![\"Serveur](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid avec filtrage HTTPS + Technologie d'authentification unique (SSO) avec filtrage par groupes Active Directory<\/p>\n
L'entreprise a ressenti le besoin d'impl\u00e9menter un serveur proxy capable de filtrer l'acc\u00e8s aux sites (y compris HTTPS) par groupes d'AD, afin que les utilisateurs n'aient pas \u00e0 entrer de mots de passe suppl\u00e9mentaires et que l'administration puisse se faire via une interface web. Plut\u00f4t int\u00e9ressant, n'est-ce pas ?<\/p>\n
La bonne r\u00e9ponse aurait \u00e9t\u00e9 d'acheter des solutions comme Kerio Control ou UserGate, mais comme toujours, il n'y a pas d'argent, mais il y a un besoin.<\/p>\n
C'est alors que le vieux Squid vient \u00e0 notre secours, mais encore une fois - o\u00f9 trouver une interface web ? SAMS2 ? Moralement obsol\u00e8te. C'est ici que pfSense entre en jeu.<\/p>\n
Cet article d\u00e9crira comment configurer un serveur proxy Squid.
\nL'autorisation des utilisateurs sera faite via Kerberos.
\nLe filtrage par groupes de domaine sera r\u00e9alis\u00e9 avec SquidGuard.<\/p>\n
Pour la surveillance, nous utiliserons Lightsquid, sqstat et les syst\u00e8mes de surveillance internes de pfSense. Nous partirons de pfSense, Instructions d'installation.<\/a><\/p>\n \u00c0 l'int\u00e9rieur duquel nous organiserons l'authentification pour le pare-feu lui-m\u00eame avec des comptes de domaine. Instructions.<\/a><\/p>\n Tr\u00e8s important !<\/p>\n Avant de commencer l'installation de Squid, il est n\u00e9cessaire de configurer le DNS de serveurs<\/a> dans pfSense, de cr\u00e9er un enregistrement A et un enregistrement PTR sur notre serveur DNS et de configurer NTP pour que l'heure ne diff\u00e8re pas de celle du contr\u00f4leur de domaine.<\/p>\n Et dans votre r\u00e9seau, permettre \u00e0 l'interface WAN de pfSense d'acc\u00e9der \u00e0 Internet, et aux utilisateurs de se connecter \u00e0 l'interface LAN, y compris par les ports 7445 et 3128 (dans mon cas 8080).<\/p>\n Tout est pr\u00eat ? La connexion au domaine par LDAP pour l'autorisation sur pfSense est \u00e9tablie et l'heure est synchronis\u00e9e ? Excellent. Il est temps de passer au processus principal.<\/p>\n Nous installerons Squid, SquidGuard et LightSquid via le gestionnaire de paquets de pfSense dans la section \u00ab Syst\u00e8me \/ Gestionnaire de paquets \u00bb.<\/p>\n Apr\u00e8s une installation r\u00e9ussie, nous passons \u00e0 \u00ab Services\/Squid Proxy server\/ \u00bb et tout d'abord, dans l'onglet Cache local, nous configurons le cache. J'ai mis tout \u00e0 0, car je ne vois pas d'int\u00e9r\u00eat particulier \u00e0 mettre en cache les sites, les navigateurs s'en occupent tr\u00e8s bien. Apr\u00e8s avoir configur\u00e9, nous appuyons sur le bouton \u00ab Enregistrer \u00bb en bas de l'\u00e9cran pour nous permettre d'effectuer les r\u00e9glages principaux du proxy.<\/p>\n Nous apportons les r\u00e9glages principaux \u00e0 l'aspect suivant :<\/p>\n Le port par d\u00e9faut est 3128, mais je pr\u00e9f\u00e8re utiliser le 8080.<\/p>\n Les param\u00e8tres s\u00e9lectionn\u00e9s dans l'onglet Interface Proxy d\u00e9terminent les interfaces que notre proxy \u00e9coutera. serveur<\/a>\u00c9tant donn\u00e9 que ce pare-feu est configur\u00e9 de telle mani\u00e8re qu'il acc\u00e8de \u00e0 Internet via l'interface WAN, m\u00eame si LAN et WAN peuvent \u00eatre dans le m\u00eame sous-r\u00e9seau local, je recommande d'utiliser LAN pour le proxy.<\/p>\n Le loopback est n\u00e9cessaire pour le fonctionnement de sqstat.<\/p>\n Vous trouverez ci-dessous les param\u00e8tres du proxy Transparent ainsi que le Filtre SSL, mais nous n'en avons pas besoin, notre proxy ne sera pas transparent, et pour le filtrage https, nous ne ferons pas de substitution de certificat (puisque nous avons des \u00e9changes de documents, banque-clients, etc.), mais nous examinerons simplement la poign\u00e9e de main.<\/p>\n \u00c0 ce stade, nous devons passer \u00e0 notre contr\u00f4leur de domaine et y cr\u00e9er un compte pour l'authentification (vous pouvez utiliser celui que vous avez configur\u00e9 pour l'authentification sur pfSense). Un facteur tr\u00e8s important ici : si vous pr\u00e9voyez d'utiliser le chiffrement AES128 ou AES256, cochez les cases appropri\u00e9es dans les param\u00e8tres du compte.<\/p>\n Si votre domaine repr\u00e9sente une for\u00eat complexe avec un grand nombre d'annuaires ou si votre domaine est .local, vous DEVREZ PEUT-\u00caTRE utiliser un mot de passe simple pour ce compte. C'est un bug connu, mais avec un mot de passe complexe, cela peut ne pas fonctionner, il faut v\u00e9rifier au cas par cas.<\/p>\n Apr\u00e8s cela, nous cr\u00e9ons le fichier de cl\u00e9s pour Kerberos. Sur le contr\u00f4leur de domaine, ouvrez l'invite de commande avec des droits d'administrateur et entrez :<\/p>\n O\u00f9 nous indiquons notre FQDN pfSense, en respectant la casse, dans le param\u00e8tre mapuser, nous rappelons notre compte de domaine et son mot de passe, et dans crypto, nous choisissons le mode de chiffrement. J'ai utilis\u00e9 rc4 pour le travail et dans le champ -out, nous choisissons o\u00f9 nous allons envoyer notre fichier de cl\u00e9s pr\u00eat. Nous pouvons d\u00e9sormais modifier cr\u00e9er \/etc\/krb5.conf<\/p>\n o\u00f9 \/etc\/krb5.keytab est le fichier de cl\u00e9s que nous avons cr\u00e9\u00e9.<\/p>\n Assurez-vous de v\u00e9rifier le fonctionnement de Kerberos avec kinit, si cela ne fonctionne pas, il n'y a pas de sens \u00e0 lire plus loin.<\/p>\n Apr\u00e8s avoir configur\u00e9 Kerberos avec succ\u00e8s, nous allons l'int\u00e9grer \u00e0 notre Squid.<\/p>\n Pour cela, allez dans Services - Serveur Proxy Squid et dans les param\u00e8tres principaux, descendez en bas jusqu'\u00e0 trouver le bouton \u00ab Param\u00e8tres avanc\u00e9s \u00bb.<\/p>\n Dans le champ Options personnalis\u00e9es (Avant l'authentification), saisissez :<\/p>\n u\u0434\u0435 auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 choisit l'helper d'authentification Kerberos n\u00e9cessaire.<\/p>\n Cl\u00e9 -s<\/i> avec la valeur GSS_C_NO_NAME<\/i> \u2014 d\u00e9termine l'utilisation de n'importe quel compte \u00e0 partir du fichier de cl\u00e9s.<\/p>\n Cl\u00e9 -k<\/i> avec la valeur \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 indique d'utiliser pr\u00e9cis\u00e9ment ce fichier keytab. Dans mon cas, il s'agit du m\u00eame fichier keytab que nous avons cr\u00e9\u00e9, que j'ai copi\u00e9 dans le r\u00e9pertoire \/usr\/local\/etc\/squid\/ et renomm\u00e9, car Squid n'aimait pas ce r\u00e9pertoire, probablement en raison de droits insuffisants.<\/p>\n Cl\u00e9 -t<\/i> avec la valeur -t none<\/i> \u2014 d\u00e9sactive les requ\u00eates cycliques au contr\u00f4leur de domaine, ce qui r\u00e9duit consid\u00e9rablement la charge si vous avez plus de 50 utilisateurs. Whatsapp n'est pas un exemple pris au hasard \u2014 il est tr\u00e8s exigeant en termes de proxy avec authentification et ne fonctionnera pas si son acc\u00e8s n'est pas autoris\u00e9 avant l'authentification. Passons aux Services SquidGuard Proxy Filter.<\/p>\n Dans les Options LDAP, saisissez les donn\u00e9es de notre compte utilis\u00e9 pour l'authentification Kerberos, mais au format suivant :<\/p>\n S'il y a des espaces ou des caract\u00e8res non latins, cette entr\u00e9e doit \u00eatre encadr\u00e9e par des guillemets simples ou doubles :<\/p>\n Ensuite, nous devons absolument cocher ces cases :<\/p>\n
\nNous aborderons \u00e9galement un probl\u00e8me fr\u00e9quent li\u00e9 \u00e0 l\u2019impl\u00e9mentation de la technologie d'authentification unique (SSO) : les applications tentant d'acc\u00e9der \u00e0 Internet sous le compte de leur utilisateur syst\u00e8me.
\n<\/a><\/p>\nPr\u00e9paration \u00e0 l'installation de Squid<\/h4>\n
Installation et configuration pr\u00e9liminaire<\/h4>\n
![\"Serveur](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Serveur](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nApr\u00e8s avoir cr\u00e9\u00e9 avec succ\u00e8s le fichier de cl\u00e9s, nous l'enverrons \u00e0 notre pfSense. J'ai utilis\u00e9 Far pour cela, mais cela peut aussi se faire par commandes, avec Putty ou via l'interface web de pfSense dans la section \u00ab Diagnostic - Ligne de commande \u00bb.<\/p>\n![\"Serveur](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nConfiguration de l'authentification Squid et de la liste d'acc\u00e8s sans authentification<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nPour le test, vous pouvez \u00e9galement ajouter la cl\u00e9 -d \u2014 c'est-\u00e0-dire le diagnostic, plus de logs seront affich\u00e9s.
\nauth_param negotiate children 1000<\/i> \u2014 d\u00e9termine combien de processus d'autorisation simultan\u00e9s peuvent \u00eatre ex\u00e9cut\u00e9s.
\nauth_param negotiate keep_alive on<\/i> \u2014 emp\u00eache la rupture de la connexion pendant le sondage de la cha\u00eene d'autorisation.
\nacl auth proxy_auth REQUIRED<\/i> \u2014 cr\u00e9e et exige une liste de contr\u00f4le d'acc\u00e8s, incluant les utilisateurs ayant r\u00e9ussi l'authentification.
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 informe Squid de la liste d'acc\u00e8s nonauth incluant les domaines cibles auxquels l'acc\u00e8s sera toujours autoris\u00e9 \u00e0 tous. Nous cr\u00e9ons le fichier et y \u00e9crivons les domaines au format<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 permet l'acc\u00e8s \u00e0 cette liste \u00e0 tous.
\nhttp_access deny !auth<\/i> \u2014 interdit l'acc\u00e8s aux utilisateurs non authentifi\u00e9s aux autres sites.
\nhttp_access allow auth<\/i> \u2014 nous autorisons l'acc\u00e8s aux utilisateurs authentifi\u00e9s.
\nTout est r\u00e9gl\u00e9, votre Squid est configur\u00e9, il est maintenant temps de proc\u00e9der \u00e0 la filtrage par groupes.<\/p>\nConfiguration de SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Serveur](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n