Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS

Ivart

Obrigado Marcelloc pela dica :), e sobre o redirecionamento https no squidGuard? Alguma chance de funcionar?

marcelloc

Já tentou outros redirects?

Ivart

Como assim Marcelloc, outros redirects? Outro pkg para substituir o squidGuard como filtro? Antes usava o IPCop com o URLfilter e nunca tive problemas com redirecionamento de URL, agora estou migrando paro pfSense estou tendo um pouco de dificuldade, but, so far so good.

marcelloc

@Ivart:

Como assim Marcelloc, outros redirects?

Quis dizer o tipo de redirect configurado no squidguard.

gilmarcabral

Ivart se não me engano o marcelloc esta perguntando o tipo de redirecionamento que você esta utilizando no squidguard para apresentar a pagina de erro quando alguem tenta acessar um conteudo proibido.
Na aba Group ACLs tem as ACLs do grupo que você criou então o atributo.
Redirect mode:

Qual valor você esta utilizando

Ivart

Bom, estou usando o "ext url error page" e está funcionando normalmente com as páginas bloqueadas sem SSL (http), com as páginas bloqueadas em https fiz testes com e sem interceptação SSL, sem interceptação o browser retorna o erro ERR_TUNNEL_CONNECTION_FAILED e com a interceptação o Squid retorna erro e não faz o redirecionamento programado no squidguard (ver imagem). Já tentei todas as outras opções de redirecionamento e somente funciona com páginas http bloqueadas.

squiderror.jpg_thumb

lucasbira

Alguem ai esta com problemas para adicionar os sites na lista branca? Mesmo eu colocando os sites la na lista branca eles continuam aparecendo no log do squid, isso siginifica que está passando pelo filtro correto? Imagens da configuração em anexo.

Alguns sites também estão dando este erro:

O seguinte erro foi encontrado ao tentar recuperar a URL: ://www.manicomio-share.com:443

    Falha ao estabelecer uma conexão segura com 141.105.65.169

The system returned:

    (92) Protocol error (TLS code: X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY)

    SSL Certficate error: certificate issuer (CA) not known: /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=PositiveSSL CA 2

Este proxy e o host remoto falharam em negociar uma configuração de segurança aceitável entre si para atender sua requisição. É possível que o host remoto não suporte conexões seguras ou que o proxy não está satisfeito com as credenciais de segurança do host.

Seu administrador do cache é admin@localhost.

Att. Lucas

print2.jpg_thumb

prin1.jpg_thumb

lorigas

@lucasbira:

Alguem ai esta com problemas para adicionar os sites na lista branca? Mesmo eu colocando os sites la na lista branca eles continuam aparecendo no log do squid, isso siginifica que está passando pelo filtro correto? Imagens da configuração em anexo.

Hoje eu fiz uma nova instalação do pfsense 2.1-rc0 com squidguard e squid3-dev. E apresentou este mesmo problema. Como se o filtro ssl estivesse ignorando a white list. Muito estranho…

Ivart

Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:

acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sites

marcelloc

Lucasbira, que opções de verificação de SSL você marcou na configuração do swuid?

A whitelist pode ser usada para não interceptar sites com o proxy marcado no cliente. Para proxy transparente, você precisa cadastrar os IPS que não serão filtrados pelo proxy transparente.

lorigas

@Ivart:

Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:

acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sites

Bom dia Ivart

Cara estou quebrando a cabeça para liberar os sites do windows update. Na whitelist não está funcionando. Através do seu procedimento no custom Options do squid3-dev ta rolando de boa? O procedimento é só criar uma acl dstdomain no caminho "/var/squid/acl/" e acrescentar o código no custom? Dentro desta acl o sites são colocados com "." ou ""?
".windowsupdate.com" ou ".windowsupdate.com"?

Fico no aguardo

lucasbira

@Ivart:

Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:

acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sites

Vou testar desta maneira obrigado.

@marcelloc:

Lucasbira, que opções de verificação de SSL você marcou na configuração do swuid?

A whitelist pode ser usada para não interceptar sites com o proxy marcado no cliente. Para proxy transparente, você precisa cadastrar os IPS que não serão filtrados pelo proxy transparente.

Nao marquei nenhuma das duas opcoes marcello.

Ententdi, é que eu queria filtrar todos os ips e deixar alguns dominios sem filtrar, se no TProxy não é possivel vou fazer da forma que o Ivart falou pra ver se da certo.

Obrigado.

lucasbira

Sem sucesso usando a dica do Ivart, ainda continua aparecendo o erro.. Só da certo se eu colocar o ip no Unrestricted IPs. Mas mesmo assim tem que ter o certificado instalado na maquina se não num fica dando msg de não confiavel.

Ivart

Não utilizo proxy transparente, com autenticação tem criar outra lista de sites que não requerem autenticação, no Custom Options do squid3-dev:


acl unauth_sites dstdomain "/var/squid/acl/unauth_sites.acl"
acl port_80 port 80
acl port_443 port 443 
http_access allow http port_80 unauth_sites
http_access allow CONNECT port_443 unauth_sites

Utilize o pkg filer para criar o arquivo /var/squid/acl/unauth_sites.acl e coloque dentro dele os sites que não precisam de autenticação

.windows.com
.windowsupdate.com
.windowsupdate.microsoft.com
.update.microsoft.com

Acompanhe pela aba Real Time (Status: Proxy Monitor) os endereços com Status TCP_DENIED/407 que foram negados por erro de autenticação.

lorigas

Boa tarde a todos

A whitelist do squid funciona porém somente em alguns casos conforme post do nosso amigo abaixo

@Ivart:

Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:

acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sites

Resolvi meu problema criando um alias com o range dos sites que não quero que passe pelo proxy e adicionei o alias na aba services\proxy server\Bypass proxy for these destination IPs:

Agora estou conseguindo fazer as atualizações do windows normalmente.

Minha opnião faça a inclusão do site no whitelist e teste. Caso não libere do bloqueio encontre o range do site e adicione no alias que está adicionado no campo Bypass proxy for these destination IPs.

Falow

marcelloc

Como eu postei anteriormente, a whitelist não tem ação no filtro SSL com o proxy em modo transparente. Voce precisa configurar o bypass nesta situação.

lucasbira

@LCantano:

Boa tarde a todos

A whitelist do squid funciona porém somente em alguns casos conforme post do nosso amigo abaixo

@Ivart:

Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:

acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sites

Resolvi meu problema criando um alias com o range dos sites que não quero que passe pelo proxy e adicionei o alias na aba services\proxy server\Bypass proxy for these destination IPs:

Agora estou conseguindo fazer as atualizações do windows normalmente.

Minha opnião faça a inclusão do site no whitelist e teste. Caso não libere do bloqueio encontre o range do site e adicione no alias que está adicionado no campo Bypass proxy for these destination IPs.

Falow

Agora deu certo. Valeu parceiro!

@marcelloc:

Como eu postei anteriormente, a whitelist não tem ação no filtro SSL com o proxy em modo transparente. Voce precisa configurar o bypass nesta situação.

Valeu pela ajuda e paciencia com os leigos.

Att. lucas

amaica

Ola removi o squid3 e squidguard e instalei o squid squid 3.3.5, mas ele não carrega o serviço.

marcelloc

@amaica:

Ola removi o squid3 e squidguard e instalei o squid squid 3.3.5, mas ele não carrega o serviço.

Qual serviço? squid ou squidguard? já leu o topico? fez o download das libs? entendeu que o squidguard na versão 3.3 é iniciado sob demanda?

lorigas

Boa noite Marcelo

Acho que o pacote de instalação do squid3-dev está com algum problema conforme comentei no post abaixo.

http://forum.pfsense.org/index.php/topic,63935.0.html