Necessito bloquear o https://imo.im, tentei mais sem sucesso!!! Será que algume poderia me dar um dica de como fazer isso?!? Uso Proxy Transperent com Squid maus IPTABLES.
Obrigado.
Versão Imprimível
Necessito bloquear o https://imo.im, tentei mais sem sucesso!!! Será que algume poderia me dar um dica de como fazer isso?!? Uso Proxy Transperent com Squid maus IPTABLES.
Obrigado.
Tenta redirecionar a navegação htps para a porta do squid!Citação:
Postado originalmente por aprendiz_ce
o Squid suporta navegação segura !
Vou testar aqui na empresa pois tem um maniaco por MSN aqui cara! ja tenho uma lista de 30 sites bloqueados!Citação:
Postado originalmente por orionstation
Qualquer coisa tamos ai!
Meu servidor é Debian Lenny com Squid 2.7 Stable3
se vc nao redireciona a porta 443 para o squid vc pode fazer de assim
iptables -t FORWARD -p tcp -d IPABLOQUERAR --dport 443 -j DROP
Pensei em fazer isso, mas achei que poderia acarretar algum outro problema. Atualmente estou redirecionando somente a porta 80 e vou redirecionar a 443 também. Penso que dará certo, pois os usuários que tem permissão para acessar a porta 443 são liberados separadamente.Citação:
Postado originalmente por orionstation
Obrigado pela sua atenção.
Abraço.
Citação:
Postado originalmente por orionstation
Me passa essa lista aí, pois vai que amanhã ou depois eu precise dela...
Obrigado pela atenção.
Abraço.
Beleza, mas acho que o redirecinamento fica melhor, ou não? Acho que no meu caso redirecionar resolve.Citação:
Postado originalmente por Pirigoso
Obrigado pela sua atenção.
Abraço.
Amigo, se eu bem entendi esse dominio ao "im" refere-se a Instant Messenger, redireciona a 443 pata o seu squid e bloqueia todo o dominio "im" pelas acls, ai vc já vai estar bloqueando outros sites desse tipo que vc nem conhece.
Citação:
Postado originalmente por landrower
Nunca Drope conexões a não ser em casos emergênciais ao paleativos. Resoluções definitivas requerem estudo e pesquisas.Citação:
Postado originalmente por Pirigoso
Dropado a 443, mesmo que usado em apeas alguns IPs, pode acarretar mau funcionamento( caso hajam erros no script ou qualquer tipo de falha no squid) em sites de banco, e-mail(gmail), sites que usem conexões seguras, etc.
Conseguiu reireconar para o squid ?
Surtiu efeito ?
vou passar a lista no proxymo post
Lógico que eu nunca teria conseguido esta lista sem a perspicácia e a insistência do arquiteto da minha empresa em tentar acessar o MSN!Código :
Palmas para ele !!!!!!!!!!! :adore:
Olá,Citação:
Postado originalmente por landrower
Era isso que eu queria fazer e achava que ficaria certinho... Só que quando apliquei o redirecionamento, nenhum site de banco carregou mais, e sem falar que todos estão liberados e funcionavam perfeitamente antes do referido procedimento. Em virtude disso, tive que retirar o redirecionamento e voltei a estaca zero novamente. O que posso fazer pra reseover a questão dos bancos?
Meu caso:
Bloqueio a nevegação por completo e o msn (gateway.dll) também. Só que tem uma lista de sites permitidos, daí os usuários só tem acessos aos que estão na lista. Tem alguns usuários que são liberados (ip fixo) por completo (sites e msn). O problema apareceu daí, pois se o usuário digite "https://..." o squid não barra.
Obrigado pela atenção e se tiver algo a comentar fico agradecido desde já.
Abraço.
Olá,Citação:
Postado originalmente por orionstation
Redirecionei sim, mas para os usuários restritos tudo que era referente a banco parou de funcionar. Em virtude do ocorrido retirei o redirecionamento e volta a estaca zero novamente.
E agora?
Obrigado pela atenção e se tiver algo a comentar fico agradecido desde já.
Abraço.
Nossa, é coisa demais! Eu não sabia que existia tantas opções...Citação:
Postado originalmente por orionstation
Meu caso:
Bloqueio a nevegação por completo e o msn (gateway.dll) também. Só que tem uma lista de sites permitidos, daí os usuários só tem acessos aos que estão na lista. Tem alguns usuários que são liberados (ip fixo) por completo (sites e msn). O problema apareceu daí, pois se o usuário digite "https://..." o squid não barra.
Outra coisa:
Como funcionam esses "Webproxyes" e como se utiliza exatamente?
Obrigado pela atenção.
Abraço.
Amigo, pelo que estou entendendo sua configuração não funciona pois o squid não suporta conexões htttps em modo transparente, de uma olhada nesse trecho que retirei das FAQs do site do squid.
Does Squid support SSL/HTTPS/TLS?
As of version 2.5, Squid can terminate SSL connections. This is perhaps only useful in a surrogate (http accelerator) configuration. You must run configure with --enable-ssl. See https_port in squid.conf for more information.
Squid also supports these encrypted protocols by "tunneling" traffic between clients and servers. In this case, Squid can relay the encrypted bits between a client and a server.
Normally, when your browser comes across an https URL, it does one of two things:
* - The browser opens an SSL connection directly to the origin server.
- The browser tunnels the request through Squid with the CONNECT request method.
The CONNECT method is a way to tunnel any kind of connection through an HTTP proxy. The proxy doesn't understand or interpret the contents. It just passes bytes back and forth between the client and server. For the gory details on tunnelling and the CONNECT method, please see RFC 2817 and Tunneling TCP based protocols through Web proxy servers (expired).
Esse outro link diz que https só funciona no caso proxy reverso.
squid : https_port configuration directive
This is really only useful for situations where you are running
squid in accelerator mode and you want to do the SSL work at the
accelerator level.Os modos são listados abaixo:
Modes
- Forward Proxy is the basic mode, upon which everything else is built.
- /InterceptionProxy or how to run a proxy without your users knowing (mostly)
- /ReverseProxy or Accelerator-mode: running Squid to improve a webserver pool's performance
No seu caso vc usa o modo InterceptionProxy que não suporta https.
Tudo foi tirado do proprio site do squid, então acho que não resta duvidas de que não adianta bater mais a cabeça tentando barrar e liberar pelo squid.
Existe uma modulo do Iptables chamado "string" que consegue ler o conteudo dos pacotes e fazer um ACCEPT, DROP ou REJECT baseando-se em strings encontradas dentro da area de dados desses pacotes, porém acredito que ele não deva funcionar com https pois os dados são criptografados, então lá dentro do pacote não vai ter escrito "imo.im" e sim algo do tipo "A$@F*DG#*". Fiz uma boa pesquisa sobre esse modulo no ultimo mês e vou fazer um teste para ter certeza se não funciona e depois posto aki o resultado.
Para o seu caso a melhor solução ao meu ver é fazer uma politica restritiva, bloqueia tudo que for https (tcp 443) pelo iptables mesmo, depois vc libera apenas os ips dos sites que os funcionarios precisam acessar, dessa forma vc ira conseguir o que pretende.
Espero ter ajudado. Abraços!
Olá,Citação:
Postado originalmente por landrower
Gostei dos seus esclarecimento. Isso é que se pode chamar de EXPLICAÇÃO.
Outras dúvidas:
1) Não tem como eu mudar o modo do meu proxy/squid? E caso eu possa, terei mais problemas com essa mudança?
2) Se eu BLOQUEAR a porta 443 os sites de bancos que são liberados para todos ficaram bloqueados da mesma forma. E aí, como posso contornar isso? Acho que cairei na mesma situação atual.
Obrigado pela atenção e se puder comentar, ficarei agradecido.
Abraço.
Citação:
Postado originalmente por aprendiz_ce
1) Pelo que eu li, o único modo que suporta https é em Reverseproxy, que não serve para prover navegação a uma rede interna, e sim para com um único ip real divulgar na internet sites Hospedados em diferentes servidores na rede interna.
Ex hipotetico:
Na empresa temos um servidor que roda squid em mode Reverse proxy e esse tem o ip 200.200.200.200 como seu ip de internet e o ip 192.168.3.1 como seu ip lan.
Na rede interna temos 3 sites em 3 servidores distintos, site1, site1 e site 3 com os respectivos ips 192.168.3.11, 192.168.3.12 e 192.168.3.13
O host name "www.reverseproxy.com.br" aponta para o ip 200.200.200.200
Quando alguém na internet tentar entrar no site www.reverseproxy.com.br/site1 o servidor com squid(200.200.200.200) que receberá esse pedido, por sua vês baseando-se no "/site1" irá pedir o index do site1 para o ip 192.168.3.11 de sua rede interna e devolver sua saida para quem o requisitou na internet, e assim para os outros sites site2 e site3.
O proprio apache também também tem um modulo para configurar reverse proxy.
Isso não serve para seu caso, mas já vale conhecer essa solução pois é muito útil tbm.
2)Não cairá não, vc tem de colocar regras no seu iptables dando um ACCEPT da sua rede interna à internet para todos os ips dos sites de bancos e outros sites autorizados que utilizam https(443), e logo em seguida colocar uma regra DROP ou REJECT em todo o trafego https(443) da sua rede interna com destino a internet.
O iptables funciona por pilha, em oredem de cima para baixo, então em uma politica restritiva voce tem de colocar os ACCEPTS antes, que são as exceções e em seguida um DROP geral na 443, que será a politica, ou seja, se um pedido não se encaixar nas exceções ele vai cair na politica e será dropado. sacou?
Dessa forma só os sites que vc quer serão acessados, os outros vão cair na plitica drop.
Abraços e se precisar de mais ajuda não hesite em pedir.
Abraços!
Citação:
Postado originalmente por landrower
Entendido!
Seria tão legal se o meu SQUID pudesse trabalhar com o HTTPS... Me pouparia um monte de trabalho! (rs)
Só pra não restar dúividas:
Então terei que liberar a porta 443 no firewall e junto com ela os repectivos IPs dos sites dos bancos ou sites semelhantes que utilizem HTTPS. É isso, né?
Muito obrigado pela sua pronta atenção.
Um forte abraço.
É isso mesmo amigo, libera a porta 443 para os ips que vc quer e depois bloqueia a porta 443 para qualquer outro destino.Citação:
Postado originalmente por aprendiz_ce
Abraços!
Citação:
Postado originalmente por landrower
Isso poderá parar os serviços de autenticação de sites como Gmail, BB, etc ...
Certo, mas ai é só adicionar os respectivos ips dos sites que vc citou como sendo exceçõesCitação:
Postado originalmente por orionstation
Nâo vejo uma outra maneira de contornar com eficiencia esse problema ai, a não ser liberar o necessario e barrar qualquer outra coisa, quando alguém reclamar que precisa acessar algum site https é só pegar e adicionar mais uma exceção.
Beleza!Citação:
Postado originalmente por landrower
Mais vez obrigado pela sua pronta atenção.
Abraço.
Você tem toda razão. Mas os usuários só navegam em meia dúzia de sites, ou seja, somente os permitidos... acho que esse sites aí ficariam resolvidos, ou não?Citação:
Postado originalmente por orionstation
Obrigado pela atenção.
Abraço.
Se nenhum utilizar HTTPS vai estar tudo bem !Citação:
Postado originalmente por aprendiz_ce
Foi o que eu pensei!Citação:
Postado originalmente por orionstation
Obrigado pela atenção.
Amigo, aqui fiz um gato
Resolvi meu problema redirecionando as requisições do IP 64.13.161.61 porta 443 para um ip qualquer :D
um gato, mas funciona
Realmente é um "gato", e dos grandes!!! (rs)Citação:
Postado originalmente por phorks
Não gostaria de amarras nada pelo IP e sim pelo nome de dominio... mas se a coisa apertar pro meu lado, vou usar a sua dica.
Obrigado pela sua atenção.
Abraço.
Olá colegas,
Também tive problemas com esse site https://imo.im.
Não havia notado que outros sites bloqueados, outrora acessados por https://, faziam apenas algumas requisições de comunicação por https e o restante por http, onde o Squid acabava bloqueando.
Fiquei pasmo ao ver a quantidade de acessos ao imo.im aqui na empresa e saí à corrida para saber o que se passa.
Não tenho muito conhecimento em Linux e seus serviços, mas tenho que dar meus pulos aqui na empresa.
Li esse tópico todo e achei muito interessante a abordagem, principalmente as explicações dadas de formas simples porém muito abrangente! Parabéns à todos.
Mas quero levantar uma questão interessante e não sei se vale abrir um novo tópico para isso:
Nas buscas anteriores que fiz para encontrar uma solução de como bloquear https em proxy transparente Squid, achei essa sugestão no link abaixo, testei, funcionou, E, me deixou com um pulga e tanto atrás da orelha:
[FUG-BR] RES: Squid transparente e Https
Nele, há uma sugestão de alterar, no navegador do usuário, as confiugrações de conexão com a rede, bastando dizer ao browser o IP e porta do servidor que será utilizado para conexões https.
Fiz isso: tanto no IE como no FireFox, modifiquei a conexão de rede, comumente setada para AUTOMATICA, para manual. Para conexões HTTP as configurações de IP e porta ficaram em branco. Para conexões HTTPS coloquei o IP do servidor onde está o squid/iptables, e, porta 3128. Em seguida, coloquei o texto 'imo.im' juntamente com o arquivo .txt com as palavras bloqueadas que o squid usa. Fiz o reload e ZAZ:
- Sites de banco acessam normalmente;
- O site https://imo.im não abre nem que a vaca tussa;
- Nenhuma configuração anterior foi afetada;
- O log do squid registra os acessos às URLs dos bancos bem como as DENIED do imo.im
- Não precisei mexer com o iptables, ou seja, no que diz respeito à squid, o iptables redireciona apenas as requisições da porta 80 para a 3128. Alías, as únicas coisas que o iptables está fazendo é compartilhar a internet (eth0) com a rede interna (eth1) e redirecionar as requisições
Porém ficou a dúvida: Navegando dessa forma, estaria eu fazendo com que a conexão com os bancos ou outro site que use https se torne vulnerável ou menos segura?
Ah, sim, quanto à possibilidade do usuário alterar a configuração de rede no browser, não é preocupação. As estações aqui na empresa TODAS são MS e usamos AD para autenticá-las. Há script de login que não permite execução de programas não autorizados, além de configurações padrão de desktop, inclusive o browser. No caso, as telas dessas configurações estão inoperantes para os usuários. :)
Mas segue esse dúvida. Como fica a segurança da navegação quando eu faço essa alteração no borwser?
Abraços,
Amigo, aqui eu também utilizo proxy transparente por se tratar de uma instituição de ensino com grande movimento e vários pontos wi-fi...
Enfim, bloqueio esses sites via iptables mesmo, da seguinte forma.
iptables -A FORWARD -p tcp -m tcp -d imo.im -j REJECT
100% funcional, é só voce colocar o dominio ou url que quer bloquear, independe de porta, se quiser pode colocar a porta ou bloquear também qualquer protocolo.
Abraço,
Galera,
Andei lendo um pouco a documentação do squid no próprio site deles, e realmente, para proxy transparente é ilógico tratar as requisições que não sejam http. Se quisermos que https sejam tratadas, não devemos usar o proxy transparante.
É que estamos mau habituados por causa da MS, fazer coisas com apenas um único software, onde por traz disso trata-se de um pacote deles (no caso, o ISA server). O ISA é fw E proxy. Para o linux também precisamos de um fw e de um proxy, são pacotes separados. Isso é 'comuflado na MS'.
Dessa forma estou mais que convencido do motivo de fazer bloqueios HTTPS por iptables e não por Squid. Definitivamente este tópico pode ser encerrado bem como outros que falam sobre proxy transparente versus https.
PORÉM, ainda não entendi o que acontece quando modifico as configurações do browser para trabalhar na situação que mencionei anteriormente.
Abraços,
Daniel.