Bloquear acesso a WebGui pela Rede LAN

wrp

Boa tarde,

Tenho um PFSENSE com o seguinte:

Placa WAN - IP FIXO (Ex. 200.200.200.200);
Placa LAN - Rede Local (Ex. 190.1.1.1);

O acesso externo ao PFSENSE na webgui, pela placa WAN está funcionando perfeitamente, criei um alias com os IPs Fixo que tenho e tá blza.

Agora na interface LAN, todos os ips da rede tem acesso normalmente, não consegui bloquear. A ideia era cadastrar um MAC+IP para somente determinado IP da Lan poder acessar. O que preciso fazer?

Desde já agradeço qualquer ajuda.

lucaspolli

troca a porta e bloqueia o acesso da lan nessa porta…

wrp

Opa Lucas,

Obrigado pelo help.

Tentei da forma que você orientou, e o bloqueio ao acesso funcionou, só que fiquei com o seguinte problema, tenho paginas de bloqueio personalizada "sgerror.php", depois que mudei a porta e criei a regra, as paginas não carregam mais, ele demora determinado tempo e acaba carregando a pagina original do squid.

Passos realizados

Troquei a porta padrão de 80, para 8082(Não sei se pode ser essa porta);
Desabilitei a Regra AntiLockout;
Testei o acesso e funcionou perfeitamente;
Paginas de bloqueio pararam de funcionar, voltei a porta para o padrão e as paginas voltaram a funcionar.

Obs. Uso o squid3 dev com filtro ssl/https

lucaspolli

ja vi um topico que falava desse assunto mais nao lembro qual era a solucao, vou dar uma olhada e posto aqui…

lucaspolli

https://forum.pfsense.org/index.php?topic=77281.msg421610#msg421610

basicamente vc precisa subir outro daemon para o lighthttpd na porta 80 pro sgerror.php

passos a passo:

desabilitar no system->advanced a opção de redirecionar o trafego de http para https
copiar o arquivo de configuração do lighthttp (cp /var/etc/lighty-webConfigurator.conf /var/etc/lighty-proxy-wpad.conf por exemplo)
editar o novo arquivo e alterara o listen port para 80 e mude o diretorio raiz do site para por exemplo /usr/local/www/wpad
copiar o arquivo de erro do squidguard para /usr/local/www/wpad (também funciona para arquivos de configuração automática de proxy)
iniciar o lighthttpd com o comando /usr/local/sbin/lighttpd -f /var/etc/lighty-proxy-wpad.conf
verificar/criar as regras de firewall para permitir acesso ao lighthttp no ip:porta que você configurou

passos adicioanis/opcionais

criar um script para verificar se o daemon novo esta ou não no ar
instalar o pacote filer para editar os arquivos de configuração via gui e mante-los no backup do pfsense

ddorts

Crie uma rule dizendo para dar acesso ao ip do pfsense na porta dele permitindo que este trafego venha somente do ip que você quer e vá para System: Advanced: Admin Access e marque Disable webConfigurator anti-lockout rule,

detalhe, crie a regra antes de habilitar a check box se não você pode se trancar para fora.

pfsense.JPG_thumb

lucaspolli

@ddorts:

Crie uma rule dizendo para dar acesso ao ip do pfsense na porta dele permitindo que este trafego venha somente do ip que você quer e vá para System: Advanced: Admin Access e marque Disable webConfigurator anti-lockout rule,

detalhe, crie a regra antes de habilitar a check box se não você pode se trancar para fora.

nesse caso quando alguem receber o erro de acesso negado o firewall nao irá bloquear? pois ele nao terá acesso a porta que a pagina do erro usa..

ddorts

Nesse caso vc pode usar o squidguard, ele consegue redirecionar a pagina de bloqueio para outro servidor sem ser o pfsence.

Att.

brunopinheiro

Bom dia pfirewa,

Essa situação é bem explicado pelos colegas lucaspolli e ddorts. O squidguard por padrão utiliza a porta 80 (mesmo utilizado pelo lighthttpd). Você tem as seguintes saídas para contornar essa situação (em ordem de melhor solução):

1- A solução do nosso colega ddorts (redirecionar para um outro servidor). Verifiquei alguns comentários de outros colegas que a utilização da pagina de erro no mesmo servidor que o pfsense, gera uma certa sobrecarga (pois dependendo da frequencia, forçará a utilização do servidor web lighthttpd. Quanto mais recursos voce puder atribuir as outros servidores, mais aliviado seu pfsense ficará.

2- A solução do nosso colega lucaspolli (subir outro daemon para o lighthttpd na porta 80). Dessa forma voce poderá alterar a porta de gerencia web do pfsense para qualquer outra, inclusive fazer uso do protocolo https.

3- Inserir em "Services > Proxy filter > Common ACL > Redirect info" e "Services > Proxy filter > Groups ACL > Redirect" (em todos os grupos) a opção abaixo:

redirect http://ip_do_pfsense:8082/sgerror.php?url=403%20&a=%a&n=%n&i=%i&s=%s&t=%t&u=%u

Dessa forma o redirecionamento fará uso da mesma porta de gerencia do pfsense.

Grande abraço.

Att,

Bruno Pinheiro.

brunopinheiro

Onde se lê:

redirect http://ip_do_pfsense:8082/sgerror.php?url=403%20&a=%a&n=%n&i=%i&s=%s&t=%t&u=%u
leia-se:

http://ip_do_pfsense:8082/sgerror.php?url=403%20&a=%a&n=%n&i=%i&s=%s&t=%t&u=%u

avner_ads

Bruno, muito obrigado pela sua dica. Outro detalhe importante na 3º solução que você apontou é a necessidade de alterar o Redirect Mode ext url error page (enter url) e ai sim inserir a URL colocada aqui no post.

Abs.

sosmicro

@Bruno:

Onde se lê:

redirect http://ip_do_pfsense:8082/sgerror.php?url=403%20&a=%a&n=%n&i=%i&s=%s&t=%t&u=%u
leia-se:

http://ip_do_pfsense:8082/sgerror.php?url=403%20&a=%a&n=%n&i=%i&s=%s&t=%t&u=%u

Bruno.
A sua dica funciona quando a página bloqueada está usando o protocolo HTTP… se ela usa o HTTPS nenhuma pagina de erro é retornada...

Vc consegue retornar a pagina de erro nos 2 casos? (usando proxy não transparente .. com proxy transparente + filtro ssl ativo + certificado funciona)