Squid com autenticação integrada ao Captive Portal
-
Tenho cenário parecido, mas não integrado ao AD.
Se esta passando é porque tem regra liberando trafego que não deveria, deve ter a porta 3128 só aberta para navegação. -
Tenho cenário parecido, mas não integrado ao AD.
Se esta passando é porque tem regra liberando trafego que não deveria, deve ter a porta 3128 só aberta para navegação.Ainda sem solução definitiva.
O CP "sabe" que depois de autenticar, é para redirecionar o tráfego para 3128? Acredito que ele apenas encaminhe pra frente 80/443.
Como fazer para pós-autenticação no CP, passar pelo proxy ativo?
Tanto o CP como o Squid3 estão integrados no AD. Teoricamente, o proxy deveria entender as credenciais utilizadas no CP e liberar a navegação, correto?
-
O CP "sabe" que depois de autenticar, é para redirecionar o tráfego para 3128?
Não. O Captive portal cria regras de acesso a internet apos a autenticação. Ele não faz qualquer tipo de teste se existe um squid ou não.
Como fazer para pós-autenticação no CP, passar pelo proxy ativo?
Marcando o proxy no navegador e/ou atraves de wpad.
Tanto o CP como o Squid3 estão integrados no AD. Teoricamente, o proxy deveria entender as credenciais utilizadas no CP e liberar a navegação, correto?
Não. Os dois vão fazer a negociação da autenticação com o navegador. Quando o squid está configurado para ler a autenticação do captive portal, aí sim o NTLM é feito somento no Captive.
-
O CP "sabe" que depois de autenticar, é para redirecionar o tráfego para 3128?
Não. O Captive portal cria regras de acesso a internet apos a autenticação. Ele não faz qualquer tipo de teste se existe um squid ou não.
Como fazer para pós-autenticação no CP, passar pelo proxy ativo?
Marcando o proxy no navegador e/ou atraves de wpad.
Tanto o CP como o Squid3 estão integrados no AD. Teoricamente, o proxy deveria entender as credenciais utilizadas no CP e liberar a navegação, correto?
Não. Os dois vão fazer a negociação da autenticação com o navegador. Quando o squid está configurado para ler a autenticação do captive portal, aí sim o NTLM é feito somento no Captive.
Bom dia Marcello, houve mais compreensão agora. Este assunto está boiando em alguns tópicos, não vi ninguém afirmar nada com convicção, sempre com pé atrás.
O problema é que, tanto celulares como tablets, vem configurado de fábrica para não utilizarem proxy.
O WPAD está configurado no meu ambiente, mas os dispositivos não passam no proxy, a não ser que eu altere a configuração manualmente no aparelho. Mas num cenário com 300 celulares/tablets, fica inviável habilitar um por um.
O Captive Portal ajuda nisto? Teoricamente, mas queria que o CP redirecionasse o tráfego para o proxy após autenticação (Alguma rule/patch pra isso?).
O CP funciona redondo no proxy, somente em modo transparente então?! (Sem alterar manualmente os aparelhos).
-
Dispositovos móveis não reconhecem o WPAD, infelizmente ou informa manualmente o proxy ou deuixa sem e fazer regra permitindo eles, também outra possibilidade é usar um serviço de controle de conteúdo baseado em DNS como o OpenDNS por exemplo.
Captive Portal com proxy transparente acho complicado de funcionar…
-
Bom, acho que não seja tão simples o que eu queira fazer. Possível acredito ser, mas, não achei nada do tipo. :-\
Olhem que louco este cenário:
VLAN X / VLAN Y passam no proxy autenticado.
O proxy está configurado com autenticação NTLM, integrado ao AD. As estações recebem proxy via WPAD, funcionando tudo ok! ;D
Tenho a VLAN Z apenas para WIFI. Preciso controlá-la também pelos filtros do proxy.
Problema1: Aparelhos celulares e tablets vem configurados de fábrica para não utilizarem proxy, então não são atingidos pelo WPAD.
Daria pra configurar manualmente, mas são mais de 300 aparelhos, fica inviável. Precisa ser "automático".Pensei no Captive Portal, autenticando via RADIUS no AD, até aí tudo bem. Funcionando normalmente.
Problema2: Após autenticação, a conexão sai direto para internet, não passa no PROXY.
Estava pensando em 2 instâncias do SQUID:
interfaces vlan X e Y - instância 1 - autenticação NTLM
interface vlan Z - instância 2 - autenticação CP
Alguém já viu um cenário desses na vida? Eu preciso disto.
Está tudo ok aqui, faltando apenas ter o controle do CP… :'(
-
Pessoal, eu uso squid + squidguard mas ainda não implementei os novos pacotes porque ainda não consegui entender qual deles eu devo usar para testar rs
Preciso daquele básico que todos tem interesse, acredito eu!
- Proxy transparente
- Usuários do domínio devem navegar autenticados no AD, por grupos ex. acesso_padrao e acesso_full
- Usuários fora do domínio devem inserir usuário e senha do domínio via pop up
- Sites https como face, youtube, twitter e etc… devem ficar bloqueados ou liberados dependendo do grupo em que o usuário está.
Será que alguém pode me indicar qual versão do pfsense e quais pacotes eu devo instalar pra iniciar esses testes rs? Estou perguntando pois estou lendo diversos tópicos e acabei me confundindo com tantas informações de diferentes cenários e também porque já tentei seguir alguns e sempre acabo com algum detalhe que não bate :-\ rs
Desde já agradeço,
Hugo
-
Olá PessoALL !
Marcello, como fazer isso (Autenticação pelo Captive Portal integrado ao Squid+SquidGuard) no PFSense 2.3.2 ?! Tem algo já desenhado ?!
Perguntei porque vi que o post é antigo e o ultimo comentário falava da versão 2.2.5.
Abs e obrigado pelo excelente trabalho !
-
Galera estou com o mesmo problema para implantar o CP+Squid+SquidGuard.
Estou utilizando a versão 2.3.2, porém nada parece funcionar quando liga os dois.Alguém tem alguma informação ?
Estou pensando em ter 2 pfsense com essas atividades depositadas separadas.
-
Re: Squid com autenticação integrada ao Captive Portal
Estou com o mesmo problema na autenticação do Squid com o Portal Captive, estava funcionando normal, aconteceu após a atualização do PFsense 2.4.1 para o 2.4.5
Segue as imagens de minhas configurações:
Alguém consegue me dá uma força?
Já perdi muito tempo nisso!
-
@thiagocarlossilverio Alguma solução para esse problema ?
