Iptables bloqueando outlook [RESOLVIDO]

removido
(usa Nenhuma)

Enviado em 13/06/2013 - 18:28h

Boa Tarde pessoal
estou enfrentando um problema a um tempo,
procurei em vários locais e não consegui uma solução ( IPtables bloqueando Outlook )

tenho um squid com centOs proxy transparente,

encontrei uma maneira de bloquear HTTPS segue a regra abaixo que eu adicionei para isso

//bloqueia via https
iptables -I FORWARD -m string --algo bm --string "4shared.com" -j DROP

//libera a regra acima para o range ip abaixo
iptables -I FORWARD -m iprange --src-range 192.168.254.20-192.168.254.45 -j ACCEPT
iptables -I FORWARD -m iprange --dst-range 192.168.254.20-192.168.254.45 -j ACCEPT

//tentei liberar essas portas logo abaixo do script acima mas ele continua dando erro

iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp --dport 587 -j ACCEPT
iptables -A FORWARD -p udp --dport 110 -j ACCEPT
iptables -A FORWARD -p udp --dport 587 -j ACCEPT


// meu iptables/firewall completo

iptables -F
iptables -X
iptables -F -t nat
iptables -X -t nat


iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT


iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -s 192.168.254.0/24 -j ACCEPT


#iptables -I FORWARD -m string --algo bm --string "4shared.com" -j DROP

#Abaixo vai ser liberar o iprange do filtro acima
#iptables -I FORWARD -m iprange --src-range 192.168.254.20-192.168.254.46 -j ACCEPT
#iptables -I FORWARD -m iprange --dst-range 192.168.254.20-192.168.254.46 -j ACCEPT


#Liberar portas de email
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp --dport 587 -j ACCEPT
iptables -A FORWARD -p udp --dport 110 -j ACCEPT
iptables -A FORWARD -p udp --dport 587 -j ACCEPT

iptables -A FORWARD -s 192.168.254.0/24 -j ACCEPT


#Mascarede
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -A POSTROUTING -t nat -j MASQUERADE

# Estabiliza Conexao ao Forward
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT



#estabiliza Conexao ao Output
iptables -A OUTPUT -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT


//Fim


não tenho muita facilidade em linux
essas config foram feita por outra pessoas e esta tudo funcionando o problema é que não bloqueia
https, eu só
"copiei" // bloqueio via https da internet!

se alguém já enfrentou isso se possível dar uma "mãozinha"
toda vez que a regra esta ativa o outlook da o seguinte erro ao "Enviar"

"Recebendo..."relatou um erro ( 0x80042112): Os seguintes emails do servidor de email nao podem ser enviados. Contato o provedor de serviço ou administrador do erro"

receber e-mail ele recebe normalmente mas sempre da esse erro ao enviar.

muito obrigado se alguém puder ajudar!

andrecanhadas
(usa Debian)

Enviado em 13/06/2013 - 20:57h

Tenta colocar esta regra antes do bloqueio do 4shared:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 587 -j RETURN

 

eth1= rede local

saitam
(usa Slackware)

Enviado em 14/06/2013 - 08:35h

Pode adicionar as regras abaixo para bloquear sites de redes social via http/https.

iptables -I FORWARD -m string --algo bm --string "facebook.com" -j DROP

iptables -I FORWARD -m string --algo bm --string "twitter.com" -j DROP

iptables -I FORWARD -m string --algo bm --string "youtube.com" -j DROP

iptables -I FORWARD -m string --algo bm --string "orkut.com" -j DROP

iptables -I FORWARD -m string --algo bm --string "4shared.com" -j DROP

iptables -I FORWARD -m string --algo bm --string "esnips.com" -j DROP

iptables -I FORWARD -m string --algo bm --string "dropbox.com" -j DROP

 

Quanto ao bloqueio de envio de e-mail via Outlook, precisa configurar para alterar a porta de 25 para 587 (nova porta SMTP).

removido
(usa Nenhuma)

Enviado em 14/06/2013 - 10:19h

coloquei tanto porta 110 como 587, o mesmo problema ao receber ou enviar

desativo estas regras abaixo e volta ao normal

#Vai direcionar a porta 587 e 110 para a saida antes que passem pelo filtro https

#iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 587 -j RETURN

#iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 110 -j RETURN





#Bloqueia por String via HTTPS

#4shared, unisc, univates, entre outro descrito no --string "#"

#iptables -I FORWARD -m string --algo bm --string "4shared.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "unisc.br" -j DROP

#iptables -I FORWARD -m string --algo bm --string "univates.br" -j DROP

#iptables -I FORWARD -m string --algo bm --string "twitter.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "yahoo.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "g1.globo.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "youtube.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "kboing.com.br" -j DROP

#iptables -I FORWARD -m string --algo bm --string "instagram.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "uol.com.br" -j DROP

#iptables -I FORWARD -m string --algo bm --string "meebo.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "mediafire.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "outlook.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "hotmail.com" -j DROP

#iptables -I FORWARD -m string --algo bm --string "live.com" -j DROP

 

eth1 rede local
eth0 rede saída web

talvez algum outra maneira de bloquear https com squid transparente sem "ferrar" com esse maldito outlook?

andrecanhadas
(usa Debian)

Enviado em 14/06/2013 - 12:07h

Tem outro modos faz o teste:
http://www.vivaolinux.com.br/topico/Squid-Iptables/bloqueio-de-facebook-e-https

removido
(usa Nenhuma)

Enviado em 14/06/2013 - 13:29h

acabei encontrando isso
http://www.vivaolinux.com.br/dica/IPtables-Squid-transparentes-Bloqueando-Facebook-em-HTTP-HTTPS-por...

estou fazendo o teste aqui, caso seja resolvido posto o sucesso!

Obrigado!

Buckminster
(usa Debian)

Enviado em 14/06/2013 - 14:09h

//bloqueia via https
iptables -I FORWARD -m string --algo bm --string "4shared.com" -j DROP

Esta regra acima NÃO bloqueia HTTPS. Esta regra acima faz uma busca no cabeçalho do pacote e bloqueia (DROP) tudo aquilo que casar com o padrão colocado entre as aspas (no caso, 4shared.com), ou seja, é uma busca de caracteres através do algoritmo bm (Boyer-Moore). Tem nada a ver com bloqueio de HTTP ou HTTPS.
E você está usando -I.
O -I coloca a regra no topo da chain, ou seja, em primeiro lugar não interessando a posição dela no script.


// meu iptables/firewall completo

iptables -F
iptables -X
iptables -F -t nat
iptables -X -t nat


iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT


iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT << acrescente essa regra.
iptables -A INPUT -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -s 192.168.254.0/24 -j ACCEPT


#iptables -I FORWARD -m string --algo bm --string "4shared.com" -j DROP

#Abaixo vai ser liberar o iprange do filtro acima
#iptables -I FORWARD -m iprange --src-range 192.168.254.20-192.168.254.46 -j ACCEPT
#iptables -I FORWARD -m iprange --dst-range 192.168.254.20-192.168.254.46 -j ACCEPT


#Liberar portas de email
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp --dport 587 -j ACCEPT
iptables -A FORWARD -p udp --dport 110 -j ACCEPT
iptables -A FORWARD -p udp --dport 587 -j ACCEPT

iptables -A FORWARD -s 192.168.254.0/24 -j ACCEPT

echo 1 > /proc/sys/net/ipv4/ip_forward << acrescente essa linha.

#Mascarede
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -A POSTROUTING -t nat -j MASQUERADE << aqui está errado, deixe assim:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE << aqui vai a placa de rede de entrada da internet.

# Estabiliza Conexao ao Forward
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT



#estabiliza Conexao ao Output
iptables -A OUTPUT -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT


//Fim

removido
(usa Nenhuma)

Enviado em 14/06/2013 - 14:28h

Obrigado pela explicação, como eu disse não sou o melhor com linux
encontrei uma solução para o problema

iptables -I FORWARD -p tcp --dport 443 -m string --algo bm --string "orkut.com" -j DROP

 

Obrigado, Tópico resolvido, acredito que essa regra deveria ser bem destacada pois muitas pessoas enfrentam o mesmo problema e não conseguiram encontrar a solução!

Buckminster
(usa Debian)

Enviado em 14/06/2013 - 14:51h

Ok. Mas não coloque muitas dessas regras aí senão o Iptables tornará a navegação muito lenta. Lembre que isso é uma busca normal de uma sequência de caracteres e o Iptables fará isso em TODOS os pacotes que entram e saem da rede.
Dependendo do hardware do teu servidor, coloque no máximo umas 10 dessas regras.