解锁父母控制隐藏功能

萝卜大侠

父母控制其实支持应用拦截的功能，不过由于应用特征维护困难，后面没开放给用户。

现在教大家怎样解锁应用拦截功能
通过ssh登录路由器管理地址，我这里是192.168.8.1，管理地址变化的请自行更换

1. ssh root@192.168.8.1

复制代码

再通过uci命令使能app拦截选项并重启父母控制功能使其生效

1. uci set parental_control.global.update_url="https://github.com/gl-inet/parental-control/blob/main/files/app_feature.cfg"
   
2. uci set parental_control.global.update_time="04:00:00"
   
3. uci set parental_control.global.enable_app=1
   
4. uci commit
   
5. /etc/init.d/parental_control restart

复制代码

这个时候，我们再进入管理界面的父母控制页面中，可以发现多了特征库的选项，这里我们打不打开都行，内置有一个默认的特征库

然后，再添加或修改规则集设置，我们就可以看到可拦截的APP啦


最后，我们将规则集应用到需要的设备组即可使拦截规则生效

小赵先生

孩子用了可开心了，过来给我俩大比兜

困了就早睡

妈妈再也不用担心我玩手机了

tiancaiV

孩子拿着手术刀问我，，怎么上不了了，，我说萝卜干的

oliverlee

这个功能好，一直在试图安装类似OAF的插件但是都没成功，倒是有适合AXT1800并且集成了OAF的固件可用，但是不想把路由器固件刷成第三方的。新的版本有父母控制功能，开启后发现只能简单的控制时间，看到这个贴感觉可以重新开启试用一下。

顶一记

萝卜大侠

oliverlee 发表于 2023-5-9 14:57
这个功能好，一直在试图安装类似OAF的插件但是都没成功，倒是有适合AXT1800并且集成了OAF的固件可用，但是 ...

这个特征库用的就是oaf的

oliverlee

试用了一下，发现过滤规则不生效，不知道是哪里的问题？

萝卜大侠

oliverlee 发表于 2023-5-9 15:22
试用了一下，发现过滤规则不生效，不知道是哪里的问题？

访问被禁用的门户网站有效果吗？游戏APP的话可能是要更新特征库了，但门户网站应该是可以的。
另外，你怎么测试的？不会是用ping吧

oliverlee

被禁的门户网站，在没有加入被禁清单之前，点击即可打开。加入被禁清单后，会延迟几十秒，但是网页还是最终可以加载出来。目前测试了hao123、2345
系统日志：

萝卜大侠

oliverlee 发表于 2023-5-9 16:28
被禁的门户网站，在没有加入被禁清单之前，点击即可打开。加入被禁清单后，会延迟几十秒，但是网页还是最终 ...

看日志，你把检查特征库更新那个开关关闭应该就好了，原因是打开了自动更新特征库但没设置更新时间和url导致程序运行错误，已经更新了帖子中的命令

oliverlee

关闭了特征库更新开关，发现连延迟都没有，直接能打开被封的网站

oliverlee

这几个门户网站，第一次打开hao123无效4399无效（可直接打开），2345,17173,7k7k首次无法打开，过一分钟重新加载无法打开的网页可以打开

萝卜大侠

oliverlee 发表于 2023-5-11 15:36
这几个门户网站，第一次打开hao123无效4399无效（可直接打开），2345,17173,7k7k首次无法打开，过一分钟重 ...

我试一下哈，你的是官方的发布版本吧？

oliverlee

是的，官方版本

萝卜大侠

oliverlee 发表于 2023-5-12 09:43
是的，官方版本

在版本较新的浏览器确实是有问题，后续修正下

Justin

很好，感谢大佬

tuzhw

这个家长喜欢，孩子莫名的讨厌

老墩儿

高级高级

jevel

萝卜大侠 发表于 2023-5-22 14:28
在版本较新的浏览器确实是有问题，后续修正下

我也发现这个问题了，多刷新几下就可以浏览了。这是什么原理？
我排除了 IPv6，HTTP2 的影响，是不是因为浏览器与服务器的 HTTPS 证书握手协议换了一个不被 parental_control 支持的协议导致的？

jevel

看了下 parental_control 的源码，以及抓包分析了下，问题应该是 parental_control  只对 TLS client hello 过程中的 SNI （Server Name Indication 服务器名称指示）作检查 导致的。
有些版本的浏览器在多次刷新时，就不再进行 SNI 了，然后就绕过了 parental_control。

解决办法是增加对 TLS certificate 的 rdnSequence 进行检查（可能需要简单正则匹配）甚至 dNSName 进行检查。
由于此解决方法是针对的服务器回包，可能对旁路部署无效。另外，由于识别深度较大，可能性能消耗也较大。