Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS

machadomall · Jul 16, 2014, 12:48 PM

Boa tarde pessoal, fiz todos os procedimentos para bloqueio dos sites https na rede, conforme o video https://www.youtube.com/watch?v=neXcYtFDRLA , instalei o certificado em todas as maquinas, conforme o mesmo. Tudo esta quase perfeito, mas assim que coloquei em todas as maquinas(200 mais ou menos) começaram os problemas.
Alguns sites não abrem pelo Chrome, aparece um "erro de conexão SSL", por qualquer navegador!
O pessoal do Marketing aqui na empresa fazem muitas pesquisas e as vezes eles digitam algo no google e dá o mesmo erro, "erro de conexão SSL"!
Alguém poderia me dar uma dica? pois já liberei o IP na "Unrestricted IPs" do Squid e mesmo assim faz a mesma coisa.
Outro detalhe é o WhatsApp, o pessoal conseguie mandar mensagens normalmente, mas quando vão enviar imagens, não envia, da erro!

2.1.4-RELEASE (amd64)
squid3-dev 3.3.10 pkg 2.2.6
squidGuard-squid3 1.4_4 pkg v.1.9.5

@emilioeiji:

Boa tarde.

O procedimento para instalação ainda é o mesmo? Tenho que efetuar os procedimentos informados pelo Marcelo nos primeiros posts?

Grato

Olá bom dia,
Você leu todo o topico, tem varios assuntos relacionado ao seu problema.

https://forum.pfsense.org/index.php?topic=62263.msg409514#msg409514

celsosticanella · Jul 16, 2014, 5:23 PM

Você quer dizer sobre isso:
always_direct allow all
ssl_bump server-first all

já coloquei essas configurações conforme, mas ainda continua dando erros, agora quando vai abrir o google, sempre dá esse erro de SSL.
Fiz o teste desabilitando o SquidGuard e parou de dar o erro!

frozendesigner · Jul 17, 2014, 12:33 AM

Alguém teve problemas com o gmail, tanto no chrome ou no IE sempre dá erro no certificado… mesmo com as configurações indicadas...

juninhoandrade · Jul 17, 2014, 12:46 AM

@frozendesigner:

Alguém teve problemas com o gmail, tanto no chrome ou no IE sempre dá erro no certificado… mesmo com as configurações indicadas...

estou tentando resolver esse erro de certificado.. da em alguns sites !

acho que é o tipo de algoritmo para criptografar .. estou tentando .

frozendesigner · Jul 17, 2014, 2:35 AM

Também estou tentando sem sucesso ainda…

celsosticanella · Jul 17, 2014, 11:06 AM

Eu só consigo abrir o Gmail se digitar https://accounts.google.com, exatamente assim, https://gmail.com, não vai!

Quanto aos erros de "Conexão SSL" acho que resolvi, pelo menos por enquanto!
Tirei todos os ips da "Whitelist" do Squid, depois verifiquei nos logs do Firewall que os ips tentavam acessar a porta 3128 do firewall, como eu desabilitei a regra de acesso total nas "Rules", então tenho que ir liberando cada porta conforme precisa, portanto tinha liberado apenas a 80, 8080 e 443 para navegação, assim liberei a 3128 e 3128 para acessar no firewall e fucionou!
Vamos ver agora como mantém, to até com medo de receber uma ligação do pessoal! "Meu Google esta dando um erro de SSL" :'(

Obrigado por enquanto….

favelax · Jul 17, 2014, 4:47 PM

Fala galera tudo blza?

Sou novato no no pfsense e tenho uma duvida…
Realizei as configurações conforme o tópico e está filtrando e bloqueando as páginas em https como eu gostaria no navegador...
Agora os programas fora do navegador por exemplo :

O virtualbox e o google drive(aquele que instala no micro) não conectam...
estranho porque o googledrive e o virtualbox pelo navegador funcionam tranquilo...

Meu proxy está configurado como proxy transparente..

Se alguem puder dar uma ajuda...

Agradeço desde já

abraço

holiveira · Jul 17, 2014, 4:49 PM

@favelax:

Fala galera tudo blza?

Sou novato no no pfsense e tenho uma duvida…
Realizei as configurações conforme o tópico e está filtrando e bloqueando as páginas em https como eu gostaria no navegador...
Agora os programas fora do navegador por exemplo :

O virtualbox e o google drive(aquele que instala no micro) não conectam...
estranho porque o googledrive e o virtualbox pelo navegador funcionam tranquilo...

Meu proxy está configurado como proxy transparente..

Se alguem puder dar uma ajuda...

Agradeço desde já

abraço

Tudo jóia! Seja bem vindo :D

De uma olhada nos logs do firewall, veja se não está bloqueando algo…

favelax · Jul 17, 2014, 5:09 PM

@holiveira:

@favelax:

Fala galera tudo blza?

Sou novato no no pfsense e tenho uma duvida…
Realizei as configurações conforme o tópico e está filtrando e bloqueando as páginas em https como eu gostaria no navegador...
Agora os programas fora do navegador por exemplo :

O virtualbox e o google drive(aquele que instala no micro) não conectam...
estranho porque o googledrive e o virtualbox pelo navegador funcionam tranquilo...

Meu proxy está configurado como proxy transparente..

Se alguem puder dar uma ajuda...

Agradeço desde já

abraço

Tudo jóia! Seja bem vindo :D

De uma olhada nos logs do firewall, veja se não está bloqueando algo…

Opa corrigindo eu escrevi no topico virtualbox na verdade é dropbox… derrrr

desculpa a ignorância minha amigo mais aonde eu vejo os logs?

aaa outra coisa eu não fiz nenhuma regra , está aquele por padrão que vem que libera tudo...

muito obrigado pela atenção...

celsosticanella · Jul 18, 2014, 12:01 PM

Eu não uso Google Drive, mas cheguei a instalar para testar e realmente não funciona, conforme imagens, não aparece nada no firewall, muito menos nos logs do Squid e SquidGuard:

Cheguei a digitar o comando netstat -abonp "tcp" para ver na maquina qual as portas utilizadas por ele, vejam que aparece na maquina a porta "443"

O Mesmo acontece com o Whats App, o pessoal consegue conversar normalmente, mas não envia ou recebe nenhuma imagem ou video mesmo liberando o ip do celular e/ou Roteador e também não aparece nos logs, conforme imagens ele simplesmente dá um erro no envio das imagens.

m4xim0 · Jul 18, 2014, 8:22 PM

@lhpaladin:

Olá Marcelo,

Estamos implantando esta versão do squid3-dev no meu local de trabalho e gostaria de tirar algumas dúvidas…

Este pacote, trabalhando juntamente com o SquidGuard3 se encontra apto pra utilização em uma rede de tamanho médio, em torno de 150 computadores?

Eu não consegui fazer o certificado perfeitamente no Google Chrome, quando digitamos https://gmail.com apresenta uma página dizendo que não foi possível conectar ao gmail.com real... É alguma configuração errada? Nos demais navegadores não tenho tido este problema...

oi tudo bem pra mim consigo entrar todos os sites menos o gmail ele da esse erro ai que nao foi possivel conectar
como vc resolveu nao entendi muito obrigado

É preciso copiar aquelas bibliotecas para o funcionamento do squid3-dev no pfSense 2.1.3 amd64?

Quando o usuário loga no captive portal e o método de autenticação no Squid é o CaptivePortal, o usuário ao mesmo tempo faz login no Squid?

Grato pela atenção e ajuda!
Parabéns pelo trabalho!

favelax · Jul 20, 2014, 8:52 PM

@celsosticanella:

Eu não uso Google Drive, mas cheguei a instalar para testar e realmente não funciona, conforme imagens, não aparece nada no firewall, muito menos nos logs do Squid e SquidGuard:

Cheguei a digitar o comando netstat -abonp "tcp" para ver na maquina qual as portas utilizadas por ele, vejam que aparece na maquina a porta "443"

O Mesmo acontece com o Whats App, o pessoal consegue conversar normalmente, mas não envia ou recebe nenhuma imagem ou video mesmo liberando o ip do celular e/ou Roteador e também não aparece nos logs, conforme imagens ele simplesmente dá um erro no envio das imagens.

então amigo como eu uso proxy transparente…se eu coloco o ip da maquina para ignorar o squid( naquela opção bypass do squid) nas configurações do mesmo pelo ip... ele funciona normal todos os programas... mais como não passa pelo proxy não tenho controle do mesmo... então acredito eu que seja alguma configuração no squid mesmo...

Valew pelo apoio aew!!

abrass

r_chaves2002 · Jul 22, 2014, 3:15 PM

Boas,

Não cosigo por o squidguard a funcionar.
Ele nao arranca.

Alguma ideia, tenho o squid3 a funcionar.

Cumprimentos
Rui

juninhoandrade · Jul 23, 2014, 3:10 AM

@r_chaves2002:

Boas,

Não cosigo por o squidguard a funcionar.
Ele nao arranca.

Alguma ideia, tenho o squid3 a funcionar.

Cumprimentos
Rui

coloca em modo transparente :)

O Squidguard 3 ele funciona por demanda (Y)

só vai ativar quando sentir que está passando algum por ele.

reveja suas configurações do squid.

emilioeiji · Jul 25, 2014, 7:15 PM

Aparentemente o squid está bloqueando o acesso porém não está retornando a msg de erro do squid.

- HIER_NONE/- text/html
1406315187.610      0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html
1406315187.612      1 10.0.0.1 NONE/400 4098 NONE error:invalid-request - HIER_NONE/- text/html
1406315187.616      0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html
1406315187.616      0 10.0.0.1 NONE/400 4098 NONE error:invalid-request - HIER_NONE/- text/html
1406315187.619      0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html
1406315187.619      0 10.0.0.1 NONE/400 4092 NONE error:invalid-request - HIER_NONE/- text/html
1406315187.622      0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html

Segue print das configurações do squid.

É uma vm que estou usando para testes, está rodando apenas o squid3-dev.

graveviolator · Jul 25, 2014, 7:42 PM

Boa tarde pessoal.
Estou com um problema com o squid3-dev e o squidguard3. Está funcionando perfeitamente, porém há um pequeno detalhe: navegando normalmente, me deparei com a situação de que o google maps carregava parcialmente, como preciso do site, coloquei-o na whitelist e carregou perfeitamente, porém, ao testar outros sites, o youtube acabou sendo liberado (a rede é da empresa, então sites supérfulos devem ficar bloqueados). Tentei vários ajustes porém sem sucesso, se liberar quaisquer domínio google.com, libera o youtube.

felipecarv · Jul 25, 2014, 8:41 PM

Se alguém não estiver conseguindo utilizar o Whatsapp aqui eu resolvi instalando o certificado do proxy no celular, depois disso ficou perfeito.

No caso do Google Drive e Dropbox eles são bloqueados por não terem acesso ao certificado do proxy, então eu utilizo um programa chamado Goodsync http://www.goodsync.com/ que tem opção de proxy avançado e consegue acessar o certificado para abrir os serviços.

reginaldo_barreto · Jul 31, 2014, 9:41 AM

@felipecarv:

Se alguém não estiver conseguindo utilizar o Whatsapp aqui eu resolvi instalando o certificado do proxy no celular, depois disso ficou perfeito.

No caso do Google Drive e Dropbox eles são bloqueados por não terem acesso ao certificado do proxy, então eu utilizo um programa chamado Goodsync http://www.goodsync.com/ que tem opção de proxy avançado e consegue acessar o certificado para abrir os serviços.

Caso seja fixado um IP ao celular e colocar esse IP no bypass de origem, não deveria também resolver essa questão ?
Se sim, no meu caso não está funcionando notei isso depois da ultima atualização….

celsosticanella · Jul 31, 2014, 11:00 AM

Eu fiz isso, configurei o roteador wireless como bridge, assim os celulares geram um ip para cada, depois, libero no dhcp server criando um mapeamento estático com o ip e mac, quando a pessoa conecta na rede wifi, depois libero no Bypass, por um alias "liberadoswhats", somente assim o whatsapp funciona nos celulares.

Claro que alem disso fiz uma regra no firewall para liberar e bloquear atraves das portas e do range do whats, liberando depois para o mesmo alias.

Caso eu estiver errado me corrijam por favor!

pfirewa · Jul 31, 2014, 12:19 PM

definindo, não exite um jeito de o google aceitar o certificado do pfsense? tenho que liberar no baypass? liberando no baybass não consigo controlar banda ou bloquear o youtube.com?
watzap tem que liberar ip por ip. rsdrsdrsrsd Google Drive e Dropbox tenho que instalar programas de terceiros pra funcionar.rsrsrs
assim fica difícil implantar hotspot wireless, com proxy transparente e ssl, pra uma faculdade ou instituições grandes, já que o proxy transparente é pra facilitar a configuração dinamica, e eu tenho que fazer esse monte de coisa.rsrsdrsd ,é melhor configurar o proxy no navegador fica menos complicado. rsrsrs
me desculpe alguém que fique chateado.