Captive portal + Freeradius2 - Problema proxy não transparente.

marcelloc · May 8, 2012, 7:03 PM

@vina18:

Marcello instalei o squid3 com sucesso,porém posso instalar o squidguard direto por packages >squidguard ?

Você pode usar esta sequencia de instalação:

squidguard
squid3

OU se preferir:

Compilei o squidguard com o squid3, mas o procedimento é manual via console e mais complicado.

instala o squidguard via gui
na console, usando o pkg_del remova o squidguard e o squid2
Instala o squid3 via gui
na console, usando o pkg_add, instale o squidguard do meu repositório

amd64
http://e-sac.siteseguro.ws/packages/amd64/8/All/squidGuard-1.4_4.tbz

i386
http://e-sac.siteseguro.ws/packages/8/All/squidGuard-1.4_4.tbz

vina18 · May 9, 2012, 11:32 AM

Instalei os 2 com sucesso,tanto que o squidguard e o HAVP estão funcionando perfeitamente (demorou para o serviço dar start) ,mas estou com dúvida em relação a configuração do squid3 com o captive portal pois o mesmo não está funcionando.

O captive portal ao ser ativado não redireciona para a página do portal muito menos navega.

marcelloc · May 9, 2012, 1:10 PM

@vina18:

O captive portal ao ser ativado não redireciona para a página do portal muito menos navega.

Você lembrou de deixar a home page do navegador na lista de sites que não acessam o proxy?

vina18 · May 9, 2012, 2:40 PM

@marcelloc:

@vina18:

O captive portal ao ser ativado não redireciona para a página do portal muito menos navega.

Você lembrou de deixar a home page do navegador na lista de sites que não acessam o proxy?

Sim .

localhost, 127.0.0.1, uol.com.br, 192.168.5.11(ip pfsense), 192.168.2.107(ip wan - dhcp)

O problema marcelloc é que não há redirecionamento para o portal do captive :(

marcelloc · May 9, 2012, 3:30 PM

vina18,

Posta um ipfw show com o captive portal e a opção do squid marcada.

Sem o proxy marcado, você consegue ver a tela do captive portal?

att,
Marcello Coutinho

vina18 · May 9, 2012, 5:10 PM

@marcelloc:

vina18,

Posta um ipfw show com o captive portal e a opção do squid marcada.

Sem o proxy marcado, você consegue ver a tela do captive portal?

att,
Marcello Coutinho

65291      0       0 allow pfsync from any to any
65292      0       0 allow carp from any to any
65301 101284 4656644 allow ip from any to any layer2 mac-type 0x0806
65302      0       0 allow ip from any to any layer2 mac-type 0x888e
65303      0       0 allow ip from any to any layer2 mac-type 0x88c7
65304      0       0 allow ip from any to any layer2 mac-type 0x8863
65305      0       0 allow ip from any to any layer2 mac-type 0x8864
65306      0       0 allow ip from any to any layer2 mac-type 0x888e
65307    924   80729 deny ip from any to any layer2 not mac-type 0x0800
65310   1150   58248 skipto 65314 ip from any to { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } dst-port 3128 in
65310  11299 1301102 allow ip from any to { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } in
65311      0       0 skipto 65314 ip from { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } 3128 to any out
65311   9974 1195073 allow ip from { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } to any out
65312      0       0 allow icmp from { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } to any out icmptypes 0
65313      0       0 allow icmp from any to { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } in icmptypes 8
65314      0       0 allow ip from table(3) to any in
65315      0       0 allow ip from any to table(4) out
65316      0       0 pipe tablearg ip from table(5) to any in
65317      0       0 pipe tablearg ip from any to table(6) out
65318      0       0 allow ip from any to table(7) in
65319      0       0 allow ip from table(8) to any out
65320      0       0 pipe tablearg ip from any to table(9) in
65321      0       0 pipe tablearg ip from table(10) to any out
65322   1026   56850 pipe tablearg ip from table(1) to any in
65323     56    2240 pipe tablearg ip from any to table(2) out
65531    794   49330 fwd 127.0.0.1,8000 tcp from any to any in
65532    109   17547 allow tcp from any to any out
65533  58433 5467258 deny ip from any to any
65534      0       0 allow ip from any to any layer2
65535      6    2132 allow ip from any to any

Com o squid em modo não transparente e com as opções no navegador configuradas como "detectar automaticamente as configurações" a página do portal é acessada porém ao autenticar o usuário não é possível navegar (o usuário é listado com sucesso no captive status).

Grato marcelloc

vina18 · May 9, 2012, 7:44 PM

Tem alguma coisa errada em algum pacote ou eu to fazendo merd@ 8)

marcelloc · May 9, 2012, 8:11 PM

@vina18:

Tem alguma coisa errada em algum pacote ou eu to fazendo merd@ 8)

A primeira vista, a regras estão ok

pula a regra que libera acesso local
65310 1150 58248 skipto 65314 ip from any to { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } dst-port 3128 in

Encaminha a requisição para o captive portal
65531 794 49330 fwd 127.0.0.1,8000 tcp from any to any in

vina18 · May 10, 2012, 11:15 AM

@marcelloc:

@vina18:

Tem alguma coisa errada em algum pacote ou eu to fazendo merd@ 8)

A primeira vista, a regras estão ok

pula a regra que libera acesso local
65310 1150 58248 skipto 65314 ip from any to { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } dst-port 3128 in

Encaminha a requisição para o captive portal
65531 794 49330 fwd 127.0.0.1,8000 tcp from any to any in

Marcello to com dúvida em relação aos comandos para adicionar tais regras:

Pular a regra -
ipfw add skipto 65314 ip from any to { 255.255.255.255 or 192.168.2.107 or 192.168.5.11 } dst-port 3128 in

Encaminha a requisição para o captive portal
ipfw add fwd 127.0.0.1,8000 tcp from any to any in

Se puder me ajudar com os comandos marcelloc lhe agradeço ;D

Apenas o site cadastrado para não utilizar o proxy está acessando o resto nada :P

marcelloc · May 10, 2012, 1:59 PM

Vina,

Só comentei que as regras estão corretas, não precisa cadastrar. :)

você consegue ver via tcpdump se as conexões estão chegando no squid?

att,
Marcello Coutinho

vina18 · May 10, 2012, 3:09 PM

@marcelloc:

Vina,

Só comentei que as regras estão corretas, não precisa cadastrar. :)

você consegue ver via tcpdump se as conexões estão chegando no squid?

att,
Marcello Coutinho

Tenho o tcpdump aqui marcelloc :) mas não sei como analisar o log dele para lhe passar tal informação.

Uma ajudinha é de grande valia 8)

Obs:Consegui gerar os logs :D

Marcello você já testou o captive + squid3 ?
Alguem aqui do fórum conseguiu realizar tais testes ?

Em squid modo transparente também não funciona ,isso que achei estranho pois ele redireciona para a página do portal consegui autenticar, mas não redireciona para nenhuma página e não navega.
Se puder dar uma olhada nas prints que tirei no 1ºpost tem as configurações que fiz tanto no squid ,quanto no captive (pode ter algo errado).

marcelloc · May 10, 2012, 3:12 PM

Os pacotes não estão chegando no squid, o firewall está bloqueando.

vou conferir as regras denovo.

Desabilite o patch antes de testar o modo transparente com captive portal.

vina18 · May 10, 2012, 3:34 PM

@marcelloc:

Os pacotes não estão chegando no squid, o firewall está bloqueando.

vou conferir as regras denovo.

Desabilite o patch antes de testar o modo transparente com captive portal.

Testei com o patch desabilitado e o resultado é que o redirecionamento para a página do portal acontece,mas depois de autenticar não consigo navegar( o usuário é listado no captive status).É como se ele não liberasse a conexão com a porta 3128 depois da autenticação.

Se tiver mais idéias do que pode estar acontecendo lhe agradeço marcello ;)

vina18 · May 10, 2012, 5:41 PM

Tem uma observação marcelloc… o pfsense que estou testando está atrás de outro pfsense.

Ambiente:

Pfsense(principal) -> distribui DHCP na rede -> PFsense(teste) recebe IP do dhcp na interface WAN e um IP fixo na interface LAN.

Será que pode ter alguma influência para acontecer tal erro ?

Grato!

marcelloc · May 10, 2012, 7:10 PM

De acordo com o tcpdump que você mandou, os pacotes estão parando nas regras do primeiro firewall.