Ajuda em configuração



  • Ola pessoal

    Sou novo no pfsense, usei muito o brazilfw, mas por inumeros motivos que não vem ao caso estou decidido a usar um outro firewall e de todos, o pfsense foi o mais indicado e também estou me adaptando melhor nele.

    Só que tenho algumas duvidas.

    Se eu ja tiver um servidor de dhcp antes do fw, eu consigo repassar os ips pelo pfsense e mesmo assim usar o captive portal?

    Outra coisa, eu usava varias acls no squid, pra bloquear acessos por grupos de usuarios e também por horarios. Consigo adaptar essas acls no squid do pfsense?

    Para teste estou usando a versão 2.0.1.

    Grato de antemão pela ajuda



  • issiqueira,

    Bem vindo ao fórum !:)

    @issiqueira:

    Se eu ja tiver um servidor de dhcp antes do fw, eu consigo repassar os ips pelo pfsense e mesmo assim usar o captive portal?

    sim, o serviço de dhcp é independente do captive portal

    @issiqueira:

    Outra coisa, eu usava varias acls no squid, pra bloquear acessos por grupos de usuarios e também por horarios. Consigo adaptar essas acls no squid do pfsense?

    sim, Em custom options, você pode colar suas acls.



  • marceloc

    obrigado pelos esclarecimentos, mas não estou conseguindo fazer como havia dito.

    Tenho em alguns casos servidores winserver2008 ja todo configurado, servindo o dhcp pra rede.

    eu pretendia usar o pfsense como portal cativo e de autenticação pppoe.

    Como faço pra que o pfsense repasse o dhcp do winserver?

    é em dhcp relay?

    se for, tentei configurar seguindo uns tutoriais aqui do forum, e tb do livro do pfsense e não deu certo.

    grato



  • Dhcp relay não funciona para o mesmo segmento de rede.

    Você quer entregar o ip de acordo com a autenticação?



  • não tenho autenticação no server.

    só queria repassar os ips do dhcp dele, pois a rede ja ta toda pronta.

    minha intenção seria colocar o pfsense como portal cativo e se der usar os bloqueios do squidguard ou dansguardian.

    tem como?



  • @issiqueira:

    só queria repassar os ips do dhcp dele, pois a rede ja ta toda pronta.

    issiqueira,

    Ainda não entendi o que você quer fazer.  :(

    Repassar a lista de ips entregues pelo dhcp? salvar isso onde e pra que?

    att,
    Marcello Coutinho



  • desculpe, vou tentar explicar direito.

    Meu server e toda rede ja ta pronta, os micros recebendo dhcp do windows server e tenho unidades onde a entrega do link é por um provedor onde também ja esta tudo pronto, não quero mexer (e onde tem os links do provedor nem da porque são eles que "dominam") pois já tudo certo.

    Minha intenção era usar o pfsense como captive portal, pois nessas unidades estamos colocando rede sem fio pros notes dos diretores e algumas lousas digitais que também tem wifi. e no futuro liberar pros funcionários, ,mas preciso de um método de autenticação e gostei muiro do captive portal do pfsense pois ele já geram os vouchers.

    Então gostaria de saber se tem como eu usar o pfsense tipo como "bridge" dessa minha rede ja pronta. Os usuários autenticarem no captive portal mas receberem os ips do dhcp do server ou do firewall que já tem nas unidades.

    Deu pra entender?



  • @issiqueira:

    Deu pra entender?

    não precisa do dhcp no pfsense para esta configuração.

    simplesmente habilite o captive portal no pfsense que esta com os links de internet.

    qualquer comunicação não autenticada(exceto ips/macs cadastrados para não passar pela autenticação) já vai cair no captive portal.

    Será que agora estamos falando da mesma coisa?  :)

    att,
    Marcello Coutinho



  • hehe eu não te entendo e vc não me entende, tentei fazer um diagrama no visio pra te mostrar mas ta travando a cada 30 segundos, então vamos da maneira mais dificil.

    servidor dhcp(192.168.x.x)>>>>>>>>pfsense com captive portal>>>>clientes autenticando no portal mas recebendo o ip (192.168.x.x)por dhcp do primeiro servidor.

    O pfsense serviria só como ponte para a autenticação, o trafego passaria por ele, mas o servidor dhcp (win server/ mk/ sonicwall/ etc) estaria atras do pfsense.

    Tem como?



  • montei um escopo de mais ou menos o que eu preciso



  • se não estiver enganado, os pacotes de dhcp não são filtrados pelo captive portal.



  • marcelo e você sabe me dizer como eu faço esta configuração que pretendo?

    Ja tentei de tudo e sem sucesso.

    Infelizmente preciso usar o dhcp do servidor que está atras do pfsense nas maquinas. se fosse usar somente o pfsense seria mamão com açucar.



  • Execute um ipfw show depois de habilitar o captive portal para você ver as regras que já existem.

    Se não existirem, você pode tentar colocar as regras para permitir trafego de dhcp na aba floating rules.



  • marcelo, eu gostaria de fazer o mesmo que esse cara fez, mas sinceramente não entendi como ele fez.

    http://forum.pfsense.org/index.php?topic=19959.0

    tentei aplicar o que ele descreve mas não deu certo.



  • Você esta usando o pfsense em modo bridge? algumas configurações ficam bem complexas de implementar neste modo.



  • é exatamente isso q eu quero, deixar ele em bridge, mas não consigo.

    tem como me mostrar como, to com um agora no zero fazendo testes



  • usando o pfsense em modo bridge, o dhcp relay não vai funcionar.

    Em system -> advanced-> system tunables ,veja qual combinação de regras você vai precisar fazer para liberar o trafego dhcp atraves do pfsense.

    Estes são os parametros default, mas dependendo da situação você vai precisar alterar.
    net.link.bridge.pfil_onlyip Handling of non-IP packets which are not passed to pfil (see if_bridge(4)) default (0)

    net.link.bridge.pfil_member Set to 0 to disable filtering on the incoming and outgoing member interfaces. default (1)

    net.link.bridge.pfil_bridge Set to 1 to enable filtering on the bridge interface default (0)



  • em system tunables ta do jeito que você colocou

    mas como eu faço pra na interface lan, repassar os ips que vem da wan.

    como te disse, atras desse pfsense ja tem um servidor dhcp, a wan pega o ip via dhcp dele.

    o que eu quero é que os micros depois do pfsense peguem ips via dhcp desse servidor que ja ta pronto antes do pfsense.

    entendeu? deixo ele como bridge.

    o que preciso desse pfsense em expecifico é que ele sirva somente como portal cativo, autenticando os usuarios que recebem os ips do servidor que ta antes do pfsense



  • @issiqueira:

    mas como eu faço pra na interface lan, repassar os ips que vem da wan.

    Você precisa acertar as regras para passar as requisições de dhcp atraves do firewall.

    Acertei o texto do outro post, o que quis dizer é que você vai precisar encontrar uma combinação de regras e opções do system tunable.

    Acho essencial você usar o tcpdump na console/ssh para ver o trafego das requisições de dhcp passando e entender que regra está faltando.



  • consegui fazer na v1.2.3.

    vou tentar na 2.0.1.

    to na luta, obrigado pelas dicas marcelo, dando certo volto aqui e posto como foi.



  • marcelo, sem sucesso.

    Me diz uma coisa. na versão 1.2.3, em dhcp relay, tem uma opção: Proxy requests to DHCP server on WAN subnet.

    Percebi que é ela que faz funcionar o repasse do dhcp da wan pra lan e na versão não tem essa opção.

    Outra coisa que vi que não tem: na 1.2.3, em interfaces tem uma opção na lan "Bridge with", eu coloco wan.

    Tem como essas opções, mas de outra forma na 2.0.1?

    na 1.2.3 deu tudo certo, facil facil, mas uma coisa ainda me falta pra não usar ela: no captive porta, só tem autenticação por usuario, eu preciso da geração de vouchers.



  • @issiqueira:

    Tem como essas opções, mas de outra forma na 2.0.1?

    Na teoria o modo bridge do pfsense2 é mais completo

    você criou a interface bridge na 2.0.1 e atribuiu um ip a ela?



  • Consegui fazer, ta assim.

    wan via dhcp
    lan ip fixo 172.17.x.x
    bridge ip fixo 172.16.x.x

    Não ativei o relay, desativei o firewall e o nat consequentemente.

    Beleza, a lan ta repassando o dhco da wan, porem o portal cativo não funciona.

    é isso mesmo?



  • @issiqueira:

    Beleza, a lan ta repassando o dhco da wan, porem o portal cativo não funciona.

    é isso mesmo?

    O portal deveria funcionar.
    Não gosto de usar modo brdige "misturado" com modo router.
    Continue testando e se puder, compartilhe o caso de sucesso quando terminar, vai ajudar muita gente por aqui.



  • marcelo

    valeu velho pela ajuda.

    eu até consegui de certa forma fazer o que pretendia, mas de fato o portal não funciona com interfaces em bridge.

    decidi mudar a estrategia, vou deixar o pfsense fazer todo o trabalho, proxy, dhcp, portal cativo etc

    mas vou precisar de mais umas ajudas suas.

    principalmente com acls no squid.

    no outro fw que usava, eu editava o squid.conf manualmente, criava as acls, os arquivos dependentes tranquilo.

    e agora no pfsense, como eu entro com as minhas acls customizadas.

    um ex.: eu usava controle de horario pra grupos de ips, então eu criava um arquivo com um bloco de ips, ou um range, dai criava uma acls liberando o acesso em determinado horario.

    outro exemplo era eu liberar tudo pra determinado ip (ou ips) em horários específicos.

    outra era criar um arquivo com um bloco de endereços para bloquear ou liberar para determinados ips.

    mais ou menos assim ficava:

    aqui colocava os sites de rede social, pornografia, webproxyes
    acl rsocial dstdom_regex "/usr/local/squid/etc/rsocial.flt"
    acl porno dstdom_regex "/usr/local/squid/etc/porno.flt"
    acl proxy dstdom_regex "/usr/local/squid/etc/proxy.flt"

    aqui entrava os ips separados por grupos/ setores
    acl adm src "/usr/local/squid/etc/adm"
    #acl cedepe src "/usr/local/squid/etc/cedepe"
    acl ips_livres src "/usr/local/squid/etc/ips_livres"

    regras de horario
    acl hradm time MTWHFA 06:00-22:29

    e a regra liberando o acesso ao setor adm, em determinado horario negando alguns sites
    http_access allow hradm adm !blocklab

    a duvida é

    tem como eu adaptar pro squid do pfsense? e onde eu insiro essas acls?



  • @issiqueira:

    tem como eu adaptar pro squid do pfsense? e onde eu insiro essas acls?

    Coloque as regras e acls adicionais no campos custom options na gui e se quiser ter os arquivos .flt no backup do xml, instale o pacote filer e crie os arquivos através da interface gráfica.

    att,
    Marcello coutinho



  • valeu marcelo, vou tentar e posto o resultado



  • marcelo

    ta tudo correndo como eu pretendo até agora, o fw ta rodando (em testes) super bem.

    me sana uma dúvida, li seu post do squid3, achei interessante usar ele devido ao cache dinamico do youtube.

    qual a versão que ta mais atual, a do packages ou a do teu repositorio?



  • @issiqueira:

    qual a versão que ta mais atual, a do packages ou a do teu repositorio?

    A versão do packages aponta para o meu repositório :)

    Lembrando que apenas incluí na gui configurações sugeridas na wiki do squid, não sei se são 100% funcionais e "a prova de bala"  ;)

    att,
    Marcello Coutinho



  • alguem poderia me dizer qual pfsense é melhor instalar num servidor HP proliant ML110 G5 ??



  • Se o processador suportar, use a versão amd64.

    Não esquece de habilitar o soft-updates durante a instalação.



  • beleza, então instalo o squid3 via packages e depois o squidguard?

    outra coisa que tive problemas, com o squid 2 mais o squidguard, como eu deixo um ip, ou uma url sem passar pelo proxy? e como eu adiciono um site que ta bloqueado no squidguard a uma lista branca?

    tentei uma penca de configurações de outros posts mas nenhuma surtiu efeito.

    O que eu fiz agora, desinstalei tudo, deixei o pfsense sem nada, vou colocar um por um pra fechar e deixar redondo.



  • marcelo socorro hehe

    coloquei um proxy pra testar em produção em uma unidade, enquanto tava em bancada beleza, mas agora com bastante usuarios (ativos em media uns 80) trava geral.

    Parando o squid volta a navegação, ativo o serviço e ninguem navega.



  • issiqueira,

    A sequencia de instalação é squidguard e depois o squid3.

    Você habilitou o softupdates durante a instalação do pfsense?
    Esta opção aumente significativamente a performance do squid no pfsense.

    Você vai precisar dos los logs para entender o erro.

    digite
    tail -f /var/squid/logs/access.log para ver as tentativas de acesso
    tail -f /var/squid/logs/cache.log para ver erros de execução do squid
    top para ver a carga da máquina.

    att,
    Marcello Coutinho



  • vou montar outro do zero, com o softupdates ativado e ver como se comporta.

    jaja posto os resultados.



  • desculpa, onde habilito o softupdates???





  • obrigado pela atenção.

    então a ativação do softupdates é recomendado pra qualquer servidor, qualquer que seja a congfiguração?



  • Eu recomendo principalmente para instalações que vão usar muito acesso a disco, como o squid por exemplo.



  • infelizmente não consegui ativar :/

    só sei instalar do jeito padrão mesmo!!


Locked