classic.ISPforum.cz

Máme již delší dobu v jednom zdravotním středisku připojených pár ordinací doktorů, pár ordinací ještě připojených nemáme. Protože tam téměř není signál na LTE (stará budova, tlusté zdi), rádi bychom tam na vlastní náklady vybudovali a provozovali WiFi síť pro čekající pacienty.
Nechceme ale, aby toho využívali doktoři a buď naše přípojky rušili a nebo (ti dosud nepřipojení) je ani neobjednávali - napadlo nás tedy na veřejné WiFi blokovat EET a připravovaný eRecept. Tedy pacienty to nijak neomezí, doktoři to mohou na mobilech atd využívat také, ale ne jako své "hlavní podnikatelské připojení".
Máte někdo zkušenost, na jakých portech / IP adresách EET a eRecept běží a jak to lze spolehlivě filtrovat?

Můžeš blokovat celý subnet, který EET využívá. Nevím ale co na to síťová neutralita.

a co udelat hotspot na 1 hodinu/den/mac

Omezovat casove na MAC nechceme. Dost casto tam jedni pacienti cekaji dele, nez druhy doktor vedle ordinuje Nehlede na to, ze na EET vlastne internet "hodina denne" staci.
Sitova neutralita tezko rict - myslim, ze na verejne WiFi, ktera je zdarma, si muzeme filtrovat co chceme...?
Jaký je "celý subnet který EET využívá" právě netušíme - na to právě směroval náš dotaz. To samé u eReceptu. Blbé je, že funkčnost ani jednoho filtru nemáme moc jak vyzkoušet...

Výrobci pokladen píší, že pro provoz EET je potřeba povolit minimálně eet.cz na portu 443.
Takže předpokládám, že by mohlo stačit zablokovat pouze tohle.

To je dost blbý zaříznout celý https !
Edit: IP scan 5.145.104.0/21
někde kolem kolem
5.145.104.9-10 ns1.eet.cz, ns2.eet.cz
5.145.105.129-133 další EET

milan.zelina píše:To je dost blbý zaříznout celý https !

A co tak redirect na vsetky dns dotazy na mikrotik a potom staticky zaznam na eet.cz


/ip firewall nat
add action=redirect chain=dstnat comment="redirect dns" dst-port=53 protocol=udp
add action=redirect chain=dstnat dst-port=53 protocol=tcp

/ip dns static
add address=127.0.0.1 regexp=".*\\.eet\\..*"
add address=127.0.0.1 regexp="^eet\\..*"

A co L7 filtr? Stovky Mbit provozu tam asi nepotečou ...

Myslím si, že jsem kdysi někde viděl oficiální IP rozsah pro EET, ale najít se mi to nedaří.

Obrátil bych se na MFČR nebo SPCSS s dotazem. Určitě již někdo řešil, jak na firewallu povolit jen EET (pochybuji, že síťaři např. ve velkých řetězcích jen tak pouštějí svoje "pokladní servery" volně do internetu...)

http://www.etrzby.cz/assets/cs/prilohy/ ... ce_3.1.pdf

Produkční prostředí je přístupné na URL
https://prod.eet.cz:443/eet/services/EETServiceSOAP/v3,
resp. na URL odpovídajícím aktuální verzi rozhraní.
Mechanismy vysoké dostupnosti produkčního prostředí využívají DNS balancování. DNS záznam
prod.eet.cz vrací několik IP adres podle aktuální dostupnosti částí produkčního prostředí.
Implementace pokladních zařízení musí používat DNS jméno a respektovat TTL DNS záznamů
prod.eet.cz. Při navazování nových spojení musí pokladní zařízení vždy znovu pokládat dotaz na DNS
záznam prod.eet.cz.

Děkuji.