ਡੋਮੇਨ ਪ੍ਰਮਾਣਿਕਤਾ ਵਾਲੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਲਈ ਮੁਫਤ ਪ੍ਰੌਕਸੀ ਸਰਵਰ

https ਫਿਲਟਰਿੰਗ ਦੇ ਨਾਲ pfSense+Squid + ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਗਰੁੱਪ ਫਿਲਟਰਿੰਗ ਦੇ ਨਾਲ ਸਿੰਗਲ ਸਾਈਨ-ਆਨ (SSO)

ਸੰਖੇਪ ਪਿਛੋਕੜ

ਕੰਪਨੀ ਨੂੰ AD ਤੋਂ ਸਮੂਹਾਂ ਦੁਆਰਾ ਸਾਈਟਾਂ (https ਸਮੇਤ) ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੇ ਨਾਲ ਇੱਕ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਲੋੜ ਸੀ ਤਾਂ ਜੋ ਉਪਭੋਗਤਾ ਕੋਈ ਵਾਧੂ ਪਾਸਵਰਡ ਦਾਖਲ ਨਾ ਕਰਨ, ਅਤੇ ਵੈਬ ਇੰਟਰਫੇਸ ਤੋਂ ਪ੍ਰਬੰਧਿਤ ਕੀਤਾ ਜਾ ਸਕੇ। ਵਧੀਆ ਐਪਲੀਕੇਸ਼ਨ, ਹੈ ਨਾ?

ਸਹੀ ਜਵਾਬ ਇਹ ਹੋਵੇਗਾ ਕਿ ਕੇਰੀਓ ਕੰਟਰੋਲ ਜਾਂ ਯੂਜ਼ਰਗੇਟ ਵਰਗੇ ਹੱਲ ਖਰੀਦਣਾ, ਪਰ ਹਮੇਸ਼ਾ ਵਾਂਗ ਪੈਸਾ ਨਹੀਂ ਹੈ, ਪਰ ਲੋੜ ਹੈ।

ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਚੰਗਾ ਪੁਰਾਣਾ ਸਕੁਇਡ ਬਚਾਅ ਲਈ ਆਉਂਦਾ ਹੈ, ਪਰ ਦੁਬਾਰਾ - ਮੈਂ ਇੱਕ ਵੈਬ ਇੰਟਰਫੇਸ ਕਿੱਥੋਂ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹਾਂ? SAMS2? ਨੈਤਿਕ ਤੌਰ 'ਤੇ ਪੁਰਾਣਾ। ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ pfSense ਬਚਾਅ ਲਈ ਆਉਂਦਾ ਹੈ.

ਵੇਰਵਾ

ਇਹ ਲੇਖ ਵਰਣਨ ਕਰੇਗਾ ਕਿ ਸਕੁਇਡ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਨੂੰ ਕਿਵੇਂ ਕੌਂਫਿਗਰ ਕਰਨਾ ਹੈ।
Kerberos ਦੀ ਵਰਤੋਂ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਅਧਿਕਾਰਤ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਵੇਗੀ।
SquidGuard ਦੀ ਵਰਤੋਂ ਡੋਮੇਨ ਸਮੂਹਾਂ ਦੁਆਰਾ ਫਿਲਟਰ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਵੇਗੀ।

ਨਿਗਰਾਨੀ ਲਈ Lightsquid, sqstat ਅਤੇ ਅੰਦਰੂਨੀ pfSense ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਵੇਗੀ।
ਇਹ ਸਿੰਗਲ ਸਾਈਨ-ਆਨ (SSO) ਤਕਨਾਲੋਜੀ ਦੀ ਸ਼ੁਰੂਆਤ ਨਾਲ ਜੁੜੀ ਇੱਕ ਆਮ ਸਮੱਸਿਆ ਨੂੰ ਵੀ ਹੱਲ ਕਰੇਗਾ, ਅਰਥਾਤ ਐਪਲੀਕੇਸ਼ਨ ਜੋ ਕੰਪਾਸ ਖਾਤੇ ਦੇ ਅਧੀਨ ਆਪਣੇ ਸਿਸਟਮ ਖਾਤੇ ਦੇ ਨਾਲ ਇੰਟਰਨੈਟ ਸਰਫ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੀਆਂ ਹਨ।

ਸਕੁਇਡ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਦੀ ਤਿਆਰੀ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ

pfSense ਨੂੰ ਆਧਾਰ ਵਜੋਂ ਲਿਆ ਜਾਵੇਗਾ, ਇੰਸਟਾਲੇਸ਼ਨ ਨਿਰਦੇਸ਼.

ਜਿਸ ਦੇ ਅੰਦਰ ਅਸੀਂ ਡੋਮੇਨ ਖਾਤਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਫਾਇਰਵਾਲ 'ਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਪ੍ਰਬੰਧ ਕਰਦੇ ਹਾਂ। ਨਿਰਦੇਸ਼

ਬਹੁਤ ਹੀ ਮਹੱਤਵਪੂਰਨ!

ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਤੁਸੀਂ ਸਕੁਇਡ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰੋ, ਤੁਹਾਨੂੰ DNS ਸਰਵਰ ਨੂੰ pfsense ਵਿੱਚ ਕੌਂਫਿਗਰ ਕਰਨ, ਸਾਡੇ DNS ਸਰਵਰ 'ਤੇ ਇਸਦੇ ਲਈ ਇੱਕ A ਰਿਕਾਰਡ ਅਤੇ ਇੱਕ PTR ਰਿਕਾਰਡ ਬਣਾਉਣ, ਅਤੇ NTP ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਤਾਂ ਜੋ ਸਮਾਂ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਦੇ ਸਮੇਂ ਨਾਲੋਂ ਵੱਖਰਾ ਨਾ ਹੋਵੇ।

ਅਤੇ ਆਪਣੇ ਨੈੱਟਵਰਕ 'ਤੇ, pfSense ਦੇ WAN ਇੰਟਰਫੇਸ ਲਈ ਇੰਟਰਨੈੱਟ 'ਤੇ ਜਾਣ ਦੀ ਯੋਗਤਾ ਪ੍ਰਦਾਨ ਕਰੋ, ਅਤੇ ਸਥਾਨਕ ਨੈੱਟਵਰਕ 'ਤੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ LAN ਇੰਟਰਫੇਸ ਨਾਲ ਕਨੈਕਟ ਕਰਨ ਲਈ, ਪੋਰਟ 7445 ਅਤੇ 3128 (ਮੇਰੇ ਕੇਸ ਵਿੱਚ 8080) ਸਮੇਤ।

ਸਭ ਤਿਆਰ ਹੈ? ਕੀ LDAP ਕੁਨੈਕਸ਼ਨ pfSense 'ਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਡੋਮੇਨ ਨਾਲ ਸਥਾਪਿਤ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਸਮਾਂ ਸਮਕਾਲੀ ਹੈ? ਮਹਾਨ। ਇਹ ਮੁੱਖ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰਨ ਦਾ ਸਮਾਂ ਹੈ.

ਇੰਸਟਾਲੇਸ਼ਨ ਅਤੇ ਪ੍ਰੀ-ਸੰਰਚਨਾ

Squid, SquidGuard ਅਤੇ LightSquid ਨੂੰ "ਸਿਸਟਮ/ਪੈਕੇਜ ਮੈਨੇਜਰ" ਭਾਗ ਵਿੱਚ pfSense ਪੈਕੇਜ ਮੈਨੇਜਰ ਤੋਂ ਸਥਾਪਿਤ ਕੀਤਾ ਜਾਵੇਗਾ।

ਸਫਲਤਾਪੂਰਵਕ ਇੰਸਟਾਲੇਸ਼ਨ ਤੋਂ ਬਾਅਦ, "ਸੇਵਾਵਾਂ / ਸਕੁਇਡ ਪ੍ਰੌਕਸੀ ਸਰਵਰ /" ਤੇ ਜਾਓ ਅਤੇ ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਸਥਾਨਕ ਕੈਸ਼ ਟੈਬ ਵਿੱਚ, ਕੈਚਿੰਗ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰੋ, ਮੈਂ ਹਰ ਚੀਜ਼ ਨੂੰ 0 'ਤੇ ਸੈੱਟ ਕਰਦਾ ਹਾਂ, ਕਿਉਂਕਿ ਮੈਂ ਸਾਈਟਾਂ ਨੂੰ ਕੈਚ ਕਰਨ ਵਿੱਚ ਬਹੁਤ ਜ਼ਿਆਦਾ ਬਿੰਦੂ ਨਹੀਂ ਦੇਖਦਾ, ਬ੍ਰਾਉਜ਼ਰ ਇਸ ਨਾਲ ਬਹੁਤ ਵਧੀਆ ਕੰਮ ਕਰਦੇ ਹਨ. ਸੈੱਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਸਕ੍ਰੀਨ ਦੇ ਹੇਠਾਂ "ਸੇਵ" ਬਟਨ ਨੂੰ ਦਬਾਓ ਅਤੇ ਇਹ ਸਾਨੂੰ ਬੁਨਿਆਦੀ ਪ੍ਰੌਕਸੀ ਸੈਟਿੰਗਾਂ ਕਰਨ ਦਾ ਮੌਕਾ ਦੇਵੇਗਾ।

ਮੁੱਖ ਸੈਟਿੰਗਾਂ ਇਸ ਪ੍ਰਕਾਰ ਹਨ:

ਡਿਫੌਲਟ ਪੋਰਟ 3128 ਹੈ, ਪਰ ਮੈਂ 8080 ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਪਸੰਦ ਕਰਦਾ ਹਾਂ.

ਪ੍ਰੌਕਸੀ ਇੰਟਰਫੇਸ ਟੈਬ ਵਿੱਚ ਚੁਣੇ ਗਏ ਪੈਰਾਮੀਟਰ ਇਹ ਨਿਰਧਾਰਤ ਕਰਦੇ ਹਨ ਕਿ ਸਾਡਾ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਕਿਹੜੇ ਇੰਟਰਫੇਸ ਸੁਣੇਗਾ। ਕਿਉਂਕਿ ਇਹ ਫਾਇਰਵਾਲ ਇਸ ਤਰੀਕੇ ਨਾਲ ਬਣਾਇਆ ਗਿਆ ਹੈ ਕਿ ਇਹ ਇੰਟਰਨੈਟ 'ਤੇ WAN ਇੰਟਰਫੇਸ ਦੇ ਰੂਪ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ, ਭਾਵੇਂ LAN ਅਤੇ WAN ਇੱਕੋ ਸਥਾਨਕ ਸਬਨੈੱਟ 'ਤੇ ਹੋ ਸਕਦੇ ਹਨ, ਮੈਂ ਪ੍ਰੌਕਸੀ ਲਈ LAN ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕਰਦਾ ਹਾਂ।

sqstat ਨੂੰ ਕੰਮ ਕਰਨ ਲਈ ਲੂਪਬੈਕ ਦੀ ਲੋੜ ਹੈ।

ਹੇਠਾਂ ਤੁਹਾਨੂੰ ਪਾਰਦਰਸ਼ੀ (ਪਾਰਦਰਸ਼ੀ) ਪ੍ਰੌਕਸੀ ਸੈਟਿੰਗਾਂ, ਨਾਲ ਹੀ SSL ਫਿਲਟਰ ਵੀ ਮਿਲੇਗਾ, ਪਰ ਸਾਨੂੰ ਉਹਨਾਂ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਸਾਡੀ ਪ੍ਰੌਕਸੀ ਪਾਰਦਰਸ਼ੀ ਨਹੀਂ ਹੋਵੇਗੀ, ਅਤੇ https ਫਿਲਟਰਿੰਗ ਲਈ ਅਸੀਂ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਨਹੀਂ ਬਦਲਾਂਗੇ (ਸਾਡੇ ਕੋਲ ਦਸਤਾਵੇਜ਼ ਪ੍ਰਵਾਹ ਹੈ, ਬੈਂਕ ਗਾਹਕ, ਆਦਿ), ਆਓ ਹੁਣੇ ਹੱਥ ਮਿਲਾਉਣ ਨੂੰ ਵੇਖੀਏ।

ਇਸ ਪੜਾਅ 'ਤੇ, ਸਾਨੂੰ ਆਪਣੇ ਡੋਮੇਨ ਕੰਟਰੋਲਰ 'ਤੇ ਜਾਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ, ਇਸ ਵਿੱਚ ਇੱਕ ਪ੍ਰਮਾਣਿਕਤਾ ਖਾਤਾ ਬਣਾਉਣਾ ਹੈ (ਤੁਸੀਂ ਉਸ ਨੂੰ ਵੀ ਵਰਤ ਸਕਦੇ ਹੋ ਜੋ ਖੁਦ pfSense 'ਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਸੀ)। ਇੱਥੇ ਇੱਕ ਬਹੁਤ ਮਹੱਤਵਪੂਰਨ ਕਾਰਕ ਹੈ - ਜੇਕਰ ਤੁਸੀਂ AES128 ਜਾਂ AES256 ਇਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਇਰਾਦਾ ਰੱਖਦੇ ਹੋ - ਤਾਂ ਆਪਣੀਆਂ ਖਾਤਾ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਢੁਕਵੇਂ ਬਕਸਿਆਂ ਦੀ ਜਾਂਚ ਕਰੋ।

ਜੇਕਰ ਤੁਹਾਡਾ ਡੋਮੇਨ ਬਹੁਤ ਸਾਰੀਆਂ ਡਾਇਰੈਕਟਰੀਆਂ ਵਾਲਾ ਇੱਕ ਬਹੁਤ ਹੀ ਗੁੰਝਲਦਾਰ ਜੰਗਲ ਹੈ ਜਾਂ ਤੁਹਾਡਾ ਡੋਮੇਨ .local ਹੈ, ਤਾਂ ਇਹ ਸੰਭਵ ਹੈ, ਪਰ ਨਿਸ਼ਚਿਤ ਨਹੀਂ ਹੈ ਕਿ ਤੁਹਾਨੂੰ ਇਸ ਖਾਤੇ ਲਈ ਇੱਕ ਸਧਾਰਨ ਪਾਸਵਰਡ ਵਰਤਣਾ ਪਵੇਗਾ, ਬੱਗ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ, ਪਰ ਇਹ ਸ਼ਾਇਦ ਇੱਕ ਗੁੰਝਲਦਾਰ ਪਾਸਵਰਡ ਨਾਲ ਕੰਮ ਨਾ ਕਰੇ, ਤੁਹਾਨੂੰ ਇੱਕ ਖਾਸ ਖਾਸ ਕੇਸ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਉਸ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ kerberos ਲਈ ਇੱਕ ਕੁੰਜੀ ਫਾਈਲ ਬਣਾਉਂਦੇ ਹਾਂ, ਡੋਮੇਨ ਕੰਟਰੋਲਰ 'ਤੇ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ਇੱਕ ਕਮਾਂਡ ਪ੍ਰੋਂਪਟ ਖੋਲ੍ਹਦੇ ਹਾਂ ਅਤੇ ਦਰਜ ਕਰਦੇ ਹਾਂ:

# ktpass -princ HTTP/[email protected] -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab

ਜਿੱਥੇ ਅਸੀਂ ਆਪਣੇ FQDN pfSense ਨੂੰ ਦਰਸਾਉਂਦੇ ਹਾਂ, ਕੇਸ ਦਾ ਆਦਰ ਕਰਨਾ ਯਕੀਨੀ ਬਣਾਓ, ਮੈਪਿਊਜ਼ਰ ਪੈਰਾਮੀਟਰ ਵਿੱਚ ਸਾਡਾ ਡੋਮੇਨ ਖਾਤਾ ਅਤੇ ਇਸਦਾ ਪਾਸਵਰਡ ਦਰਜ ਕਰੋ, ਅਤੇ ਕ੍ਰਿਪਟੋ ਵਿੱਚ ਅਸੀਂ ਏਨਕ੍ਰਿਪਸ਼ਨ ਵਿਧੀ ਦੀ ਚੋਣ ਕਰਦੇ ਹਾਂ, ਮੈਂ ਕੰਮ ਲਈ rc4 ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਹੈ ਅਤੇ -ਆਊਟ ਖੇਤਰ ਵਿੱਚ ਅਸੀਂ ਚੁਣਦੇ ਹਾਂ ਕਿ ਅਸੀਂ ਕਿੱਥੇ ਸਾਡੀ ਮੁਕੰਮਲ ਕੁੰਜੀ ਫਾਈਲ ਭੇਜੇਗਾ।
ਕੁੰਜੀ ਫਾਈਲ ਨੂੰ ਸਫਲਤਾਪੂਰਵਕ ਬਣਾਉਣ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਇਸਨੂੰ ਆਪਣੇ pfSense ਨੂੰ ਭੇਜਾਂਗੇ, ਮੈਂ ਇਸਦੇ ਲਈ ਫਾਰ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਹੈ, ਪਰ ਤੁਸੀਂ ਇਸਨੂੰ ਕਮਾਂਡਾਂ ਅਤੇ ਪੁਟੀ ਨਾਲ ਜਾਂ "ਡਾਇਗਨੌਸਟਿਕਸ ਕਮਾਂਡ ਲਾਈਨ" ਭਾਗ ਵਿੱਚ pfSense ਵੈੱਬ ਇੰਟਰਫੇਸ ਦੁਆਰਾ ਵੀ ਕਰ ਸਕਦੇ ਹੋ।

ਹੁਣ ਅਸੀਂ /etc/krb5.conf ਨੂੰ ਐਡਿਟ/ਬਣਾ ਸਕਦੇ ਹਾਂ

ਜਿੱਥੇ /etc/krb5.keytab ਕੁੰਜੀ ਫਾਈਲ ਹੈ ਜੋ ਅਸੀਂ ਬਣਾਈ ਹੈ।

ਕਿਨਿਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਕਰਬੇਰੋਸ ਦੀ ਕਾਰਵਾਈ ਦੀ ਜਾਂਚ ਕਰਨਾ ਯਕੀਨੀ ਬਣਾਓ, ਜੇਕਰ ਇਹ ਕੰਮ ਨਹੀਂ ਕਰਦਾ ਹੈ, ਤਾਂ ਅੱਗੇ ਪੜ੍ਹਨ ਦਾ ਕੋਈ ਮਤਲਬ ਨਹੀਂ ਹੈ।

ਬਿਨਾਂ ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਸਕੁਇਡ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਪਹੁੰਚ ਸੂਚੀ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨਾ

ਕਰਬੇਰੋਸ ਨੂੰ ਸਫਲਤਾਪੂਰਵਕ ਸੰਰਚਿਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਇਸਨੂੰ ਆਪਣੇ ਸਕੁਇਡ ਨਾਲ ਜੋੜਾਂਗੇ।

ਅਜਿਹਾ ਕਰਨ ਲਈ, ਸਰਵਿਸਸਕੁਇਡ ਪ੍ਰੌਕਸੀ ਸਰਵਰ 'ਤੇ ਜਾਓ ਅਤੇ ਮੁੱਖ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਬਹੁਤ ਹੇਠਾਂ ਜਾਓ, ਉੱਥੇ ਸਾਨੂੰ "ਐਡਵਾਂਸਡ ਸੈਟਿੰਗਜ਼" ਬਟਨ ਮਿਲੇਗਾ।

ਕਸਟਮ ਵਿਕਲਪ (ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਪਹਿਲਾਂ) ਖੇਤਰ ਵਿੱਚ, ਦਾਖਲ ਕਰੋ:

#Хелперы
auth_param negotiate program /usr/local/libexec/squid/negotiate_kerberos_auth -s GSS_C_NO_NAME -k /usr/local/etc/squid/squid.keytab -t none
auth_param negotiate children 1000
auth_param negotiate keep_alive on
#Списки доступа
acl auth proxy_auth REQUIRED
acl nonauth dstdomain "/etc/squid/nonauth.txt" 
#Разрешения 
http_access allow nonauth 
http_access deny !auth
http_access allow auth

ਕਿੱਥੇ auth_param ਗੱਲਬਾਤ ਪ੍ਰੋਗਰਾਮ /usr/local/libexec/squid/negotiate_kerberos_auth - ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਬੇਰੋਸ ਸਹਾਇਕ ਦੀ ਚੋਣ ਕਰਦਾ ਹੈ ਜਿਸਦੀ ਸਾਨੂੰ ਲੋੜ ਹੈ।

ਕੁੰਜੀ -s ਅਰਥ ਦੇ ਨਾਲ GSS_C_NO_NAME — ਕੁੰਜੀ ਫਾਈਲ ਤੋਂ ਕਿਸੇ ਵੀ ਖਾਤੇ ਦੀ ਵਰਤੋਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ।

ਕੁੰਜੀ -k ਅਰਥ ਦੇ ਨਾਲ /usr/local/etc/squid/squid.keytab - ਇਸ ਖਾਸ ਕੀਟੈਬ ਫਾਈਲ ਨੂੰ ਵਰਤਣ ਲਈ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ। ਮੇਰੇ ਕੇਸ ਵਿੱਚ, ਇਹ ਉਹੀ ਕੀਟੈਬ ਫਾਈਲ ਹੈ ਜੋ ਅਸੀਂ ਬਣਾਈ ਹੈ, ਜਿਸ ਨੂੰ ਮੈਂ /usr/local/etc/squid/ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਕਾਪੀ ਕੀਤਾ ਹੈ ਅਤੇ ਇਸਦਾ ਨਾਮ ਬਦਲਿਆ ਹੈ, ਕਿਉਂਕਿ ਸਕੁਇਡ ਉਸ ਡਾਇਰੈਕਟਰੀ ਨਾਲ ਦੋਸਤ ਨਹੀਂ ਬਣਨਾ ਚਾਹੁੰਦਾ ਸੀ, ਜ਼ਾਹਰ ਹੈ ਕਿ ਉੱਥੇ ਨਹੀਂ ਸਨ। ਕਾਫ਼ੀ ਅਧਿਕਾਰ.

ਕੁੰਜੀ -t ਅਰਥ ਦੇ ਨਾਲ - ਕੋਈ ਨਹੀਂ - ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਨੂੰ ਚੱਕਰਵਾਤੀ ਬੇਨਤੀਆਂ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ, ਜੋ ਇਸ 'ਤੇ ਲੋਡ ਨੂੰ ਬਹੁਤ ਘੱਟ ਕਰਦਾ ਹੈ ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ 50 ਤੋਂ ਵੱਧ ਉਪਭੋਗਤਾ ਹਨ।
ਟੈਸਟ ਦੀ ਮਿਆਦ ਲਈ, ਤੁਸੀਂ -d ਕੁੰਜੀ ਵੀ ਜੋੜ ਸਕਦੇ ਹੋ - ਯਾਨੀ ਡਾਇਗਨੌਸਟਿਕਸ, ਹੋਰ ਲੌਗ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੇ ਜਾਣਗੇ।
auth_param ਬੱਚਿਆਂ ਨੂੰ 1000 ਗੱਲਬਾਤ ਕਰਦੇ ਹਨ - ਇਹ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ ਕਿ ਕਿੰਨੀਆਂ ਇੱਕੋ ਸਮੇਂ ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਕਿਰਿਆਵਾਂ ਚਲਾਈਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ
auth_param negotiate keep_alive on - ਅਧਿਕਾਰ ਲੜੀ ਦੇ ਪੋਲਿੰਗ ਦੌਰਾਨ ਕੁਨੈਕਸ਼ਨ ਤੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦਾ
acl auth proxy_auth ਦੀ ਲੋੜ ਹੈ - ਇੱਕ ਪਹੁੰਚ ਨਿਯੰਤਰਣ ਸੂਚੀ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਲੋੜੀਂਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਉਹ ਉਪਭੋਗਤਾ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਨੇ ਅਧਿਕਾਰ ਪਾਸ ਕੀਤਾ ਹੈ
acl nonauth dstdomain "/etc/squid/nonauth.txt" - ਅਸੀਂ ਸਕੁਇਡ ਨੂੰ nonauth ਪਹੁੰਚ ਸੂਚੀ ਬਾਰੇ ਸੂਚਿਤ ਕਰਦੇ ਹਾਂ, ਜਿਸ ਵਿੱਚ ਮੰਜ਼ਿਲ ਡੋਮੇਨ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ, ਜਿਸ ਤੱਕ ਹਰ ਕਿਸੇ ਨੂੰ ਹਮੇਸ਼ਾਂ ਪਹੁੰਚ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਅਸੀਂ ਫਾਈਲ ਖੁਦ ਬਣਾਉਂਦੇ ਹਾਂ, ਅਤੇ ਇਸਦੇ ਅੰਦਰ ਅਸੀਂ ਫਾਰਮੈਟ ਵਿੱਚ ਡੋਮੇਨ ਦਰਜ ਕਰਦੇ ਹਾਂ

.whatsapp.com
.whatsapp.net

Whatsapp ਇੱਕ ਉਦਾਹਰਨ ਦੇ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਗਿਆ ਵਿਅਰਥ ਨਹੀਂ ਹੈ - ਇਹ ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਨਾਲ ਪ੍ਰੌਕਸੀ ਬਾਰੇ ਬਹੁਤ ਵਧੀਆ ਹੈ ਅਤੇ ਇਹ ਕੰਮ ਨਹੀਂ ਕਰੇਗਾ ਜੇਕਰ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਪਹਿਲਾਂ ਇਸਨੂੰ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ.
http_access nonauth ਦੀ ਇਜਾਜ਼ਤ ਦਿਓ - ਹਰ ਕਿਸੇ ਨੂੰ ਇਸ ਸੂਚੀ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿਓ
http_access ਇਨਕਾਰ !auth - ਅਸੀਂ ਅਣਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਹੋਰ ਸਾਈਟਾਂ ਤੱਕ ਪਹੁੰਚ 'ਤੇ ਪਾਬੰਦੀ ਲਗਾਉਂਦੇ ਹਾਂ
http_access ਦੀ ਆਗਿਆ ਦਿਓ - ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿਓ.
ਬੱਸ ਇਹ ਹੈ, ਸਕੁਇਡ ਆਪਣੇ ਆਪ ਨੂੰ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਹੁਣ ਇਹ ਸਮੂਹਾਂ ਦੁਆਰਾ ਫਿਲਟਰ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰਨ ਦਾ ਸਮਾਂ ਹੈ.

SquidGuard ਨੂੰ ਕੌਂਫਿਗਰ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ

ServicesSquidGuard ਪ੍ਰੌਕਸੀ ਫਿਲਟਰ 'ਤੇ ਜਾਓ।

LDAP ਵਿਕਲਪਾਂ ਵਿੱਚ ਅਸੀਂ ਕਰਬੇਰੋਜ਼ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਵਰਤੇ ਗਏ ਸਾਡੇ ਖਾਤੇ ਦਾ ਡੇਟਾ ਦਾਖਲ ਕਰਦੇ ਹਾਂ, ਪਰ ਹੇਠਾਂ ਦਿੱਤੇ ਫਾਰਮੈਟ ਵਿੱਚ:

CN=pfsense,OU=service-accounts,DC=domain,DC=local

ਜੇਕਰ ਸਪੇਸ ਜਾਂ ਗੈਰ-ਲਾਤੀਨੀ ਅੱਖਰ ਹਨ, ਤਾਂ ਇਹ ਪੂਰੀ ਐਂਟਰੀ ਸਿੰਗਲ ਜਾਂ ਡਬਲ ਕੋਟਸ ਵਿੱਚ ਬੰਦ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ:

'CN=sg,OU=service-accounts,DC=domain,DC=local'
"CN=sg,OU=service-accounts,DC=domain,DC=local"

ਅੱਗੇ, ਇਹਨਾਂ ਬਾਕਸਾਂ ਨੂੰ ਚੈੱਕ ਕਰਨਾ ਯਕੀਨੀ ਬਣਾਓ:

ਬੇਲੋੜੀ DOMAINpfsense ਨੂੰ ਕੱਟਣ ਲਈ DOMAIN.ਲੋਕਲ ਜਿਸ ਲਈ ਪੂਰਾ ਸਿਸਟਮ ਬਹੁਤ ਸੰਵੇਦਨਸ਼ੀਲ ਹੈ।

ਹੁਣ ਅਸੀਂ ਗਰੁੱਪ Acl ਤੇ ਜਾਂਦੇ ਹਾਂ ਅਤੇ ਸਾਡੇ ਡੋਮੇਨ ਐਕਸੈਸ ਸਮੂਹਾਂ ਨੂੰ ਬੰਨ੍ਹਦੇ ਹਾਂ, ਮੈਂ 0 ਤੱਕ ਗਰੁੱਪ_1, ਗਰੁੱਪ_3, ਆਦਿ ਵਰਗੇ ਸਧਾਰਨ ਨਾਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹਾਂ, ਜਿੱਥੇ 3 ਸਿਰਫ ਸਫੈਦ ਸੂਚੀ ਤੱਕ ਪਹੁੰਚ ਹੈ, ਅਤੇ 0 - ਸਭ ਕੁਝ ਸੰਭਵ ਹੈ.

ਸਮੂਹ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਜੁੜੇ ਹੋਏ ਹਨ:

ldapusersearch ldap://dc.domain.local:3268/DC=DOMAIN,DC=LOCAL?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=group_0%2cOU=squid%2cOU=service-groups%2cDC=DOMAIN%2cDC=LOCAL))

ਸਾਡੇ ਗਰੁੱਪ ਨੂੰ ਸੇਵ ਕਰੋ, ਟਾਈਮਜ਼ 'ਤੇ ਜਾਓ, ਉੱਥੇ ਮੈਂ ਇੱਕ ਗੈਪ ਬਣਾਇਆ ਹੈ ਜਿਸਦਾ ਮਤਲਬ ਇਹ ਹਮੇਸ਼ਾ ਕੰਮ ਕਰੇਗਾ, ਹੁਣ ਟਾਰਗੇਟ ਕੈਟਾਗਰੀਆਂ 'ਤੇ ਜਾਓ ਅਤੇ ਆਪਣੀ ਮਰਜ਼ੀ ਨਾਲ ਸੂਚੀਆਂ ਬਣਾਓ, ਸੂਚੀਆਂ ਬਣਾਉਣ ਤੋਂ ਬਾਅਦ ਅਸੀਂ ਆਪਣੇ ਸਮੂਹਾਂ ਵਿੱਚ ਅਤੇ ਸਮੂਹ ਦੇ ਅੰਦਰ, ਚੁਣਨ ਲਈ ਬਟਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ। ਕੌਣ ਕਿੱਥੇ ਜਾ ਸਕਦਾ ਹੈ, ਅਤੇ ਕੌਣ ਕਿੱਥੇ ਨਹੀਂ ਜਾ ਸਕਦਾ।

LightSquid ਅਤੇ sqstat

ਜੇਕਰ ਕੌਂਫਿਗਰੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਦੇ ਦੌਰਾਨ ਅਸੀਂ ਸਕੁਇਡ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਇੱਕ ਲੂਪਬੈਕ ਚੁਣਿਆ ਹੈ ਅਤੇ ਫਾਇਰਵਾਲ ਵਿੱਚ 7445 ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਨੂੰ ਆਪਣੇ ਨੈਟਵਰਕ ਅਤੇ pfSense ਦੋਵਾਂ ਵਿੱਚ ਖੋਲ੍ਹਿਆ ਹੈ, ਤਾਂ ਜਦੋਂ ਅਸੀਂ ਸਕੁਇਡ ਪ੍ਰੌਕਸੀ ਰਿਪੋਰਟਾਂ ਦੇ ਨਿਦਾਨ 'ਤੇ ਜਾਂਦੇ ਹਾਂ, ਤਾਂ ਅਸੀਂ ਆਸਾਨੀ ਨਾਲ sqstat ਅਤੇ ਦੋਵੇਂ ਖੋਲ੍ਹ ਸਕਦੇ ਹਾਂ। Lighsquid, ਬਾਅਦ ਵਾਲੇ ਲਈ ਸਾਨੂੰ ਉਸੇ ਜਗ੍ਹਾ ਦੀ ਲੋੜ ਪਵੇਗੀ, ਇੱਕ ਉਪਭੋਗਤਾ ਨਾਮ ਅਤੇ ਪਾਸਵਰਡ ਦੇ ਨਾਲ ਆਓ, ਅਤੇ ਇੱਕ ਡਿਜ਼ਾਈਨ ਚੁਣਨ ਦਾ ਮੌਕਾ ਵੀ ਹੈ.

ਪੂਰਾ ਕਰਨਾ

pfSense ਇੱਕ ਬਹੁਤ ਸ਼ਕਤੀਸ਼ਾਲੀ ਟੂਲ ਹੈ ਜੋ ਬਹੁਤ ਸਾਰੀਆਂ ਚੀਜ਼ਾਂ ਕਰ ਸਕਦਾ ਹੈ - ਦੋਵੇਂ ਟ੍ਰੈਫਿਕ ਪ੍ਰੌਕਸਿੰਗ ਅਤੇ ਇੰਟਰਨੈਟ ਤੱਕ ਉਪਭੋਗਤਾ ਦੀ ਪਹੁੰਚ 'ਤੇ ਨਿਯੰਤਰਣ ਪੂਰੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਦਾ ਇੱਕ ਹਿੱਸਾ ਹਨ, ਫਿਰ ਵੀ, 500 ਮਸ਼ੀਨਾਂ ਵਾਲੇ ਇੱਕ ਉੱਦਮ ਵਿੱਚ, ਇਸਨੇ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕੀਤਾ ਅਤੇ ਬਚਾਇਆ। ਇੱਕ ਪ੍ਰੌਕਸੀ ਖਰੀਦਣਾ.

ਮੈਨੂੰ ਉਮੀਦ ਹੈ ਕਿ ਇਹ ਲੇਖ ਕਿਸੇ ਨੂੰ ਅਜਿਹੀ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰੇਗਾ ਜੋ ਮੱਧਮ ਅਤੇ ਵੱਡੇ ਉਦਯੋਗਾਂ ਲਈ ਕਾਫ਼ੀ ਢੁਕਵੀਂ ਹੈ।

ਸਰੋਤ: www.habr.com