![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/229c5f1df948da65810db95ef2b4d2a2.png\")
<\/p>\n<\/p>\n
pfSense+Squid med HTTPS-filtrering + Enkel inloggningsteknik (SSO) med filtrering enligt Active Directory-grupper<\/p>\n
F\u00f6retaget hade behov av att implementera en proxyserver med m\u00f6jlighet till filtrering av \u00e5tkomst till webbplatser (inklusive https) baserat p\u00e5 grupper fr\u00e5n AD, s\u00e5 att anv\u00e4ndare inte beh\u00f6vde ange n\u00e5gra ytterligare l\u00f6senord, och administrationen kunde ske via ett webbgr\u00e4nssnitt. N\u00e5got av ett bra krav, eller hur?<\/p>\n
Det r\u00e4tta svaret skulle vara att k\u00f6pa s\u00e5dana l\u00f6sningar som Kerio Control eller UserGate, men som alltid finns det ingen budget, men behovet \u00e4r d\u00e4r.<\/p>\n
H\u00e4r kommer den gamla goda Squid till v\u00e5r hj\u00e4lp, men \u00e5terigen \u2013 var f\u00e5r vi webbgr\u00e4nssnittet ifr\u00e5n? SAMS2? Det \u00e4r moraliskt f\u00f6r\u00e5ldrat. H\u00e4r kommer pfSense till hj\u00e4lp.<\/p>\n
I denna artikel kommer vi att beskriva hur man konfigurerar proxyservern Squid.
\nF\u00f6r anv\u00e4ndarautentisering kommer Kerberos att anv\u00e4ndas.
\nF\u00f6r filtrering baserat p\u00e5 dom\u00e4n-grupper kommer SquidGuard att anv\u00e4ndas.<\/p>\n
F\u00f6r \u00f6vervakning kommer Lightsquid, sqstat och interna \u00f6vervakningssystem i pfSense att anv\u00e4ndas. Vi kommer att anv\u00e4nda pfSense som grund, Installationsguide.<\/a><\/p>\n Inuti kommer vi att organisera autentisering mot brandv\u00e4ggen med hj\u00e4lp av dom\u00e4nkonton. Guide.<\/a><\/p>\n Mycket viktigt!<\/p>\n Innan du b\u00f6rjar installera Squid m\u00e5ste du konfigurera DNS servern<\/a> i pfSense, skapa en A-post och PTR-poster p\u00e5 v\u00e5r DNS-server och konfigurera NTP s\u00e5 att tiden inte avviker fr\u00e5n tiden p\u00e5 dom\u00e4nkontrollern.<\/p>\n Och i ditt n\u00e4tverk ge WAN-gr\u00e4nssnittet p\u00e5 pfSense m\u00f6jlighet att g\u00e5 p\u00e5 internet, samt l\u00e5ta anv\u00e4ndarna i det lokala n\u00e4tverket ansluta till LAN-gr\u00e4nssnittet, inklusive p\u00e5 portarna 7445 och 3128 (i mitt fall 8080).<\/p>\n \u00c4r allt klart? Har LDAP-kopplingen f\u00f6r autentisering p\u00e5 pfSense st\u00e4llts in och tiden \u00e4r synkroniserad? Utm\u00e4rkt. Dags att g\u00e5 vidare med huvudprocessen.<\/p>\n Vi installerar Squid, SquidGuard och LightSquid fr\u00e5n pfSense paketmanager i avsnittet \"System\/Paketmanager\".<\/p>\n Efter en framg\u00e5ngsrik installation g\u00e5r vi till \"Tj\u00e4nster\/Squid Proxy-server\/\" och b\u00f6rjar f\u00f6rst i fliken Local Cache med att konfigurera cache-inst\u00e4llningarna. Jag har st\u00e4llt in allt till 0, eftersom jag inte ser n\u00e5gon egentlig mening med att cacha webbplatser; det klarar webbl\u00e4sarna utm\u00e4rkt sj\u00e4lva. Efter inst\u00e4llningarna klickar vi p\u00e5 knappen \"Spara\" l\u00e4ngst ner p\u00e5 sk\u00e4rmen, vilket ger oss m\u00f6jlighet att genomf\u00f6ra grundl\u00e4ggande proxy-inst\u00e4llningar.<\/p>\n Vi st\u00e4ller in de grundl\u00e4ggande inst\u00e4llningarna till f\u00f6ljande:<\/p>\n Standardporten \u00e4r 3128, men jag f\u00f6redrar att anv\u00e4nda 8080.<\/p>\n De valda parametrarna i fliken Proxy Interface avg\u00f6r vilka gr\u00e4nssnitt v\u00e5r proxy kommer att lyssna p\u00e5. server<\/a>. Eftersom denna brandv\u00e4gg \u00e4r uppbyggd s\u00e5 att den ser ut mot internet via WAN-gr\u00e4nssnittet, \u00e4ven om LAN och WAN kan befinna sig i samma lokala n\u00e4tverk, rekommenderar jag att anv\u00e4nda LAN f\u00f6r proxy.<\/p>\n Loopback beh\u00f6vs f\u00f6r att sqstat ska fungera.<\/p>\n Nedan hittar du inst\u00e4llningarna f\u00f6r Transparent (transparent) proxy samt SSL-filter, men dessa beh\u00f6ver vi inte; v\u00e5r proxy kommer att vara icke-transparent och f\u00f6r HTTPS-filtrering kommer vi inte att anv\u00e4nda n\u00e5gon certifikatinh\u00e4mtning (eftersom vi har dokumenthantering, bank-kund m.m.), utan helt enkelt se p\u00e5 handskakningen.<\/p>\n Vid det h\u00e4r steget beh\u00f6ver vi g\u00e5 till v\u00e5r dom\u00e4nkontroller, skapa ett konto f\u00f6r autentisering (det g\u00e5r \u00e4ven att anv\u00e4nda det konto som vi konfigurerade f\u00f6r autentisering p\u00e5 sj\u00e4lva pfSense). En mycket viktig faktor h\u00e4r \u00e4r\u2014om du planerar att anv\u00e4nda AES128 eller AES256-kryptering\u2014att markera motsvarande alternativ i kontoinst\u00e4llningarna.<\/p>\n Om din dom\u00e4n \u00e4r en ganska komplex skog med m\u00e5nga kataloger eller din dom\u00e4n \u00e4r .local, kan det vara n\u00f6dv\u00e4ndigt, men inte s\u00e4kert, att du beh\u00f6ver anv\u00e4nda ett enkelt l\u00f6senord f\u00f6r detta konto; det \u00e4r en k\u00e4nd bugg, men med ett komplext l\u00f6senord kan det helt enkelt inte fungera, s\u00e5 det m\u00e5ste kontrolleras i varje specifikt fall.<\/p>\n Efter detta formar vi en nyckelfil f\u00f6r Kerberos, \u00f6ppnar kommandoprompten med administrat\u00f6rsr\u00e4ttigheter p\u00e5 dom\u00e4nkontrollern och skriver in:<\/p>\n D\u00e4r vi anger v\u00e5r FQDN f\u00f6r pfSense, noga observera versaler, i parameter mapuser anger vi v\u00e5rt dom\u00e4nkonto och dess l\u00f6senord, och i kryptovaluta v\u00e4ljer vi krypteringsmetoden; jag anv\u00e4nde rc4 f\u00f6r arbetet och i f\u00e4ltet -out v\u00e4ljer vi vart vi skickar v\u00e5r f\u00e4rdiga nyckelfil. Nu kan vi redigera skapa \/etc\/krb5.conf<\/p>\n d\u00e4r \/etc\/krb5.keytab \u00e4r den fil med nycklar vi har skapat.<\/p>\n Kontrollera alltid Kerberus funktionalitet med hj\u00e4lp av kinit, om det inte fungerar finns det ingen mening att l\u00e4sa vidare.<\/p>\n Efter att ha konfigurerat Kerberus, kopplar vi det till v\u00e5r Squid.<\/p>\n F\u00f6r detta, g\u00e5 till Tj\u00e4nster Squid Proxy Server och i de grundl\u00e4ggande inst\u00e4llningarna scrolla till botten, d\u00e4r hittar vi knappen \"Avancerade inst\u00e4llningar\".<\/p>\n I f\u00e4ltet Custom Options (Before Auth) skriver vi in:<\/p>\n u\u0434\u0435 auth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth<\/i> \u2014 v\u00e4ljer den n\u00f6dv\u00e4ndiga Kerberus autentisering hj\u00e4lparen.<\/p>\n Nyckeln -s<\/i> med v\u00e4rdet GSS_C_NO_NAME<\/i> \u2014 definierar anv\u00e4ndningen av vilken konto som helst fr\u00e5n nyckelns fil.<\/p>\n Nyckeln -k<\/i> med v\u00e4rdet \/usr\/local\/etc\/squid\/squid.keytab<\/i> \u2014 definierar att just denna keytab-fil ska anv\u00e4ndas. I mitt fall \u00e4r det samma keytab-fil som skapades av oss, som jag kopierade till katalogen \/usr\/local\/etc\/squid\/ och d\u00f6pte om, eftersom Squid inte ville samarbeta med den katalogen, uppenbarligen brist p\u00e5 r\u00e4ttigheter.<\/p>\n Nyckeln -t<\/i> med v\u00e4rdet -t none<\/i> \u2014 inaktiverar cykliska f\u00f6rfr\u00e5gningar till dom\u00e4nkontrollern, vilket kraftigt minskar belastningen p\u00e5 den om ni har fler \u00e4n 50 anv\u00e4ndare. Whatsapp anv\u00e4nds inte f\u00f6rg\u00e4ves som exempel \u2014 den \u00e4r mycket k\u00e4nslig n\u00e4r det g\u00e4ller proxyer med autentisering och kommer inte att fungera om den inte till\u00e5ts innan autentisering. G\u00e5 till Tj\u00e4nster SquidGuard Proxy Filter.<\/p>\n I LDAP-alternativ anger vi uppgifterna f\u00f6r v\u00e5rt konto som anv\u00e4nds f\u00f6r Kerberos-autentisering, men i f\u00f6ljande format:<\/p>\n Om det finns mellanslag eller icke-latinska tecken ska hela denna post omslutas av enkla eller dubbla citat:<\/p>\n D\u00e4refter s\u00e4tter vi dessa kryssrutor:<\/p>\n
\nVi kommer \u00e4ven att l\u00f6sa det vanliga problemet med implementering av teknik f\u00f6r enkel inloggning (SSO), n\u00e4mligen applikationer som f\u00f6rs\u00f6ker g\u00e5 p\u00e5 internet med sina systemkonton.
\n<\/a><\/p>\nF\u00f6rberedelse f\u00f6r installation av Squid<\/h4>\n
Installation och f\u00f6rkonfigurering<\/h4>\n
![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/b3333c720db87625c76ea56d194295ff.png\")
<\/p>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/d93a4a825a83de3e0c94cde9c1017411.png\")
<\/p>\n# ktpass -princ HTTP\/pfsense.domain.local@DOMAIN.LOCAL -mapuser pfsense -pass 3EYldza1sR -crypto {DES-CBC-CRC|DES-CBC-MD5|RC4-HMAC-NT|AES256-SHA1|AES128-SHA1|All} -ptype KRB5_NT_PRINCIPAL -out C:keytabsPROXY.keytab<\/code><\/pre>\n
\nEfter att nyckelfilen har skapats framg\u00e5ngsrikt skickar vi den till v\u00e5r pfSense. Jag anv\u00e4nde Far f\u00f6r detta, men det g\u00e5r ocks\u00e5 att g\u00f6ra med kommandon, eller via putty eller genom webgr\u00e4nssnittet pfSense i avsnittet \"DiagnostikKommandorad\".<\/p>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/0fb3830c14d216afa05ac45e3aec66e4.png\")
<\/p>\nKonfigurera autentisering f\u00f6r Squid och \u00e5tkomstlistan utan autentisering<\/h4>\n
#\u0425\u0435\u043b\u043f\u0435\u0440\u044b\nauth_param negotiate program \/usr\/local\/libexec\/squid\/negotiate_kerberos_auth -s GSS_C_NO_NAME -k \/usr\/local\/etc\/squid\/squid.keytab -t none\nauth_param negotiate children 1000\nauth_param negotiate keep_alive on\n#\u0421\u043f\u0438\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430\nacl auth proxy_auth REQUIRED\nacl nonauth dstdomain \"\/etc\/squid\/nonauth.txt\" \n#\u0420\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \nhttp_access allow nonauth \nhttp_access deny !auth\nhttp_access allow auth<\/code><\/pre>\n
\nUnder testperioden kan man \u00e4ven l\u00e4gga till nyckeln -d \u2014 dvs diagnostik, fler loggar kommer att skrivas ut.
\nauth_param negotiate children 1000<\/i> \u2014 definierar hur m\u00e5nga samtidiga autentiseringsprocesser som kan k\u00f6ras
\nauth_param negotiate keep_alive on<\/i> \u2014 hindrar samband fr\u00e5n att brytas under f\u00f6rfr\u00e5gan av autentiseringskedjan
\nacl auth proxy_auth REQUIRED<\/i> \u2014 skapar och kr\u00e4ver en \u00e5tkomstkontrollista som inkluderar anv\u00e4ndare som har genomg\u00e5tt autentisering
\nacl nonauth dstdomain «\/etc\/squid\/nonauth.txt»<\/i> \u2014 meddelar Squid om nonauth \u00e5tkomstlistan d\u00e4r dom\u00e4ner som alltid kommer att ha tillg\u00e5ng \u00e4r listade. Vi skapar sj\u00e4lv filen och skriver in dom\u00e4nerna i formatet<\/p>\n.whatsapp.com\n.whatsapp.net<\/code><\/pre>\n
\nhttp_access allow nonauth<\/i> \u2014 till\u00e5ter alla att f\u00e5 \u00e5tkomst till denna lista
\nhttp_access deny !auth<\/i> \u2014 f\u00f6rhindrar \u00e5tkomst f\u00f6r oauktoriserade anv\u00e4ndare till andra webbplatser
\nhttp_access allow auth<\/i> \u2014 ger tillg\u00e5ng till auktoriserade anv\u00e4ndare.
\nNu \u00e4r din Squid konfigurerad, och det \u00e4r dags att b\u00f6rja filtrera efter grupper.<\/p>\nInst\u00e4llning av SquidGuard<\/h4>\n
CN=pfsense,OU=service-accounts,DC=domain,DC=local<\/code><\/pre>\n'CN=sg,OU=service-accounts,DC=domain,DC=local'\n\"CN=sg,OU=service-accounts,DC=domain,DC=local\"<\/code><\/pre>\n![\"Gratis](\"\/wp-content\/uploads\/2020\/03\/162ca3f3b6d0977c8ac73f20b640f67c.png\")
<\/p>\n