Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS

marcelloc · May 16, 2013, 4:30 PM

@LFCavalcanti:

1 - O Filtro SSL é de certa forma um exploit?

Não é um exploit, a técnica aplicada é a do men-in-the-middle. O squid fecha um ssl com o site e outro com o cliente.

@LFCavalcanti:

2 - O Snort ou o próprio antivírus não irão detectar alguma mudança nos pacotes?

Não, quem vai altertar e reclamar é o browser cliente se o certificado do servidor não estiver instalado.

marcelloc · May 16, 2013, 4:33 PM

@gilmarcabral:

2013/05/16 09:06:50| ERROR: auth_param basic program /usr/local/libexec/squid/squid_ldap_auth: (2) No such file or directory
FATAL: auth_param basic program /usr/local/libexec/squid/squid_ldap_auth: (2) No such file or directory

Os nomes mudaram. squid_ldap_auth mudou para basic_ldap_auth

Vou atualizar o código e republicar.

marcelloc · May 16, 2013, 5:47 PM

pacote versão 2.1.1 publicada

Principais mudanças

Corrigido os nomes dos plugins de autenticação
Incluido mais opções de verificação de certificado(ssl_crt)
Incluído campo para refresh_pattern customizado na aba cache para melhor controle de conteúdo dinamico.
(re)Incluído acl de cache no squid.inc(provavelmente resolve o problema de cache quando habilitado cache de conteúdo dinâmico.)

gilmarcabral · May 16, 2013, 6:58 PM

Boa tarde Marcello.
Ficou um erro na gui do squid.inc ele ta passando a ACL password errado o nome.

2013/05/16 16:03:42| Warning: empty ACL: acl SSL proto SSL
2013/05/16 16:03:42| aclParseAclList: ACL name 'passowrd' not found.
FATAL: Bungled squid.conf line 118: http_access deny passowrd sglog
Squid Cache (Version 3.3.4): Terminated abnormally.
CPU Usage: 0.008 seconds = 0.008 user + 0.000 sys
Maximum Resident Size: 40672 KB
Page faults with physical i/o: 0
o denny password sglog ficou errado o password

marcelloc · May 16, 2013, 7:33 PM

@gilmarcabral:

Ficou um erro na gui do squid.inc ele ta passando a ACL password errado o nome.

Corrigido. Obrigado pelo feedback.

gilmarcabral · May 16, 2013, 8:02 PM

Marcello eu novamente lhe atormentando.
Encontrei mais 2 probleminhas.
O primeiro que quando inicializo o serviço do squid e tento rodar o squid -k reconfigure via terminal ele não roda apresenta a seguinte mensagem:
squid -k reconfigure
squid: ERROR: Could not send signal 1 to process 40565: (3) No such process

Mas o serviço esta inicializado mas num consigo ver se tem algum erro de configuração.

Tentei usar o squid-dev usando o openldap ou autenticação local porem o proxy so recusa conexão.
Vi esta mensagem abaixo no log o cache do squid.
ail -f /var/squid/logs/cache.log
2013/05/16 17:07:44 kid1| Max Mem size: 131072 KB
2013/05/16 17:07:44 kid1| Max Swap size: 2097152 KB
2013/05/16 17:07:44 kid1| Rebuilding storage in /var/squid/cache (no log)
2013/05/16 17:07:44 kid1| Using Least Load store dir selection
2013/05/16 17:07:44 kid1| Current Directory is /usr/local/www
2013/05/16 17:07:44 kid1| Loaded Icons.
2013/05/16 17:07:44 kid1| HTCP Disabled.
2013/05/16 17:07:44 kid1| WARNING: no_suid: setuid(0): (1) Operation not permitted
2013/05/16 17:07:44 kid1| sendto FD 25: (1) Operation not permitted
2013/05/16 17:07:44 kid1| ipcCreate: CHILD: hello write test failed

thiagomespb · May 16, 2013, 8:04 PM

essa mesma msg aparece no meu..

LFCavalcanti · May 16, 2013, 8:50 PM

@marcelloc:

Não, quem vai altertar e reclamar é o browser cliente se o certificado do servidor não estiver instalado.

Hum, então por exemplo, se é man-in-the-middle, ao acessar um site que o usuário nunca tinha acessado, o Banco do Brasil, se o certificado não estiver armazenado pode gerar erro?

Vou tentar fazer um teste amanhã aqui.

marcelloc · May 16, 2013, 9:23 PM

@LFCavalcanti:

Hum, então por exemplo, se é man-in-the-middle, ao acessar um site que o usuário nunca tinha acessado, o Banco do Brasil, se o certificado não estiver armazenado pode gerar erro?

Não, os certificados são gerados dinamicamente, e se você instalar o crt da ca na estação, não vai receber erro algum.

Nota importante: Qualquer site cadastrado na whitelist do squid, não passa pelo filtro de ssl. Não é interessante filtrar sites de banco por exemplo ;)

@LFCavalcanti:

Vou tentar fazer um teste amanhã aqui.

teste no pfsense 2.1, o filtro está perfeito nele.

marcelloc · May 16, 2013, 9:59 PM

pacote versão 2.1.2 publicado.

Principais alterações

mudar o certificade de server para CA
Incluído um <enter>adicional para evitar errors de configuração</enter>

Esta versão esta com o filtro ssl funcionando muito estável no pfsense 2.1. :)

No pfsense 2.0.x é preciso ativar o ipv6 para o squid subir as postas de escuta.

gst.freitas · May 16, 2013, 10:18 PM

marcelo,

o que não esta funcionando.. o pfsense 2.1..

marcelloc · May 16, 2013, 11:01 PM

@gst.freitas:

o que não esta funcionando.. o pfsense 2.1..

Não entendi… :(

gst.freitas · May 16, 2013, 11:03 PM

Vou explicar,

quais os problemas da versão 2.1.. e o squid3-dev para versão 2.0.3 só funciona ativando o IPv6 ?

marcelloc · May 17, 2013, 12:28 AM

@gst.freitas:

quais os problemas da versão 2.1..

Melhor olhar no redmine, não sei o que falta funcionar para deixar de ser beta.

@gst.freitas:

o squid3-dev para versão 2.0.3 só funciona ativando o IPv6 ?

A versão do repositório oficial sim, no meu repositório tem uma versão do squid sem ipv6.

marcelloc · May 17, 2013, 3:34 AM

A versão 3.3.4_1 do meu repositório está funcionando corretamente no 2.0.x

Achei um patch agora a noite e funcionou 100% ;D

vou fazer mais uns testes e partir para resolver a integração com antivírus.

1368761856.278    210 192.168.0.3 TCP_MISS/200 978 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761856.699    442 192.168.0.3 TCP_MISS/200 19903 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/jso                                                                                 n
1368761856.714    521 192.168.0.3 TCP_MISS/200 905 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761857.121    203 192.168.0.3 TCP_MISS/204 328 GET https://www.google.com.br/gen_204? - PINNED/189.86.41.119 text/html
1368761857.136    219 192.168.0.3 TCP_MISS/200 680 GET https://www.google.com.br/xjs/_/js/k=-im9hrMhEvY.en_US./m=wta/am=wA/r                                                                                 t=j/d=0/sv=1/rs=AItRSTMxcUTKX7_k7F3jagv1ABf8swPrOg - PINNED/189.86.41.119 text/javascript
1368761858.327    632 192.168.0.3 TCP_MISS/200 915 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761859.649   1548 192.168.0.3 TCP_MISS/200 14473 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/jso                                                                                 n
1368761859.661    228 192.168.0.3 TCP_MISS/200 850 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761860.026    220 192.168.0.3 TCP_MISS/204 328 GET https://www.google.com.br/gen_204? - PINNED/189.86.41.119 text/html
1368761860.970    397 192.168.0.3 TCP_MISS/200 851 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761861.121    388 192.168.0.3 TCP_MISS/200 856 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761861.223    311 192.168.0.3 TCP_MISS/200 855 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761861.410    397 192.168.0.3 TCP_MISS/200 860 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/json
1368761862.720   1537 192.168.0.3 TCP_MISS/200 18542 GET https://www.google.com.br/s? - PINNED/189.86.41.119 application/jso                                                                                 n
1368761863.104    222 192.168.0.3 TCP_MISS/204 328 GET https://www.google.com.br/gen_204? - PINNED/189.86.41.119 text/html
1368761865.464    232 192.168.0.3 TCP_MISS/204 328 GET https://www.google.com.br/gen_204? - PINNED/189.86.41.119 text/html
1368761866.209    507 192.168.0.3 TCP_MISS/200 982 POST http://ui.ff.avast.com/urlinfo - HIER_DIRECT/77.234.43.81 applicatio                                                                                 n/octet-stream
1368761866.684    479 192.168.0.3 TCP_MISS/200 982 POST http://ui.ff.avast.com/urlinfo - HIER_DIRECT/77.234.43.81 applicatio

marcelloc · May 18, 2013, 12:20 AM

Já estou trabalhando no código da integração com o antivírus via i-cap.

marcelloc · May 24, 2013, 2:16 AM

Atualizei no meu repositório o squid para a versão 3.3.5.

Já submeti a alteração para o ports do freebsd, assim que for comitado por lá, solicito nova compilação no repositório oficial.

O filtro de ssl se mostrou bem estável até agora.

marcelloc · May 27, 2013, 2:59 PM

Até que o ports do freebsd seja atualizado, subi para o meu repositório o pbi do squid 3.3.5

Desta forma quem quiser testar o pacote na 2.1-rc0 já consegue usar o filtro de ssl sem maiores problemas

pfsnse 2.1 amd64
pbi_delete squid-3.3.4-amd64
fetch http://e-sac.siteseguro.ws/packages/amd64/8/All/squid-3.3.5-amd64.pbi
fetch http://e-sac.siteseguro.ws/packages/amd64/8/All/squid-3.3.5-amd64.pbi.sha256
pbi_add –no-checksig squid-3.3.5-amd64.pbi
rehash

pfsnse 2.1 i386
pbi_delete squid-3.3.4-i386
fetch http://e-sac.siteseguro.ws/packages/8/All/squid-3.3.5-i386.pbi
fetch http://e-sac.siteseguro.ws/packages/8/All/squid-3.3.5-i386.pbi.sha256
pbi_add –no-checksig squid-3.3.5-i386.pbi
rehash

thiagomespb · May 27, 2013, 2:28 PM

tem algo de errado nos link.. erro no i386.

marcelloc · May 27, 2013, 3:00 PM

@thiagomespb:

tem algo de errado nos link.. erro no i386.

Corrigido. valeu.