![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid met HTTPS-filtering + Single Sign-On (SSO) technologie met filtering op basis van Active Directory-groepen<\/p>\n
Het bedrijf had behoefte aan de implementatie van een proxyserver met de mogelijkheid om de toegang tot websites (inclusief https) te filteren op basis van AD-groepen, zodat gebruikers geen extra wachtwoorden hoefden in te voeren en het beheer via een webinterface kon plaatsvinden. Een mooie uitdaging, nietwaar?<\/p>\n
De juiste reactie zou zijn om oplossingen zoals Kerio Control of UserGate aan te schaffen, maar zoals altijd is er geen geld, terwijl de behoefte er wel is.<\/p>\n
Daar komt de oude vertrouwde Squid van pas, maar waar haal je weer die webinterface vandaan? SAMS2? Moreel verouderd. Daar komt pfSense weer om de hoek kijken.<\/p>\n
In dit artikel wordt een manier beschreven om de proxyserver Squid in te stellen.
\nVoor de gebruikersauthenticatie wordt Kerberos gebruikt.
\nVoor filtering op domeingroepen wordt SquidGuard gebruikt.<\/p>\n
Voor monitoring zullen Lightsquid, sqstat en de interne monitoringsystemen van pfSense worden gebruikt. We gebruiken pfSense als basis, Inst instructies voor installatie.<\/a><\/p>\n Waarin we authenticatie op de firewall zelf organiseren met behulp van domeinaccounts. Instructie.<\/a><\/p>\n Heel belangrijk!<\/p>\n Voordat je begint met de installatie van Squid, moet je DNS instellen de server<\/a> in pfSense, een A-record en PTR-record op onze DNS-server cre\u00ebren en NTP zo instellen dat de tijd niet verschilt van de tijd op de domeincontroller.<\/p>\n En in jouw netwerk de WAN-interface van pfSense toegang tot het internet geven, terwijl de gebruikers in het lokale netwerk verbinding maken met de LAN-interface, inclusief via poort 7445 en 3128 (in mijn geval 8080).<\/p>\n Alles klaar? De verbinding met het domein via LDAP voor autorisatie op pfSense is tot stand gebracht en de tijd is gesynchroniseerd? Geweldig. Het is tijd om met het hoofdproces te beginnen.<\/p>\n We installeren Squid, SquidGuard en LightSquid via de pakketbeheerder van pfSense in het gedeelte 'Systeem\/Pakketbeheerder'.<\/p>\n Na een succesvolle installatie gaan we naar 'Diensten\/Squid Proxy server\/' en eerst configureren we de cache in het tabblad Local Cache. Ik heb alles op 0 gezet, omdat ik geen zin zie in het cachen van websites; de browsers kunnen dat prima aan. Na de configuratie drukken we op de knop 'Opslaan' onderaan het scherm, waardoor we in staat zijn de belangrijkste proxy-instellingen uit te voeren.<\/p>\n We brengen de basisinstellingen als volgt in orde:<\/p>\n De standaardpoort is 3128, maar ik geef de voorkeur aan het gebruik van 8080.<\/p>\n De geselecteerde parameters in het tabblad Proxy Interface bepalen welke interfaces onze proxy zal beluisteren. server<\/a>Aangezien deze firewall zo is opgebouwd dat hij via de WAN-interface het internet bekijkt, zelfs als LAN en WAN zich in hetzelfde lokale subnet bevinden, raad ik aan om de LAN te gebruiken voor de proxy.<\/p>\n Loopback is nodig voor het functioneren van sqstat.<\/p>\n Hieronder vindt u de instellingen voor een Transparante (transparent) proxy en een SSL-filter, maar die hebben we niet nodig; onze proxy zal niet transparant zijn en voor de filtering van https zullen we geen certificaat vervalsen (we hebben tenslotte documentbeheer, banken en klanten, enz.), maar we zullen simpelweg de handdruk bekijken.<\/p>\n Op dit punt moeten we naar onze domeincontroller gaan, daar een account voor authenticatie aanmaken (we kunnen ook die gebruiken die we hebben ingesteld voor authenticatie op pfSense). Een zeer belangrijk punt is dat als u van plan bent om AES128 of AES256 encryptie te gebruiken, u de juiste vinkjes in de accountinstellingen moet zetten.<\/p>\n Als uw domein een vrij gecompliceerd bos is met een groot aantal catalogi of als uw domein .local is, dan is het MOGELIJK, maar niet zeker, dat u voor deze account een eenvoudig wachtwoord moet gebruiken; dit is een bekend probleem, maar een complex wachtwoord werkt mogelijk gewoon niet, dat moet per specifiek geval worden gecontroleerd.<\/p>\n Na dit alles genereren we een sleutelbestand voor Kerberos. Open de opdrachtprompt op de domeincontroller met beheerdersrechten en voer in:<\/p>\n Waarbij we onze FQDN pfSense opgeven, let op de hoofdlettergebruik, in de parameter mapuser voeren we ons domeinaccount en het wachtwoord in, en in crypto kiezen we de versleutelingsmethode; ik heb rc4 gebruikt voor de werking en in het veld -out kiezen we waar we ons voorbereide sleutelbestand naartoe sturen. Nu kunnen we het bestand \/etc\/krb5.conf bewerken of aanmaken.<\/p>\n waar \/etc\/krb5.keytab het door ons aangemaakte sleutelbestand is.<\/p>\n Controleer alstublieft de werking van Kerberos met behulp van kinit. Als het niet werkt, heeft het geen zin om verder te lezen.<\/p>\n Nadat we Kerberos succesvol hebben ingesteld, koppelen we dit aan onze Squid.<\/p>\n Ga hiervoor naar de diensten van het Squid Proxy Server en scrol naar beneden in de basiseinstellungen om de knop \"Uitgebreide instellingen\" te vinden.<\/p>\n In het veld Aangepaste opties (Before Auth) voeren we in:<\/p>\n auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth \u2014 kiest de benodigde Kerberos-authenticatiehelper.<\/i> met de waarde<\/p>\n Sleutel -s<\/i> GSS_C_NO_NAME \u2014 bepaalt het gebruik van een willekeurig account uit het sleutelbestand.<\/i> \u2014 bepaalt dat specifiek dit keytab-bestand gebruikt moet worden. In mijn geval is dit hetzelfde keytab-bestand dat we hebben aangemaakt, dat ik naar de directory \/usr\/local\/etc\/squid\/ heb gekopieerd en hernoemd, omdat Squid blijkbaar niet goed kon overweg met die directory, waarschijnlijk omdat het rechten ontbraken.<\/p>\n Sleutel -k<\/i> GSS_C_NO_NAME \/usr\/local\/etc\/squid\/squid.keytab<\/i> -t none<\/p>\n Sleutel -t<\/i> GSS_C_NO_NAME \u2014 schakelt cyclische aanvragen naar de domeincontroller uit, wat de belasting sterk vermindert als je meer dan 50 gebruikers hebt.<\/i> Voor testdoeleinden kan ook de sleutel -d worden toegevoegd \u2014 dat wil zeggen diagnostiek, er zullen meer logs worden weergegeven. http_access allow nonauth Ga naar Diensten > SquidGuard Proxy Filter.<\/p>\n Vul in LDAP-opties de gegevens in van ons account dat wordt gebruikt voor Kerberos-authenticatie, maar in het volgende formaat:<\/p>\n Als er spaties of niet-Latijnse tekens zijn, moet deze invoer tussen enkele of dubbele aanhalingstekens worden geplaatst:<\/p>\n Zorg er daarnaast voor dat deze opties zijn aangevinkt:<\/p>\n
\nOok zal een veelvoorkomend probleem worden opgelost dat verband houdt met de implementatie van de single sign-on (SSO) technologie, namelijk applicaties die proberen toegang tot internet te krijgen onder het account van de systeemaccount.
\n<\/a><\/p>\nVoorbereiding op de installatie van Squid<\/h4>\n
Installatie en voorlopige configuratie<\/h4>\n
![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nNa succesvolle creatie van het sleutelbestand zullen we dit naar onze pfSense sturen. Ik heb Far hiervoor gebruikt, maar het kan ook gedaan worden via commando's, putty of via de webinterface van pfSense in het gedeelte \"Diagnose - Opdrachtregel\".<\/p>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nConfiguratie van Squid-authenticatie en toegangslijst zonder authenticatie.<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nauth_param negotiate children 1000
\n\u2014 bepaalt hoeveel gelijktijdige authenticatieprocessen er kunnen worden gestart.<\/i> auth_param negotiate keep_alive on
\n\u2014 voorkomt dat de verbinding wordt verbroken tijdens het ondervragen van de authenticatieketen.<\/i> acl auth proxy_auth REQUIRED
\n\u2014 maakt en vereist een toegangscontrolelijst die de geauthentiseerde gebruikers bevat.<\/i> acl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\"
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> .whatsapp.com\n.whatsapp.net<\/p>\nWhatsapp wordt niet voor niets als voorbeeld gebruikt \u2014 het is erg kieskeurig met proxies met authenticatie en zal niet werken als het niet is toegestaan v\u00f3\u00f3r de authenticatie.<\/code><\/pre>\n
\n\u2014 staat toegang tot deze lijst voor iedereen toe.<\/i> http_access deny !auth
\n\u2014 weigert toegang voor niet-geauthenticeerde gebruikers tot andere websites.<\/i> http_access allow auth
\nhttp_access allow auth<\/i> \u2014 toegang toestaan voor geauthenticeerde gebruikers.
\nAlles is ingesteld, nu is het tijd om te filteren op groepen.<\/p>\nInstelling van SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n