![\"Tasuta](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid koos HTTPS filtreerimisega + \u00dche sisselogimise tehnoloogia (SSO) koos Active Directory gruppide filtreerimisega<\/p>\n
Ettev\u00f5ttes tekkis vajadus rakendada proksi-server, mis v\u00f5imaldab veebilehtedele (sealhulgas HTTPS) ligip\u00e4\u00e4su filtreerimist AD grupi kaupa, et kasutajad ei peaks sisestama mingeid t\u00e4iendavaid paroole ning haldamine oleks v\u00f5imalik veebiliidese kaudu. Pole paha, kas pole?<\/p>\n
\u00d5ige vastus oleks osta sellised lahendused nagu Kerio Control v\u00f5i UserGate, kuid nagu alati, raha pole, aga vajadus on.<\/p>\n
Just siin tulebki appi vana ja hea Squid, kuid j\u00e4lle \u2013 kust saada veebiliides? SAMS2? Moraalselt vananenud. Just siin tulebki appi pfSense.<\/p>\n
K\u00e4esolevas artiklis kirjeldatakse Squidi proksi-serveri seadistamise viisi.
\nKasutajate autentimiseks kasutatakse Kerberost.
\nDomeenigruppide filtreerimiseks kasutatakse SquidGuardi.<\/p>\n
J\u00e4lgimiseks kasutatakse Lightsquid'i, sqstat'i ja pfSense'i sisemisi j\u00e4lgimiss\u00fcsteeme. V\u00f5etakse aluseks pfSense, Installatsiooni juhend.<\/a><\/p>\n Mille sees organiseerime autentimise tulem\u00fc\u00fcri kaudu domeeni kontodega. Juhend.<\/a><\/p>\n V\u00e4ga oluline!<\/p>\n Enne Squidi installimist tuleb seadistada DNS serverilt<\/a> pfSense'is, teha A ja PTR kirjed meie DNS serveris ning seadistada NTP nii, et aeg ei erine domeeni kontrollija ajast.<\/p>\n Ja teie v\u00f5rgus peab WAN liidesele pfSense'il olema juurdep\u00e4\u00e4s internetile ning kasutajatel kohalikus v\u00f5rgus olema \u00fchendus LAN liidesega, sealhulgas portidel 7445 ja 3128 (minu puhul 8080).<\/p>\n Kas k\u00f5ik on valmis? Kas domeeniga on LDAP \u00fchendus pfSense'is seadistatud ja aeg s\u00fcnkroniseeritud? Suurep\u00e4rane. On aeg alustada p\u00f5hiprotsessiga.<\/p>\n Squid, SquidGuard ja LightSquid installitakse pfSense'i paketihalduri kaudu jaotises \u201eS\u00fcsteem\/Paketihaldur\u201c.<\/p>\n P\u00e4rast edukat installimist liikume \"Teenused\/Squid Proxy server\/\" ja esmalt seadistame vahekaardil Kohalik vahem\u00e4lu vahem\u00e4lu. Seadsin k\u00f5ik v\u00e4\u00e4rtused 0-ks, kuna ei n\u00e4e erilist m\u00f5tet veebilehtede vahem\u00e4llu salvestamises, sellega saavad brauserid kenasti hakkama. P\u00e4rast seadistamist kl\u00f5psame allservas nuppu \"Salvesta\" ja see annab meile v\u00f5imaluse teha p\u00f5hiseadeid proksi jaoks.<\/p>\n P\u00f5hiseaded seame j\u00e4rgmiseks:<\/p>\n Vaikimisi port on 3128, aga ma eelistan kasutada 8080.<\/p>\n Valitud parameetrid vahekaardil Proksi liides m\u00e4\u00e4ravad, milliseid liideseid meie proksi kuulama hakkab. server<\/a>. Kuna see tulem\u00fc\u00fcr on \u00fcles ehitatud nii, et internetti ta vaatab WAN liidese kaudu, isegi kui LAN ja WAN v\u00f5ivad olla samas kohaliku v\u00f5rgus, soovitan proksi jaoks kasutada just LAN-i.<\/p>\n Loopback on vajalik sqstat'i t\u00f6\u00f6ks.<\/p>\n Allpool leiate seadistused L\u00e4bipaistva (transparent) proksi jaoks ja ka SSL-filtri jaoks, kuid need ei ole meile vajalikud, meie proksi ei ole l\u00e4bipaistev ja HTTPS-i filtreerimise jaoks me sertifikaadi asendamisega ei tegele (kuna meil on dokumendihaldus, pangad-klientid jms), vaid vaatame lihtsalt \u00fclekannet.<\/p>\n Selles etapis peame liikuma oma domeenikontrollerisse, looma seal autentimiseks kontot (v\u00f5ib kasutada ka seda, mis on seadistatud pfSense'i autentimiseks). Siin on v\u00e4ga oluline tegur \u2014 kui kavatsete kasutada AES128 v\u00f5i AES256 kr\u00fcpteerimist, siis m\u00e4rkige konto seadetes vastavad linnukesed.<\/p>\n Kui teie domeen on v\u00e4ga keeruline mets suure arvu kataloogidega v\u00f5i teie domeen on .local, siis on V\u00d5IMALIK, kuid mitte kindel, et peate selle konto jaoks kasutama lihtsat parooli; probleem on teada, kuid keerulise parooliga ei pruugi see lihtsalt t\u00f6\u00f6tada, tuleb konkreetset juhtumit kontrollida.<\/p>\n P\u00e4rast seda koostame Kerberose v\u00f5tmefaili, avame domeenikontrolleris administraatori \u00f5igustes k\u00e4suviiba ja sisestame:<\/p>\n Kus m\u00e4\u00e4rame oma FQDN pfSense'i, j\u00e4rgides kindlasti suurt\u00e4htede kasutust, parameetris mapuser sisestame meie domeeni kasutajakonto ja selle parooli ning kr\u00fcpteerimise viisi valimisel kasutasin rc4 t\u00f6\u00f6ks ja v\u00e4ljundv\u00e4ljal -out valime, kuhu saadame meie valmis v\u00f5tmefaili. N\u00fc\u00fcd saame redigeerida luua \/etc\/krb5.conf<\/p>\n kus \/etc\/krb5.keytab on meie loodud v\u00f5tmefail.<\/p>\n Veenduge kindlasti Kerberose toimimises kinit k\u00e4su abil, kui see ei t\u00f6\u00f6ta \u2014 siis ei ole edasine lugemine m\u00f5istlik.<\/p>\n P\u00e4rast Kerberose edukat seadistamist integreerime selle meie Squidi.<\/p>\n Selleks minge teenustesse Squid Proxy Server ja p\u00f5hi seadetes kerige alla, kust leiate nupu \u201eT\u00e4iendavad seaded\u201d.<\/p>\n Kohandatud suvandite (Before Auth) v\u00e4ljal sisestame:<\/p>\n u\u0434\u0435 auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 valib vajalikud Kerberose autentimise abiprogrammid.<\/p>\n V\u00f5ti -s<\/i> v\u00f5rdub GSS_C_NO_NAME<\/i> \u2014 m\u00e4\u00e4rab, et kasutada v\u00f5ib \u00fcksk\u00f5ik millist kontot v\u00f5tmefailist.<\/p>\n V\u00f5ti -k<\/i> v\u00f5rdub \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 m\u00e4\u00e4rab t\u00e4pselt selle.keytab faili kasutamise. Minu puhul on see sama loodud.keytab fail, mille kopeerisin kausta \/usr\/local\/etc\/squid\/ ja \u00fcmber nimetasin, sest Squid ei soovinud selle kaustaga koost\u00f6\u00f6d teha, ilmselt olid \u00f5igused ebapiisavad.<\/p>\n V\u00f5ti -t<\/i> v\u00f5rdub -t none<\/i> \u2014 keelab ts\u00fcklilised p\u00e4ringud domeeni kontrollerile, mis v\u00e4hendab oluliselt koormust, kui teil on rohkem kui 50 kasutajat. Whatsapp ei ole juhuslikult n\u00e4itena, kuna selle proxy autentimisega on v\u00e4ga hargne, ja see ei t\u00f6\u00f6ta, kui seda enne autentimist ei lubata. Liigume teenustesse, SquidGuardi vahefiltrisse.<\/p>\n LDAP-i seadetes sisestame meie Kerberose autentimiseks kasutatava konto andmed, kuid j\u00e4rgmises vormis:<\/p>\n Kui kirjas on t\u00fchikud v\u00f5i mitte-ladina t\u00e4hed, tuleks need k\u00f5ik \u00fchte tsitaati sulgeda:<\/p>\n Seej\u00e4rel peame kindlasti need m\u00e4rgid panema:<\/p>\n
\nSamuti lahendatakse sage probleem, mis on seotud \u00fche sisselogimise tehnoloogia (SSO) rakendamisega, nimelt rakendused, mis \u00fcritavad internetti minna oma s\u00fcsteemi konto all.
\n<\/a><\/p>\nValmistumine Squidi installimiseks<\/h4>\n
Installimine ja esialgne seadistamine<\/h4>\n
![\"Tasuta](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Tasuta](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nP\u00e4rast v\u00f5tmefaili edukat loomist saadame selle meie pfSense'ile, selleks kasutasin Far programmi, kuid samas saab seda teha ka k\u00e4surea, putty v\u00f5i pfSense'i veebiliidese kaudu men\u00fc\u00fcs \u201eDiagnostikaK\u00e4surea\u201d.<\/p>\n![\"Tasuta](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nSquidi autentimise ja autentimata juurdep\u00e4\u00e4su loetelu seadistamine<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nTestimise ajaks saab lisada ka v\u00f5tme -d \u2014 st diagnoosimine, rohkem logisid kuvatakse.
\nauth_param negotiate children 1000<\/i> \u2014 m\u00e4\u00e4rab, kui palju samaaegseid autoriseerimise protsesse v\u00f5ib k\u00e4ivitada
\nauth_param negotiate keep_alive on<\/i> \u2014 ei lase katkestada seost autoriseerimise ahelaga
\nacl auth proxy_auth REQUIRED<\/i> \u2014 loob ja n\u00f5uab juurdep\u00e4\u00e4su kontrolli loendit, mis h\u00f5lmab autoriseeritud kasutajaid
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 teavitame Squidi nonauth juurdep\u00e4\u00e4su loendist, milles on sihtdomeenid, millele on alati k\u00f5igile juurdep\u00e4\u00e4s lubatud. Loome faili ja kirjutame sinna sisse domeenid j\u00e4rgmisel kujul<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 lubame juurdep\u00e4\u00e4su sellele loendile k\u00f5igile
\nhttp_access deny !auth<\/i> \u2014 keelame juurdep\u00e4\u00e4su autoriseerimata kasutajatele teistele saitidele
\nhttp_access allow auth<\/i> \u2013 lubame ligip\u00e4\u00e4su autentitud kasutajatele.
\nN\u00fc\u00fcd on teie Squid seadistatud, on aeg alustada r\u00fchmade filterdamisega.<\/p>\nSquidGuardi seadistamine<\/h4>\n
CN=pfsense,OU=teenuse-kontod,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=teenuse-kontod,DC=domain,DC=local'\n\"CN=sg,OU=teenuse-kontod,DC=domain,DC=local\"<\/code><\/pre>\n![\"Tasuta](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n