Dúvida quanto ao Squid 0.4.36_2 no pfsense 2.3.3_1

[marochavieira]

Boa tarde

Recentemente tive um problema de disco com meu pfsense 2.2.6, graças a Deus consegui recuperar meu config.xml

Resolvi instalar a última versão, essa citada acima.

Não restaurei o backup com o config.xml

Primeiro montei essa nova versão em um ambiente de testes e já de cara me deparei com um problema.

Instalei a versão 64, configurei os IPs da WAN e LAN normalmente, posteriormente instalei o pacote do squid

Apaguei todas as regras e testei navegação sem proxy habilitado no navegador e como esperado não abriu nenhum site, com proxy habilitado também não.

Então habilitei o squid, cache e logs. Proxy não transparente

E pra minha surpresa, com nenhuma regra criada a navegação sem proxy habilitado no navegador não abriu nenhum site e com proxy habilitado qualquer site abre normalmente.

Dá uma olhada em minhas regras.

Instalei em outra máquina a versão que eu utilizava. 2.2.6 64bits e aconteceu o esperado, sem nenhuma regra, nem com proxy ou sem proxy no navegador.. nada abre.

É algum bug dessa versão ou tem algum segredo para funcionar corretamente?

No aguardo

Marco Aurélio

[marcelloc]

Quando o squid está instalado e habilitado, ele inclui uma regra de acesso e na configuração padrão do pacote, ele já libera acesso para a rede local.

Veja na aba real time do proxy se o acesso está passando por lá.

[marochavieira]

Sim, aconteceu como você disse.

Minha pergunta é, a regra que eu tenho lan net -> lan adress na porta 3128 é inútil então?

Pelo que eu vi é, com ela ativa ou não, todos que estão com proxy habilitado no navegador navegam 100%.

Como eu faço para poder funcionar como na versão 2.2.6, onde eu tinha limiter e scheduler na regra funcionando ???

Fiquei meio que decepcionado agora, achei que na versão 2.3 iria melhorar, e não complicar mais.

Terei que voltar para a versão anterior mesmo?

Abraço

Marco Aurélio

[marcelloc]

Essa configuração de regra é a mesma desde a versão 1 do pfSense. Pelo menos no squid sempre funcionou assim.

Voce pode alterar o squid.inc para não criar a regra automática por exemplo.

[marochavieira]

Na 2.2.6 funciona como eu disse… só sai pelo proxy se tiver a regra criada!!

Vou tentar modificar o squid.inc.

[marochavieira]

@marcelloc:

Essa configuração de regra é a mesma desde a versão 1 do pfSense. Pelo menos no squid sempre funcionou assim.

Voce pode altar o squid.inc para não criar a regra automática por exemplo.

Marcello

Teria como me indicar qual parte no squid.inc eu retiro para não criar essa regra automática??

[marochavieira]

Alguém pode me ajudar??

[reinaldo.feitosa]

Pela imagem das regra, você excluiu as regras padrões da LAN que libera todo o trafego da LAN para qualquer destino tanto para IPV4 como IPV6.
Pela imagem você esta liberando só a porta 80 e 22 para o próprio firewall, por isso não navega.

[marochavieira]

Reinaldo

Você não entendeu o problema proposto aqui!!
Não estou com problema de navegação!!
Vou tentar ser o mais detalhado possível para você entender o real problema.
Vou mandar vários prints também, para melhor entendimento.

Tenho aqui dois pfsense 64bits.. 2.2.6 e o mais atual 2.3.3_1
No 2.2.6 o squid instalado é o 0.4.7 (de acordo com o package version)
No 2.3.3_1 o squid instalado é o 0.4.36_2 (de acordo com o package version)

Vou descrever o que eu fiz nos anexos 2.2.6-1 ao 2.2.6-10 (Tudo para a versão 2.2.6)
Tudo funcionou como eu esperava que ocorrece mesmo!

Apaguei todas as regras de saída em Rules, depois testei navegar e não consegui (tanto com proxy ativo no navegador, como sem estar ativo)
Posteriormente criei a regra de saída Lan Net –> Lan Adress na porta 3128 (Isso com o serviço do Squid rodando) --> Proxy Não Transparente
Então habilitei o proxy no navegador e consegui navegar, e quando retirei não navegou!
Resumindo.. aconteceu tudo como esperado.

Vamos agora para a nova versão 2.3.3_1  –> Proxy Não Transparente (Anexos 2.3.3_1-1 ao 2.3.3_1-7)
Fiz tudo que fiz na versão 2.2.6, porém o problema vem aí.
Com o serviço do Squid rodando e sem nenhuma regra criada em Rules, eu consigo abrir qualquer site com proxy habilitado no navegador!
Sem proxy no navegador, não consigo abrir nada! –> Como esperado!
Achei estranho isso, então mesmo com esse problema, resolvi criar a regra Lan Net --> Lan Adress na porta 3128 com schedule e limiter na mesma!!!
E fui testar no navegador com proxy ativo eu já estava fora do horário especificado no schedule e consegui navegar normalmente, testei o limite setado na regra que era de 2 Mega e fiz um teste de velocidade, bateu os míseros 10 Mega do nosso link total.
Resumindo tudo, consigo navegar com proxy ativo no navegador, com a regra "Lan Net --> Lan Adress na porta 3128" criada ou não!!

Entendeu agora o problema?

Estou enviando em anexo também o squid.inc da versão 0.4.36_2, pois o Marcello disse que tem como desativar essa regra criada automática para liberação pelo proxy.
Porém eu não consegui!

Isso que estou procurando uma solução, que a nova versão funciona como era no 2.2.6, onde eu escolho se meus usuários com proxy ativo navegam ou não navegam!
Ou caso não tenha como tirar isso do squid.inc, pelo menos uma forma de instalar uma outra versão do squid que não crie essa regra automática!
Bom, acho que agora fui muito claro!

Alguns anexos estão indo compactados, pois tem limite de 15 anexos no post.

Aguardo ajuda!

Atenciosamente,

Marco Aurélio

restante.zip

[dbastos]

Já tentou incluir a porta 443 na regra padrão?

Observei que estão liberadas apenas as portas 80 e 22. Nos últimos prints que vc colocou, vc ta tentando acessar uma pagina https, sendo que a porta para tal protocolo não esta liberada.

[marochavieira]

Bastos, não estou querendo ser grosso contigo.. mas por um acaso você leu o que eu escrevi no tópico?

Leia tudo que eu escrevi.. desde o começo.

Eu não estou com problema de navegação!!!

Não se baseie pelos prints.. e sim no X da questão!!

Meu problema ta sendo que mesmo sem nenhuma regra criada.. meus usuários que tem proxy ativo no navegador conseguem abrir qualquer site.. http ou https e não deveriam pois não tem nenhuma regra criada.

Entendeu???

[empbilly]

Tentou dar uma olhada na diferença entre o squid.inc da versao 2.2.6 com o squid.inc da nova?

[marochavieira]

Tentei.. mas… entendi quase nada :(

[empbilly]

Anexa ai o squid.inc da versão antiga.

[reinaldo.feitosa]

Desculpa Marcos, tinha entendido o contrário.

Faz um teste desmarcando "Allow Users on Interface", pelo que vi no squid.inc ele abre automaticamente a porta do squid no firewall quando esta opção esta marcada.

[marcelloc]

@marochavieira:

Tentei.. mas… entendi quase nada :(

Nem a parte do squid.inc que diz: ???

/*
 * Squid firewall rules configuration
 */
function squid_generate_rules($type) {
.
.
.

Squid.Inc pfSense 2.2x

https://github.com/pfsense/pfsense-packages/blob/master/config/squid3/34/squid.inc

Squid.Inc pfSense 2.3.x

https://github.com/pfsense/FreeBSD-ports/blob/devel/www/pfSense-pkg-squid/files/usr/local/pkg/squid.inc

Se eu estivesse com um problema de regras de firewall criadas pelo proxy eu começaria a procurar aí.

Não sei se é uma questão de regionalismo mas essa quantidade de exclamações e interrogações aparentam um certo nervosismo da sua parte e o "aguardo ajuda!" no seu post sugere uma certa exigência por solução imediata.

Se não estiver certo, peço desculpas mas se a intenção foi essa mesma, sugiro rever as regras do fórum. Somos uma comunidade colaborativa, onde usamos nosso tempo livre para compartilhar conhecimento e tentar ajudar os outros.
Esse nível de exigência e tom de postagem não condizem com o que nos dispomos a fazer aqui.

Se o caso é tão grave e necessita de atendimento e solução imediata, sugiro fazer a subscrição Gold ou contratar horas de consultoria direto com a Netgate.

Se quiser comentar parte do código PHP do squid.inc, você pode usar o // para comentar uma linha de cada vez ou usar o

/*
Para comentar grandes trechos de código
*/

[marochavieira]

Boa tarde Marcello

Peço desculpas se passei a imagem de nervosismo ou exigindo solução imediata!!

O grande uso de !! e ?? é uma coisa minha mesmo, sempre uso muito!!

Mas não com o tom que você pensou.. me desculpa de verdade mesmo!!

E obrigado por me ajudar!!

Sei que você tenta ajudar a todos e também sei que não fica todo seu tempo aqui, como todos aqui do fórum.

Vou tentar escrever menos isso para evitar esse tipo de constrangimento.

[marochavieira]

@Reinaldo:

Desculpa Marcos, tinha entendido o contrário.

Faz um teste desmarcando "Allow Users on Interface", pelo que vi no squid.inc ele abre automaticamente a porta do squid no firewall quando esta opção esta marcada.

Boa tarde

Segue em anexo os dois arquivos

squids-inc.zip

[empbilly]

marochavieira,

Usa um diff check online como o https://www.diffchecker.com pra verificar as mudanças entre os dois arquivos. Após isso tenta analisar a parte que o marcelloc informou.

/*
 * Squid firewall rules configuration
 */
function squid_generate_rules($type) {
.
.
.

[marcelloc]

@empbilly:

Usa um diff check online como o https://www.diffchecker.com pra verificar as mudanças entre os dois arquivos. Após isso tenta analisar a parte que o marcelloc informou.

Os arquivos são bem diferentes. Sugiro analisar a função que mostrei e comentar as linhas que criam as regras.