[Resolvido] facebook https

epboeira

Galera, segundo o feedback do meu cliente hoje, funcionou o bloqueio!
Mas, cliente é cliente né, então ele já me pediu pra liberar algumas máquinas e também deixar liberado o acesso ao Facebook durante o horário do almoço.
Vou colocar aqui como eu fiz, se tiver errado, por favor me ajudem:
Criei 2 aliases de rede: 1 ips_restritos = 172.16.0.0/24, o outro ips_liberados = 172.16.0.3 172.16.0.51 …
Criei um schedule: horario_Liberado = 11:45 - 13:15
Nas regras, criei uma dizendo que ips_Liberados passa tudo com destino http e https
ips_restritos passa com destino ao alias rede_facebook (1 regra) e host_facebook (outra regra) (que contém o range de ips do Face e os hosts) durante o horario_liberado
E, por último, criei 2 regras bloqueando o rede_facebook e outra o host_facebook para toda a LAN_subnet.

É isso mesmo ou deixei passar alguma coisa?

Obrigado

marcelloc

Se respeitou a hierarquia das regras, acredito que está certo :)

epboeira

@marcelloc:

Se respeitou a hierarquia das regras, acredito que está certo :)

Valeu, amanhã eu já descubro… hehehe.

Fico na ânsia de saber se funcionou ou não, quando eu faço essas configurações fora do horário de trabalho. Mas por outro lado é bom, dá mais tempo de colocar todas as regras, sem pressa. E, principalmente, dá pra conferir aqui o forum com calma também.

Valeu.

epboeira

@marcelloc:

Se respeitou a hierarquia das regras, acredito que está certo :)

Ainda sobre a hierarquia:
1 - primeiro eu liberei os ips que acessam o Facebook direto (sem restrição)
2 - liberei o horário do meio dia para os ips restritos (toda a subnet)
3 - bloqueio o facebook por host e por range de ips, tanto na porta 80 quanto na 433

hermanleao

@johnnybe:

A source deve ser Lan net, a source port deve ser * = any. O gateway também.

Bom dia Marcelo! Sou novo no forum e gostei bastante do tópico explicativo sobre o bloqueio dos facebook, excelente, mas e quanto ás outras redes sociais você(s) teria(m) alguma dica pro bloqueio?!
Tenho um excelente dia e um forte abraço. ;D

breno.uni

@meiolouco:

Srs. Estou testando diversos firewalls para escolher um fácil para instalar em escolas e acabei esbarrando em seu tópico.
Um dos pontos que estou levando em conta é possibilidade de bloquear facilmente as redes sociais e instant messengers.
Consegui compilar uma lista de IPs do Facebook que acabaram funcionando muito bem:

Eu instalo Firewall em Escolas Públicas e sou amigo da Escola. Tenho configurações que poderão ser de grande utilidade pra voce e podemos troca umas ideias aqui no forum sobre isso e colocar mais pfSense's em Escolas e assim divulgar mais e mais essa grande ferramenta.

@meiolouco:

Fiz a regra de bloqueio de acordo com o que encontrei em outro site: http://nextsense.com.br/blog/archives/402
Meu único porém para o PfSense foi que não encontrei um arquivo separado para adicionar todos os IPs de uma só vez, teria que cadastrar tudo pela GUI, coisa maçante de fazer, ou usar o viconfig, nada intuitivo e bastante arriscado. Caso haja outra forma que os colegas saibam eu agradeceria a informação.

Eu crieu o Alias com todas as redes do Facebook. Não preciso mais fazer esse trabalho manualmente. Só subir o alias e depois configurar a Rule correspondente ao bloqueio do Facebook para HTTPS e pronto. Caso queria esse alias posso lhe mandar.

Abraços

johnnybe

@breno.uni:

@meiolouco:

Fiz a regra de bloqueio de acordo com o que encontrei em outro site: http://nextsense.com.br/blog/archives/402
Meu único porém para o PfSense foi que não encontrei um arquivo separado para adicionar todos os IPs de uma só vez, teria que cadastrar tudo pela GUI, coisa maçante de fazer, ou usar o viconfig, nada intuitivo e bastante arriscado. Caso haja outra forma que os colegas saibam eu agradeceria a informação.

Eu crieu o Alias com todas as redes do Facebook. Não preciso mais fazer esse trabalho manualmente. Só subir o alias e depois configurar a Rule correspondente ao bloqueio do Facebook para HTTPS e pronto. Caso queria esse alias posso lhe mandar.

breno.uni, não entendi essa sua colocação. Afinal, o que o meiolouco fez foi justamente criar o Alias e a regra correspondente, conforme o link que ele postou e que trata justamente disso: Bloquear Facebook utilizando Regras e Aliases no pfSense.

Pelo que entendi, o que o meiolouco quis dizer é que "configurar cada network manualmente no Aliases é maçante". Realmente é.

marcelloc

@hermanleao:

mas e quanto ás outras redes sociais você(s) teria(m) alguma dica pro bloqueio?!

hermanleao, bem vindo ao fórum! :)

O procedimento é basicamente o mesmo, procurar as faixas de ip/hosts do site e cadastrar em um alias antes de criar a regra.

att,
Marcello Coutinho

vinicius

Amigos efetuei o bloqueio do Facebook utilizando os IPs informado no topico porem quando bloqueia não aparece a mesagem de acesso negado do squid, poderiam informar porque.

johnnybe

@vinicius:

Amigos efetuei o bloqueio do Facebook utilizando os IPs informado no topico porem quando bloqueia não aparece a mesagem de acesso negado do squid, poderiam informar porque.

Qual a mensagem que aparece?
Não seria mesmo para aparecer qualquer mensagem do Squid, uma vez que o bloqueio está sendo feito pelas regras do firewall, e não pelo proxy.
Isso se realmente você utilizou o bloqueio por Aliases/Rules.

marcelloc

@vinicius:

poderiam informar porque.

Se você usou regras de firewall, sugiro colocar reject no lugar de deny.

Como o johnnybe já postou, a mensagem de erro do squid aparece somente quando ele(o squid) bloqueia o acesso.

Guest

@marcelloc:

@avarela:

..mas o problema e o seguinte bloquei o facebook.com …

O https está passando provavelmente porque você esta usando proxy transparente.

para melhorar seu alias do facebook, coloque os hosts que você sabe que ele usa, por exemplo:

login.facebook.com
www.facebook.com
star.facebook.com

Neste caso terei que criar outra regra igual a que já existe para setar o novo aliase? Pergunto pq existe na regra apenas um campo "Destination" e no aliase não tem como setar networks e hosts junto. Entendeu a ideia?

marcelloc

@TonyEmiliano:

Neste caso terei que criar outra regra igual a que já existe para setar o novo aliase?

sim.

danielsantiago

kkkk fiz isso sei que não é elegante, mais eu reduzi o trabalho jogando para /16
31.13.0.0/16, 66.220.0.0/16, 69.63.0.0/16, 69.171.0.0/16, 74.119.0.0/16, 173.252.0.0/16, 204.15.0.0/16
já esta caindo na primeira regra, até agora sem nenhuma reclamação com outros sites.

Robsonsb

o que tem errado na minha regra? ???.. ainda está passando https://

meu proxy é transparente.

Naveed Nomi

can any one tell me how can i find ip and cidr of https://www.facebook.com and https://vimeo.com/
i am using windows 7 and pfsense2.0

johnnybe

@Naveed:

can any one tell me how can i find ip and cidr of https://www.facebook.com and https://vimeo.com/
i am using windows 7 and pfsense2.0

Hi Naveed Nomi,

Do a search for vimeo.com:
http://bgp.he.net/search?search

As for facebook:
http://nextsense.com.br/blog/wp-content/uploads/facebook_networks.txt

epboeira

@danielsantiago:

kkkk fiz isso sei que não é elegante, mais eu reduzi o trabalho jogando para /16
31.13.0.0/16, 66.220.0.0/16, 69.63.0.0/16, 69.171.0.0/16, 74.119.0.0/16, 173.252.0.0/16, 204.15.0.0/16
já esta caindo na primeira regra, até agora sem nenhuma reclamação com outros sites.

Ressuscitando o tópico:

Uma vez fiz isso também e acabou bloqueando o gmail, outros serviços do Google e o Dropbox. Tem que observar bem pra não dar rolo depois.

epboeira

Voltei ao tópico pois estou instalando um novo PfSense e tive que fazer o bloqueio do Facebook (pra variar, é o que mais pedem).

Aqui está os hosts que estão funcionando atualmente:

66.220.144.0/20
69.63.176.0/20
69.171.224.0/20
204.15.20.0/20
65.201.208.24/29
65.204.104.128/28
66.92.180.48/28
66.93.78.176/29
66.199.37.136/29
67.200.105.48/30
74.119.76.0/22
173.252.64.0/18
31.13.24.0/20
31.13.64.0/19
23.48.165.210/20
184.29.105.0/20

Volta e meia tem que revisar, pois às vezes acabam trocando. Já aconteceu de acabar bloqueando gmail e Dropbox. Acho que por causa da mask ou por hospedagem no cloud da Amazon e eles trocarem de rede.

Um programa que é uma ajuda e tanto pra 'caçar' os ips do facebook e de qualquer outro site é o TCP View. Ele mostra todas as conexões do computador.
Já teve vezes que passei o dia em uma empresa 'caçando' ips do Facebook. É uma praga, pois eu bloqueava um, ele acessava por outro.

Link do TCP View: http://download.sysinternals.com/files/TCPView.zip
285 KB

juninhoandrade

@epboeira:

Voltei ao tópico pois estou instalando um novo PfSense e tive que fazer o bloqueio do Facebook (pra variar, é o que mais pedem).

Aqui está os hosts que estão funcionando atualmente:

66.220.144.0/20
69.63.176.0/20
69.171.224.0/20
204.15.20.0/20
65.201.208.24/29
65.204.104.128/28
66.92.180.48/28
66.93.78.176/29
66.199.37.136/29
67.200.105.48/30
74.119.76.0/22
173.252.64.0/18
31.13.24.0/20
31.13.64.0/19
23.48.165.210/20
184.29.105.0/20

Volta e meia tem que revisar, pois às vezes acabam trocando. Já aconteceu de acabar bloqueando gmail e Dropbox. Acho que por causa da mask ou por hospedagem no cloud da Amazon e eles trocarem de rede.

Um programa que é uma ajuda e tanto pra 'caçar' os ips do facebook e de qualquer outro site é o TCP View. Ele mostra todas as conexões do computador.
Já teve vezes que passei o dia em uma empresa 'caçando' ips do Facebook. É uma praga, pois eu bloqueava um, ele acessava por outro.

Link do TCP View: http://download.sysinternals.com/files/TCPView.zip
285 KB

tem uma forma mais fácil não? ele cria um log?