BRIDGE + Transparent proxy + squidguard

mikesamo

Bonjour,

je voudrais savoir pourquoi c'est possible de le faire avec freebsd et non pfsense ?

http://forums.freebsd.org/showthread.php?t=5544&highlight=tproxy+bridge

Merci,

mikesamo

avec clearos on peux le faire avec un simple ligne iptables,
saurie-vous me fournir l'équivalent pour pfsense ?

mes pfsense sont déja en place.

voici le lien.

http://www.clearfoundation.com/component/option,com_kunena/Itemid,232/catid,7/func,view/id,11575/

Merci,

mikesamo

Bonjour,

je dois faire absolument cette architecture.

INTERNET <-> Checkpoint Nokia (NAT+Firewall) <-> PFsense 1.2.3 (NAT+Firewall+TPROXY Squid +squidGuard)
WAN: 142.x.x.x LAN: 10.23.12.1 WAN: 10.23.12.24 LAN: 10.23.12.23

sa me cause certain problème au niveau de HTTPS (port 443)

reçois message de ce genre:

tcp 4 [bad hdr length 16 - too short, < 20]

j'aurais besoin de rendre possible squid et squidGuard en mode transparent sans le NAT

J'aimerais bien enlever le nokia mais ce n'est pas possible, donc je dois avoir un TPROXY + SQUIDGUARD fonctionnel derriere un NAT :(

jdh

pfSense étant basé sur FreeBsd, il n'y a aucune raison que ce qui est fait sur l'un ne soit pas possible sur l'autre.
La seule explication est un mauvais paramétrage.

Un souci sur https, mais peut-il être concerné par un proxy transparent (qui NE PEUT PAS fonctionner sur https !).

Je préconise toujours d'éviter le bridge WAN-LAN.
C'est attrayant sur le papier mais cela suppose une vision du firewal (et un paramétrage) moins intuitive.
Usuellement on oublie de décocher le NAT outbound (à moins que le bridge le fasse).

De plus, je ne supporte pas les schémas à double firewall : ils sont basés sur une fausse impression de sécurité.
Il n'y a rien de plus grave.

Enfin, je préconise d'avoir un proxy "voyant" (= non transparent) et, bien sur distinct du firewall.
Quitte à jour de WPAD …

Bref je ne vois pas d'aide ...

mikesamo

Merci pour ta réponse,

présentement mon pfsense n'est pas en mode BRIDGE, car on me dit que le squid transparent ne marche pas en mode bridge sur pfsense.

Je sais pour la configuration a 2 firewall mais malheuresement je n'es vraiment pas le choix je dois garder le nokia en place et mettre un trnasparent squid et squidguard derrière.

Donc la solution idéale pour moi serais de faire faire une règle sur le checkpoint nokia (car ces pas moi qui le gère) qui redirige le traffic du port 80 vers le ip et port de mon squid ?