Google SafeSearch mit CNAME

Szenario:

Eine Schule möchte unangebrachte Bilder aus den Suchmaschinen gefiltert haben. Ein einfacher Weg dies zu realisieren ist Google SafeSearch einzubinden.

Google SafeSearch einrichten

Während das Filtern von Web-Sites über den Content Filter einfach zu realisieren ist, ist das Entfernen von ungeeigneten Bildern aus den Resultaten von Suchmaschinen mit wesentlich mehr Aufwand verbunden. Im Zuge von „Schulen ans Internet“ bieten die Suchmaschinen Google und Bing eine Möglichkeit, um den SafeSearch Modus auf Netzwerkebene zu aktivieren. Der Client hat in diesem Fall keine Möglichkeit, diesen Modus zu deaktivieren. So lassen sich Bildabfragen ohne großen Aufwand filtern.

In diesem Beispiel zeigen wir, wie Google SafeSearch auf Netzwerkebene verwendet werden kann. SafeSearch ist hier für alle Clients im LAN1 aktiviert.

Zuerst muss sichergestellt werden, dass die LAN1 Zone den Zywall DNS-Server verwendet:

Configuration > Network>Interface>Ethernet>LAN1 

Dazu wird als First DNS Server: ZyWALL gewählt:

Als nächstes werden in den DNS-Einstellungen die notwendigen Umleitungen erstellt.
Dazu werden die CNAME-Records verwendet:

Configuration>System>DNS>CNAME Record

Für jede gewünschte Länder-Domäne muss ein CNAME-Record erfasst werden.

Damit alle anderen Länder gesperrt werden, muss ein entsprechendes Content-Filter Profil erstellt werden.

Alle Adressen die zugelassenen werden sollen werden hier erfasst und mit Apply bestätigt.

Configuration>UTM Profil>Content Filter>Trusted Web Sites

Damit die soeben erstellte Regel zur Anwendung kommt, muss diese im Content-Filter Profil angegeben werden. 

Configuration>UTM Profil>Content Filter Profile

Hier wird das gewünschte Profil geöffnet, hier z.B. Office_profile.

Unter Custom Service muss nun die die Option Enable Custom Service und Check
Common Trusted/Forbidden List aktiviert werden

Um zu verhindern, dass ein anderer DNS-Server als die USG verwendet werden kann,
wird die DNS-Service-Gruppe aus der LAN-Zone geblockt. Dazu kann die vordefinierte
DNS-Gruppe verwendet werden.

Configuration>Security Policy>Policy Control>Add

Damit diese Regel angewendet wird, muss sie vor der allgemeinen LAN-Regel stehen
(LAN1_Outgoing).

In der LAN1_Outgoing Regel das Content Filter Profil Office_profile aktivieren:

Google SafeSearch ist nun auf der USG aktiviert und nicht eingetragen Länder Domänen werden blockiert:

Über CNAME lässt sich auch Bing und YouTube einschränken. Bei diesen Diensten
reicht der CNAME-Eintrag:

KB-00359