![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid con filtraggio HTTPS + Tecnologie di accesso unico (SSO) con filtraggio per gruppi Active Directory<\/p>\n
Nell'azienda \u00e8 emersa la necessit\u00e0 di implementare un server proxy in grado di filtrare l'accesso ai siti (inclusi quelli HTTPS) in base ai gruppi di AD, affinch\u00e9 gli utenti non dovessero inserire password aggiuntive e la gestione potesse avvenire tramite interfaccia web. Non \u00e8 una bella idea, vero?<\/p>\n
Una risposta corretta sarebbe stata quella di acquistare soluzioni come Kerio Control o UserGate, ma come al solito i soldi scarseggiano e c'\u00e8 bisogno.<\/p>\n
Qui entra in gioco il buon vecchio Squid, ma dove trovare un'interfaccia web? SAMS2? \u00c8 moralmente obsoleto. Ed \u00e8 qui che interviene pfSense.<\/p>\n
In questo articolo verr\u00e0 descritto il modo di configurare un server proxy Squid.
\nPer l'autenticazione degli utenti verr\u00e0 utilizzato Kerberos.
\nPer il filtraggio in base ai gruppi di dominio verr\u00e0 utilizzato SquidGuard.<\/p>\n
Per il monitoraggio verranno utilizzati Lightsquid, sqstat e i sistemi di monitoraggio interni di pfSense. Prenderemo come base pfSense, Istruzioni per l'installazione.<\/a><\/p>\n All'interno del quale organizzeremo l'autenticazione direttamente sul firewall utilizzando credenziali di dominio. Istruzioni.<\/a><\/p>\n Molto importante!<\/p>\n Prima di iniziare l'installazione di Squid, \u00e8 necessario configurare il DNS server<\/a> in pfSense, creando un record A e i record PTR sul nostro server DNS e configurando l'NTP in modo che l'ora non differisca da quella del controller di dominio.<\/p>\n E nella vostra rete, dovete consentire all'interfaccia WAN di pfSense di connettersi a Internet, e agli utenti nella rete locale di collegarsi all'interfaccia LAN, compresi le porte 7445 e 3128 (nel mio caso 8080).<\/p>\n Tutto pronto? La connessione con il dominio tramite LDAP per l'autenticazione su pfSense \u00e8 stabilita e l'ora \u00e8 sincronizzata? Ottimo. \u00c8 tempo di procedere al processo principale.<\/p>\n Installeremo Squid, SquidGuard e LightSquid tramite il gestore pacchetti di pfSense nella sezione \"Sistema\/Gestore pacchetti\".<\/p>\n Dopo un'installazione riuscita, andiamo su \u00abServizi\/Squid Proxy server\/\u00bb e, prima di tutto, nella scheda Cache locale configuriamo la memorizzazione nella cache; ho impostato tutto su 0, poich\u00e9 non vedo un senso particolare nel memorizzare i siti, con cui i browser si occupano perfettamente. Dopo la configurazione, premiamo il tasto \u00abSalva\u00bb in fondo allo schermo e questo ci permetter\u00e0 di effettuare le impostazioni principali del proxy.<\/p>\n Portiamo le impostazioni principali al seguente stato:<\/p>\n La porta predefinita \u00e8 3128, ma preferisco usare 8080.<\/p>\n I parametri selezionati nella scheda Interfaccia Proxy determinano quali interfacce ascolter\u00e0 il nostro proxy. un server<\/a>. Poich\u00e9 questo firewall \u00e8 costruito in modo tale che guarda verso internet tramite l'interfaccia WAN, anche se LAN e WAN possono essere nella stessa sottorete locale, consiglio di utilizzare la LAN per il proxy.<\/p>\n Il loopback \u00e8 necessario per il funzionamento di sqstat.<\/p>\n Di seguito troverai le impostazioni per il proxy Trasparente, cos\u00ec come il Filtro SSL, ma non ci interessano; il nostro proxy non sar\u00e0 trasparente e per la filtrazione https non ci occuperemo della sostituzione del certificato (avendo documentazione, clienti bancari, ecc.), ma semplicemente daremo un'occhiata all'handshake.<\/p>\n A questo punto, dobbiamo accedere al nostro controller di dominio e creare un account per l'autenticazione (\u00e8 possibile utilizzare anche quello configurato per l'autenticazione su pfSense). Qui c'\u00e8 un fattore molto importante: se si intende utilizzare la crittografia AES128 o AES256, \u00e8 necessario selezionare le opzioni corrispondenti nelle impostazioni dell'account.<\/p>\n Nel caso in cui il proprio dominio rappresenti una foresta piuttosto complessa con un gran numero di directory o se il proprio dominio \u00e8 .local, \u00e8 POSSIBILE, ma non certo, che sar\u00e0 necessario utilizzare una password semplice per questo account. \u00c8 un bug noto, ma con una password complessa potrebbe semplicemente non funzionare; \u00e8 necessario controllare caso per caso specifico.<\/p>\n Dopo tutto questo, generiamo il file delle chiavi per Kerberos. Sul controller di dominio, apriamo il prompt dei comandi con diritti di amministratore e inseriamo:<\/p>\n Dove specifichiamo il nostro FQDN pfSense, facendo attenzione al maiuscolo. Nel parametro mapuser inseriamo il nostro account di dominio e la sua password, mentre in crypto scegliamo il metodo di crittografia; io ho utilizzato rc4 per il lavoro e nel campo -out scegliamo dove invieremo il nostro file delle chiavi pronto. Ora possiamo modificare o creare \/etc\/krb5.conf<\/p>\n dove \/etc\/krb5.keytab \u00e8 il file delle chiavi che abbiamo creato.<\/p>\n Assicurati di controllare il funzionamento del Kerberos con kinit; se non funziona, non ha senso continuare a leggere.<\/p>\n Dopo aver configurato con successo Kerberos, lo collegheremo al nostro Squid.<\/p>\n Per fare ci\u00f2, vai su Servizi | Squid Proxy Server e, nelle impostazioni principali, scorri fino in fondo; qui troverai il pulsante \"Impostazioni avanzate\".<\/p>\n Nel campo Opzioni personalizzate (Before Auth) inseriremo:<\/p>\n dove auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> sceglie il nostro helper di autenticazione Kerberos necessario.<\/p>\n Chiave -s<\/i> con il valore GSS_C_NO_NAME<\/i> definisce l'uso di qualsiasi account dal file di chiavi.<\/p>\n Chiave -k<\/i> con il valore \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 determina di utilizzare proprio questo file keytab. Nel mio caso, \u00e8 lo stesso file keytab che abbiamo generato, che ho copiato nella directory \/usr\/local\/etc\/squid\/ e rinominato, perch\u00e9 Squid non voleva collaborare con quella directory, evidentemente i permessi non erano sufficienti.<\/p>\n Chiave -t<\/i> con il valore -t none<\/i> \u2014 disattiva le richieste cicliche al controller di dominio, riducendo notevolmente il carico su di esso se hai pi\u00f9 di 50 utenti. Whatsapp \u00e8 spesso citato come esempio poich\u00e9 \u00e8 molto esigente nei confronti dei proxy con autenticazione e non funzioner\u00e0 se non viene autorizzato prima dell'autenticazione. Andiamo su Servizi > SquidGuard Proxy Filter.<\/p>\n Nelle Opzioni LDAP inseriamo i dati del nostro account, utilizzato per l'autenticazione Kerberos, ma nel seguente formato:<\/p>\n Se ci sono spazi o caratteri non latini, \u00e8 necessario racchiudere l'intero record tra virgolette singole o doppie:<\/p>\n Successivamente, assicurati di selezionare queste opzioni:<\/p>\n
\nSar\u00e0 inoltre risolta la comune problematica legata all'implementazione della tecnologia di Single Sign-On (SSO), vale a dire le applicazioni che tentano di connettersi a Internet con le credenziali del proprio sistema.
\n<\/a><\/p>\nPreparazione all'installazione di Squid<\/h4>\n
Installazione e configurazione preliminare<\/h4>\n
![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nDopo aver creato con successo il file delle chiavi, lo invieremo al nostro pfSense. Ho usato Far per questo, ma \u00e8 possibile farlo anche tramite comandi, putty, o attraverso l'interfaccia web di pfSense nella sezione \"Diagnostica | Riga di comando\".<\/p>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nConfigurazione dell'autenticazione di Squid e della lista di accesso senza autenticazione<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nDurante il test, puoi anche aggiungere il flag -d, cio\u00e8 diagnostica, cos\u00ec verranno visualizzati pi\u00f9 log.
\nauth_param negotiate children 1000<\/i> \u2014 determina quanti processi di autorizzazione simultanei possono essere avviati
\nauth_param negotiate keep_alive on<\/i> \u2014 impedisce la disconnessione durante l'interrogazione della catena di autorizzazione
\nacl auth proxy_auth REQUIRED<\/i> \u2014 crea e richiede un elenco di controllo accessi, che include gli utenti autorizzati
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 informiamo Squid dell'elenco di accesso non autorizzato che contiene i domini di destinazione a cui sar\u00e0 sempre consentito l'accesso a tutti. Creiamo il file e all'interno scriviamo i domini nel formato<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 consentiamo l'accesso a questo elenco a tutti
\nhttp_access deny !auth<\/i> \u2014 neghiamo l'accesso agli utenti non autenticati agli altri siti
\nhttp_access allow auth<\/i> \u2014 permettiamo l'accesso agli utenti autenticati.
\nTutto, ora hai configurato Squid, \u00e8 tempo di iniziare a filtrare per gruppi.<\/p>\nConfigurazione di SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Proxy](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n