Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS
-
Tudo bem? Primeiramente obrigado pelo vídeo,
Qual vídeo? A lista de tutorias tem topicos de vários autores, eu só organizo para facilitar a busca.
contribuiu em muito pois estou utilizando o pfsense agora na empresa que trabalho.
Não esqueça de apertar um Thanks no tópico que te ajudou.
Estou utilizando a última versão 2.1.2, e percebi que todos os https estão sendo bloqueados, mesmo com o certificado corretamente instalado. Fiz um teste, colocando o ip e a porta 3128 nas configurações do navegador, resolveu. Está liberando os https que preciso, e bloqueando os que pedi (ex. facebook).
Sabe o que estar ocorrendo?
Não sei como configurou seu ambiente. squid3-dev? autenticação captive portal?
-
Olá, estava tudo rodando legal só que do nada o SQUID parou.
php: /status_services.php: The command '/usr/local/etc/rc.d/squid.sh stop' returned exit code '1', the output was 'squid: No running copy'sshd[1395]: Accepted keyboard-interactive/pam for root from 192.168.0.101 port 64248 ssh2 Apr 22 11:39:05 php: /pkg_edit.php: Reloading Squid for configuration sync Apr 22 11:39:03 php: /pkg_edit.php: [Squid] - Squid_resync function call pr:1 bp: rpc:no Apr 22 11:39:02 check_reload_status: Syncing firewall Apr 22 11:39:01 check_reload_status: Reloading filter Apr 22 11:39:01 php: /pkg_edit.php: Reloading Squid for configuration sync Apr 22 11:38:59 php: /pkg_edit.php: [Squid] - Squid_resync function call pr:1 bp: rpc:no Apr 22 11:34:21 check_reload_status: Reloading filter Apr 22 11:34:21 Squid_Alarm[39381]: Squid has resumed. Reconfiguring filter. Apr 22 11:34:12 lighttpd[51334]: (connections.c.137) (warning) close: 19 Connection reset by peer Apr 22 11:33:38 squid[22616]: Squid Parent: (squid-1) process 23136 started Apr 22 11:33:38 squid[22616]: Squid Parent: will start 1 kids Apr 22 11:33:36 php: /status_services.php: The command '/usr/local/etc/rc.d/squid.sh stop' returned exit code '1', the output was 'squid: No running copy' Apr 22 11:30:36 check_reload_status: Syncing firewall Apr 22 11:29:21 check_reload_status: Syncing firewall Apr 22 11:29:04 check_reload_status: Syncing firewall Apr 22 11:28:49 check_reload_status: Syncing firewall Apr 22 11:28:34 check_reload_status: Syncing firewallEstou utilizando o "squid3-dev 3.3.10 pkg 2.2.2".
Já li em alguns tópicos e eles pediram para baixar novamente as LIBS, mas não funcionou, do nada ele para.
-
No fórum internacional, tem posts sobre isso.
Parece bug na 2.1.2.
Já tentou em outra versão do pfsense?
-
No fórum internacional, tem posts sobre isso.
Parece bug na 2.1.2.
Já tentou em outra versão do pfsense?
MARCELLOC, estou na versão 2.1-RELEASE (i386). Vou atualizar para última para ver o que que dá!
Volto para responder.
Att.
-
Boa tarde amigos!
Hoje instalei p pfsense 2.1.2 i386 com squid3-dev 3.3.10, fiz as configurações tudo certo, criei a CA certinho e esta filtrando https 100%, porem mesmo eu importando corretamente o certificado nos navegadores (IE, Chrome e Firefox), ainda gera erro de certificado ao acessar sites "https", alguém poderia me ajudar nesse caso, pois li todo o tópico e ainda assim não consegui fazer funcionar corretamente….........grato desde já.
-
Veja se não é só isso que está faltando…
https://forum.pfsense.org/index.php?topic=62263.msg409514#msg409514
-
Muito obrigado MARCELLOC, era somente isso mesmo, parabens pelo otimo trabalho
-
Muito obrigado MARCELLOC, era somente isso mesmo, parabens pelo otimo trabalho
Eu tinha este mesmo problema. Valeu MARCELLOC, deu certo aqui também.
Att.
-
ola ,
instalando o squid devel hj na versao 2.1.3 ainda é necessario importar estas bibliotecas ou ja estao incluidas?obrigado
-
ola ,
instalando o squid devel hj na versao 2.1.3 ainda é necessario importar estas bibliotecas ou ja estao incluidas?obrigado
Atualizei minha versão hoje para 2.1.3 e estou ansioso para colocar esse squid3 para rodar !!!
Abraços
-
instalando o squid devel hj na versao 2.1.3 ainda é necessario importar estas bibliotecas ou ja estao incluidas?
Segundo report de alguns usuário, as bibliotecas já fazem parte do pacote/pfsense.
-
Valeu !!
-
Acabei de testar, é só baixar os pacotes habilitar e correr para o abraço !!!
-
Está funcionando o Block MIME types (reply only) ?
Pois não estou conseguindo bloquear os videos do youtube.
Estou usando as seguintes linhas.
^video/mpeg$ ^video/quicktime$ ^video/sd-video ^video/msvideo$ ^video/mp4$ ^video/flc$ ^video/divx$ ^video/avi$ ^video/3gpp2$ ^video/3gpp$ ^video/x-la-asf$ ^video/x-ms-asf$ ^video/x-msvideo$ ^video/x-sgi-movie$ ^video/x-dv$ ^video/x-ivf$ ^video/x-m4v$ ^video/x-mpeg$ ^video/x-ms-asf$ ^video/x-ms-asf-plugin$ ^video/x-ms-wm$ ^video/x-ms-wmv$ ^video/x-ms-wmx$ ^video/x-msvideo$ ^video/x-ms-asx$ ^video/x-ms-wvx$ ^video/flv$ ^video/x-flv$ ^video/x-msvideo$ -
Pois não estou conseguindo bloquear os videos do youtube.
Veja no log do squid qual mime type ele identificou.
-
Em alguns sites como Banco do Brasil eu não estou tendo sucesso. A conexão é HTTS e já coloquei o "bb.com.br" no Whitelist do Proxy Server e não funciona, para meu usuário entrar no Banco do Brasil eu tenho que desabilidar o "HTTPS/SSL interception".
Como posso colocar o Banco do Brasil totalmente liberado?
-
@rec.br9:
Como posso colocar o Banco do Brasil totalmente liberado?
Com proxy não transparente, basta colocar na whitelist ou criar uma custom acl com ssl_bump none sites_banco
Com proxy transparente, crie um alias de rede ou host e configure a opção Bypass proxy for these destination IPs com este alias. -
Olá pessoal,
Acabei de subir a primeira versão devel do squid 3.3 para pfsense
Principais alterações
-
Atualização do squid para a última versão estável (3.3.5)
-
ativação do proxy por interface
-
ativação do proxy transparente por interface
-
ativação do filtro de ssl por interface
-
Integração do Antivirus via i-cap
-
Incluída a opção para logar os access denied do squidguard no squid também (requer esta opção e uma pequena alteração no sgerror.php)
Bugs / Problemas ainda não corrigidos
-
Integração do clamav via icap só gera erro para o usuário
-
Se você estiver recebendo este erro ao tentar executar o squid 3.3.5(Shared object "libgssapi.so.10" not found, required by "squid"'),
Execute os comandos do final do post prestando atenção na versão do seu pfsense (amd64 ou i386) -
Para um funcionamento correto na 2.0.3, é preciso habilitar o ipv6
Por favor pense fortemente em ajudar no desenvolvimento desta ferramenta através de doações. Tenho certeza que muitos querem esta funcionalidade no pfsense.
Procedimento para testar no pfsense 2.1
Basta instalar o pacote e copiar as bibliotecas faltantes
Download das bibliotecas
versão i386
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libasn1.so.10 fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libgssapi.so.10 fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libheimntlm.so.10 fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libhx509.so.10 fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libkrb5.so.10 fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libroken.so.10versão amd64
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libasn1.so.10 fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libgssapi.so.10 fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libheimntlm.so.10 fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libhx509.so.10 fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libkrb5.so.10 fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libroken.so.10Se for usar o filtro de ssl, é necessário criar uma CA no pfsense e instalar o certificado em cada estação de trabalho para evitar mensagens de erro de ssl para os clientes
Segue print de um site com erro no certificado e outro site com certificado ok.
Testei no firefox depois de instalar o CRT da CA do pfsense.
O squid repassa a informação de site não confiável que ele econtrou, incluindo o texto "not trusted by" e o nome da CA configurada no squid.
O segundo print mostra o site do google sem qualquer alerta por parte do browser, afinal ele confia na "Internal-ca".AVISO:
Filtrar conexões ssl pode ter implicações legais, verifique se a politica de acesso da empresa permite este tipo de filtro e se você tem autorização para tal. Avisar os usuários por meio de politica ou comunidado também é uma boa idéia.Sites na whitelist não passam pelo filtro de SSL.
att,
Marcello CoutinhoBoa noite pessoal ..
.. entao conforme o Marcelo explicou ai (segui o tuto )…. fiz os testes aqui e funcionou ...quase tudo perfeitamente ... porem surgiu um pequeno problema comigo e espero que me ajudem ...
meu problema ficou por conta do Skype no momento de autenticar com a conta microsoft ... o resto funcionou 100% ...
por exemplo se eu usar uma conta do Skype roda tranquilo ... no momento que eu tendo autenticar usando a conta microsoft ... nao vai de maneira nenhuma ... pesquisei no forum .... algumas possiveis solucoes .. mais ainda nao achei algo .... que funcione ...
estou usando SQUID3-DEV + SQUIDGUARD3+ SSL ....
Alguem pode me ajudar !???? -
-
no momento que eu tendo autenticar usando a conta microsoft … nao vai de maneira nenhuma ...
O que os logs te mostram?
-
@rec.br9:
Como posso colocar o Banco do Brasil totalmente liberado?
Com proxy não transparente, basta colocar na whitelist ou criar uma custom acl com ssl_bump none sites_banco
Com proxy transparente, crie um alias de rede ou host e configure a opção Bypass proxy for these destination IPs com este alias.Deu certo, valeu novamente marcelloc. Grande Abraço!