[RESOLVIDO] Como bloquear sites que usam a porta Porta 443

[jquintao]

Olá Wemerson,

Sim... É possível... Estes usuários usam proxy? Se sim, vc pode bloquear editando arquivos .mas do squid...

Abraços,
Jorge Quintão

[wemersonrv]

O proxy é transparente! Dá certo assim?

[tacioandrade]

Dê uma lida: http://forum.zentyal.org/index.php/topic,14232.0.html

[jquintao]

Olá Wemerson,

Sem problemas... A limitação de proxy transparente é apenas não permitir usuários autenticados...

Abraços,
Jorge Quintão

[wemersonrv]

Pode dar um exemplo por exemplo bloqueando o facebook?

Te garanto que a grande maioria te coloca num pedestal... hehehehee

[jquintao]

Wemerson,

O mais simples é... Garanta que todos usem o DNS local... Crie uma zona facebook.com e aponte o www.facebook.com para o ip 1.1.1.1...

Abraços,
Jorge Quintão

[Jorges_CEC]

Bem Consegui resolver meu problema nas máquinas que usam windows
fiz uma alteração no arquivo de hosts do windows apontando o site do facebook para um endereço vazio
Como está ai embaixo

# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
#      102.54.94.97     rhino.acme.com          # source server
#       38.25.63.10     x.acme.com              # x client host

# localhost name resolution is handled within DNS itself.
#   127.0.0.1       localhost
#   ::1             localhost
#Inicia bloqueio do Facebook
#      0.0.0.0 facebook.com
#      0.0.0.0 www.facebook.com
#      0.0.0.0 facebook.com.br
#      0.0.0.0 www.facebook.com.br
#      0.0.0.0 pt-br.facebook.com
#      0.0.0.0 www.pt-br.facebook.com


Fazendo isso o Windows consulta primeiro o arquivo de hosts ao invés de ir ao Proxy
também é possível fazer isso modificadando as IPTABLES no Zentyal mais não tenho
a mínima ideia de como se faz =(

[jbahillo]

Olá Jorges:

certamente é uma soluçao, voce pode fazer isso mesmo no Zentyal, criando um domínio para facebook.com e apontando para uma IP fictícia, e forzar a toda a rede a consultar o zentyal quando fazendo uma consulta DNS (DNS cache transparente). Isto criará uma regla no iptables que transportará qualquer petiçao dns (porto 53) para a IP da zentyal

[Jorges_CEC]

O Problema é que irá afetar toda a rede e no meu caso preciso apenas de algumas =(

[jbahillo]

Voce poderia aplicar a regla redirect so para determinados rangos / IP's com --source IP e aplicandoo com um hook postservice

[jquintao]

É isto ai pessoal... O recurso de alterar o DNS funciona... Alterar o arquivo hosts da máquina também funciona... Eu, sinceramente, prefiro não usar proxy transparente, fazendo a configuração do proxy no navegador... Para quem tem AD, é possível automatizar esta configuração...

Abraços,
Jorge Quintão

[issiqueira]

Voce poderia aplicar a regla redirect so para determinados rangos / IP's com --source IP e aplicandoo com um hook postservice

jbahillo

Não entendi direito...

Tem como aplicar a regra só pra alguns ips?? se sim da uma explicada melhor por favor.

[jbahillo]

Quando voce configura o DNS como cahe transparente, ele engade estas regras no iptables:

Code: [Select]

-A premodules ! -d 192.168.15.1/32 -i eth0 -p tcp -m tcp --dport 53 -j REDIRECT --to-ports 53
-A premodules ! -d 192.168.15.1/32 -i eth0 -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
Se voce desejar que esta regra nao afecte a algum usuario, debe INSERIR (é improtante já que o append nao influiria)

Code: [Select]

iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 53 -s IP-QUE-NAO_AFECTA -j RETURN
iptables -t nat -I PREROUTING -i eth0 -p udp --dport 53 -s IP-QUE-NAO_AFECTA -j RETURN

[glaubermenezes]

A unica maneira que consegui foi abandonando o proxy transparente e utilizando proxy configurado no servidor. Para facilitar a configuração eu utilizei WPAD.

[jquintao]

Olá Glauber,

A melhor opção é sem dúvida abandonar o proxy transparente...

Abraços,
Jorge Quintão