Https via squid3

[LFCavalcanti]

Tirar o HTTPS da WebGUI do PFSense não é uma opção. Implica demais na segurança.

Se alguém puder testar isso em AMBIENTE DE TESTES, ok.. mas se o servidor estiver em produção, deixe o HTTPS ativado.

[cristianonix]

O pfsense vem com squid3.1.19,  ele dá o problema em navegações https da google.
Já atualizei pra versão 3.1.20, problema persiste.
Estou achando que pode ser problema com DNS.
Porque o ipv6 está ativado.
Se alguem puder me ajudar? Versões mais novas deveriam resolver esse tipo de coisa.

Obs: Uma coisa se deixarem o  HTTPS para WEbgui, não funciona a autenticação utilizando Wpad.
Tive que deixar HTTP, mesmo.

[diegogyn]

Cristiano se você passar para o squid2 o wpad funciona com o HTTPS ativado?

[]´s

[cristianonix]

o problema  que a opção forward_for do squid3.1 não funciona nessa versão.
Até porque uso o dansguardian na frente.
A opção do forward_for serve pra pegar o ip real do usuário repassado do dansguardian.

[marcelloc]

@diegogyn:

Cristiano se você passar para o squid2 o wpad funciona com o HTTPS ativado?

A gui do pfsense só permite um protocolo, por questões de segurança, usamos o https. Porem você pode fazer uma "adaptação técnica" para deixar a gui com http(para funcionar o wpad) e quando você precisar acessar a gui, faça via túnel ssh.
Não é a melhor solução, mas é uma solução com quase nenhuma customização ou configuração de daemons extra.

att,
Marcello Coutinho

[dougf4nnie]

Alguém conseguiu algum êxito no problema do https com gmail?

[cristianonix]

Instale o squid2, que resolve seu problema.
Certeza;

[marcelloc]

@cristianonix:

Instale o squid2, que resolve seu problema.

e infelizmente insere outros…  :( (connection aborted)

[filipisilva]

Srs,

Solução para o problema de SQUID3 com o sites vinculados ao Google, tenho vários firewalls recentemente apresentando esse problema.

Minhas Versões:
2.0.1-RELEASE (i386) built on Mon Dec 12 19:00:03 EST 2011 FreeBSD 8.1-RELEASE-p6
Installed: 3.1.20 pkg 2.0.5_2

Não tenho dansguardian, ou squidguardian.

Pelas pesquisas que fiz, a partir da versão do squid 3.1.9 o Ipv6 já vem ativo por padrão no SQUID e caso o SO tenha compatibilidade com o IPv6 ele ira tentar trabalhar com IPv6, detalhe, não tenho configuração de IPs em IPv6 nos meus firewalls.

Verifiquei também que ao resolver o nome accounts.google.com não retorna IPv6 nenhuma vez.

Porem no access.log apresenta o erro:
1345732006.156    20 192.168.0.101 TCP_MISS/503 0 CONNECT accounts.google.com:443 - DIRECT/- -

Podem ver que não aprece o IP após o directy vejam como fica quando funciona:
1345732738.458  1026 192.168.0.160 TCP_MISS/200 15489 CONNECT accounts.google.com:443 - DIRECT/74.125.137.84 -

SOLUÇÃO:
Não temos como recompilar o squid3 desabilitando o suporte a IPv6 que vem habilitado por padrão.
Tentei alterar as configurações de sysctl do FreeBSD desabilitando também o reconhecimento de IPv6 pelo squid.

Por último o que resolveu meu problema e validei, foi adicionar a seguinte configuração em Custom Options do squid:
dns_v4_first on

Bom isso foi o suficiente para não ter mais o erro ao logar e deslogar do GMAIL,GLOBO e IG.

Espero ter ajudado.

Abs

[dougf4nnie]

Excelente dica filipisilva! Pelos testes iniciais que fiz… resolveu o problema.  :D

Obrigado pela dica.

[LFCavalcanti]

Excelente! Parabéns Felipesilva!!!

Até agora funcionando corretamente aqui.

[kelsen]

nos meus testes ainda aparece tcp_miss/503 algumas vezes no gmail.com por exemplo, mas o problema da tela branca parece ter sido resolvido.
Porém surgiu um outro problema que pode ser minha instalação, mas, quando dou um ctrl+f5 no gmail não abre a página, da erro como se não tivesse conexão, mas volta a funcionar depois de outro refresh. Aconteceu tb com play.google.com e o proprio google. Outro dominio não da problema.
Google Zicado ")

[marcelloc]

@filipisilva:

SOLUÇÃO:
Não temos como recompilar o squid3 desabilitando o suporte a IPv6 que vem habilitado por padrão.
Tentei alterar as configurações de sysctl do FreeBSD desabilitando também o reconhecimento de IPv6 pelo squid.

Por último o que resolveu meu problema e validei, foi adicionar a seguinte configuração em Custom Options do squid:
dns_v4_first on

Primeiramente, bem vindo ao fórum! :)

Excelente contribuição. Assim que tiver tempo, vou incluir esta opção na gui do pacote.
Realmente não temos como desabilitar o ipv6 do squid, a versão 2.1 do pfsense tem suporte nativo a ele.

Obrigado pela ajuda, coloquei seu post nos tutoriais para proxy.

Reduzindo problemas de resolução de dns(e https) no squid3.

[cristianonix]

filipisilva,

Parabéns fera !!!!
;D

[LFCavalcanti]

Marcelloc,

Tem como jogar uma versão com essa opção compilada no seu repositório?

Sei que com o IPv6 logo teremos que escolher entre endereços das duas versões do IP, mas pra agora seria muito útil.

Isso se você tiver tempo…  ;D

[marcelloc]

@LFCavalcanti:

Tem como jogar uma versão com essa opção compilada no seu repositório?

Vou colocar a opção na gui, não precisa de compilação. Talvez volte a ter tempo a partir da semana que vem ou em 15 dias.

[marcelloc]

Opção já disponível na última versão do pacote.