Bloqueio 443 pelo Iptables [RESOLVIDO]

kelffesbezerra
(usa Debian)

Enviado em 12/01/2012 - 09:29h

Bom dia Pessoal,

Tenho no meu Firewall uma regra de bloqueio para a porta 443, isso para que os colaboradores nao usem o argumento HTTPS para navegar em sites que o Squid bloqueia, assim como acessar redes sociais no horario de trabalho.

Mas eventualmente preciso liberar acesso a um site especifico como bancos, etc. Com isso o arquivo do IPTABLES vai aumentando.
o que eu queira saber é se há uma forma de colocar esses sites num arquivo qualquer e o iptables lê esse arquivo.

a minha regra está assim:

#Libera Acesso irrestrito para os IPs abaixo listados
iptables -A FORWARD -s 192.168.1.3/32 -p tcp --dport 443 -j ACCEPT #Srvippon
iptables -A FORWARD -s 192.168.1.4/32 -p tcp --dport 443 -j ACCEPT #Servcam
iptables -A FORWARD -s 192.168.1.72/32 -p tcp --dport 443 -j ACCEPT #Gerencia de pecas
iptables -A FORWARD -s 192.168.1.73/32 -p tcp --dport 443 -j ACCEPT #Notebook Kelffes
iptables -A FORWARD -s 192.168.1.112/32 -p tcp --dport 443 -j ACCEPT #Juliana
iptables -A FORWARD -s 192.168.1.113/32 -p tcp --dport 443 -j ACCEPT #Gildenia
iptables -A FORWARD -s 192.168.1.223/32 -p tcp --dport 443 -j ACCEPT #Roberto
iptables -A FORWARD -s 192.168.1.254/32 -p tcp --dport 443 -j ACCEPT #Roteador

echo "Liberando acesso pela porta 443.....................................[ OK ]"
sleep 1

#Libera acesso aos sites abaixo para todos
iptables -A FORWARD -d 65.54.51.27 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 157.56.51.123 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.252.60.71 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.245.207.214 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.196.152.243 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.198.239.34 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 161.148.231.140 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.196.152.202 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.196.152.214 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 74.125.159.95 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 65.54.186.17 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d cav.receita.fazenda.gov.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d ib2.unicrednne.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d webmail.mailcorp.net.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d www.mmcb.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d serasaexperian.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d wwws.jsafra.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d ssl-w03dnn0979.websiteseguro.com -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d server06.unicrednne.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d webp.caixa.gov.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d inst.diners.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d portal.diners.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d afi.santanderfinanciamentos.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d www.bvfinanceira.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.220.178.25 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.220.182.188 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d afc.aymorefinanciamentos.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d sharepointvertex.no-ip.info -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d brportal.chubb.com -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d www.mapfreconnect.com.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d servicos.spc.org.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d comprasnet.gov.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.179.50.160 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.179.50.141 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d www3.comprasnet.gov.br -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -d 200.143.11.77 -p tcp --dport 443 -j ACCEPT #fidcsuzuki
iptables -A FORWARD -d 199.67.181.39 -p tcp --dport 443 -j ACCEPT # Credcard
iptables -A FORWARD -d 200.179.50.234 -p tcp --dport 443 -j ACCEPT #Cetip
iptables -A FORWARD -d 189.9.0.134 -p tcp --dport 443 -j ACCEPT # DPRF
iptables -A FORWARD -d 207.46.15.254 -p tcp --dport 443 -j ACCEPT #Credcom
echo "Libera sites pela porta 443 para todos os usuarios da rede..........[ OK ]"
sleep 1

#Bloqueia 443 para os fora das regras acima.
iptables -A FORWARD -s 0/0 -p tcp --dport 443 -j DROP
sleep 1

################################################################################

Por exemplo
os Ips que podem acessar tudo pela 443 eu coloque num arquivo EX: Ips_liberados
e os sites em outro arquivo EX: Sites_liberados.

substituindo assim o bloco de sites e o bloco de ips do arquivo do firewall. assim semelhante ao que fazemos no squid.

Agradeço a todos desde já pela atenção.

phrich
(usa Slackware)

Enviado em 12/01/2012 - 11:07h

Cara o correto seria vc fazer a liberação pelo squid, mas pelo que vc falou parece que vc está usando proxy transparente, ai fica complicado.

Eu tenho squid + iptables nos clientes e não tenho este tipo de problema, vc teria apenas que liberar ou negar o acesso pelo squid, e no iptables vc deveria deixar liberado 80 e 443 para localhost para para o squid sair por ele.

kelffesbezerra
(usa Debian)

Enviado em 12/01/2012 - 11:29h

Pois é Rapaz, eu uso Proxy Transparente. Quero continuar assim por isso que estou buscando essa outra opçao.

phrich
(usa Slackware)

Enviado em 12/01/2012 - 11:59h

Cara, acredito que vc tenha menos trabalho se vc retirar o proxy transparente e realizar as liberações de sites pelo squid.

Se vc usar estações rwindows no domínio vc pode criar uma gpo para colocar o proxy automaticamente.

kelffesbezerra
(usa Debian)

Enviado em 12/01/2012 - 18:23h

Então , quero continuar com proxy transparente e controlar isso pelo iptables mesmo... so queria era fazer o esquema dos arquivos.

phrich
(usa Slackware)

Enviado em 12/01/2012 - 23:21h

Cara, ai vc teria que fazer isso no início do script, mandar o script ler os arquivos onde contenham os ips, salvar em uma variável e usar essa variável nas regras do iptables, mas acredito que seja mais trabalhoso...