Squid3 Yapılandırması ve "https" içerik filtrelemesi

technical

@MuratRaci:

hem wpad.dat
hem de wpad.dat%00 adında mı olacak dosyalar.

yoksa sadece wpad.dat%00 yetiyor mu?

hem wpad.dat hemde wpad.dat%00 olacak
toplamda 4 tane dosya atacaksınız www klasörüne.

ve önemli not: captive portal da bağzı problemler yaşıyorum yönlendirme yapmıyor mobil cihazlarda sayfa açılmıyor ama play store çalışıyor (android için) bu tür sorunları aşabilmek için marcelloc a pm attım bakalım ne diyecek.

technical

güncelleme : Transperant mod ince ayarla kullanılabiliniyor ;
Eğer squid 3 ü transperant modda çalıştırmanız gerekiyorsa 80 portunu engellediğiniz gibi birde 443 portuna engel kuralı yazarak kullanılabilnir, eğer 443 portunu kapatmazsanız bağzı uyanık bilgisayar kullanıcıları tarayıcıdan otomatik proxy algılama ayarlarını kapatarak https sitelere erişim yapabilir.

proxy ayarları otomatik algılama ayarlı olduğu müddetçe https sitelere erişimde sorun yaşanmıyor banka siteleri ile test ettim.

seker

@technical:

@MuratRaci:

hem wpad.dat
hem de wpad.dat%00 adında mı olacak dosyalar.

yoksa sadece wpad.dat%00 yetiyor mu?

hem wpad.dat hemde wpad.dat%00 olacak
toplamda 4 tane dosya atacaksınız www klasörüne.

ve önemli not: captive portal da bağzı problemler yaşıyorum yönlendirme yapmıyor mobil cihazlarda sayfa açılmıyor ama play store çalışıyor (android için) bu tür sorunları aşabilmek için marcelloc a pm attım bakalım ne diyecek.

Bu yöntem DHCP üzerinden web tarayıclara Proxy dağıtma temeline dayanıyor. Web tarayıcıya proxy girildiğinde tüm trafik aslında pfSense ve istemci arasında gerçekleştiği için http / https fark etmeksizin filtreleme yapılabiliyor. Bazı web tarayıcıları ( ismi laım değil adının başharfi I ) ayarları almamak konusunda inat edebiliyorlar. wpad dosyasını wpad.da olarak arayan web tarayıcıları olabiliyor…

Captiveportal tarafında karşılama ekranı görüntülemek için hedef pfSense olmayan bağlantıların arasına giriliyor. Siz proxy yazdığınızda ise tüm bağlantılarınız pfSense ve sizin aranızda olduğundan araya karşılama ekranı getirilemiyor. Yine daha önce bahsi gecen proxy ayarı girerek squid çalıştıran captiveportal bypass sorunu aynı şekilde pfSensin doğrudan kendisine gelen bağlantılara izin vermesi ve kullanıcının proxy ayarı girmesiyle ortaya çıkıyordu. Proxy ayarı yaptığınızda captiveportalı bypass ediyorsunuz otomatik olarak...

Transparan olarak squid kullandığınızda istemcilerin hedefi gerçek siteler oluyor. Bu durumda captiveportal araya girip karşılama ekranını gösterebiliyor. Bu seferde https bağlantılara karşılama ekranı gelmiyor ve https bağlantılar doğrudan yakalanıp squid'e aktarılamıyor. SSL Bump ile Squidin gelen https bağlantıyı karşılaması sağlanabiliyor ancak bu kez istemciler sertifika hataları almaya başlıyorlar. Zira squid istemcinin gitmek istediği adresi doğru bir şekilde yakalayıp o adres için imzalanmış sahte sertifikayı transparan modda üretemiyor... Her siteye sabit bir sertifika kullanmak ise sürekli sertifika hatalarına ve banka siteleri gibi sitelerin düzgün şekilde çalışmamasına neden oluyor... Squid transparan modda dinamik sertifika üretinceye kadar https filtreleme ve captiveportalın bir arada kullanılabilmesi çok mümkün durmuyor... HTTPS filtrelemek veya Captiveportal kullanmak arasında bir seçim yapmamız gerekiyor malesef :(

Bu konularla epeyce cebelleştim ancak bir çözüm bulamadım :(

Saygılarımla...

technical

@seker:

Bu yöntem DHCP üzerinden web tarayıclara Proxy dağıtma temeline dayanıyor. Web tarayıcıya proxy girildiğinde tüm trafik aslında pfSense ve istemci arasında gerçekleştiği için http / https fark etmeksizin filtreleme yapılabiliyor. Bazı web tarayıcıları ( ismi laım değil adının başharfi I ) ayarları almamak konusunda inat edebiliyorlar. wpad dosyasını wpad.da olarak arayan web tarayıcıları olabiliyor…

Captiveportal tarafında karşılama ekranı görüntülemek için hedef pfSense olmayan bağlantıların arasına giriliyor. Siz proxy yazdığınızda ise tüm bağlantılarınız pfSense ve sizin aranızda olduğundan araya karşılama ekranı getirilemiyor. Yine daha önce bahsi gecen proxy ayarı girerek squid çalıştıran captiveportal bypass sorunu aynı şekilde pfSensin doğrudan kendisine gelen bağlantılara izin vermesi ve kullanıcının proxy ayarı girmesiyle ortaya çıkıyordu. Proxy ayarı yaptığınızda captiveportalı bypass ediyorsunuz otomatik olarak...

Transparan olarak squid kullandığınızda istemcilerin hedefi gerçek siteler oluyor. Bu durumda captiveportal araya girip karşılama ekranını gösterebiliyor. Bu seferde https bağlantılara karşılama ekranı gelmiyor ve https bağlantılar doğrudan yakalanıp squid'e aktarılamıyor. SSL Bump ile Squidin gelen https bağlantıyı karşılaması sağlanabiliyor ancak bu kez istemciler sertifika hataları almaya başlıyorlar. Zira squid istemcinin gitmek istediği adresi doğru bir şekilde yakalayıp o adres için imzalanmış sahte sertifikayı transparan modda üretemiyor... Her siteye sabit bir sertifika kullanmak ise sürekli sertifika hatalarına ve banka siteleri gibi sitelerin düzgün şekilde çalışmamasına neden oluyor... Squid transparan modda dinamik sertifika üretinceye kadar https filtreleme ve captiveportalın bir arada kullanılabilmesi çok mümkün durmuyor... HTTPS filtrelemek veya Captiveportal kullanmak arasında bir seçim yapmamız gerekiyor malesef :(

Bu konularla epeyce cebelleştim ancak bir çözüm bulamadım :(

Saygılarımla...

şu anki sistemimde captive portal 2. bir interface de çalışıyor transperant modda https e tek bir engel kuralı yazdım tüm tarayıcılar aktif olarak çalışıyor tek sorun şu tarayıcı captive portaldan auth sonrası https sitelere girmiyor tarayıcıyı kapatıp açmak gerekiyor (ama bu cep telefonu (android de) işe yaramadı.

tuzsuzdeli

@seker
Sizin bahsettiğiniz "full content filtering"
Bununla ilgili hem transparent hem de non transparent modda çalışması için squid3 ve squidguard/dansguardian kodu üzerinde şu an yabancı bir arkadaş çalışmasını bitirmek üzere.
Bugünlerde ya detayları forum üzerinden post eder ya da bahsi geçen paketlere güncelleme gelir.
Ben de takipteyim :)

not : Aynen dediğinizi gibi dinamik sertifika üretimi konusunu çözmüş durumda.

aydemir_07

Peki şu an bizde squid+squidguard kurulu. Bu durumda önce squidi kaldırıp squid3 mü kurmamız gerekli?

tuzsuzdeli

Evet
Ama onda bi sıkıntı çıkmıyor zaten.
Eski squidin ayarları aynen yeniye geçti bende. Ek olarak birşey yapmadım.

technical

@tuzsuzdeli:

Evet
Ama onda bi sıkıntı çıkmıyor zaten.
Eski squidin ayarları aynen yeniye geçti bende. Ek olarak birşey yapmadım.

eğer hizmet başlatılamazsa eski cache klasörünü silmek gerekebiliyor sadece.

yakar

@technical eline sağlık. Vakit bulup bende test edemedim ama artık squid3'e geçme vaktimiz geldi bence de..

akula

Tüm ortamlarda test edilebildi mi?
browser ve işletim sistemlerinin default ayarlada iken

windows üzerinde;
chrome, firefox, yandex, opera

linux üzerinde;
chrome, firefox vs.

ios üzerinde kendine ait browserler ile,

android üzerinde populer browserler ile,

bada üzerinde ,,,
gibi hangilerinde denendi hangilerinde denenmedi nelerde başarılı nelerde değil?
Bilgi paylaşabilirmisiniz?
Her işlerim sistemi ve her browser default ayarlarda ilekn wpad kullanabiliyor mu?

technical

@akula:

Tüm ortamlarda test edilebildi mi?
browser ve işletim sistemlerinin default ayarlada iken

windows üzerinde;
chrome, firefox, yandex, opera

linux üzerinde;
chrome, firefox vs.

ios üzerinde kendine ait browserler ile,

android üzerinde populer browserler ile,

bada üzerinde ,,,
gibi hangilerinde denendi hangilerinde denenmedi nelerde başarılı nelerde değil?
Bilgi paylaşabilirmisiniz?
Her işlerim sistemi ve her browser default ayarlarda ilekn wpad kullanabiliyor mu?

şu an browserler ile cebelleşiyorum çözünce konuyu güncellicem zaten malesef android için wpad algılaması yok. ayrıca ios da da el ile yapılandırmak gerekiyor. saçmalık ötesi durumlar malesef.

drmavi

Merhaba;

Pfsense'de sıkıntı olan bir konuya çözüm bulunmuş gibi görünüyor. Denemelere başladım fakat şöyle bir sorunum var. www klasörü mevcut değil. web sunucu kurulum esnasında mı kuruluyor.

İyi günler

technical

@drmavi:

Merhaba;

Pfsense'de sıkıntı olan bir konuya çözüm bulunmuş gibi görünüyor. Denemelere başladım fakat şöyle bir sorunum var. www klasörü mevcut değil. web sunucu kurulum esnasında mı kuruluyor.

İyi günler

pfsense zaten bir web sunucusu barındırıyor dikkat edilmesi gereken şey pfsense arayüzüne giriş te port kullanılmaması, yani wpad uygulaması için 80 portundan giriş alabilmek gerekiyor.

drmavi

@TechnicaL:

@drmavi:

Merhaba;

Pfsense'de sıkıntı olan bir konuya çözüm bulunmuş gibi görünüyor. Denemelere başladım fakat şöyle bir sorunum var. www klasörü mevcut değil. web sunucu kurulum esnasında mı kuruluyor.

İyi günler

pfsense zaten bir web sunucusu barındırıyor dikkat edilmesi gereken şey pfsense arayüzüne giriş te port kullanılmaması, yani wpad uygulaması için 80 portundan giriş alabilmek gerekiyor.

şuan arayüze girişte 80 portunu kullanıyoruz. winscp ile pfsenseye bağlandığımda hazırladığım wpad dosyalarını atacağımız www klasörü mevcut değil. sorunum bu şekilde

technical

@drmavi:

şuan arayüze girişte 80 portunu kullanıyoruz. winscp ile pfsenseye bağlandığımda hazırladığım wpad dosyalarını atacağımız www klasörü mevcut değil. sorunum bu şekilde

www dizini

"/usr/local/www"

buradadır.

drmavi

teşekkür ederim ilginiz için..

drmavi

Yaptığım işlemler ve sistem durumum;

Sistemde squid3 kurulu captive portal kullanmıyorum.

wpad dosyalarının içeriğini


function FindProxyForURL(url,host)
 {
 return "PROXY 192.168.2.1:80";
 }

bu şekilde yapıp www klasörüne atarak izinlerini 755 yaptım.

aşağıdaki resim gibi dns forwarder'den
Host Overrides ekledim.

"http://wpad.firewall.default/wpad.dat" ile test ettiğimde sayfaya ulaşamadım.

Eksik bir uygulama yaptım mı ya da başka birşey eklemem gerekiyor mu?

wpad.jpg_thumb

technical

@drmavi:

Yaptığım işlemler ve sistem durumum;

Sistemde squid3 kurulu captive portal kullanmıyorum.

wpad dosyalarının içeriğini
function FindProxyForURL(url,host)
 {
 return "PROXY 192.168.2.1:80";
 }
bu şekilde yapıp www klasörüne atarak izinlerini 755 yaptım.

aşağıdaki resim gibi dns forwarder'den
Host Overrides ekledim.

"http://wpad.firewall.default/wpad.dat" ile test ettiğimde sayfaya ulaşamadım.

Eksik bir uygulama yaptım mı ya da başka birşey eklemem gerekiyor mu?

Squid paketinde port olarak "80" mi kullanıyorsunuz ?
o port numarası sorun yaratır. çünki 80 portu varsayılan web sayfası sunucuları portudur.

drmavi

@TechnicaL:

@drmavi:
Yaptığım işlemler ve sistem durumum;

Sistemde squid3 kurulu captive portal kullanmıyorum.

wpad dosyalarının içeriğini
function FindProxyForURL(url,host)
 {
 return "PROXY 192.168.2.1:80";
 }
bu şekilde yapıp www klasörüne atarak izinlerini 755 yaptım.

aşağıdaki resim gibi dns forwarder'den
Host Overrides ekledim.

"http://wpad.firewall.default/wpad.dat" ile test ettiğimde sayfaya ulaşamadım.

Eksik bir uygulama yaptım mı ya da başka birşey eklemem gerekiyor mu?
Squid paketinde port olarak "80" mi kullanıyorsunuz ?
o port numarası sorun yaratır. çünki 80 portu varsayılan web sayfası sunucuları portudur.

Konu anlatımındaki web arayüzü kullanımı ile karıştırmışım kusura bakmayın. şuan portu squidin portu olan 3128 ile değiştirdim. restart atıp deneyeceğim.
teşekkür ederim

drmavi

Sonuç olumsuz. Bir yerde hata yapıyorum herhalde