Integração Pfsense 2.4.4 com Active Directory

rafamaximo2018 · Dec 12, 2018, 1:02 AM

Pessoal boa noite!

preciso integrar o pfsense 2.4.4 com active directory com proxy autenticado, mas não gostaria que pedisse autenticação na hora da abertura do browser. Quando usuario logar no windows ele ja esta autenticado no pfsense. Pode me ajudar?

juniorvaz · Dec 12, 2018, 4:45 AM

Só conheço o pacote pf2ad que faz isso!

rafamaximo2018 · Dec 12, 2018, 10:16 AM

Sim, gostaria de saber como instalo ele no pfsense nesta versão!

Markinho1970 · Dec 12, 2018, 1:32 PM

Se for integração transparente para não pedir mais senha do dominio, segue:

Mesmo para a versão 2.4.4_1 você pode fazer assim:

Edite version em:
vi /etc/version

Vai estar --> 2.4.4 mude para 2.4.3

apague também o samba.patch.version

rm -rf /etc/samba.patch.version

Agora rode normalmente o pf2ad para versão 2.4.3:

fetch -q -o - https://raw.githubusercontent.com/pf2ad/pf2ad/2.4.3-SAMBA4/pf2ad.sh | sh

Ao final basta somente entrar no squid na aba authentication e veja se o Authentication Method esta com Winbind NTLM??

Se sim, basta sair salvando.

Pronto

rafamaximo2018 · Dec 13, 2018, 11:17 AM

Amigo Markinho!

Não entendi, quais os comandos preciso fazer?

Markinho1970 · Dec 17, 2018, 1:44 PM

@rafamaximo2018 said in Integração Pfsense 2.4.4 com Active Directory:

Amigo Markinho!

Não entendi, quais os comandos preciso fazer?

Você vai no servidor pfsense o qual quer integrar com o AD.
Vai na console via SSH e depois replique os comandos abaixo:

edite o arquivo "version"

vi /etc/version

dentro desse arquivo terá a seguinte linha

2.4.4-RELEASE

você tem que mudar para

2.4.3-RELEASE

Saia salvando.

Depois apague o arquivo "samba.patch.version" com o seguinte comando, ainda na console.

rm -rf /etc/samba.patch.version

Agora execute ,ainda na console, o comando abaixo:

fetch -q -o - https://raw.githubusercontent.com/pf2ad/pf2ad/2.4.3-SAMBA4/pf2ad.sh | sh

Ao final a integração estará realizada.

Basta você acessar nas configurações do squid do seu PFSENSE a ABA "AUTHENTICATION"
Veja imagem abaixo:

Espero ter ajudado...

rafamaximo2018 · Dec 13, 2018, 12:28 PM

Velho muito obrigado!

Deu tudo certinho.. vc é o cara!! Valew!!!!

Markinho1970 · Dec 13, 2018, 12:42 PM

@rafamaximo2018 said in Integração Pfsense 2.4.4 com Active Directory:

Velho muito obrigado!

Deu tudo certinho.. vc é o cara!! Valew!!!!

De nada...

rafamaximo2018 · Dec 13, 2018, 1:50 PM

O Markinho bom dia!

Sem querer incomodar, mas fiz toda integração, com ad tudo certinho.

Só que as páginas so dão acesso negado e quando fui olhar nos logs ele não esta autenticando com os usuários do ad.. Sabe o que pode ser... meu ad e um samba 4

Markinho1970 · Dec 17, 2018, 1:55 PM

@rafamaximo2018 Verifique na aba AUTHENTICATION se o NTLM esta assinalado...
Informe os dados do seu servidor AD.

Após desça mais um pouco e veja se o "NTLMSSP Negotiate" está marcado (isso é muito importante para a integração) e coloque os dados do seu domínio. No meu caso é exsa.local e com 50 processos.

Depois vai no menu services e procure o Samba (AD) , esse item no meu foi incluído pelo Pf2AD.

Selecione e informe os dados do seu AD. O meu esquema é Windows 2008+ veja qual eh o seu.

Esse procedimento vai incluir seu PFSense server no seu domínio. Verifique no seu domino pelo "Acitive directory Users and Computers" se o servidor do PFSense apareceu no seu Unidade Organizacional "Computers".

Salve e faça testes.

rafamaximo2018 · Dec 13, 2018, 7:33 PM

Apo MArkinho consegui novamente!

Agora não consigo é a integração do mesmo com o squidguard... Ele não reconhece as regras de bloqueio... NO Squid sim ele reconhece mas preciso de criar grupos..

Eu fiz assim:

ldapusersearch ldap://192.168.20.1:3268/DC=domain,DC=com?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=adm,OU=Acesso,DC=dukar,DC=local))

Está certo?

marcello marques · Dec 13, 2018, 9:19 PM

Boa noite pessoal,
estava lendo o post de voces, e estou com uma duvida, fiz tudo que nosso amigo falou, ele so funciona com squid em modo transparente?

rafamaximo2018 · Dec 14, 2018, 10:16 AM

Oi Marcello bom dia!

Não, funciona também em modo autenticado, mas não to conseguindo pois me parece que há algo na configuração do SquidGuard que não esta batendo.

Por isso so consegui transparente, mandei as configurações acima para ver se alguem mais experiente consiga me ajudar...

Markinho1970 · Dec 17, 2018, 2:01 PM

@rafamaximo2018 said in Integração Pfsense 2.4.4 com Active Directory:

ldapusersearch ldap://192.168.20.1:3268/DC=domain,DC=com?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=adm,OU=Acesso,DC=dukar,DC=local))

Rafamaximo2018 você tem que ver 2 coisas pelo que percebi:

Primeiro - Ver se a integração com o LDAP está correta:

Em "LDAP options" você tem que habilitar a integração e também ter uma conta no AD que fara a conexão com o Squidguard, que vai digitar ela no "LDAP DN", como na figura.

Esse LDAP DN você pega o CN (Common Name) através do "ADSI Edit" (ferramenta do domínio para edição das OU's) isso dentro do seu servidor de domínio.

Eu criei uma conta (não administradora) para fazer a integração "pfuser" e peguei o DN (Distinguished Name) dela.

Copie e cole no campo "LDAP DN" e depois digite a senha.
Mark Strip NT DOMIN e Strip Kerberos.
Escolha a versão do LDAP, meu caso é 3.

Salve e depois de "Applay" aquela tecla verde na imagem anterior do Squidguard.

Obs importante: Sempre que mexer nas regras ou configurações você tem que dar o "Applay".

Pronto a integração esta feita.

Segundo - Vi que a linha de busca no LDAP está errada. Ela esta assim:

ldapusersearch ldap://192.168.20.1:3268/DC=domain,DC=com?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=adm,OU=Acesso,DC=dukar,DC=local))

E na verdade deveria ser assim:

ldapusersearch ldap://192.168.20.1:3268/DC=dukar,DC=local?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=adm,OU=Acesso,DC=dukar,DC=local))

Vi que seu domínio é dukar.local... então o primeiro DC=domain deve ser mudado para DC=dukar e o segundo para DC=local.

Faça testes...

Markinho1970 · Dec 14, 2018, 10:29 AM

@marcello-marques Essas configurações são para o modo autenticado do Squid.

rafamaximo2018 · Dec 14, 2018, 10:58 AM

Sim, tentei as duas alternativas. E não deu certo!

Posso até te mandar os prints da minha tela, o usuário que eu criei dentro do AD para integração está com nome de Pfsense..

Ressalto que meu Ad é Samba 4.. Será que tem algo a ver?

Markinho1970 · Dec 14, 2018, 11:24 AM

@rafamaximo2018 é a mesma versão minha. Pode ser que tenha algo errado com seu AD e não com o PFSENSE.
Era pra funcionar direito essa questão de filtro do SquidGuard.
Faça um checklist detalhado de todas s configurações... é demorado mas garanta que não esqueceu nada... Essa questão de integração do AD qqer detalhes pequeno, mesmo uma virgula fora de lugar, impede o bom funcionamento... Outra coisa, verifique esse esse usuário do AD não esta bloqueado.

rafamaximo2018 · Dec 14, 2018, 11:26 AM

Cara fiz e refiz 2 vezes essa verificação!

Realmente não sei o porque isso acontece.... Será pq é samba 4?

rafamaximo2018 · Dec 14, 2018, 11:30 AM

Certamente é algo relacionado ao SquidGuard pois no Squid funciona as regras normalmente!

Engraçado que eu dou o comando wbinfo -u e ele lista os usuários no pfsense inclusive o que eu criei para integração!

rafamaximo2018 · Dec 14, 2018, 11:49 AM

eu to achando que pode ser a complexibilidade de senha do samba4...

Exemplo criei um usuário pfuser e senha = senha_1 sera que pode ser isso?