Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS

reginaldo_barreto

Valeu !!

reginaldo_barreto

Acabei de testar, é só baixar os pacotes habilitar e correr para o abraço !!!

reginaldo_barreto

Está funcionando o Block MIME types (reply only) ?

Pois não estou conseguindo bloquear os videos do youtube.

Estou usando as seguintes linhas.


^video/mpeg$
^video/quicktime$
^video/sd-video
^video/msvideo$
^video/mp4$
^video/flc$
^video/divx$
^video/avi$
^video/3gpp2$
^video/3gpp$
^video/x-la-asf$
^video/x-ms-asf$
^video/x-msvideo$
^video/x-sgi-movie$
^video/x-dv$
^video/x-ivf$
^video/x-m4v$
^video/x-mpeg$
^video/x-ms-asf$
^video/x-ms-asf-plugin$
^video/x-ms-wm$
^video/x-ms-wmv$
^video/x-ms-wmx$
^video/x-msvideo$
^video/x-ms-asx$
^video/x-ms-wvx$
^video/flv$
^video/x-flv$
^video/x-msvideo$

marcelloc

@Reginaldo:

Pois não estou conseguindo bloquear os videos do youtube.

Veja no log do squid qual mime type ele identificou.

rec

Em alguns sites como Banco do Brasil eu não estou tendo sucesso. A conexão é HTTS e já coloquei o "bb.com.br" no Whitelist do Proxy Server e não funciona, para meu usuário entrar no Banco do Brasil eu tenho que desabilidar o "HTTPS/SSL interception".

Como posso colocar o Banco do Brasil totalmente liberado?

marcelloc

@rec.br9:

Como posso colocar o Banco do Brasil totalmente liberado?

Com proxy não transparente, basta colocar na whitelist ou criar uma custom acl com ssl_bump none sites_banco
Com proxy transparente, crie um alias de rede ou host e configure a opção Bypass proxy for these destination IPs com este alias.

redhaqi

@marcelloc:

Olá pessoal,

Acabei de subir a primeira versão devel do squid 3.3 para pfsense

Principais alterações

Atualização do squid para a última versão estável (3.3.5)

ativação do proxy por interface

ativação do proxy transparente por interface

ativação do filtro de ssl por interface

Integração do Antivirus via i-cap

Incluída a opção para logar os access denied do squidguard no squid também (requer esta opção e uma pequena alteração no sgerror.php)

Bugs / Problemas ainda não corrigidos

Integração do clamav via icap só gera erro para o usuário

Se você estiver recebendo este erro ao tentar executar o squid 3.3.5(Shared object "libgssapi.so.10" not found, required by "squid"'),
Execute os comandos do final do post prestando atenção na versão do seu pfsense (amd64 ou i386)

Para um funcionamento correto na 2.0.3, é preciso habilitar o ipv6

Por favor pense fortemente em ajudar no desenvolvimento desta ferramenta através de doações. Tenho certeza que muitos querem esta funcionalidade no pfsense.

Procedimento para testar no pfsense 2.1

Basta instalar o pacote e copiar as bibliotecas faltantes

Download das bibliotecas

versão i386
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libasn1.so.10
fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libgssapi.so.10
fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libheimntlm.so.10
fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libhx509.so.10
fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libkrb5.so.10
fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libroken.so.10
versão amd64
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libasn1.so.10
fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libgssapi.so.10
fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libheimntlm.so.10
fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libhx509.so.10
fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libkrb5.so.10
fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libroken.so.10
Se for usar o filtro de ssl, é necessário criar uma CA no pfsense e instalar o certificado em cada estação de trabalho para evitar mensagens de erro de ssl para os clientes
Segue print de um site com erro no certificado e outro site com certificado ok.
Testei no firefox depois de instalar o CRT da CA do pfsense.
O squid repassa a informação de site não confiável que ele econtrou, incluindo o texto "not trusted by" e o nome da CA configurada no squid.
O segundo print mostra o site do google sem qualquer alerta por parte do browser, afinal ele confia na "Internal-ca".

AVISO:
Filtrar conexões ssl pode ter implicações legais, verifique se a politica de acesso da empresa permite este tipo de filtro e se você tem autorização para tal. Avisar os usuários por meio de politica ou comunidado também é uma boa idéia.

Sites na whitelist não passam pelo filtro de SSL.

att,
Marcello Coutinho

Boa noite pessoal ..

.. entao conforme o Marcelo explicou ai (segui o tuto )…. fiz os testes aqui e funcionou ...quase tudo perfeitamente ... porem surgiu um pequeno problema comigo e espero que me ajudem ...
meu problema ficou por conta do Skype no momento de autenticar com a conta microsoft ... o resto funcionou 100% ...
por exemplo se eu usar uma conta do Skype roda tranquilo ... no momento que eu tendo autenticar usando a conta microsoft ... nao vai de maneira nenhuma ... pesquisei no forum .... algumas possiveis solucoes .. mais ainda nao achei algo .... que funcione ...
estou usando SQUID3-DEV + SQUIDGUARD3+ SSL ....
Alguem pode me ajudar !????

marcelloc

@redhaqi:

no momento que eu tendo autenticar usando a conta microsoft … nao vai de maneira nenhuma ...

O que os logs te mostram?

rec

@marcelloc:

@rec.br9:

Como posso colocar o Banco do Brasil totalmente liberado?

Com proxy não transparente, basta colocar na whitelist ou criar uma custom acl com ssl_bump none sites_banco
Com proxy transparente, crie um alias de rede ou host e configure a opção Bypass proxy for these destination IPs com este alias.

Deu certo, valeu novamente marcelloc. Grande Abraço!

gilles.villeneuve

@LCantano:

Boa tarde a todos

A whitelist do squid funciona porém somente em alguns casos conforme post do nosso amigo abaixo

@Ivart:

Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:

acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sites

Resolvi meu problema criando um alias com o range dos sites que não quero que passe pelo proxy e adicionei o alias na aba services\proxy server\Bypass proxy for these destination IPs:

Agora estou conseguindo fazer as atualizações do windows normalmente.

Minha opnião faça a inclusão do site no whitelist e teste. Caso não libere do bloqueio encontre o range do site e adicione no alias que está adicionado no campo Bypass proxy for these destination IPs.

Falow

Olá amigo, boa tarde.
Criou o alias através do Firewall, aliases?
Pois criei por ali, mas não funcionou, se eu coloco o IP direto no bypass, funciona de boa, mas se eu colocar o aliases que eu criei, não rola.
Obrigado.
Fica com Deus.
Att.,

pfirewa

2 DUVIDAS:

- Como faço pra instalar o Certificado no mozila, dentro do Linux, no mozila no Windows eu consigo fácil, mas não existe a mesma opção no mozila linux.
- como faço pro dopbox Sincronizar , pois o mesmo não funciona.

marcelloc

@pfirewa:

- Como faço pra instalar o Certificado no mozila, dentro do Linux, no mozila no Windows eu consigo fácil, mas não existe a mesma opção no mozila linux.

Do mesmo jeito. aqui a opção apareceu sem problema.

@pfirewa:

como faço pro dopbox Sincronizar , pois o mesmo não funciona.

veja os hosts que ele está tentando usar e coloque para não interceptar.

pfirewa

importação de certificado.

eu tenho um certificado no 2.1.0, exporto o certificado direitinho, ai o squid não sobe, crio um outro certificado na maquina que estou exportando ai o squid sob. não testei isso na verão 2.1.3, só de curiosidade marcello vc que é um cara que ta no meio dos peixes grandes do pfsense, tem previsão estimada pra lançar o pfsense 2.2?

marcelloc

@pfirewa:

vc que é um cara que ta no meio dos peixes grandes do pfsense,

Loooonge disso :)

@pfirewa:

tem previsão estimada pra lançar o pfsense 2.2?

Todos estão especialmente empenhados nisso, o freebsd 8.3 que é usado no pfsense 2.0 e 2.1 está perto de ficar sem suporte e atualizações.

redhaqi

@marcelloc:

@redhaqi:

no momento que eu tendo autenticar usando a conta microsoft … nao vai de maneira nenhuma ...

O que os logs te mostram?

Boa noite Marcelo …
nux
Com relacao ao logs .... apenas est[a bloqueado as url ..... porem eu j[a liberei todas as que estavam sendo bloqueadas ... mesmo assim ainda continuo tendo problemas quando tento acessar as contas microsoft ... o problema ( desculpe ) nao sei onde encontrar todos os dominios que o skype usa ao acessar a conta microsoft ... peguei algumas aqui no forum mais nao foi o suficiente para logar na conta 100% .... e quando uso o skype ( versao 4.1 ou 4.2 no linux ubuntu) ai mesmo que nem abre a tela de login .... realmente nao sei por onde comecar ... de uma coisa tenho certeza quem esta bloqueando e o squidguard .... pois quando desativo funciona tudo bem .... !

valeu amigo marcelo pela atencao .... se puder me indicar algum topico aqui no forum agradeço ...

reginaldo_barreto

@redhaqi:

@marcelloc:
Olá pessoal,

Acabei de subir a primeira versão devel do squid 3.3 para pfsense

Principais alterações

Atualização do squid para a última versão estável (3.3.5)

ativação do proxy por interface

ativação do proxy transparente por interface

ativação do filtro de ssl por interface

Integração do Antivirus via i-cap

Incluída a opção para logar os access denied do squidguard no squid também (requer esta opção e uma pequena alteração no sgerror.php)

Bugs / Problemas ainda não corrigidos

Integração do clamav via icap só gera erro para o usuário

Se você estiver recebendo este erro ao tentar executar o squid 3.3.5(Shared object "libgssapi.so.10" not found, required by "squid"'),
Execute os comandos do final do post prestando atenção na versão do seu pfsense (amd64 ou i386)

Para um funcionamento correto na 2.0.3, é preciso habilitar o ipv6

Por favor pense fortemente em ajudar no desenvolvimento desta ferramenta através de doações. Tenho certeza que muitos querem esta funcionalidade no pfsense.

Procedimento para testar no pfsense 2.1

Basta instalar o pacote e copiar as bibliotecas faltantes

Download das bibliotecas

versão i386
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libasn1.so.10
fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libgssapi.so.10
fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libheimntlm.so.10
fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libhx509.so.10
fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libkrb5.so.10
fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libroken.so.10
versão amd64
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libasn1.so.10
fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libgssapi.so.10
fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libheimntlm.so.10
fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libhx509.so.10
fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libkrb5.so.10
fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libroken.so.10
Se for usar o filtro de ssl, é necessário criar uma CA no pfsense e instalar o certificado em cada estação de trabalho para evitar mensagens de erro de ssl para os clientes
Segue print de um site com erro no certificado e outro site com certificado ok.
Testei no firefox depois de instalar o CRT da CA do pfsense.
O squid repassa a informação de site não confiável que ele econtrou, incluindo o texto "not trusted by" e o nome da CA configurada no squid.
O segundo print mostra o site do google sem qualquer alerta por parte do browser, afinal ele confia na "Internal-ca".

AVISO:
Filtrar conexões ssl pode ter implicações legais, verifique se a politica de acesso da empresa permite este tipo de filtro e se você tem autorização para tal. Avisar os usuários por meio de politica ou comunidado também é uma boa idéia.

Sites na whitelist não passam pelo filtro de SSL.

att,
Marcello Coutinho
Boa noite pessoal ..

.. entao conforme o Marcelo explicou ai (segui o tuto )…. fiz os testes aqui e funcionou ...quase tudo perfeitamente ... porem surgiu um pequeno problema comigo e espero que me ajudem ...
meu problema ficou por conta do Skype no momento de autenticar com a conta microsoft ... o resto funcionou 100% ...
por exemplo se eu usar uma conta do Skype roda tranquilo ... no momento que eu tendo autenticar usando a conta microsoft ... nao vai de maneira nenhuma ... pesquisei no forum .... algumas possiveis solucoes .. mais ainda nao achei algo .... que funcione ...
estou usando SQUID3-DEV + SQUIDGUARD3+ SSL ....
Alguem pode me ajudar !????

No meu caso criei uma regra liberando todas as portas das lan para as seguintes redes Skype.
91.190.216.0/24,
91.190.218.0/24,
157.56.52.0/24,
157.56.17.0/24,
157.56.149.0/24

pfirewa

libera todos estes para o skype que vunciona:

188.129.195.0/24;5.64.136.0/24;187.170.24.0/24;78.134.9.0/24;64.4.23.0/24;212.187.172.0/24;213.199.179.0/24;64.94.18.0/24;184.25.203.0/24;65.55.64.0/24;204.9.163.0/24;91.190.216.0/24;65.55.71.0/24;65.55.223.0/24;157.56.52.0/24;111.221.77.0/24;157.55.130.0/24;91.190.218.0/24;149.13.32.0/24;65.54.165.0/24;65.55.223.0/24;91.190.216.0/24;184.25.203.0/24;64.94.18.0/24;212.161.8.0/24;78.141.177.0/24;157.55.56.0/24;193.95.154.0/24;157.55.235.0/24;111.221.74.0/24;193.95.154.0/24;157.55.130.0/24;71.58.242.0/24;204.9.163.0/24;184.25.201.0/24;78.141.179.0/24;71.92.79.0/24;65.55.223.0/24;76.89.177.0/24;204.9.163.0/24;212.187.172.0/24;184.25.203.0/24;193.120.199.0/24;91.190.216.0/24;157.55.130.0/24;184.25.203.0/24;157.55.235.0/24;65.55.223.0/24;84.250.183.0/24;66.171.55.0/24;78.141.179.0/24;157.55.130.0/24;184.25.201.0/24;65.54.187.0/24;199.7.71.0/24;184.30.37.0/24;65.54.186.0/24;79.86.239.0/24;212.8.166.0/24;64.4.23.0/24;111.221.77.0/24;91.190.218.0/24;65.55.158.0/24;157.56.52.0/24;157.55.130.0/24;157.56.149.0/24;189.86.41.0/24;239.255.255.0/24;239.255.255.0/24;

gilles.villeneuve

Pessoal, bom dia.
Existe alguma forma de no proxy transparente eu liberar por domínio, em vez de por ip?
Por exemplo, gostaria de deixar o Itaú direto, porém não acho informações dos endereços que ele usar, gostaria de liberar somente a url.
Obrigado.
Fiquem com Deus.
Abraços.

marcelloc

Se você está falando do bypass do proxy, você pode criar um alias com as faixas de ip do banco

doguibnu

Bom dia Marcello
Tudo bem?

Nós estamos com o Pfsense:

2.1.3-RELEASE (i386)
built on Thu May 01 15:52:17 EDT 2014
FreeBSD 8.3-RELEASE-p16

Fizemos a instalação do squid3 + squidguard3. Ele se instalou ok, seguimos tua sugestão postada aqui. Mas a nova versão para nós, não mostra as novas opção tal quais: https/ssl enfim, as novas opções no pacote. Como mostra e ensina neste vídeo.

http://www.youtube.com/watch?v=neXcYtFDRLA

O que você acha que pode estar errado? E qual sua sugestão para que instale/mostre as novas opções de configuração dos pacotes squid3 e squidguard3?

Muito obrigado pela ajuda e atenção!

Douglas