Bloquear Facebook e Youtube por HTTPS

É...

É sempre termos umas regras registradas, porque quando se faz um firewall, se não temos um modelo, fica bem complicado depois ficar lembrando de tudo! Muito obrigado.

Desculpa a minha ignorancia, mas por que faz o bloqueio de OUTPUT tambem? não seria somente o FORWARD? o primeiro bloquearia um browser que esta rodando no mesmo servidor, procede?
Obrigado!!

Realmente dario.quiroz A regra de OUTPUT não é necessária neste caso. Como a idéia surgia de um bloqueio ao software teamviewer onde precisei fechar tudo acabei copiando a regra e alterando apenas as strings.

Valeu!!

Aqui pra mim não funcionou essa regra, continuo acesso normalmente, so consegui bloquear por IP.

Aqui não funcionou, existe outra solução? rs

Ordem das regras
Já verificaram a ordem de sua regras no firewall? massari , cesar

Para mim essas regras de firewall funcionaram, porém, quando reinicio o servidor as regras são perdidas e o acesso aos sites são desbloqueados, tendo que então executar de novo esses comandos no terminal, já testei várias vezes aqui, o bloqueio funciona, porém para de funcionar após o servidor ser reiniciado.

a versão do meu iptables é 1.4.2


aguardo resposta, obg

Baguazaum o iptables limpa todas as regras quando o servidor reinicia é preciso criar um script (firewall) e colocar ele para iniciar no boot, também pode colocar as regras dentro do arquivo /etc/rc.local.

Da uma lida:
http://profwilson.orgfree.com/docs/compartilhando_net_ubuntu.pdf

Pessoal e so irem em meu link que la ensina como bloquear facebook e https, com squid transparente.


http://www.vivaolinux.com.br/topico/Squid-Iptables/bloqueio-de-facebook-e-https

Para mim está funcionando quase 100% , a exceção é o youtube, tem como eu especificar um intervalo de ip's para a regra? exemplo bloquear o acesso do ip 192.168.0.100 até o 192.168.0.200

Funcionando 100%
Obrigado pela dica.

Bela dica andrecanhdas!
bruno_69 leia o artigo do link abaixo:

http://www.vivaolinux.com.br/artigo/IPtables-Trabalhando-com-Modulos/?pagina=3

creio que vá ajudar.

Valeu Edson não tinha visto essa duvida

eu vou utilizar a regra para bloquear todos mais tenho que liberar uns 5 ips para acessar o facebook qual regra posso fazer para esses 5ips acessar o facebook e o restante nãp

como faço pra aplicar exceções nessa regra, por exemplo, não bloquear algumas ip da rede ?

A parte de liberar para alguns usuário não funciona muito bem pode funcionar por um tempo e do nada parar de funcionar, tente este link que faz o que quer,apesar de não ter testado me parece correto.

http://kdn2.info/2010/11/block-facebook-com-with-iptables/

quando vc digitou "--algo bm"
vc quis dizer oq?

O --algo bm não deve ser mudado (--algo bm se refere ao algoritimo que ser usado )

Veja o artigo do Edson Abreu mais acima que explica melhor o uso do ipt_string:
http://www.vivaolinux.com.br/artigo/IPtables-Trabalhando-com-Modulos/?pagina=3

Boa dica... Consgui bloquear apenas usando:
iptables -I FORWARD -m string --algo bm --string "facebook.com" -j DROP

PORÉM, não consigo colocar exceção nenhuma! veja o problema:
http://www.vivaolinux.com.br/topico/Squid-Iptables/Liberar-facebook-apenas-para-o-chefe-%28com-faceb...

Bom A regra para liberar para alguns a muito não funcionava então ajudando o cslima consegui da seguinte forma

Vamos la... No squid tenho duas acls:

acl facebook url_regex -i facebook.com

acl chefe src 192.168.1.2

http_access deny facebook !chefe

 

o ! se refere a uma excussão então bloquei para todos menos para o IP do chefe.

no firewall:

#Primeiro tiro o chefe da regra com o MAQUERADE

iptables -t nat -I POSTROUTING -s 192.168.1.2 -m string --algo bm --string "facebook.com" -j MASQUERADE

# se tiver mais de um IP Duplique a regra  com -s 192.168.1.x (Outro IP)

# depois bloqueio para o resto

iptables -I FORWARD -m string --algo bm --string "facebook.com" -j DROP

 

Aqui no meu ambiente de testes funcionou apenas marcando o proxy no navegador (squid3 Transparente # http_port 3128 intercept) mas já é alguma coisa.

Fiz a configuração de bloqueio o Facebook, outlook.com, live.com.
Funcionou belezinha porém (sempre tem um porém rs) alguns clientes de Outlook Express e Thunderbird pararam de receber emails.
Esse bloqueio pode interferir em algum tipo de recepção pop na porta 110?

Abraços

Sim se o acesso os servidores pop etc... tiverem algo "outlook.com ou live.com" serão bloqueado tambem.

Se precisar liberar para um host (servidor de email ) use a regra:
# iptables -t nat -I POSTROUTING -d IP-do-Server -m string --algo bm --string "facebook.com" -j MASQUERADE

Que estranho. apliquei a regra aqui no meu firewall.
Nos Chrome e IE funcionou. COnsegui bloquera direto.. mas no firefox ele consegue abrir?
Alguem sabe o que pode ser?

Veja as configurações de proxy é bem provável que seja isso. Tanto o chrome quanto o IE usam as mesmas configurações de proxy, já a família Mozilla usa configurações próprias.

Olha só, fiz da seguinte maneira:

#>>>>>>>>>>>>>>>>>>>>>> Bloqueia facebook <<<<<<<<<<<<<<<<<<<<<<
#CHAT DO SKYPE COM FACEBOOK
iptables -A OUTPUT -p tcp -m iprange --src-range 192.168.254.90-192.168.254.169 --dport 5222 -j DROP
iptables -A FORWARD -p tcp -m iprange --src-range 192.168.254.90-192.168.254.169 --dport 5222 -j DROP
iptables -A INPUT -p tcp -m iprange --src-range 192.168.254.90-192.168.254.169 --dport 5222 -j DROP

#POSTAR NO PERFIL DO FACEBOOK VIA SKYPE
#-PORTAS
iptables -A FORWARD -p tcp -m iprange --src-range 192.168.254.90-192.168.254.169 --dport 52000:58091 -j DROP
iptables -A OUTPUT -p tcp -m iprange --src-range 192.168.254.90-192.168.254.169 --dport 52000:58091 -j DROP
iptables -A INPUT -p tcp -m iprange --src-range 192.168.254.90-192.168.254.169 --dport 52000:58091 -j DROP
#-IPS
iptables -A FORWARD -m iprange --src-range 192.168.254.90-192.168.254.169 -d 173.252.100.27 -j DROP
iptables -A OUTPUT -m iprange --src-range 192.168.254.90-192.168.254.169 -d 173.252.100.27 -j DROP
iptables -A INPUT -m iprange --src-range 192.168.254.90-192.168.254.169 -d 173.252.100.27 -j DROP
iptables -A FORWARD -m iprange --src-range 192.168.254.90-192.168.254.169 -d 65.55.223.12 -j DROP
iptables -A OUTPUT -m iprange --src-range 192.168.254.90-192.168.254.169 -d 65.55.223.12 -j DROP
iptables -A INPUT -m iprange --src-range 192.168.254.90-192.168.254.169 -d 65.55.223.12 -j DROP

#BLOQUEAR ENDERECOS DO FACEBOOK
iptables -A INPUT -m string --algo bm --string "facebook.com" -m iprange --src-range 192.168.254.90-192.168.254.169 -j DROP
iptables -A OUTPUT -m string --algo bm --string "facebook.com" -m iprange --src-range 192.168.254.90-192.168.254.169 -j DROP
iptables -A FORWARD -m string --algo bm --string "facebook.com" -m iprange --src-range 192.168.254.90-192.168.254.169 -j DROP

A dica do tópico principal funciona, o problema é que deixa lento o acesso ao site da Caixa. E se bloquear o youtube, nem abre a pagina do Itaú.

Conseguiram resolver este problema dos navegadores?

Caso sim, qual a solução?

Percebi que se desmarcar a opção "Detectar automaticamente as configurações do Proxy" das opções do navegador, aparentemente faz a regra citada valer inclusive no firefox. Não sei se tem alguma coisa haver ou apenas coincidência. O estranho que em uma das ranges que bloqueei desta forma mesmo com esta opção marcada não navega, o que me leva a desconfiar que não tem nada haver.

Alguém mais pra ajudar?

como ativar a modprobe ipt_string ?

Pode colocar a linha manualmente no seu script de firewall

modprobe ipt_string

 

Eu usei essas regras mais tive problemas com envio FTP acho que ele bloqueou a palavra dentro dos access aonde tinha facebook também não sei se teria como bloquear apenas sites em HTTPS se alguém tiver outra solução essa me deixou com tudo devagar tambem

Oi,

usei essa regra "iptables -I FORWARD -s 192.168.0.xx -m string --algo bm --string "youtube.com" -j DROP" para bloquear youtube, porém bloqueia o google também, tem como bloquear só o youtube?

iptables -I FORWARD -s 192.168.0.xx -p tcp -d 190.98.170.0/23 -j DROP

Claro que deve definir o IP ex "-s 192.168.1.2" que sera bloqueado para acessar o Youtube ou pra todos:

iptables -I FORWARD -p tcp -d 190.98.170.0/23 -j DROP

Isso permite que abra a pagina mas não carrega videos

iptables -I INPUT -p tcp --dport 443 -m string --string 'youtube' --algo bm -j DROP
iptables -I FORWARD -p tcp --dport 443 -m string --string 'youtube' --algo bm -j DROP

estas reglas no funcionan en un proxy transparente!! alguien ayuda ??

Ao invés de digitar regra por regra, é melhor criar um uma lista de IP. Colocando os ips linha por linha.


#!/bin/bash
for lista in `cat /etc/lista_ip_facebook.txt`
do
iptables -I FORWARD -s $lista -m string --algo bm --string "facebook.com" -j DROP
done


No arquivo "lista_ip_facebook.txt" vc coloca os ips para bloqueio.

André;

# iptables -L

Chain INPUT (policy ACCEPT)
target prot opt source destination
DROP all -- 10.0.0.67 anywhere STRING match "youtube.com" ALGO name bm TO 65535

Chain FORWARD (policy ACCEPT)
target prot opt source destination
DROP all -- 10.0.0.67 anywhere STRING match "youtube.com" ALGO name bm TO 65535

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
DROP all -- 10.0.0.67 anywhere STRING match "youtube.com" ALGO name bm TO 65535

Não funcionou! inclusive se vc percebeu acrescentei tb INPUT, fiz vários testes e continua entrando....

Raul Jr.