[Resolvido] WPAD não funciona

[tomaswaldow]

Não precisa, mas eu recomendo desligar, e fazer regras de firewall permitindo somente os serviços/portas necessárias, assim as portas 80/443 não ficam abertas para os usuários que por acaso desmarquem ou não recebam as configurações de proxy.

[pedrootero]

Entendi mas no momento ainda não vou poder fazer isto pq o wpad não esta entregando as configurações de proxy. Nem configurando o proxy manualmente o  protocolo 443 não passa pelo proxy

[tomaswaldow]

Se está configurado manualmente tem que passar ou não navega.
Tem como postar a tela com a configuração de proxy no navegador?

[pedrootero]

Aí os prints da configuração do proxy no navegador


[tomaswaldow]

Parece estar certo. Não sei o que te dizer sem ver seu ambiente.

[pedrootero]

Minhas configurações de proxy

Sera que pode ser algum problema de versão?

Alguém usa esta versão 3 do squid ?

[reinaldo.feitosa]

Mesmo com o proxy manualmente não filtra HTTPS??

[pedrootero]

Pior que não. Já to quase desistindo e migrando pra um linux mesmo.

[tomaswaldow]

Já fez uma instalação limpa em ambiente de teste para validar?
Não me parece problema do pfSense.

[reinaldo.feitosa]

Se mesmo colocando o proxy manualmente e não esta passando pelo squid tem algo errado na sua rede. Não tem outro Gateway instalado ai? Libera só a porta 3128 ou bloqueia a 80 e 443 da interface LAN, pois ai teremos certeza que tem que passar pelo proxy.

[avner_ads]

pedrootero Eu utilizo proxy transparente aqui versão PF 2.1.5 e squid3.

Fiz um teste apenas para simular o ambiente. No squidguard eu bloqueie a categoria movies. Utilizando um mesmo computador deixei o Chrome sem proxy e o Mozilla com proxy setado.

Utilizando o Chrome o tráfego passa normalmente para o youtube https, mas no Mozilla não, é bloqueado.

[marcelloc]

Use o tcpdump para ver o trafego passando. Acredito que seu wpad não está correto.

Se estiver configurado errado, não vai funcionar em nenhum sistema operacional, seja ele linux ou BSD.

Recomendo bloquear porta 80 e 443 na lan do firewall para o ip dessa sua máquina de teste.

Tenho wpad funcionando em várias redes sem maiores dificuldades.

Lembrando que o filtro de https sem interceptação só funciona com acesso ao proxy configurado (na mão ou automático) e apenas para o host digitado, não na url.

ex: https://www.youtube.com pode ser bloqueado
      https://www.youtube.com/canal_da_empresa não pode ser bloqueado ou liberado sem interceptação do ssl

[pedrootero]

@Tomas:

Já fez uma instalação limpa em ambiente de teste para validar?
Não me parece problema do pfSense.

É uma instalação limpa, instalei para colocar em produção e como não consegui resolver e não tinha muito tempo coloquei em produção sem conseguir bloquear o HTTPS mesmo.
Mas de qualquer forma vou testar com outra instalação e outra versão

[pedrootero]

@reinaldo.feitosa:

Se mesmo colocando o proxy manualmente e não esta passando pelo squid tem algo errado na sua rede. Não tem outro Gateway instalado ai? Libera só a porta 3128 ou bloqueia a 80 e 443 da interface LAN, pois ai teremos certeza que tem que passar pelo proxy.

Fiz o bloqueio da porta 443 para testar e realmente com o proxy transparente não abriu nada HTTPS. Ai setei as configurações de proxy no navegador passou a abrir os HTTPS e mesmo assim não bloqueou os sites que estavam sendo bloqueados no HTTP. Muito estranho…

[marcelloc]

@pedrootero:

Ai setei as configurações de proxy no navegador passou a abrir os HTTPS e mesmo assim não bloqueou os sites que estavam sendo bloqueados no HTTP. Muito estranho…

O que mostra os logs do squid?

[pedrootero]

@marcelloc:

Use o tcpdump para ver o trafego passando. Acredito que seu wpad não está correto.

Se estiver configurado errado, não vai funcionar em nenhum sistema operacional, seja ele linux ou BSD.

Recomendo bloquear porta 80 e 443 na lan do firewall para o ip dessa sua máquina de teste.

Tenho wpad funcionando em várias redes sem maiores dificuldades.

Lembrando que o filtro de https sem interceptação só funciona com acesso ao proxy configurado (na mão ou automático) e apenas para o host digitado, não na url.

ex: https://www.youtube.com pode ser bloqueado
      https://www.youtube.com/canal_da_empresa não pode ser bloqueado ou liberado sem interceptação do ssl

marcelloc sobre o bloqueio do HTTPS com o proxy setado no navegador vc matou o erro. Desculpem minha ignorância. Foi um erro bobo meu. Estava testando para a URL que realmente não funciona(não sabia disto), mas para o domínio funciona sim o domínio que esta na blacklist realmente não abre. Porém não aparece a mensagem do squid como aparece nos sites HTTP "Request denied by pfSense proxy: 403 Forbidden". Apenas não carrega a pagina, não sei se isso é normal, mas enfim funciona com domínios.

Agora já sobre o WPAD, realmente deve estar configurado errado pois não entrega a configuração automática nos navegadores. Apesar de ter feito exatamente igual a esse http://www.pfsense-br.org/blog/2013/12/configuracao-wpad-no-pfsense-2-1/

[tomaswaldow]

Confere se sufixo de DNS. Por exemplo, a máquina tem que ter o mesmo dominio do pfSense.
Faça um teste de uma máquina com: "ping wpad" se está respondendo para testar se o DNS funciona.

[pedrootero]

Pingando normal

[victorfmaraujo]

Faça o teste colocando a URL do script no navegador  lá em conexões > configurações da LAN > Usar Script de configuração automática.

coloque a url do arquivo wpad que vc criou

ex:  http://ipdopfsense/proxy.pac

se abrir popup, significa que seu script está ok.  o que deve estar faltando são as opções adicionais no DHCP além dos arquivos dentro de /usr/local/www

[marcelloc]

@pedrootero:

Porém não aparece a mensagem do squid como aparece nos sites HTTP "Request denied by pfSense proxy: 403 Forbidden". Apenas não carrega a pagina, não sei se isso é normal

Absolutamente normal. Como ele não pode entrar na comunicação para mostrar uma tela de erro, ele rejeita a conexão.