![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid mit HTTPS-Filterung + Technologie des Single Sign-On (SSO) mit Filterung nach Active Directory-Gruppen<\/p>\n
In dem Unternehmen entstand die Notwendigkeit, einen Proxy-Server einzuf\u00fchren, der den Zugriff auf Websites (einschlie\u00dflich HTTPS) nach Gruppen aus AD filtert, sodass die Benutzer keine zus\u00e4tzlichen Passw\u00f6rter eingeben m\u00fcssen und die Verwaltung \u00fcber eine Webschnittstelle erfolgen kann. Eine nicht schlechte Anfrage, oder?<\/p>\n
Die richtige Antwort w\u00e4re gewesen, L\u00f6sungen wie Kerio Control oder UserGate zu kaufen, aber wie immer gibt es nicht genug Geld, w\u00e4hrend der Bedarf besteht.<\/p>\n
Hier kommt uns das gute alte Squid zu Hilfe, aber woher bekommen wir die Webschnittstelle? SAMS2? Moralisch veraltet. Hier kommt pfSense ins Spiel.<\/p>\n
In diesem Artikel wird beschrieben, wie man den Proxy-Server Squid konfiguriert.
\nZur Authentifizierung der Benutzer wird Kerberos verwendet.
\nZur Filterung nach Domain-Gruppen wird SquidGuard eingesetzt.<\/p>\n
Zur \u00dcberwachung werden Lightsquid, sqstat und interne Monitoring-Systeme von pfSense verwendet. Als Grundlage wird pfSense verwendet, Installationsanleitung.<\/a><\/p>\n In dessen Rahmen organisieren wir die Authentifizierung am Firewall mit Dom\u00e4nenkonten. Anleitung.<\/a><\/p>\n Sehr wichtig!<\/p>\n Vor der Installation von Squid muss DNS Server<\/a> in pfSense konfiguriert werden, ein A-Eintrag und PTR-Eintr\u00e4ge auf unserem DNS-Server erstellt werden, und NTP so eingerichtet werden, dass die Zeit mit der Zeit des Domaincontrollers synchronisiert ist.<\/p>\n Und in Ihrem Netzwerk sollte das WAN-Interface von pfSense Zugang zum Internet haben, w\u00e4hrend Benutzer im lokalen Netzwerk sich mit dem LAN-Interface verbinden, auch \u00fcber die Ports 7445 und 3128 (in meinem Fall 8080).<\/p>\n Alles bereit? Die Verbindung zum Domain-Server per LDAP zur Authentifizierung in pfSense ist hergestellt und die Zeit ist synchronisiert? Ausgezeichnet. Es ist Zeit, mit dem Hauptprozess zu beginnen.<\/p>\n Wir installieren Squid, SquidGuard und LightSquid \u00fcber den Paketmanager von pfSense im Abschnitt \u201eSystem\/Paketmanager\u201c.<\/p>\n Nach erfolgreicher Installation wechseln wir zu \u201eDienste\/Squid Proxy-Server\u201c und konfigurieren zun\u00e4chst im Tab \u201eLocal Cache\u201c den Cache. Ich habe alles auf 0 gesetzt, da ich keinen besonderen Sinn darin sehe, Websites zu cachen, damit kommen auch die Browser gut klar. Nach der Einrichtung klicken wir auf die Schaltfl\u00e4che \u201eSpeichern\u201c am unteren Bildschirmrand, damit k\u00f6nnen wir die grundlegenden Proxy-Einstellungen vornehmen.<\/p>\n Die grundlegenden Einstellungen bringen wir wie folgt:<\/p>\n Der Standardport ist 3128, aber ich bevorzuge es, 8080 zu verwenden.<\/p>\n Die gew\u00e4hlten Parameter im Tab \u201eProxy-Schnittstelle\u201c bestimmen, welche Schnittstellen unser Proxy abh\u00f6ren wird. Server<\/a>Da diese Firewall so konzipiert ist, dass sie \u00fcber die WAN-Schnittstelle ins Internet schaut, auch wenn LAN und WAN im selben lokalen Subnetz sein k\u00f6nnen, empfehle ich, f\u00fcr den Proxy die LAN-Schnittstelle zu verwenden.<\/p>\n Die LOOPBACK-Adresse ist f\u00fcr den Betrieb von sqstat erforderlich.<\/p>\n Unten finden Sie die Einstellungen f\u00fcr Proxy Transparent sowie den SSL-Filter, diese ben\u00f6tigen wir jedoch nicht. Unser Proxy wird nicht transparent sein, und f\u00fcr die https-Filterung werden wir uns nicht um die Ersetzung des Zertifikats k\u00fcmmern (schlie\u00dflich haben wir Gesch\u00e4ftsabrechnungen, Bank-Clients usw.), sondern nur das Handshake beobachten.<\/p>\n In diesem Schritt m\u00fcssen wir zu unserem Dom\u00e4nencontroller wechseln und ein Konto zur Authentifizierung erstellen (man kann auch das Konto verwenden, das f\u00fcr die Authentifizierung von pfSense eingerichtet wurde). Ein wichtiger Faktor ist \u2014 falls Sie die Verschl\u00fcsselung AES128 oder AES256 verwenden m\u00f6chten \u2014 setzen Sie die entsprechenden H\u00e4kchen in den Kontoeinstellungen.<\/p>\n Falls Ihre Dom\u00e4ne ein sehr komplexer Wald mit einer gro\u00dfen Anzahl von Verzeichnissen ist oder Ihre Dom\u00e4ne .local ist, m\u00fcssen Sie M\u00d6GLICHERWEISE, aber nicht sicher, ein einfaches Passwort f\u00fcr dieses Konto verwenden. Ein bekannter Bug, aber mit einem komplexen Passwort kann es m\u00f6glicherweise einfach nicht funktionieren, dies muss im konkreten Einzelfall \u00fcberpr\u00fcft werden.<\/p>\n Nachdem wir das alles erledigt haben, erstellen wir die Schl\u00fcsseldatei f\u00fcr Kerberos, \u00f6ffnen die Eingabeaufforderung mit Administratorrechten auf dem Dom\u00e4nencontroller und geben Folgendes ein:<\/p>\n Dabei geben wir unseren FQDN pfSense an und achten auf die Gro\u00dfschreibung, im Parameter mapuser geben wir unser Dom\u00e4nenkonto und dessen Passwort ein, und bei crypto w\u00e4hlen wir die Verschl\u00fcsselungsmethode aus; ich habe rc4 f\u00fcr die Arbeit verwendet, und im Feld -out w\u00e4hlen wir aus, wo wir unsere fertige Schl\u00fcsseldatei speichern. Jetzt k\u00f6nnen wir die Datei \/etc\/krb5.conf bearbeiten\/erstellen.<\/p>\n wobei \/etc\/krb5.keytab die von uns erstellte Schl\u00fcsseldatei ist.<\/p>\n \u00dcberpr\u00fcfen Sie unbedingt die Funktionalit\u00e4t von Kerberos mit kinit. Wenn es nicht funktioniert, macht es keinen Sinn, weiterzulesen.<\/p>\n Nachdem wir Kerberos erfolgreich konfiguriert haben, werden wir es an unser Squid anh\u00e4ngen.<\/p>\n Gehen Sie dazu zu Dienste - Squid Proxy-Server und scrollen Sie im Hauptbereich bis ganz nach unten, dort finden wir die Schaltfl\u00e4che \u201eErweiterte Einstellungen\u201c.<\/p>\n Geben Sie im Feld Benutzerdefinierte Optionen (Vor Authentifizierung) ein:<\/p>\n u\u0434e auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2013 w\u00e4hlt den ben\u00f6tigten Kerberos-Authentifizierungshelfer aus.<\/p>\n Schl\u00fcssel -s<\/i> mit dem Wert GSS_C_NO_NAME<\/i> \u2013 bestimmt die Verwendung eines beliebigen Kontos aus der Schl\u00fcsseldatei.<\/p>\n Schl\u00fcssel -k<\/i> mit dem Wert \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2013 gibt an, dass genau diese Keytab-Datei verwendet wird. In meinem Fall handelt es sich um die gleiche Keytab-Datei, die wir erstellt haben, die ich in das Verzeichnis \/usr\/local\/etc\/squid\/ kopiert und umbenannt habe, da Squid mit diesem Verzeichnis nicht zusammenarbeiten wollte, scheinbar fehlten die Rechte.<\/p>\n Schl\u00fcssel -t<\/i> mit dem Wert -t none<\/i> \u2013 deaktiviert zyklische Anfragen an den Domaincontroller, was die Belastung verringert, wenn Sie mehr als 50 Benutzer haben. Whatsapp wird nicht umsonst als Beispiel verwendet \u2013 es ist sehr w\u00e4hlerisch, wenn es um Proxys mit Authentifizierung geht und funktioniert nicht, wenn es nicht vor der Authentifizierung erlaubt ist. Wir gehen zu Dienste > SquidGuard Proxy Filter.<\/p>\n In LDAP-Optionen geben wir die Daten unseres Kontos ein, das f\u00fcr die Kerberos-Authentifizierung verwendet wird, aber im folgenden Format:<\/p>\n Wenn es Leerzeichen und\/oder nicht-lateinische Zeichen gibt, sollten wir diesen Eintrag in einfache oder doppelte Anf\u00fchrungszeichen setzen:<\/p>\n Als n\u00e4chstes setzen wir unbedingt diese H\u00e4kchen:<\/p>\n
\nAu\u00dferdem wird ein h\u00e4ufiges Problem gel\u00f6st, das mit der Einf\u00fchrung der Single Sign-On (SSO)-Technologie verbunden ist, n\u00e4mlich Anwendungen, die versuchen, mit dem Systembenutzer im Internet zu surfen.
\n<\/a><\/p>\nVorbereitung zur Installation von Squid<\/h4>\n
Installation und Vorabkonfiguration<\/h4>\n
![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nNach der erfolgreichen Erstellung der Schl\u00fcsseldatei werden wir sie auf unser pfSense senden. Ich habe daf\u00fcr Far verwendet, aber es kann auch \u00fcber Befehle, Putty oder \u00fcber die Webschnittstelle von pfSense im Bereich \u201eDiagnose - Kommandozeile\u201c durchgef\u00fchrt werden.<\/p>\n![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nEinrichtung der Authentifizierung von Squid und der Zugriffsliste ohne Authentifizierung.<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nF\u00fcr die Testzeit kann auch der Schl\u00fcssel -d hinzugef\u00fcgt werden \u2013 d.h. Diagnose, es werden mehr Protokolle ausgegeben.
\nauth_param negotiate children 1000<\/i> \u2013 legt fest, wie viele gleichzeitige Authentifizierungsprozesse gestartet werden k\u00f6nnen.
\nauth_param negotiate keep_alive on<\/i> \u2013 verhindert, dass die Verbindung w\u00e4hrend der Abfrage der Authentifizierungskette abgebrochen wird.
\nacl auth proxy_auth REQUIRED<\/i> \u2013 erstellt und verlangt eine Zugangskontrollliste, die Benutzer umfasst, die sich authentifiziert haben.
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2013 informiert Squid \u00fcber die Zugriffsliste nonauth, in der Ziel-Domains enthalten sind, auf die immer allen Zugriff gew\u00e4hrt wird. Die Datei erstellen wir und tragen die Domains im Format ein.<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2013 erlaubt den Zugriff auf diese Liste f\u00fcr alle.
\nhttp_access deny !auth<\/i> \u2013 verweigert nicht authentifizierten Benutzern den Zugriff auf andere Sites.
\nhttp_access allow auth<\/i> \u2014 den autorisierten Benutzern den Zugriff erlauben.
\nAlles, der Squid ist bei Ihnen eingerichtet, jetzt ist es an der Zeit, mit der Filterung nach Gruppen zu beginnen.<\/p>\nSquidGuard Konfiguration<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n