PFSENSE: Squid + ADGroups + HTTPS

JKQ

Добрый день.
кейтаб создавал и закинул /etc/krb5.keytab и /usr/local/etc/krb5.keytab

ktpass -princ HTTP/proxy.kz.local@KZ.LOCAL -mapuser squid -pass qwertyuiop -crypto All -ptype KRB5_NT_PRINCIPAL -out D:\krb5.keytab

Создал /etc/krb5.conf с таким содержанием

default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmin.log
[libdefaults]
default_realm = KZ.LOCAL
default_keytab_name = /etc/krb5.keytab
dns_lookup_realm = false
dns_lookup_kdc = true
[realms]
KZ.LOCAL = {
kdc = DC1.kz.local
kdc = DC2.kz.local
kdc = 192.168.1.1
admin_server = VS-DC1.kz.local
default_domain = kz.local
[domain_realm]
.kz.local = KZ.LOCAL
kz.local = KZ.LOCAL

но при выполнении kinit squid@KZ.LOCAL выводит

kinit: krb5_init_context failed to parse configuration file

Подскажите куда смотреть

flamel

@JKQ о, я помню.что то такое было, решил то ли созданием нового кейтаба в котором писал в mapuser squid@DOMAIN.LOCAL то ли тогда был расстнхрон нтп, его получил и переслал файл, файл перекидывал фар менеджером, вроде как способ его доставки тоже может играть роль

JKQ

@flamel
файл пересоздал но ничего не получилось
NTP в таком состоянии здесь указаны КД и шлюз в качестве NTP

из командной строки проверить не получилось

в некоторых инструкциях пишут

default_keytab_name = FILE:/etc/krb5.keytab

хотя это уже от бессилия

flamel

@JKQ Я поставил один NTP - сам главный контроллер домена, потому что когда их два там алгоритм другой, для проверки в основном меню пфсенс показывается реальное время, просто сравни, рассинхрон больше минуты - уже плохо.
Попробуй при формировании кейтаб файла использовать криптографию RC4-HMAC, либо тут надо поиграть с настройками пользователя в AD для использования aes128 или 256.
Вообще ошибка прямо говорит о невозможности прочесть или понять конфигурационный файл

flamel

@JKQ что говорит kinit -p HTTP/squid.domain.local или kinit -p HTTP/squid.domain.local@DOMAIN.LOCAL?

JKQ

@flamel нашел ошибку
Нет закрывающей скобки } перед [domain_realm] в коде у @werter
столько времени убил

JKQ

@flamel У меня SquidGuard service state: STOPPED даже при отключенном Enable LDAP Filter

В логах

2020-01-23 11:57:17 [97845] squidGuard 1.4 started (1579769837.011)
2020-01-23 11:57:17 [97845] db update done
2020-01-23 11:57:17 [97845] squidGuard stopped (1579769837.013)
2020-01-23 11:57:22 [50130] squidGuard 1.4 started (1579769842.472)
2020-01-23 11:57:22 [50130] db update done
2020-01-23 11:57:22 [50130] squidGuard stopped (1579769842.473)

flamel

@JKQ не помню чтобы у меня без фильтра стартовал, по поводу фильтра проверяй точный путь до учётки, учётку должна быть та же что и для керберос, скобочки иногда исправляют ситуацию.
В моем случае такая проблема была из за сложности пароля, из за этого пришлось делать какой то просто пароль для учётки

JKQ

@flamel решил проверить работу без SquidGuard инет есть под любым пользователем и локальным и доменным.

Дошел до пункта
Это и есть наша аутентификация, уже сейчас можно проверить её работу, при попытке идти в интернет пользователю домена должно пускать, а если локальный пользователь то запрашивать логин\пароль.

я так понимаю в теме нет никого у кого бы заработало

flamel

@JKQ если ты все правильно настроил то увидишь в логах либо посещение пользователей, либо попытки подключения и запросы логина\пароля.
На данный момент у меня все это работает с одновременным заходом 50+ пользователей, в том числе фильтрация по группам AD, завтра могу заскринить логи и конфиги того как это выглядит на работающей системе

werter

This post is deleted!

werter

This post is deleted!

werter

Удалил спорные моменты.

modice

@flamel Если я верно понял. Доменный пользователь вводит пароль только один раз при входе в систему. Далее ему есть либо нет доступа к определенным сайтам. Так же собирается статистика по доменным пользователям, кто куда как часто ходил и тд. И плюс ко всему есть возможность блокировать видео и аудио поток. Все верно?

flamel

@modice все верно, единственное что с видео и аудио потоком не заморачивался, просто определенным группам заблокировал видеохостинги, включая Ютуб, на данный момент 100 пользователей успешно работают

modice

@flamel В какую сторону копать чтоб не блокировать целиком сайт, а только видео и ауди поток с https?

flamel

@modice в сторону MIME, https://interface31.ru/tech_it/2014/06/squid-blokiruem-potokovoe-multimedia.html

werter

@modice
Что-то типа:

# Blocked mime types
acl mmedia_block rep_mime_type -i ^.video.
acl mmedia_block rep_mime_type -i ^.audio.
acl mmedia_block rep_mime_type -i ^.flash.
acl mmedia_block rep_mime_type -i ^.application.

Squid пользует PCRE-синтаксис.
RexExp-ы:

Маски:
. - одиночный символ
* - неограниченное повторение последнего символа
.* - соотв любая последовательность
. - точка
\\ - один слеш
^ - от начала строки
$ - конец строки
() - скобки ограничивают токен
[] - скобки допустимые символы
| - знак или
[0-9]* - любая строка из цифр
[a-zA-Z0-9] - любая цифро-буквенная строка с латинице

http:\\\\\.*\.mail\.ru\\.* - соответствует http:\\*.mail.ru\*
.*\.mail\.ru.*\.(exe|zip)$ - соответствует *.mail.ru*.exe или *.mail.ru*.zip

Еще так можно:

pcre srvheader allow "Content-type: 
application/(.*java.*|pdf|.*excel.*|.*word.*|rtf|.*powerpoint.*|.*access.*|.*mswrite.*|.*cert.*)|text/(cmd|css|csv|html|.*java.*|vcard|xml)|image/" * 192.168.0.0/24 *
pcre srvheader allow "Content-type: message|x-world" * 192.168.1.0/24 *
pcre srvheader deny "Content-type: application|video|audio|text/" * 192.168.2.0/24 *

modice

@werter @flamel интересно как это должно срабатывать если используется https?

werter

@modice
При "непрозрачном" точно сработает. Проверьте.