Sobre o squid e squidguard no pfsense 2.2

marcelloc

topico relacionado ao lightsquid no pfsense 2.2

https://forum.pfsense.org/index.php?topic=87316.msg479412#msg479412

jrcferrari

@jrcferrari:

e o problema com o certificado do pfsense no chrome, foi resolvido com a versão 2.2?

Nunca tive esse problema… :-\

Usando proxy transparente e interceptação ssl ativada, mesmo adicionando o certificado no navegador dos clientes, apenas no chrome, aparece erro de comon name invalido: NET::ERR_CERT_COMMON_NAME_INVALID
Pesquisando no forum e internet existe pouca coisa sobre este erro nesse ambiente específico.
Isso acontece apenas no chrome e em alguns sites, gmail por exemplo.
A impressão é que o chrome não reconhece o common name do certificado gerado pelo pfsense.

emilioeiji

O captive sem squid funciona?

marcelloc

Eu uso a interceptação e nunca passei por esse problema.
Acesso todos os serviços Google sem erros.

Tentou debugar o certificado gerado bem como conferir o local onde sua CA foi instalada?

jrcferrari

@emilioeiji:

O captive sem squid funciona?

Sim

@marcelloc:

Eu uso a interceptação e nunca passei por esse problema.
Acesso todos os serviços Google sem erros.

Tentou debugar i certificado gerado bem como conferir o local onde sua ca foi instalada?

A instalação está no local correto, porém não debuguei o cert, existe alguma ferramenta específica?

JackL

@victorfmaraujo:

Ou seja, teremos que migrar nossos ambientes com Squid2 para Squid3, correto?

Galera,

Definitivamente este não é o momento de atualizar/migrar do pfSense 2.1 para o 2.2 em produção se você usar pacotes (squid, squidguard, etc..). Há muitos relatos de problemas com os mesmos e isso deve levar ainda algum tempo para que os desenvolvedores consigam ajustar tudo.

Meu conselho é: Testem e usem em laboratório… Mas aguardem antes de sair fazer upgrade em servers que estejam em produção, sob pena de parar suas redes.

Abraços!
Jack

jrcferrari

Em anexo os prints.

erro_cert_gmail.jpg_thumb

erro_cert_gmail2.jpg_thumb

marcelloc

Pra mim, sua CA não está importada no lugar certo.

jrcferrari

@marcelloc:

Pra mim, sua CA não está importada no lugar certo.

Está em "Autoridades de certificação raiz confiáveis"
É necessário colocar em mais algum outro lugar?

marcelloc

@jrcferrari:

É necessário colocar em mais algum outro lugar?

Não.

Em todos os meus testes, os sites abrem sem problema.

jrcferrari

Vários resultados no google não muito esclarecedores
https://www.google.com.br/search?client=opera&q=NET%3A%3AERR_CERT_COMON_NAME_INVALID&sourceid=opera&ie=UTF-8&oe=UTF-8#q=NET::ERR_CERT_COMMON_NAME_INVALID&spell=1

Minhas configs:
Sarg Network Report 2.3.6_2 pkg v.0.6.3
squid3-dev Network 3.3.10 pkg 2.2.8
squidGuard-squid3 1.4_4 pkg v.1.9.6
Estranho que não aceita continuar mesmo assim no firefox.
Outras configs: Proxy transparent, captive portal com radius, squidguard buscando grupos do AD.
tópico do fórum com o mesmo problema:
https://forum.pfsense.org/index.php?topic=84022.0
tópico do redmine, mesmo problema pfsense:
https://redmine.pfsense.org/issues/4060

:(

marcelloc

@emilioeiji:

O captive sem squid funciona?

sim.

emilioeiji

Alguem mais teve problema ao tentar instalar o squidguard-squid3 ?

Downloading https://files.pfsense.org/packages/10/All/squidguard-squid3-1.4_4-amd64.pbi ...  (extracting)
 ERROR: No digital signature! If you are *SURE* you trust this PBI, re-install with --no-checksig option.
of squidguard-squid3-1.4_4-amd64 failed!

marcelloc

@emilioeiji:

Alguem mais teve problema ao tentar instalar o squidguard-squid3 ?

Desabilita a verificação de assinatura de Pacotes em system advanced

emilioeiji

Obrigado, deu certo.