![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid con filtraggio https + Tecnologia di accesso unico (SSO) con filtraggio per gruppi Active Directory<\/p>\n
L'azienda ha avuto la necessit\u00e0 di implementare un proxy server con la possibilit\u00e0 di filtrare l'accesso ai siti (incluso https) per gruppi di AD, affinch\u00e9 gli utenti non dovessero immettere ulteriori password e l'amministrazione fosse possibile tramite un'interfaccia web. Non \u00e8 male come proposta, vero?<\/p>\n
La risposta corretta sarebbe stata acquistare soluzioni come Kerio Control o UserGate, ma come al solito non ci sono fondi, anche se c'\u00e8 bisogno.<\/p>\n
Ecco dove ci viene in aiuto il buon vecchio Squid, ma di nuovo \u2014 dove trovare l'interfaccia web? SAMS2? \u00c8 moralmente obsoleto. Ecco dove interviene pfSense.<\/p>\n
In questo articolo verr\u00e0 descritto come configurare il proxy server Squid.
\nPer l'autenticazione degli utenti verr\u00e0 utilizzato Kerberos.
\nPer il filtraggio per gruppi di dominio verr\u00e0 utilizzato SquidGuard.<\/p>\n
Per il monitoraggio verranno utilizzati Lightsquid, sqstat e i sistemi di monitoraggio interni di pfSense. Si prender\u00e0 come base pfSense, Istruzioni per l'installazione.<\/a><\/p>\n All'interno del quale organizzeremo l'autenticazione sul firewall stesso utilizzando le credenziali di dominio. Istruzioni.<\/a><\/p>\n Molto importante!<\/p>\n Prima di iniziare l'installazione di Squid \u00e8 necessario configurare il DNS server<\/a> in pfSense, creare un record A e un record PTR sul nostro server DNS e configurare l'NTP in modo che l'orario non diverga da quello del controller di dominio.<\/p>\n E nella vostra rete fornire l'accesso all'interfaccia WAN di pfSense per connettersi a Internet, e agli utenti nella rete locale di collegarsi all'interfaccia LAN, inclusi le porte 7445 e 3128 (nel mio caso 8080).<\/p>\n Tutto pronto? La connessione con il dominio via LDAP per l'autenticazione su pfSense \u00e8 stata stabilita e l'orario \u00e8 sincronizzato? Ottimo. \u00c8 tempo di iniziare il processo principale.<\/p>\n Installeremo Squid, SquidGuard e LightSquid dal gestore pacchetti di pfSense nella sezione \"Sistema\/Manager pacchetti\".<\/p>\n Dopo aver completato l'installazione, andiamo in \u00abServizi\/Squid Proxy server\/\u00bb e per prima cosa nella scheda Cache Locale impostiamo la cache; io ho impostato tutto a 0, poich\u00e9 non vedo particolare senso nel memorizzare i siti, questo \u00e8 compito dei browser. Dopo aver configurato, premiamo il pulsante \u00abSalva\u00bb in fondo allo schermo, il che ci permetter\u00e0 di effettuare le impostazioni principali del proxy.<\/p>\n Le impostazioni principali le portiamo alla seguente configurazione:<\/p>\n La porta predefinita \u00e8 3128, ma preferisco usare 8080.<\/p>\n Le opzioni selezionate nella scheda Interfaccia Proxy definiscono quali interfacce ascolter\u00e0 il nostro proxy server<\/a>. Poich\u00e9 questo firewall \u00e8 configurato in modo tale che vede internet tramite l'interfaccia WAN, anche se LAN e WAN possono trovarsi nella stessa sottorete locale, consiglio di utilizzare LAN per il proxy.<\/p>\n Il loopback \u00e8 necessario per il funzionamento di sqstat.<\/p>\n Di seguito troverai le impostazioni del proxy Trasparente, nonch\u00e9 del Filtro SSL, ma non ci servono, il nostro proxy sar\u00e0 non trasparente e per filtrare https non ci occuperemo della sostituzione del certificato (abbiamo infatti documenti, banche-clienti, ecc.), ma ci limiteremo a osservare l handshake.<\/p>\n A questo punto dobbiamo accedere al nostro controller di dominio, creare un account per l'autenticazione (puoi utilizzare anche quello impostato per l'autenticazione su pfSense). Qui \u00e8 fondamentale un fattore: se intendi utilizzare la crittografia AES128 o AES256, assicurati di spuntare le caselle appropriate nelle impostazioni dell'account.<\/p>\n Se il tuo dominio \u00e8 un bosco piuttosto complesso con un gran numero di cataloghi o il tuo dominio \u00e8 .local, allora POTREBBE, ma non \u00e8 certo, che dovrai utilizzare una password semplice per questo account; \u00e8 un bug noto, ma con una password complessa potrebbe semplicemente non funzionare, \u00e8 meglio verificarlo caso per caso.<\/p>\n Dopo tutto questo, generiamo il file delle chiavi per Kerberos; sul controller di dominio apriamo il prompt dei comandi con diritti di amministratore e digitiamo:<\/p>\n Dove indichiamo il nostro FQDN pfSense, facendo attenzione al maiuscolo, nel parametro mapuser inseriamo il nostro account di dominio e la relativa password, mentre in crypto scegliamo il metodo di crittografia; io ho utilizzato rc4 per il funzionamento e nel campo -out scegliamo dove inviare il file chiave pronto. Ora possiamo modificare\/create \/etc\/krb5.conf<\/p>\n dove \/etc\/krb5.keytab \u00e8 il file delle chiavi che abbiamo creato.<\/p>\n Assicurati di verificare il funzionamento di Kerberos con kinit; se non funziona, non ha senso continuare a leggere.<\/p>\n Dopo aver configurato correttamente Kerberos, lo collegheremo al nostro Squid.<\/p>\n Per fare ci\u00f2, vai su Servizi \u2192 Squid Proxy Server e nelle impostazioni principali scorri fino in fondo, dove troverai il pulsante \u00abImpostazioni avanzate\u00bb.<\/p>\n Nel campo Opzioni personalizzate (Prima dell'autenticazione) inseriamo:<\/p>\n u\u0434\u0435 auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 seleziona l'helper Kerberos di autenticazione necessario.<\/p>\n Chiave -s<\/i> con valore GSS_C_NO_NAME<\/i> \u2014 definisce l'uso di qualsiasi account dal file delle chiavi.<\/p>\n Chiave -k<\/i> con valore \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 specifica di utilizzare esattamente questo file keytab. Nel mio caso, \u00e8 lo stesso file keytab che abbiamo creato, che ho copiato nella directory \/usr\/local\/etc\/squid\/ e rinominato, perch\u00e9 Squid non voleva collaborare con quella directory, probabilmente a causa di privilegi insufficienti.<\/p>\n Chiave -t<\/i> con valore -t none<\/i> \u2014 disabilita le richieste cicliche al controller di dominio, il che riduce notevolmente il carico su di esso se avete pi\u00f9 di 50 utenti. Whatsapp non \u00e8 usato come esempio a caso \u2014 \u00e8 molto esigente nei confronti dei proxy con autenticazione e non funzioner\u00e0 se non viene autorizzato prima dell'autenticazione. Passiamo a Servizi SquidGuard Proxy Filter.<\/p>\n Nelle Opzioni LDAP inseriamo i dati del nostro account utilizzato per l'autenticazione Kerberos, nel seguente formato:<\/p>\n Se ci sono spazi o caratteri non latini, tutta questa registrazione deve essere racchiusa tra virgolette singole o doppie:<\/p>\n Successivamente, dobbiamo spuntare queste caselle:<\/p>\n
\nSar\u00e0 inoltre risolto un comune problema legato all'implementazione della tecnologia di accesso unico (SSO), ovvero le applicazioni che tentano di accedere a Internet con le proprie credenziali di sistema.
\n<\/a><\/p>\nPreparazione all'installazione di Squid<\/h4>\n
Installazione e configurazione preliminare<\/h4>\n
![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nDopo aver creato con successo il file delle chiavi, lo invieremo al nostro pfSense. Ho usato Far per questo, ma \u00e8 possibile farlo anche tramite comandi, putty o attraverso l'interfaccia web di pfSense nella sezione \u00abDiagnostica \u2192 Riga di comando\u00bb.<\/p>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nConfigurazione dell'autenticazione Squid e lista di accesso senza autenticazione<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nPer il periodo di test, \u00e8 possibile aggiungere anche la chiave -d \u2014 cio\u00e8 diagnostica, verranno visualizzati ulteriori log.
\nauth_param negotiate children 1000<\/i> \u2014 definisce quanti processi di autorizzazione simultanei possono essere avviati
\nauth_param negotiate keep_alive on<\/i> \u2014 evita disconnessioni durante le indagini della catena di autorizzazione
\nacl auth proxy_auth REQUIRED<\/i> \u2014 crea e richiede una lista di controllo accessi che include gli utenti che hanno superato l'autenticazione
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 informiamo Squid sulla lista di accesso nonauth contenente i domini di destinazione, a cui tutti avranno sempre accesso. Creiamo noi il file e scriviamo al suo interno i domini nel formato<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 autorizziamo l'accesso a tale lista a tutti
\nhttp_access deny !auth<\/i> \u2014 vietiamo l'accesso agli utenti non autorizzati agli altri siti
\nhttp_access consenti auth<\/i> \u2014 consentiamo l'accesso agli utenti autorizzati.
\nTutto, il tuo squido \u00e8 impostato, ora \u00e8 il momento di iniziare a filtrare per gruppi.<\/p>\nConfigurazione di SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n