Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS

Gian

Boa tarde Marcelloc,

Após atualizar para a versão 3.3.10 aparecem várias mensagens de warning no log:


2013/12/05 17:12:00 kid1| WARNING! invalid error detail name: X509_V_ERR_DIFFERENT_CRL_SCOPE
2013/12/05 17:12:00 kid1|  parse error while reading template file: /usr/pbi/squid-amd64/etc/squid/errors/en/error-details.txt
2013/12/05 17:12:00 kid1| Unable to load default error language files. Reset to backups.
2013/12/05 17:12:00 kid1| WARNING! invalid error detail name: X509_V_ERR_DIFFERENT_CRL_SCOPE
2013/12/05 17:12:00 kid1|  parse error while reading template file: /usr/pbi/squid-amd64/etc/squid/errors/templates/error-details.txt
2013/12/05 17:12:00 kid1| WARNING: failed to find or read error text file error-details.txt
2013/12/05 17:12:00 kid1| WARNING! invalid error detail name: X509_V_ERR_DIFFERENT_CRL_SCOPE
2013/12/05 17:12:00 kid1| WARNING! invalid error detail name: X509_V_ERR_DIFFERENT_CRL_SCOPE

Dei uma pesquisada na net, mas não achei nada que possa resolver, pelo que encontrei é um problema com o openssl, mas que deveria estar corrigido nesta versão do Squid.
http://bugs.squid-cache.org/show_bug.cgi?id=3936

Sabe o que poderia ser?

abraço!

marcelloc

comenta estas entradas no arquivo.

Coutinho

Olá Marcello,

Gostei bastante dessa versão do Squid3. Porém estou com algumas duvidas.

1 - Consegui instalar e colocar pra funcionar tudo normal. O bloqueio funciona via blacklist, pra HTTPS e HTTP só colocando o site. Porém o bloqueio "total" (TOR, Ultrasurf, dropbox e outros) não funciona. Está tudo liberado, só está bloqueando o que está na minha lista na blacklist. É normal isso? O que preciso fazer pra bloquear o ultrasurf (meu principal objetivo)?

2 - O antivírus não inicia, normal isso? Ou existe algum problema nele ainda?

Grato, desde já.

marcelloc

@Coutinho:

1 - Consegui instalar e colocar pra funcionar tudo normal. O bloqueio funciona via blacklist, pra HTTPS e HTTP só colocando o site. Porém o bloqueio "total" (TOR, Ultrasurf, dropbox e outros) não funciona. Está tudo liberado, só está bloqueando o que está na minha lista na blacklist. É normal isso? O que preciso fazer pra bloquear o ultrasurf (meu principal objetivo)?

Só precisa deixar ele filtrando o trafego ssl em modo transparente. TOR, Ultrasurf, etc usam a 443 mas só ssl, mas não http.

@Coutinho:

2 - O antivírus não inicia, normal isso? Ou existe algum problema nele ainda?

Sim, estou apanhando disso ainda. Tentei com e-cap mas da erro de compilação e o I-cap ta dando crash quando chama o clamav.

Coutinho

Caro Marcelo,

Minha configuração está como nos anexos. Poderia dizer o que há de errado? É necessário criar alguma outra regra ou tirar? :-\

Como falei, o filtro de ssl parece está funcionando, porém o Ultrasurf está funcionando normalmente. Com o Windows Update foi necessário colocar no bypass, mas dropbox funcionou normal…

Há alguma outra configuração que eu possa fazer?

Grato mais uma vez.

![conf 1.png](/public/imported_attachments/1/conf 1.png)
![conf 1.png_thumb](/public/imported_attachments/1/conf 1.png_thumb)
![conf 2.png](/public/imported_attachments/1/conf 2.png)
![conf 2.png_thumb](/public/imported_attachments/1/conf 2.png_thumb)
![conf 3.png](/public/imported_attachments/1/conf 3.png)
![conf 3.png_thumb](/public/imported_attachments/1/conf 3.png_thumb)

marcelloc

Sua regra na lan simplesmente libera qualquer acesso a internet em qualquer porta.

Enquanto você não mudar isso, qualquer "pula firewall" vai funcionar.

Coutinho

É, eu imaginei isso. Inclusive desativei ela, porém mesmo criando outra regra direcionando só para o http e https (usando a mesma regra só mudando a porta de any para http), não consigo acesso algum a internet.

Vou dá uma pesquisada melhor sobre essas regras.

Grato mais uma vez Marcello.

marcelloc

Libere acesso (53 udp) somente para seu servidor dns resolver nomes.
Libere acesso a porta destino tcp 80 e 443 para toda a rede.

Desta forma seu dns interno consegue resolver nomes para as estações e o squid filtra o trafego nos dois protocolos.

Depois disso, crie regras específicas para os serviços que não passam por http ou https.

Coutinho

Como é fácil quando se sabe!!!

Eu quebrando a cabeça por causa desse pequeno detalhe! Só liberar o dns que tudo ficou lindo!

Obrigado mais uma vez e continue com esse excelente trabalho!

marcelloc

@Coutinho:

Eu quebrando a cabeça por causa desse pequeno detalhe! Só liberar o dns que tudo ficou lindo!

Só deixando bem claro, dns liberado só para o servidor de dns.

Se deixar a 53 aberta para qualquer ip, você corre "riscos"

tocolinux12

MarcelloC

Cara blz adorei a sua versão do squid-dev parabéns me tira uma duvida sempre que instalo o mesmo ele demora a entrar na webgui e depois de uns 10 minutos tento acessar a pagina por outro navegador e o mesmo não acessa mais sabe o que pode ser ?

Obrigado pela atenção

marcelloc

@tocolinux12:

sabe o que pode ser ?

Está usando ele em modo transparente sem alterar a porta padrão da interface web?

tocolinux12

Sim esta em modo transparente e a porta web não foi alterado permanece a mesma.

marcelloc

@tocolinux12:

Sim esta em modo transparente e a porta web não foi alterado permanece a mesma.

Altere a interface para outra porta (8443 por exemplo)

tocolinux12

Ok Marcello irei mudar e testar mais só uma ultima pergunta ainda é necessário fazer a instalação do arquivos abaixo ou não se faz mais necessário ?

fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libasn1.so.10
fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libgssapi.so.10
fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libheimntlm.so.10
fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libhx509.so.10
fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libkrb5.so.10
fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libroken.so.10

tocolinux12

Marcelloc

fiz como vc havia dito e ele ficou demorando muito para criar os cache spool mais consegui abrir em outra aba no navegador coisa que não conseguia antes.
fiz o download das bibliotecas e quando reiniciei meu server ele não restartou o squid mais ficou travado no Starting packetes squid e liberou toda a minha internet.

O que posso fazer para ele funcionar de vez?

marcelloc

@tocolinux12:

Ok Marcello irei mudar e testar mais só uma ultima pergunta ainda é necessário fazer a instalação do arquivos abaixo ou não se faz mais necessário ?

veja na console com squid -k parse para ver se ele reclama das biblioteca.

Não esqueça de baixar as bibliotecas para a arquitetura correta(i386 ou amd64)

tocolinux12

eu baixei as bibliotecas para i386 todas deu 100% como faço para instalar elas ?

marcelloc

@tocolinux12:

eu baixei as bibliotecas para i386 todas deu 100% como faço para instalar elas ?

Se você rodou o comando conforme descrito no outro post, você já "instalou" as bibliotecas.

tocolinux12

vou refazer o pfsense do zero hj e instalar o squid-dev de novo mais devo instalar ele direto ou preciso instalar os outros squid antes?