Tasuta ettevõtte proksiserver domeeni autoriseerimisega

pfSense+Squid koos HTTPS filtreerimisega + Ühe sisselogimise tehnoloogia (SSO) koos Active Directory gruppide filtreerimisega

Lühike eellugu

Ettevõttes tekkis vajadus rakendada proksi-server, mis võimaldab veebilehtedele (sealhulgas HTTPS) ligipääsu filtreerimist AD grupi kaupa, et kasutajad ei peaks sisestama mingeid täiendavaid paroole ning haldamine oleks võimalik veebiliidese kaudu. Pole paha, kas pole?

Õige vastus oleks osta sellised lahendused nagu Kerio Control või UserGate, kuid nagu alati, raha pole, aga vajadus on.

Just siin tulebki appi vana ja hea Squid, kuid jälle – kust saada veebiliides? SAMS2? Moraalselt vananenud. Just siin tulebki appi pfSense.

Kirjeldus

Käesolevas artiklis kirjeldatakse Squidi proksi-serveri seadistamise viisi.
Kasutajate autentimiseks kasutatakse Kerberost.
Domeenigruppide filtreerimiseks kasutatakse SquidGuardi.

Jälgimiseks kasutatakse Lightsquid'i, sqstat'i ja pfSense'i sisemisi jälgimissüsteeme.
Samuti lahendatakse sage probleem, mis on seotud ühe sisselogimise tehnoloogia (SSO) rakendamisega, nimelt rakendused, mis üritavad internetti minna oma süsteemi konto all.

Valmistumine Squidi installimiseks

Võetakse aluseks pfSense, Installatsiooni juhend.

Mille sees organiseerime autentimise tulemüüri kaudu domeeni kontodega. Juhend.

Väga oluline!

Enne Squidi installimist tuleb seadistada DNS serverilt pfSense'is, teha A ja PTR kirjed meie DNS serveris ning seadistada NTP nii, et aeg ei erine domeeni kontrollija ajast.

Ja teie võrgus peab WAN liidesele pfSense'il olema juurdepääs internetile ning kasutajatel kohalikus võrgus olema ühendus LAN liidesega, sealhulgas portidel 7445 ja 3128 (minu puhul 8080).

Kas kõik on valmis? Kas domeeniga on LDAP ühendus pfSense'is seadistatud ja aeg sünkroniseeritud? Suurepärane. On aeg alustada põhiprotsessiga.

Installimine ja esialgne seadistamine

Squid, SquidGuard ja LightSquid installitakse pfSense'i paketihalduri kaudu jaotises „Süsteem/Paketihaldur“.

Pärast edukat installimist liikume "Teenused/Squid Proxy server/" ja esmalt seadistame vahekaardil Kohalik vahemälu vahemälu. Seadsin kõik väärtused 0-ks, kuna ei näe erilist mõtet veebilehtede vahemällu salvestamises, sellega saavad brauserid kenasti hakkama. Pärast seadistamist klõpsame allservas nuppu "Salvesta" ja see annab meile võimaluse teha põhiseadeid proksi jaoks.

Põhiseaded seame järgmiseks:

Vaikimisi port on 3128, aga ma eelistan kasutada 8080.

Valitud parameetrid vahekaardil Proksi liides määravad, milliseid liideseid meie proksi kuulama hakkab. server. Kuna see tulemüür on üles ehitatud nii, et internetti ta vaatab WAN liidese kaudu, isegi kui LAN ja WAN võivad olla samas kohaliku võrgus, soovitan proksi jaoks kasutada just LAN-i.

Loopback on vajalik sqstat'i tööks.

Allpool leiate seadistused Läbipaistva (transparent) proksi jaoks ja ka SSL-filtri jaoks, kuid need ei ole meile vajalikud, meie proksi ei ole läbipaistev ja HTTPS-i filtreerimise jaoks me sertifikaadi asendamisega ei tegele (kuna meil on dokumendihaldus, pangad-klientid jms), vaid vaatame lihtsalt ülekannet.

Selles etapis peame liikuma oma domeenikontrollerisse, looma seal autentimiseks kontot (võib kasutada ka seda, mis on seadistatud pfSense'i autentimiseks). Siin on väga oluline tegur — kui kavatsete kasutada AES128 või AES256 krüpteerimist, siis märkige konto seadetes vastavad linnukesed.

Kui teie domeen on väga keeruline mets suure arvu kataloogidega või teie domeen on .local, siis on VÕIMALIK, kuid mitte kindel, et peate selle konto jaoks kasutama lihtsat parooli; probleem on teada, kuid keerulise parooliga ei pruugi see lihtsalt töötada, tuleb konkreetset juhtumit kontrollida.

Pärast seda koostame Kerberose võtmefaili, avame domeenikontrolleris administraatori õigustes käsuviiba ja sisestame:

# ktpass -princ HTTP/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab

Kus määrame oma FQDN pfSense'i, järgides kindlasti suurtähtede kasutust, parameetris mapuser sisestame meie domeeni kasutajakonto ja selle parooli ning krüpteerimise viisi valimisel kasutasin rc4 tööks ja väljundväljal -out valime, kuhu saadame meie valmis võtmefaili.
Pärast võtmefaili edukat loomist saadame selle meie pfSense'ile, selleks kasutasin Far programmi, kuid samas saab seda teha ka käsurea, putty või pfSense'i veebiliidese kaudu menüüs „DiagnostikaKäsurea”.

Nüüd saame redigeerida luua /etc/krb5.conf

kus /etc/krb5.keytab on meie loodud võtmefail.

Veenduge kindlasti Kerberose toimimises kinit käsu abil, kui see ei tööta — siis ei ole edasine lugemine mõistlik.

Squidi autentimise ja autentimata juurdepääsu loetelu seadistamine

Pärast Kerberose edukat seadistamist integreerime selle meie Squidi.

Selleks minge teenustesse Squid Proxy Server ja põhi seadetes kerige alla, kust leiate nupu „Täiendavad seaded”.

Kohandatud suvandite (Before Auth) väljal sisestame:

#Хелперы
auth_param negotiate program /usr/local/libexec/squid/negotiate_kerberos_auth -s GSS_C_NO_NAME -k /usr/local/etc/squid/squid.keytab -t none
auth_param negotiate children 1000
auth_param negotiate keep_alive on
#Списки доступа
acl auth proxy_auth REQUIRED
acl nonauth dstdomain "/etc/squid/nonauth.txt" 
#Разрешения 
http_access allow nonauth 
http_access deny !auth
http_access allow auth

uде auth_param negotiate program /usr/local/libexec/squid/negotiate_kerberos_auth — valib vajalikud Kerberose autentimise abiprogrammid.

Võti -s võrdub GSS_C_NO_NAME — määrab, et kasutada võib ükskõik millist kontot võtmefailist.

Võti -k võrdub /usr/local/etc/squid/squid.keytab — määrab täpselt selle.keytab faili kasutamise. Minu puhul on see sama loodud.keytab fail, mille kopeerisin kausta /usr/local/etc/squid/ ja ümber nimetasin, sest Squid ei soovinud selle kaustaga koostööd teha, ilmselt olid õigused ebapiisavad.

Võti -t võrdub -t none — keelab tsüklilised päringud domeeni kontrollerile, mis vähendab oluliselt koormust, kui teil on rohkem kui 50 kasutajat.
Testimise ajaks saab lisada ka võtme -d — st diagnoosimine, rohkem logisid kuvatakse.
auth_param negotiate children 1000 — määrab, kui palju samaaegseid autoriseerimise protsesse võib käivitada
auth_param negotiate keep_alive on — ei lase katkestada seost autoriseerimise ahelaga
acl auth proxy_auth REQUIRED — loob ja nõuab juurdepääsu kontrolli loendit, mis hõlmab autoriseeritud kasutajaid
acl nonauth dstdomain "/etc/squid/nonauth.txt" — teavitame Squidi nonauth juurdepääsu loendist, milles on sihtdomeenid, millele on alati kõigile juurdepääs lubatud. Loome faili ja kirjutame sinna sisse domeenid järgmisel kujul

.whatsapp.com
.whatsapp.net

Whatsapp ei ole juhuslikult näitena, kuna selle proxy autentimisega on väga hargne, ja see ei tööta, kui seda enne autentimist ei lubata.
http_access allow nonauth — lubame juurdepääsu sellele loendile kõigile
http_access deny !auth — keelame juurdepääsu autoriseerimata kasutajatele teistele saitidele
http_access allow auth – lubame ligipääsu autentitud kasutajatele.
Nüüd on teie Squid seadistatud, on aeg alustada rühmade filterdamisega.

SquidGuardi seadistamine

Liigume teenustesse, SquidGuardi vahefiltrisse.

LDAP-i seadetes sisestame meie Kerberose autentimiseks kasutatava konto andmed, kuid järgmises vormis:

CN=pfsense,OU=teenuse-kontod,DC=domain,DC=local

Kui kirjas on tühikud või mitte-ladina tähed, tuleks need kõik ühte tsitaati sulgeda:

'CN=sg,OU=teenuse-kontod,DC=domain,DC=local'
"CN=sg,OU=teenuse-kontod,DC=domain,DC=local"

Seejärel peame kindlasti need märgid panema:

Kuna soovime eemaldada mittevajalikud DOMAINpfsense DOMAIN.LOCAL, mille suhtes kogu süsteem on väga tundlik.

Nüüd liigume rühma ACL-i ja seome meie domeenigruppidega ligipääsu, mina kasutan lihtsaid nimesid nagu group_0, group_1 ja nii edasi kuni 3, kus 3 — ligipääs ainult valgesse loendisse, ja 0 — lubatud on kõik.

Grupid seondatakse järgmise meetodiga:

ldapusersearch ldap://dc.domain.local:3268/DC=DOMAIN,DC=LOCAL?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=group_0OU=squidOU=service-groupsDC=DOMAINDC=LOCAL))

salvestame meie rühma, liigume ajavahemike juurde, seal olen loonud ühe vaheaja, mis tähendab töötamist alati, nüüd liigume sihtarvude kategooriatesse ja loome nimekirju oma soovide järgi, pärast nimekirjade loomist naaseme oma rühmade juurde ja grupis valime nupuga, kes kuhu võib ja kes kuhu ei saa.

LightSquid ja sqstat

Kui seadistamise käigus valisime Squidi seadetes loopback'i ja avasime pääsu 7445 tulemüüris nii meie võrgus kui pfSense'is, saame Diagnostika-Squid Proxy aruannetes ilma probleemideta avada nii sqstat'i kui ka LightSquid'i; viimasel on vaja seal ka kasutajanimi ja parool välja mõelda ning üldiselt on seal ka valiku võimalus.

Kokkuvõte

pfSense on väga võimas tööriist, mis suudab palju — alates liikluse proksimisest kuni kasutajate internetipääsu kontrollimiseni, see on vaid väike osa kogu funktsionaalsusest, kuid siiski lahendas see ettevõttes, kus on 500 masinat, probleemi ja võimaldas kokku hoida proksi ostmisel.

Loodan, et see artikkel aitab kedagi leida lahendust väljendatud probleemile, mis on keskmistele ja suurtele ettevõtetele üsna aktuaalne.

Allikas: habr.com