staging.inyokaproject.org

Hallo zusammen,

folgendes Szenario: Meine Tochter benutzt einen Rechner mit Xubuntu, für die Schule, aber auch für Netflix. Das ist prinzipiell auch okay, aber ich würde gerne ihre Nutzungszeit für Netflix begrenzen. Ziel ist es, dass z.B. nach einer Stunde pro Tag auf dem Gerät Netflix blockiert wird.

Kann ich das als Admin des Rechners einrichten? Wenn ja, wie? Sollte das besser am Router (Fritzbox) oder am Endgerät eingestellt werden?

Ich bitte um Eure Anregungen.

Grüße

schollsky

Ich habe es mir jetzt nicht im Detail angeschaut, aber die FRITZ!Box bietet da schon was. Ich würde das nehmen.

Netflix läuft über den Port 443, den möchte ich aber nicht sperren (HTTPS). Soweit ich das sehe, kann ich bei der Fritzbox auch nur feste Nutzungs- oder Sperrzeiten allgemein festlegen. Das ist also nicht ganz das Gewünschte.

Hat vielleicht noch jemand eine Idee?

Grüße

schollsky

Hallo!

Wie fit ist denn deine Tochter am PC? Welche Dienste laufen bei dir im heimischen Netzwerk? Gäbe da ein paar Ansatzmöglichkeiten. Das idealste wäre Vertrauen 😀
Das Problem ist, das solche Dienste keine prüfbare IP haben, da das alles über Amazon-Server, Akamai, etc. läuft, ansonsten liesse sich über ss bequem die Verbindung am PC tracken. (traceroute läuft auch ins Nirvana)

Zunächst müsstest du die Nutzung dokumentieren. Das geht wohl am einfachsten über einen Proxy oder ggf. reicht auch ein lokaler DNS, bei dem du die Anfrage nach Netflix aus dem Log parsen könntest.
Sperren ginge dann auch über DNS. Nicht ganz zuverlässig, aber für einen „unbedarften“ Nutzer ausreichend. Das Problem dabei ist, das sie die Namensauflösung auch googlen kann und eben den DNS umstellen oder die IP ermitteln.

Direkt am Gerät der Tochter wüsste ich nicht, wie man einzelne Webseiten so blocken könnte, das sie da nicht drumherum werkeln kann. Zudem gibt es auch noch die Möglichkeit auf YoutTube, Vimeo und Konsorten auszuweichen.
Je mehr ich drüber nachdenke, desto mehr wird ein Proxy gebraucht, der ihren gesamten Traffic routet.

Hallo ChickenLipsRfun2eat, Du schriebst:

Wie fit ist denn deine Tochter am PC? Welche Dienste laufen bei dir im heimischen Netzwerk? Gäbe da ein paar Ansatzmöglichkeiten. Das idealste wäre Vertrauen 😀

Ja, stimmt natürlich. Die Schwierigkeit momentan besteht darin, dass sie jetzt in ein Alter gekommen ist, in dem die Eltern anfangen, Probleme zu machen... 😉

Bis auf die Fritte, die DNS zur Verfügung stellt, läuft hier nix an Diensten.

Das Problem ist, das solche Dienste keine prüfbare IP haben, da das alles über Amazon-Server, Akamai, etc. läuft, ansonsten liesse sich über ss bequem die Verbindung am PC tracken. (traceroute läuft auch ins Nirvana)

Bei meiner Suche habe ich diese Webseite mit Informationen über Netflix gefunden:

https://partnerhelp.netflixstudios.com/hc/en-us/articles/115000257627-What-are-Netflix-s-IP-Addresses-and-Port-Ranges-

Könnte ich da eine geeignete Gegenstelle blockieren? Wenn ja, welche?

Zunächst müsstest du die Nutzung dokumentieren. Das geht wohl am einfachsten über einen Proxy oder ggf. reicht auch ein lokaler DNS, bei dem du die Anfrage nach Netflix aus dem Log parsen könntest.
Sperren ginge dann auch über DNS. Nicht ganz zuverlässig, aber für einen „unbedarften“ Nutzer ausreichend. Das Problem dabei ist, das sie die Namensauflösung auch googlen kann und eben den DNS umstellen oder die IP ermitteln.

Am Rechner ist meine Tochter keine blutige Anfängerin mehr, aber eine DNS-Sperre könnte sie wohl nicht aushebeln (zumindest vermutlich für die nächsten drei bis vier Jahre nicht). Sie nutzt Webmail, den Schulserver und Textverarbeitung. Generelles Surfen nicht unbedingt.

Direkt am Gerät der Tochter wüsste ich nicht, wie man einzelne Webseiten so blocken könnte, das sie da nicht drumherum werkeln kann. Zudem gibt es auch noch die Möglichkeit auf YoutTube, Vimeo und Konsorten auszuweichen.

Das stimmt natürlich. Wobei YouTube momentan zum Glück nicht das Problem ist. Wenn es soweit kommt, würde ich mich dann auch darum kümmern.

Je mehr ich drüber nachdenke, desto mehr wird ein Proxy gebraucht, der ihren gesamten Traffic routet.

Hm. Könnte der Proxy nicht auch auf derselben Maschine laufen, die blockiert werden soll? Ich würde ungern einen weiteren Rechner extra dafür aufsetzen. Klar könnte meine Tochter das dann selbst ausschalten. Aber bis sie sich traut, die Netzwerkeinstellungen selbst zu ändern, habe ich wohl noch Zeit. Momentan weiß sie noch nicht, was das ist und wofür.

Grüße

schollsky

schollsky schrieb:

… in dem die Eltern anfangen, Probleme zu machen... 😉

Ja, war mit meinen Eltern auch so… Wie die sich während meiner Pubertät benommen haben, war echt zweifelhaft… 😀

Könnte ich da eine geeignete Gegenstelle blockieren? Wenn ja, welche?

Das müsstest du mal probieren. Bei mir findet da eine Verbindung über ipv6 statt. Du kannst das recht primitiv über ss machen. Browser öffnen, Netflix öffnen, etc. nur noch nichts streamen. Dann mittels ss -ta > vorher den Zustand „sichern“. Stream starten (etwas warten, wegen Buffering, etc. je nachdem was im Netz noch los ist) und dann ss -ta > nachher. Dann kannst du mittels diff vorher nachher die Unterschiede auslesen. Wesentlich umfrangreicher geht das natürlich mit ss -tualpen oder ss -tulpeno state established, ist aber nicht so einfach gehalten.

Kann das auch später gerne ausprobieren, nur gerade ist mein Netzwerk überlastet, weil ich Datenmengen per NFS rumschaufle.

Das stimmt natürlich. Wobei YouTube momentan zum Glück nicht das Problem ist. Wenn es soweit kommt, würde ich mich dann auch darum kümmern.

Da wäre dann eine Whitelist ggf. interessant. Welche Seiten sie darf und welche nicht. → Archiv/Kinder war mal ne Übersicht.

Hm. Könnte der Proxy nicht auch auf derselben Maschine laufen…

Klar. Aber wenn sie dann den Proxy umgeht und sich direkt mit der Fritzbox verbindet, hast du viel Arbeit unnötig verballert.

Gerade das gezielte Filtern von einzelnen Seiten ist schwer. Theoretisch braucht sie nur Tor lokal einrichten, über eine Websuche auf die Seite, etc. und das Thema ist durch. Da musst du schon den gesamten Verkehr regeln und eben alles zulassen, bis auf diese eine Einschränkung.

Hallo,

du kannst in der FritzBox Profilen Filterblacklisten zuweisen und auf der Blacklist Netflix aufnehmen. Die URLs, die du eintragen musst, findest du im Netz.

ABER: AFAIR (wir hatten das mal eine Zeit lang für YT zu Hause) geht das nicht nutzungszeitbasiert, sondern nur zeitbasiert...

Und noch ein zweiter Tipp: sicherstellen, dass das Kind _nicht_ die Zugangsdaten für den Gastzugang hat, sonst schaut es halt darüber, weil die Blacklist da nicht greift.

Kann man in Netflix nicht auch einzelnen Profilen Nutzungszeiten zuordnen? Wir haben zwar auch Netflix, aber keine Notwendigkeit, dass zu reglementieren...

Gruß, noisefloor

Irgendwas mit iptables bzw. nftables basteln?

Es gibt doch diese Blacklist Scripte die gegen Angriffe von außen IPs für eine gewisse Zeit sperren. Das müsste man bloß umgekehrt machen, so dass ein erster Zugriff auf Netflix für die gewünschte Zeit Netflix auf eine Whitelist setzt, die dann zum Beispiel nach einer Stunde, also möglicherweise auch vor Ende des Films, die Verbindung kappt. Uiuiui, das gibt dann Ärger. 😇

Danke für Eure Vorschläge! ☺ Den Tip mit ss werde ich bald mal ausprobieren. Bis ich eine fertige Lösung habe, kann es allerdings noch dauern.

Grüße

schollsky

noisefloor schrieb:

Kann man in Netflix nicht auch einzelnen Profilen Nutzungszeiten zuordnen? Wir haben zwar auch Netflix, aber keine Notwendigkeit, dass zu reglementieren...

Nein, ist da nicht vorgesehen. Habe schon nachgeguckt. Wäre ja auch zu einfach 😉

trollsportverein schrieb:

Irgendwas mit iptables bzw. nftables basteln?

fail2ban wäre ne Idee. Aber auch dafür brauchst du eine Logdatei, die du auswerten kannst. Wenn wir bei „ohne Proxy“ bleiben: Zunächst muss die Zeit ja irgendwie erfasst werden. Soweit ich weiß kann man aufgerufene URLs nicht per DBus oder ähnlichem Abfangen, da ist schon mal der erste Haken. Die IP-Adressen mittels ss überwachen geht zwar theoretisch, verursacht aber ziemlich viel Last.
Ich würde das Pferd auch gerne von hinten aufzäumen. Generell ist Netflix verboten. Beim Zugriffsversuch wird aber die Sperre für eine Stunde aufgehoben. Ergo muss man den Zugriffsversuch abfangen. Im Zweifel mit einem lokalen Webserver, der auf netflix reagiert 😉

Mittels nftables blocken ginge, wenn man alle ips zusammenfindet. Ich würde da aber noch beim stupiden Ansatz bleiben, so lange der tut und in der /etc/hosts einfach falsche IP-Adressen eingeben. Das hebelt systemd-networkd & Co direkt aus, da die Datei vorrang vor allen DNS-Servern hat. Bleibt das Problem mit dem ermitteln der Eingabe.
Oder die Tochter bekommt ne App „Netflix freischalten“, die entsprechend die Datei ändert. Das wäre dann einfach umzusetzen.