Implementing Google's Tech Note

In 9.2 you need Decrypt and Scan.  Basically, the proxy needs to interfere with the request that are going to Google and the only way to do that is with HTTPS Decrypt and Scan.

The HTTPS URL Filter Only is a new option in 9.2, but that is only for blocking domains based on category and blacklist.

If you are running Active Directory, you can do a GPO push to put the CA on every Windows computer that is part of the domain.

Thanks Michael Dunn,
I'm not crazy [;)]

So the scenario is a church that wants to content filter, yet allow people to bring their own devices.  BTW, I'm volunteering my time to figure this out.

There is no AD in place to push out a policy, besides it's basically public access to a segmented wireless AP.  
The URL filtering works great, it's the image search that's the issue.

So given this, implementing Google's tech-note seems like a reasonable solution, yes?

Can I do the CNAME change in UTM or do I need to have an external DNS server to do this?

Thanks again

Thanks Michael Dunn,
I'm not crazy [;)]

So the scenario is a church that wants to content filter, yet allow people to bring their own devices.  BTW, I'm volunteering my time to figure this out.

There is no AD in place to push out a policy, besides it's basically public access to a segmented wireless AP.  
The URL filtering works great, it's the image search that's the issue.

So given this, implementing Google's tech-note seems like a reasonable solution, yes?

Can I do the CNAME change in UTM or do I need to have an external DNS server to do this?

Thanks again

No.  I have a church client.  it is understood as a matter of policy that if you BYOD it is on the free wifi network..it is not able to connect to the internal wifi or network...period.  It is also understood that the free wifi is subject to the same filtering policies of the internal network.  If you don't like it..don't connect.

If they want the image search to be implemented within https HTTPS scanning must be fully enabled on everything.  That's the nature of https.  I'm not a fan of BYOD.  I think it's a horrid idea and i do not have a single client that has access to anything sensitive on non corporate owned devices..simply because of the pretzel you are trying to turn your IT environment into.  I've had several clients turn me down due to this stance only to come back to me later once they had the inevitable breach the BYOD brings.

So just to follow-up on this issue....
I pointed the DNS forwarders in UTM to a RaspberryPi running dnsmasq on the same network.  
dnsmasq is configured to use the /etc/hosts file to resolve name requests, so I've added 

216.239.32.20    www.google.com

 to the /etc/hosts file on the RaspberryPi.  216.239.32.20 is the ip address for nosslsearch.google.com.  
BTW, dnsmasq then uses OpenDNS (family friendly of course) if the name is not in the local cache. (note: I added a dns firewall rule to let just the RaspberryPi get out to OpenDNS).

In Web Protection.Web Filter Profiles.Filter Actions.Edit.Additional Options: Google, Bing and Yahoo safe search are turned on.  The proxy is in transparent  mode and URL filtering only.  

Now, with a workstation w/o a UTM cert, if I search for something like "naked girls" on google.com I get the safe search message in the results that says "naked" was removed from the search and google-cleaned results are returned.  If I click the "images" link in the same search results, I just get image results from "girls" with the note that safe search has removed "naked" from the search as well.

This is the result I predicted/expected based on the concepts discussed here.  Prior to this the Google safe search would not "work" unless I put a UTM cert on the client workstation.

All said, if, in a feature update, an option could be added to alias www.google.* with nosslsearch.google.com that would be cool for these kinds of situations.

Thanks all for the clarifications.  Hope this is of value to someone else down the line.

Ciao

Thanks William for your input.

Just as an aside to the topic at hand.  The wireless access is segmented and logically isolated.

The above solution I've described improves the content filtering for these BYOD's.

Thanks William for your input.

Just as an aside to the topic at hand.  The wireless access is segmented and logically isolated.

The above solution I've described improves the content filtering for these BYOD's.