在工作场所访问色情网站？用这一招绝对杜绝

前几天去朋友的公司玩，在走过工作区的时候，瞟见了一大姐在浏览色情网站。当即立断和朋友说了这个问题。

都是“资本家”并不愿意花钱请人来自己的公司摸鱼，也绝对厌恶出现在工作场所上色情网站这种不体面的事情。

那么如何杜绝呢？

这件事，要从早早年间说起，在很早之前web服务器是有分级内容选项的，在一个web服务商在建立一个站点的时候，会设置一下http头的标头信息。

在这里面就有内容分级的设置。

可以通过将http头的标项rating内容设置为“adult”，或者“RTA-5042-1996-1400-1577-RTA”来告知浏览器这是一个成人网站，浏览器在载入网站的时候会检测一下rating标头决定是不是对这个网站的内容依据用户的设置显示出来。

当然了，对应的浏览器上也有对于内容审查的设置项目。

这个对应项目就是针对于网站的分级来做的客户端限制。

一般的来说，正经的色情网站在都会在自己的http标头中给出这项设置，大大方方的告诉大家自己是一个色情网站。例如：

但是你也知道，人嘛……总有一些网站担心这种方式会抵消自己的用户流量，而并不去设置这个标签。导致很多人会误入到色情网站中。当然了也有一些利益熏心的人也会故意把这些标签取消掉。

所以目前的情况是在很多浏览器上，内容分级都成了聋子的耳朵——摆设一般。甚至已经有一些浏览器自己也主动的舍弃掉了内容分级的设置功能。

怎么办？

其实我们是可以利用一些服务商提供的安全DNS系统将色情网站阻挡在网络系统之外的。

例如Norton DNS,这是提供了一定程度安全性的免费公共 DNS ，一共提供三项安全策略：

A — 安全（病毒、钓鱼网站和诈骗网站）：199.85.126.10

B — 安全 + 色情：199.85.126.20

C — 安全 + 色情 + 其他：199.85.126.30

如果我们需要防范色情网站的话，采用方案B在公司内部署就可以了。

说下方法：

在公司路由器的DHCP服务选项中，将所有客户机的DNS服务器地址设置为199.85.126.20

这时候通过公司内网络上网的设备DNS服务器的地址就会被更新为方案B的199.85.126.20。

当用户试图进入色情网站的时候。

色情网站的网址就会被安全DNS的规则所阻止。

从而在浏览器中显示无法打开。

当然了，这时候会有一些大聪明觉得，你不就是改了一下DHCP分配的DNS地址吗？洒家改其他可以用的不行吗？

好了，我们来说说DNS劫持？

通常的情况下，对企业内部的局域网进行DNS分配的时候我们都会采用两个策略，第一是有一个很明显的DNS地址，这个地址也就是DHCP服务器给大家分配的地址。

但是，还会制定一个DNS劫持策略，让在这个局域网内的所有DNS请求都转发到我们希望的DNS服务器上。

怎么做？

以MikroTik router OS系统为例：

进入Router OS的IP防火墙NAT设置，在其中增加两个项目：

很简单写，

将chain设置为dstnat，src.Address（源地址）设置为自己的局域网网段。这个例子是192.168.0.0/24，也就是整个192.168.0的局域网。协议Protocol，设置为TCP,目标端口 Dst Port设置为53。

这样就选出了在局域网上需要访问DNS服务器的所有数据包。

然后在动作选项中设置为dst-nat，将数据包进行劫持，转发到地址 199.95.126.20的53端口上。

由于DNS可以走TCP协议和UDP协议，因此再做一条和UDP相关的设置，其实也就是在协议的部分将TCP改写成UDP

设置完成这两个项目，在局域网内的DNS数据就全部被劫持。无论是客户机设置的DNS是什么地址，最终都会被这两条设置转发到诺顿的安全DNS服务器上进行解析。

这时候，无论大聪明们怎么折腾，在这样设置的局域网内访问色情网站的事情就被完全杜绝了。

经过这件事，你学到了点什么吗？

作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～