Dúvida quanto ao Squid 0.4.36_2 no pfsense 2.3.3_1



  • Boa tarde

    Recentemente tive um problema de disco com meu pfsense 2.2.6, graças a Deus consegui recuperar meu config.xml

    Resolvi instalar a última versão, essa citada acima.

    Não restaurei o backup com o config.xml

    Primeiro montei essa nova versão em um ambiente de testes e já de cara me deparei com um problema.

    Instalei a versão 64, configurei os IPs da WAN e LAN normalmente, posteriormente instalei o pacote do squid

    Apaguei todas as regras e testei navegação sem proxy habilitado no navegador e como esperado não abriu nenhum site, com proxy habilitado também não.

    Então habilitei o squid, cache e logs. Proxy não transparente

    E pra minha surpresa, com nenhuma regra criada a navegação sem proxy habilitado no navegador não abriu nenhum site e com proxy habilitado qualquer site abre normalmente.

    Dá uma olhada em minhas regras.

    Instalei em outra máquina a versão que eu utilizava. 2.2.6 64bits e aconteceu o esperado, sem nenhuma regra, nem com proxy ou sem proxy no navegador.. nada abre.

    É algum bug dessa versão ou tem algum segredo para funcionar corretamente?

    No aguardo

    Marco Aurélio





  • Quando o squid está instalado e habilitado, ele inclui uma regra de acesso e na configuração padrão do pacote, ele já libera acesso para a rede local.

    Veja na aba real time do proxy se o acesso está passando por lá.



  • Sim, aconteceu como você disse.

    Minha pergunta é, a regra que eu tenho lan net -> lan adress na porta 3128 é inútil então?

    Pelo que eu vi é, com ela ativa ou não, todos que estão com proxy habilitado no navegador navegam 100%.

    Como eu faço para poder funcionar como na versão 2.2.6, onde eu tinha limiter e scheduler na regra funcionando ???

    Fiquei meio que decepcionado agora, achei que na versão 2.3 iria melhorar, e não complicar mais.

    Terei que voltar para a versão anterior mesmo?

    Abraço

    Marco Aurélio



  • Essa configuração de regra é a mesma desde a versão 1 do pfSense. Pelo menos no squid sempre funcionou assim.

    Voce pode alterar o squid.inc para não criar a regra automática por exemplo.



  • Na 2.2.6 funciona como eu disse… só sai pelo proxy se tiver a regra criada!!

    Vou tentar modificar o squid.inc.



  • @marcelloc:

    Essa configuração de regra é a mesma desde a versão 1 do pfSense. Pelo menos no squid sempre funcionou assim.

    Voce pode altar o squid.inc para não criar a regra automática por exemplo.

    Marcello

    Teria como me indicar qual parte no squid.inc eu retiro para não criar essa regra automática??



  • Alguém pode me ajudar??



  • Pela imagem das regra, você excluiu as regras padrões da LAN que libera todo o trafego da LAN para qualquer destino tanto para IPV4 como IPV6.
    Pela imagem você esta liberando só a porta 80 e 22 para o próprio firewall, por isso não navega.



  • Reinaldo

    Você não entendeu o problema proposto aqui!!
    Não estou com problema de navegação!!
    Vou tentar ser o mais detalhado possível para você entender o real problema.
    Vou mandar vários prints também, para melhor entendimento.

    Tenho aqui dois pfsense 64bits.. 2.2.6 e o mais atual 2.3.3_1
    No 2.2.6 o squid instalado é o 0.4.7 (de acordo com o package version)
    No 2.3.3_1 o squid instalado é o 0.4.36_2 (de acordo com o package version)

    Vou descrever o que eu fiz nos anexos 2.2.6-1 ao 2.2.6-10 (Tudo para a versão 2.2.6)
    Tudo funcionou como eu esperava que ocorrece mesmo!

    Apaguei todas as regras de saída em Rules, depois testei navegar e não consegui (tanto com proxy ativo no navegador, como sem estar ativo)
    Posteriormente criei a regra de saída Lan Net –> Lan Adress na porta 3128 (Isso com o serviço do Squid rodando) --> Proxy Não Transparente
    Então habilitei o proxy no navegador e consegui navegar, e quando retirei não navegou!
    Resumindo.. aconteceu tudo como esperado.

    Vamos agora para a nova versão 2.3.3_1  –> Proxy Não Transparente (Anexos 2.3.3_1-1 ao 2.3.3_1-7)
    Fiz tudo que fiz na versão 2.2.6, porém o problema vem aí.
    Com o serviço do Squid rodando e sem nenhuma regra criada em Rules, eu consigo abrir qualquer site com proxy habilitado no navegador!
    Sem proxy no navegador, não consigo abrir nada! –> Como esperado!
    Achei estranho isso, então mesmo com esse problema, resolvi criar a regra Lan Net --> Lan Adress na porta 3128 com schedule e limiter na mesma!!!
    E fui testar no navegador com proxy ativo eu já estava fora do horário especificado no schedule e consegui navegar normalmente, testei o limite setado na regra que era de 2 Mega e fiz um teste de velocidade, bateu os míseros 10 Mega do nosso link total.
    Resumindo tudo, consigo navegar com proxy ativo no navegador, com a regra "Lan Net --> Lan Adress na porta 3128" criada ou não!!

    Entendeu agora o problema?

    Estou enviando em anexo também o squid.inc da versão 0.4.36_2, pois o Marcello disse que tem como desativar essa regra criada automática para liberação pelo proxy.
    Porém eu não consegui!

    Isso que estou procurando uma solução, que a nova versão funciona como era no 2.2.6, onde eu escolho se meus usuários com proxy ativo navegam ou não navegam!
    Ou caso não tenha como tirar isso do squid.inc, pelo menos uma forma de instalar uma outra versão do squid que não crie essa regra automática!
    Bom, acho que agora fui muito claro!

    Alguns anexos estão indo compactados, pois tem limite de 15 anexos no post.

    Aguardo ajuda!

    Atenciosamente,

    Marco Aurélio





























    restante.zip



  • Já tentou incluir a porta 443 na regra padrão?

    Observei que estão liberadas apenas as portas 80 e 22. Nos últimos prints que vc colocou, vc ta tentando acessar uma pagina https, sendo que a porta para tal protocolo não esta liberada.



  • Bastos, não estou querendo ser grosso contigo.. mas por um acaso você leu o que eu escrevi no tópico?

    Leia tudo que eu escrevi.. desde o começo.

    Eu não estou com problema de navegação!!!

    Não se baseie pelos prints.. e sim no X da questão!!

    Meu problema ta sendo que mesmo sem nenhuma regra criada.. meus usuários que tem proxy ativo no navegador conseguem abrir qualquer site.. http ou https e não deveriam pois não tem nenhuma regra criada.

    Entendeu???



  • Tentou dar uma olhada na diferença entre o squid.inc da versao 2.2.6 com o squid.inc da nova?



  • Tentei.. mas… entendi quase nada :(



  • Anexa ai o squid.inc da versão antiga.



  • Desculpa Marcos, tinha entendido o contrário.

    Faz um teste desmarcando "Allow Users on Interface", pelo que vi no squid.inc ele abre automaticamente a porta do squid no firewall quando esta opção esta marcada.



  • @marochavieira:

    Tentei.. mas… entendi quase nada :(

    Nem a parte do squid.inc que diz: ???

    
    /*
     * Squid firewall rules configuration
     */
    function squid_generate_rules($type) {
    .
    .
    .
    
    

    Squid.Inc pfSense 2.2x

    
    https://github.com/pfsense/pfsense-packages/blob/master/config/squid3/34/squid.inc
    
    

    Squid.Inc pfSense 2.3.x

    
    https://github.com/pfsense/FreeBSD-ports/blob/devel/www/pfSense-pkg-squid/files/usr/local/pkg/squid.inc
    
    

    Se eu estivesse com um problema de regras de firewall criadas pelo proxy eu começaria a procurar aí.

    Não sei se é uma questão de regionalismo mas essa quantidade de exclamações e interrogações aparentam um certo nervosismo da sua parte e o "aguardo ajuda!" no seu post sugere uma certa exigência por solução imediata.

    Se não estiver certo, peço desculpas mas se a intenção foi essa mesma, sugiro rever as regras do fórum. Somos uma comunidade colaborativa, onde usamos nosso tempo livre para compartilhar conhecimento e tentar ajudar os outros.
    Esse nível de exigência e tom de postagem não condizem com o que nos dispomos a fazer aqui.

    Se o caso é tão grave e necessita de atendimento e solução imediata, sugiro fazer a subscrição Gold ou contratar horas de consultoria direto com a Netgate.

    Se quiser comentar parte do código PHP do squid.inc, você pode usar o // para comentar uma linha de cada vez ou usar o

    /*
    Para comentar grandes trechos de código
    */



  • Boa tarde Marcello

    Peço desculpas se passei a imagem de nervosismo ou exigindo solução imediata!!

    O grande uso de !! e ?? é uma coisa minha mesmo, sempre uso muito!!

    Mas não com o tom que você pensou.. me desculpa de verdade mesmo!!

    E obrigado por me ajudar!!

    Sei que você tenta ajudar a todos e também sei que não fica todo seu tempo aqui, como todos aqui do fórum.

    Vou tentar escrever menos isso para evitar esse tipo de constrangimento.



  • @Reinaldo:

    Desculpa Marcos, tinha entendido o contrário.

    Faz um teste desmarcando "Allow Users on Interface", pelo que vi no squid.inc ele abre automaticamente a porta do squid no firewall quando esta opção esta marcada.

    Boa tarde

    Segue em anexo os dois arquivos

    squids-inc.zip



  • marochavieira,

    Usa um diff check online como o https://www.diffchecker.com pra verificar as mudanças entre os dois arquivos. Após isso tenta analisar a parte que o marcelloc informou.

    /*
     * Squid firewall rules configuration
     */
    function squid_generate_rules($type) {
    .
    .
    .
    


  • @empbilly:

    Usa um diff check online como o https://www.diffchecker.com pra verificar as mudanças entre os dois arquivos. Após isso tenta analisar a parte que o marcelloc informou.

    Os arquivos são bem diferentes. Sugiro analisar a função que mostrei e comentar as linhas que criam as regras.



  • Da uma olhada nesse post.

    Aparentemente o parametro Quick  foi o responsável pela mudança de comportamento.

    https://github.com/pfsense/FreeBSD-ports/pull/305



  • Bom dia Marcello

    Inicialmente eu peguei todo o código do Squid firewall rules configuration da versão 2.2.6 e substituí pela mesma da nova versão e funcionou… porém está assim só em ambiente de testes.

    Para produção eu vou analisar melhor e tentar entender o código.

    Quanto ao quick.. vou testar agora para ver se é ele mesmo.

    Obrigado até então.



  • Boa noite Marcello

    Cantei vitória antes da hora, achei que a substituição da parte do código:
    /*

    • Squid firewall rules configuration
      */
      da versão 2.2.6 para a atual resolveria a questão, mas continua igual.

    Quero aproveitar o tópico para tirar outra dúvida quanto a regra

    O Limiter não funciona também?
    Testei na regra de proxy criada e também não funcionou.
    A questão de regras eu consigo controlar pelo squidguard, mas gostaria de limitar minha conexão para os usuários com proxy, mas pelo que vi não funciona como na 2.2.6.

    Funciona de uma forma diferente ou realmente não funciona mais?

    No mais.. muito obrigado.



  • Adiciona essa linha logo abaixo do global $config

    
    function squid_generate_rules($type) {
    	global $config;
             return "# Sem regras automaticas \n";
    
    

    Dessa forma o pacote não vai gerar regra nenhuma.



  • Dear  marcelloc

    Where should i put this Code

    Code: [Select]
    function squid_generate_rules($type) {
    global $config;
            return "# Sem regras automaticas \n";



  • @MR-NT:

    Dear  marcelloc

    Where should i put this Code

    Code: [Select]
    function squid_generate_rules($type) {
    global $config;
            return "# Sem regras automaticas \n";

    This specific configuration disables any squid firewall rule creation. This is not what you are looking for.


Log in to reply