[MERGED] SquidGuard + Ldap (AD) (Patch - Updated)

lgcosta

Bom dia,

Estou iniciando no mundo do pfsense, para começar resolvi configurar um proxy com as caracteristicas do tópico (squid + squidguard autenticando no AD e filtrando por grupos), fiz a instalação do squid, coloquei o mesmo para autenticar no AD, fiz a instalação do squidguard, apliquei o último patch, fiz as configurações como o exemplo, o navegador pede a autenticação, mas não rola, aparece a mensagem abaixo:

Request denied by pfSense proxy: 403 Forbidden
Reason: Client address: 192.168.0.133
Client user: meu.usuario
Client group: default
Target group: none
URL: http://www.google.com.br/

No log a mensagem de erro é:

Added LDAP source: meu.usuario
squidGuard): ldap_simple_bind_s failed: Invalid credentials

Alguem poderia me dar alguma luz?

Muito provavelmente o usuário que você especificou para fazer search na base ldap não tem permissão para tal ou esta com senha incorreta.

didonsom

Olá Pessoal,

Estou com o mesmo erro que o nosso amigo,

10.04.2013 10:37:32 Added LDAP source: diego
10.04.2013 10:37:32 (squidGuard): ldap_simple_bind_s failed: Invalid credentials

Só que o usuário que está configurado para acessar a base Ldap é administrador, tem todo o acesso.

Será que não estou errando na hora de configurar o client source no grupo de Acls?

Olha como estou fazendo..

ldapusersearch ldap://192.168.0.2/dc=meudominio,dc=com,dc=br?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=Cn=Int-Liberada%2cOU=Empresa%2cOU=Usuarios%2cDC=meudominio%2cdc=com%2cdc=br));

No meu active directory, criei uma unidade organizacional com o nome da empresa e outra dentro dessa com o nome de Usuários ai nela ficam todos os usuários.

Para bloquear a internet criei 2 grupos fora dessas pastas Int-liberada e Int-Bloqueada.

Outra duvida, se eu marcar aquela opção Strip Keberos Realm, consigo modificar as 2 GPOS abaixo para requerer assinatura no controlador de domínio? A única forma que consegui conectar com meu servidor de domínio utilizando o squid3+squidguard foi desabilitando essas GPOS.

Controlador de Dominio: Requisitos de Assinatura Servidor LDAP
Membro de Dominio: Requisitos de Assinatura Cliente LDAP

Obrigado

Abraços,

DIEGO

broonu

Pessoal, estou com uma dúvida básica mas que não estou entendo como resolver.
No meu LDAP só tenho um grupo, como eu libero apenas pessoas específicas no squidguard usando este patch?
Pelo que entendi, ele busca os usuários em um grupo, mas eu quero liberar somente pessoas específicas dentro do grupo.

broonu

@broonu:

Pessoal, estou com uma dúvida básica mas que não estou entendo como resolver.
No meu LDAP só tenho um grupo, como eu libero apenas pessoas específicas no squidguard usando este patch?
Pelo que entendi, ele busca os usuários em um grupo, mas eu quero liberar somente pessoas específicas dentro do grupo.

A quem interessar possa, resolvi meu problema com um paliativo.
Eu criei um grupo dentro da minha OU para usuários que teriam acesso livre, mas não funcionou. Então eu adicionei à estes usuários um atributo novo, no caso eu usei o pkiUser. A minha consulta ficou:

ldapusersearch ldap://meuldapserver/ou=people,dc=domain,dc=com,dc=br?Uid?sub?(&(objectclass=pkiUser)(Uid=%s))

mendax

Boa tarde à todos!

Por favor amigos! Preciso de uma indicação de vocês!!!

Fiz a sincronização LDAP do Pfsense com o Windows 2008 R2 sem problemas, porém os grupos fiz com as ACL's no squid.conf desta forma:

grp_total => Acesso TOTAL
grp_geral => Acesso GERAL
grp_restrito => Acesso RESTRITO

E funciona muito bem! O que eu preciso agora é criar os mesmos grupos, seguindo o mesmo método (com os mesmos nomes ou não) só que usando os grupos do AD DS;

Como eu poderia fazer ? Squidguard seria uma boa saída ? Qual seria a melhor solução ? E alguém poderia postar alguma configuração parecida ou algum tutorial funcional ? Segui vários e não tive sucesso!!!

Muito obrigado à todos!

MendaxCN

marcelloc

Já tentou o patch do Luis Gustavo ou o que eu e o ccesario fizemos?

lgcosta

Versão i386 do squidguard alterado disponivel.

Linha do script:


fetch -o - -q http://www.mundounix.com.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Abraços

marcelloc

@Luiz:

Versão i386 do squidguard alterado disponivel.

Luiz Gustavo,
Tomei a liberdade de atualizar o primeiro post com este link.

Qualquer outra atualização que quiser publicar lá, basta me avisar.

att,
Marcello Coutinho

lgcosta

@marcelloc:

@Luiz:

Versão i386 do squidguard alterado disponivel.

Luiz Gustavo,
Tomei a liberdade de atualizar o primeiro post com este link.

Thanks !

mendax

@Luiz:

@marcelloc:

@Luiz:

Versão i386 do squidguard alterado disponivel.

Luiz Gustavo,
Tomei a liberdade de atualizar o primeiro post com este link.

Thanks !

Boa noite à todos!

Ainda não, vou tentar… e para apagar o fogo fui obrigado a fazer as ACL's manualmente mente, está rodando bem à 3 meses, e vou testar este pacth sim, muito obrigado mais uma vez e estamos para postar novos tutoriais no fórum em breve, obrigado.

Mendax

jaime.martino

Bom dia,

Estou tentando fazer a instalação, porem acho que não esta mais disponivel no link abaixo:

fetch -o - -q http://www.mundounix.com.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Onde posso realizar o download do patch ?

Att.

Jaime Martino

marcelloc

@jaime.martino:

Estou tentando fazer a instalação, porem acho que não esta mais disponivel no link abaixo:

Aqui deu domínio inexistente.

Tente mandar uma private message para o LuisGustavo.

broonu

O domínio está fora, não consegui contato com o autor do patch.
Por sorte eu já tinha aqui instalado, compactei todos os arquivos squidguard* e joguei num outro servidor e funcionou.

lgcosta

@jaime.martino:

Bom dia,

Estou tentando fazer a instalação, porem acho que não esta mais disponivel no link abaixo:

fetch -o - -q http://www.mundounix.com.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Onde posso realizar o download do patch ?

Eu deixei passar o vencimento do dominio no registro :( já paguei, tem que esperar propagar.

De qualquer forma, pode usar meu dominio pessoal no mesmo servidor:

fetch -o - -q http://www.luizgustavo.pro.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Abraços

broonu

@Luiz:

@jaime.martino:

Bom dia,

Estou tentando fazer a instalação, porem acho que não esta mais disponivel no link abaixo:

fetch -o - -q http://www.mundounix.com.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Onde posso realizar o download do patch ?

Eu deixei passar o vencimento do dominio no registro :( já paguei, tem que esperar propagar.

De qualquer forma, pode usar meu dominio pessoal no mesmo servidor:

fetch -o - -q http://www.luizgustavo.pro.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Abraços

Olá Luiz,

Parabéns pelo patch, é muito bom mesmo.
Mas esse script bash aí ainda está com os links apontando para o seu outro domínio.

lgcosta

@broonu:

@Luiz:

@jaime.martino:

Bom dia,

Estou tentando fazer a instalação, porem acho que não esta mais disponivel no link abaixo:

fetch -o - -q http://www.mundounix.com.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Onde posso realizar o download do patch ?

Eu deixei passar o vencimento do dominio no registro :( já paguei, tem que esperar propagar.

De qualquer forma, pode usar meu dominio pessoal no mesmo servidor:

fetch -o - -q http://www.luizgustavo.pro.br/~gugabsd/pfsense/squidguard-ldap-i386.sh | sh

Abraços

Olá Luiz,

Parabéns pelo patch, é muito bom mesmo.
Mas esse script bash aí ainda está com os links apontando para o seu outro domínio.

só a critério de informação, já ta tudo ok desde de segunda. Abraços !

andrefreire

Boa noite !

Pessoal,

Estou entrando no mundo do PFSense agora e estou tentando essa solução mas sem sucesso. Estou seguindo este post do fórum http://forum.pfsense.org/index.php/topic,47532.0.html mas já na instalação do samba o sistema alerta que não há mais suporte a ADS então como vocês estão solucionando isso ?

Agradeço a quem puder ajudar.

leoescarpellin

@didonsom:

Olá Pessoal,

Estou com o mesmo erro que o nosso amigo,

10.04.2013 10:37:32 Added LDAP source: diego
10.04.2013 10:37:32 (squidGuard): ldap_simple_bind_s failed: Invalid credentials

Só que o usuário que está configurado para acessar a base Ldap é administrador, tem todo o acesso.

Será que não estou errando na hora de configurar o client source no grupo de Acls?

Olha como estou fazendo..

ldapusersearch ldap://192.168.0.2/dc=meudominio,dc=com,dc=br?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=Cn=Int-Liberada%2cOU=Empresa%2cOU=Usuarios%2cDC=meudominio%2cdc=com%2cdc=br));

No meu active directory, criei uma unidade organizacional com o nome da empresa e outra dentro dessa com o nome de Usuários ai nela ficam todos os usuários.

Para bloquear a internet criei 2 grupos fora dessas pastas Int-liberada e Int-Bloqueada.

Abraços,

DIEGO

Estou com o mesmo problema… não sei se estou fazendo algo de forma incorreta.

ldapusersearch ldap://192.168.1.2/dc=meudominio,dc=localdomain?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=Cn=InternetPadrao%2cOU=Grupos%2cDC=meudominio%2cDC=localdomain));

Tenho uma OU com o nome Grupos no AD, e dentro dela criei os grupos de internet no caso "InternetPadrao".

Está pedindo autenticação porem quando coloco caio no mesmo problema dos amigos ai...

Alguem sabe dizer se é algum erro meu de config?
Obrigado

gabriel.franca

Boa Tarde Luiz,

O patch já funciona com a versão 2.0.3 ??

abraços

lgcosta

@gabriel.franca:

Boa Tarde Luiz,

O patch já funciona com a versão 2.0.3 ??

abraços

Sim e o mesmo acabou de ser commitado no repositório oficial:

https://github.com/pfsense/pfsense-packages/commit/2dda3a961921534bec5df1dfb039c47ade0ff5b1