Como Bloquear Sites e Anúncios no OPNsense
Aprenda a configurar Blocklists no Unbound DNS do OPNsense. Bloqueie redes sociais, YouTube, malwares e anúncios (AdBlock) na rede inteira.
Editor TecDicas
Como Bloquear Sites Indesejados e Anúncios no OPNsense com Unbound DNS e Blocklists
Assumir o controle da segurança e da produtividade em redes corporativas ou laboratórios avançados (Homelabs) é um dos maiores desafios para administradores de TI. Tradicionalmente, o bloqueio de sites maliciosos, conteúdos inadequados e anúncios invasivos exigia a contratação de licenças caras de web filtering ou a implementação de motores de inspeção profunda de pacotes (como Proxies complexos ou IDS/IPS). O grande problema dessas abordagens clássicas é o altíssimo overhead: elas sobrecarregam a infraestrutura, exigem hardwares de altíssimo custo e, se mal configuradas, acabam gerando gargalos e lentidão na navegação dos usuários.
A boa notícia é que a arquitetura do OPNsense (especialmente a partir das versões 26.x) resolve esse dilema de forma elegante, nativa e extremamente otimizada, utilizando o poder do Unbound DNS integrado a Blocklists.
Neste guia definitivo do TecDicas, você vai descobrir como transformar o seu OPNsense em um verdadeiro "escudo invisível". Vamos te ensinar a filtrar ameaças cibernéticas e propagandas (AdBlock global) direto na camada de resolução de nomes, garantindo segurança máxima e velocidade total, sem gastar um centavo a mais com licenças. De quebra, revelaremos o segredo técnico para bloquear de forma definitiva os serviços resilientes do ecossistema Google, como o YouTube, que frequentemente conseguem "furar" os bloqueios convencionais usando protocolos ocultos.
Acompanhe em Vídeo: Passo a Passo Detalhado
Prefere aprender na prática visualizando cada menu? Assista ao nosso laboratório completo onde configuro o Unbound DNS com Blocklists no OPNsense, aplico as regras de bloqueio para o protocolo QUIC e realizo os testes de filtragem em tempo real para garantir que nenhum anúncio ou site indesejado passe pelo seu firewall.
Não esqueça de se inscrever no canal TecDicas e ativar as notificações para não perder as próximas atualizações de segurança para o seu OPNsense!
O que é o Unbound DNS e como funciona o Bloqueio por Lista?
O Unbound é o resolvedor DNS padrão integrado ao OPNsense. Quando um dispositivo da rede tenta acessar um site, ele consulta primeiro o Unbound no firewall para traduzir esse nome em um endereço IP real.
Ao ativarmos o recurso de Blocklists (Listas de Bloqueio), o OPNsense passa a cruzar essa requisição com bancos de dados de domínios nocivos. Se o domínio estiver na lista negra, o firewall responde instantaneamente com um IP nulo (0.0.0.0), impedindo a conexão antes mesmo que os pacotes saiam da sua rede.
Principais Vantagens do Filtro DNS Nativo:
Leveza Absoluta: Baixíssimo consumo de hardware em comparação a filtros IPS/IDS complexos (como Suricata).
Sem Certificados: Não exige a instalação de certificados SSL (man-in-the-middle) nas máquinas dos usuários.
Proteção Global: Funciona automaticamente para todos os computadores, celulares, smart TVs e dispositivos IoT da rede.
Passo 1: Garantir que o Unbound DNS é o Servidor da Rede
Para que a filtragem funcione, todas as máquinas precisam receber o IP do OPNsense como DNS primário via DHCP. Com as atualizações recentes do OPNsense, o gerenciamento de IPs dinâmicos foi dividido entre o Kea DHCP e o Dnsmasq. Verifique qual você está usando:
Se estiver usando o Dnsmasq: Acesse Serviços > Dnsmasq DNS & DHCP > DHCP options e configure a opção de DNS apontando para o IP local do OPNsense.
Se estiver usando o Kea DHCP: Acesse Serviços > Kea DHCP > Kea DHCPv4. Na tela principal, note que a configuração de DNS não fica na aba "Configurações Gerais". Você deve clicar na aba Subnets (Sub-redes) localizada na parte superior, editar a configuração da sua LAN e inserir o IP do OPNsense no campo Domain Name Servers. (Alternativamente, você pode usar a aba Opções para definir a Option 6 de DNS).
💡Dica de Ouro: Na maioria dos cenários, se você deixar o campo de DNS do DHCP em branco, o OPNsense já entrega automaticamente o próprio IP como resolvedor para os clientes.
Passo 2: Criando a Política de Blocklist
Nas versões mais novas do OPNsense, a gestão de listas passou a funcionar através de uma tabela de políticas, permitindo regras mais flexíveis:
Acesse Serviços > Unbound DNS > Blocklists.
No canto inferior direito da tabela vazia, clique no botão de adição (+) para criar uma nova política de bloqueio.
Na janela que se abrir, marque a caixa Habilitar (Enable).
É nesta mesma tela que você definirá os tipos de listas (veremos as categorias no próximo passo).
Após configurar suas listas, clique em Salvar e, em seguida, clique no botão Aplicar na tela principal para ativar o filtro.
Passo 3: Entendendo e Escolhendo as Categorias de Bloqueio
Na tela de edição que abrimos no passo anterior, ao clicar no campo de listas de bloqueio (Tipo de DNSBL), você verá dezenas de opções. Para facilitar a configuração do seu Homelab ou PME, explicamos as categorias mais eficientes:
1. General Blocklists (Listas Clássicas)
Abuse.ch - ThreatFox IOC: Essencial para segurança corporativa. Bloqueia servidores de controle (C2), botnets e distribuidores de ransomware.
List AdGuard / EasyList: Focadas no bloqueio de anúncios e pop-ups irritantes.
Lista Negra de Steven (StevenBlack): Uma das listas mais consolidadas da internet. Combina bloqueio de malwares, adware e rastreadores em um só lugar.
2. Hagezi Multi - Clean the Internet (O Padrão Ouro Atual)
O desenvolvedor HaGeZi é a maior referência em listas limpas com taxas quase nulas de falsos positivos. Suas listas são divididas por nível de agressividade:
LIGHT: Bloqueio básico de malwares. Não quebra a navegação normal.
NORMAL / PRO: O "ponto ideal" para PMEs. Remove rastreadores e anúncios sem afetar o uso diário de sites de compra ou streaming.
PRO++ / ULTIMATE: Bloqueio extremo. Costuma quebrar links patrocinados do Google e funções de alguns aplicativos mobile. Exige que o administrador crie exceções manualmente na Allowlist.
3. Hagezi Targeted Lists (Foco Operacional)
DoH/VPN/TOR/Proxy Bypass: Altamente Recomendado! Impede que usuários tentem usar VPNs gratuitas ou DNS sobre HTTPS (DoH) nos navegadores para burlar o filtro do seu firewall.
Gambling / Social Networks: Perfeito para ambientes corporativos que precisam bloquear sites de apostas e redes sociais (Instagram, Facebook, TikTok).
4. OISD Blocklists
Outra excelente fonte de manutenção constante. Destaque para a lista NSFW Blocklist, muito utilizada para controle parental e bloqueio de pornografia e conteúdo adulto em escolas e empresas.
(Para um aprofundamento técnico em todas as categorias de listas suportadas e suas fontes originais, consulte a Documentação Oficial do OPNsense sobre Unbound Blocklists).
Passo 4: O Problema do YouTube e o protocolo QUIC
Se você tentou bloquear o YouTube na lista e notou que o comando nslookup youtube.com retorna 0.0.0.0 (indicando bloqueio no Unbound), mas o site ainda navega normalmente, você esbarrou no Protocolo QUIC (HTTP/3).
Navegadores modernos (como Google Chrome e Edge) e aplicativos de smartphone costumam ignorar a consulta DNS TCP tradicional. Eles se conectam diretamente aos servidores do Google usando o protocolo QUIC sob a porta UDP 443. Como a conexão "foge" do modelo de DNS padrão, o bloqueio do Unbound é ignorado.
Veja como contornar isso no OPNsense 26.7:
Bloqueio no Firewall Unificado: Nas versões atuais do OPNsense, a gestão de tráfego foi simplificada para proporcionar uma visão consolidada da rede. Acesse Firewall > Regras. Você verá que todas as políticas de filtragem de entrada e saída estão agrupadas em um único painel unificado.
Clique no botão (+) para criar uma nova regra.
Interface: Selecione a sua rede (ex: LAN).
Direção: In.
Protocolo: UDP.
Destino: Any (Qualquer).
Porta de destino: 80 e 443.
Ação: Block (Bloquear).
Importante: Posicione essa regra no topo da lista (prioridade máxima) para garantir que o tráfego seja interrompido antes de qualquer outra regra de permissão. Isso forçará os navegadores a abandonarem o QUIC e voltarem a usar o DNS padrão da rede (TCP), que é onde o seu bloqueio de DNS atua.
Uso de Wildcards (Bloqueio Estruturado): O YouTube não é apenas um site; ele é um ecossistema complexo que distribui conteúdo através de vários domínios. Para um bloqueio efetivo que impeça tanto o carregamento do site quanto de vídeos embutidos em outros lugares, adicione os seguintes domínios no campo Wildcard Domains:
youtube.com
youtu.be
googlevideo.com
ytimg.com
youtubei.googleapis.com
yt3.ggpht.com
i.ytimg.com
youtube-nocookie.com
Usar o campo Wildcard garante que o OPNsense derrube automaticamente qualquer subdomínio que o navegador tentar consultar relacionado a esses endereços, tornando o bloqueio muito mais difícil de ser contornado.
Limpeza de Cache: Limpe o cache DNS do sistema (No Windows, use o comando ipconfig /flushdns) e o cache interno do navegador (No Chrome, acesse chrome://net-internals/#sockets e clique em Flush socket pools).
Pronto! Após esses ajustes, as requisições serão interceptadas corretamente pelo firewall e o bloqueio será 100% efetivo.
Passo 5: Automatizando a Atualização das Listas no Cron
O cenário de ciberaameaças e a infraestrutura de grandes plataformas mude diariamente. Novos domínios maliciosos surgem a todo momento, e empresas de tecnologia (como o próprio Google) frequentemente alteram os endereços e subdomínios utilizados para servir conteúdos e anúncios.
Se você baixar as listas de bloqueio uma única vez, seu firewall ficará desatualizado em pouco tempo. Para garantir que o OPNsense mantenha suas políticas sempre afiadas sem exigir intervenção manual, utilize o agendador de tarefas nativo (Cron):
Acesse Sistema > Configurações > Cron.
Clique no ícone de adição (+) no canto inferior da tabela para criar um novo agendamento.
No campo Comando, selecione Unbound DNS Blocklist Download (ou Download & Reload Unbound DNS Blocklists).
Frequência recomendada: Configure para rodar uma vez por dia durante a madrugada (por exemplo, defina o campo Hora para 3 e Minuto para 0). Rodar às 03:00 evita qualquer oscilação de desempenho durante o horário de pico de uso da rede.
Clique em Salvar e aplique as alterações.
💡 Nota de Manutenção Contínua: Como os domínios do YouTube e de redes de anúncios evoluem constantemente, vale a pena revisar periodicamente os logs do Unbound no OPNsense para checar se algum novo subdomínio passou batido pelas listas ou se uma atualização automática acabou gerando algum falso positivo.
Conclusão: OPNsense e Unbound DNS como o Escudo Definitivo
Implementar a filtragem web através do Unbound DNS com Blocklists no OPNsense é uma das decisões mais inteligentes e de alto impacto que um administrador de redes pode tomar. Em vez de depender de soluções baseadas em nuvem que cobram mensalidades ou de proxies pesados que esgotam a CPU do seu servidor, você transforma o seu próprio firewall em um resolvedor de nomes blindado e autossuficiente.
Ao longo deste guia, vimos que o ecossistema do OPNsense evoluiu drasticamente. A separação entre o Kea DHCP e o motor de DNS, somada à nova interface de políticas de listas, colocam essa ferramenta open-source no mesmo patamar de firewalls corporativos caríssimos. Seja para proteger uma pequena empresa contra malwares furtivos, bloquear acessos indevidos a redes sociais no horário comercial, ou simplesmente desfrutar de uma navegação sem anúncios (AdBlock global) em um Homelab, o Unbound entrega segurança invisível, instantânea e na raiz da conexão.
Mantenha suas listas (como a HaGeZi e ThreatFox) sempre atualizadas pelo Cron, não se esqueça de travar o protocolo QUIC no firewall, e você terá uma rede incrivelmente rápida, limpa e sob seu controle absoluto.
❓ FAQ: Perguntas Frequentes sobre Blocklists no OPNsense
Para ajudar você a extrair o máximo do seu firewall, reunimos as dúvidas mais comuns sobre filtragem de DNS e bloqueio de sites no OPNsense:
1. O Unbound DNS Blocklist consome muita memória RAM do meu Firewall? Não. Diferente de sistemas de inspeção profunda de pacotes (como Suricata ou Zenarmor), que analisam todo o tráfego de dados em tempo real e exigem bastante hardware, o Unbound atua apenas na camada de resolução de nomes. Mesmo listas pesadas contendo centenas de milhares de domínios maliciosos rodam com extrema fluidez em hardwares modestos ou appliances mini-PCs, consumindo pouquíssima memória RAM.
2. Posso usar o AdGuard Home ou Pi-hole no OPNsense em vez do Unbound? Sim! O OPNsense suporta a instalação do plugin do AdGuard Home, que oferece uma interface gráfica com painéis de estatísticas detalhados. No entanto, o Unbound DNS já vem nativo no núcleo do sistema, sendo mais leve, integrado aos serviços de DHCP e menos propenso a conflitos de portas. Para quem busca estabilidade e menor consumo de recursos, a solução nativa é a mais recomendada.
3. A Blocklist do OPNsense bloqueia anúncios em Smart TVs e aplicativos de celular? Sim. Como a filtragem ocorre na camada de DNS diretamente no gateway da rede, qualquer dispositivo conectado (via Wi-Fi ou cabo) que solicitar a resolução de um domínio de anúncio será interceptado. Isso é ideal para Smart TVs e aplicativos mobile onde não é possível instalar extensões de navegador (AdBlockers). (Nota: Anúncios injetados diretamente na transmissão de vídeo, como os do YouTube, dependem da combinação de DNSBL e bloqueio de protocolo QUIC no firewall).
4. Ativei a Blocklist e um site legítimo parou de funcionar. Como resolver esse Falso Positivo? Falsos positivos ocorrem quando se utiliza listas mais restritivas (como a HaGeZi Ultimate). Para resolver no OPNsense, acesse Serviços > Unbound DNS > Blocklists, edite a regra da sua política de bloqueio e insira o domínio legítimo (ex: siteimportante.com.br) no campo Allowlist Domains. Em seguida, salve, clique em Aplicar e limpe o cache DNS do seu computador (ipconfig /flushdns).
5. Por que o YouTube e outros serviços do Google continuam abrindo mesmo estando na lista de bloqueio? Conforme detalhado em nosso guia, navegadores modernos usam o protocolo QUIC (HTTP/3) via UDP na porta 443 ou realizam consultas via IPv6, ignorando o DNS tradicional. Para bloqueá-los definitivamente no OPNsense, acesse o painel unificado em Firewall > Regras, crie uma regra no topo da lista da sua interface LAN bloqueando o tráfego UDP nas portas 443 e 80 e adicione os subdomínios correspondentes no campo Wildcard Domains da política do Unbound.
Acompanhe a Série: Dominando o OPNsense
Este guia de VPN faz parte da nossa trilha completa sobre como montar, configurar e proteger a sua infraestrutura usando o OPNsense. Se você chegou agora ou quer replicar o nosso ambiente de laboratório, não deixe de conferir os artigos anteriores da série:
🔗 Como Instalar OPNsense 26.1 no VirtualBox (Passo a Passo) O ponto de partida da nossa jornada! Veja como criar o seu laboratório virtual do zero, simulando placas de rede WAN e LAN para acompanhar todos os tutoriais do blog com segurança.
🔗 Como Abrir Portas no OPNsense: Guia de Port Forwarding e NAT Aprenda na prática a fazer redirecionamento de portas para a sua rede interna. Neste artigo, simulamos a publicação de serviços web (porta 443) e Área de Trabalho Remota (porta 3389), mostrando como validar se as portas estão realmente abertas.
🔗Como Configurar OpenVPN no OPNsense 26.7 (Passo a Passo) Aprenda a configurar um servidor OpenVPN no OPNsense do zero. Guia completo com certificado único, regras de firewall e acesso remoto seguro.
🔗Como Configurar OpenVPN com Active Directory no OPNsense Aprenda a integrar a autenticação do OpenVPN com o Active Directory (LDAP) no OPNsense. Guia completo com a técnica avançada de Consulta Estendida.
🔗Como Configurar WireGuard Site-to-Site no OPNsense Aprenda a configurar uma VPN Site-to-Site com WireGuard no OPNsense 26.7. Tutorial passo a passo avançado para sysadmins com foco em segurança, interface dedicada e alta performance.
💡 Hardware Recomendado para OPNsense (Saindo do Laboratório)
Seja para estruturar regras de NAT, isolar redes ou fechar túneis VPN de alta velocidade (como WireGuard e OpenVPN), rodar o OPNsense em um hardware dedicado é o melhor caminho para garantir máxima estabilidade.
A nossa recomendação de melhor custo-benefício atual são os Mini PCs Appliances com processador Intel Celeron J6412. Eles são fanless (totalmente silenciosos), consomem baixíssima energia e vêm equipados com portas de rede Intel de 2.5Gbps. Além disso, possuem suporte nativo a criptografia (AES-NI), garantindo que sua VPN não sofra com gargalos.
⚠️ Transparência: Para qual tamanho de rede este hardware é indicado?
Para mantermos a honestidade e você investir no equipamento certo, é importante destacar que este não é um hardware para data centers ou grandes corporações. Ele é a escolha perfeita e imbatível para:
✔️Homelabs avançados: Para testes, estudos e redes domésticas robustas.
✔️Pequenas e Médias Empresas (PMEs): Redes com cerca de 50 a 100 usuários ativos.
✔️Filiais Corporativas: Excelente como "ponta" para fechar túneis Site-to-Site com a Matriz.
Ele lida com folga com roteamento, firewall básico, DHCP, DNS e VPNs. Porém, se a sua infraestrutura exige a ativação de regras pesadas de Inspeção de Pacotes (IDS/IPS como Suricata ou Zenarmor) para centenas de dispositivos, recomendamos investir em processadores mais robustos (como Core i5/i7 ou linha Xeon). Para 90% dos cenários de implantação em PMEs, o J6412 vai sobrar!
🔗 Confira mais detalhes técnicos e o valor do Appliance J6412 no botão abaixo
⚡ Quer ser avisado sempre que sair um tutorial novo?
Criei um canal gratuito no WhatsApp com um único objetivo: te notificar na hora assim que um novo artigo for publicado.
Entre no canal para não perder nenhuma novidade importante!
👉 https://whatsapp.com/channel/0029Vb8Qa6JJ93watGG35F0c
“Assim que entrar, não esqueça de ativar o sininho (notificações) para receber os avisos!”
Mais Dicas de Tecnologia para Você:
Se este tutorial te ajudou a melhorar o desempenho do seu computador, confira outros guias práticos que preparamos para otimizar, proteger e manter os seus dispositivos sempre funcionando:
Guia do No-Break para Home Office: Como Manter o PC e a Internet Online no Apagão— Descubra como escolher a potência certa e garantir resiliência digital para trabalhar sem quedas de energia.
Celular e PC com IA: O que Muda de Verdade? — Saiba se vale a pena investir nas novas tecnologias e processadores com chips de inteligência artificial nativa.
Por que os Eletrônicos Ficaram Mais Caros? — Entenda como a escassez global de componentes e a corrida das Big Techs inflacionaram o preço do hardware.
Como Usar o Compactador de PDF Online e Gratuito — Aprenda a reduzir o tamanho de arquivos pesados direto no seu navegador com total privacidade.
🛠️ Conheça as Ferramentas Online com Privacidade Total do TecDicas
Precisa resolver uma tarefa rápida no seu dia a dia digital com segurança máxima? Na nossa seção de Ferramentas, todos os utilitários rodam direto no navegador da sua máquina.
🔒 Segurança Absoluta: Chega de baixar programas suspeitos ou fazer upload de arquivos confidenciais. Como o processamento é 100% local, seus dados nunca saem do seu computador ou celular.
Acesse os nossos utilitários gratuitos mais acessados:
💡 Confira também nossos comparativos atualizados:
Melhores Celulares de Entrada em 2026: Qual Comprar até R$ 1.300
Melhor celular para idosos em 2026: simples, fácil de usar e com bom custo-benefício
Os 5 Melhores Notebooks Gamer de 2026 para Comprar no Brasil
Melhores SSD Custo-Benefício 2026: Guia Completo Para Escolher
Melhores Power Banks Baseus: 3 Modelos com Melhor Custo-Benefício em 2026