Addon URL Filter - Filtrando URLs no seu firewall

Neste pequeno artigo vamos descrever as funcionalidades do addon URL Filter para os firewalls IpCop e SmoothWall. Para realizar os procedimentos a seguir é necessário ter o firewall instalado, juntamente com o Server Addon para instalação e funcionamento deste módulo.

calusbr

Por Lucas de Souza Rodrigues em 02/12/2010

Hits: 48.893 Categoria: Linux Subcategoria: Firewall

Parte 2: Filtros personalizados

Custom Blacklist (blacklist personalizada)

Esta seção serve para descrever quais os domínios e URLs proibidos, porém mesmo que uma categoria esteja setada e uma página de conteúdo proibido ainda esteja sendo exibida, é necessário descrever a mesma aqui.

Lado esquerdo: domínios
Lado direito: URLs

Custom Whitelist (whitelist personalizada)

Ao contrário da seção acima, esta permite que os domínios e URLs descritos aqui sejam permitidos para acesso.

Lado esquerdo: domínios
Lado direito: URLs

Custom Expression List (lista de expressões personalizada)

Esta lista serve para que ao digitar uma palavra em um site de busca ou pesquisa, o ipcop bloqueie o acesso baseado na expressão ou palavra digitada pelo o usuário. Como por exemplo a palavra "sexo".

Abaixo você pode descrever as expressões mais utilizadas pelos usuários para bloquear o acesso.

Sintaxe: (sexo|sex|[*****]|gay|etc)

File Extension Blocking (bloqueio de arquivo por extensão)

Como o próprio nome diz, esta seção faz bloqueio de arquivos por extensão, por exemplo, caso você acesse um e-mail e tente baixar um arquivo com extensão .src, .exe, .rar, caso o conteúdo esteja bloqueado, é impossível baixar o arquivo com a extensão desejada.

Páginas do artigo

   1. Instalação do URL Filter
   2. Filtros personalizados
   3. Configurações personalizadas
   4. Configurações avançadas
   5. Salvar opções e manutenção de filtros (URLs)

Outros artigos deste autor

JASmine - Gerenciamento e controle de impressões

IpCop - Um firewall personalizado

Openfire em Ação nos meios Corporativos

CUPS - Gerenciador de impressões

Cloud Computing, vantagens e dúvidas sobre esta tecnologia!

Leitura recomendada

Trabalhando com CARP nos BSD's

NoCatAuth - Construindo um firewall/gateway autenticado

UFW e GuFW, firewall simples ao alcance de todos

Arno Iptables Firewall (poderoso e simples)

Dois links de ADSL em um mesmo servidor

Comentários

Olá, Calubr. como vai?
Entao... montei um servidor com IPCop e até entao so existia o URL Filter instalado. instalei o Advanced Proxy no IPCop e depois disto alguns enderecos sao bloqueados ou entao partes das paginas ficam bloquedas. Por exemplo, os sites www.itau.com.br, www.bancoreal.com.br tem em suas paginas principais, no top, o painel para acessar a conta. Com o Proxy ativo, o browser nao mostra estes paineis e o browser fica tentando buscar. Outro problema serio é quando queremos enviar a NF-e para ser validada pelo SEFAZ. O software tenta enviar o arquivo por https://. Os enderecos tem sido esses, por exemplo:
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfestatusservico.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfecancelamento.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfeconsulta.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfeinutilizacao.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nferecepcao.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nferetrecepcao.asmx
- https://nfe.fazenda.sp.gov.br/nfeWEB/services/cadconsultacadastro.asmx

O proxy nao esta em modo transparente pois se estivesse, sei que HTTPS nao passaria. Porem neste caso a mensagem que vem é forbidden 405.

O que pode estar ocorrendo?

#1 Comentário enviado por pcxt11 em 04/12/2010 - 21:27h

Olá, Calubr. como vai?
Entao... montei um servidor com IPCop e até entao so existia o URL Filter instalado. instalei o Advanced Proxy no IPCop e depois disto alguns enderecos sao bloqueados ou entao partes das paginas ficam bloquedas. Por exemplo, os sites www.itau.com.br, www.bancoreal.com.br tem em suas paginas principais, no top, o painel para acessar a conta. Com o Proxy ativo, o browser nao mostra estes paineis e o browser fica tentando buscar. Outro problema serio é quando queremos enviar a NF-e para ser validada pelo SEFAZ. O software tenta enviar o arquivo por https://. Os enderecos tem sido esses, por exemplo:
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfestatusservico.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfecancelamento.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfeconsulta.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nfeinutilizacao.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nferecepcao.asmx
- https://nfe.fazenda.sp.gov.br/nfeweb/services/nferetrecepcao.asmx
- https://nfe.fazenda.sp.gov.br/nfeWEB/services/cadconsultacadastro.asmx

O proxy nao esta em modo transparente pois se estivesse, sei que HTTPS nao passaria. Porem neste caso a mensagem que vem é forbidden 405.

O que pode estar ocorrendo?

Respondendo seus questionamentos "pcxt11", o problema com os Sites pode ser com relação aos mimes-types, ou seja, pode ser que em sua configuração você tenha deixado a opção de mimes-types ativos, ou até mesmo o IpCop tenha reconhecido estas páginas como Conteúdo impróprio. Neste caso você teria que verificar exatamente quais os blocos do site não estão aparecendo ou até mesmo liberar o Dominio inteiro do Site para ver se o Problema ocorre como por exemplo

Domínio: bb.com.br

Site: www.bb.com.br/index.jsp

Com relação ao envio de arquivos via https, no artigo descrito eu procurei fazer com que o Proxy não fosse transparente e fiz o mesmo passar pela porta padrão do Squid 3128, porém caso o usuário não tenha Proxy, o mesmo não vai conseguir acessar nenhum conteúdo. Existem uma opção no IpCop para permissão de extensões de Arquivos, como também velocidade. Muitas vezes se o upload é baixo para o site que vc faz a requisição, o site entende que houve uma oscilação ou até mesmo não aceita o arquivo pelo baixo trafego.

Blz...Qualquer Dúvida da um Toc...Abraços

#2 Comentário enviado por calusbr em 07/12/2010 - 09:36h

Respondendo seus questionamentos "pcxt11", o problema com os Sites pode ser com relação aos mimes-types, ou seja, pode ser que em sua configuração você tenha deixado a opção de mimes-types ativos, ou até mesmo o IpCop tenha reconhecido estas páginas como Conteúdo impróprio. Neste caso você teria que verificar exatamente quais os blocos do site não estão aparecendo ou até mesmo liberar o Dominio inteiro do Site para ver se o Problema ocorre como por exemplo

Domínio: bb.com.br

Site: www.bb.com.br/index.jsp

Com relação ao envio de arquivos via https, no artigo descrito eu procurei fazer com que o Proxy não fosse transparente e fiz o mesmo passar pela porta padrão do Squid 3128, porém caso o usuário não tenha Proxy, o mesmo não vai conseguir acessar nenhum conteúdo. Existem uma opção no IpCop para permissão de extensões de Arquivos, como também velocidade. Muitas vezes se o upload é baixo para o site que vc faz a requisição, o site entende que houve uma oscilação ou até mesmo não aceita o arquivo pelo baixo trafego.

Blz...Qualquer Dúvida da um Toc...Abraços

Ola, Lucas !

Entao... postei meu problema à voce em 04/12 onde eu dizia que apos instalar o Adv Proxy, alguns sites nao conectam. Bem, esqueci de lhe comentar que:
- depois de instalar o addon Adv Proxy, habiliitei o metodo de autenticacao como LOCAL e la crei as contas e senhas dos usuarios. 
- outra coisa que nao disse é que as maquinas estao sob dominio do AD do Windows Server 2003. 

Olhando no log do squid peguei ali as mensagens que apontam para um destes sites. Por exemplo, no momento de tentar enviar NF-e, como vai passar pelo proxy, o mesmo exigiu autenticacao. OK. O endereco pelo qual ele iria passar é:

https://homologacao.nfe.fazenda.sp.gov.br/nfeweb/services/nferecepcao.asmx

Mesmo apos informado o login e senha, vem o erro 403 - Forbidden (negado). Olhando o log, veio antes o erro 407. Esta foi a sequencia:

10.0.0.X TCP_DENIED/407 1709 - CONNECT homologacao.nfe.fazenda.sp.gov.br:443 - NONE/- text/html

10.0.0.X TCP_DENIED/403 1282 - CONNECT homologacao.nfe.fazenda.sp.gov.br:443 pcxt11 NONE/- text/html

Como é o Squid quem gerencia, pesquisei e entendi que o Squid nao está fornecendo ou interpretando os dados de logon. Poderia ser isto? Ou sera a demora para digitar o nome e senha?

Outra: a porta 443 está liberada (isto visivel no Adv Proxy). 

Tenho quase certeza de que é a autenticação. Gostaria de nao ter que retira-la. Tem como resolver isto pelo IPCOP mesmo? Ou so mesmo no .conf do squid?

Obrigado e bom dia, Lucas !

#3 Comentário enviado por pcxt11 em 15/12/2010 - 07:38h

Ola, Lucas !

Entao... postei meu problema à voce em 04/12 onde eu dizia que apos instalar o Adv Proxy, alguns sites nao conectam. Bem, esqueci de lhe comentar que:
- depois de instalar o addon Adv Proxy, habiliitei o metodo de autenticacao como LOCAL e la crei as contas e senhas dos usuarios.
- outra coisa que nao disse é que as maquinas estao sob dominio do AD do Windows Server 2003.

Olhando no log do squid peguei ali as mensagens que apontam para um destes sites. Por exemplo, no momento de tentar enviar NF-e, como vai passar pelo proxy, o mesmo exigiu autenticacao. OK. O endereco pelo qual ele iria passar é:

https://homologacao.nfe.fazenda.sp.gov.br/nfeweb/services/nferecepcao.asmx

Mesmo apos informado o login e senha, vem o erro 403 - Forbidden (negado). Olhando o log, veio antes o erro 407. Esta foi a sequencia:

10.0.0.X TCP_DENIED/407 1709 - CONNECT homologacao.nfe.fazenda.sp.gov.br:443 - NONE/- text/html

10.0.0.X TCP_DENIED/403 1282 - CONNECT homologacao.nfe.fazenda.sp.gov.br:443 pcxt11 NONE/- text/html

Como é o Squid quem gerencia, pesquisei e entendi que o Squid nao está fornecendo ou interpretando os dados de logon. Poderia ser isto? Ou sera a demora para digitar o nome e senha?

Outra: a porta 443 está liberada (isto visivel no Adv Proxy).

Tenho quase certeza de que é a autenticação. Gostaria de nao ter que retira-la. Tem como resolver isto pelo IPCOP mesmo? Ou so mesmo no .conf do squid?

Obrigado e bom dia, Lucas !