[Resolvido] WPAD não funciona
-
Sites HTTP ele abre normalmente e quando tem algum endereço que consta na black list ele bloqueia normalmente. Agora sites HTTPS abrem normalmente tbm, porém quando deveria ser bloqueado não bloqueia.
por exemplo: quando o usuário tenta abrir um site pornográfico o site é bloqueado, ai o usuário coloca o protocolo HTTPS no lugar de HTTP e consegue acessar. porque o proxy não consegue bloquear o site HTTPS.
-
Mostre a tela do log onde esse site HTTPs está passando pelo proxy. Me parece que não está.
-
Mostre a tela do log onde esse site HTTPs está passando pelo proxy. Me parece que não está.
Realmente analisando a os logs na aba "Real Time" do "proxy server" nenhum site https está passando pelo proxy.
-
uma dúvida … eu preciso desativar o proxy transparente para o WPAD funcionar?
-
Não precisa, mas eu recomendo desligar, e fazer regras de firewall permitindo somente os serviços/portas necessárias, assim as portas 80/443 não ficam abertas para os usuários que por acaso desmarquem ou não recebam as configurações de proxy.
-
Entendi mas no momento ainda não vou poder fazer isto pq o wpad não esta entregando as configurações de proxy. Nem configurando o proxy manualmente o protocolo 443 não passa pelo proxy
-
Se está configurado manualmente tem que passar ou não navega.
Tem como postar a tela com a configuração de proxy no navegador? -
Aí os prints da configuração do proxy no navegador
![proxy chrome.jpg](/public/imported_attachments/1/proxy chrome.jpg)
![proxy chrome.jpg_thumb](/public/imported_attachments/1/proxy chrome.jpg_thumb)
![proxy firefox.jpg](/public/imported_attachments/1/proxy firefox.jpg)
![proxy firefox.jpg_thumb](/public/imported_attachments/1/proxy firefox.jpg_thumb) -
Parece estar certo. Não sei o que te dizer sem ver seu ambiente.
-
Minhas configurações de proxy
Sera que pode ser algum problema de versão?
Alguém usa esta versão 3 do squid ?
-
Mesmo com o proxy manualmente não filtra HTTPS??
-
Pior que não. Já to quase desistindo e migrando pra um linux mesmo.
-
Já fez uma instalação limpa em ambiente de teste para validar?
Não me parece problema do pfSense. -
Se mesmo colocando o proxy manualmente e não esta passando pelo squid tem algo errado na sua rede. Não tem outro Gateway instalado ai? Libera só a porta 3128 ou bloqueia a 80 e 443 da interface LAN, pois ai teremos certeza que tem que passar pelo proxy.
-
pedrootero Eu utilizo proxy transparente aqui versão PF 2.1.5 e squid3.
Fiz um teste apenas para simular o ambiente. No squidguard eu bloqueie a categoria movies. Utilizando um mesmo computador deixei o Chrome sem proxy e o Mozilla com proxy setado.
Utilizando o Chrome o tráfego passa normalmente para o youtube https, mas no Mozilla não, é bloqueado.
-
Use o tcpdump para ver o trafego passando. Acredito que seu wpad não está correto.
Se estiver configurado errado, não vai funcionar em nenhum sistema operacional, seja ele linux ou BSD.
Recomendo bloquear porta 80 e 443 na lan do firewall para o ip dessa sua máquina de teste.
Tenho wpad funcionando em várias redes sem maiores dificuldades.
Lembrando que o filtro de https sem interceptação só funciona com acesso ao proxy configurado (na mão ou automático) e apenas para o host digitado, não na url.
ex: https://www.youtube.com pode ser bloqueado
https://www.youtube.com/canal_da_empresa não pode ser bloqueado ou liberado sem interceptação do ssl -
Já fez uma instalação limpa em ambiente de teste para validar?
Não me parece problema do pfSense.É uma instalação limpa, instalei para colocar em produção e como não consegui resolver e não tinha muito tempo coloquei em produção sem conseguir bloquear o HTTPS mesmo.
Mas de qualquer forma vou testar com outra instalação e outra versão -
Se mesmo colocando o proxy manualmente e não esta passando pelo squid tem algo errado na sua rede. Não tem outro Gateway instalado ai? Libera só a porta 3128 ou bloqueia a 80 e 443 da interface LAN, pois ai teremos certeza que tem que passar pelo proxy.
Fiz o bloqueio da porta 443 para testar e realmente com o proxy transparente não abriu nada HTTPS. Ai setei as configurações de proxy no navegador passou a abrir os HTTPS e mesmo assim não bloqueou os sites que estavam sendo bloqueados no HTTP. Muito estranho…
-
Ai setei as configurações de proxy no navegador passou a abrir os HTTPS e mesmo assim não bloqueou os sites que estavam sendo bloqueados no HTTP. Muito estranho…
O que mostra os logs do squid?
-
Use o tcpdump para ver o trafego passando. Acredito que seu wpad não está correto.
Se estiver configurado errado, não vai funcionar em nenhum sistema operacional, seja ele linux ou BSD.
Recomendo bloquear porta 80 e 443 na lan do firewall para o ip dessa sua máquina de teste.
Tenho wpad funcionando em várias redes sem maiores dificuldades.
Lembrando que o filtro de https sem interceptação só funciona com acesso ao proxy configurado (na mão ou automático) e apenas para o host digitado, não na url.
ex: https://www.youtube.com pode ser bloqueado
https://www.youtube.com/canal_da_empresa não pode ser bloqueado ou liberado sem interceptação do sslmarcelloc sobre o bloqueio do HTTPS com o proxy setado no navegador vc matou o erro. Desculpem minha ignorância. Foi um erro bobo meu. Estava testando para a URL que realmente não funciona(não sabia disto), mas para o domínio funciona sim o domínio que esta na blacklist realmente não abre. Porém não aparece a mensagem do squid como aparece nos sites HTTP "Request denied by pfSense proxy: 403 Forbidden". Apenas não carrega a pagina, não sei se isso é normal, mas enfim funciona com domínios.
Agora já sobre o WPAD, realmente deve estar configurado errado pois não entrega a configuração automática nos navegadores. Apesar de ter feito exatamente igual a esse http://www.pfsense-br.org/blog/2013/12/configuracao-wpad-no-pfsense-2-1/
-
Confere se sufixo de DNS. Por exemplo, a máquina tem que ter o mesmo dominio do pfSense.
Faça um teste de uma máquina com: "ping wpad" se está respondendo para testar se o DNS funciona. -
Pingando normal
-
Faça o teste colocando a URL do script no navegador lá em conexões > configurações da LAN > Usar Script de configuração automática.
coloque a url do arquivo wpad que vc criou
ex: http://ipdopfsense/proxy.pac
se abrir popup, significa que seu script está ok. o que deve estar faltando são as opções adicionais no DHCP além dos arquivos dentro de /usr/local/www
-
Porém não aparece a mensagem do squid como aparece nos sites HTTP "Request denied by pfSense proxy: 403 Forbidden". Apenas não carrega a pagina, não sei se isso é normal
Absolutamente normal. Como ele não pode entrar na comunicação para mostrar uma tela de erro, ele rejeita a conexão.
-
Absolutamente normal. Como ele não pode entrar na comunicação para mostrar uma tela de erro, ele rejeita a conexão.
Entendi. Obrigado por me esclarecer marcelloc. Esta sendo de muita ajuda.
-
Faça o teste colocando a URL do script no navegador lá em conexões > configurações da LAN > Usar Script de configuração automática.
coloque a url do arquivo wpad que vc criou
ex: http://ipdopfsense/proxy.pac
se abrir popup, significa que seu script está ok. o que deve estar faltando são as opções adicionais no DHCP além dos arquivos dentro de /usr/local/www
Fiz o teste não funcionou, somente esta bloqueando quando seta as configurações de proxy no navegado com o endereço IP do proxy.
Mas se eu digitar o wpad.dominio.com.br/proxy.pac no browser ele faz o download do arquivo certinho.
Acredito que o conteúdo do script possa estar errado.
-
Alguém tem algum outro exemplo de script para WPAD? para que eu possa testar.
-
Alguém tem algum outro exemplo de script para WPAD? para que eu possa testar.
Cara, gravei uma aula falando só sobre isso. Se quiser se aprofundar na ferramenta, recomendo.
http://www.sys-squad.com/sys/curso/48
-
Obrigado marcelloc
-
Posta seu wpad ai para analisarmos o script
-
function FindProxyForURL(url, host){
var host_ip;
host_ip= dnsResolve(host);
if (isInNet(host_ip, "127.0.0.1", "255.255.255.255"))
return "DIRECT";
if (isInNet(myIpAddress(), "192.168.250.0", "255.255.255.0"))
return "PROXY 192.168.1.1:3128";
else
return "DIRECT";
-
A sua rede é 192.168.250.0 e o pfSense está na rede 192.168.1.0, isso está certo?
Não deveriam estar na mesma rede?Pelo que vi do site que pegou o modelo, parece que você não mudou a rede de .250.0 para .1.0;
-
if (isInNet(myIpAddress(), "192.168.250.0", "255.255.255.0"))
return "PROXY 192.168.1.1:3128";
else
return "DIRECT";
Sua estações esta em uma rede e o proxy em outra? estaçoes 192.168.250.0/24 e o proxy em 192.168.1.1:3128.
Não seria um ip na mesma LAN?Estas linhas esta dizendo "se o meu ip (ip da estação) estiver na subrede 192.168.250.0/24 então use o proxy 192.168.1.1:3128 senão navege sem proxy.
Talvez você copiou o wpad e esqueceu de mudar um dos IP.
-
pedrootero verifica o enderço IP que identifica sua Rede e substitui onde está "192.168.250.0", se a máscara for diferente, altere também.
Insira o endereço IP do seu Proxy, acompanhado da porta, ex: "192.168.10.30:3128"
Altere nos três arquivos!
-
Realmente era isto mesmo. No script o IP estava diferente do da rede, fiz alteração conforme sugerida e deu tudo certo.
Muito Obrigado a todos que colaboraram.