Squid 3.5 ile HTTPS siteleri domain adiyla yasaklamak

[susamlicubuk]

Verirde bazı siteler için bypas gerekebilir

[mynameisozz]

@muhammet:

@susamlicubuk:

kullanıcı pc lerine elle dns girilmediğine emin olun.
bahsettiğiniz problem pc lerle mi alakalı yoksa mobil cihazlarla mı?

Dns'ler otomatik olarak dhcp tarafindan dc'ye set edilmis durumda.

Dns olarak pfsense kullanmiyoruz, problem pc'lerde. Mobil cihazlarda test etme sansim olmadi henuz.

Pfsense uzerindeki dns resolver'i aktif ederek bir pc'ye elle pfsense dns'i verdim sonuc degismedi.

Ornek olarak chrome'da https://mail.google.com yazdigimda sol alt tarafta "guvenli baglanti olusturuluyor" kisminda bekletiyor sayfa goruntulenmiyor.

merhaba,

dns i pfsense tarafına yönlendirip, dns resolver ile dc yi tanımlama şeklinde deneme yapmanız mümkün mü. bir süredir bu şekilde kullanıyorum ve oldukça memnunum.

[muhammet]

@susamlicubuk:

https ssl proxy nin zaten dns sıkıntıları var.
dns resolverdaki dns forwarderi açıp deneyin.
veya dns i otomatikte bırakıp clientlara dhcpden dc dns i basmasanız dns resolver daki host yada domain dns girdileri oluşturup deneseniz daha stabil olacaktır.
açıkçası hala wpad daha stabil ve daha hızlı.
wpadi pc ler için kullanıp https proxy yide mobile cihazlar için kullanmak daha sağlıklı çözüm.

Dns resolver'ı aktif edip, problem çıkaran bir pc'ye el ile pfsense'i dns server olarak atadım ancak sonuç değişmedi, yine aynı şekilde özellikle google servislerini çözümleyemiyor.

İşin ilginç tarafıysa it danışmanlığını yaptığımız farklı bir müşteride yaklaşık 1 aydır problemsiz olarak ssl filtreleme aktif durumda.

@mynameisozz:

@muhammet:

@susamlicubuk:

kullanıcı pc lerine elle dns girilmediğine emin olun.
bahsettiğiniz problem pc lerle mi alakalı yoksa mobil cihazlarla mı?

Dns'ler otomatik olarak dhcp tarafindan dc'ye set edilmis durumda.

Dns olarak pfsense kullanmiyoruz, problem pc'lerde. Mobil cihazlarda test etme sansim olmadi henuz.

Pfsense uzerindeki dns resolver'i aktif ederek bir pc'ye elle pfsense dns'i verdim sonuc degismedi.

Ornek olarak chrome'da https://mail.google.com yazdigimda sol alt tarafta "guvenli baglanti olusturuluyor" kisminda bekletiyor sayfa goruntulenmiyor.

merhaba,

dns i pfsense tarafına yönlendirip, dns resolver ile dc yi tanımlama şeklinde deneme yapmanız mümkün mü. bir süredir bu şekilde kullanıyorum ve oldukça memnunum.

Merhaba,

Bence sorun dns çözümleme tarafında değil, lokal dns sunucusu başarılı bir şekilde çözümlemeleri yapıyor. Google'ın kullandığı ssl'leri çözemiyor gibi sanki. Google dışında facebook, twitter, youtube, banka siteleri hiç birinde problem yok.

[vitamin122]

çok teşekkür ederim öncelikle sorunsuz çalıştı. sadece chrome da youtube açıyor bu neden olabilir acaba

[aslanakyol]

@mynameisozz:

Herkese merhaba,

General setup kısmında elle verdiğim dns leri kaldırdım. Dns forwarder açıktı onu da kapattım. Dns Resolver ı aktif hale getirip ayarlarını yaptım. Tüm istemciler dns olarak pfsense i görüyor. Tüm hafta sonu test ettim, herhangi bir sorun gözlemlemedim. Şu an son derece stabil çalışıyor. Hiçbir erişim problemi yaşamıyorum, bilginize arkadaşlar. Emeği geçenlere çok teşekkür ederim.

Bide pfblockerng yüklü olması mı lazım?
Bunun ayarları hakkındada bilgi verebilir misiniz?

[mynameisozz]

@aslanakyol:

@mynameisozz:

Herkese merhaba,

General setup kısmında elle verdiğim dns leri kaldırdım. Dns forwarder açıktı onu da kapattım. Dns Resolver ı aktif hale getirip ayarlarını yaptım. Tüm istemciler dns olarak pfsense i görüyor. Tüm hafta sonu test ettim, herhangi bir sorun gözlemlemedim. Şu an son derece stabil çalışıyor. Hiçbir erişim problemi yaşamıyorum, bilginize arkadaşlar. Emeği geçenlere çok teşekkür ederim.

Bide pfblockerng yüklü olması mı lazım?
Bunun ayarları hakkındada bilgi verebilir misiniz?

merhaba,

https filtreleme için pfblocker a ihtiyacınız yok.

[aslanakyol]

DNS Resolver içerisinde Custum Options ta (3. Resim) bir değer var.

Yazıp kaydetmeye çalıştığımda dosyanın olmadığına dair hata veriyor.
O sebeple sordum.
Bu durumda o parametreyi yazmayacakmıyız?

[mynameisozz]

@aslanakyol:

DNS Resolver içerisinde Custum Options ta (3. Resim) bir değer var.

Yazıp kaydetmeye çalıştığımda dosyanın olmadığına dair hata veriyor.
O sebeple sordum.
Bu durumda o parametreyi yazmayacakmıyız?

Merhaba,
Doğrudur, o değeri (kurulu olsaydı) pfblocker oraya otomatik yazıyor. Sizin buna ihtiyacınız yok.

[raiko]

Öncellikle çok teşekkür ediyorum. Çok stabil bir şekilde kullanıyorum ve çalışıyor.  Benim Sorunum çok fazla ram tüketimi 4gb ram 3-4 saat içinde yüzde 80 kullanım ve swap usage yüzde 30 lara geliyor. Normalmidir ?

[muhammet]

Bir yerde hata mı yapıyorum hala stabil şekilde çalışmıyor.  :)

Wpad ile client'lara proxy dağıttığımda problem çıkmıyor ancak mobil cihazlarda ssl bağlantılarında problem çıkabiliyor.

Özellikle wifi üzerinden whatsapp'da bağlantı problemleri ciddi gecikmeler yaşıyorum, herhangi bir engelleme olmamasına rağmen.

[kalender]

s.a arkadaşlar konuda anlatılan squid+squidguard ile https sitelerin içerik filtrelemesini bir türlü yapamadım yardımcı olabilirseniz sevinirim

pfsense 2.3.4 64 bit sürümü kurulu dhcp server kullanmıyorum pc lerde sabit ip verili

2 adet internet hattı var biri varsayılan internet hattı diğeri içinse rules kısmında kurallar ile

online oyunları ona yönlendiriyorum load balance veya fail over yok

captive portal ı ise sadece mac filtreleme için kullanıyorum yani captive portal aktif ve macs kısmına pfsense

üzerinden internete çıkan pc lerin mac adresleri girili

ayrıca aşağıdaki linkteki videodanda faydalanmaya çalıştım
https://www.youtube.com/watch?v=F8gmaNQxeRA

sistemde dhcp açık olmadığı için wpad(ki daha önce hiç kullanmadım hiç ihtiyacımda olmadı) benzeri

clientlara sertifika dağıtan bir uygulama veya mekanizma da yok

pfsense i internet kafede kullanıyorum işin ilginç tarafıda burada başlıyor

clientlara sertifika yüklemediğim halde herhangi bir güvenli bağlantı sorunu falan almış değilim
dün gece ana makinaya sertifikayı yükledim(win7 prof 64bit) hatta mozilla chrome ve opera
tarayıcılarında ayarlardan sertifikayı içe aktar yapmama rağmen hem bağlantı sertifika sorunu yok
HEMDE SQUİDGUARD FİLTRELEME YAPMIYOR

örneğin squidguard common acl de social seçeneğini deny yapıp save edip allow tıklayıp tekrar save edip
hatta state reset yapıp denediğimde facebook twitter instagram ana giriş sayfalarını açıyor :(

Yardımcı olabilen olamayan herkese şimdiden teşekkürler hayırlı çalışmalar


[kalender]

üstteki mesajımda son iki resim sığmadı diğer iki resmide buraya ekledim teşekkürler

ÖNEMLİ EKLEME: General Setup kısmında girili olan dnsler servis sağlayıcıların (vodafone+türknet)

dnsleri ayrıca vodafone (yani internet hattında) güvenli internet aktif onuda belirteyim

[kalender]

Selamlar arkadaşlar

yaptığım araştırmada aşağıdaki linkteki konu sahibi arkadaşın

anlatımında belittiği işlemi yapınca çok şükür https filtreleme çalışmaya başladı

https://forum.pfsense.org/index.php?topic=112335.0

konuda belittiği küçük ayrıntı yani daha önce yapmadığım fakat sonra uygulayınca
filtrelemenin çalışmaya başladığı ayar budur (daha önce HTTPS seçiliydi)

"set pfsense Protocol to http (This is a MUST, it will not work if you do not do this)
System: Advanced: Admin Access Protocol http"

Türkçesi pfsense te System>Advanced yoluna gittiğimizde HTTP SEÇİLİ OLMALI DİYOR

aşağıya resimde ekliyorum

ayrıca şunuda belirteyim kullandığım sürümüde bu işlemi yapmadan önce

2.3.4-RELEASE-p1 (amd64)
built on Fri Jul 14 14:52:43 CDT 2017
FreeBSD 10.3-RELEASE-p19

sürümüne yani 2.3.4 patch1 sürümüne güncelledim

ve rem kullanımı yaklaşık %20 ler civarında geziyor
artı eksi %5 artıp düşebiliyor ama bende dhcp kapalı ve wpad gibi bir
sertifika dağıtan bir uygulama yok

squid tranparent modda çalışıyor clientlara herhangi bir sertifika yüklememe de gerek kalmadı
ama internet options ta 2. resimde görülen ayarları otomatik algıla seçeneğinin işaretli olması gerekiyor

umarım sorunla karşılaşan arkadaşlara yardımcı olabilmişimdir hepinize hayırlı çalışmalar


[plusbil]

Peki bütün bu ayarlarla beraber multiwan çalışabilen var mı? Ben yaklaşık 1 aydır beceremedim. :) 2.1.5'teki ayarları deniyorum ama olmuyor, çalışmadı bir türlü. 4 wan var, ancak gruplandırmaya bakmaksızın "default" hangisiyse onunla çıkıyor bütün makinalar. 2.1.5'te squid ile multiwan'ı çözüldü diye sevinmiştik, şimdi ssl'i çözüldü ama bu sefer de multiwan gitti. :)

[susamlicubuk]

@kalender:

Selamlar arkadaşlar

yaptığım araştırmada aşağıdaki linkteki konu sahibi arkadaşın

anlatımında belittiği işlemi yapınca çok şükür https filtreleme çalışmaya başladı

https://forum.pfsense.org/index.php?topic=112335.0

konuda belittiği küçük ayrıntı yani daha önce yapmadığım fakat sonra uygulayınca
filtrelemenin çalışmaya başladığı ayar budur (daha önce HTTPS seçiliydi)

"set pfsense Protocol to http (This is a MUST, it will not work if you do not do this)
System: Advanced: Admin Access Protocol http"

Türkçesi pfsense te System>Advanced yoluna gittiğimizde HTTP SEÇİLİ OLMALI DİYOR

aşağıya resimde ekliyorum

ayrıca şunuda belirteyim kullandığım sürümüde bu işlemi yapmadan önce

2.3.4-RELEASE-p1 (amd64)
built on Fri Jul 14 14:52:43 CDT 2017
FreeBSD 10.3-RELEASE-p19

sürümüne yani 2.3.4 patch1 sürümüne güncelledim

ve rem kullanımı yaklaşık %20 ler civarında geziyor
artı eksi %5 artıp düşebiliyor ama bende dhcp kapalı ve wpad gibi bir
sertifika dağıtan bir uygulama yok

squid tranparent modda çalışıyor clientlara herhangi bir sertifika yüklememe de gerek kalmadı
ama internet options ta 2. resimde görülen ayarları otomatik algıla seçeneğinin işaretli olması gerekiyor

umarım sorunla karşılaşan arkadaşlara yardımcı olabilmişimdir hepinize hayırlı çalışmalar

web gui portu http seçili olmasınının https proxy ile bir alakası yok wpad kullanacaksanız http şart veya nginx ile yönlendirme şart.
squidguard ayarlarında ip adresi ile erişimi yasakla aktif iken tag/none hataları yüzünden bazı sitelerde hata alabilirsiniz.
konuyla çok alakalı değil ama loadbalance kullanıyor musunuz? veya multiwan da fail over yapısınıda ekleyince down olan hattan sonra squid sorunsuz 2. hatta yükü devrediyor mu?

[tuzsuzdeli]

@susamlicubuk:

web gui portu http seçili olmasınının https proxy ile bir alakası yok wpad kullanacaksanız http şart veya nginx ile yönlendirme şart.
squidguard ayarlarında ip adresi ile erişimi yasakla aktif iken tag/none hataları yüzünden bazı sitelerde hata alabilirsiniz.
konuyla çok alakalı değil ama loadbalance kullanıyor musunuz? veya multiwan da fail over yapısınıda ekleyince down olan hattan sonra squid sorunsuz 2. hatta yükü devrediyor mu?

failover yapısında eğer ayarlarda "default gateway switching" seçili ise problemsiz çalışıyor.

ancak:
sondan bir önceki versiyonda, squid, birinci hat gidip, ikinci hat üzerinden çalışırken, birinci hat tekrar online olduğunda yine de ikinci hat üzerinden çalışmaya devam ediyordu.
son versiyonda durum nedir bilmiyorum.

[plusbil]

Son versiyonda failover çalışmıyor. Daha doğrusu tutarsız. Bir aydır kullanıyor ve kurcalıyorum. Geçen haftaya kadar failover hiç çalışmadı. Dahası; rules ile 4 wan'a ayırdığım ağdaki makinalar da rules kurallarına uymak yerine, hep defaulttan çıkış yaptı. Geçen hafta  proxyden vazgeçip failover için 2.1.5'e dönüşe karar verdim ve "ne kadar daha bozabilirim ki" düşüncesiyle başka bir konudaki üyenin yazdığı loadbalancing ayarlarını denemeye karar verdim. O ayarlar neti kökten kesti, ben de ayarları geri sildim ve makinayı tekrar başlattım, bir anda rules komutları ve failover çalışmaya başladı. Multiwan çalışmadı ama failover düzgün şekilde çalışıyordu. Ama bu sefer de lightsquid ve squidguard ayarları iptal oldu. Ne yapıp ettiysem çalışmadı, çalışıyor görünüyor ama proxyden veri çekmiyordu. Sürümün herbirşeyi düzgün çalışana kadar, 2.3.4 makinayı sistemden çekmeye karar verdim ben de, proxy olmadan 2.1.5 versiyona devam.

[susamlicubuk]

@plusbil:

Son versiyonda failover çalışmıyor. Daha doğrusu tutarsız. Bir aydır kullanıyor ve kurcalıyorum. Geçen haftaya kadar failover hiç çalışmadı. Dahası; rules ile 4 wan'a ayırdığım ağdaki makinalar da rules kurallarına uymak yerine, hep defaulttan çıkış yaptı. Geçen hafta  proxyden vazgeçip failover için 2.1.5'e dönüşe karar verdim ve "ne kadar daha bozabilirim ki" düşüncesiyle başka bir konudaki üyenin yazdığı loadbalancing ayarlarını denemeye karar verdim. O ayarlar neti kökten kesti, ben de ayarları geri sildim ve makinayı tekrar başlattım, bir anda rules komutları ve failover çalışmaya başladı. Multiwan çalışmadı ama failover düzgün şekilde çalışıyordu. Ama bu sefer de lightsquid ve squidguard ayarları iptal oldu. Ne yapıp ettiysem çalışmadı, çalışıyor görünüyor ama proxyden veri çekmiyordu. Sürümün herbirşeyi düzgün çalışana kadar, 2.3.4 makinayı sistemden çekmeye karar verdim ben de, proxy olmadan 2.1.5 versiyona devam.

squid olmadan yeni versiyonda failover da çalışıyor loadbalance ta
sorun yaşamanız garipmiş.

[plusbil]

Squid olmadan çalışıyor herşey, evet. Ama bu sefer de versiyonun bir anlamı kalmıyor lokasyonumuzda. Pf makinayı iki sebeple kullanıyorum. Failover ve Loadbalance. Yeni versiyonda ssl sıkıntısı çözülünce, kullanıcı bazlı kapasite raporu da almak için geçiş yapmıştım. Ama failoversız bir kullanımda, atıl kalan 100MBitlik sınırsız 3 fiber hattın varlığına ancak 1 ay sabredebildim. :) 2.1.5 hafif ve hızlı bir sürüm olduğundan squidsiz 2.3.4 ile devam etmedim.

[tuzsuzdeli]

aynı durumdayım,
mecburen araya bir pfsense daha koydum
çok konforlu değil ama
WAN tarafına bakanda failover-loadbalance yapıp, LAN tarafında squid ile webfilter yapıyorum.