Ayuda para Bloquear Youtube

[amnarl]

Pues mi estimado realmente la cosa es despertar el interes de cada quien en documentarse tambien no todo esta servido en la mesa, para aquellas personas que han leido pequeños trozos de trabajar con squid y acls combinadas se que entienden un poco la informacion dada. Y obviamente como indica el compañero j.sejo1 si squid es transparente el trafico https va directo es decir el bloqueo lo haria pfsense si es el firewall central de la red de servicios. Cosa que tambien se ha comentado muchisimo en el forum y creo que hasta mas sencillo de elaborar.

[juarez_dev]

amigo brujonic pero ami no me bloquea uso en Lan direcciones estáticas sera por eso? :(

[NetFcruz]

Pienso que crear un alias  de hosts, y otro de maquinas con acceso, lo malo es que bloquea google tambien. y despues crear un par de reglas en el firewall. Asi lo hice pero me bloqueo google, lo mejor es limitar el ancho de banda como te comentan arriba, no soy experto pero ya lo intente.
Saludos

[amnarl]

Por ello se recomendo la combinacion de acls en squid. Donde una seria o podria sera  revision de url o dominios para evitar bloquear los que no se deseen bloquear y la otra el acceso al CONNECT.

[zipcache]

@Sudwind:

Services: DNS forwarder

Domain Overrides

Domain: youtube.com
IP address: 125.0.0.1

SAVE

y problema resuelto

y despues tengo que activar el DNS Forwarder? o no es necesario?

[ainza]

mira lo que yo hice y me funciona es de la siguiente manera

cree 2 alias el primero llamado "block_youtube" y segundo "youtube_permitidos"

en el block_youtube puse la direcciones de donde jala los videos youtube, en el segundo "youtube_permitidos" pongo las ip de las maquinas que quiero que tengan acceso.

van a poder entrar a la pagina de youtube.com pero no se les cargara los videos.

adjunto la captura de la pantallas


[afalconr]

@ainza:

mira lo que yo hice y me funciona es de la siguiente manera

cree 2 alias el primero llamado "block_youtube" y segundo "youtube_permitidos"

en el block_youtube puse la direcciones de donde jala los videos youtube, en el segundo "youtube_permitidos" pongo las ip de las maquinas que quiero que tengan acceso.

van a poder entrar a la pagina de youtube.com pero no se les cargara los videos.

adjunto la captura de la pantallas

Interesante ! pero podrías poner mas detalles sobre que direcciones tenemos que bloquear ?  ;D

Saludos

[ainza]

aqui pongo una lista pero la verdad si tienes instalado "LightSquid" revisa ahi te saldrán por donde salen a youtube en tu caso

otra cosa que se me paso decirles que tambien pueden ponder horario para que se active la regla así les podemos dar chanza en una hora de comida o algo así a que puedan acceder si es necesario.  lo hice desde "Schedules" y luego en la regla lo activas en mi caso uso el mismo horario tambien para bloquear facebook.

r8–-sn-0opoxu-ihvl.googlevideo.com
r7---sn-0opoxu-ihvl.googlevideo.com
r6---sn-0opoxu-ihvl.googlevideo.com
r5---sn-0opoxu-ihvl.googlevideo.com
r4---sn-0opoxu-ihvl.googlevideo.com
r3---sn-0opoxu-ihvl.googlevideo.com
r2---sn-0opoxu-ihvl.googlevideo.com
r1---sn-0opoxu-ihvl.googlevideo.com
r8---sn-0opoxu-ihvz.googlevideo.com
r7---sn-0opoxu-ihvz.googlevideo.com
r6---sn-0opoxu-ihvz.googlevideo.com
r5---sn-0opoxu-ihvz.googlevideo.com
r4---sn-0opoxu-ihvz.googlevideo.com
r3---sn-0opoxu-ihvz.googlevideo.com
r2---sn-0opoxu-ihvz.googlevideo.com
r1---sn-0opoxu-ihvz.googlevideo.com
r8---sn-0opoxu-ihvs.googlevideo.com
r7---sn-0opoxu-ihvs.googlevideo.com
r6---sn-0opoxu-ihvs.googlevideo.com
r5---sn-0opoxu-ihvs.googlevideo.com
r4---sn-0opoxu-ihvs.googlevideo.com
r3---sn-0opoxu-ihvs.googlevideo.com
r2---sn-0opoxu-ihvs.googlevideo.com
r1---sn-0opoxu-ihvs.googlevideo.com
r8---sn-0opoxu-ihve.googlevideo.com
r7---sn-0opoxu-ihve.googlevideo.com
r6---sn-0opoxu-ihve.googlevideo.com
r5---sn-0opoxu-ihve.googlevideo.com
r4---sn-0opoxu-ihve.googlevideo.com
r3---sn-0opoxu-ihve.googlevideo.com
r2---sn-0opoxu-ihve.googlevideo.com
r1---sn-0opoxu-ihve.googlevideo.com


[periko]

Companer que inicio el post, cuantos usuarios usan el proxy en la red donde deseas restringir ciertos dominio a ciertos grupos de usuarios?

[afalconr]

Se agradece la información mi estimado !  ;D Probaré y te aviso

Saludos!

[Finger]

Hay mas informacion sobre lo que comenta afalconr?

[zipcache]

Problema resuelto

[milocheri]

como lo solucionaste ?

[hellspawm1]

@zipcache:

Problema resuelto

el resto de nosotros no ha podido, pueden ser un poco mas especificos?

gracias!

[amnarl]

Saludos mis estimado nuevamente por estos lares, les comento que este tipo de bloqueo es posible realizarlo siempre y cuando tengamos claro cuales son las funciones de un firewall (vale destacar que pfsense es un firewall muy robusto) y como configurarlo de manera optima.

Para el caso especifico de este post el tema de bloqueo de youtube, a continuacion dare algunos detalles de como realizar un bloqueo especifico y las diferentes formas de hacerlo ahora bien si te interesa un tema adicional como por ejemplo: colocar horarios en los bloqueos, bloquear equipos en especificos o grupos de equipos el tema seria otro y obviamente deberias saber y conocer como realizar primeramente el bloqueo del acceso a dominios, ips, o paginas especificas.

Puntos a tomar en cuenta

• Como aca hablamos no solo de un pais especifico sino de todo el mundo debes tener en cuenta que google y youtube son la misma empresa y muchos de su contenido estan detras de las misma ips en algunos paises con lo que un bloqueo realizado por ips puede dejarte sin acceso a google buscando bloquear youtube para ello solo debes asegurarte realizando algunas resoluciones de nombre previo a realizar un aliases de dichas ips y determinar cual seria la forma mas efectiva

• Debes realizar las reglas de acceso al mundo exterior en tu pfsense de manera especifica ejemplo: Acceso a web por http la regla seria protocolo tcp source subred lan, ip o grupo especifico de ips puerto any (tomar muy en cuenta esto a veces sucede que tus clientes entan detras de un router el cual enmascara el trafico y los puertos por los cuales se comunica los desconoces) luego en destination para acceso a todas las direcciones colocas any y port http(80). Esto seria una regla especifica de trafico y es la forma mas adecuada de hacerlas para obtener un mayor control

• Si el bloqueo sera por reglas debes realizar un dns lookup en pfsense o quizas un equipo que este usando a pfsense como dns o a tu dns si tienes uno adicional, luego creas un alias ip del dominio youtube o el que deseas bloquear cabe destacar que haciendolo en pfsense tiene la herramienta de poder crearte de manera rapida con solo unos clics el aliases

• Si el bloqueo lo realizaras por dns debes tener funcionando un dns local, cabe destacar que pfsense puede hacer ese trabajo con el paquete dnsforwarder de manera rapida y efectiva. Y tus clientes solo deben poder hacer resoluciones dns contra tu dns local si desconoces como hacer esto ya seria otro tema y estare publicando como realizarlo, pero basicamente puedo decirte que se trata del mismo tema arriba mencionado reglas especificas en tu subred de servicios

Bloqueo por reglas
Este bloqueo lo vas a realizar ya teniendo lo puntos a considerar claros y ejecutados.
Consiste en crear una regla de esta manera:
PROTO            SOURCE              PORT                  DESTINATION                PORT
  TCP                IP CLIENTE          ANY            ALIASES O IP YOUTUBE        ALIASES PUERTOS NAVEGAR (HTTP, HTTPS)  La accion en esta regla debe ser BLOCK o REJECT

Nota: Si esta regla no te funciona debes estar pasando por alto algunos de los puntos a tener en cuenta, por favor antes de preguntar o postear nuevamente revisalos y chequea que efectivamente estas haciendo todo de manera correcta. Te adjunto imagenes del bloqueo realizado para mi caso y sus resultados

Regla aplicada a un cliente especifico hacia un aliases previamente creado de ips de youtube y aliases de puerto incluyendo (http,https)

Resultado haciendo uso de Action BLOCK

Resultado haciendo uso de Action REJECT

Adicionalmente pueden verificar que se intento entrar via http y via https al destino YOUTUBE, bueno hasta aqui el bloqueo realizado via Reglas de firewall

Bloqueo via dns

Esta forma te permite hacer la resolucion dns al cliente hacia una ip interna boqueando el acceso o mostrando una web informativa de la razon del bloqueo el cual puede ser por multiples causas: restriccion en el servicio, reglas de horario, reglas de oficinas (casos de empresas que te soliciten este servicio para evitar sus empleados ingresen a ciertas webs en horario de trabajo etc).

Basicamente consiste en usar DNSFORWARDER de pfsense como dns de tus clientes, recuerda debes armar tus reglas internas de acceso de manera muy especifica para evitar tus clientes puedan hacer resoluciones dns a otros equipos dentro y fuera de tu red obviando completamente el filtro que estas colocando en tu red de servicios.

Ejemplo de regla para dns y navegacion del cliente en cuestion

Debes hacer que pfsense anule la consultas dns del dominio en cuestion y asuma la resolucion el como si fuera la autoridad en dicho dominio

Aca puedes ver como se hace

Configurar que dnsforwarder a recibir peticion dns del dominio youtube traduzca la misma y le puedes colocar la ip de un servidor web local que implementes para mostrar web informativas del bloqueo etc

Y por ultimo un resultado generado de esta configuracion al intentar buscar el dominio youtube.com, cabe destacar que aqui aplica es la resolucion del nombre por lo que funcionaria sin problemas si lo hacen en http o https

Bueno chicos esto ha sido todo por esta vez espero poder brindarle ayuda en el tema de bloqueo bien sea por dns o firewall.

Saludos desde venezuela su humilde servidor: Amnarlyei Goitia

[varela1333]

@Poncholpz:

Necesito ayuda amigos

necesito saber como bloquear el youtube, yo uso los alias para bloquear Facebook, pero no eh logrado bloquear youtube y cuando lo consegui tambien se bloqueo el google, y mejor borre esa regla

si alguien sabe le pido que me explique que debo hacer

Para usuarios de pf sense 2.3.2 la solución para bloquear youtube es la siguiente:

primero debes conocer cual es la ip principal de tu red lan, ejemplo si la ip de tu computadora es es 192.168.2.105 la ip principal de tu sub red o segmento sera 192.168.2.0/24

segundo debes conocer las ips a las que les daras acceso a youtube y tenerlas anotadas en un txt.

PRIMER PASO

generaras  un alias para hacerlo entras a la pestaña de firewall y eliges aliases,

te abrira la siguiente pantalla:

una vez dentro de aliases le das clic en la parte inferior donde dice add en color verde,

una vez dentro te aparecera la siguiente pantalla:

pondras los siguientes datos:

alias name: ejemplo noyoutube
type: hosts
ip o fqdn : www.youtube.com

le das en el boton agregar host y pones en otro ip ofqdn youtube.com

y le das save o guardar y aplicar cambios

SEGUNDO PASO

vas agenerar otro alias al igual que el anterior, pero ne lugar de darle donde dice ad en verde le daras en donde dice import en azul
una vez adentro te aparecera esta ventana:

pondras lo siguiente:

alias name: ejemplo siyoutube
donde dice aliasses to import ahi pegaras las ips de tu red que si quieres que puedan acceder a youtube que debes tener listas en el txt que te menciones antes.

le das en save o guardar y en aplicar cambios.

TERCER PASO

ya tienes listos tus alias para poder generar tus reglas de firewall, para generar las 2 reglas que necesitaras tendras que entrar nueva mente a la pestaña de firewall de tu pf sense y dar clkic en el apartado rules.

una vez dentro de rules le daras clic en donde dice add en verde con un una flecha que dobla hacia arriba.

te abrila la siguiente ventana:

páginas de fotos

en esta ventana pondras los siguientes datos:

action: elegirás la opción que dice block o rejec.

interface: elegirás LAN

address family: elegiras IPv4

Protocol: elegiras TCP/UDP

source: elegiras network y donde dice source address ahi pondras la ip principal de tu red ejemplo 192.168.2.0 y despues de la diagonal pondras 24.

destination: elegiras simple host or alias y en el apartado destination address elegirás el alias que creaste ejemplo : noyoutube.

destination port range elegiras from 80 http to 443 https

despues le daras en save o guardar y en aplicar cambios.

una vez hecho esto estara bloqueado youtube para todos los usuarios de tu red lan.

CUARTO PASO

Para permitir el acceso a las ips que quedaron dentro del alias llamado siyoutube tendras que crear otra regla siguiendo el mismo procedimiento que en la regla anterior con los siguientes datos:

action: elegirás la opción que dice pass

interface: elegirás LAN

address family: elegiras IPv4

Protocol: elegiras TCP/UDP

source: elegiras simple hos or alias y en la parte donde dice source addres alegiras en alias que creaste por ejemplo siyoutube

destination: elegiras simple host or alias y en el apartado destination address elegirás el otro alias que creaste ejemplo : noyoutube.

destination port range elegiras from 80 http to 443 https

despues le daras en save o guardar y en aplicar ambios.

siguiendo estos pasos las computadoras con las ips que decidiste podran tener acceso a youtube.

en dado caso que quisieras agregar o quitar una ip para accesar a yutube simplemente modificas el alias de si youtube.

estos pasos te pueden servir para generar bloqueos y acceso a otros sitios por ejemplo facebook, solo tendrias que generar el alias respectivo con las direcciones de dominio de facebook.

espero les sirvan estos pasos ya que yo me lleve un buen tiempo averiguando como poder bloquer youtube.

saludos.

[ubbersense]

Si puedes blockearlo con squid en modo transparente pero tienes que interceptar los SSL e instalar un certificado en cada equipo para que no marquen errores de SSL en cada pagina que use https, es mas gorro implementarlo pero es mas facil lograr el blockeo de esa y muchas mas paginas, si blockeas por ip sobre todo youtube es un dolor de cabeza, por los daños colaterales que generas con los demas servicios de google.

[projas123.]

Buenas, gracias por la respuesta, compañero tengo el proxy No transparente, debido a que con proxy transparente segun mi experiencia hay problemas con la autentificacion de usuarios. Asi que esa opcion de hacerlo con transparente no me sirve, Gracias