Deixar uma máquina na rede sem restrições

linus270580
(usa Outra)

Enviado em 09/05/2017 - 08:55h

Bom dia!

Aqui na empresa há um notebook do diretor que precisa ter acesso irrestrito à Internet. Já inclui o MAC dele na lista de endereços MAC e IP sem restrição. No entanto o notebook dele continua sendo barrado quando precisa acessar sites bloqueados pelo firewall.
Há alguma configuração específica para resolver este problema?

LSSilva
(usa Outra)

Enviado em 10/05/2017 - 10:27h

Bom dia!
Tudo bem?
Como está estruturada sua rede (logicamente)? Usa squid? Como? Como utiliza o firewall?
Poderia postar os dois para que possamos te ajudar?

linus270580
(usa Outra)

Enviado em 10/05/2017 - 11:30h

Bom dia!

Bem, temos o IPCop que recebe a conexão, filtra e distribui para a nossa rede interna.
Não sei lhe dizer se é Squid ou não. Usei este site para instalar e configurar: http://criandobits.com.br/linux/linux_ferramentas-ipcop.php

LSSilva
(usa Outra)

Enviado em 10/05/2017 - 15:53h

Amigo, pelo que vi no vídeo; você está fazendo bloqueio de URL utilizando Firewall (modúlo de string-content do iptables). Nesse caso, quando editar aquele arquivo "rc.firewall.local", antes do conteúdo que ele te passou no vídeo (aquelas 3 linhas que fazem o bloqueio), adicione:

iptables -I forward -p tcp --dport 443 -s "ip que deseja liberar" -j ACCEPT

Ex:
iptables -I forward -p tcp --dport 443 -s 192.168.1.25/32 -j ACCEPT

Faça isso pra todos os IP's onde você quer que acessem facebook e youtube.

Então, nesse caso hipotético que sugeri, ficará da seguinte forma:

#libera host do Gerente
iptables -I forward -p tcp --dport 443 -s 192.168.1.25/32 -j ACCEPT
#libera host do Supervisor
iptables -I forward -p tcp --dport 443 -s 192.168.1.26/32 -j ACCEPT
#Bloqueia demais
iptables -I forward -p tcp --dport 443 -m string --string 'facebook' --algo bm -j DROP
iptables -I forward -p tcp --dport 843 -m string --string 'facebook' --algo bm -j DROP
iptables -I forward -p tcp --dport 443 -m string --string 'youtube' --algo bm -j DROP


Edite novamente o arquivo, dê um reload no firewall e relate o resultado.

Buckminster
(usa Debian)

Enviado em 10/05/2017 - 15:55h

Acrescentando:

iptables -I FORWARD -p tcp --dport 443 -d "ip que deseja liberar" -j ACCEPT <<< libera na saída
iptables -I FORWARD -p tcp --dport 443 -s "ip que deseja liberar" -j ACCEPT <<< libera na entrada

Não esqueça que essas regras acima devem estar antes de qualquer regra de bloqueio.

LSSilva
(usa Outra)

Enviado em 10/05/2017 - 15:57h

Isso aí meu caro!
Acréscimo de informação é sempre importante.

Obrigado e que o colega consiga resolver o problema dele.

Porém, com relação à liberar na entrada/saída, poderia ser colocado como origem (-s)/destino (-d); só por questões de didática.

;)

linus270580
(usa Outra)

Enviado em 10/05/2017 - 17:01h

Boa tarde!

O meu arquivo rc.firewall.local está assim:

#LIBERA ACESSO AOS DIRETORES
iptables -I forward -p tcp --dport 443 -s 192.168.0.104/32 -j ACCEPT
iptables -I forward -p tcp --dport 443 -d 192.168.0.104/32 -j ACCEPT
iptables -I forward -p tcp --dport 443 -s 192.168.0.195/32 -j ACCEPT
iptables -I forward -p tcp --dport 443 -d 192.168.0.195/32 -j ACCEPT

iptables -I FORWARD -p tcp --dport 443 -m string --string 'facebook' --algo bm -j REJECT
iptables -I FORWARD -p tcp --dport 843 -m string --string 'facebook' --algo bm -j REJECT
iptables -I FORWARD -p tcp --dport 443 -m string --string 'youtube' --algo bm -j REJECT

No entanto, ao executar os comandos no console, surge a mensagem de erro:

failed with return code 1 and error message
iptables: No chain/target/match by that name

Buckminster
(usa Debian)

Enviado em 10/05/2017 - 17:09h

Coloque forward em maiúscula onde estiver minúscula e teste.

E essa tua máscara 32 (255.255.255.255) está correta?
192.168.0.104/32
192.168.0.195/32
etc...

Máscaras /32 (255.255.255.255) podem ser utilizadas para endereçar um host específico, como por exemplo, uma interface loopback de um roteador, etc.

LSSilva
(usa Outra)

Enviado em 10/05/2017 - 17:45h

É mesmo, esqueci de realçar o case sensitive.

Essa máscara é usada pra realçar um host, pode emitir; se quiser. Poderia colocar apenas "192.168.0.195" sem máscara, por exemplo.

No caso do erro, o "FORWARD" maiúsculo deve corrigir.

Abraço.

linus270580
(usa Outra)

Enviado em 11/05/2017 - 09:24h

Agora deu certo! Obrigado a todos!

Buckminster
(usa Debian)

Enviado em 11/05/2017 - 10:01h

De nada.

01100011 01101001 01100011 01100001 01100100 01100001 00100000 00110011 00110011 00110000 00110001

LSSilva
(usa Outra)

Enviado em 11/05/2017 - 16:23h

????

99 / 105 / 99 / 97 / 100 / 97 / 32 / 99 / 51 / 48 / 49 - C I C A D A _ C 3 0 1 ???