Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS
-
Olá Marcelo,
Estamos implantando esta versão do squid3-dev no meu local de trabalho e gostaria de tirar algumas dúvidas…
Este pacote, trabalhando juntamente com o SquidGuard3 se encontra apto pra utilização em uma rede de tamanho médio, em torno de 150 computadores?
Eu não consegui fazer o certificado perfeitamente no Google Chrome, quando digitamos https://gmail.com apresenta uma página dizendo que não foi possível conectar ao gmail.com real... É alguma configuração errada? Nos demais navegadores não tenho tido este problema...
É preciso copiar aquelas bibliotecas para o funcionamento do squid3-dev no pfSense 2.1.3 amd64?
Quando o usuário loga no captive portal e o método de autenticação no Squid é o CaptivePortal, o usuário ao mesmo tempo faz login no Squid?
Grato pela atenção e ajuda!
Parabéns pelo trabalho! -
Ai galera, ja esta funcionando corretamente os filtros de HTTPs?
-
Este pacote, trabalhando juntamente com o SquidGuard3 se encontra apto pra utilização em uma rede de tamanho médio, em torno de 150 computadores?
O squidguard não é tão esperto assim no tratamento de ssl, você pode ter problemas com alguns aplicativos (skype por exemplo).
Eu não consegui fazer o certificado perfeitamente no Google Chrome, quando digitamos https://gmail.com apresenta uma página dizendo que não foi possível conectar ao gmail.com real… É alguma configuração errada? Nos demais navegadores não tenho tido este problema...
Sem instalar a ca configurada no pfsense, todo site ssl vai mostrar erro, no chrome especificamente, nem acesso ao site você vai ter.
É preciso copiar aquelas bibliotecas para o funcionamento do squid3-dev no pfSense 2.1.3 amd64?
Se o squid está rodando, não precisa.
Quando o usuário loga no captive portal e o método de autenticação no Squid é o CaptivePortal, o usuário ao mesmo tempo faz login no Squid?
Quando você define a autenticação como captive portal, o squid lê a base do captive para associar o usuário.
-
-
Este pacote, trabalhando juntamente com o SquidGuard3 se encontra apto pra utilização em uma rede de tamanho médio, em torno de 150 computadores?
O squidguard não é tão esperto assim no tratamento de ssl, você pode ter problemas com alguns aplicativos (skype por exemplo).
Eu não consegui fazer o certificado perfeitamente no Google Chrome, quando digitamos https://gmail.com apresenta uma página dizendo que não foi possível conectar ao gmail.com real… É alguma configuração errada? Nos demais navegadores não tenho tido este problema...
Sem instalar a ca configurada no pfsense, todo site ssl vai mostrar erro, no chrome especificamente, nem acesso ao site você vai ter.
É preciso copiar aquelas bibliotecas para o funcionamento do squid3-dev no pfSense 2.1.3 amd64?
Se o squid está rodando, não precisa.
Quando o usuário loga no captive portal e o método de autenticação no Squid é o CaptivePortal, o usuário ao mesmo tempo faz login no Squid?
Quando você define a autenticação como captive portal, o squid lê a base do captive para associar o usuário.
Obrigado por tirar as dúvidas Marcello, quanto a questão do Chrome, o CA estava configurado nos navegadores e mesmo assim apresentava este erro, fiz um alias e coloque na opção para não passar pelo proxy e o problema foi resolvido.
Sobre a questão do SquidGuard e Squid3-dev trabalharem bem juntos, é que notei que por vezes o proxy parece ser mais lento que o squid-2.7 com squidguard. Estou querendo colocar esta solução em ambiente de produção (Não utilizamos SKYPE, ainda bem).
Obrigado!
-
Obrigado por tirar as dúvidas Marcello, quanto a questão do Chrome, o CA estava configurado nos navegadores e mesmo assim apresentava este erro,
Confere o procedimento que você seguiu.
Com a CA instalada corretamente no browser, google, gmail, gtalk abrem sem erro. -
Olá Marcelo,
Obrigado pela implantação,
Eu fiz todos os passos e funcionou perfeitamente, não deu nenhum erro no processo de instalação :DEu gostaria agora era de dar um pente fino nas configurações do Squid3 e Squidguard3 pra deixar ele redondinho sem erros.
Eu tenho a minha rede próximo de 130 maquinas, vai atender bem sem problemas?Obs: o que se trata essas configurações abaixo? Quero entende-las
Custom ACLS (Before_Auth), no squid3 :o
always_direct allow all
ssl_bump server-first allAbraços.
-
Bom dia !
Já instalou as bibliotecas … ?
outro detalhe .... Services > proxy server > general
adicione os seguintes campos :em Custom Settings ...
Custom ACLS
(Before Auth)always_direct allow all
ssl_bump server-first all ...Faz o teste aí ...
Ei desisti e resolvi fazer hoje Proxy separado do meu FW, subi PFSENSE em outra maquina e agora vou instalar SQUID e SQUIDGUARD, estes parametros que voce comentou sao necessarios em qualquer cenario?
-
@Márcio:
Olá Marcelo,
Obrigado pela implantação,
Eu fiz todos os passos e funcionou perfeitamente, não deu nenhum erro no processo de instalação :DEu gostaria agora era de dar um pente fino nas configurações do Squid3 e Squidguard3 pra deixar ele redondinho sem erros.
Eu tenho a minha rede próximo de 130 maquinas, vai atender bem sem problemas?Obs: o que se trata essas configurações abaixo? Quero entende-las
Custom ACLS (Before_Auth), no squid3 :o
always_direct allow all
ssl_bump server-first allAbraços.
Marcio,
Voce seguiu o tutorial ? voce esta usando 32 ou 64?
-
Olá,
Eu vi que na ultima versão do pFsense isso não é mais preciso, já esta atualizado. Pelo ao menos na ultima versão que estou usando eu não tive que utilizar.Estou utilizando a ultima versão do Pfsense 32 Bits.
Obrigado a todos.
-
Boa tarde, estou com problemas ao enviar nfe
sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested targetsendo que acontece so quando ativo o filtro HTTPS/SSL interception.
No meu caso tive que colocar o servidor (CT-e e NF-e) que faz a comunicação com o Sefaz no bypass de origem.
Se tiver alguma outra alternativa, registra aqui.Blz Reginaldo deu certo, so que ao inves de liberar o ip de origem libera somente o ip de destino, que obtem do site http://bgp.he.net/ assim libera somente o acesso ao site e nao total.
ObrigadoEstou com o mesmo problema, coloquei BYPASS nao deu certo. voces tem a lista de IP destino no caso SEFAZ MT. Estamos testando NF-e e Cupom Eletronico
-
@nblx96:
Boa tarde, estou com problemas ao enviar nfe
sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested targetsendo que acontece so quando ativo o filtro HTTPS/SSL interception.
No meu caso tive que colocar o servidor (CT-e e NF-e) que faz a comunicação com o Sefaz no bypass de origem.
Se tiver alguma outra alternativa, registra aqui.Blz Reginaldo deu certo, so que ao inves de liberar o ip de origem libera somente o ip de destino, que obtem do site http://bgp.he.net/ assim libera somente o acesso ao site e nao total.
ObrigadoEstou com o mesmo problema, coloquei BYPASS nao deu certo. voces tem a lista de IP destino no caso SEFAZ MT. Estamos testando NF-e e Cupom Eletronico
nblx96 adicione esses ip em bypass de destino 200.241.32.196;189.30.131.200;200.241.32.197;189.30.131.198;201.49.164.105
-
@nblx96:
Boa tarde, estou com problemas ao enviar nfe
sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested targetsendo que acontece so quando ativo o filtro HTTPS/SSL interception.
No meu caso tive que colocar o servidor (CT-e e NF-e) que faz a comunicação com o Sefaz no bypass de origem.
Se tiver alguma outra alternativa, registra aqui.Blz Reginaldo deu certo, so que ao inves de liberar o ip de origem libera somente o ip de destino, que obtem do site http://bgp.he.net/ assim libera somente o acesso ao site e nao total.
ObrigadoEstou com o mesmo problema, coloquei BYPASS nao deu certo. voces tem a lista de IP destino no caso SEFAZ MT. Estamos testando NF-e e Cupom Eletronico
nblx96 adicione esses ip em bypass de destino 200.241.32.196;189.30.131.200;200.241.32.197;189.30.131.198;201.49.164.105
Nao deu certo, mas o seguinte meu PROXY e separado do meu FW PFSENSE. sera que e isso?
fiz exatamente isso, funcionando 100% mas bypass nao funciona.
Crie um novo gateway em (system -> routing) com o ip do seu servidor proxy.
Na regra da lan que libera o acesso http/https, procure as opções avançadas e defina o gateway com o ip do seu servidor proxy.
Simples assim.
obs: Não esqueça de criar uma regra antes liberando acesso do ip do seu servidor proxy para a internet.
-
always_direct allow all
ssl_bump server-first all …Estes parametros ativam a interceptação de ssl.
Na próxima versão do pacote esses parâmetros já são definidos automaticamente. -
Caros Marcelloc e membros, estou passando por uma situação inusitada, fiz uma mescla de instalação utilizando o filtro de SSL/HTTPS e autenticação com AD, usando os tutoriais do nosso mestre Marcelloc que encontrei no forum, porém a autenticação e as ACLs configuradas para um determinado grupo do AD só funcionam primeiramente, se o proxy estiver configurado nos browsers. Caso o proxy não esteja configurado no browser e apesar do squid estar configurado para trabalhar no modo transparente, ele não reconhece o usuário e aplica a ACL Default do squidGuard, mas o inusitado, e o que está me matando de raiva, é que quando eu desativo o proxy no browser, fecho o browser e navego novamente, tudo funciona normal, aplicando as ACLs para aquele grupo do AD. Alguém já passou por isso?
Estou usando:
2.1.3-RELEASE (amd64) FreeBSD 8.3-RELEASE-p16
squid3-dev 3.3.10 pkg 2.2.2
squidGuard-squid3 1.4_4 pkg v.1.9.5Obrigado a todos pela ajuda
-
caitec,
Só a autenticação capitve portal funciona com proxy transparente, em todos os outros casos que precisam de helpers de autenticação, o proxy precisa estar marcado(de forma automática ou manual)
-
Boa tarde, estou com problemas ao enviar nfe
sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested targetsendo que acontece so quando ativo o filtro HTTPS/SSL interception.
No meu caso tive que colocar o servidor (CT-e e NF-e) que faz a comunicação com o Sefaz no bypass de origem.
Se tiver alguma outra alternativa, registra aqui.Blz Reginaldo deu certo, so que ao inves de liberar o ip de origem libera somente o ip de destino, que obtem do site http://bgp.he.net/ assim libera somente o acesso ao site e nao total.
ObrigadoNão estou conseguindo pegar o ip do Sefaz SP
-
Não estou conseguindo pegar o ip do Sefaz SP
Use o tcpdump para verificar o ip durante a tentativa de conexão
-
caitec,
Só a autenticação capitve portal funciona com proxy transparente, em todos os outros casos que precisam de helpers de autenticação, o proxy precisa estar marcado(de forma automática ou manual)
Oi Marcelo, surgiram outras 2 dúvidas com relação a sua resposta, eu conseguiria fazer autenticação via capitive portal com proxy transparente e aplicar as ACLs no squidguard de acordo com os grupos no AD? Caso sim eu não precisaria dos helpers, correto?
A outra dúvida não está relacionada a autenticação, mas ao certificado, eu poderia utilizar outro certificado que não fosse o que eu tivesse gerado? Pergunto isso pois pelo site startssl.com que você consegue certificados gratuitos que são reconhecidos por todos os browsers sem que haja a necessidade de você ter que importar o certificado para todas as máquinas, porém ao configurá-lo o squid não sobe.
Obrigado pela ajuda novamente. Grande abraço.
Agora entendi o pq da sua foto ser aquele cara maluquinho digitando… mais de 10.000 posts é foda d+. Parabéns e obrigado
-
Eu tive a mesma duvida sera que consegue?
poderia utilizar outro certificado que não fosse o que eu tivesse gerado? Pergunto isso pois pelo site startssl.com que você consegue certificados gratuitos que são reconhecidos por todos os browsers sem que haja a necessidade de você ter que importar o certificado para todas as máquinas, porém ao configurá-lo o squid não sobe.
