PfSense-2.4.4 не открыаются Gmail и Youtube



  • Здравствуйте.
    Есть шлюз на PfSense 2.4.4 и squid в прозрачном режиме с фильтрацией ssl.
    Есть проблемы с гуглом и ютубом, а именно - открываются все сайты, кроме этих. Выдает ошибку сертификата. Причем, даже если я указываю сквиду не проксировать эти сайты. Выставил в настройках Mode Intermediate и Dont Verify Remote Certificate, но эффекта не получил, пришлось полностью выключить фильтрацию из за 2 этих поганых сайтов.
    Помогите решить эту проблему.



  • А можно спросить, чем отличается генерация сертификата в консоли от генерации в веб-интерфейсе. Просто у меня уже имеется сгенерированный сертификат и сквид настроен в прозрачном режиме и Splice-All. Как бы все работает, но гуглосервисы вот почему то не хотят работать. Хотя, если открывать в IE с включенным SSL2.0, то работает.



  • Настроил по данному мануалу - бесполезно, та же проблема



  • Просто у меня уже имеется сгенерированный сертификат

    CA != сертификат

    Очистите кеш в браузере.
    Создайте CA для сквида на пф.
    Пользуйте его в сквиде со Splice All.

    Зы. В хорошем мануале по ссылке человек зачем-то руками в shell генерит данные для СА когда это можно сделать из gui. И по ссылке у человека непрозрачный сквид - он wpad-файл клиентам раздает.

    Зы2. В нашей ветке есть ссылка на статью как настраивать прозрачное фильтрование в транспаренте. Потрудитесь ее найти. Подсказка: на общей странице русскояз. топика.



  • Прошерстил всю ветку, либо она как-то называется по-другому, если можно ткните в эту статью.
    Также, пока копался, нашел кое-что про pfBlockerNG, поставил, базово настроил.
    Перестало открываться облако mail.ru, выдает ошибку сертификата. Никакие исключения и пр. настройки эфекта не дали - отключил. Короче беда какая-то с этими долбанными ошибками сертификатов, бесит уже.



  • @max5775
    По какому слову(-ам) искали?
    Сделали то, что я раньше описал?



  • transparent, прозрачный
    сделал по мануалу, но ничего не поменялось
    Сейчас плюнул на все, собираю шлюз на чистой FreeBSD+IPFW и Squid



  • и получилось то же самое, я в ступоре, похоже на глюк сквида



  • спасибо, попробую
    на днях несколько альтернатив смотрел, но про него как то и забыл



  • ну прочитал, ничего нового не узнал
    все что в инструкции все делал, бестолку



  • Настроил.
    Все равно такая же фигня
    И на NethServer тоже один в один, весь день убил на его настройки и итог тот же



  • может есть вариант, как эти сайты пробросить мимо squid?



  • @oleg1969 а до этого не работало?



  • Мдаа, вот же проблема то.
    Я же правильно все указал?

    0_1550148675120_Снимок экрана в 2019-02-14 15-26-40.png
    0_1550148696006_Снимок экрана в 2019-02-14 15-49-35.png



  • увы то же самое



  • да оно не влияет если включена галочка Allow User in interface



  • @max5775

    Не надо использовать свой сертификат. Он у вас не пф-ом подписан. Генерьте CA прямо в гуи пф.

    Зы. Плохо ищите (
    https://forum.netgate.com/topic/139956/filter-http-s-with-squidguard-splice-mitm-sni-dns-redirect-nat



  • @werter у меня теперь 2 сертификата, первый который был на этапе установки и 2-й который я генерил вручную и ошибка на обоих. Меня другое напрягает, что NethServer туже самую ошибку выдает.
    Конечно попробую по мануалу настроить еще раз, но я уже что-то не верю, что взлетит.
    Соль в том, что до недавнего времени все работало. Когда начались проблемы, я сначала подумал, что проблема в списках доступа сквида, а в итоге оказалось вот что.
    Можете объяснить, почему в IE11, при включенном SSL2.0 гуглосервисы начинают работать? На что это может указывать?



  • ну что сказать, гугл как не открывался так и не открывается а в ютуб заходит, но ни одно видео не работает



  • Какая то каша вобщем, у меня тоже в логах есть ютуб, и даже как то он работает неуверенно, но у других - вообще нет. Кеш чистили, а хром вообще не работает



  • если вручную указываю адрес прокси в браузере, то нормально, попробую настроить WPAD



  • Короче беда оказалась в том, что у нас используется нестандартная адресация для подсети, т.е это не 192.168... или 10.10..,а адресация из белого диапазона. Не спрашивайте почему так - это тупость предыдущего админа. Сеть большая и мы все никак не переведем ее в нормальный диапазон, тем более что работа идет dв режиме 24/7. Я собрал тестовый стенд из чисто установленного PfSense и ноутбука, настроил все по -минимуму, подсеть стандартная 192.168.1.0/24 - ошибок гугла с ютубом не было. Но, стоило мне только перевести тестовый стенд на адресацию как в нашей подсети - сразу появилась эта чертова ошибка. Думаю это подстегнет нас поскорее перевести нашу сеть на нормальную адресацию. Спасибо все за советы.



  • Доброго.

    @max5775
    Супер )

    Только 192.168.{1,0}.0 для новой сети не пользуйте. Пользуйте что-то из 10.x.x.x.



  • Вдруг кому поможет такой вариант решения проблемы.
    Тоже долго бился с сайтами youtube.com google.com, и даже основной поисковик и сайт yandex.ru не хотел работать. Настроил Squid по скринам из этой ветки плюс в расширенные настройки в блок "Before Auth" внес строки:

    acl SquidBypass dstdom_regex -i .*yandex.ru .*google.com .*youtube.com
    ssl_bump none SquidBypass

    и yandex.ru ожил, остальные нет. Решил проверить доступность сайтов на другом браузере (до этого использовал только ЯндексБраузер, т.к. это основной браузер клиентов, остальные хочу заблочить). Итак, IE без проблем открыл сайты, Opera - аналогично, все открывается, видео проигрывается. Значит pfSense работает как надо, а проблема в Яндексбраузере. Пошел в "Настройки-Безопасность" и в пункте "Защита соединений" отключил пункты "Использовать DNS-сервер для шифрования DNSCrypt" и "Использовать системный резолвер в случае недоступности DNS-сервера с шифрованием DNSCrypt". После этого Яндексбраузер стал все открывать без ошибок, причем потом я удалил вручную внесенные две строки в конфиг кальмара и сайты продолжили работать на разных браузерах. Как-то так.
    P.S. pfSense видимо не дружит с хардом WD Blue - через некоторое время появляются ошибки чтения, а потом хард уходит в бутлуп. Сейчас использую хард Toshiba, пока все ок.



  • @serge80665393987 не работает это все, я уже убедился в этом неоднократно.
    Меняешь какие-либо опции, перезапускаешь, вроде что-то начинает работать и потом спустя некоторое время все по новой отваливается с этой чертовой ssl error. Тот же гугл, через яндекс на него можно зайти, напрямую - нет, гуглопочта вообще никак. Ну и по мелочам еще много чего. Поэтому отключил пока этот HTTPS/SSL Interception нахер, т.к скоро выгонят с работы за постоянные отвалы сайтов. Поражает, что у некоторых все работает нормально. Подозреваю, что наш провайдер может какую-то фигню творить, типа того же MITM или наподобие.
    Была попытка уйти на netshserver, так там gre не пробросить, пришлось сидеть на pf-е



  • Я даже больше скажу, сейчас через это шлюз не работает ни внутренний https сайт, ни openvpn, который использует сертификаты, в логах openvpn-сервера ошибки проверки сертификата. Даже полное отключение squid не решает проблему. Бред какой-то



  • @serge80665393987 said in PfSense-2.4.4 не открыаются Gmail и Youtube:

    P.S. pfSense видимо не дружит с хардом WD Blue - через некоторое время появляются ошибки чтения, а потом хард уходит в бутлуп. Сейчас использую хард Toshiba, пока все ок.

    Бред. Пф глубоко наплевать Блю он у вас или Пурпл\Рэд\Грин. Проверяйте свой хард, БП, матплату, кабели питания и интерфейсные кабели.

    Я даже больше скажу, сейчас через это шлюз не работает ни внутренний https сайт, ни openvpn, который использует сертификаты, в логах openvpn-сервера ошибки проверки сертификата. Даже полное отключение squid не решает проблему

    Пф никакого отношения не имеет ко внутреннему сайту. Тем более с откл. сквидом. У вас же там с адресацией в сети полный аллес. Разберитесь. Проверьте также свитчи, патч-панели, витую пару, сетевые карты (и на пф тоже).



  • @werter, сеть уже перевели на серую. К сайту pfsense имеет отношение, т.к через его нат идет проброс портов



  • Хосты за прокси и сам сквид резолвят имена по одним и тем же ДНС-ам? Google и тому подобные на пулах внешних айпи хостятся - чтобы SNI-check проходил успешно, нужно, чтобы DNS запросы сквид и хостов форвардились к одним и тем же апстрим DNS серверам.

    https://docs.netgate.com/pfsense/en/latest/cache-proxy/squid-troubleshooting.html



  • @max5775 said in PfSense-2.4.4 не открыаются Gmail и Youtube:

    @werter, сеть уже перевели на серую. К сайту pfsense имеет отношение, т.к через его нат идет проброс портов

    Гениально. "В гамаке и скафандре"
    Настройте split dns - и внешнее имя сайта будет разрешаться во внутренний серый ip. Не надо вам nat loopback на пф.

    чтобы SNI-check проходил успешно, нужно, чтобы DNS запросы сквид и хостов форвардились к одним и тем же апстрим DNS серверам.

    Во-во. По этому-то и завернуты у нормальных людей все внешние dns-запросы на лок. адрес пф. И секурнее и без разночтений всяких.



  • @vladimirlind said in PfSense-2.4.4 не открыаются Gmail и Youtube:

    и и сам сквид резолвят имена по одним и тем же ДНС-ам? Google и тому по

    У хостов dns - pfsense, у него dns провайдера, у squid - тоже dns провайдера.

    @werter said in PfSense-2.4.4 не открыаются Gmail и Youtube:

    Настройте split dns - и внешнее имя сайта будет разрешаться во внутренний серый ip. Не надо вам nat loopback на пф.

    Это Вы к чему вообще написали? Я подключаюсь к нашему сайту из дома, он резолвит мне серый адрес - что дальше? Я вродем не писал что, сайт не открывается из локальной сети.
    Если по теме, то если я сейчас переустановлю все с нуля, то некотрое время это все будет отлично работать, скажем примерно месяц. Потом в один момент начинает твориться такая вот фигня. И да, я соврал, в сети еще не несколько ПК (штук 10 наверное), у которых остался старый адрес из белой подсети, их пока физически не получается перевести.
    Поэтому на LAN интерфейсе шлюза был сделан ip-alias с добавочным адресом из белой сети.
    Но если дело все в этом, то я не понимаю природу этой ошибки. Почему сначала все работает нормально...



  • @max5775 То есть DNS резолвер на пфсенсе в режиме форвардинга (DNS Query Forwarding)? А у сквида настройки DNS (Use Alternate DNS Servers for the Proxy Server) по умолчанию?



  • @vladimirlind
    Да, в сквиде ничего не прописано в данном поле, т.е он берет настроики dns из General Setup
    Опция DNS Query Forwarding не установлена



  • @max5775 said in PfSense-2.4.4 не открыаются Gmail и Youtube:

    Опция DNS Query Forwarding не установлена

    в таком случае резолвер итерирует запросы к корневым днс серверам, а не форвардит к DNS серверам провайдера в General Setup. Поставьте галочку в DNS Query Forwarding в резолвере.



  • @vladimirlind спасибо, попробую


Log in to reply