![\"Darmowy](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid z filtrowaniem https + Technologia jednolitych zapis\u00f3w (SSO) z filtrowaniem wed\u0142ug grup Active Directory<\/p>\n
W przedsi\u0119biorstwie pojawi\u0142a si\u0119 potrzeba wdro\u017cenia serwera proxy z mo\u017cliwo\u015bci\u0105 filtrowania dost\u0119pu do stron (w tym https) wed\u0142ug grup z AD, aby u\u017cytkownicy nie musieli wpisywa\u0107 \u017cadnych dodatkowych hase\u0142, a zarz\u0105dzanie mog\u0142o odbywa\u0107 si\u0119 za pomoc\u0105 interfejsu webowego. Ca\u0142kiem dobra propozycja, prawda?<\/p>\n
Odpowiednim rozwi\u0105zaniem by\u0142oby zakupienie takich rozwi\u0105za\u0144 jak Kerio Control lub UserGate, ale jak zwykle brak funduszy, a potrzeba istnieje.<\/p>\n
I tu z pomoc\u0105 przychodzi stary, dobry Squid, ale zn\u00f3w pojawia si\u0119 pytanie \u2014 sk\u0105d wzi\u0105\u0107 interfejs webowy? SAMS2? Moralnie przestarza\u0142y. Tu z pomoc\u0105 przychodzi pfSense.<\/p>\n
W niniejszym artykule zostanie opisany spos\u00f3b konfiguracji serwera proxy Squid.
\nDo autoryzacji u\u017cytkownik\u00f3w wykorzystany zostanie Kerberos.
\nDo filtrowania wed\u0142ug grup domenowych wykorzystany zostanie SquidGuard.<\/p>\n
Do monitorowania u\u017cyjemy Lightsquid, sqstat oraz wewn\u0119trznych system\u00f3w monitorowania pfSense. Podstaw\u0105 b\u0119dzie pfSense, Instrukcja instalacji.<\/a><\/p>\n Wewn\u0105trz kt\u00f3rego zorganizujemy uwierzytelnianie na samym zaporze sieciowej za pomoc\u0105 kont domenowych. Instrukcja.<\/a><\/p>\n Bardzo wa\u017cne!<\/p>\n Przed rozpocz\u0119ciem instalacji Squid nale\u017cy skonfigurowa\u0107 DNS serwera<\/a> w pfsense, utworzy\u0107 dla niego zapis A i zapis PTR na naszym serwerze DNS oraz skonfigurowa\u0107 NTP tak, aby czas nie r\u00f3\u017cni\u0142 si\u0119 od czasu na kontrolerze domeny.<\/p>\n A w twojej sieci zapewni\u0107, aby interfejs WAN pfSense mia\u0142 dost\u0119p do Internetu, a u\u017cytkownicy w sieci lokalnej korzystali z interfejsu LAN, w tym przez port 7445 i 3128 (w moim przypadku 8080).<\/p>\n Czy wszystko gotowe? Po\u0142\u0105czenie z domen\u0105 przez LDAP dla autoryzacji w pfSense zosta\u0142o nawi\u0105zane i czas synchronizowany? Doskonale. Czas na przyst\u0105pienie do g\u0142\u00f3wnego procesu.<\/p>\n Zainstalujemy Squid, SquidGuard i LightSquid z mened\u017cera pakiet\u00f3w pfSense w sekcji \u201eSystem\/Pakiety\u201d.<\/p>\n Po pomy\u015blnym zainstalowaniu przechodzimy do \u201eUs\u0142ugi\/Squid Proxy server\/\u201d i w pierwszej kolejno\u015bci w zak\u0142adce Local Cache konfigurujemy pami\u0119\u0107 podr\u0119czn\u0105. Ustawi\u0142em wszystko na 0, poniewa\u017c nie widz\u0119 sensu w buforowaniu stron, z czym \u015bwietnie radz\u0105 sobie przegl\u0105darki. Po zako\u0144czeniu konfiguracji klikamy przycisk \u201eZapisz\u201d na dole ekranu, co umo\u017cliwi nam dokonanie podstawowych ustawie\u0144 proxy.<\/p>\n Podstawowe ustawienia sprowadzamy do nast\u0119puj\u0105cej postaci:<\/p>\n Domy\u015blny port to 3128, ale wol\u0119 u\u017cywa\u0107 8080.<\/p>\n Wybrane opcje w zak\u0142adce Proxy Interface okre\u015blaj\u0105, jakie interfejsy b\u0119dzie nasz proxy nas\u0142uchiwa\u0107. serwer<\/a>Poniewa\u017c ten zapora ogniowa jest skonstruowana w taki spos\u00f3b, \u017ce do internetu patrzy przez interfejs WAN, nawet je\u015bli LAN i WAN mog\u0105 by\u0107 w tej samej lokalnej podsieci, polecam u\u017cywa\u0107 LAN dla proxy.<\/p>\n P\u0119tla zwrotna jest potrzebna do dzia\u0142ania sqstat.<\/p>\n Poni\u017cej znajdziesz ustawienia Transparent (przezroczystego) proxy oraz SSL Filter, ale nie s\u0105 nam potrzebne, nasze proxy b\u0119dzie nieprzezroczyste, a w zakresie filtrowania https nie zajmiemy si\u0119 podmienianiem certyfikatu (mamy przecie\u017c obieg dokument\u00f3w, banki-klienci itp.), a po prostu przyjrzymy si\u0119 handshake.<\/p>\n Na tym etapie musimy przej\u015b\u0107 do naszego kontrolera domeny, stworzy\u0107 w nim konto do uwierzytelniania (mo\u017cna u\u017cy\u0107 tego, kt\u00f3re skonfigurowali\u015bmy dla uwierzytelniania w pfSense). Wa\u017cny czynnik \u2014 je\u015bli zamierzacie u\u017cywa\u0107 szyfrowania AES128 lub AES256 \u2014 zaznaczcie odpowiednie opcje w ustawieniach konta.<\/p>\n W przypadku, gdy Wasza domena jest do\u015b\u0107 skomplikowanym lasem z du\u017c\u0105 ilo\u015bci\u0105 katalog\u00f3w lub Wasza domena to .local, to MO\u017bLIWE, ale niepewne, \u017ce b\u0119dziecie musieli u\u017cy\u0107 dla tego konta prostego has\u0142a, znany b\u0142\u0105d, ale z\u0142o\u017cone has\u0142o mo\u017ce po prostu nie dzia\u0142a\u0107, trzeba to sprawdzi\u0107 w konkretnym przypadku.<\/p>\n Po tym wszystkim generujemy plik kluczy dla Kerberos, na kontrolerze domeny otwieramy wiersz polece\u0144 z prawami administratora i wpisujemy:<\/p>\n Gdzie podajemy sw\u00f3j FQDN pfSense, pami\u0119taj\u0105c o zachowaniu wielko\u015bci liter, w parametrze mapuser wpisujemy nasze konto domenowe i jego has\u0142o, a w crypto wybieramy spos\u00f3b szyfrowania, u\u017cy\u0142em rc4 do pracy, a w polu -out wybieramy, gdzie wy\u015blemy nasz gotowy plik kluczy. Teraz mo\u017cemy edytowa\u0107 stworzy\u0107 \/etc\/krb5.conf<\/p>\n gdzie \/etc\/krb5.keytab to stworzony przez nas plik kluczy.<\/p>\n Zdecydowanie sprawd\u017a dzia\u0142anie Kerbera za pomoc\u0105 kinit, je\u015bli nie dzia\u0142a \u2013 nie ma sensu czyta\u0107 dalej.<\/p>\n Po pomy\u015blnym skonfigurowaniu Kerbera pod\u0142\u0105czamy go do naszego Squida.<\/p>\n Aby to zrobi\u0107, przejd\u017a do Us\u0142ugi > Serwer Proxy Squid i w podstawowych ustawieniach przewi\u0144 na sam d\u00f3\u0142, tam znajdziemy przycisk \u201eZarz\u0105dzaj ustawieniami rozszerzonymi\u201d.<\/p>\n W polu Opcje niestandardowe (Przed autoryzacj\u0105) wpisz:<\/p>\n gdzie auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 wybiera potrzebnego pomocnika autoryzacji Kerbera.<\/p>\n Klucz -s<\/i> z warto\u015bci\u0105 GSS_C_NO_NAME<\/i> \u2014 okre\u015bla, \u017ce mo\u017cna u\u017cywa\u0107 dowolnego konta z pliku kluczy.<\/p>\n Klucz -k<\/i> z warto\u015bci\u0105 \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 okre\u015bla u\u017cycie konkretnego pliku keytab. W moim przypadku jest to ten sam plik keytab, kt\u00f3ry skopiowa\u0142em do katalogu \/usr\/local\/etc\/squid\/ i zmieni\u0142em nazw\u0119, poniewa\u017c Squid mia\u0142 problemy z tym katalogiem, prawdopodobnie z powodu ogranicze\u0144 uprawnie\u0144.<\/p>\n Klucz -t<\/i> z warto\u015bci\u0105 -t none<\/i> \u2014 wy\u0142\u0105cza cykliczne zapytania do kontrolera domeny, co znacznie zmniejsza obci\u0105\u017cenie, je\u015bli masz wi\u0119cej ni\u017c 50 u\u017cytkownik\u00f3w. Whatsapp nie jest przypadkiem u\u017cywany jako przyk\u0142ad \u2014 jest bardzo wra\u017cliwy na proxy z autoryzacj\u0105 i nie b\u0119dzie dzia\u0142a\u0142, je\u015bli nie zostanie dozwolony przed autoryzacj\u0105. Przechodzimy do Us\u0142ugi SquidGuard Proxy Filter.<\/p>\n W opcjach LDAP wprowadzamy dane naszego konta, u\u017cywanego do uwierzytelniania Kerberos, w nast\u0119puj\u0105cym formacie:<\/p>\n Je\u015bli wyst\u0119puj\u0105 spacje lub znaki nie b\u0119d\u0105ce literami \u0142aci\u0144skimi, ca\u0142\u0105 t\u0119 zapis nale\u017cy umie\u015bci\u0107 w pojedynczych lub podw\u00f3jnych cudzys\u0142owach:<\/p>\n Nast\u0119pnie obowi\u0105zkowo zaznaczamy te opcje:<\/p>\n
\nRozwi\u0105\u017cemy r\u00f3wnie\u017c cz\u0119sty problem zwi\u0105zany z wdro\u017ceniem technologii jednolitego logowania (SSO), a mianowicie aplikacji, kt\u00f3re pr\u00f3buj\u0105 \u0142\u0105czy\u0107 si\u0119 z Internetem pod konto swojej lokalnej konta systemowego.
\n<\/a><\/p>\nPrzygotowanie do instalacji Squid<\/h4>\n
Instalacja i wst\u0119pna konfiguracja<\/h4>\n
![\"Darmowy](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Darmowy](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nPo pomy\u015blnym utworzeniu pliku kluczy, wy\u015blemy go na nasz pfSense. U\u017cy\u0142em do tego Far, ale mo\u017cna to r\u00f3wnie\u017c zrobi\u0107 za pomoc\u0105 polece\u0144, Putty lub przez interfejs webowy pfSense w sekcji \u201eDiagnostyka > Wiersz polece\u0144\u201d.<\/p>\n![\"Darmowy](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nKonfiguracja autoryzacji Squid i listy dost\u0119pu bez autoryzacji<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nNa czas test\u00f3w mo\u017cna r\u00f3wnie\u017c doda\u0107 klucz -d \u2014 tzn. diagnostyka, wi\u0119cej log\u00f3w b\u0119dzie wy\u015bwietlane.
\nauth_param negotiate children 1000<\/i> \u2014 okre\u015bla, ile jednoczesnych proces\u00f3w autoryzacji mo\u017ce by\u0107 uruchomionych
\nauth_param negotiate keep_alive on<\/i> \u2014 nie pozwala na zerwanie po\u0142\u0105czenia podczas przesy\u0142ania danych autoryzacyjnych
\nacl auth proxy_auth REQUIRED<\/i> \u2014 tworzy i wymaga listy kontroli dost\u0119pu, obejmuj\u0105cej u\u017cytkownik\u00f3w, kt\u00f3rzy przeszli autoryzacj\u0119
\nacl nonauth dstdomain \u00ab\/etc\/squid\/nonauth.txt\u00bb<\/i> \u2014 informujemy Squida o li\u015bcie dost\u0119pu nonauth, w kt\u00f3rej znajduj\u0105 si\u0119 docelowe domeny, do kt\u00f3rych dost\u0119p jest zawsze dozwolony dla wszystkich. Plik tworzymy, a w jego wn\u0119trzu zapisujemy domeny w formacie<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 zezwalamy na dost\u0119p do tej listy dla wszystkich
\nhttp_access deny !auth<\/i> \u2014 zabraniaj\u0105c dost\u0119pu nieautoryzowanym u\u017cytkownikom do pozosta\u0142ych stron
\nhttp_access allow auth<\/i> \u2014 zezwalamy na dost\u0119p u\u017cytkownikom autoryzowanym.
\nWszystko, squid jest ju\u017c skonfigurowany, teraz czas zaj\u0105\u0107 si\u0119 filtrowaniem wed\u0142ug grup.<\/p>\nKonfiguracja SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Darmowy](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n