E2guardian5 yayınlandı ssl proxy güzel çalışıyor

magokbas

Splice All şeklinde mi kullanıyorsunuz? Bu şekilde kullanınca sık sık sertifika hatası alıyordum. Bunun olumlu bir etkisi oluyor mu sertifika hatalarına?

bir de splice all yerine custom seçeneği ile aşağıdaki konfigurasyonu daha mı iyi olur, fikrinize ihtiyacım var.


# Tanimlar
acl no_ssl_bump ssl::server_name .google.com
acl no_ssl_bump ssl::server_name .gmail.com
acl no_ssl_bump ssl::server_name .whatsapp.com
acl no_ssl_bump ssl::server_name .whatsapp.net
# Ag Araligi
acl splice_only src 10.1.1.0/24
acl splice_only src 10.1.2.0/24
acl splice_only src 10.0.3.0/24
acl splice_only src 10.0.4.0/24
acl splice_only src 10.0.5.0/24
# get SNI obtained by parsing TLS Client Hello during step2
# (which is instructed by ssl_bump peek step1)
acl step1 at_step SslBump1
# no_ssl_bump and splice_only
ssl_bump peek step1
ssl_bump splice no_ssl_bump
ssl_bump splice splice_only
# bump the rest
ssl_bump bump all

landforces

Merhaba Arkadaşın biri yapmış Squid+E2Guardian

https://www.youtube.com/channel/UCMjE1d9qiuLr7ldeIUM7AvA?spfreload=5

tuzsuzdeli

@tuzsuzdeli:

e2guardian ile squid paketini aynı anda birbiri ile entegre çalıştırmak için nasıl bir ayar yapmak gerekiyor ?

Çözüm şöyle :

Squidde advanced features kısmında,
Custom Options (Before Auth) penceresine

cache_peer 127.0.0.1 parent 8080 0 login=*:password
always_direct deny all
never_direct allow all

(bunun yerine muhtemelen Remote Cache tabından, local server da eklenebilirdi)

E2guardian tarafında ise
Daemon, Advanced Features altında
Parent mode : Use automatic embeded parent config seçilecek.

tuzsuzdeli

@TechnicaL:

Test platformu olan arkadaşlar lütfen geri dönüş yapın. Squid ile şu anda SSL için sürekli bump kuralı yazmamız gerekiyor bazı sitelere.

Eğer sorunsuz çalışıyorsa bende geçerim.

E2guardian'a geçtim, 2 gündür herhangi bir sorun yaşamıyorum.

landforces

Merhaba Tuzsuzdeli,

E2guardian'ı Squid ile berabermi yoksa tek başınamı kullanıyorsun.

Ekran görüntüsü paylaşabilirmisin özellikle Firewall kurallarında ben yanlış birşeymi yapıyorum çözemedim
şöyle bir sıkıntı oluyor herşey normal çalışırken pfsense makinasını kapatıp açıyorum. ya hiç internete girmiyor yada blocklama çalışmıyor.

benim kurallar şöyle rule1 resimdeki şekilde yapınca pfsense makinasını kapatıp açınca blocklama çalışmıyor rule2 resimdeki gibi yapıncada blocklama çalışmaya başlıyor sonra pfsense makinayı kapatıp açınca clientlar internete çıkamıyor.

her iki şekilde de denedim

Rule1.PNG_thumb

rule2.PNG_thumb

magokbas

@tuzsuzdeli:

@TechnicaL:

Test platformu olan arkadaşlar lütfen geri dönüş yapın. Squid ile şu anda SSL için sürekli bump kuralı yazmamız gerekiyor bazı sitelere.

Eğer sorunsuz çalışıyorsa bende geçerim.

E2guardian'a geçtim, 2 gündür herhangi bir sorun yaşamıyorum.

Hocam https ile yaptığınız erişimlerde normal sitelerde bile https erişiminde sertifika hatası hatası almıyor musunuz? Ben çok sık hata aldığım için maalesef kullanamıyorum. Mümkün ise konfigurasyonunuzu paylaşabilir misiniz?

tuzsuzdeli

@Mehmet:

Hocam https ile yaptığınız erişimlerde normal sitelerde bile https erişiminde sertifika hatası hatası almıyor musunuz? Ben çok sık hata aldığım için maalesef kullanamıyorum. Mümkün ise konfigurasyonunuzu paylaşabilir misiniz?

Pazartesi detaylı bir döküman post edeceğim.

ucribrahim

Selamlar,

Ben e2guardian servisini tek başına kullanıyorum, illa squid + e2guardian olmak zorunda değil. Bu arada gerçek bir network içerisinde testlerim sonucu squid + e2guardian çok sağlıklı çalışmıyor, cpu, memory vb. çok tüketiyor. İkisini birden kullanmanızı tavsiye etmem, size kalmış tabiki.

Sadece e2guardian servisini tek başına kullanarak http&https yasaklama yapabilirsiniz. E2guardian servisi tek başına çalıştığı zaman hem filtreleme hemde proxy server görevi görüyor ve stabil yasaklama yapabiliyor.

Sadece tek bir sorun var oda Anydesk adlı bir uzak bağlantı programı çalışmıyor, SSL hatası veriyor program. Bunun dışında herşey sağlıklı bir şekilde çalıştığını test ettim ve gördüm. Örnk : (youtube.com, google.com, twitter.com ) yazıp engelleme yaptığınızda hiçbir şekilde giremiyorsunuz.

Adamlar süper yapmış, daha testlerim devam ediyor. Ondan sonra güzel bir döküman hazırlayacağım.

magokbas

@ucribrahim:

Selamlar,

Ben e2guardian servisini tek başına kullanıyorum, illa squid + e2guardian olmak zorunda değil. Bu arada gerçek bir network içerisinde testlerim sonucu squid + e2guardian çok sağlıklı çalışmıyor, cpu, memory vb. çok tüketiyor. İkisini birden kullanmanızı tavsiye etmem, size kalmış tabiki ;)

Sadece e2guardian servisini tek başına kullanarak http&https yasaklama yapabilirsiniz. E2guardian servisi tek başına çalıştığı zaman hem filtreleme hemde proxy server görevi görüyor ve stabil yasaklama yapabiliyor.

Sadece tek bir sorun var oda Anydesk adlı bir uzak bağlantı programı çalışmıyor, SSL hatası veriyor program. Bunun dışında herşey sağlıklı bir şekilde çalıştığını test ettim ve gördüm. Örnk : (youtube.com, google.com, twitter.com ) yazıp engelleme yaptığınızda hiçbir şekilde giremiyorsunuz.

Adamlar süper yapmış, daha testlerim devam ediyor. Ondan sonra güzel bir döküman hazırlayacağım.

Hocam sertifika dağıtarak mı yapıyorsunuz?

ucribrahim

Hayır, kullanıcılar üzerinde herhangi bir sertifika yükleme, proxy girme gibi işlemler yapmıyorsunuz. Self signed sertifika oluşturuyorsun pfsense üzerinde daha sonra e2guardian üzerinde ssl ayarlarını yapıyorsun. Bu kadar.

magokbas

networkumde günlük ortalama 400-500 kişi oluyor. ortalama telefon ve bilgisayar toplam 900 cihaz çalışıyor. active directory kullanıcıları ile ayrıca yogun bir misafir katılımı var, tckimlik ve sms ile erişim veriyoruz ve bu erişimlerin hepsini captiveportal ile sağlıyoruz.şimdi e2guardianı test ortamında denedim tek başına, bence muhteşem çalışıyor, gayet iyi. fakat sanıyorum captiveportaldan ile birlikte kullanılamıyor. squid gibi /usr/local/bin/check_ip.php ile captiveportal veritabanından ip üzerinden kullancı adını eşleştirbilirse mükemmel olacak. captiveportal ile kullanabilen var mı?

susamlicubuk

@ucribrahim:

Selamlar,

Ben e2guardian servisini tek başına kullanıyorum, illa squid + e2guardian olmak zorunda değil. Bu arada gerçek bir network içerisinde testlerim sonucu squid + e2guardian çok sağlıklı çalışmıyor, cpu, memory vb. çok tüketiyor. İkisini birden kullanmanızı tavsiye etmem, size kalmış tabiki ;)

Sadece e2guardian servisini tek başına kullanarak http&https yasaklama yapabilirsiniz. E2guardian servisi tek başına çalıştığı zaman hem filtreleme hemde proxy server görevi görüyor ve stabil yasaklama yapabiliyor.

Sadece tek bir sorun var oda Anydesk adlı bir uzak bağlantı programı çalışmıyor, SSL hatası veriyor program. Bunun dışında herşey sağlıklı bir şekilde çalıştığını test ettim ve gördüm. Örnk : (youtube.com, google.com, twitter.com ) yazıp engelleme yaptığınızda hiçbir şekilde giremiyorsunuz.

Adamlar süper yapmış, daha testlerim devam ediyor. Ondan sonra güzel bir döküman hazırlayacağım.

tek başına e2guardian da sayfa bulunamadı hataları alınabiliyor zaman zaman
konusunda yazmıştım hurriyet.com.tr de gezinirken sık sık yapıyor.
bknz. https://forum.pfsense.org/index.php?topic=128116.660

zaten cache için arka planda squidi kurup kullanıyor siz kurmasanızda
önce squid i kurup sonra e2guardianı kurarak daha iyi performans alıyorum bilginize.

ucribrahim

Ben böyle birşey ile karşılaşmadım, ama sık sık test edeceğim.

landforces

@ucribrahim:

Hayır, kullanıcılar üzerinde herhangi bir sertifika yükleme, proxy girme gibi işlemler yapmıyorsunuz. Self signed sertifika oluşturuyorsun pfsense üzerinde daha sonra e2guardian üzerinde ssl ayarlarını yapıyorsun. Bu kadar.

Hocam kullanıcılara Sertifika basmadan Sadece E2Guardian kurulu ancak sertifika hatası alıyorum nasıl bir ayar yapmamız gerekiyor.

Not: kullanıcılara Setifika basınca çok güzel çalışıyor sorun çıkartmıyor

ucribrahim

Hocam bunun ile ilgili bir döküman yazıyorum, 1-2 güne yayımlamış olurum. Ama beklemek istemezsin diye kısaca özet geçeyim.

1. System > Cert. Manager > CAs altında bir self signed sertifika oluşturuyorsun.
2. Services > E2guardian menüsü içerisinde servisi aktif ediyorsun, transparent seçiyorsun en alt satırda sertifika belirtip SSL aktif ediyorsun.
3. Advanced seçeneklerinde "Direct connect" seçilip daha sonra ayarlar kaydedilir. Blacklist indirmeyi unutma.

Aslında bu servisin ayarlanması bu kadar basit, engelleme kısmında ise bir ACLs oluşturacaksın, yasaklamak istediklerini o kural içerisine yazcaksın daha sonra "Groups" içerisinde bir grup oluşturacaksın o ACL 'i oluşturduğun grup içerisine alıcaksın.

Detaylı yazı yolda geliyor. İlk önce ingilizce olacak daha sonra türkçe çeviririm belki.

landforces

@ucribrahim:

Hocam bunun ile ilgili bir döküman yazıyorum, 1-2 güne yayımlamış olurum. Ama beklemek istemezsin diye kısaca özet geçeyim.

1. System > Cert. Manager > CAs altında bir self signed sertifika oluşturuyorsun.
2. Services > E2guardian menüsü içerisinde servisi aktif ediyorsun, transparent seçiyorsun en alt satırda sertifika belirtip SSL aktif ediyorsun.
3. Advanced seçeneklerinde "Direct connect" seçilip daha sonra ayarlar kaydedilir. Blacklist indirmeyi unutma.

Aslında bu servisin ayarlanması bu kadar basit, engelleme kısmında ise bir ACLs oluşturacaksın, yasaklamak istediklerini o kural içerisine yazcaksın daha sonra "Groups" içerisinde bir grup oluşturacaksın o ACL 'i oluşturduğun grup içerisine alıcaksın.

Detaylı yazı yolda geliyor. İlk önce ingilizce olacak daha sonra türkçe çeviririm belki.

Merhaba,

Aslında sizin söylediklerinizi yapmıştım ancak olmadı birde makalenizi beklicem. teşekkür ederim. 80 nolu portu NAT yapmak gerekiyormu 127.0.0.1 e doğru

ucribrahim

Hayır yapmanıza gerek yok, e2guardian bir web filter ve aynı zamanda proxy server görevi görüyor tek başına. 443, 80, vb. portları nat yapmanıza gerek 127.0.0.1 'e. Squid + E2guardian kullanıyorsan yine yapman gerekmez. İki versiyonuda test ettim, nat filan yapmanız gerekmiyor.

susamlicubuk

direct connect mode için marcello nun hazırladığı video

https://www.youtube.com/watch?v=tao1tiXFefk

ucribrahim

Video çok güzel olmuş, bu servisi yeni kullanan arkadaşlar için güzel bir yönerge.

ucribrahim

Merhabalar,

E2guardian ile ilgili bir sorum olacaktı. Örnk: Local network içerisinde 5 tane client var, bir ACL oluşturuyorum bu acl içerisinde "youtube.com" yasaklı, daha sonra bir grup oluşturup bu ACL 'i bu gruba tanımlıyorum. Buraya kadar bir sıkıntı yok, ben istiyorumki 1 tane client "1.1.1.1" ip adresine sahip olan kişi "youtube.com" gidemesin ve diğer 4 client heryere gidebilsin.

Çıldırıcam bir türlü yapamadım, SquidGuard kadar basit yapıda neden yapmamışlar anlamış değilim. Alışmak biraz zaman alıcak. Bir ACL oluşturun ve onu bir grup 'a tanımlayın, bu varsayılan olarak bütün kullanıcıları etkiliyor, ben bütün kullanıcıları etkilemesini istemiyorum sadece belirlediklerim "1.1.1.1" kişiler filtrelemeye takılacak diğerleri kafasına göre takılsın.

Bu ya basit yada çok zor birşey ://