![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid mit HTTPS-Filterung + Single Sign-On (SSO) Technologie mit Gruppenfilterung aus Active Directory<\/p>\n
In dem Unternehmen entstand die Notwendigkeit, einen Proxy-Server zu implementieren, der den Zugriff auf Websites (einschlie\u00dflich HTTPS) anhand von Gruppen aus AD filtert, sodass Benutzer keine zus\u00e4tzlichen Passw\u00f6rter eingeben m\u00fcssen und die Verwaltung \u00fcber eine Web-Oberfl\u00e4che erfolgen kann. Eine interessante Herausforderung, nicht wahr?<\/p>\n
Die richtige Antwort w\u00e4re gewesen, L\u00f6sungen wie Kerio Control oder UserGate zu kaufen, aber wie so oft gibt es kein Geld, aber eine vorhandene Nachfrage.<\/p>\n
Hier kommt uns der altbew\u00e4hrte Squid zur Hilfe, aber woher bekommen wir die Web-Oberfl\u00e4che? SAMS2? Ist moralisch \u00fcberholt. Hier kommt pfSense ins Spiel.<\/p>\n
In diesem Artikel wird beschrieben, wie man den Proxy-Server Squid einrichtet.
\nZur Authentifizierung der Benutzer wird Kerberos verwendet.
\nF\u00fcr die Filterung anhand von Gruppen wird SquidGuard eingesetzt.<\/p>\n
Zur \u00dcberwachung kommen Lightsquid, sqstat und die internen \u00dcberwachungssysteme von pfSense zum Einsatz. Basis wird pfSense sein, Installationsanleitung.<\/a><\/p>\n In diesem werden wir die Authentifizierung des Routers selbst mittels Dom\u00e4nenanmeldungen organisieren. Anleitung.<\/a><\/p>\n Sehr wichtig!<\/p>\n Bevor Sie mit der Installation von Squid beginnen, m\u00fcssen Sie DNS Server<\/a> in pfSense konfigurieren, einen A-Eintrag und PTR-Eintr\u00e4ge auf unserem DNS-Server erstellen und NTP so einstellen, dass die Zeit mit der des Domaincontrollers \u00fcbereinstimmt.<\/p>\n Und in Ihrem Netzwerk sollte es dem WAN-Interface von pfSense erlaubt sein, ins Internet zu gelangen, w\u00e4hrend die Benutzer im lokalen Netzwerk auf das LAN-Interface zugreifen k\u00f6nnen, auch \u00fcber die Ports 7445 und 3128 (in meinem Fall 8080).<\/p>\n Ist alles bereit? Die Verbindung zur Domain \u00fcber LDAP zur Authentifizierung in pfSense ist hergestellt und die Zeit ist synchronisiert? Gro\u00dfartig. Zeit, mit dem Hauptprozess zu beginnen.<\/p>\n Squid, SquidGuard und LightSquid werden aus dem Paketmanager von pfSense im Abschnitt \u201eSystem\/Paketmanager\u201c installiert.<\/p>\n Nach der erfolgreichen Installation gehen wir zu \u201eDienste\/Squid Proxy-Server\u201c und konfigurieren zuerst im Tab Lokaler Cache das Caching. Ich habe alles auf 0 gesetzt, da ich keinen besonderen Sinn darin sehe, Websites zu cachen; das erledigen die Browser hervorragend. Nach der Konfiguration dr\u00fccken wir die \u201eSpeichern\u201c-Taste unten auf dem Bildschirm, was uns erm\u00f6glicht, die grundlegenden Proxy-Einstellungen vorzunehmen.<\/p>\n Die Grundeinstellungen sind wie folgt:<\/p>\n Der Standardport ist 3128, aber ich bevorzuge die Verwendung von 8080.<\/p>\n Die gew\u00e4hlten Optionen im Tab Proxy-Schnittstelle bestimmen, welche Interfaces unser Proxy abh\u00f6ren wird. der Server<\/a>Da diese Firewall so aufgebaut ist, dass sie \u00fcber das WAN-Interface ins Internet schaut, empfehle ich, f\u00fcr den Proxy das LAN zu nutzen, selbst wenn LAN und WAN im selben lokalen Subnetz sein k\u00f6nnen.<\/p>\n Der Loopback ist f\u00fcr die Funktion von sqstat erforderlich.<\/p>\n Unten finden Sie die Einstellungen f\u00fcr den Transparenten (transparenten) Proxy sowie den SSL-Filter, aber die ben\u00f6tigen wir nicht; unser Proxy wird nicht transparent sein und f\u00fcr die HTTPS-Filterung werden wir keine Zertifikatsersetzung vornehmen (wir haben schlie\u00dflich Dokumentenverkehr, Bank-Kunden usw.), sondern nur das Handshake beobachten.<\/p>\n In diesem Schritt m\u00fcssen wir zu unserem Domain-Controller wechseln und ein Konto f\u00fcr die Authentifizierung erstellen (du kannst das Konto verwenden, das f\u00fcr die Authentifizierung auf pfSense eingerichtet wurde). Hier ist ein sehr wichtiger Punkt \u2013 wenn du AES128 oder AES256 Verschl\u00fcsselung verwenden m\u00f6chtest, setze die entsprechenden H\u00e4kchen in den Kontoeinstellungen.<\/p>\n Wenn deine Dom\u00e4ne ein sehr komplexer Wald mit vielen Verzeichnissen ist oder deine Dom\u00e4ne .local lautet, dann K\u00d6NNTE es sein, dass du f\u00fcr dieses Konto ein einfaches Passwort verwenden musst. Das ist ein bekannter Bug, aber mit einem komplexen Passwort k\u00f6nnte es einfach nicht funktionieren. Es muss in einem spezifischen Einzelfall \u00fcberpr\u00fcft werden.<\/p>\n Nachdem wir dies alles gemacht haben, erstellen wir die Schl\u00fcsseldatei f\u00fcr Kerberos. Auf dem Domain-Controller \u00f6ffnen wir die Eingabeaufforderung mit Administratorrechten und geben folgendes ein:<\/p>\n Dabei geben wir unseren FQDN von pfSense an, wobei wir unbedingt die Gro\u00df- und Kleinschreibung beachten. Im Parameter mapuser tragen wir unser Dom\u00e4nenkonto und dessen Passwort ein, und in crypto w\u00e4hlen wir die Verschl\u00fcsselungsmethode aus. Ich habe rc4 f\u00fcr die Arbeit verwendet, und im Feld -out w\u00e4hlen wir aus, wohin wir unsere fertige Schl\u00fcsseldatei schicken. Jetzt k\u00f6nnen wir die Datei \/etc\/krb5.conf bearbeiten\/erstellen.<\/p>\n wo \/etc\/krb5.keytab unsere von uns erstellte Schl\u00fcsseldatei ist.<\/p>\n Stellen Sie sicher, dass Kerberos mit kinit funktioniert. Wenn es nicht funktioniert, hat es keinen Sinn, weiterzulesen.<\/p>\n Nachdem wir Kerberos erfolgreich eingerichtet haben, integrieren wir es in unseren Squid.<\/p>\n Gehen Sie dazu zu Dienste - Squid Proxy Server und scrollen Sie im Bereich Grundeinstellungen nach unten, wo wir die Schaltfl\u00e4che \u201eErweiterte Einstellungen\u201c finden.<\/p>\n Im Feld Benutzerdefinierte Optionen (Vor der Authentifizierung) geben wir ein:<\/p>\n u\u0434\u0435 auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 w\u00e4hlt den ben\u00f6tigten Kerberos-Authentifizierungshelfer aus.<\/p>\n Der Schl\u00fcssel -s<\/i> mit dem Wert GSS_C_NO_NAME<\/i> \u2014 bestimmt die Verwendung eines beliebigen Kontos aus der Schl\u00fcsseldatei.<\/p>\n Der Schl\u00fcssel -k<\/i> mit dem Wert \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 legt fest, dass genau diese Keytab-Datei verwendet wird. In meinem Fall handelt es sich um dieselbe Keytab-Datei, die ich in das Verzeichnis \/usr\/local\/etc\/squid\/ kopiert und umbenannt habe, weil Squid mit diesem Verzeichnis offenbar nicht zurechtkam, wahrscheinlich fehlten die Berechtigungen.<\/p>\n Der Schl\u00fcssel -t<\/i> mit dem Wert -t none<\/i> \u2014 deaktiviert zyklische Anfragen an den Dom\u00e4nencontroller, was die Last auf ihn erheblich reduziert, wenn Sie mehr als 50 Benutzer haben. WhatsApp wird nicht ohne Grund als Beispiel verwendet \u2013 es ist sehr w\u00e4hlerisch bei Authentifizierungsproxies und funktioniert nicht, wenn es nicht vor der Authentifizierung erlaubt wird. Wir gehen zu Dienste > SquidGuard Proxy Filter.<\/p>\n In LDAP-Optionen geben wir die Daten unseres Kontos ein, das f\u00fcr die Kerberos-Authentifizierung verwendet wird, jedoch im folgenden Format:<\/p>\n Wenn Leerzeichen oder nicht-lateinische Zeichen vorhanden sind, sollte dieser Eintrag in einfache oder doppelte Anf\u00fchrungszeichen gesetzt werden:<\/p>\n Anschlie\u00dfend unbedingt diese H\u00e4kchen setzen:<\/p>\n
\nAuch ein h\u00e4ufiges Problem bei der Einf\u00fchrung der Single Sign-On (SSO)-Technologie wird gel\u00f6st, und zwar Anwendungen, die versuchen, mit den Anmeldedaten des Unternehmens ins Internet zu gelangen.
\n<\/a><\/p>\nVorbereitung zur Installation von Squid<\/h4>\n
Installation und erste Konfiguration<\/h4>\n
![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nNach der erfolgreichen Erstellung der Schl\u00fcsseldatei senden wir diese an unser pfSense. Ich habe daf\u00fcr Far verwendet, aber es kann auch \u00fcber Befehle, Putty oder \u00fcber die Weboberfl\u00e4che von pfSense im Bereich \u201eDiagnose - Eingabeaufforderung\u201c erfolgen.<\/p>\n![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nEinrichtung der Authentifizierung f\u00fcr Squid und der Zugriffsliste ohne Authentifizierung.<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nF\u00fcr Testzwecke k\u00f6nnen Sie auch den Schl\u00fcssel -d hinzuf\u00fcgen \u2013 d.h. Diagnostik, es werden mehr Protokolle ausgegeben.
\nauth_param negotiate children 1000<\/i> \u2014 legt fest, wie viele gleichzeitige Authentifizierungsprozesse gestartet werden k\u00f6nnen.
\nauth_param negotiate keep_alive on<\/i> \u2014 verhindert, dass die Verbindung w\u00e4hrend der Abfrage der Authentifizierungskette unterbrochen wird.
\nacl auth proxy_auth REQUIRED<\/i> \u2014 erstellt und fordert eine Zugriffssteuerungsliste an, die Benutzer umfasst, die sich authentifiziert haben.
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 informiert Squid \u00fcber die nonauth-Zugriffsliste, die Ziel-Dom\u00e4nen enth\u00e4lt, auf die allen immer Zugriff gew\u00e4hrt wird. Die Datei erstellen wir selbst und tragen darin die Dom\u00e4nen im Format ein.<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2013 Wir erlauben den Zugang zu dieser Liste f\u00fcr alle.
\nhttp_access deny !auth<\/i> \u2013 Wir verweigern unautorisierten Benutzern den Zugriff auf andere Websites.
\nhttp_access allow auth<\/i> \u2013 Wir erlauben autorisierten Benutzern den Zugang.
\nFertig, der Squid ist eingerichtet, jetzt ist es an der Zeit, mit der Gruppenfilterung zu beginnen.<\/p>\nEinrichtung von SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Kostenloser](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n