt werden sollen usw.

Nun speichern wir das Ganze und haben damit unseren Proxy erstellt.

 

Jetzt müssen wir noch die Filter setzen. Das machen wir unter „Services/SquidGuard Proxy Filter“.

Hier habe ich die Haken bei

Enable

Enable Log

Enable Log Rotation

Und Enable Blacklist

gesetzt. Außerdem ist als Blacklist-URL http://www.shallalist.de/Downloads/shallalist.tar.gz hinterlegt. Die Shalla-Liste ist eine Liste, die diverse Kategorien von Webseiten enthält, von denen wir später auswählen können, welche wir blocken wollen. Sie ist außerdem die Liste, die vom LMZ in der paedML-Linux bereits benutzt wird, da bleibt man also konsequent.

Das ganze natürlich wieder mit Save speichern.

Achtung: Alle Einstellungen, die wir hier machen, werden erst aktiv, wenn der grüne Apply-Button gedrückt wird. Auch wenn man eine Einstellung geändert und gespeichert hat, ist sie noch nicht gültig, bis der Knopf gedrückt wurde. Bei der Ersteinrichtung ist auch der Status des Squid Gurads noch „Stopped“.

Nun unter der Unterkategorie „Blacklist“ einmal die hinterlegte Shalla-Liste durch einen Klick auf „Download“ herunterladen.

Jetzt gehen wir noch in die Unterkategorie „Common ACL“ und erweitern Target Rules List durch einen Klick auf das +-Symbol:

 

Hier Setzt man als unterstes den „Default access“ auf „allow“, damit grundsätzlich das Surfen im Internet erlaubt ist. Darüber kann man dann nach Kategorien auswählen, was man Blocken will.
Da ich nicht genau weiß, was in der Shalla-Liste enthalten ist und tendenziell eher für weniger als für mehr Restriktionen bin, habe ich mich mit dem Blocken mal zurück gehalten und werde die Liste nach Bedarf ausbauen.

Da ich vorhabe, auch die Dienst-iPads unserer Lehrer in dieses Netzwerk aufzunehmen, werde ich vielleicht auch noch unter der Unterkategorie „Groups ACL“ weitere Einschränkungen nur für die shared iPads unserer Schule hinzufügen, dass muss sich noch zeigen.

Nachdem wir unsere Filter-Einstellungen wieder gespeichert haben, müssen wir jetzt nochmal unter „General settings“ den Grünen Apply-Button drücken, denn sonst sind unsere Filter zwar schön und gut, aber leider nicht aktiv.

Nach der Anwendung läd sich die Seite einmal neu und der Status bleibt auf „STOPPED“. Wenn man die Seite allerdings 30 Sekunden später nochmal manuell neu läd, hat sich der Status auf „STARTED“ aktualisiert und ihr solltet von den iPads aus dem Netzwerk aus keine geblockten Webseiten mehr erreichen können (und ggf. jedes Mal ein wunderschönes Log speichern. Viel Spaß beim Erklären, wieso euer iPad auf www.porno.de wollte ;-P)

Ich habe das ganze zugegebenermaßen nicht alleine herausgefunden, sondern mich sehr stark an dieser Anleitung orientiert und bin dort abgewichen, wo mir eine andere Vorgehensweise sinnvoller erschien.

Ich hoffe, diese Anleitung hat euch weitergeholfen,

Viele Grüße,
Tino Aidam