Substituindo Fw linux por Pfsense

marcosjost

Para usar interfaces "virtuais" seria necessário criar VLANs, nesse caso um Switch Layer 3 é necessário.

E teria alguma solução sem que necessite de switch Layer 3?

marcelloc

Sem o switch, não vai ficar legal. Você pode até subir várias faixas de ip, mas o tráfego entre as redes no mesmo segmento não vai ficar isolado.

marcosjost

@marcelloc:

Sem o switch, não vai ficar legal. Você pode até subir várias faixas de ip, mas o tráfego entre as redes no mesmo segmento não vai ficar isolado.

Acho que se surgir essa situacao o que farei sera:
1 placa para cada link
e 1 placa com a faixa da rede interna, a faixa da dmz e do roteador wifi. ???
Sera uma situação temporaria…soa te configurar o servidor de produção.

Fiz a pergunta pois a maquina que roda atualmente é um servidor hp que tem slot pra todas as placas, mas para fazer a transição e nao deixar nada fora quero primeiro configurar uma maquina para colocar no lugar dele enquanto configuro ele (servidor de transição). So que as que tenho aqui so tem a placa on mais 2 slots pci.

marcosjost

Bom…agora sobre o DNS server....
Tenho dois dominios que rodam no bind no linux atualmente, com reverso configurado.... pesquisa recursiva somente para a rede interna ( 192.168.0.0/24).....
Vi o topico sobre o pacote do bind.... e tambem instalei o dnsserver-tynydns para dar uma olhada ( num pfsense que roda numa maquina virtual de testes)
Me "parece" que o tynydns tem uma administração mais simples, por ter a interface grafica....
No linux sempre trabalhei com o bind/named sem problemas...... mas apanhei um pouco pra usar ele aqui no pfsense ( mesmo seguindo o tutorial que citei antes).

O tinydns é uma boa opção para usa?? Pergunto pois até então não havia tido contato com ele ainda....

marcelloc

@marcosjost:

O tinydns é uma boa opção para usa?? Pergunto pois até então não havia tido contato com ele ainda….

Viu se o pacote configura mais de um domínio?

marcosjost

@marcelloc:

@marcosjost:

O tinydns é uma boa opção para usa?? Pergunto pois até então não havia tido contato com ele ainda….

Viu se o pacote configura mais de um domínio?

Nos teste que fiz, rodei o New domain wizard duas vezes, com dois dominios diferentes e criou todas as entradas no registro (Add/Edit record)

marcelloc

@marcosjost:

Nos teste que fiz, rodei o New domain wizard duas vezes, com dois dominios diferentes e criou todas as entradas no registro (Add/Edit record)

Se os registros não se misturam, pode configura tranquilo então.

marcosjost

@marcelloc:

@marcosjost:

Nos teste que fiz, rodei o New domain wizard duas vezes, com dois dominios diferentes e criou todas as entradas no registro (Add/Edit record)

Se os registros não se misturam, pode configura tranquilo então.

Parece que nao misturaram nao…fiz o teste.com com os ips 100 e novoteste.net com 200 e parece tudo certo....o print da tela.

tinydnsteste.jpg_thumb

marcosjost

@marcelloc:

Você pode configurar qualquer coisa do squid usando o campo custom options na interface web.

Arquivos customizados podem ser configurados usando o pacote filer, para mante-los no backup do pfsense.

Posso editar diretamente o arquivo squid.conf que fica em /usr/pbi/squid-i386/etc/squid e ajustar as opcoes que preciso?
por exemplo:
onde agora tem:

# Custom options
redirect_program /usr/pbi/squidguard-i386/bin/squidGuard -c /usr/pbi/squidguard-i386/etc/squidGuard/squidGuard.conf
redirector_bypass off
url_rewrite_children 5
auth_param basic program /usr/pbi/squid-i386/libexec/squid/ncsa_auth /var/etc/squid.passwd
auth_param basic children 5
auth_param basic realm Please enter your credentials to access the proxy
auth_param basic credentialsttl 60 minutes
acl password proxy_auth REQUIRED
http_access allow password localnet
http_access allow password allowed_subnets

queria mudar para o meusquid.passwd, que tem todos usuarios e senhas que uso autalmente, copiando ele na mesma pasta e mudando a linha para :
auth_param basic program /usr/pbi/squid-i386/libexec/squid/ncsa_auth /var/etc/meusquid.passwd

EDITANDO:
Tentei copiar e colocar o conteudo do meu arquivo no squid.passwd, mas ele so pega os usuarios que sao cadastrados pela interface web ( aba local users)
Tentei pelo filer, apontando o caminho para o /var/etc/squid.passwd e copiando o conteudo, dae funcionou. O unico porem é que se preciso editar a senha do usuario, dae tenho que tirar ele do arquivo la no filer e cadastrar novamente pela interface web. Na interface web do pfsense só são listados os usuarios que foram criados por la

marcelloc

altere o arquivo squid.inc para pesquisar seu arquivo em outro lugar. É ele quem gera o arquivo de configuração do squid.

Como alternativa, você pode instalar o pacote filer para editar o arquivo. Desta forma suas alterações ficam no backup.

marcosjost

@marcelloc:

altere o arquivo squid.inc para pesquisar seu arquivo em outro lugar. É ele quem gera o arquivo de configuração do squid.

Como alternativa, você pode instalar o pacote filer para editar o arquivo. Desta forma suas alterações ficam no backup.

Nao consegui achar o arquivo…
dei um find / "squid.inc" e o resultado: find: squid.inc: No such file or directory :P

marcelloc

/usr/local/pkg/squid.inc

marcosjost

@marcelloc:

/usr/local/pkg/squid.inc

Obrigado marcelo, acabei testando com o filer e parece que deu certo… como eu fiz:

Pelo filer alterei o arquivo /var/etc/squid.passwd com a minha lista de usuarios e senhas criptografadas. Depois pela interface grafica adicionei novos usuarios e funcionou tanto os que eu coloquei pelo filer quanto os cadastrados depois na interface web.
Mas depois que crio ou altero um usuario na interface web, tenho que abrir o filer, abrir o arquivo novamente e fechar. Senao o squid pega somente os usuarios que estao configurados na interface web.
Os grupos acabei criando manualmente na interface web e colocando os usuarios.... nao leveou mais que 1 hora para ajustar tudo.
Aparentemente a parte do squid ficou ok agora. Vou fazer alguns testes hoje de navegação.

marcelloc

Você alterou o squid.inc ou squid.conf?
Alterando o inc, o squid.conf sempre terá suas modificações/inclusões.

marcosjost

@marcelloc:

Você alterou o squid.inc ou squid.conf?
Alterando o inc, o squid.conf sempre terá suas modificações/inclusões.

Nao alterei nenhum….somente o squid.passwd no filer. Esse teste fiz antes de voce colocar o caminho do squid.inc....agora nesse momento estou olhando o squid.inc...

marcosjost

@marcosjost:

@marcelloc:

Você alterou o squid.inc ou squid.conf?
Alterando o inc, o squid.conf sempre terá suas modificações/inclusões.

Nao alterei nenhum….somente o squid.passwd no filer. Esse teste fiz antes de voce colocar o caminho do squid.inc....agora nesse momento estou olhando o squid.inc...

Bom….no squid.in a linha que faz referencia ao arquivo de senhas é essa aqui? define('SQUID_PASSWD', '/var/etc/squid.passwd');
alterando ela para: define('SQUID_PASSWD', '/var/etc/meusquid.passwd'); deve funcionar ?

marcelloc

Não, dessa forma o pfsense vai sobrescrever seu arquivo.

Altere na parte que le este define e gera o conf.
Você pode até incrementar para unir os dois arquivos.

marcosjost

@marcelloc:

Não, dessa forma o pfsense vai sobrescrever seu arquivo.

Altere na parte que le este define e gera o conf.
Você pode até incrementar para unir os dois arquivos.

Seria nessa função aqui ?


function squid_resync_users() {
        global $config;

        $users = $config['installedpackages']['squidusers']['config'];
        $contents = '';
        if (is_array($users)) {
                foreach ($users as $user)
                        $contents .= $user['username'] . ':' . crypt($user['password'], base64_encode($user['password'])) . "\n";
        }
        file_put_contents(SQUID_PASSWD, $contents);
        chown(SQUID_PASSWD, 'proxy');
        chmod(SQUID_PASSWD, 0600);
}

marcelloc

Sim, a grosso modo pode ficar parecido com isso:

function squid_resync_users() {
        global $config;

        $users = $config['installedpackages']['squidusers']['config'];
       //No lugar de criar o $contents vazio, coloque o conteudo do seu outro arquivo
       //$contents= '';
        $contents=file_get_contents("/var/etc/meusquid.passwd')."\n";
        if (is_array($users)) {
                foreach ($users as $user)
                        $contents .= $user['username'] . ':' . crypt($user['password'], base64_encode($user['password'])) . "\n";
        }
        file_put_contents(SQUID_PASSWD, $contents);
        chown(SQUID_PASSWD, 'proxy');
        chmod(SQUID_PASSWD, 0600);
}

marcosjost

@marcelloc:

Sim, a grosso modo pode ficar parecido com isso:

function squid_resync_users() {
        global $config;

        $users = $config['installedpackages']['squidusers']['config'];
       //No lugar de criar o $contents vazio, coloque o conteudo do seu outro arquivo
       //$contents= '';
        $contents=file_get_contents("var/etc/meusquid.passwd')."\n";
        if (is_array($users)) {
                foreach ($users as $user)
                        $contents .= $user['username'] . ':' . crypt($user['password'], base64_encode($user['password'])) . "\n";
        }
        file_put_contents(SQUID_PASSWD, $contents);
        chown(SQUID_PASSWD, 'proxy');
        chmod(SQUID_PASSWD, 0600);
}

Bom…acho que estou fazendo alguma coisa errada.....o que eu fiz:
No squid.inc
Deixei o ('SQUID_PASSWD', '/var/etc/squid.passwd'); com o padrao.
Alterei a linha que voce colocou, deixando assim:


 //$contents= '';
        $contents = file_get_contents("var/etc/meusquid.passwd")."\n";

Criei o arquivo com o filer /var/etc/meusquid.passwd e coloei o conteudo de usuarios e senhas.
Pelo console ajustei as permissoes e dono do meusquid.passwd para as mesmas do squid.passwd ( dono proxy).
Reiniciei o pfsense, porem so acesso com os usuarios que cadastro na interfaceweb ( e sao salvos no squid.passwd). Com os que tao no meusquid.conf nao vai.
Não sei, mas acho que to deixando de fazer alguma coisa ainda ….. :-\