Saludos mis estimados,
y a usted mi estimado Periko mis respeto espero estar en comunicación pronto para plantearte algo importante.
Ok en el caso tema de este POST tomo la idea de Periko del bloqueo por DNS ya que es super efectivo y lo usamos desde hace mucho, mas aprovecho para indicarle que si es posible manejarlo de manera individual o grupal de hecho actualmente tenemos una implementacion de esta manera en una red en produccion como se hace?
Simple
Nuevamente se toca el tema de los Aliases se deben tener definidos gupos de clientes y en esto doy varios ejemplo:
Clientes con acceso a spotify.com
Clientes con acceso restringido a spotify.com
Clientes con posibilidad de usar DNS externos
Clientes con solo DNS internos
La idea central en esta caso del bloqueo por DNS es primeramente configurar DNS de pfsense para resolver dominios con direccion errada con lo cual el cliente no podra acceder al sitio real buscado.
Los requisitos son :
Bloquear el uso de DNS externos a los clientes objetos del bloqueo o en el caso como lo hacemos si tienen un DNS con resolucion real bloquearle el acceso a estos DNS a dichos usuarios
Establecer DNS internos que puede ser pfsense u otro equipos que destines a esto
Configurar en el DNS los dominios a bloquear colocando alguna ip interna que no uses o errada(cabe destacar que se puede volver mas interesante y dinamico en caso de que deseas mostrar un aviso o notificacion del bloqueo a dicho sitio obvio no lo estamos tocando en este POST)
Para este tema hago el recordatorio sobre todo a persona nuevas en estas configuraciones echarle un ojo a un tutorial del Maestro Bellera algo viejito pero efectivo en sus bases colgado en Documentacion (Tutorial de pfSense) ya que al establecer las reglas en Pfsense a veces no son efectivas por el mal uso de las misma.
Bueno ahora para aquellos compañeros un poco graficos ejemplos visuales de la configuracion omito la creacion de aliases ya que es tema tocado anteriormente vamos directo al grano.
Configuracion del DNS (en pfsense)
Como pueden notarlo hemos configurado el dominio grandclick.com para ser resuelto por DNS Forwarder como si fuera la ip 192.168.2.2 la cual es una ip que no usamos y al intentar ingresar bien sea por puerto 80 o 443 no dara ningun resultado
Establecimiento de reglas para el uso de DNS por usuarios
Explico regla por regla en orden descendiente o de arriba hacia abajo
En esta regla definimos el acceso a unos clientes en especificos definidos con el aliases (ptc_dns) para usar los dns que si pueden resolver los dominios o web bloquedas
En esta regla definimos el acceso del comun o la lan en general a los DNS que van a resolver los dominios bloqueados con las ips internas colocadas
En esta regla definimos el bloqueo al comun o lan en general del uso de otro DNS (externo o interno) exceptuando los que si pueden usar
Con esta configuracion tendremos la posibilidad de realizar bloqueos selectivos via DNS de lo que asi decidamos en la red o se amerite, cabe destacar que si se usaran solo DNS internos como es el caso que les comente sera necesario tener dos equipos haciendo de DNS para establecer en uno las configuraciones de los dominios a bloquear y el otro con resolucion sin restricciones.
Es todo por ahora muchachos espero les sirva!!!
