Pacote não oficial E2guardian v5 para software pfsense®

marcelloc · Mar 14, 2018, 6:12 PM

Assista ao screencast que fiz sobre o e2guardian. Está disponível lá no sys-squad

http://sys-squad.com/screencast/59

configuração básica (http e https transparente) nas imagens abaixo

Elton Santos · Mar 15, 2018, 5:04 PM

Esse tutorial do nosso amigo ainda serve?

https://eliasmoraispereira.wordpress.com/2017/06/21/pfsense-proxy-transparente-mitm-no-modo-splice-all-com-squid-e2guardian/

Os problemas relatados no fim dos comentários será que estarão resolvidos, não implementei ainda pois vi que estavam com alguns problemas, tomara que sejam sanados, parabéns pelo trabalho.

Boa tarde pessoal.

Também gostaria de saber. Meu ambiente esta funcionando de acordo com este tutorial, porém com essa nova versão do e2guardian ainda não consegui ativar o ssl MITM com proxy transparente…

EDIT - Funcionando com interceptação SSL e proxy transparente. Desativei a interceptação SSL do Squid e removi as opções de "Custon Options (Before Auth):". A única coisa que notei até agora é que a página de bloqueio do e2guardian não é exibida caso o squid esteja ativo. Testando!

Marcelo, muito obrigado pela sua contribuição!

alexandrehrs · Mar 15, 2018, 8:09 PM

Boa tarde, instalei e esta tudo funcionando até o momento, porem estou com dificuldade em acessar os logs, quais ferramentas vocês estão usando.

Tentei com o Squid analyzer mas ele não encontra os logs.

Alguém esta conseguindo acessar os logs de acesso negado por usuário?

marcelloc · Mar 15, 2018, 8:37 PM

@alexandrehrs:

Alguém esta conseguindo acessar os logs de acesso negado por usuário?

Se estiver registrando os usuarios pelo squid, então aponte a ferramenta para ele.

marcelloc · Mar 16, 2018, 10:08 PM

A versão 5 está escalonando tanto verticalmente quanto horizontalmente.

Este primeiro servidor em produção está trabalhando com 15mil processos simultâneos e batendo picos de quase 300 conexões por segundo. 8)

Que ferramenta!!!!

tomaswaldow · Mar 16, 2018, 10:13 PM

Fantástico, isso tem que estar no repositório oficial em breve.

eneiasmg · Mar 18, 2018, 12:55 AM

Boa noite

Estou começando agora no e2guardian e já cai direto na v5. Antes de tudo, parabéns pelo trabalho.
Pra mim, já resolveu um grande problema, só quero tirar uma dúvida.
Estou usando proxy transparente, sem certificado no cliente, e nas páginas https, não aparece a error page do e2guardian aparece ERR_SSL_PROTOCOL_ERROR.
É normal assim nesta situação (transparente) ou tem como mostrar a página de erro como já é mostrado para páginas http?

marcelloc · Mar 18, 2018, 2:30 AM

@eneiasmg:

Estou usando proxy transparente, sem certificado no cliente, e nas páginas https, não aparece a error page do e2guardian aparece ERR_SSL_PROTOCOL_ERROR.
É normal assim nesta situação (transparente) ou tem como mostrar a página de erro como já é mostrado para páginas http?

Se habilitou o filtro de ssl na aba Daemon mas não marcou a interceptação de ssl no grupo, o erro de site negado para o cliente vai aparecer como conexão recusada.

Pra mostrar a página de erro, você precisa habilitar a interceptação no(s) grupo(s)e instalar o certificado nas máquinas.

guilhermecpires · Mar 20, 2018, 5:24 PM

Marcelo,
Estou tendo um alto consumo de memoria em relação a versão anterior.

Em um ambiente de produção pequeno, que coloquei para testar, tem cerca de 10 estações em uma máquina Core i3, 4GB de RAM, depois de 5~6 horas o consumo sobe para praticamente 100%.

Tem algum parâmetro que você para mensurar as configurações de um ambiente ?

marcelloc · Mar 20, 2018, 5:30 PM

@guilhermecpires:

Tem algum parâmetro que você para mensurar as configurações de um ambiente ?

Diminui a quantidade de processos em execução. Ele vem com 256, tenta 180 ou 150.

eneiasmg · Mar 20, 2018, 6:04 PM

@marcelloc:

@eneiasmg:

Estou usando proxy transparente, sem certificado no cliente, e nas páginas https, não aparece a error page do e2guardian aparece ERR_SSL_PROTOCOL_ERROR.
É normal assim nesta situação (transparente) ou tem como mostrar a página de erro como já é mostrado para páginas http?

Se habilitou o filtro de ssl na aba Daemon mas não marcou a interceptação de ssl no grupo, o erro de site negado para o cliente vai aparecer como conexão recusada.

Pra mostrar a página de erro, você precisa habilitar a interceptação no(s) grupo(s)e instalar o certificado nas máquinas.

Obrigado pela resposta.
Sim eu ativei o SSL, ele está fazendo a interceptação (que é o principal), mas não tenho como instalar os certificados nos clientes (celulares e notebooks particulares).
Era só uma dúvida se teria como contornar este detalhe.

guilhermecpires · Mar 20, 2018, 9:31 PM

@marcelloc:

@guilhermecpires:

Tem algum parâmetro que você para mensurar as configurações de um ambiente ?

Diminui a quantidade de processos em execução. Ele vem com 256, tenta 180 ou 150.

Fiz isto marcello, ainda continuo com um alto consumo de memoria. Estou mandando um print também do ps aux que rodei no console.
Obrigado por enquanto.

marcelloc · Mar 20, 2018, 9:48 PM

@guilhermecpires:

Fiz isto marcello, ainda continuo com um alto consumo de memoria. Estou mandando um print também do ps aux que rodei no console.

Esses processos de pinger não são do pacote. O consumo de memória do E2guardian existe mesmo. Em um ambiente de produção com quase mil máquinas onde instalei o e2guardian, ele consome de 9 a 12g de ram, dependendo do volume de utilização.

Veja se a máquina está fazendo swap ou se apesar do consumo alto, a máquina está estável.

saulobsantana · Mar 21, 2018, 3:22 PM

Amigos, quando ativo o filtro SSL para possibilitar o bloqueio dos sites HTTPS, ocorre o seguinte:

Alguns sites abrem - https://ibb.co/b0k5Nx

Outros não - https://ibb.co/i2jX2x

Erro chrome:
ERR_SSL_PROTOCOL_ERROR

Erro firefox:
Ocorreu um erro durante uma conexão com www.google.com. O SSL recebeu um registro que excedia o comprimento máximo permitido. (Código do erro: ssl_error_rx_record_too_long)

Minhas configurações do squid e e2guardian:
https://ibb.co/iEv89c
https://ibb.co/e9KDaH

O que pode está acontecendo?

marcelloc · Mar 21, 2018, 4:21 PM

Saulo, anexa as imagens na própria mensagem no lugar de incluir links para sites externos.

Deixe somente o e2guardian v5 no ar e veja como fica a interceptação. Esses erros de rx_record_too_long eu só vejo quando uso o squid.

Nas imagens, tem o squid pacote habilitado com interceptação, e2guardian habilitado com interceptação e utilizando o parent proxy automatico(outra instancia do squid)

saulobsantana · Mar 21, 2018, 5:16 PM

Marcello, quando desabilito a interceptação SSL no SQUID, não consigo bloquear sites HTTPS no E2GUARDIAN.

Uso o SQUID como transparente, pois uso o LIGHTSQUID para gerar os relatórios.

Existe outro caminho sem ser esse, para gerar relatórios?
Só funciona bem se usar o E2GUARDIAN puro? O SQUID não se integra bem com o E2GUARDIAN?

saulobsantana · Mar 21, 2018, 5:29 PM

Pessoal, habilitei o SQUID, mas sem o proxy transparente e sem a interceptação, deixei isso por conta do E2GUARDIAN. Na configuração parent mode: direct connect.

Obrigado Marcello!

marcelloc · Mar 21, 2018, 5:34 PM

@saulobsantana:

Deixei isso por conta do E2GUARDIAN. Na configuração parent mode: direct connect.

Nessa configuração, o e2guardian está fazendo tomando conta de tudo, pode desativar o squid.

saulobsantana · Mar 21, 2018, 5:49 PM

Desabilitei, está perfeito!

Preciso configurar agora os logs, pois antes usava o lightsquid.

Vi que no próprio E2GUARDIAN tem opções de log, porém n sei como configurar para o lightsquid ler ou outra ferramenta compatível.

Qual ferramenta é mais recomendada nesse cenário? Me ajuda!

marcelloc · Mar 21, 2018, 6:16 PM

Squid log format e tenta criar um link da pasta para a pasta que o lightsquid procura ou altera o .inc do lightsquid pra ler a pasta certa.