Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS
-
Olá, estava tudo rodando legal só que do nada o SQUID parou.
php: /status_services.php: The command '/usr/local/etc/rc.d/squid.sh stop' returned exit code '1', the output was 'squid: No running copy'sshd[1395]: Accepted keyboard-interactive/pam for root from 192.168.0.101 port 64248 ssh2 Apr 22 11:39:05 php: /pkg_edit.php: Reloading Squid for configuration sync Apr 22 11:39:03 php: /pkg_edit.php: [Squid] - Squid_resync function call pr:1 bp: rpc:no Apr 22 11:39:02 check_reload_status: Syncing firewall Apr 22 11:39:01 check_reload_status: Reloading filter Apr 22 11:39:01 php: /pkg_edit.php: Reloading Squid for configuration sync Apr 22 11:38:59 php: /pkg_edit.php: [Squid] - Squid_resync function call pr:1 bp: rpc:no Apr 22 11:34:21 check_reload_status: Reloading filter Apr 22 11:34:21 Squid_Alarm[39381]: Squid has resumed. Reconfiguring filter. Apr 22 11:34:12 lighttpd[51334]: (connections.c.137) (warning) close: 19 Connection reset by peer Apr 22 11:33:38 squid[22616]: Squid Parent: (squid-1) process 23136 started Apr 22 11:33:38 squid[22616]: Squid Parent: will start 1 kids Apr 22 11:33:36 php: /status_services.php: The command '/usr/local/etc/rc.d/squid.sh stop' returned exit code '1', the output was 'squid: No running copy' Apr 22 11:30:36 check_reload_status: Syncing firewall Apr 22 11:29:21 check_reload_status: Syncing firewall Apr 22 11:29:04 check_reload_status: Syncing firewall Apr 22 11:28:49 check_reload_status: Syncing firewall Apr 22 11:28:34 check_reload_status: Syncing firewallEstou utilizando o "squid3-dev 3.3.10 pkg 2.2.2".
Já li em alguns tópicos e eles pediram para baixar novamente as LIBS, mas não funcionou, do nada ele para.
-
No fórum internacional, tem posts sobre isso.
Parece bug na 2.1.2.
Já tentou em outra versão do pfsense?
-
No fórum internacional, tem posts sobre isso.
Parece bug na 2.1.2.
Já tentou em outra versão do pfsense?
MARCELLOC, estou na versão 2.1-RELEASE (i386). Vou atualizar para última para ver o que que dá!
Volto para responder.
Att.
-
Boa tarde amigos!
Hoje instalei p pfsense 2.1.2 i386 com squid3-dev 3.3.10, fiz as configurações tudo certo, criei a CA certinho e esta filtrando https 100%, porem mesmo eu importando corretamente o certificado nos navegadores (IE, Chrome e Firefox), ainda gera erro de certificado ao acessar sites "https", alguém poderia me ajudar nesse caso, pois li todo o tópico e ainda assim não consegui fazer funcionar corretamente….........grato desde já.
-
Veja se não é só isso que está faltando…
https://forum.pfsense.org/index.php?topic=62263.msg409514#msg409514
-
Muito obrigado MARCELLOC, era somente isso mesmo, parabens pelo otimo trabalho
-
Muito obrigado MARCELLOC, era somente isso mesmo, parabens pelo otimo trabalho
Eu tinha este mesmo problema. Valeu MARCELLOC, deu certo aqui também.
Att.
-
ola ,
instalando o squid devel hj na versao 2.1.3 ainda é necessario importar estas bibliotecas ou ja estao incluidas?obrigado
-
ola ,
instalando o squid devel hj na versao 2.1.3 ainda é necessario importar estas bibliotecas ou ja estao incluidas?obrigado
Atualizei minha versão hoje para 2.1.3 e estou ansioso para colocar esse squid3 para rodar !!!
Abraços
-
instalando o squid devel hj na versao 2.1.3 ainda é necessario importar estas bibliotecas ou ja estao incluidas?
Segundo report de alguns usuário, as bibliotecas já fazem parte do pacote/pfsense.
-
Valeu !!
-
Acabei de testar, é só baixar os pacotes habilitar e correr para o abraço !!!
-
Está funcionando o Block MIME types (reply only) ?
Pois não estou conseguindo bloquear os videos do youtube.
Estou usando as seguintes linhas.
^video/mpeg$ ^video/quicktime$ ^video/sd-video ^video/msvideo$ ^video/mp4$ ^video/flc$ ^video/divx$ ^video/avi$ ^video/3gpp2$ ^video/3gpp$ ^video/x-la-asf$ ^video/x-ms-asf$ ^video/x-msvideo$ ^video/x-sgi-movie$ ^video/x-dv$ ^video/x-ivf$ ^video/x-m4v$ ^video/x-mpeg$ ^video/x-ms-asf$ ^video/x-ms-asf-plugin$ ^video/x-ms-wm$ ^video/x-ms-wmv$ ^video/x-ms-wmx$ ^video/x-msvideo$ ^video/x-ms-asx$ ^video/x-ms-wvx$ ^video/flv$ ^video/x-flv$ ^video/x-msvideo$ -
Pois não estou conseguindo bloquear os videos do youtube.
Veja no log do squid qual mime type ele identificou.
-
Em alguns sites como Banco do Brasil eu não estou tendo sucesso. A conexão é HTTS e já coloquei o "bb.com.br" no Whitelist do Proxy Server e não funciona, para meu usuário entrar no Banco do Brasil eu tenho que desabilidar o "HTTPS/SSL interception".
Como posso colocar o Banco do Brasil totalmente liberado?
-
@rec.br9:
Como posso colocar o Banco do Brasil totalmente liberado?
Com proxy não transparente, basta colocar na whitelist ou criar uma custom acl com ssl_bump none sites_banco
Com proxy transparente, crie um alias de rede ou host e configure a opção Bypass proxy for these destination IPs com este alias. -
Olá pessoal,
Acabei de subir a primeira versão devel do squid 3.3 para pfsense
Principais alterações
-
Atualização do squid para a última versão estável (3.3.5)
-
ativação do proxy por interface
-
ativação do proxy transparente por interface
-
ativação do filtro de ssl por interface
-
Integração do Antivirus via i-cap
-
Incluída a opção para logar os access denied do squidguard no squid também (requer esta opção e uma pequena alteração no sgerror.php)
Bugs / Problemas ainda não corrigidos
-
Integração do clamav via icap só gera erro para o usuário
-
Se você estiver recebendo este erro ao tentar executar o squid 3.3.5(Shared object "libgssapi.so.10" not found, required by "squid"'),
Execute os comandos do final do post prestando atenção na versão do seu pfsense (amd64 ou i386) -
Para um funcionamento correto na 2.0.3, é preciso habilitar o ipv6
Por favor pense fortemente em ajudar no desenvolvimento desta ferramenta através de doações. Tenho certeza que muitos querem esta funcionalidade no pfsense.
Procedimento para testar no pfsense 2.1
Basta instalar o pacote e copiar as bibliotecas faltantes
Download das bibliotecas
versão i386
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libasn1.so.10 fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libgssapi.so.10 fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libheimntlm.so.10 fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libhx509.so.10 fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libkrb5.so.10 fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/All/ldd/libroken.so.10versão amd64
fetch -o /usr/local/lib/libasn1.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libasn1.so.10 fetch -o /usr/local/lib/libgssapi.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libgssapi.so.10 fetch -o /usr/local/lib/libheimntlm.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libheimntlm.so.10 fetch -o /usr/local/lib/libhx509.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libhx509.so.10 fetch -o /usr/local/lib/libkrb5.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libkrb5.so.10 fetch -o /usr/local/lib/libroken.so.10 http://e-sac.siteseguro.ws/pfsense/8/amd64/All/ldd/libroken.so.10Se for usar o filtro de ssl, é necessário criar uma CA no pfsense e instalar o certificado em cada estação de trabalho para evitar mensagens de erro de ssl para os clientes
Segue print de um site com erro no certificado e outro site com certificado ok.
Testei no firefox depois de instalar o CRT da CA do pfsense.
O squid repassa a informação de site não confiável que ele econtrou, incluindo o texto "not trusted by" e o nome da CA configurada no squid.
O segundo print mostra o site do google sem qualquer alerta por parte do browser, afinal ele confia na "Internal-ca".AVISO:
Filtrar conexões ssl pode ter implicações legais, verifique se a politica de acesso da empresa permite este tipo de filtro e se você tem autorização para tal. Avisar os usuários por meio de politica ou comunidado também é uma boa idéia.Sites na whitelist não passam pelo filtro de SSL.
att,
Marcello CoutinhoBoa noite pessoal ..
.. entao conforme o Marcelo explicou ai (segui o tuto )…. fiz os testes aqui e funcionou ...quase tudo perfeitamente ... porem surgiu um pequeno problema comigo e espero que me ajudem ...
meu problema ficou por conta do Skype no momento de autenticar com a conta microsoft ... o resto funcionou 100% ...
por exemplo se eu usar uma conta do Skype roda tranquilo ... no momento que eu tendo autenticar usando a conta microsoft ... nao vai de maneira nenhuma ... pesquisei no forum .... algumas possiveis solucoes .. mais ainda nao achei algo .... que funcione ...
estou usando SQUID3-DEV + SQUIDGUARD3+ SSL ....
Alguem pode me ajudar !???? -
-
no momento que eu tendo autenticar usando a conta microsoft … nao vai de maneira nenhuma ...
O que os logs te mostram?
-
@rec.br9:
Como posso colocar o Banco do Brasil totalmente liberado?
Com proxy não transparente, basta colocar na whitelist ou criar uma custom acl com ssl_bump none sites_banco
Com proxy transparente, crie um alias de rede ou host e configure a opção Bypass proxy for these destination IPs com este alias.Deu certo, valeu novamente marcelloc. Grande Abraço!
-
@LCantano:
Boa tarde a todos
A whitelist do squid funciona porém somente em alguns casos conforme post do nosso amigo abaixo
Eu não utilizo a whitlelist. Vocês estão tentando criar uma lista em que o squid não utilize a interceptação SSL? Que a comunicação seja feita diretamente entre browser e site, no caso de bancos e sites do governo seria o ideal porque a técnica man-in-the-middle não é 100% garantida. Eu criei um arquivos com todos os sites que não precisam ser interceptados "/var/squid/acl/nossl_sites.acl" e inclui no Custom Options do squid3-dev:
acl nossl_sites dstdomain "/var/squid/acl/nossl_sites.acl"
ssl_bump none nossl_sitesResolvi meu problema criando um alias com o range dos sites que não quero que passe pelo proxy e adicionei o alias na aba services\proxy server\Bypass proxy for these destination IPs:
Agora estou conseguindo fazer as atualizações do windows normalmente.
Minha opnião faça a inclusão do site no whitelist e teste. Caso não libere do bloqueio encontre o range do site e adicione no alias que está adicionado no campo Bypass proxy for these destination IPs.
Falow
Olá amigo, boa tarde.
Criou o alias através do Firewall, aliases?
Pois criei por ali, mas não funcionou, se eu coloco o IP direto no bypass, funciona de boa, mas se eu colocar o aliases que eu criei, não rola.
Obrigado.
Fica com Deus.
Att.,
