Migré squid3 a squid3-devel y no funciona

bellera

pero desde el terminal con:squid -k reconfigure

El código del WebGUI hace esto…

squid -k reconfigure -f /usr/pbi/squid-amd64/etc/squid/squid.conf

desinstale squid3-dev y borre todos los dir de squid,clamav a mano…
instale 3.1 funciona muy bien,lo unico que veo es que en"Transparent HTTP proxy"
hace referencia a "men-in-the-middle".....
eso pertenece al webconf de squid3-dev.
se encuentra en:/usr/local/pkg/squid.xml

Puedes descargar tus archivos dudosos "a mano"…

https://github.com/pfsense/pfsense-packages/tree/master/config/squid3/33

https://github.com/pfsense/pfsense-packages/tree/master/config/squid3/31

fetch -o /usr/local/pkg/squid.xml https://github.com/pfsense/pfsense-packages/blob/master/config/squid3/31/squid.xml

Ricardozam

Al arrancar, sin cambiar nada en la WebGUI
cat /usr/local/etc/rc.d/squid.sh
Cambiando la configuración de squid en la WebGUI
cat /usr/local/etc/rc.d/squid.sh

Lo extraño de las cosas no
Hoy al llegar antes de comenzar el diagnóstico del arranque del PFsense
Sólo por si acaso, probé actualizar el squid3-dev a la versión 3.3.10 pkg 2.2.2, (tenia la 2.2.1) y lo hice mediante el botón de reinstalar paquete del GUI de PFSense

Cual no sería mi sorpresa al ver que al reiniciar la caja de PFSense todo estaba funcionando como antes: el proxy squid y squid-guard en modo transparente funcionaban a la perfección. Incrédulo reinicie hasta 4 veces la box de PFSense y siempre todo funcionó como antes

Parece ser que, con la reinstalación del paquete de squid-dev, los dichosos scripts de arranque que no me levantaban el squid en modo transparente al arrancar la Box PFSense se autocorrigieron.

Por qué? Ni idea, quizás la nueva versión hizo el milagro?

:o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o :o

Ahora estoy probando el antivirus. Segui el tutorial en cuanto a la configuracion del antivirus en http://egoncalves.com.br/pfsense/pfsense-squid3-dev-clamav-i386/ en cuanto a la configuración de Services -> Proxy server -> Antivirus y cambie squidclamav.conf para

# When a virus is found then redirect the user to this URL
redirect http://172.16.1.3/clwarn.cgi

que es la IP de my proxy y reinicie el proxy con el botón reiniciar

Si cargo http://172.16.1.3/clwarn.cgi desde el browser, la pagina me abre correctamente

pero cuando intento usar http://www.eicar.org/download/eicar_com.zip
para probar el antivirus obtengo esto en el browser

http://proxy.domain.dom/cgi-bin/clwarn.cgi?url=http://www.eicar.org/download/eicar_com.zip&source=172.16.1.209&user=-&virus=stream:%20Eicar-Test-Signature%20FOUND

Es decir aparentemente el antivirus esta haciendo el trabajo pero no me esta re-direccionando a donde debería.
Revise squidclamav.conf en Services -> Proxy server -> Antivirus y esta correcta

# When a virus is found then redirect the user to this URL
redirect http://172.16.1.3/clwarn.cgi

Hay que cambiar algún otro archivo que no aparece en el tutorial?

Gracias por su ayuda

Ricardo

bellera

Es decir aparentemente el antivirus esta haciendo el trabajo pero no me esta re-direccionando a donde debería.

No tengo esto funcionando pero…

¿ Diste permisos de ejecución a clwarn.cgi ?

¿Qué pasa, que se queda pensando? En FireFox y en Chrome tienes la consola del desarrollador web donde se ve qué hace el navegador.

Puedes probar también a poner https en el redirect, si tienes a pfSense en modo https. A ver si hay diferencia.

Gracias por su ayuda

¡De nada! Entre todos aprendemos más.

Ricardozam

¿ Diste permisos de ejecución a clwarn.cgi ?

Si se refiere a esto, si lo hice:

chmod 775 /usr/local/www/clwarn.cgi

De hecho en Chrome, si cargo http://172.16.1.3/clwarn.cgi la pagina me abre correctamente con el mensaje en rojo

¿Qué pasa, que se queda pensando? En FireFox y en Chrome tienes la consola del desarrollador web donde se ve qué hace el navegador.

No se queda pensando, de hecho me abre casi inmediatamente con el error

Oops! Google Chrome could not find proxy.domain.dom

y esto en la barra de direcciones:

http://proxy.domain.dom/cgi-bin/clwarn.cgi?url=http://www.eicar.org/download/eicar_com.zip&source=172.16.1.209&user=-&virus=stream:%20Eicar-Test-Signature%20FOUND

de hecho, http://proxy.domain.dom/cgi-bin/clwarn.cgi era lo que estaba originalmente en squidclamav.conf antes de cambiarlo por
http://172.16.1.3/clwarn.cgi

Puedes probar también a poner https en el redirect, si tienes a pfSense en modo https. A ver si hay diferencia.

No no tengo activado https para el acceso a PFSense

Se ve que el antivirus hace el trabajo por el URL que envía al servidor web pero no lo hace con la IP correcta

Debe haber otro archivo que debe cambiarse. estoy abriéndolos uno por uno a ver en

/var/log/clamav
/var/db/clamav
/var/run/clamav

Gracias por su ayuda

Ricardo

bellera

Igual te está jugando una mala pasada la caché del navegador.

Si no es el navegador…

grep proxy.domain.dom *

en /usr/local/pkg y en /cf/config

LEPM

Al hacer un cambio en Antivirus,como indicar la ip del pfsense y borrar "cgi-bin",delante de clwarn.cgi
hay que reiniciar c-icap,para que los cambios tengan efectos.

bellera

Tienes toda la razón, clwarn.cgi está en http://es.wikipedia.org/wiki/Perl y hay caché en lado servidor.

Ricardozam

@LEPM:

Al hacer un cambio en Antivirus,como indicar la ip del pfsense y borrar "cgi-bin",delante de clwarn.cgi
hay que reiniciar c-icap,para que los cambios tengan efectos.

De hecho reinicie la box de PFSense completata pero igual me envía a http://proxy.domain.dom/cgi-bin/clwarn.cgi

Gracias por su ayuda

Ricardo

bellera

@bellera:

Igual te está jugando una mala pasada la caché del navegador.

Si no es el navegador…
grep proxy.domain.dom *
en /usr/local/pkg y en /cf/config

LEPM

en antiviurus no uses squidguard,para probar,descomenta,solo esta linea:

When a virus is found then redirect the user to this URL

redirect https://192.168.1.1/clwarn.cgi
que perl indicaste en:/usr/local/www/clwarn.cgi
en mi VM uso: /usr/local/bin/perl

mi squidclamav.conf

# Maximum size of a file that may be scanned. Any file bigger that this value
# will not be scanned.
maxsize 5000000

# When a virus is found then redirect the user to this URL
redirect https://192.168.1.1/clwarn.cgi

# Path to the squiGuard binary if you want URL filtering, note that you'd better
use the squid configuration directive 'url_rewrite_program' instead.
#squidguard /usr/local/squidGuard/bin/squidGuard

# Path to the clamd socket, use clamd_local if you use Unix socket or if clamd
# is listening on an Inet socket, comment clamd_local and set the clamd_ip and
# clamd_port to the corresponding value.
clamd_local /var/run/clamav/clamd.sock
#clamd_ip 192.168.1.5,127.0.0.1
#clamd_port 3310

# Set the timeout for clamd connection. Default is 1 second, this is a good
# value but if you have slow service you can increase up to 3.
timeout 1

# Force SquidClamav to log all virus detection or squiguard block redirection
# to the c-icap log file.
logredir 0

# Enable / disable DNS lookup of client ip address. Default is enabled '1' to
# preserve backward compatibility but you must desactivate this feature if you
# don't use trustclient with hostname in the regexp or if you don't have a DNS
# on your network. Disabling it will also speed up squidclamav.
dnslookup 1

# Enable / Disable Clamav Safe Browsing feature. You mus have enabled the
# corresponding behavior in clamd by enabling SafeBrowsing into freshclam.conf
# Enabling it will first make a safe browsing request to clamd and then the
# virus scan request. 
safebrowsing 0

#
# Here is some defaut regex pattern to have a high speed proxy on system
# with low resources.
#

# Do not scan images
#abort ^.*\.(ico|gif|png|jpg)$
#abortcontent ^image\/.*$

# Do not scan text files
#abort ^.*\.(css|xml|xsl|js|html|jsp)$
#abortcontent ^text\/.*$
#abortcontent ^application\/x-javascript$

# Do not scan streamed videos
#abortcontent ^video\/x-flv$
#abortcontent ^video\/mp4$

# Do not scan flash files
#abort ^.*\.swf$
#abortcontent ^application\/x-shockwave-flash$

# Do not scan sequence of framed Microsoft Media Server (MMS) data packets
#abortcontent ^.*application\/x-mms-framed.*$

Ricardozam

@bellera:

Igual te está jugando una mala pasada la caché del navegador.

Si no es el navegador…
grep proxy.domain.dom *
en /usr/local/pkg y en /cf/config

De hecho resultó ser el cache del navegador, lo vacié y funcionó correctamente

probado en otras estaciones de trabajo con igual efectividad

ahora comenzaré a probar la intercepción HTTPS y monitorear el proxy ahora en rendimiento

Gracias por su ayuda

Ricardo