Tutorial - SquidGuard + LdapGroup (permissão por grupo no ad)

ilv

acabei de verificar nas propriedades de cada usuário do grupo para ver se tinha alguma acentuação e não tem.

gilmarcabral

Clica no E na frente do grupo criado no Pfsense e posta o print da tela para nós vermos.
Pois olhando ai a mensagem do script onde ele avisa do Grupo Vendas, e uma aviso que ele tem no AD mas não tem no pfsense.
da um print nas propriedades deste grupo e posta aki para nós.

ilv

Gilmar, obrigado pela atenção, consegui encontrar o problema, me preocupei apenas com os usuários que havia criado, mas quando observei vi o "Admin. de Domínio" assim que removi esse usuário, e executei o script, os usuários apareceram no grupo do PFsense.

Ocorre apenas a mensagem "Warning: Invalid argument supplied for foreach() in /root/squidguard_ldap.php on line 38
"

Mas os usuários aparecem normalmente. Sabe me dizer se pode acarretar algum problema?

ilv

Tentei agendar através da interface grafica, como o marcelocc mostra na pagina 4, porém ele não executa o script, então estou tentando agendar no cron através do comando, direto no ssh, porém ele me retorna este erro:

/root(17): */5 * * * * root /usr/local/bin/php -q /root/squidguard_ldap.php
*/5: No match.

Alguém já vivenciou isso ?

gilmarcabral

Sobre esta mensagem ocorre comigo com base openldap.
Agora via cron via GUI agendo sem problemas.
Fica desta forma abaixo.

*/06 * * * 1-7 root /home/scripts/squidguard_ldap.php

ilv

@gilmarcabral:

Sobre esta mensagem ocorre comigo com base openldap.
Agora via cron via GUI agendo sem problemas.
Fica desta forma abaixo.

*/06 * * * 1-7 root /home/scripts/squidguard_ldap.php

Ainda continua dando a mensagem de erro:

[2.0.2-RELEASE][admin@matriz]/root(26): */06 * * * 1-7 root /usr/local/bin/php -q /root/squidguard_ldap.php
*/06: No match.

gilmarcabral

Bom dia.
Pelo que entendi você esta executando este comando abaixo no terminal.
Caso você tiver fazendo isso não ira funcionar pois o console não sabe o que é */06.
Se você quiser agendar o serviço para ser executado em 6 em 6 minutos terá que usar a GUI do pfsense na parte do cron.
Não precisa você passar o caminho do php.

*/06 * * * 1-7 root /usr/local/bin/php -q /root/squidguard_ldap.php

ilv

@gilmarcabral:

Bom dia.
Pelo que entendi você esta executando este comando abaixo no terminal.
Caso você tiver fazendo isso não ira funcionar pois o console não sabe o que é */06.
Se você quiser agendar o serviço para ser executado em 6 em 6 minutos terá que usar a GUI do pfsense na parte do cron.
Não precisa você passar o caminho do php.

*/06 * * * 1-7 root /usr/local/bin/php -q /root/squidguard_ldap.php

Funcionou Gilmar! Obrigado pela ajuda!

gilmarcabral

Que bom.
Flw

helberttavares

Bom dia!!

Pessoal, estou com uma duvida tremenda.

Estou tentando executar os passos com o script criado pelo Marcelloc e pelo Ccesario no post http://forum.pfsense.org/index.php/topic,47100.msg248200.html#msg248200

Não entendi em qual pasta o arquivo "squiguard_ldap.php" deve ficar depois de alterado para as configurações do meu AD.

Fiz os passos abaixo:

1º- Instalar os pacotes "FILER" e "Cron"
3º- Criar no sguidGuard um grupo ex: "Acesso_Full"
4º- Criar no AD Windows um grupo com o mesmo nome
5º- Ir em Diagnostics>Filer -File: squiguard_ldap.php
-Description: –-
-Permissions: –-
-File Contents: script criado por você (com as informações do meu AD)
-Script: ?
-Execute mode: ?
6º- Ir no Cron e deixar e configurar: */5 * * * * root /usr/local/bin/php -q /root/squidguard_ldap.php

Parei aqui…

Se puder esclarecer as minhas duvidas, ficarei muito agradecido.

marcelloc

@helberttavares:

Não entendi em qual pasta o arquivo "squiguard_ldap.php" deve ficar depois de alterado para as configurações do meu AD.

o 6º passo dá a resposta… ;) /root/squidguard_ldap.php

Mas é claro que você pode colocar em qualquer outra pasta.
Não recomendo deixar em /usr/local/www uma vez que pode ser chamado via browser.

helberttavares

Obrigado Marcelloc!

Deu certo, os usuários membros dos grupos no AD aparecem em Client source no SquidGuard mas os bloqueios/acessos não estão saindo pelas permissões dos grupos mas apenas pelo Common ACL.

O que pode ser?

marcelloc

@helberttavares:

O que pode ser?

Provavelmente seu squid não esta autenticando os usuários.

Já verificou o access.log do squid?

helberttavares

Bom dia!!

Marcelloc, eu estou usando proxy transparente.
Tem algum problema, o script funciona com o squid em modo transparente?

marcelloc

@helberttavares:

Marcelloc, eu estou usando proxy transparente…

Não vai funcionar, proxy transparente não autentica.

helberttavares

Marcelloc, para o meu cenario teria que ser os passos indicados no link abaixo?

http://forum.pfsense.org/index.php/topic,47532.msg249812.html#msg249812

No meu cenario tenho que usar proxy transparente…

marcelloc

@helberttavares:

Marcelloc, para o meu cenario teria que ser os passos indicados no link abaixo?

http://forum.pfsense.org/index.php/topic,47532.msg249812.html#msg249812

No meu cenario tenho que usar proxy transparente…

A configuração deste tópico exige a configuração do proxy, via WAP ou direto no browser.
O que fica transparente é a autenticação, que não aparece tela de usuário e login.

att,
Marcello Coutinho

helberttavares

Boa tarde!!
Obrigado pelo esclarecimento Marcelloc.

Só mais algumas perguntas…

Provavelmente seu squid não esta autenticando os usuários.

Nunca trabalhei com proxy não transparente o que preciso fazer para o squid autenticar os usuários? Tenho que criar os usuarios no squid?

Já fiz todos os passos…os usuários e grupos do AD ja estão sincronizados com o squidguard, o que esta faltando para finalizar essa configuração?

marcelloc

@helberttavares:

O que preciso fazer para o squid autenticar os usuários? Tenho que criar os usuarios no squid?

Depois de dar uma boa olhada nos tutoriais, você pode escolher qual metodo de autenticação você quer usar no squid e configura o proxy nos usuarios(via WAP, GPO ou na mão)

@helberttavares:

Já fiz todos os passos…os usuários e grupos do AD ja estão sincronizados com o squidguard, o que esta faltando para finalizar essa configuração?

Falta finalizar o procedimento da pergunta acima.

lgcosta

VEJA ATUALIZAÇÃO DESSE PATCH EM:

http://forum.pfsense.org/index.php/topic,59242.0.html

@Luiz:

pegando o bonde andando…. eu fiz um script um tempo atras exatamente para suprir a necessidade de um cliente com isso, fazer acl por grupo, segue então como fiz:

Aplicar o patch no pfsense (com o pacote já instalado), com o comando abaixo:
fetch -q -o /tmp/ http://www.mundounix.com.br/~gugabsd/squidguard-ldap-search.patch && cd /usr/local/pkg && patch -p0 < /tmp/squidguard-ldap-search.patch
Execute em Diagnostics > command prompt

Vai aparecer uma opção nova na configuração do squidguard, conforme a figura abaixo:

Configure o seu Ldap DN e senha (igual ao do squid)

E crie uma acl baseada na da figura abaixo:

No exemplo acima, o grupo é o CN=ti (é tudo uma linha só, sem quebra)

Qualquer dúvida, da um grito ai.

Abraços