Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS

[didonsom]

Olá Marcelloc,

Desculpe por realizar 2 posts simultâneos, mas queria postar um feedback da instalação que fiz do squid-3.3.5 com squidguard.

Primeiramente gostaria de agradecer o seu trabalho pq está muito bem feito. O Squid-3.3.5 está rodando perfeitamente com squidguard iniciando sobdemanda. Acabei de realizar diversos testes e ele está bloqueando, rodando etc etc etc..

Para ajudar quem precisa vou relatar o que fiz para instalar…

1 - removi o squid o squid 3 e o squidguard, que tinha instalado pela aba system/packages do pfsense.
2 - instalei o squid3-dev, que está em packages disponíveis do pfsense.
3 - copiei as bibliotecas não inclusas para a pasta usr/local/lib conforme solicitado no seu 1º post (Utilizei o WinSCP).
4 - instalei o squidguard.
5 - pelo putty acessei o console e fui na opção 8.
6 - instalei o squid-3.3.5 a partir do seu repositório pelo console com o comando pkg_add -rf http://e-sac.siteseguro.ws/packages/amd64/8/All/squid-3.3.5.tbz .
7 - configurei o squid3 e habilitei a opção do SSL.
8 - como já tinha o squid3 instalado as configurações foram mantidas.. e o squid funcionou perfeitamente.

para criar um certificado..
1 - acessei system/cert manager.
2 - em Cas cliquei no + para adicionar um novo certificado.
3  -preenchi os dados conforme solicitado.
4 - nas opções key lenght e lifetime mantive o default.
5 - country code coloquei br.
6 - depois que cliquei em salvar fui na segunda opção e exportei o certificado.

para instalar nas maquinas cliquei no certificado, escolhi o repositório manualmente e adicionei o certificado em Autoridade de certificação raiz confiáveis.

O Único problema que identifiquei foi em relação a sgerror.php do squidguard, junto com o certificado SSL. (não sei se isso se dá ao fato do local onde instalei o certificado, mas se eu instalar ele em outro local não funciona).

Instalei o certificado em 2 maquinas para testes. Se eu executar algum site que está na lista de bloqueio em uma usuário com total acesso  o site é acessado normalmente sem erro de certificado, mas seu eu acessar o site a partir de um usuário bloqueado, ele exibe as 2 imagens em anexo ( se eu não instalar o certificado na maquina, as paginas em https apresentam erro, em qualquer usuário..)

será que fiz algo de errado? pq ele deu erro de certificado e quando cliquei em continuar nesse site não exibiu a sgerror.php

abraços

diego


[marcelloc]

Veja as informações do certificado se aparecem o site e a ca que você instalou.

Só para confirmar, você instalou o crt do certificado, não a chave primária certo?

Das opções do filtro de ssl qual você marcou?

[didonsom]

@marcelloc:

Veja as informações do certificado se aparecem o site e a ca que você instalou.

Só para confirmar, você instalou o crt do certificado, não a chave primária certo?

Das opções do filtro de ssl qual você marcou?

sim instalei o crt do certificado coloquei na pasta Autoridade de certificação raiz confiáveis.

em relação ao certificado e as opções do SSL.. estão nos prints em anexo.

Realizei 2 testes de certificado. Em um usuário que tem tudo liberado ( funcionou perfeitamente) e em um usuário que tem o facebook bloqueado.. (gerou o erro) parece q não consegue carregar a sgerror.php, pq aparentemente o certificado está ok.. olha como aparece o endereço no certificado

obrigado

abraços,

diego






[marcelloc]

O ssl foi interceptado nas duas situações, parece ser um problema especificamente com o squidguard.

Passe sua interface gráfica para http e veja se o erro do squidguard aparece corretamente. existem vários posts aqui no fórum com esse mesmo problema com a página de erro do squidguard.

[didonsom]

Olá Marcelloc,

Meu Webgui já está configurado para http, justamente por esta incompatibilidade com o squidguard.

mais alguma dica?

Abraços,

Diego

[fabianoheringer]

Opa, fiz a instalação tudo certinho, o squid está interceptando o ssl, mas continuo recebendo erro de certificado no log recebo este erro:

2013/05/28 22:17:03 kid1| clientNegotiateSSL: Error negotiating SSL connection on FD 93: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number (1/-1)

[casuza]

primeiro parabens a todos no empenho,
Estou testando o squid 3.3.5i386 e o filtro https\ssl funciona no IE 8 com o bug de não mostrar a pagina de ERRO quando o acesso e configurado no squidguard no deny, como citou o amigo ai em cima, porem não e sobre isso que venho falar e sim sobre o firefox 20.0 que qualquer configuração com o certificado apresenta mensagem de erro.Seque a mensagem de erro no firefox.

[JackL]

@casuza:

sobre o firefox 20.0 que qualquer configuração com o certificado apresenta mensagem de erro.Seque a mensagem de erro no firefox.

Você já instalou o certificado (CA) no browser?

Você precisa fazer com o que o teu browser "confie" no teu pfSense. Esta questão, se não me engano, foi tratada aqui mesmo neste tópico!

Abraços!
Jack

[marcelloc]

@fabianoheringer:

Opa, fiz a instalação tudo certinho, o squid está interceptando o ssl, mas continuo recebendo erro de certificado no log recebo este erro:

2013/05/28 22:17:03 kid1| clientNegotiateSSL: Error negotiating SSL connection on FD 93: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number (1/-1)

Já testou outros sites?
Como está a configuração do filtro de ssl no seu squid?
Criou e configurou a CA?
Instalou o certificado no cliente?
Já leu este tópico?

[fabianoheringer]

@marcelloc:

@fabianoheringer:

Opa, fiz a instalação tudo certinho, o squid está interceptando o ssl, mas continuo recebendo erro de certificado no log recebo este erro:

2013/05/28 22:17:03 kid1| clientNegotiateSSL: Error negotiating SSL connection on FD 93: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number (1/-1)

Já testou outros sites?
Como está a configuração do filtro de ssl no seu squid?
Criou e configurou a CA?
Instalou o certificado no cliente?
Já leu este tópico?

Opa Marcelo, acredito que tenha gerado o certificado errado…gerei novamente e tudo funcionou perfeitamente, parabens pela iniciativa!

So mais uma duvida, estou seguindo to tutorial para configuracao de multiwan no squid, na versao anterior funcionava bem, sera tem alguma mudanca no squid 3 que inviabiliza esse funcionamento?

Estou seguindo estes passos:

http://securite-ti.com/pfSense_Web_Proxy_with_multi-WAN_links.pdf

a unica diferenca eh que nao consigo setar a interface para o proxy para a LAN e loopback, se seleciono as duas o squid nao funciona (da erro de URL Invalida), selecionei tanto no proxy transparent tanto na listen interface.

Sera que teria a ver com o squid?

[marcelloc]

@fabianoheringer:

a unica diferenca eh que nao consigo setar a interface para o proxy para a LAN e loopback, se seleciono as duas o squid nao funciona (da erro de URL Invalida), selecionei tanto no proxy transparent tanto na listen interface.

Não escolha loopback se estiver usando proxy transparente. A configuração de loopback é feita automaticamente pelo pacote.

[fabianoheringer]

Ja importei os certificados como confiaveis nos navegadores, mas todos os sites de bancos recusam o certificado.

Uma questão, é possível comprar um certificado de uma autoridade já confiável, e utilizar no squid?

Abraços

[marcelloc]

@fabianoheringer:

Uma questão, é possível comprar um certificado de uma autoridade já confiável, e utilizar no squid?

CA acho que não.

Qual a versão do pfsense que você esta usando? 2.1 ou 2.0.3?

[didonsom]

@didonsom:

Olá Marcelloc,

Desculpe por realizar 2 posts simultâneos, mas queria postar um feedback da instalação que fiz do squid-3.3.5 com squidguard.

Primeiramente gostaria de agradecer o seu trabalho pq está muito bem feito. O Squid-3.3.5 está rodando perfeitamente com squidguard iniciando sobdemanda. Acabei de realizar diversos testes e ele está bloqueando, rodando etc etc etc..

Para ajudar quem precisa vou relatar o que fiz para instalar…

1 - removi o squid o squid 3 e o squidguard, que tinha instalado pela aba system/packages do pfsense.
2 - instalei o squid3-dev, que está em packages disponíveis do pfsense.
3 - copiei as bibliotecas não inclusas para a pasta usr/local/lib conforme solicitado no seu 1º post (Utilizei o WinSCP).
4 - instalei o squidguard.
5 - pelo putty acessei o console e fui na opção 8.
6 - instalei o squid-3.3.5 a partir do seu repositório pelo console com o comando pkg_add -rf http://e-sac.siteseguro.ws/packages/amd64/8/All/squid-3.3.5.tbz .
7 - configurei o squid3 e habilitei a opção do SSL.
8 - como já tinha o squid3 instalado as configurações foram mantidas.. e o squid funcionou perfeitamente.

para criar um certificado..
1 - acessei system/cert manager.
2 - em Cas cliquei no + para adicionar um novo certificado.
3  -preenchi os dados conforme solicitado.
4 - nas opções key lenght e lifetime mantive o default.
5 - country code coloquei br.
6 - depois que cliquei em salvar fui na segunda opção e exportei o certificado.

para instalar nas maquinas cliquei no certificado, escolhi o repositório manualmente e adicionei o certificado em Autoridade de certificação raiz confiáveis.

O Único problema que identifiquei foi em relação a sgerror.php do squidguard, junto com o certificado SSL. (não sei se isso se dá ao fato do local onde instalei o certificado, mas se eu instalar ele em outro local não funciona).

Instalei o certificado em 2 maquinas para testes. Se eu executar algum site que está na lista de bloqueio em uma usuário com total acesso  o site é acessado normalmente sem erro de certificado, mas seu eu acessar o site a partir de um usuário bloqueado, ele exibe as 2 imagens em anexo ( se eu não instalar o certificado na maquina, as paginas em https apresentam erro, em qualquer usuário..)

será que fiz algo de errado? pq ele deu erro de certificado e quando cliquei em continuar nesse site não exibiu a sgerror.php

abraços

diego

Marcello, sem quere mudar o assunto do ultimo post, vc tem mais alguma dica para o problema da sgerror em https?

abs

diego

[marcelloc]

@didonsom:

Marcello, sem querer mudar o assunto do ultimo post, vc tem mais alguma dica para o problema da sgerror em https?

Subir outro daemon do lightsquid em http somente com a página de erro do squidguard.(já postei isso por aqui também.)

[fabianoheringer]

@marcelloc:

@fabianoheringer:

Uma questão, é possível comprar um certificado de uma autoridade já confiável, e utilizar no squid?

CA acho que não.

Qual a versão do pfsense que você esta usando? 2.1 ou 2.0.3?

Estou usando a 2.1-RC0

[lorigas]

Boa tarde galera

Estou efetuando a instalação do squid-dev conforme receita mais ao usar este comando no shell do pfsense fetch  http://e-sac.siteseguro.ws/packages/8/All/squid-3.3.5-i386.pbi aparece a mensagem "not found"

O que estou fazendo errado?

A versão do PFSense é a 2.1 RC0 instalação nova
Efetuei somente a instalação do squidguard e logo após o squid3-dev através do system/packages

Comecei o procedimento de alteração do squid através do shell:

pbi_delete squid-3.3.4-i386 comando ok
fetch  http://e-sac.siteseguro.ws/packages/8/All/squid-3.3.5-i386.pbi not found

Agradeço a todos a ajuda

[marcelloc]

@fabianoheringer:

Estou usando a 2.1-RC0

Atualizou o pbi do meu repositório?

[lorigas]

@LCantano:

Boa tarde galera

Estou efetuando a instalação do squid-dev conforme receita mais ao usar este comando no shell do pfsense fetch  http://e-sac.siteseguro.ws/packages/8/All/squid-3.3.5-i386.pbi aparece a mensagem "not found"

O que estou fazendo errado?

A versão do PFSense é a 2.1 RC0 instalação nova
Efetuei somente a instalação do squidguard e logo após o squid3-dev através do system/packages

Comecei o procedimento de alteração do squid através do shell:

pbi_delete squid-3.3.4-i386 comando ok
fetch  http://e-sac.siteseguro.ws/packages/8/All/squid-3.3.5-i386.pbi not found

Agradeço a todos a ajuda

Os repositórios do marcelo estão ok. Através da web consigo baixar os pbi.
Teria outro comando para usar no lugar do fetch ou eu que estou realmente fazendo coisa errada?

[fabianoheringer]

@marcelloc:

@fabianoheringer:

Estou usando a 2.1-RC0

Atualizou o pbi do meu repositório?

Sim atualizei ,conforme as instruções.