Netgate SG-1000 microFirewall

Author Topic: Como Bloquear https (facebook.com y otros)  (Read 40899 times)

0 Members and 1 Guest are viewing this topic.

Offline darome_nic

  • Newbie
  • *
  • Posts: 5
  • Karma: +0/-0
    • View Profile
Como Bloquear https (facebook.com y otros)
« on: January 22, 2014, 06:13:49 pm »
Hola Buenas noches:

Necesito bloquear ciertos accesos a paginas seguras (https) por ejemplo https:\\facebook.com, sin llegar
afectar la navegacion para grupos de paginas seguras como bancos y otros.
Alguien me puede ayudar; no he econtrado una respuesta clara si esto se puede hacer; esto son los paquetes y
versiones que tengo: PFSense 2.0.2

squid    Network    2.7.9 pkg v.4.3.3
squidGuard    Network Management   
Update Available!
Current: 1.4_4 pkg v.1.9.5
Installed: 1.4_4 pkg v.1.9.2Update this package.

Les agradecera su ayuda
« Last Edit: March 13, 2014, 04:26:45 am by bellera »

Offline mellomx

  • Jr. Member
  • **
  • Posts: 61
  • Karma: +0/-0
    • View Profile
Re: Como Bloquear https
« Reply #1 on: January 22, 2014, 09:44:28 pm »
amigo solo bloquearas facebook https teniendo tu proxy en modo no transparente  yo mori intentandolo y no pude en transparente

saludos

Offline amnarl

  • Sr. Member
  • ****
  • Posts: 549
  • Karma: +19/-29
  • Ser sabio no es saberlo todo.....
    • View Profile
    • Redsoporte//Online
Re: Como Bloquear https
« Reply #2 on: January 23, 2014, 06:14:49 pm »
Saludos mi estimado darome_nic al parecer tienes las herramientas para hacerlo, solo falta comprobar cual es tu diagrama de red para poderte ayudar. Ya que este tipo de web no son sencillas de bloquear simplemente. Te invito a publicar como tienes establecida la red para los servicios de tu lan
Configuracion y puesta en marcha de servers incluyendo pfsense en areas de produccion, para administrar y proveer servicios . Servicio tecnico presencial y online. Reparacion y mantenimiento de computadores. Instalacion y actualizacion de sistemas (Linux, Windows,Os/2) Conectividad a internet en zonas del Estado Lara donde no hay red cableada.
http://www.linkedin.com/pub/amnarlyei-goitia/66/b2/722

Offline uziel

  • Newbie
  • *
  • Posts: 1
  • Karma: +0/-0
    • View Profile
Re: Como Bloquear https
« Reply #3 on: January 24, 2014, 01:49:31 pm »
Yo lo que hicé fue bloquear el facebook por medio de las Rules...

Offline hatchivana

  • Newbie
  • *
  • Posts: 19
  • Karma: +6/-0
    • View Profile
Re: Como Bloquear https
« Reply #4 on: January 29, 2014, 12:47:02 pm »
Saludos.
Lo mejor que puedes hacer es Bloquearlas por medio de las Rules del Firewall solo tienes que buescar las IP de facebook, están por todas partes en Internet. Yo lo tengo de esa forma.

Offline lem13631363

  • Jr. Member
  • **
  • Posts: 30
  • Karma: +0/-0
    • View Profile
Re: Como Bloquear https
« Reply #5 on: January 31, 2014, 12:01:10 am »
crea una regla y bloquea solo el facebook si se puede en cualquier modo

Offline gus1185

  • Jr. Member
  • **
  • Posts: 32
  • Karma: +0/-0
    • View Profile
Re: Como Bloquear https
« Reply #6 on: January 31, 2014, 01:48:30 pm »
Bloquea por medio de regla, en un alias mete los siguientes segmentos que son de facebook.

103.4.96.0/22 173.252.64.0/19 173.252.96.0/19 204.15.20.0/22 31.13.24.0/21 31.13.64.0/19 31.13.64.0/24 31.13.65.0/24 31.13.66.0/24 31.13.68.0/24 31.13.69.0/24 31.13.70.0/24 31.13.71.0/24 31.13.72.0/24 31.13.73.0/24 31.13.74.0/24 31.13.75.0/24 31.13.76.0/24 31.13.77.0/24 31.13.78.0/24 31.13.79.0/24 31.13.80.0/24 31.13.81.0/24 31.13.82.0/24 31.13.83.0/24 31.13.84.0/24 31.13.85.0/24 31.13.86.0/24 31.13.96.0/19 66.220.144.0/21 66.220.152.0/21 69.171.224.0/20 69.171.239.0/24 69.171.240.0/20 69.171.255.0/24 69.63.176.0/21 69.63.184.0/21 74.119.76.0/22

Tambien te dejo los de Twitter.

199.96.63.0/24 199.16.156.0/22 199.59.148.0/22 199.96.57.0/24

El youtube lo puedes bloquear por capa 7.

Yo lo llevo asi y va de maravilla.

Saludos.

Offline bellera

  • Moderator
  • Hero Member
  • *****
  • Posts: 5576
  • Karma: +123/-51
    • View Profile
Re: Como Bloquear https
« Reply #7 on: February 01, 2014, 04:06:47 pm »
A título de recordatorio...

¿Cómo saber el rango de IPs de una gran compañía?
https://forum.pfsense.org/index.php/topic,36344

Nótese que algunos de los rangos obtenidos incluyen otros.

31.13.64.0/19 incluye 31.13.64.0/24 31.13.65.0/24 31.13.66.0/24 31.13.68.0/24 31.13.69.0/24 31.13.70.0/24 31.13.71.0/24 31.13.72.0/24 31.13.73.0/24 31.13.74.0/24 31.13.75.0/24 31.13.76.0/24 31.13.77.0/24 31.13.78.0/24 31.13.79.0/24 31.13.80.0/24 31.13.81.0/24 31.13.82.0/24 31.13.83.0/24 31.13.84.0/24 31.13.85.0/24 31.13.86.0/24

De hecho, la máscara 19 implica de 31.13.64.0 a 31.13.95.255 (http://www.subnet-calculator.com/cidr.php)

Funcionará igual, desde luego, aunque cargará algo más el cortafuegos.


Offline acriollo

  • Hero Member
  • *****
  • Posts: 665
  • Karma: +34/-0
    • View Profile
Re: Como Bloquear https
« Reply #8 on: February 01, 2014, 08:15:30 pm »
Puede hacerse también  de manera no muy elegante con un simple DNS override en el mismo pfs.

Esto obliga a usar el pfs de servidor de DNS.
Saludos.

Offline mellomx

  • Jr. Member
  • **
  • Posts: 61
  • Karma: +0/-0
    • View Profile
Re: Como Bloquear https
« Reply #9 on: March 12, 2014, 09:45:53 pm »
Camaradas bloquie el facebook en las reglas del cortafuego a como mensiono el amigo gus1185 mis preguntas son:
¿es posible que se cuelen los usuarios al facebook de alguna manera?
¿que tan fiable es esta reglas?

Saludos y espero comentarios de experiencia! ;D

Offline bellera

  • Moderator
  • Hero Member
  • *****
  • Posts: 5576
  • Karma: +123/-51
    • View Profile
Re: Como Bloquear https
« Reply #10 on: March 13, 2014, 04:25:51 am »
No sé si debería escribir esto...

Bueno, el método de evasión más curioso (tengo que postearlo en el foro en inglés) es traerse el portátil en marcha desde casa con la conexión a Facebook abierta.

Como que por norma una TCP se mantiene 24 horas, resulta que el cortafuegos admite la conexión...

Curioso, pero cierto.

Sleeping Facebook home connections brake corporative pfSense?
https://forum.pfsense.org/index.php?topic=73673.0


La lista de IPs te impide la realización de NUEVAS conexiones pero lo más efectivo que he encontrado es denegar el método CONNECT en squid (no transparente) para .facebook.com .twitter.com .youtube.com y filtrado de URLs con squidGuard.

Code: [Select]
acl stop_https_sites dstdomain .facebook.com .twitter.com .youtube.com
http_access deny CONNECT stop_https_sites

Estoy experimentando con squid3-devel para hacer SSL Bump (squid en modo transparente, que desencripta las conexiones https para ver las URLs de acceso y poder actuar en consecuencia). Eso sería lo ideal, pero hay que tener en cuenta que si los usuarios NO conocen las condiciones de conexión puede ser ilegal.

http://wiki.squid-cache.org/Features/SslBump

Paquete pfSense 2.1 squid3-devel, https://forum.pfsense.org/index.php?topic=73007.msg402349#msg402349

En resumen, con la lista de IPs solucionas bastante el problema, pero no del todo.
« Last Edit: March 13, 2014, 09:30:01 am by bellera »

Offline mellomx

  • Jr. Member
  • **
  • Posts: 61
  • Karma: +0/-0
    • View Profile
Re: Como Bloquear https (facebook.com y otros)
« Reply #11 on: March 13, 2014, 09:12:59 am »
interesante sr. bellera imaginase llevarse la computadora de trabajo a casa xD pero en general como dice usted  con la lista de IPs soluciono bastante el problema ya que por ejemplo cuando trataba de poner un AP era un problema ya que los portatiles personales que si deben tener acceso total tenian k configurar proxy y cuando salian de la empresa no tenian internet y me hechaban la culpa xD de k le hacia brujeria pero en fin kreo k este es un gran paso para mis necesidad de bloquear el facebook muchas gracias !

Offline bellera

  • Moderator
  • Hero Member
  • *****
  • Posts: 5576
  • Karma: +123/-51
    • View Profile
Re: Como Bloquear https (facebook.com y otros)
« Reply #12 on: March 13, 2014, 09:32:55 am »
los portatiles personales que si deben tener acceso total tenian k configurar proxy y cuando salian de la empresa no tenian internet

Esto se puede solucionar si el descubrimiento automático de proxy funciona (explicado arriba, en Documentación) o mediante archivo proxy.pac de configuración automática.

Offline mellomx

  • Jr. Member
  • **
  • Posts: 61
  • Karma: +0/-0
    • View Profile
Re: Como Bloquear https (facebook.com y otros)
« Reply #13 on: March 13, 2014, 10:24:51 am »
he leido los enlace acerca de WPAD pero la verdad no logro entenderlo para hacerlo ya que todos van directo a la configuracion no hay uno detallado de como krear paso a paso todo lamentablmente por falta de documentacion en español no utilizo esto aunk la verdad esto seria muy buena solucion a ese problema :(

Offline periko

  • Hero Member
  • *****
  • Posts: 1189
  • Karma: +17/-1
  • pheriko
    • View Profile
    • Soporte de Pfsense y Linux
Re: Como Bloquear https (facebook.com y otros)
« Reply #14 on: March 13, 2014, 11:13:20 am »
   Veo muchos casos donde desean atacar el problema de como controlar, FB, YouT, Tw, etc.

   La manera mas sencilla es squid, Modo Transparente, no Transparente.

   En mi poca experiencia, la diferencia del modo transparente es la facilidad de no tener que hacer nada y que el fw intercepte toda la comunicacion 80/443 y filtrarla sobre squid.

   Lo que hace el modo no transparente es que no tiene esa automatizacion, uno lo hace con simples reglas en el fw y al final es lo que hace el modo Transparente, el sistema lo hace por nosotros, es toda la diferencia.

   Tiempo atras asi se hacia en las versiones 2.0 y anteriores.

   Ahora, una vez hecho esto, necesitamos que el usuario no se de cuenta de esto, es la diferencia del mono transparente, pero del otro lado esta wpad, se ha hablado mucho de el aqui, hay post por todos lados.

   con Firefox, Iexplore, Safari, Chrome, excepto opera me ha funcionado, la doc en ingles no es nada compleja, con solo ver las imagenes se entiende.

   Un tip que les recomiendo es, antes de probar, correr ccleaner y borrar todo los temporales de sus navegadores, ya que ellos tambien manejan cosas temporales.

  Y claro al final, yo he tomando el control de mi red y bloqueado fb,yt sin problemas.

  Como nota, el problema aparece con los moviles, smartphones, muchos carecen de las opciones para ingresar los parametros del proxy o no tienen la habilidad para buscar wpad, y no es problema de pfsense u otro fw, es problema de la falta de sentido comun de los creadores en no pensar que estas funciones pueden servirles en algun momento.

   Mis 2 centavos, saludos.
« Last Edit: March 13, 2014, 11:17:54 am by periko »
Necesitan Soporte de Pfsense en Mexico?/Need Pfsense Support in Mexico?
https://www.facebook.com/BajaOpenSolutions
Estamos en Tijuana, pero no es obstaculo para brindarte nuestro servicio.
We are in Tijuana, but is not an obstacle to give you support.