![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid con filtrado https + Tecnolog\u00eda de inicio de sesi\u00f3n \u00fanico (SSO) con filtrado por grupos de Active Directory<\/p>\n
La empresa necesitaba implementar un servidor proxy con la capacidad de filtrar el acceso a sitios web (incluido https) por grupos de AD, de manera que los usuarios no ingresaran contrase\u00f1as adicionales y la administraci\u00f3n pudiera realizarse desde una interfaz web. \u00bfNo suena bien?<\/p>\n
La respuesta correcta habr\u00eda sido comprar soluciones como Kerio Control o UserGate, pero como siempre no hay dinero y hay una necesidad.<\/p>\n
Aqu\u00ed es donde el buen viejo Squid nos viene al rescate, pero de nuevo, \u00bfd\u00f3nde conseguir una interfaz web? \u00bfSAMS2? Est\u00e1 moralmente obsoleto. Aqu\u00ed es donde pfSense nos ayuda.<\/p>\n
En este art\u00edculo se describir\u00e1 c\u00f3mo configurar el servidor proxy Squid.
\nSe utilizar\u00e1 Kerberos para la autenticaci\u00f3n de usuarios.
\nPara el filtrado por grupos de dominio, se utilizar\u00e1 SquidGuard.<\/p>\n
Para el monitoreo, se usar\u00e1n Lightsquid, sqstat y sistemas de monitoreo internos de pfSense. Tomaremos como base pfSense, Instrucciones de instalaci\u00f3n.<\/a><\/p>\n Dentro de \u00e9l, organizaremos la autenticaci\u00f3n en el propio cortafuegos con credenciales de dominio. Instrucciones.<\/a><\/p>\n \u00a1Es muy importante!<\/p>\n Antes de comenzar la instalaci\u00f3n de Squid, es necesario configurar el DNS servidores<\/a> en pfSense, crear un registro A y registros PTR en nuestro servidor DNS y configurar NTP para que la hora no difiera de la hora en el controlador de dominio.<\/p>\n Y en su red, permitir que la interfaz WAN de pfSense acceda a Internet, y que los usuarios en la red local se conecten a la interfaz LAN, incluidos los puertos 7445 y 3128 (en mi caso, 8080).<\/p>\n \u00bfTodo listo? \u00bfSe estableci\u00f3 la conexi\u00f3n con el dominio a trav\u00e9s de LDAP para la autorizaci\u00f3n en pfSense y est\u00e1 sincronizada la hora? Genial. Es hora de comenzar el proceso principal.<\/p>\n Instalaremos Squid, SquidGuard y LightSquid desde el administrador de paquetes de pfSense en la secci\u00f3n \u00abSistema \/ Administrador de paquetes\u00bb.<\/p>\n Despu\u00e9s de una instalaci\u00f3n exitosa, vamos a 'Servicios\/Squid Proxy server\/' y, primero, en la pesta\u00f1a de Cach\u00e9 Local, configuramos la cach\u00e9. Yo configur\u00e9 todo en 0, ya que no veo mucho sentido en almacenar en cach\u00e9 los sitios, los navegadores manejan eso bastante bien. Despu\u00e9s de la configuraci\u00f3n, hacemos clic en el bot\u00f3n 'Guardar' en la parte inferior de la pantalla, lo que nos permitir\u00e1 realizar los ajustes principales del proxy.<\/p>\n Las configuraciones principales las ajustamos de la siguiente manera:<\/p>\n El puerto por defecto es 3128, pero prefiero usar 8080.<\/p>\n Las opciones seleccionadas en la pesta\u00f1a Interfaz Proxy determinan qu\u00e9 interfaces escuchar\u00e1 nuestro proxy. servidor<\/a>. Dado que este cortafuegos est\u00e1 dise\u00f1ado para que se conecte a Internet a trav\u00e9s de la interfaz WAN, incluso si LAN y WAN pueden estar en la misma subred local, recomiendo usar lan para el proxy.<\/p>\n El bucle de retorno es necesario para el funcionamiento de sqstat.<\/p>\n A continuaci\u00f3n, encontrar\u00e1 la configuraci\u00f3n del proxy transparente y el filtro SSL, pero no los necesitamos. Nuestro proxy no ser\u00e1 transparente y, para la filtraci\u00f3n de https, no nos ocuparemos de sustituir el certificado (tenemos documentos, banco-clientes, etc.), s\u00f3lo observaremos el apret\u00f3n de manos.<\/p>\n En esta etapa, necesitamos acceder a nuestro controlador de dominio y crear una cuenta all\u00ed para la autenticaci\u00f3n (puede usar la que configur\u00f3 para la autenticaci\u00f3n de pfSense). Un factor muy importante aqu\u00ed es: si planea usar el cifrado AES128 o AES256, marque las casillas correspondientes en la configuraci\u00f3n de la cuenta.<\/p>\n Si su dominio es un bosque bastante complejo con muchos directorios o su dominio es .local, probablemente, pero no con certeza, tendr\u00e1 que usar una contrase\u00f1a sencilla para esta cuenta. Es un error conocido, pero con contrase\u00f1a compleja puede que simplemente no funcione, hay que verificar en un caso espec\u00edfico.<\/p>\n Despu\u00e9s de todo esto, generamos el archivo de claves para Kerberos. En el controlador de dominio, abrimos la l\u00ednea de comandos con derechos de administrador e introducimos:<\/p>\n Donde indicamos nuestro FQDN de pfSense, asegur\u00e1ndonos de respetar el caso. En el par\u00e1metro mapuser introducimos nuestra cuenta de dominio y su contrase\u00f1a, y en crypto seleccionamos el m\u00e9todo de cifrado. Yo us\u00e9 rc4 para trabajar y en el campo -out elegimos hacia d\u00f3nde enviaremos nuestro archivo de claves preparado. Ahora podemos editar crear \/etc\/krb5.conf<\/p>\n donde \/etc\/krb5.keytab es el archivo de claves que hemos creado.<\/p>\n Aseg\u00farate de verificar el funcionamiento de Kerberos usando kinit; si no funciona, no tiene sentido continuar leyendo.<\/p>\n Despu\u00e9s de configurar Kerberos, lo integraremos a nuestro Squid.<\/p>\n Para ello, ve a Servicios - Servidor Proxy Squid y en la configuraci\u00f3n principal despl\u00e1zate hasta el final, all\u00ed encontrar\u00e1s el bot\u00f3n 'Configuraci\u00f3n Avanzada'.<\/p>\n En el campo Opciones Personalizadas (Antes de la Autenticaci\u00f3n) ingresa:<\/p>\n u\u0434\u0435 auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 selecciona el helper de autenticaci\u00f3n Kerberos que necesitamos.<\/p>\n Clave -s<\/i> con el valor GSS_C_NO_NAME<\/i> \u2014 define el uso de cualquier cuenta del archivo de claves.<\/p>\n Clave -k<\/i> con el valor \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 establece el uso de este archivo keytab. En mi caso, es el mismo archivo keytab que formamos, que copi\u00e9 en el directorio \/usr\/local\/etc\/squid\/ y renombr\u00e9, porque a Squid no le gustaba ese directorio, probablemente por falta de permisos.<\/p>\n Clave -t<\/i> con el valor -t none<\/i> \u2014 desactiva las solicitudes c\u00edclicas al controlador de dominio, lo que reduce significativamente la carga si tienes m\u00e1s de 50 usuarios. Whatsapp no es solo un ejemplo \u2014 es muy exigente con los proxies con autenticaci\u00f3n y no funcionar\u00e1 si no se permite el acceso antes de la autenticaci\u00f3n. Vamos a Servicios SquidGuard Proxy Filter.<\/p>\n En las Opciones de LDAP, ingresamos los datos de nuestra cuenta utilizada para la autenticaci\u00f3n Kerberos, pero en el siguiente formato:<\/p>\n Si hay espacios o caracteres no latinos, toda esta entrada debe estar encerrada entre comillas simples o dobles:<\/p>\n A continuaci\u00f3n, asegur\u00e9monos de marcar estas casillas:<\/p>\n
\nTambi\u00e9n se resolver\u00e1 un problema com\u00fan relacionado con la implementaci\u00f3n de la tecnolog\u00eda de inicio de sesi\u00f3n \u00fanico (SSO), es decir, aplicaciones que intentan acceder a Internet con las credenciales de su cuenta del sistema.
\n<\/a><\/p>\nPreparaci\u00f3n para la instalaci\u00f3n de Squid<\/h4>\n
Instalaci\u00f3n y configuraci\u00f3n preliminar<\/h4>\n
![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nDespu\u00e9s de crear exitosamente el archivo de claves, lo enviaremos a nuestro pfSense. Para esto, us\u00e9 Far, pero tambi\u00e9n se puede hacer con comandos, PuTTY o a trav\u00e9s de la interfaz web de pfSense en la secci\u00f3n 'Diagn\u00f3stico - L\u00ednea de Comandos'.<\/p>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nConfiguraci\u00f3n de la autenticaci\u00f3n de Squid y la lista de acceso sin autenticaci\u00f3n<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nPara la prueba, tambi\u00e9n se puede a\u00f1adir la clave -d \u2014 es decir, diagn\u00f3stico, se generar\u00e1n m\u00e1s registros.
\nauth_param negotiate children 1000<\/i> \u2014 define cu\u00e1ntos procesos de autorizaci\u00f3n simult\u00e1neos se pueden ejecutar
\nauth_param negotiate keep_alive on<\/i> \u2014 evita que la conexi\u00f3n se rompa durante las consultas a la cadena de autorizaci\u00f3n
\nacl auth proxy_auth REQUIRED<\/i> \u2014 crea y requiere una lista de control de acceso que incluye los usuarios que han pasado la autorizaci\u00f3n
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 informamos a Squid sobre la lista de acceso nonauth que contiene los dominios de destino a los que se permitir\u00e1 el acceso a todos. Creamos el archivo y dentro escribimos los dominios en el formato<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 permitimos el acceso a esta lista para todos
\nhttp_access deny !auth<\/i> \u2014 denegamos el acceso a usuarios no autorizados a otros sitios
\nhttp_access allow auth<\/i> \u2014 permitimos el acceso a los usuarios autorizados.
\nTodo, el squid est\u00e1 configurado, ahora es tiempo de comenzar a filtrar por grupos.<\/p>\nConfiguraci\u00f3n de SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n