WatchGuard bloqueando site que deveria estar liberado? Como diagnosticar

Um chamado clássico: “o WatchGuard está bloqueando um site que a gente precisa”. Antes de sair criando exceção (e abrindo um buraco na segurança), o caminho certo é descobrir exatamente qual política barrou o tráfego. O Firebox dá todas as pistas — é só saber onde olhar.

Passo 1: o Traffic Monitor é seu melhor amigo

No Firebox System Manager (ou no Fireware Web UI em Dashboard → Traffic Monitor), reproduza o acesso bloqueado e observe a linha vermelha de “Deny”. Ela traz informações essenciais:

Deny 192.168.10.45 203.0.113.7 https/tcp 51020 443
  ProxyDeny: HTTPS-proxy WebBlocker
  category="Uncategorized"

Essa única linha já diz quem (IP de origem), para onde (destino), qual serviço (HTTPS-proxy) e por quê (WebBlocker, categoria “Uncategorized”).

Passo 2: identifique a natureza do bloqueio

As causas mais comuns, na ordem em que costumam aparecer:

a) WebBlocker por categoria

Se o motivo é WebBlocker com uma category, o site caiu em uma categoria bloqueada na sua política. Sites novos costumam vir como “Uncategorized” e por isso são barrados. Solução correta: classifique o domínio, não libere a categoria inteira.

b) Application Control

Aplicativos como Dropbox, TeamViewer ou ferramentas de IA podem ser barrados pelo Application Control, mesmo com a categoria web liberada. No Traffic Monitor aparece app_id/app_name.

c) Inspeção de conteúdo (Content Inspection)

Com inspeção HTTPS ativa, certificados pinned ou inválidos quebram a conexão. O sintoma é o site simplesmente não carregar mesmo “liberado”.

d) Geolocation / Botnet (Reputation)

Se o destino está em um país bloqueado ou em lista de reputação, o bloqueio vem do Geolocation ou do Reputation Enabled Defense, não do WebBlocker.

Passo 3: libere do jeito certo (escopo mínimo)

Identificada a causa, prefira sempre a exceção mais específica possível:

WebBlocker: adicione o domínio em WebBlocker → Exceptions, não desative a categoria.
Application Control: crie uma regra permitindo apenas aquele app, para o grupo de usuários que precisa.
HTTPS Content Inspection: adicione o domínio à lista de Domain Names to Bypass da inspeção.

Exemplo de exceção de domínio bem feita:

*.fornecedor-erp.com.br   → Allow (WebBlocker Exception)

O curinga cobre subdomínios, mas continua restrito àquele fornecedor.

Passo 4: documente a exceção

Toda liberação é uma decisão de segurança. Anote: quem pediu, qual domínio, qual a justificativa de negócio e a data. Em auditorias (e na próxima vez que alguém perguntar “por que esse site está liberado?”), você vai agradecer.

Regra de ouro: nunca resolva um bloqueio desativando uma categoria inteira ou uma proteção global. O incômodo de hoje vira o incidente de segurança de amanhã.

Quando o problema não é o WatchGuard

Se o Traffic Monitor não mostra Deny para aquele tráfego, o bloqueio provavelmente está em outro lugar: DNS interno, proxy do navegador, ou o próprio site fora do ar. O Firebox te ajuda justamente a descartar rapidamente que o firewall é o culpado.

Perguntas frequentes

Como descubro qual regra do WatchGuard bloqueou um site? No Traffic Monitor (Firebox System Manager ou Fireware Web UI), reproduza o acesso e observe a linha de “Deny” em vermelho. Ela mostra a origem, o destino, o serviço e o motivo do bloqueio (WebBlocker, Application Control, etc.).

O que significa a categoria “Uncategorized” no WebBlocker? É um site que o WatchGuard ainda não classificou — comum em domínios novos. Se sua política bloqueia “Uncategorized”, esses sites caem. A solução correta é liberar o domínio específico, não a categoria toda.

Como liberar um site sem abrir brecha de segurança? Use a exceção mais específica possível: adicione o domínio em WebBlocker → Exceptions (com curinga *.dominio.com.br se precisar de subdomínios), em vez de desativar a categoria ou a proteção inteira.

O site não carrega mesmo “liberado”. O que pode ser? Provavelmente a inspeção HTTPS (Content Inspection) com certificado pinned ou inválido. Adicione o domínio à lista de “Domain Names to Bypass” da inspeção.

Como sei se o problema é o firewall ou outra coisa? Se o Traffic Monitor não mostra Deny para aquele tráfego, o firewall não é o culpado — investigue DNS interno, proxy do navegador ou o próprio site fora do ar.

Por que devo documentar cada exceção? Toda liberação é uma decisão de segurança. Anotar quem pediu, qual domínio e a justificativa facilita auditorias e evita que exceções antigas e esquecidas virem risco.