Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS
-
Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:
acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sites -
Lucasbira, que opções de verificação de SSL você marcou na configuração do swuid?
A whitelist pode ser usada para não interceptar sites com o proxy marcado no cliente. Para proxy transparente, você precisa cadastrar os IPS que não serão filtrados pelo proxy transparente.
-
Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:
acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sitesBom dia Ivart
Cara estou quebrando a cabeça para liberar os sites do windows update. Na whitelist não está funcionando. Através do seu procedimento no custom Options do squid3-dev ta rolando de boa? O procedimento é só criar uma acl dstdomain no caminho "/var/squid/acl/" e acrescentar o código no custom? Dentro desta acl o sites são colocados com "." ou ""?
".windowsupdate.com" ou ".windowsupdate.com"?Fico no aguardo
-
Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:
acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sitesVou testar desta maneira obrigado.
Lucasbira, que opções de verificação de SSL você marcou na configuração do swuid?
A whitelist pode ser usada para não interceptar sites com o proxy marcado no cliente. Para proxy transparente, você precisa cadastrar os IPS que não serão filtrados pelo proxy transparente.
Nao marquei nenhuma das duas opcoes marcello.
Ententdi, é que eu queria filtrar todos os ips e deixar alguns dominios sem filtrar, se no TProxy não é possivel vou fazer da forma que o Ivart falou pra ver se da certo.
Obrigado.
-
Sem sucesso usando a dica do Ivart, ainda continua aparecendo o erro.. Só da certo se eu colocar o ip no Unrestricted IPs. Mas mesmo assim tem que ter o certificado instalado na maquina se não num fica dando msg de não confiavel.
-
Não utilizo proxy transparente, com autenticação tem criar outra lista de sites que não requerem autenticação, no Custom Options do squid3-dev:
acl unauth_sites dstdomain "/var/squid/acl/unauth_sites.acl" acl port_80 port 80 acl port_443 port 443 http_access allow http port_80 unauth_sites http_access allow CONNECT port_443 unauth_sitesUtilize o pkg filer para criar o arquivo /var/squid/acl/unauth_sites.acl e coloque dentro dele os sites que não precisam de autenticação
.windows.com
.windowsupdate.com
.windowsupdate.microsoft.com
.update.microsoft.comAcompanhe pela aba Real Time (Status: Proxy Monitor) os endereços com Status TCP_DENIED/407 que foram negados por erro de autenticação.
-
Boa tarde a todos
A whitelist do squid funciona porém somente em alguns casos conforme post do nosso amigo abaixo
Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:
acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sitesResolvi meu problema criando um alias com o range dos sites que não quero que passe pelo proxy e adicionei o alias na aba services\proxy server\Bypass proxy for these destination IPs:
Agora estou conseguindo fazer as atualizações do windows normalmente.
Minha opnião faça a inclusão do site no whitelist e teste. Caso não libere do bloqueio encontre o range do site e adicione no alias que está adicionado no campo Bypass proxy for these destination IPs.
Falow
-
Como eu postei anteriormente, a whitelist não tem ação no filtro SSL com o proxy em modo transparente. Voce precisa configurar o bypass nesta situação.
-
@LCantano:
Boa tarde a todos
A whitelist do squid funciona porém somente em alguns casos conforme post do nosso amigo abaixo
Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:
acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sitesResolvi meu problema criando um alias com o range dos sites que não quero que passe pelo proxy e adicionei o alias na aba services\proxy server\Bypass proxy for these destination IPs:
Agora estou conseguindo fazer as atualizações do windows normalmente.
Minha opnião faça a inclusão do site no whitelist e teste. Caso não libere do bloqueio encontre o range do site e adicione no alias que está adicionado no campo Bypass proxy for these destination IPs.
Falow
Agora deu certo. Valeu parceiro!
Como eu postei anteriormente, a whitelist não tem ação no filtro SSL com o proxy em modo transparente. Voce precisa configurar o bypass nesta situação.
Valeu pela ajuda e paciencia com os leigos.
Att. lucas
-
Ola removi o squid3 e squidguard e instalei o squid squid 3.3.5, mas ele não carrega o serviço.
-
Ola removi o squid3 e squidguard e instalei o squid squid 3.3.5, mas ele não carrega o serviço.
Qual serviço? squid ou squidguard? já leu o topico? fez o download das libs? entendeu que o squidguard na versão 3.3 é iniciado sob demanda?
-
Boa noite Marcelo
Acho que o pacote de instalação do squid3-dev está com algum problema conforme comentei no post abaixo.
http://forum.pfsense.org/index.php/topic,63935.0.html
-
Pessoal Boa Tarde,
Alguem já testou o squid3-dev com o Dansguardian ?
Estou começando um ambiente de teste e gostaria de saber se tem gente usando e como está se comportando o ambiente. -
Sim, o pacote squid-3.3.8.tbz não está em http://files.pfsense.org/packages/amd64/8/All/
-
Bom dia Marcelloc!
Andei lendo o tópico, mas fiquei confuso com algumas coisas. Eu não tenho interesse em usar o filtro SSL por enquanto, a maioria dos meus clientes usa proxy não transparente com regras de firewall liberando só estritamente o necessário.
Minhas perguntas são:
1 - Essa versão em desenvolvimento é a mesma que está na lista de pacotes do PFSense como Squid3-Dev?
2 - Nessa versão já está incluida a questão do balanceamento de carga e Fail Over?
3 - Como é feita a integração com o SquidGuard e com o AD?(Se puder passar o link para a resposta do tópico em especifico, pois li aqui e não filtrei a informação correta)
4 - Para autenticação transparente, usando aquele esquema do Samba, é possivel usar com essa versão? -
1 - Essa versão em desenvolvimento é a mesma que está na lista de pacotes do PFSense como Squid3-Dev?
Exatamente a mesma
2 - Nessa versão já está incluida a questão do balanceamento de carga e Fail Over?
Ainda não incluí nenhum teste ou regra a mais para balanceamento de link.
Se não houve alteração no tratamento das regras da aba floating na 2.0.3 ou na 2.1, os tutoriais disponíveis no fórum devem funcionar.3 - Como é feita a integração com o SquidGuard e com o AD?(Se puder passar o link para a resposta do tópico em especifico, pois li aqui e não filtrei a informação correta)
A integração que o Luis Gustavo fez, já faz parte do pacote.
4 - Para autenticação transparente, usando aquele esquema do Samba, é possivel usar com essa versão?
Perfeitamente. :)
-
Fiz uma vm no XenServer e não estou conseguindo fazer o proxy autenticado com o squid3-dev.
Eu fiz um teste. Criei uma nova vm e instalei apenas o squid (2). funcionou ok.
Então desinstalei o squid(2) e instalei o squid3 e aquelas dependencias lá! não mudei nenhuma configuração, contudo não está funcionando. O browser não abre o prompt pra autenticação!any ideas?
-
@UnDr3aD:
Então desinstalei o squid(2) e instalei o squid3 e aquelas dependencias lá! não mudei nenhuma configuração, contudo não está funcionando. O browser não abre o prompt pra autenticação!
Veja se o squid está escutando na porta que você configurou. Se não estiver, habilite o ipv6, mate todos os processos do squid e em seguida salve as configurações para iniciar o daemon novamente.
É importantíssimo para o sysadmin olhar os logs para identificar erros.
-
Marcello eu novamente lhe atormentando.
Encontrei mais 2 probleminhas.
O primeiro que quando inicializo o serviço do squid e tento rodar o squid -k reconfigure via terminal ele não roda apresenta a seguinte mensagem:
squid -k reconfigure
squid: ERROR: Could not send signal 1 to process 40565: (3) No such processMas o serviço esta inicializado mas num consigo ver se tem algum erro de configuração.
Tentei usar o squid-dev usando o openldap ou autenticação local porem o proxy so recusa conexão.
Vi esta mensagem abaixo no log o cache do squid.
ail -f /var/squid/logs/cache.log
2013/05/16 17:07:44 kid1| Max Mem size: 131072 KB
2013/05/16 17:07:44 kid1| Max Swap size: 2097152 KB
2013/05/16 17:07:44 kid1| Rebuilding storage in /var/squid/cache (no log)
2013/05/16 17:07:44 kid1| Using Least Load store dir selection
2013/05/16 17:07:44 kid1| Current Directory is /usr/local/www
2013/05/16 17:07:44 kid1| Loaded Icons.
2013/05/16 17:07:44 kid1| HTCP Disabled.
2013/05/16 17:07:44 kid1| WARNING: no_suid: setuid(0): (1) Operation not permitted
2013/05/16 17:07:44 kid1| sendto FD 25: (1) Operation not permitted
2013/05/16 17:07:44 kid1| ipcCreate: CHILD: hello write test failedpfSense 2.1 amd64. squid 3.3.8 -dev
[2.1-RELEASE][root@noc]/root(22): /usr/pbi/squid-amd64/sbin/squid -d 5
[2.1-RELEASE][root@noc]/root(22): 2013/09/27 00:46:19 kid1| Starting Squid Cache version 3.3.8 for amd64-portbld-freebsd8.3... 2013/09/27 00:46:19 kid1| Process ID 77987 2013/09/27 00:46:19 kid1| Process Roles: worker 2013/09/27 00:46:19 kid1| With 9799 file descriptors available 2013/09/27 00:46:19 kid1| Initializing IP Cache... 2013/09/27 00:46:19 kid1| DNS Socket created at [::], FD 7 2013/09/27 00:46:19 kid1| DNS Socket created at 0.0.0.0, FD 8 2013/09/27 00:46:19 kid1| Adding domain domain.com.br from /etc/resolv.conf 2013/09/27 00:46:19 kid1| Adding nameserver 127.0.0.1 from /etc/resolv.conf 2013/09/27 00:46:19 kid1| Adding nameserver 8.8.8.8 from /etc/resolv.conf 2013/09/27 00:46:19 kid1| Adding nameserver 8.8.4.4 from /etc/resolv.conf 2013/09/27 00:46:19 kid1| Adding nameserver 200.176.2.12 from /etc/resolv.conf 2013/09/27 00:46:19 kid1| Logfile: opening log /var/squid/logs/access.log 2013/09/27 00:46:19 kid1| WARNING: log parameters now start with a module name. Use 'stdio:/var/squid/logs/access.log' 2013/09/27 00:46:19 kid1| WARNING: no_suid: setuid(0): (1) Operation not permitted 2013/09/27 00:46:19 kid1| Unlinkd pipe opened on FD 13 2013/09/27 00:46:19 kid1| Local cache digest enabled; rebuild/rewrite every 3600/3600 sec 2013/09/27 00:46:19 kid1| Store logging disabled 2013/09/27 00:46:19 kid1| Swap maxSize 102400 + 8192 KB, estimated 8507 objects 2013/09/27 00:46:19 kid1| Target number of buckets: 425 2013/09/27 00:46:19 kid1| Using 8192 Store buckets 2013/09/27 00:46:19 kid1| Max Mem size: 8192 KB 2013/09/27 00:46:19 kid1| Max Swap size: 102400 KB 2013/09/27 00:46:19 kid1| Rebuilding storage in /var/squid/cache (no log) 2013/09/27 00:46:19 kid1| Using Least Load store dir selection 2013/09/27 00:46:19 kid1| Current Directory is /root 2013/09/27 00:46:19 kid1| Loaded Icons. 2013/09/27 00:46:19 kid1| HTCP Disabled. 2013/09/27 00:46:19 kid1| WARNING: no_suid: setuid(0): (1) Operation not permitted 2013/09/27 00:46:19 kid1| sendto FD 17: (1) Operation not permitted 2013/09/27 00:46:19 kid1| ipcCreate: CHILD: hello write test failed[2.1-RELEASE][root@noc]/root(22): netstat | more
Active Internet connections
Proto Recv-Q Send-Q Local Address Foreign Address (state)
tcp4 0 0 noc.3128 . CLOSED
tcp4 0 0 noc.https d-hall.47294 FIN_WAIT_2
tcp4 0 0 noc.https d-hall.47293 FIN_WAIT_2
tcp4 0 0 noc.ssh d-hall.48163 ESTABLISHEDO serviço sobe alegremente mas persistentemente CLOSED.
O que será que esse IPC está tentando fazer que não consegue ?
Algum outro processo não estava pronto ou conflito ?Num outro servidor (com outro backup de configuração, ambos sem pacotes) deu certo. Estou tentando identificar alguma pista comparando as duas instalações mas no momento não sei bem o que procurar.
-
Habilite o ipv6, mate todos os processos do squid e salve a configuração.
