Certificats pour le filtrage HTTPS

ccnet

Je vous bien dans quelle position vous êtes face à des dirigeants. Je ne suis pas certain que le responsable général intègre tous les aspects du problème.
Vous pouvez aussi consulter : https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000801164&dateTexte=&categorieLien=id
Dans la situation de votre structure c'est la jurisprudence qui dispose que vous êtes assujetti aux mêmes obligations que les opérateurs Telecom s'agissant de la collecte et conservation des données de connexion.
Sur l’interception (et donc déchiffrement) vous pouvez aussi regarder le site de la Cnil Et enfin cet établissement privé est sans doute sous tutelle du ministère de l'éducation. Il se pourrait que le RGS (Référentiel Général de Sécurité) s'applique comme à toutes les entités de l'état. La réponse n'est pas évidente.
Techniquement, vous pouvez utiliser AD pour authentifier vos utilisateurs sur le proxy. Pas de login mot de passe supplémentaire.

jdh

Un proxy dédié (vu la taille) est indispensable.
Obliger les navigateurs à passer par ce proxy est simple avec WPAD (hors Firefox où il faut indiquer "Détection auto des paramètres" au lieu du "Utiliser les param proxy system" qui est, hélas, le défaut)

Sur ce proxy dédié, on doit trouver Squid (proxy HTTP, HTTPS et FTP) + SquidGuard + …
L'authentification via l'AD est 'ajoutable' au niveau de proxy et contrôlable avec SquidGuard :
grâce à WPAD et l'AD, cela sera 'transparent' pour l'utilisateur et respectera la sécurité de HTTPS (=présentation du bon certificat)

En fait il y a confusion entre 'mode transparent' d'un proxy et 'transparence' par absence de saisie d'un mot de passe, etc ...

(Je suis de moins en moins présent sur ce site, mais je partage quasi toujours le point de vue de ccnet, même si nous ne nous connaissons pas physiquement ...
C'est un expert, vous pouvez avoir confiance dans sa réflexion et sa pratique : cf la qualité des doc dont il fournit les URL !)

poiral

Merci pour tout ça.

Je me met au WPAD. Le temps me manque mais a force…

jdh : en gros j'ai tout sauf le WPAD. L’authentification AD avait des ratés. Je doit m'y pencher a nouveau.

poiral

Je reviens vers vous pour vous demander si vous avez un lien vers un guide, un tuto ou autre pour le wpad en transparent … si c'est du domaine du possible.

Les sites youporn et pornhub (entre autre) sont maintenant en https... Si je ne trouve pas de solution mes responsables vont peut etre changer d'avis ceci dit.

jdh

Si vous aviez cherché un peu sur le site, par exemple avec le mot clé WPAD, vous auriez trouvé.
Je suis certain que quelqu'un a rédigé un fil assez complet sur le sujet ….

chris4916

Dans le design de la solution, il ne faut pas te focaliser sur WPAD qui n'est, finalement, "que" le service qui va permettre d'éviter de devoir configurer la grande majorité des navigateurs à la main.

A noter que, même si la solution est loin d'être idéale, tu peux, dans un environnement "full Windows domain" pousser le proxy par GPO.

Pour en revenir à WPAD, j'ai écris il y a quelques années ça. Ce n'est pas pour pfSense mais c'est facile à adapter car le principe ne change pas.

En gros, en terme de démarche, WPAD est vraiment la dernière roue du carrosse.
Dans l'ordre, de mon point de vue, il faut commencer par:
1 - t'assurer que ton proxy en mode explicite fonctionne correctement, y compris en ce qui concerne l'authentification et le filtrage
=> ça se vérifie en configurant ton proxy manuellement dans le browser
2 - déployer sur un serveur web interne un fichier proxy.pac qui fonctionne
=> ça se vérifie en définissant manuellement l'URL du proxy.pac dans le navigateur
3 - tu peux alors, et uniquement après les 2 étapes précédentes, pousser via DHCP et DNS (je te conseille de vraiment implémenter TOUTES les solutions de publication car tous les clients ne s'appuient pas sur la même) l'URL du proxy.pac, car au final, WPAD, ce n'est qu'une manière de dire où trouver le proxy.pac
=> ton browser en mode "automatique" devrait alors accéder au proxy.pac qui lui dit où se trouve le proxy

Ce n'est pas plus compliqué que ça 8)
Et ça ne marche pas pour 100% des devices, notamment avec les smartphones.

Tu noteras que WPAD n'adresse absolument pas d'autres points qui sont pour toi importants dans le design, comme par exemple l’authentification unique basée sur celle du domaine. Il y a plein de tutos sur le web pour ça. Par exemple.

L'important, c'est de bien comprendre quel sont les besoins et les priorités et quelles solutions techniques les adressent et, à partir de là, de ne pas essayer de résoudre toutes les questions en parallèle.

Enfin, si tu as un domaine Windows, il est fort probable que ton DNS et ton serveur DHCP soient ceux de Microsoft: ça ne change absolument rien à ce que je décris ci-dessus.
Il faut juste pousser l'option 252 de DHCP avec le serveur Microsoft. Et idem pour les enregistrements DNS. Et pfSense ne sert à rien dans ce design… sauf à s'assurer que seul le proxy et quelques éventuelles autres machines peuvent accéder à internet :)

poiral

Merci chris4916

j'ai trouvé des tutos assez sympas pour faire tout ça ;D

pour d’éventuels passants

https://nguvu.org/pfsense/pfSense-2.3-WPAD-PAC-proxy-configuration-guide/

Je vais commencer par tester ça :D

jdh

Comme je l'ai écrit, il y a, sur ce forum, un fil assez complet sur la mise en oeuvre de WPAD … (nul besoin d'aller ailleurs)

Le post de Chris1496 est, à son habitude, : oui mais non mais oui, bref embrouillant parce qu'il veut absolument rajouter SA participation

Pourtant le raisonnement est très simple :

nécessité de filtrer HTTP et HTTPS
solution 1 : proxy transparent : ok pour HTTP, incorrect pour HTTP, aucun impact sur tous browser ou tous logiciels, DONC à revoir
solution 2 : proxy explicite : ok pour HTTP et HTTPS, mais nécessité de configurer tous browser et tous logiciels, DONC à améliorer
WPAD : permet l'auto-config des navigateurs (IE, Chrome, Edge) et quelques logiciels (pas tous), pour Firefox une option à cocher
il restera (toujours) les smartphone, les logiciels qui vérifient leur mise à jour sans regarder la conf proxy 'système', les wget pour lequel il faut 'export http_proxy', ...

Les GPO, déjà mentionné par le même, n'est qu'un gros marteau qui ne fonctionne QUE pour les pc internes de l'entreprise (sous Windows).
Bref WPAD fait mieux et plus simple ...

Au moins dans ce fil, il y a les bons liens, et notamment l'apport de Juve pour 'autoprox'

sim74

Salut tout le monde!

Poiral j'ai, à un de chose près, la même problématique que toi…
Si tu pouvais partager ta manipulation pour mettre en place WPAD ça serait super sympa ! ;D
J'essaie d'installer WPAD depuis quelques jours, essayer le tuto que tu as mis un peu avant et encore d'autres, mais rien n'y fait :'(

jdh

Donc, cela fait 2 personnes qui n'arrivent pas à trouver un fil 'synthèse' sur WPAD sur ce forum et à en suivre les indications …
La recherche doit être plus difficile que je le pensais ...

chris4916

@sim74:

J'essaie d'installer WPAD depuis quelques jours, essayer le tuto que tu as mis un peu avant et encore d'autres, mais rien n'y fait :'(

Si tu décrivais ce que tu fais, ce qui fonctionne et ce qui ne fonctionne pas, ce serait beaucoup plus simple pour t'aider.

est que le proxy fonctionne en mode explicite ?
est-que ton proxy.pac fonctionne ?
arrives-tu à le lire sur le serveur "http://wpad.tondomain/wpad.dat" ?
comment pousses-tu l'information relative à ce serveur ? (WPAD, c'est cette ligne uniquement et c'est assez simple, via DHCP et/ou DNS)

sim74

jdh ton post sur wpad est, je pense, très complet! (https://forum.pfsense.org/index.php?topic=105675.msg643146#msg643146) je l'ai relu ton post en long large et travers, depuis plusieurs jours en espérant pouvoir me débloquer.

Comme je l'ai dit juste avant, ayant vu plusieurs tutos, topics de forum (pour ne pas dire beaucoup! Mes résultats sur Google s'affichent maintenant en grande majorité violet!)

Mais malgré cela, en ayant :

Créé les 3 fichiers .pac, .dat et .da dans le répertaoire /usr/local/www/ de mon routeur


function FindProxyForURL(url, host)
{
   if (isInNet(host, "192.168.2.0", "255.255.255.0")) {
      return "DIRECT";
   } else {
      if (shExpMatch(url, "http:*")) 
         return "PROXY 192.168.2.254:3128" ;
      if (shExpMatch(url, "https:*"))
         return "PROXY 192.168.2.254:3128" ;
      if (shExpMatch(url, "ftp:*"))
         return "PROXY 192.168.2.254:3128" ;
      return "DIRECT";
   }
}

Ajouté l'option 252 sur le dhcp de mon LAN pour chaque fichier
Ajouté un "Host Overrides" wpad
Bloqué les ports 80 et 443 (Internet coupé)/ Créé un port Forwarding des 80 et 443 vers celui du proxy (3128) (ne redirige rien du tout)

Et en testant avec monip.org et lagado.com pour vérifié si mon proxy était détecté ( Il ne l'est pas )

je n'arrive pas à mettre en place WPAD

voilà voilà

Donc tout ça pour dire, oui jdh j'ai vu ton post ;D

sim74

Merci Chris4916 :)
Oui le Proxy fonctionne en mode explicite, lorsque je renseigne dans les options du navigateur l’adresse de celui-ci.
Comment peut-on vérifier le fichier proxy.pac? ???
Quand j'écris l'adresse http://wpad.mondomain/wpad.dat je récupére bien le fichier wpad.dat
Pour ce qui est pousser l'information, comme je l'ai dit juste avant j'utilise le DNS Forwarder et mon DHCP

Petite information supplémentaire,
Je sais qu'il a été dit et re-dit d'utiliser un serveur Proxy dédié mais le proxy se trouve sur mon routeur car j'ai n'ai qu'une quinzaine de connections à tenir maximum, et pas d'autres PCs à pouvoir mettre en place.

Voilà voilà :D

chris4916

Donc probablement que ta syntaxe pour l'option 252 n'est pas la bonne.

Voila un exemple qui fonctionne.

Option: 252
type: string
Value: "http://wpad.mon_domaine/wpad.dat" (avec les quotes)

un petit point de détail: un des modes de découverte de l'URL du proxy se base sur la résolution de nom.
Il faut donc que ton serveur DHCP pousse un domaine de recherche, mais ce doit être le cas avec le serveur DHCP de pfSense.
Tu peux le vérifier en cherchant "http://wpad/wpad.dat"

Pour le DNS (je n'utilise pas "forwarder" mais "resolver"):

local-data: "wpad IN TXT service:wpad: http://wpad.mon_domaine/wpad.dat"
local-data: "_wpad._tcp IN SRV 0 0 80 wpad.mon_domaine."

Et le forward des ports 80 et 443 vers le port 3128…. bof... quelle utilité si tu as un proxy en mode explicite ?

sim74

Mon Option 252 est juste, je l'avais bien écrit comme ça :)
Pour ce qui est du DNS resolver je pensais pas qu'il y avait de l'importance
Je Check tout ça demain matin ! :)

chris4916

@sim74:

Mon Option 252 est juste, je l'avais bien écrit comme ça :)

en type "string" ? si oui, alors il n'y a pas vraiment de raison que ça ne marche pas ;)

chris4916

Pour compléter un ce sujet:

il faut bien configurer, je ne le dirais jamais assez, toutes les méthodes de découverte. DHCP n'est utilisé, je crois que par IE. Firefox utilise le DNS (well known domain)
A noter que l'enregistrement SRV de mon exemple précédent n'est très probablement pas utile tant qu'il n'y a pas de navigateur qui implémente la RFC2782 mais ça ne fait pas de mal de le préparer…
WPAD est très utile, voire indispensable dès que le nombre de client devient un peu conséquent. Ne pas oublier cependant que cette solution présente un risque potentiel puisqu'il est assez facile de déployer sur un réseau, ne serait-ce que brièvement, un serveur DHCP qui pousserait l'option 252 vers un proxy autre que le proxy officiel et de configurer ce proxy pour casser un flux HTTPS :-X

sim74

Je reviens au rapport !
Du coup j'ai changé le value dans le DHCP, j'ai utilisé ton exemple

Mon fichier wpad.dat apparaît bien lorsque je tape http://wpad.mon_domaine/wpad.dat

J'ai bien changé en DNS Resolver
Et j'ai ajouté les lignes dans "Customs Options"
local-data: "wpad IN TXT service:wpad: http://wpad.mon_domaine/wpad.dat"
local-data: "_wpad._tcp IN SRV 0 0 80 wpad.mon_domain."

Et pour finir j'ai retiré ma regle de forwarding des ports 80 et 443 vers 3128,
Je bloque juste les ports 80 et 443 maintenant :)

Par contre je me suis trompé…
Quand je renseigne l'adresse du proxy dans le navigateur, je n'accède plus à internet...
Mais je peux quand même accéder à mon fichier wpad.dat quand je tape http://wpad.mon_domaine/wpad.dat :(

chris4916

C'est l'étape numéro 1: le préalable est que le proxy soit configuré correctement !
Ou est ton proxy ?

sim74

Mon proxy est sur le router