![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid med HTTPS-filtrering + Single Sign-On (SSO) teknologi med filtrering efter Active Directory-grupper<\/p>\n
Virksomheden havde behov for at implementere en proxyserver med mulighed for at filtrere adgang til websteder (herunder HTTPS) efter grupper i AD, s\u00e5 brugerne ikke skulle indtaste nogen ekstra adgangskoder, og administrationen kunne ske via webgr\u00e6nsefladen. Ikke en d\u00e5rlig foresp\u00f8rgsel, vel?<\/p>\n
En korrekt l\u00f8sning ville v\u00e6re at k\u00f8be l\u00f8sninger som Kerio Control eller UserGate, men ligesom altid, er pengene knappe, og behovet er der.<\/p>\n
Her kommer den gamle, gode Squid til unds\u00e6tning, men igen \u2013 hvor finder vi en webgr\u00e6nseflade? SAMS2? Det er for\u00e6ldet. Her kommer pfSense til hj\u00e6lp.<\/p>\n
I denne artikel vil m\u00e5den at konfigurere proxyserveren Squid blive beskrevet.
\nKerberos vil blive brugt til brugerautorisering.
\nSquidGuard vil blive anvendt til filtrering efter dom\u00e6negrupper.<\/p>\n
Lightsquid, sqstat og interne overv\u00e5gningssystemer fra pfSense vil blive brugt til overv\u00e5gning. Vi tager udgangspunkt i pfSense, Installationsvejledning.<\/a><\/p>\n Hvor vi organiserer autentifikation p\u00e5 selve firewallen ved hj\u00e6lp af dom\u00e6nekonti. Vejledning.<\/a><\/p>\n Meget vigtigt!<\/p>\n F\u00f8r installationen af Squid skal DNS server<\/a> i pfSense konfigureres, og der skal laves en A- og PTR-post p\u00e5 vores DNS-server samt konfigureres NTP, s\u00e5 tiden ikke afviger fra tiden p\u00e5 dom\u00e6nekontrolleren.<\/p>\n Og i dit netv\u00e6rk skal WAN-interfacet p\u00e5 pfSense have adgang til internettet, mens brugerne i det lokale netv\u00e6rk kan tilsluttes LAN-interfacet, herunder portene 7445 og 3128 (i mit tilf\u00e6lde 8080).<\/p>\n Er alt klar? Er forbindelsen til dom\u00e6net via LDAP for autorisation p\u00e5 pfSense etableret, og er tiden synkroniseret? Fremragende. Det er tid til at g\u00e5 i gang med hovedprocessen.<\/p>\n Vi vil installere Squid, SquidGuard og LightSquid fra pakkeh\u00e5ndtereren i pfSense under \"System\/Pakkemanager\".<\/p>\n N\u00e5r installationen er fuldf\u00f8rt, g\u00e5r vi til \u00abTjenester\/Squid Proxy server\/\u00bb og konfigurerer f\u00f8rst cache-indstillingerne under fanen Local Cache. Jeg satte alle v\u00e6rdier til 0, da jeg ikke ser nogen s\u00e6rlig mening i at cache websider, det klarer browsere fint. Efter konfigurationen trykker vi p\u00e5 \u00abGem\u00bb nederst p\u00e5 sk\u00e6rmen, og det giver os mulighed for at foretage de prim\u00e6re proxyindstillinger.<\/p>\n De grundl\u00e6ggende indstillinger justeres til f\u00f8lgende:<\/p>\n Standardporten er 3128, men jeg foretr\u00e6kker at bruge 8080.<\/p>\n De valgte parametre under fanen Proxy Interface bestemmer, hvilke interfaces vores proxy vil lytte p\u00e5. server<\/a>. Da denne firewall er konstrueret p\u00e5 en s\u00e5dan m\u00e5de, at den ser ud til internettet via WAN-interfacet, selvom LAN og WAN kan v\u00e6re i samme lokale subnet, anbefaler jeg at bruge LAN til proxyen.<\/p>\n Loopback er n\u00f8dvendig for at f\u00e5 sqstat til at fungere.<\/p>\n Nedenfor finder du indstillingerne for Transparent (gennemsigtig) proxy, samt SSL-filter, men de er ikke n\u00f8dvendige for os, da vores proxy ikke vil v\u00e6re gennemsigtig, og vi vil ikke h\u00e5ndtere udskiftning af certifikater (da vi har dokumenth\u00e5ndtering, bank- og klientsystemer osv.), men blot observere h\u00e5ndtrykket.<\/p>\n P\u00e5 dette trin skal vi g\u00e5 til vores dom\u00e6necontroller og oprette en konto til autentificering (man kan ogs\u00e5 bruge den, der er opsat til autentificering p\u00e5 selve pfSense). Her er en meget vigtig faktor \u2013 hvis du planl\u00e6gger at bruge AES128 eller AES256 kryptering, s\u00e5 s\u00f8rg for at s\u00e6tte de relevante markeringer i kontoinstillingerne.<\/p>\n Hvis dit dom\u00e6ne udg\u00f8r et ret komplekst skov med mange kataloger eller dit dom\u00e6ne er .local, s\u00e5 M\u00c5SKE, men ikke med sikkerhed, skal du bruge en simpel adgangskode til denne konto, en kendt bug, men med en kompleks adgangskode kan det bare ikke fungere, det skal testes i det specifikke tilf\u00e6lde.<\/p>\n Efter dette skal vi generere en n\u00f8glefil til Kerberos. \u00c5bn kommandoprompten som administrator p\u00e5 dom\u00e6necontrolleren og indtast f\u00f8lgende:<\/p>\n Hvor vi angiver vores FQDN pfSense, husk at overholde store og sm\u00e5 bogstaver, i parameteren mapuser indtaster vi vores dom\u00e6nekonto og dens adgangskode, og under crypto v\u00e6lger vi krypteringsmetoden, jeg brugte rc4 til arbejdet og under -out v\u00e6lger vi, hvor vi vil sende vores f\u00e6rdige n\u00f8glefil. Nu kan vi redigere eller oprette \/etc\/krb5.conf<\/p>\n hvor \/etc\/krb5.keytab er den n\u00f8glefil, vi har oprettet.<\/p>\n S\u00f8rg for at tjekke Kerberos' funktion med kinit; hvis det ikke virker, giver det ikke mening at l\u00e6se videre.<\/p>\n N\u00e5r vi har konfigureret Kerberos, binder vi det til vores Squid.<\/p>\n For at g\u00f8re dette skal du g\u00e5 til TjenesterSquid Proxy Server og i de grundl\u00e6ggende indstillinger rulle ned til bunden, hvor vi finder knappen \"Avancerede indstillinger\".<\/p>\n I feltet Custom Options (Before Auth) indtaster vi:<\/p>\n u\u0434\u0435 auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 v\u00e6lger den n\u00f8dvendige Kerberos autentificeringshelper.<\/p>\n N\u00f8gle -s<\/i> med v\u00e6rdien GSS_C_NO_NAME<\/i> \u2014 definerer brugen af hvilken som helst konto fra n\u00f8glefilen.<\/p>\n N\u00f8gle -k<\/i> med v\u00e6rdien \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 definerer, at denne keytab-fil specifikt skal anvendes. I mit tilf\u00e6lde er det den samme keytab-fil, som jeg kopierede til mappen \/usr\/local\/etc\/squid\/ og omd\u00f8bte, fordi Squid ikke kunne finde ud af at arbejde med den mappe af en eller anden grund.<\/p>\n N\u00f8gle -t<\/i> med v\u00e6rdien -t none<\/i> \u2014 deaktiverer cykliske foresp\u00f8rgsler til dom\u00e6nekontrolleren, hvilket kraftigt reducerer belastningen p\u00e5 den, hvis du har mere end 50 brugere. Whatsapp bruges ikke for ingenting som eksempel \u2014 den er meget kr\u00e6vende i forhold til proxyer med autentificering og vil ikke fungere, hvis den ikke tillades f\u00f8r autentificering. G\u00e5 til Tjenester > SquidGuard Proxy Filter.<\/p>\n I LDAP-indstillinger indtaster vi oplysningerne fra vores konto, der bruges til Kerberos autentificering, men i f\u00f8lgende format:<\/p>\n Hvis der er mellemrum eller ikke-latinske tegn, skal hele denne post placeres i enkelt- eller dobbelte citationstegn:<\/p>\n Derefter skal vi s\u00f8rge for at aktivere disse afkrydsningsfelter:<\/p>\n
\nDer vil ogs\u00e5 blive l\u00f8st et almindeligt problem relateret til implementeringen af teknologien for enkelt login (SSO), nemlig applikationer, der fors\u00f8ger at f\u00e5 adgang til internettet med den systembrugerkonto, de har.
\n<\/a><\/p>\nForberedelse til installation af Squid<\/h4>\n
Installation og forberedende konfiguration<\/h4>\n
![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nEfter vellykket oprettelse af n\u00f8glen vil vi sende den til vores pfSense. Jeg har brugt Far til dette, men det kan ogs\u00e5 g\u00f8res med kommandoer, putty eller via webgr\u00e6nsefladen i pfSense under \"DiagnoseKommandolinje\".<\/p>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nKonfiguration af autentificering af Squid og adgangsliste uden autentificering<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nUnder testen kan du ogs\u00e5 tilf\u00f8je n\u00f8glen -d \u2014 dvs. diagnosticering, flere logfiler vil blive genereret.
\nauth_param negotiate children 1000<\/i> \u2014 angiver hvor mange samtidige autentificeringsprocesser der kan k\u00f8res
\nauth_param negotiate keep_alive on<\/i> \u2014 forhindrer forbindelsen i at blive brudt under foresp\u00f8rgslen af autentificeringsk\u00e6den
\nacl auth proxy_auth REQUIRED<\/i> \u2014 opretter og kr\u00e6ver en adgangskontrol liste, der inkluderer brugere, der er blevet autentificeret
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 vi informerer Squid om nonauth adgangslisten, som indeholder m\u00e5ldom\u00e6ner, der altid vil have tilladelse til adgang for alle. Filen oprettes af os, og vi skriver dom\u00e6ner ind i den i formatet<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 giver adgang til denne liste til alle
\nhttp_access deny !auth<\/i> \u2014 n\u00e6gter ikke-autentificerede brugere adgang til andre websteder
\nhttp_access allow auth<\/i> \u2014 vi giver adgang til autoriserede brugere.
\nNu er selve squid konfigureret, og det er tid til at begynde at filtrere efter grupper.<\/p>\nKonfiguration af SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n