Squid 3.3.10 para pfsense 2.0 e 2.1 com filtro de SSL/HTTPS
-
estou tendo um problema parecido com o do rogercwb
php: swapstate_check.php: The command '/usr/pbi/squid-i386/sbin/squid -k kill -f /usr/pbi/squid-i386/etc/squid/squid.conf' returned exit code '1', the output was 'squid: ERROR: No running copy'
em seguida
Jul 3 08:19:24 php: rc.filter_configure_sync: SQUID is installed but not started. Not installing "filter" rules.
Jul 3 08:19:24 php: rc.filter_configure_sync: SQUID is installed but not started. Not installing "pfearly" rules.
Jul 3 08:19:23 php: rc.filter_configure_sync: SQUID is installed but not started. Not installing "nat" rules.ao verificar o meu SQUID esta parado, e eu tendo que ir a tela de configurações e clicar em SALVAR, volta a funcionar perfeitamente. Utilizo o Squid com Squidguard+SSL, notei que existe uma tarefa no cron rodando todo dia as 00:00:00
/usr/local/pkg/swapstate_check.php clean; /usr/pbi/squid-i386/sbin/squid -k rotate -f /usr/pbi/squid-i386/etc/squid/squid.conf
e percebo que ao rodar a tarefa geram os erros acima e para meu SQUID, ja tentei várias dicas em tópicos com problemas parecidos mas sem sucesso…
se alguém tiver uma dica agradeço!
-
Bom dia Pessoal do fórum e Marcelo!
Tudo bem?Marcelo,
Sou novato no forum porem ja acompanho seu trabalho fazem algumas semanas. Antes de mais nada, OBRIGADO pelo que já fez aqui! =)
Excelente trabalho!Mas vamos lá. Adianto que sou um cara que conhece razoavelmente bem sobre TCP/IP.
Meu intuito aqui é somente entender o comportamento do pfsense, pois esta sim é uma ferramenta mais nova para mim. Porém, se mostrou muito confiável.Bom, configurei meu FW com Squid+Squiguard com filtro de SSL de forma transparente. Funcionando perfeitamente bem.
Instalei as libs adicionais solicitadas, adicionei as famosas linhas na "Custom ACLS", e instalei o certificado nas estações para evitar o erro no navegador. Versões: pfsense (2.1.3-RELEASE (amd64), Squid3-dev (3.3.10 pkg 2.2.6) e Squidguard-squid3 (1.4_4 pkg v.1.9.5).Meu problema é que não consigo BYPASSAR o Dropbox nessa história. Fiz regra no firewall liberando todos os CIDR do Dropbox que peguei aqui
(http://bgp.he.net/search?search[search]=dropbox&commit=Search).
Não funcionou.Após peguei esta mesma lista e coloquei nas configs do "Proxy Server". Funcionou parcial. O dropbox oscila sincronizando e depois dá erro.
Enfim, gostaria de saber como devo contornar essa situação. Se tiveres uma luz me passe!! rsrs
Obrigado!
Estou às ordens! =)Gustavo
-
Olá, estou com problema de certificado quando ativo o https no proxy server.
Fiz tudo certinho umas 10 vezes pra garantir.
Mesmo criando o certificado em CA e depois em certificado server, baixo o CA instalo na raiz confiavel limpo os cookies mas não da certo.
Ao tentar abrir qualquer site HTTPS da erro de certificado mas o ip do firewall exibi como confiavel.
Oque poderia ser?Segue os print.
-
Olá tehzzari,
Você viu esse tópico?https://forum.pfsense.org/index.php?topic=62263.msg409514#msg409514
Coloque estas acl no campo Custom ACLS (Before_Auth), no squid3 - Custom Settings
always_direct allow all ssl_bump server-first all
Talvez seja isso.
At.
-
@Márcio:
Olá tehzzari,
Você viu esse tópico?https://forum.pfsense.org/index.php?topic=62263.msg409514#msg409514
Coloque estas acl no campo Custom ACLS (Before_Auth), no squid3 - Custom Settings
always_direct allow all ssl_bump server-first all
Talvez seja isso.
At.
Obrigado Márcio só faltou funcionar o gmail sera que tem solução?
Adicionar na White list resolve? -
@Márcio:
Olá tehzzari,
Você viu esse tópico?https://forum.pfsense.org/index.php?topic=62263.msg409514#msg409514
Coloque estas acl no campo Custom ACLS (Before_Auth), no squid3 - Custom Settings
always_direct allow all ssl_bump server-first all
Talvez seja isso.
At.
Obrigado Márcio só faltou funcionar o gmail sera que tem solução?
Adicionar na White list resolve?Manipulação de White List e Black faz toda pelo squidguard.
-
thezzari… depois de tudo isso tente limpar o histórico de navegação completo tudo... o gmail tem esses piseiros mesmo... falow
-
Bom dia Marcelo,
Fiz o passo a passo correto e está funcionando.
Tenho apenas um problema: Mesmo após importar o certificado gerado no pfSense nos navegadores, sempre que tento acessar uma url que utiliza protocolo https, aparece o aviso de certificado não confiável.
O que pode estar ocorrendo?
Parabens pelo post!
-
Isso acontece com todos navegadores ? ser for o mozilla deverá ser importado internamente por dentro dele mesmo…. ???
-
Estou tendo problema com alguns sites em HTTPS
Está dando erro de certificado.
-
Olá pessoal,
Comigo ocorre a mensagem de certificado não confiável em todos os navegadores (Firefox, Chrome e I.E)
Importei o certificado em ambos e coloquei dentro de certificados confiáveis.
Detalhe > Utilizo 2.1.4-RELEASE (amd64) mas utilizei os arquivos específicos conforme plataforma.
Alguém conseguio solucionar este problema?
Desde já agradeço por todos que postaram a respeito!
Att,
-
pode ser o algoritmo de criptografia do certificado que pode da incompatibilidade com alguns sites.
-
Alguma maneira de mostrar pagina de erro para as páginas https ?
-
Alguma maneira de mostrar pagina de erro para as páginas https ?
diz que o certificado está incorreto e blah blah.. eu tenho só no trabalho, hoje é feriado aqui !
-
@JuniorAndrade:
Alguma maneira de mostrar pagina de erro para as páginas https ?
diz que o certificado está incorreto e blah blah.. eu tenho só no trabalho, hoje é feriado aqui !
Isso mesmo, quando puder, poste aqui blz ?
-
Boa tarde, segui todo o procedimento e está funcionando bacana, porém no internet explorer não confia no certificado mesmo após a instalação no repositório de certificados confiáveis.
Alguém que tenha conseguido configurar perfeitamente poderia me ajudar ?
Estou usando a versão do pfsense 2.1.4 e as últimas versões dos pacotes do squid3-dev e squidguard-dev.Att,
Alexandre Barbosa -
Boa tarde, segui todo o procedimento e está funcionando bacana, porém no internet explorer não confia no certificado mesmo após a instalação no repositório de certificados confiáveis.
Alguém que tenha conseguido configurar perfeitamente poderia me ajudar ?
Estou usando a versão do pfsense 2.1.4 e as últimas versões dos pacotes do squid3-dev e squidguard-dev.Att,
Alexandre BarbosaJá tentou limpar o cache do navegador ? Qual foi o outro navegador que testou e funcionou ?
-
João Batista,
Segui o tutoria do youtube, tudo certo por aqui… agora é fazer demais configurações.
-
-
Estou com problemas ao liberar alguns sites do governo, ja importei o certificado em autoridade certificadora confiavel e mesmo assim alguns sites nao entram, da erro. Se alguem puder ajudar. Segue print do erro e do squid.
isso mesmo ! mesmo eu colocando na autoridade raiz. não vai.
-
delay pool vai conseguir limitar banda das extensões a baixo com interceptação de ssl/https?
#### Por rede ##### acl admin url_regex -i 192.168.1 #Limiar a velocidade por urls atravez de uma lista acl lento url_regex -i "/etc/squid/urls/lento" # Limitar por extensões acl extensoes url_regex -i .exe .mp3 .vqf .tar.gz .gz .rpm .zip .rar .avi .mpeg .mpe .mpg .qt .ram .rm .iso .raw .wav .mov # Definimos a seguir a quantidade de Pools (pool são as acls criadas acima) delay_pools 3 # Definimos a classe a qual cada Delay pool pertence, deve haver uma classe # para cada pool (acl) delay_class 1 2 # Aqui definiremos a velociade de nossa conexão # Composto por # delay_parameters (delay pool) total de banda (rede) total de banda (por usuário) delay_parameters 1 5000 /5000 5000/5000 delay_class 2 2 delay_parameters 2 5000/5000 5000/5000 delay_class 3 2 delay_parameters 3 1000/1000 1000/1000 #### No exemplo acima determinamos a velocidade em bits/sengundo 5000 (5kb/s) #### 5000/5000 o primeiro valor corresponde ao restore que é o total de dados que pode #### trafegar por segundo. O segundo valor é número máximo de bits por segundo #### que podem trafegar ### Permite/Nega as as acl's criadas anteriormente ######################## # Delay_access - Determina em qual delay pool uma requisição será encaixada. # ######################################################################### delay_access 1 allow casa delay_access 2 allow lento delay_access 3 allow extensoes #### Nega tudo que nao tiver nas acl's never_direct allow all
-
-
Boa tarde.
O procedimento para instalação ainda é o mesmo? Tenho que efetuar os procedimentos informados pelo Marcelo nos primeiros posts?
Grato
-
Boa tarde pessoal, fiz todos os procedimentos para bloqueio dos sites https na rede, conforme o video https://www.youtube.com/watch?v=neXcYtFDRLA , instalei o certificado em todas as maquinas, conforme o mesmo. Tudo esta quase perfeito, mas assim que coloquei em todas as maquinas(200 mais ou menos) começaram os problemas.
Alguns sites não abrem pelo Chrome, aparece um "erro de conexão SSL", por qualquer navegador!
O pessoal do Marketing aqui na empresa fazem muitas pesquisas e as vezes eles digitam algo no google e dá o mesmo erro, "erro de conexão SSL"!
Alguém poderia me dar uma dica? pois já liberei o IP na "Unrestricted IPs" do Squid e mesmo assim faz a mesma coisa.
Outro detalhe é o WhatsApp, o pessoal conseguie mandar mensagens normalmente, mas quando vão enviar imagens, não envia, da erro!2.1.4-RELEASE (amd64)
squid3-dev 3.3.10 pkg 2.2.6
squidGuard-squid3 1.4_4 pkg v.1.9.5 -
Alguem conseguiu resolver problemas de conexão com aplicativos web, tipo esse do site do sintegra que redireciona para o site do sefaz, onde tem um app … ????
-
Boa tarde pessoal, fiz todos os procedimentos para bloqueio dos sites https na rede, conforme o video https://www.youtube.com/watch?v=neXcYtFDRLA , instalei o certificado em todas as maquinas, conforme o mesmo. Tudo esta quase perfeito, mas assim que coloquei em todas as maquinas(200 mais ou menos) começaram os problemas.
Alguns sites não abrem pelo Chrome, aparece um "erro de conexão SSL", por qualquer navegador!
O pessoal do Marketing aqui na empresa fazem muitas pesquisas e as vezes eles digitam algo no google e dá o mesmo erro, "erro de conexão SSL"!
Alguém poderia me dar uma dica? pois já liberei o IP na "Unrestricted IPs" do Squid e mesmo assim faz a mesma coisa.
Outro detalhe é o WhatsApp, o pessoal conseguie mandar mensagens normalmente, mas quando vão enviar imagens, não envia, da erro!2.1.4-RELEASE (amd64)
squid3-dev 3.3.10 pkg 2.2.6
squidGuard-squid3 1.4_4 pkg v.1.9.5Boa tarde.
O procedimento para instalação ainda é o mesmo? Tenho que efetuar os procedimentos informados pelo Marcelo nos primeiros posts?
Grato
Olá bom dia,
Você leu todo o topico, tem varios assuntos relacionado ao seu problema.https://forum.pfsense.org/index.php?topic=62263.msg409514#msg409514
-
Você quer dizer sobre isso:
always_direct allow all
ssl_bump server-first alljá coloquei essas configurações conforme, mas ainda continua dando erros, agora quando vai abrir o google, sempre dá esse erro de SSL.
Fiz o teste desabilitando o SquidGuard e parou de dar o erro! -
Alguém teve problemas com o gmail, tanto no chrome ou no IE sempre dá erro no certificado… mesmo com as configurações indicadas...
-
Alguém teve problemas com o gmail, tanto no chrome ou no IE sempre dá erro no certificado… mesmo com as configurações indicadas...
estou tentando resolver esse erro de certificado.. da em alguns sites !
acho que é o tipo de algoritmo para criptografar .. estou tentando .
-
-
Eu só consigo abrir o Gmail se digitar https://accounts.google.com, exatamente assim, https://gmail.com, não vai!
Quanto aos erros de "Conexão SSL" acho que resolvi, pelo menos por enquanto!
Tirei todos os ips da "Whitelist" do Squid, depois verifiquei nos logs do Firewall que os ips tentavam acessar a porta 3128 do firewall, como eu desabilitei a regra de acesso total nas "Rules", então tenho que ir liberando cada porta conforme precisa, portanto tinha liberado apenas a 80, 8080 e 443 para navegação, assim liberei a 3128 e 3128 para acessar no firewall e fucionou!
Vamos ver agora como mantém, to até com medo de receber uma ligação do pessoal! "Meu Google esta dando um erro de SSL" :'(Obrigado por enquanto….
-
Fala galera tudo blza?
Sou novato no no pfsense e tenho uma duvida…
Realizei as configurações conforme o tópico e está filtrando e bloqueando as páginas em https como eu gostaria no navegador...
Agora os programas fora do navegador por exemplo :O virtualbox e o google drive(aquele que instala no micro) não conectam...
estranho porque o googledrive e o virtualbox pelo navegador funcionam tranquilo...Meu proxy está configurado como proxy transparente..
Se alguem puder dar uma ajuda...
Agradeço desde já
abraço
-
Fala galera tudo blza?
Sou novato no no pfsense e tenho uma duvida…
Realizei as configurações conforme o tópico e está filtrando e bloqueando as páginas em https como eu gostaria no navegador...
Agora os programas fora do navegador por exemplo :O virtualbox e o google drive(aquele que instala no micro) não conectam...
estranho porque o googledrive e o virtualbox pelo navegador funcionam tranquilo...Meu proxy está configurado como proxy transparente..
Se alguem puder dar uma ajuda...
Agradeço desde já
abraço
Tudo jóia! Seja bem vindo :D
De uma olhada nos logs do firewall, veja se não está bloqueando algo…
-
Fala galera tudo blza?
Sou novato no no pfsense e tenho uma duvida…
Realizei as configurações conforme o tópico e está filtrando e bloqueando as páginas em https como eu gostaria no navegador...
Agora os programas fora do navegador por exemplo :O virtualbox e o google drive(aquele que instala no micro) não conectam...
estranho porque o googledrive e o virtualbox pelo navegador funcionam tranquilo...Meu proxy está configurado como proxy transparente..
Se alguem puder dar uma ajuda...
Agradeço desde já
abraço
Tudo jóia! Seja bem vindo :D
De uma olhada nos logs do firewall, veja se não está bloqueando algo…
Opa corrigindo eu escrevi no topico virtualbox na verdade é dropbox… derrrr
desculpa a ignorância minha amigo mais aonde eu vejo os logs?
aaa outra coisa eu não fiz nenhuma regra , está aquele por padrão que vem que libera tudo...
muito obrigado pela atenção...
-
Eu não uso Google Drive, mas cheguei a instalar para testar e realmente não funciona, conforme imagens, não aparece nada no firewall, muito menos nos logs do Squid e SquidGuard:
Cheguei a digitar o comando netstat -abonp "tcp" para ver na maquina qual as portas utilizadas por ele, vejam que aparece na maquina a porta "443"
O Mesmo acontece com o Whats App, o pessoal consegue conversar normalmente, mas não envia ou recebe nenhuma imagem ou video mesmo liberando o ip do celular e/ou Roteador e também não aparece nos logs, conforme imagens ele simplesmente dá um erro no envio das imagens.
-
Olá Marcelo,
Estamos implantando esta versão do squid3-dev no meu local de trabalho e gostaria de tirar algumas dúvidas…
Este pacote, trabalhando juntamente com o SquidGuard3 se encontra apto pra utilização em uma rede de tamanho médio, em torno de 150 computadores?
Eu não consegui fazer o certificado perfeitamente no Google Chrome, quando digitamos https://gmail.com apresenta uma página dizendo que não foi possível conectar ao gmail.com real... É alguma configuração errada? Nos demais navegadores não tenho tido este problema...
oi tudo bem pra mim consigo entrar todos os sites menos o gmail ele da esse erro ai que nao foi possivel conectar
como vc resolveu nao entendi muito obrigadoÉ preciso copiar aquelas bibliotecas para o funcionamento do squid3-dev no pfSense 2.1.3 amd64?
Quando o usuário loga no captive portal e o método de autenticação no Squid é o CaptivePortal, o usuário ao mesmo tempo faz login no Squid?
Grato pela atenção e ajuda!
Parabéns pelo trabalho! -
Eu não uso Google Drive, mas cheguei a instalar para testar e realmente não funciona, conforme imagens, não aparece nada no firewall, muito menos nos logs do Squid e SquidGuard:
Cheguei a digitar o comando netstat -abonp "tcp" para ver na maquina qual as portas utilizadas por ele, vejam que aparece na maquina a porta "443"
O Mesmo acontece com o Whats App, o pessoal consegue conversar normalmente, mas não envia ou recebe nenhuma imagem ou video mesmo liberando o ip do celular e/ou Roteador e também não aparece nos logs, conforme imagens ele simplesmente dá um erro no envio das imagens.
então amigo como eu uso proxy transparente…se eu coloco o ip da maquina para ignorar o squid( naquela opção bypass do squid) nas configurações do mesmo pelo ip... ele funciona normal todos os programas... mais como não passa pelo proxy não tenho controle do mesmo... então acredito eu que seja alguma configuração no squid mesmo...
Valew pelo apoio aew!!
abrass
-
Boas,
Não cosigo por o squidguard a funcionar.
Ele nao arranca.Alguma ideia, tenho o squid3 a funcionar.
Cumprimentos
Rui -
Boas,
Não cosigo por o squidguard a funcionar.
Ele nao arranca.Alguma ideia, tenho o squid3 a funcionar.
Cumprimentos
Ruicoloca em modo transparente :)
O Squidguard 3 ele funciona por demanda (Y)
só vai ativar quando sentir que está passando algum por ele.
reveja suas configurações do squid.
-
Aparentemente o squid está bloqueando o acesso porém não está retornando a msg de erro do squid.
- HIER_NONE/- text/html 1406315187.610 0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html 1406315187.612 1 10.0.0.1 NONE/400 4098 NONE error:invalid-request - HIER_NONE/- text/html 1406315187.616 0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html 1406315187.616 0 10.0.0.1 NONE/400 4098 NONE error:invalid-request - HIER_NONE/- text/html 1406315187.619 0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html 1406315187.619 0 10.0.0.1 NONE/400 4092 NONE error:invalid-request - HIER_NONE/- text/html 1406315187.622 0 10.0.0.1 TCP_DENIED/403 3470 CONNECT 173.194.118.215:443 - HIER_NONE/- text/html
Segue print das configurações do squid.
É uma vm que estou usando para testes, está rodando apenas o squid3-dev.