• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

PfSense: Squid + DansGuardian + Captive portal

Scheduled Pinned Locked Moved Italiano
15 Posts 3 Posters 8.5k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • D
    demo
    last edited by May 16, 2013, 1:10 PM May 16, 2013, 12:55 PM

    Ciao,
    non potrei, credo, perché il firewall ha due sole eth: wan con ip pubblico per il web e lan con ip privato che dialoga tramite switch con il server su altra sottorete rispetto alla lan dei computer.
    L'ideale sarebbe appunto avere più eth su fw, ma non posso montarne per mancanza di spazio e soldi…  
    Ho necessità che il dhcp lo faccia il server perché si tratta di un LTSP Ubuntu. Inoltre gli access point devo montarli per forza su 4 switch diversi, per coprire l'intero edificio.
    Mi sembra che l'unica soluzione sia avere 2 dhcp server che potrebbero convivere solo con mappature statiche degli ip/mac in base alla tipologia client (dhcp server ltsp per i client con pxe da rete, dhcp di pfsense per il resto), ma solo in teoria. Ci sarebbe però un bel traffico di rete...
    Temo di dover rinunciare, all'idea che faccia tutto Pfsense.

    Grazie mille

    1 Reply Last reply Reply Quote 0
    • F
      fabio.vigano
      last edited by May 16, 2013, 8:59 PM

      Non puoi fare neanche vlan?
      Per prima cosa io abbandonerei il captiveportal e metterei l'autenticazione su squid così elimini un primo pezzo.
      Per l'autenticazione crercherei se possibile di avere un server radius.
      Ciao

      ===============================
      pfSenseItaly.com
      La risorsa italiana per pfSense

      Se il post o la risposta ti sono stati utili clicca su 👍

      1 Reply Last reply Reply Quote 0
      • D
        demo
        last edited by May 20, 2013, 7:49 AM

        Purtroppo non ho molta dimestichezza con le vlan, devo anche verificare che gli switch (di diverse marche e modelli) le supportino.
        Mi sembra che abbandonare il captive portale nella mia situazione sia inevitabile. Peccato per il wifi.
        Squid supporta autenticazione none (nel senso di nessuna ovvero transparent proxy, vero?), local (non mi è chiaro se intenda la propria o quella nativa di pfsense), LDAP e NTDomain (che non userò) e Radius.
        Ma Radius si integra bene con Dansguardian ovvero si interfaccia indipendentemente dal tipo di autenticazione? Lo chiedo perché nella mia rete ho necessità di avere client che non richiedano autenticazione ma siano filtrati da dansguardian (ltsp fatclient con ip dinamico, per gli alunni) e client che richiedano autenticazione ma non siano filtrati (installazioni locali con ip statico, per gli insegnanti), tutti nella stessa sottorete 192.168.1.x.
        Mal che vada potrei tenere la sola autenticazione squid, come ora, ma devo sperimentare in ambiente di test se replica il tutto.
        Provo in questi giorni.
        Grazie per le infos.

        1 Reply Last reply Reply Quote 0
        • D
          demo
          last edited by May 21, 2013, 7:22 AM

          Ho escluso il captive portal, ma anche Radius perché nella mia situazione dovrebbe bastarmi l'autenticazione squid (local).
          I client prendono ip dal dhcp della eth1 del server che però risiede su altra sottorete rispetto al firewall pfsense:
          Server Ubuntu
          Eth1 192.168.100.1 (dhcp per i client), Eth2 192.168.1.1 (per dialogare con fw pfsense)
          Firewall Pfsense
          Eth1 lan 192.168.1.253 (per dialogare con il server), Eth2 wan x.x.x.x (ip pubblico)

          Per far navigare i client sia senza (porta 8080 filtrata da dansguardian) che con autenticazione squid (porta 3128), come devo fare secondo voi se i client prendono ip della rete 192.168.100.x e non della rete 192.168.1.x del firewall?
          La cosa mi sta facendo, per ora, sclerare…  :-\

          1 Reply Last reply Reply Quote 0
          • F
            fabio.vigano
            last edited by May 21, 2013, 1:01 PM

            Ciao,
            il modo più banale è cambiare la subnet in 255.255.0.0 così hai tutta la classe 192.168.0.1 - 192.168.254.254
            Ciao

            ===============================
            pfSenseItaly.com
            La risorsa italiana per pfSense

            Se il post o la risposta ti sono stati utili clicca su 👍

            1 Reply Last reply Reply Quote 0
            • G
              Gabri.91
              last edited by May 21, 2013, 2:03 PM

              Scusa ma c'è un motivo per cui non fai fare da DHCP server a pfSense? A differenza di altri firewall la sezione DHCP server è anche implementata in modo abbastanza completo..

              1 Reply Last reply Reply Quote 0
              • D
                demo
                last edited by May 24, 2013, 8:43 AM May 22, 2013, 7:21 AM

                @fabio.vigano:

                Ciao,
                il modo più banale è cambiare la subnet in 255.255.0.0 così hai tutta la classe 192.168.0.1 - 192.168.254.254
                Ciao

                provo così, grazie.

                Mi viene però un dubbio su tale configurazione: se così si "vedono" le due sottoreti fra loro, cosa comporterebbe invece mettere le due eth del server sulla stessa classe? es. eth0 192.168.0.1 e eth1 192.168.0.2. Non è un po' la stessa cosa?

                1 Reply Last reply Reply Quote 0
                • D
                  demo
                  last edited by May 22, 2013, 7:23 AM

                  @Gabri.91:

                  Scusa ma c'è un motivo per cui non fai fare da DHCP server a pfSense? A differenza di altri firewall la sezione DHCP server è anche implementata in modo abbastanza completo..

                  ciao,
                  perché il server è un ltsp è deve assegnare ip dinamici per far partire i client in modalità fat o thin.

                  1 Reply Last reply Reply Quote 0
                  • G
                    Gabri.91
                    last edited by May 22, 2013, 10:51 AM

                    Si può fare su DHCP Windows:
                    https://help.ubuntu.com/community/UbuntuLTSP/LTSPWindowsDHCP

                    Quindi credo funzioni anche su DHCP BSD..

                    1 Reply Last reply Reply Quote 0
                    • D
                      demo
                      last edited by May 24, 2013, 8:44 AM

                      @demo:

                      @fabio.vigano:

                      Ciao,
                      il modo più banale è cambiare la subnet in 255.255.0.0 così hai tutta la classe 192.168.0.1 - 192.168.254.254
                      Ciao

                      provo così, grazie.

                      Mi viene però un dubbio su tale configurazione: se così si "vedono" le due sottoreti fra loro, cosa comporterebbe invece mettere le due eth del server sulla stessa classe? es. eth0 192.168.0.1 e eth1 192.168.0.2. Non è un po' la stessa cosa?

                      1 Reply Last reply Reply Quote 0
                      • D
                        demo
                        last edited by May 27, 2013, 5:58 AM

                        @Gabri.91:

                        Si può fare su DHCP Windows:
                        https://help.ubuntu.com/community/UbuntuLTSP/LTSPWindowsDHCP

                        Quindi credo funzioni anche su DHCP BSD..

                        Credo mi incasinerebbe l'avvio dei fatclient per i servizi nbd e tftp.

                        1 Reply Last reply Reply Quote 0
                        • D
                          demo
                          last edited by Jun 3, 2013, 8:25 AM

                          Escludendo a priori il captive portal, ho impostato il bond del server sulla stessa subnet della lan di pfsense.
                          Adesso quindi la subnet è solo una e i client dialogano direttamente con il fw pfsense come proxy.
                          Il boot dei fatclient avviene sempre da server ltsp. Ho risolto così anche se non trovo un modo per far autenticare i client wifi che hanno impostazione automatica del proxy. Ma apro un thread a parte per questo.

                          1 Reply Last reply Reply Quote 0
                          • D
                            demo
                            last edited by Jun 7, 2013, 8:56 AM

                            @demo:

                            Escludendo a priori il captive portal, ho impostato il bond del server sulla stessa subnet della lan di pfsense.
                            Adesso quindi la subnet è solo una e i client dialogano direttamente con il fw pfsense come proxy.
                            Il boot dei fatclient avviene sempre da server ltsp. Ho risolto così anche se non trovo un modo per far autenticare i client wifi che hanno impostazione automatica del proxy. Ma apro un thread a parte per questo.

                            No, non riesco in alcun modo a far autenticare gli utenti che nel browser hanno impostazione automatica del proxy. In pratica navigano liberamente e senza autenticazione come se squid fosse in transparent mode (e non lo è) e non viene tenuta traccia del traffico nei log.
                            Un bel buco sulla sicurezza.
                            Già provato con PAC/WPAD ma senza risultato.
                            A qualcuno è già successo?

                            1 Reply Last reply Reply Quote 0
                            • First post
                              Last post
                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                              This community forum collects and processes your personal information.
                              consent.not_received