Pacote não oficial E2guardian v5 para software pfsense®



  • Eu sei, já deu certo aqui, instalei o certificado antigo do freeradius. Tem um bug ai, uma vez que vc seleciona um certificado no e2guardian, e depois muda para outro, ele não esta alterando nas configs.

    Testa ai pra vc ver, por isso eu estava com erros de certificado.



  • O Pacote faz cache dos certificados gerados, ele deve estar entregando um certificado já gerado.

    Vou colocar na lista de 'coisas a verificar'.

    Valeu pelo feedback.



  • Poderia me informar qual arquivo de configuração vc salva essa informação do certificado para que eu passo mudar manualmente para continuar os testes com o certificado certo?



  • @gui.ap:

    Poderia me informar qual arquivo de configuração vc salva essa informação do certificado para que eu passo mudar manualmente para continuar os testes com o certificado certo?

    olhando rapidamente o código, acredito que fica aqui

    /usr/local/etc/e2guardian/ssl/generatedcerts



  • O serviço sobe normalmente, o que acontece, é que no inicio usei um certificado, depois criei outro, e ao mudar o certificado no e2guardian, aparentemente ele não esta mudando nas configs, somente na tela do browser, por isso queria confirmar nas configs.



  • Ja troquei o certificado algumas vezes. Talvez precise só remover os certificados gerados, parar o serviço, subir novamente ou coisas do tipo.

    De qualquer forma vou conferir a rotina quando o certificado é trocado. Talvez forçar a exclusão do cache de certifidos seja a melhor opção.



  • Apaguei o certificado antigo em Cert Manager, parei o serviço do e2guardian, e iniciei, deu certo, pegou o novo.



  • Marcelloc agora coloquei o squid na frente e voltou a dar erro de certificado no browser, ai olhando no browser esta com o  certificado do freeradius, porém eu já exclui esse certificado, no squid e no e2guardian estão com o certificado novo.




  • :'( Não sei oque houve estava tudo correndo bem mas meu e2guardian agora esta bloqueando todo o trafego https se eu deixar marcada a opção filter ssl sites forging ssl certficates (off) pra funcionar tenho que deixar isso desmarcado nos grupos o que que faz com que a tela de bloquei desapareça ficando apenas uma tela de erro de carregamento de pagina, fazendo com que o e2guardian funcione como o squidguard no modo splice all, o que sera que houve? :'( :'( :'(

    Quando deixo marcado a opção filter ssl sites forging ssl certficates (off) o  trafego https só e liberado nas estações que tem instalado a CA



  • @MRamon:

    Quando deixo marcado a opção filter ssl sites forging ssl certficates (off) o  trafego https só e liberado nas estações que tem instalado a CA

    É exatamente assim que tem que funcionar. A página de erro só aparece quando o trafego é de fato interceptado.

    Quando o filtro ssl está habilitado mas a interceptação não, o teste é feito no certificado e caso seja negado, o proxy só pode fazer isso recusando a conexão.

    Resumindo a configuração:

    Em redes wifi, hotspot e etc, onde você não tem o controle das estações, modo verificação de certificado(splice_all) e mensagem de conexão recusada para ssl
    Em redes coorporativas onde podemos instalar a CA nas estações, habilitamos a interceptação e temos pagina de bloqueio formatada para sites https bloqueados.



  • @MRamon:

    Mas o que esta acontecendo e que quem não tem a CA intalada não esta acessando sites https, nenhum site https nem a pesquisa do google, para que estes dispositivos naveguem em sites https tenho que deixar desmarcada a opção filter ssl sites forging ssl certficates (off)

    Interceptando sem instalar o certificado, você via receber todo tipo de erro do navegador, mas pra ter certeza que o trafego está chegando no e2guardian, monitora via tcpdump a comunicação entre a estação e ele.



  • Me desculpa não estou compreendendo, antes eu estava usando desta forma

    Estava funcionando perfeitamente quem tinha CA via a pagina de bloqueio, que não tinha dava erro na pagina que estava bloqueada
    e as outras paginas que estavam liberadas acessava-se normalmente

    agora o que esta acontecendo e que estando dessa forma quem não tem CA não carrega mas nenhuma pagina https nem as que estão libeados ou seja todos os smartphones da minha rede não estão navegando a não ser que eu intale a CA neles todos. entendeu?

    Acho que é algum tipo de bug pois estava normal



  • @MRamon:

    agora o que esta acontecendo e que estando dessa forma quem não tem CA não carrega mas nenhuma pagina https nem as que estão libeados ou seja todos os smartphones da minha rede não estão navegando a não ser que eu intale a CA neles todos. entendeu?

    Monitora com o tcpdump e nos logs pra ver se o trafego está chegando no e2guardian, mesmo com inteceptação habilitada em uma rede onde os dispositivos não tem a CA instalada.

    Dá pra rodar o e2guardian em modo foreground, onde aparece alguns debugs /usr/local/sbin/e2guardian -QN



  • @marcelloc,

    Quais as principais diferenças entre a v4 e v5 do e2guardian em relação a um "parent" como o squid sendo o interceptador de conteúdo? Pergunto isso, pois após atualizar pra v5, de acordo com as configurações básicas que passei no meu tutorial, já não funciona mais.



  • @empbilly:

    @marcelloc,

    Quais as principais diferenças entre a v4 e v5 do e2guardian em relação a um "parent" como o squid sendo o interceptador de conteúdo? Pergunto isso, pois após atualizar pra v5, de acordo com as configurações básicas que passei no meu tutorial, já não funciona mais.

    Só precisa do parent caso use alguma autenticação do squid, fora isso, direct mode para buscar as páginas e usar o proprio e2guardian para o proxy transparente.



  • Após habilitar o squid, voltou a dar erros de certificado, esta pegando o certificado do freeradius, porém ele nem existe mais.



  • @gui.ap:

    Após habilitar o squid, voltou a dar erros de certificado, esta pegando o certificado do freeradius, porém ele nem existe mais.

    Não habilita interceptação no squid, seja ela bump ou splice.



  • ja fiz isso mandei os prints nos post anteriores.



  • @gui.ap:

    ja fiz isso mandei os prints nos post anteriores.

    @gui.ap:

    Apaguei o certificado antigo em Cert Manager, parei o serviço do e2guardian, e iniciei, deu certo, pegou o novo.

    Confere nos logs do squid e na conf gerada pra ter certeza que não é ele que está gerando esses erros de certificado.



  • @marcelloc:

    @empbilly:

    @marcelloc,

    Quais as principais diferenças entre a v4 e v5 do e2guardian em relação a um "parent" como o squid sendo o interceptador de conteúdo? Pergunto isso, pois após atualizar pra v5, de acordo com as configurações básicas que passei no meu tutorial, já não funciona mais.

    Só precisa do parent caso use alguma autenticação do squid, fora isso, direct mode para buscar as páginas e usar o proprio e2guardian para o proxy transparente.

    Caso eu precise da autenticação no squid, como ficaria o parent?



  • Estou com problemas para configurar o proxy transparente nas V5, não todos os sites https estão dando erro de certificado, antes eu usava a configuração do manual https://eliasmoraispereira.wordpress.com/2017/06/21/pfsense-proxy-transparente-mitm-no-modo-splice-all-com-squid-e2guardian/.
    Mas agora perece que não funciona de acordo, apresenta o erro NET::ERR_CERT_AUTHORITY_INVALID.

    Mudou a forma de configuração do proxy transparente para https?



  • @empbilly:

    Caso eu precise da autenticação no squid, como ficaria o parent?

    Manual parent com o ip e porta da lan do squid e na aba de autenticação do e2g, selecionar basic e ntlm.

    Sem qualquer tipo de interceptação no squid.



  • @marcelloc:

    @empbilly:

    Caso eu precise da autenticação no squid, como ficaria o parent?

    Manual parent com o ip e porta da lan do squid e na aba de autenticação do e2g, selecionar basic e ntlm.

    Sem qualquer tipo de interceptação no squid.

    Ok.

    Então a partir da v5, o e2guardian é que passa a fazer o papel do interceptador? Da maneira antiga ele ainda pode trabalhar?



  • @empbilly:

    Então a partir da v5, o e2guardian é que passa a fazer o papel do interceptador? Da maneira antiga ele ainda pode trabalhar?

    Ele intercepta muito melhor que o squid, alem de ter a função de icap que ainda não incluí no pacote,  mas pode também ser configurado da maneira antiga.



  • mas pode também ser configurado da maneira antiga.

    A principio da maneira que descrevi no tutorial citado acima, não está funcionando. Não sei se tu deu uma olhada no tutorial, mas tu acha que alguma daquelas configs esteja errada pra essa nova versão do e2guardian?



  • @empbilly:

    mas pode também ser configurado da maneira antiga.

    A principio da maneira que descrevi no tutorial citado acima, não está funcionando. Não sei se tu deu uma olhada no tutorial, mas tu acha que alguma daquelas configs esteja errada pra essa nova versão do e2guardian?

    veja onde está parando, se os pacotes estão logando e chegando no e2guardian.



  • @marcelloc:

    @empbilly:

    Então a partir da v5, o e2guardian é que passa a fazer o papel do interceptador? Da maneira antiga ele ainda pode trabalhar?

    Ele intercepta muito melhor que o squid, alem de ter a função de icap que ainda não incluí no pacote,  mas pode também ser configurado da maneira antiga.

    O que seria a função de icap marcello ?



  • @guilhermecpires:

    O que seria a função de icap marcello ?

    https://en.wikipedia.org/wiki/Internet_Content_Adaptation_Protocol

    Funciona como um helper para o squid, mesma implementação do antivirus. No lugar de encaminhar a requisição para "outro proxy", a requisição é processada no icap server e devolvida para o daemon que o chamou.



  • @marcelloc:

    @guilhermecpires:

    O que seria a função de icap marcello ?

    https://en.wikipedia.org/wiki/Internet_Content_Adaptation_Protocol

    Funciona como um helper para o squid, mesma implementação do antivirus. No lugar de encaminhar a requisição para "outro proxy", a requisição é processada no icap server e devolvida para o daemon que o chamou.

    Obrigado pela explicação marcello,

    Não estou conseguindo configurar o lightsquid para pegar os logs, já criquei o link mas sem sucesso até então.

    Você está usando ele para registro dos acessos ? Ou squidanalyzer ?



  • @guilhermecpires:

    Você está usando ele para registro dos acessos ? Ou squidanalyzer ?

    Eu testei o squidanalyzer 6.6 (a primeira versão do pacote era com a 6.5) mas rodando em modo debug, ele ignora todas as linhas do log, mesmo no formato squid.

    Veja se no seu pfSense o squidanalyzer roda.

    Provavelmente, vou subir o sarg no repositório, acho ele melhor que o lightsquid.




  • @marcelloc:

    @guilhermecpires:

    Você está usando ele para registro dos acessos ? Ou squidanalyzer ?

    Eu testei o squidanalyzer 6.6 (a primeira versão do pacote era com a 6.5) mas rodando em modo debug, ele ignora todas as linhas do log, mesmo no formato squid.

    Veja se no seu pfSense o squidanalyzer roda.

    Provavelmente, vou subir o sarg no repositório, acho ele melhor que o lightsquid.

    Não consegui fazer o squidanalyzer funcionar marcelo, vou tentando aqui, mas acho que vou esperar o sarg.

    Só dando um feedback, implantei a 2 dias em um ambiente com cerca de 200 dispositivos, e o desempenho está excelente até o momento.

    Para integrar ao AD, preciso instalar o pacote do squid separado ?



  • @guilhermecpires:

    Para integrar ao AD, preciso instalar o pacote do squid separado ?

    Isso, a intergração com autenticação continua da mesma forma, quem tem a integração com wmi ou usa autenticação por ip, não precisa do squid. Qualquer outra autenticação, precisa configurar ele.



  • @marcelloc:

    @guilhermecpires:

    Para integrar ao AD, preciso instalar o pacote do squid separado ?

    Isso, a intergração com autenticação continua da mesma forma, quem tem a integração com wmi ou usa autenticação por ip, não precisa do squid. Qualquer outra autenticação, precisa configurar ele.

    Entendi, a integração via WMI é por pacote não oficial ? Sabe de algum tutorial aqui no forum ?



  • @guilhermecpires:

    @marcelloc:

    @guilhermecpires:

    Você está usando ele para registro dos acessos ? Ou squidanalyzer ?

    Eu testei o squidanalyzer 6.6 (a primeira versão do pacote era com a 6.5) mas rodando em modo debug, ele ignora todas as linhas do log, mesmo no formato squid.

    Veja se no seu pfSense o squidanalyzer roda.

    Provavelmente, vou subir o sarg no repositório, acho ele melhor que o lightsquid.

    Não consegui fazer o squidanalyzer funcionar marcelo, vou tentando aqui, mas acho que vou esperar o sarg.

    Só dando um feedback, implantei a 2 dias em um ambiente com cerca de 200 dispositivos, e o desempenho está excelente até o momento.

    Para integrar ao AD, preciso instalar o pacote do squid separado ?

    Eu consegui um resultado bom com o LigthSquid, apenas mudei o formato do log para squid e o endereço do access.log em /usr/local/etc/ligthsquid/ligthsquid.conf



  • Bom dia estou testando e2quardian v5, funcionando bem umas 10 horas ligada,  ele meio que trava, Conf:  Pentium(R) Dual CPU E2140 @ 1.60GHz, ,  Memoria: 4042 MiB,




  • @EdIlS0N:

    Bom dia estou testando e2quardian v5, funcionando bem umas 10 horas ligada,  ele meio que trava, Conf:  Pentium(R) Dual CPU E2140 @ 1.60GHz, ,  Memoria: 4042 MiB,

    Tenta aumentar o número de processos, por padrão vem 256, coloca 512 ou 1024 e vai testando.



  • bom dia Obrigado Mudei para 512,  antes dessa mudança,  fico ligado a noite toda, não travo mas  hj de manhã  fui abrir pagina  não estava abrindo nada, pedindo certificado é augumas  pag sendo bloqueada pelo squid,  reiniciei e voltou ao normal.



  • marcello, não queria utilizar o Squid, to achando que e2guardian como daemon tá bem mais rápido, você acredita que tem alguma forma de integrar com AD ? pra fazer autenticação transparente ?



  • @guilhermecpires:

    marcello, não queria utilizar o Squid, to achando que e2guardian como daemon tá bem mais rápido, você acredita que tem alguma forma de integrar com AD ? pra fazer autenticação transparente ?

    Tem via wmi da mesma forma que lancei pro squid. To terminando a versão pro pfSense 2.4



  • Boa tarde como fazer para funcionar somento o e2quardian ?  sem precisar instalar squid.


Log in to reply