Olá, como vai?? Tem algum vídeo de implementação do squid sem ter que ficar subindo certificado para dentro do navegador?? Pois isso não faz sentido no meu cenário, sem contar os celulares que estão na rede como um todo. Não consegui achar em seu canal. Abraços
Bom dia, estou com uma dúvida, ao salvar minha Groups ACL, o pfsense não salva e deixa um aviso "pfSense is restoring the configuration /cf/conf/backup/config-1654090291.xml" ... alguma idéia do que pode ser ?
Instalei o pfSense em uma virtual Box, uma placa de rede está como NAT e outra em Bridge até ai tudo bem, coloquei o IP pra acesso a ele dentro da minha rede. 192.168.0.126, porém como configuro ele pois ele está atrás de um load balance TPLINK. O load balance tem duas WANS e uma LAN criada que é a 192.168.0.24. Como eu uso IP estático aqui eu coloco nos computadores o gateway 192.168.24 ai a internet funciona de boa só que creio que não está passando pro pfSense. Como devo proceder ? Devo apontar os DNS do meu load balance pro pfSense ? Inclusive fiz todo esse passo a passo porém não está bloqueando.
Bom dia, instalei o PFSense e fiz as configurações como passou, mas ao fazer uns testes em sites como ecac ou receita.fazenda ele dá erro "Falha ao estabelecer uma conexão segura com xxx.xxx.xxx.xxx". No meu caso é para uma empresa de contabilidade que usam muitos sites de bancos e do governo, além de programas da receita, etc... O que acha que pode ser? Recomenda algo? Valeu
Bom dia, Sr. Fernando, muito grato pelos ensinamentos. Seguinte, uso o proxy transparente e necessito também bloquear o wifi; a nível de teste, pluguei um router wifi na placa LAN e comutei o sinal....No cabo, ótimo, perfeição, mas preciso que a navegação funcione bem tb no Wifi. São erros de certificado todo o tempo. Então pensei no Captive Portal, mas vi que os erros não se solucionam só por isto. 1) O que posso fazer - continuando com a interceptação ativada para a Lan e para uma placa de rede só para Wifi também - ? Grato.
Nesse caso não tem como ter duas configurações diferentes no proxy diferentes para cada uma das redes, para você não precisar do certificado você pode tentar usar o modo splice all e assim usar o proxy para as duas redes porem, o esforço administrativo para normalização desse modo de operação do proxy é maior, conforme menciono nos vídeos desta serie.
@@NETWORKPROBR Resolvi o problema de acordo com a minha necessidade. *Adicionei mais uma interface física de rede , a cuja dei o nome WIFI; * Configurei Captive Portal nela; * Conectei a saída WIFI na LAN via switch, então são duas portas somente para isto, tudo bem; * Quando o Tracker do Captive Portal autenticado começou a rodar, todo o tráfego começou a ser inspecionado para a nova placa, e por conta da autenticação HTTPS (com uma CA e Certf. associado ao Captive Portal), o tráfego proibido é bloqueado, e dá para navegar razoavelmente bem e sem tantos empecilhos como rotear a LAN diretamente em sua porta. * Por conta da gambiarra, não há mensagem de erro tão legível no wifi como as do Proxy Transparente da LAN, mas já está ótimo, pois me eximo de responsabilidades com a navegação não adequada e não preciso correr atrás de usuário para instalar certificado. Resultado parecido com WPAD. * Minha fonte foi esta, só adaptei: ua-cam.com/video/tJaCiCauzoE/v-deo.html.... WIFI substituindo LAN... Eras isto. Valeu!
opa boa tarde show de bola, mas assim que termino tudo certinho de configurar e começo a realizar os teste a tela do firewall fica nesse erro e me trava tudo swap_pager_getswapspace(1) failed swap_pager_getswapspace(2) failed swap_pager_getswapspace(3) failed swap_pager_getswapspace(1) failed oque pode ser ?
Meu proxy transparente está bloqueando alguns sites que eu não apontei, tem como resolver isso ? Só em ativar o proxy transparente ele já bloqueia o acesso a apps do Itau, por exemplo e outros sites.
É preciso alguma regra de firewall redirecionando tráfego Http e Https para o Squid? Essa opção de incluir os bloque do SquidGuard nos logs do Squid requer um configuração adicional. Você poderia mostrar como fazer?
O professor e top, Fernando manja muito de PfSense. Mas as explicações são muito rápidas, as vezes tenho que voltar o vídeo pra entender o que ele falou. Mas tirando isso o restante e TOP demais.
Boa Noite, primeiramente parabéns palas explicações, videos ótimos. Gostaria de saber se você teria algum video explicando a implementações de regra NAT, tanto de entrada quanto de saída, fico no aguardo, obrigado.
amigo, segui todos os passos estou com PfSense 2.6, foi um copia e cola...criei CA criei o Certificado amarrado ao CA, instalei os pacotes, habilito o proxy e vou seguindo, no meio da configuração do squidguard até seu video é interrompido por causa do proxy, fiz exatamente como fez e não sei o que pode estar causando o bloqueio total de internet....a nova black list peguei nos comentários....não sei mais o que fazer
Fiz todos os passos a passos no momento que vou em grupo ACL, na parte de target rules list + -. Quando Clico no sinal de + não abre as opções para fazer o deny.
Muito bom, parabéns, existe alguma forma de instalar o certificado somente nas máquinas que quero fazer os bloqueios e deixar as que não preciso bloquear, como diretoria por exemplo, sem o certificado e elas navegarem normalmente?
E possível via bypass, cria um alias coloca os ips dos diretores no aliás e faz o bypass no squid para o alias, porém você não terá os logs do que foi acessado por esse ips nos squid.
Muito bom vídeo ajudou bastante. Gostaria de saber como fez para colocar aquela página de erro do minuto 8:49 do vídeo que tem as informações detalhadas? Fiz a configuração na versão 2.4.5 e não aparece dessa forma. Poderia informar como fazer? Desde já obrigado!
Fiz algumas pesquisas. E como mostra no vídeo que está pegando do arquivo sgerror.php no meu caso estou fazendo um teste seguindo como mostrado no vídeo e fui testar em colocando o proxy configurado manualmente no Mozilla Firefox, mas as mensagens de erro que aparecem são as do Squid. Daí vou ter que mudar nos arquivos de error /usr/local/etc/squid/errors/pt-br/ERR_ACCESS_DENIED . O que gostaria era justamente que pegasse justamente pelo sgerror.php que só modificaria nele. Poderiam me ajudar? Desde já obrigado. Versão do Pfsense 2.4.5-RELEASE-p1
Olá Adriano, tente reinstalar os pacotes dos squid/squidguard, em seguida faça novamente o download da blacklist no squidguard e tente criar a ACL com outro nome, talvez isso te ajude.
@@NETWORKPROBR Funcionou no primeiro teste. Após isso, não consigo editar nenhuma acl, quando altero ou crio uma nova, recebo o alerta de que "pfSense is restoring the configuration /cf/conf/backup/config-....xml@..." o que pode ser? todos os pacotes instalaram sem erros.
boa tarde so uma duvida é possivel no proxy transparente liberar alguns ips ou melhor mac na rede pra nao precisar passar pelo bloqueio liberando os sites bloqueados ?
parabéns pelo seu trabalho excelente vídeo. Fiz e foi tudo perfeito, porém, eu tenho um dois links de internet e quando eu uso uso o squid proxy ele deixa apenas o link default como faço para ele não altere para o link default. Você consegue me ajudar?
Boa tarde, professor. Este vídeo tem sido meu guia de referência...porém, tem se repetido sempre o mesmo problema com o antivírus: clico para dar o update forçado, a página se atualiza rapidamente. O antivirus ClamAv até está rodando, porém, não atualiza por nada neste mundo (em command prompt, o comando freshclam , o retorno é "your ClamAv instalattion is OUTDATED"!). O botão não esmaece e no console, não vejo nenhum tráfego de atualização observando com o comando tcpdump -i re0. Pergunto-te pois já é o segundo servidor na sequência com o mesmo problema. Desde já agradeço.
Eduardo, particularmente nunca peguei este erro, mais você abrir um ticket em redmine.pfsense.org/issues, e se for algo que necessite de correção, os devs corrigem.
Parabens pelo video ! ficou perfeito. Por gentileza tenho uma duvida, estou montando um proxy com ubuntu server e squid, como ele nao vai estar como servidor de mais nada apenas do squid nao preciso de duas placas de rede, correto ? pois qdo eu apontar o ip do squid com a porta nos terminais ja dara certo, correto ?
Opa, bom dia! Excelente canal, e excelente vídeo. Muito bom mesmo... Estou só com um probleminha e acho que é no cache. ( segui certinho seu vídeo ). Meu lab está assim: PfSense uma máquina Ubuntu na outra utilizando Firefox Antes de qualquer criação de ACL estava acessando normal, facebook, instagram and playboy Após criação de ACL, não acessa mais, perfeito ... Ai resolvi deixar tudo liberado, e ao testar ainda mostra bloqueado. depois de vários testes, reload no squid and squidguard limpei o cache do firefox, pimba, acessou normal ... Como resolvo isso ?
Alexandre, nesse caso o que você pode fazer é acompanhar em squid/real time pra ver se há algum bloqueio referente ao Windows update, se tiver, nas configurações do squidguard em target categories crie um novo item e adicione os domínios do windows update em domain list feito isso salve, em Groups ACL edite a acl que você criou e configure a nova categoria (que você acabou de criar) como whitelist, com isso você garante permissão para os domínios do windows update.
Cara, seguinte, coloco ip fixo para a placa wan no meu pfsense, ao dar save, o servidor não pinga mais para @t (no route to host) e a máquina cliente não navega.Somente pinga para as máquinas da rede local. Não importa se coloco o mesmo ip dhcp q aparece no console e mesmo CIDR. O que pode ser? Um dos servidores que lhe mencionei uns dois meses atrás deve ter ip estático na Wan.
Esse tipo de duvida é algo difícil de prever, por ser algo relacionado especificamente ao seu ambiente, acredito que deva ser algo com o default gw, de uma olhada nos gateways e veja se tem algum gw a mais, se tiver remova e faça um restart do firewall para ver se o problema persiste, algo diferente disso, so analisando diretamente o fw.
O meu squid transparente esta barrando as redes sociais, Face, WhatsApp e Instagram, mesmo colocando na lista branca de permitidos. Fernando, sabe me dizer onde estou errando? Já repassei 3x seguindo sua explicação aqui do vídeo e nada.
@@bystl em "Services/Squid Proxy Server/General/Transparent Proxy Settings/Bypass Proxy for These Source IPs" adicione os IPs dos gestores neste campo em seguida faça uma regra de firewall na lan permitindo o trafego 80/443 com os IPs dos gestores em origem para qualquer destino.
@@bystl minha sugestão é que você revise as configs, por que marcar ou desmarcar categorias no squidguard não deveria liberar o trafego, veja se o ip do qual você esta testando não está no bypass e por isso o acesso esta totalmente liberado e verifique se os serviços do squid e squidguard estão executando.
Primeiro parabens, excelente didatica. Cara consegui rodar o squid, todos os serviços ativos, mas, o filtro nao funciona. Segui inclusive o exemplo de bloquear as sociais net, mas entra mesmo assim. Consegue dar uma luz ?
ola, quando criar a groupe acl, não me aparece a lista de black list, a lista foi atualizada, mas ela não aparece igual voce fez ai no video, tentando o bloqueio do facebook
Parabéns pelo vídeo. Estou com problema na versão 2020 2.4.5-RELEASE-p1 para funcionar o certificado CA no navegador você teria alguma solução para esse problema ele sempre fica falando que o certificado não e valido e o sites https fica com erro de acesso .
Olá Thiago, você instalou o certificado (CA) que você selecionou na configuração do SSL filtering na estação na qual você esta executando os testes? Senão tiver instalado aqui está o vídeo com o todo processo ua-cam.com/video/33r0REbSDMg/v-deo.html. Outro ponto é que no modo transparente você não deve configurar o proxy no browser.
@@NETWORKPROBR Então, eu configurei o CA conforme video, o proxy não está configurado no browser, outra coisa é quando marco a opção SPLICE ALLL, algumas maquinas navegam mas alguns sites acontece o erro de SSL por ex. banco bradesco.
@@thiagohcsilva o modo de operação apresentado no vídeo, com CA instalado nas maquinas não deveria apresentar problemas mesmo para sites de banco, estou usando nesse momento e fiz um teste para o site do Bradesco e consegui o acesso sem problemas. No modo splice all você não precisa de certificado nas maquinas porém esse modo apresentas muitos erros que estão associados a consultas DNS por isso eu evito o uso do modo SPLICE ALL.
Você pode criar um alias com os ips do Whatsapp e adicionar esse alias no bypass. Caminho: services > squid proxy server > general > transparent proxy settings > Bypass proxy for these DESTINATION ips "colar o nome da alias aqui".
Edvan, se você tiver bloqueando a categoria do whatsapp no squidguard, e quiser liberar apenas o whatsapp basta criar um categoria com o domínio do whatsapp e colocar como whitelist, e liberar as portas do app caso você esteja aplicando filtro de porta por regra de firewall.
Quando você dasabilita o serviço do antivirus no squid, salva e reincia, o serviço do clamav fica ativo? Faz isso e limpa o cache do navegador. senão der certo, nas configs do squid desmarca keep setting, reinstala o pacote do squid, reconfigura o squid e antes de incia certifica que o antivirus nao esteja habilitado e veja se funciona.
@@NETWORKPROBR não, ele nunca ativou, ontem eu reinstalei todos os pacotes do zero e reconfigurei, mesma coisa. hoje fiz algo diferente, como precisei colocar mais memoria RAM no servidor. eu direcionei mais memoria para o pfsense tambem. e como tive que reiniciar todo o PC acho que isso ajudou de alguma forma porque o erro sumiu. e agora no log diz que esta atualizando a data base principal. quando terminar de atualizar volto aqui e digo se resolveu ( por algum motivo meus comentarios estão sumindo kkk )
@@NETWORKPROBR Agora funcionou e ele habilitou :D uffa. eu acredito que foi por causa da memoria ram, o pfsense estava apenas com 1gb. como agora o servidor tem 16gb eu coloquei 4gb para a maquina virtual do pfsense. e então cliquei em "update AV" dentro da aba antivirus. com isso consegui verificar no log que o erro já tinha sumido, e que ele começou a atualizar as bases de antivirus. é isso. agora ta funcionando. Obrigado professor. suas video aulas me salvaram !!!!
Olá professor, agradeço os conhecimentos. Estou com a seguinte dificuldade. Após rodar o SquidGuard, o navegador não acessa mais páginas web. aparece o seguinte erro: "A URL requisitada não pôde ser recuperada O seguinte erro foi encontrado ao tentar recuperar a URL: http/* Impossível determinar o endereço IP do nome de host http O servidor DNS retornou: Name Error: The domain name does not exist. Isto significa que o cache não pode resolver o nome de host contido na URL. Verifique se o endereço está correto. Seu administrador do cache é" Desativando o Guard, a navegação se dá de forma normal. O que pode ser?
Eduardo, você fez o download da Blacklist shalla? Criou a alguma ACL e selecionou pelo menos uma categoria como deny ou allow dentro da ACL? Outra ponto é, certifique-se que não esta com proxy marcado no navegador, caso o erro persista remova a pacote do squidguard, reinstale e reconfigure novamente.
@@NETWORKPROBR Bah, que professor solícito, caramba... Fiz tudo conforme o vídeo, sem exceções. Não tinha nenhum proxy no navegador...resolvi criando uma Common Acl tb...com allow lá abaixo. Aí foi. Mas...surgiu outro problema. Os browsers não aceitam este certificado gerado no próprio PfSense e negam qualquer entrada a páginas. O que fazer?
@@eduardocardoso8967 o ideal para este cenário é que você gere um certificado CA no pfsense, em seguida você gera um certificado a partir do CA (que você acabou de criar), feito isso você importa o CA no windows para os navegadores reconhecerem os certificados emitidos pelo pfSense como certificados validos (no firefox você deve importar o certificado direto na confgs do navegador), feito isso você altera o certificado do pfSense em system/advanced/SSL Certificate para o certificado que você criou. da uma olhada que tem um vídeo no canal que trata sobre esse assunto.
Olá amigo, excelente aula!! Tive o seguinte problema aqui, quando habilito o SquidGuard todo acesso retorno um erro dizendo a URL não pode ser recuperada "", e quando desabilito o acesso volta ao normal. É como se ao habilitar o meu certificado entrasse em ação e ficava dobrado o https, e quando desabilito os certificados são de cada site respectivo. Poderia me ajudar nesse caso?
Olá, dependendo da tua necessidade pode fazer como eu fiz. Lá onde tu habilita "Enable SSL Filtering", a opção SSL/MITM Mode deixa como Splice ALL. Em Remote Cert Checks deixa como "Accept remote Servers with erros". Essas mensagens de erro pararam, e os bloqueios ocorrem mostrando a ACL junto com a msg que defini. Sou novo também no assunto, se puderem me corrigir, mas acho que isso evita o uso do certificado, mas permite filtrar SSL (No meu caso no momento preciso só monitorar o que acessam).
@@NETWORKPROBR ótimo, muito bom mesmo! Me tira uma dúvida estou fazendo lab com E2Guardian transparente, eu teria que fazer grupos por IP, qual melhor forma de realizar esta configuração do e2guardian?
@@brunojosedossantos9397 infelizmente não consigo ate ajudar com o esse proxy, por que ele não faz parte do repositório oficial da NETGATE, e como a NETWORKPRO é parceiro oficial da NETGATE no Brasil, atuamos somente como os pacotes do repositório oficial. De qualquer forma minha sugestão é que você procure algum grupo ligado ao desenvolvedor deste pacote para que eles possam te ajudar com essa duvida. Abs
Cara funcionou comigo, fiz apenas uma alteração no Squid Proxy->General->SSL MAN e na opcao SSL/MITM coloquei Splice ALL para nao precisa de instalar o certificado nos equipamento, uma duvida que me surgiu agora suponha que eu tenha 3 tipos de usuários na empresa 1º Diretor tudo liberado 2º Tudo liberado exceto rede sociais 3º somente alguns sites liberados(bancos, email, fornecedores) como eu faria isso ? nao consegui ver nem uma opcao que integra ao Firewall
Rhyann, o Splice ALL tem alguns problema de operação relacionando DNS na versão do squid que esta em uso na versão 2.4.4 P3 do pfsense, esse problemas foram corridos na versão atual do squid que será usada na proxima atualizacao do pfSense 2.4.5 sobre os tipo de grupo de usuario, basta voce criar as 3 acl e vincular os ips das maquinas nas respectivas ACLs.
Olá, me tira uma dúvida! Para usar o Proxy transparente, necessariamente eu tenho que criar um CA ou usar um válido, e além disso eu preciso necessariamente instalar em todos os Hots o CA?
No modelo em uso no vídeo, sim. Existe o modo de operação do squid "splice all" no qual não precisa da ca nas maquinas porém, você pode ter alguns problemas com alguns sites que usem CDN, por esse e outros motivo, eu não uso esse modo, mais se o certificado nas maquina for um problema você pode testar esse modo e ver se funciona pra o seu ambiente.
@@NETWORKPROBR A minha intenção é fazer o controle de sites, o que as máquina podem acessar ou não. Não achei um vídeo no seu canal falando do E2Guardian. Porém vi que ele é bem simples de configurar e faz o controle que eu preciso. Já pensou em fazer um vídeo sobre ele? Ou um vídeo comparativo sobre E2Guardian vs Squid? Se souber de um vídeo confiável para indicar, irá me ajudar e muito. De qualquer forma muito obrigado!
@@ememachado como parceiros NETGATE (Empresa mantenedora do pfSense) no Brasil, podemos abordar apenas pacotes do repositório oficial. Mais estou certo que você vai encontrar algum conteúdo sobre este outro pacote.
@@NETWORKPROBR Olá Fernando tudo bem? Em cenário Ex: uma escola onde muitos alunos tenham que acessar a rede wifi passando pelo proxy como eu faria para instalar o certificado em todos os celulares dos alunos?? Instalar manualmente seria quase impossivel até mesmo pq o celular dos alunos não são de nossa responsabilidade o gerenciamento o que eu poderia fazer nesse caso?
@@MsZacheo conseguiu resolver o problema com IPsec? Para colégio você pode usar o modo Splice All do squid, assim você não precisa dos certificados no clientes.
@@NETWORKPROBR Grande Fernando!!! Resolvi sim graças a Deus...Era coisa boba, primeiro eu liberei todas as portas no ipsec de ambos os lados para melhor identificar o problema, depois liberei todas as portas do meu firewall na matriz o problema continuou, liberei todas as portas no meu firewall da filial ai sim consegui ter acesso ao servidor de arquivos, então voltei as portas no firewall da matriz como estavam antes continuei acessando entao criei na regra de firewall da filial a liberação das portas 137,139, 445 e 138 SMB esta funcionando perfeitamente. Fernando só tenho uma duvida quais regras devemos criar no IPSEC no momento deixei tudo liberado, no meu caso seria as mesmas portas acima mencionada??? Teria que manter essa regra na regra da LAN e no IPSEC?? Outra duvida por gentileza, eu tenho uma vlan no pfsense com TAG no meu SW criei uma VLAN com a porta do PFSENSE no modo HIBRIDO, criei tambem as TAGS nos meus APS até ai tudo bem, tudo funcionando!! meus APS estao trabalhando na rede 200 e minha rede administrativa na rede 0. Baixei um aplicativo de SCAN DE REDE eu na rede 200 consigo escanear a minha rede 0....sabe me dizer como posso bloquear este acesso da rede 200 a rede 0?
@@MsZacheo que bom que deu certo, para restringir você pode fazer um alias de porta e outro de host e fazer uma regra vinculada ao ipsec liberando o tráfego dessas portas e hosts. No caso das rede se acessarem, você precisa restringir na origem, coloque uma regra de block na origem bloqueando acesso da rede origem para rede destino acima das regras de liberação que estão vinculadas a interface, com isso você alcança esse objetivo.
E o hamachi? Como liberar?Liberei a porta TCP/UDP 17771 e TCP: 12975 e 32976, funciona mas muito lento, se desativo o filtro ssl funciona normal. Se puder me ajudar desde já agradeço muito.
com o logmein você pode agregar as portas em um alias, e colocar um regra de liberação liberando no source sua rede interna para destino any (*) e em porta você seleciona o alias assim voce bypassa o proxy para essa aplicação. Outra opção você desmarca o opção de interceptar e trabalha com o proxy fixo no navegador, porém nesse caso, acredito que voce terá que configurar o proxy no logmein também.
Mario, Usando o Squid, uma maneira de não precisar dos certificados seria usando o modo splice all com esse modo você consegue usar o modo transparente sem a necessidade do certificado nas maquinas e nos dispositivos porém, se você optar por esse modo de operação, e necessário que você trabalhe muito bem as consultas DNS para que tanto o squid quanto os clientes, para que ambos usem o mesmo DNS. Se optar por esse modo é importante acompanhar em realtime os eventos TAG 409, se houverem muitos, para os domínios com mais incidência de erro você deverá criar uma lista de bypass. Outra opção seria usar o E2Guardian que trabalham melhor o modo transparente sem certificado que o squid.
Excelente vídeo, implementei um proxy MITM transparente no pfsense, usando a opção "Splice all" no modo SSL / MITM, não tenho problemas, exceto com gmail e google drive que me bloqueia depois de um tempo e funciona, então bloqueia novamente, e depois de um tempo ele funciona. Preciso comprar um certificado válido para que ambos funcionem sem problemas?
Rolando o modo splice all tem alguns problemas com domínios que usem CDN, nesse caso o que deverá trabalhar com bypass para os domínio que apresentarem problemas.
@@ERolando78 sim porém muda o cenário, vocÊ vai precisar instalar o certificado CA maquina a maquina, assista esse vídeo ua-cam.com/video/dcMltgOvha8/v-deo.html, aqui você vai conseguir entender o que melhor se adequa ao seu ambiente.
Estou com uma dúvida: eu preciso instalar o certificado 'CA' em todas a maquinas da empresa para ter acesso a internet? No mais, parabéns pelo conteúdo do vídeo.
Bom dia tira uma dúvida. Consigo fazer 2 lans e uma San, essas LAN não ter comunicação entre si, aplicar o proxy transparente em uma só LAN ? Da pra utilizar o mesmo CA criado para a VPN ?
Qual quantidade de processos filhos no squid e squidGuard vcs utilizam, para ambiente de até 100 dispositivos? Squid: SSL Certificate Deamon Children: 32 SquidGuard Rewrite process children: 16 Rewrite process children startup: 8 Rewrite process children idle: 4
Geralmente sim, por que o proxy vai atuar apenas na 80/http e 443/https, então se deixar a regra padrão, no caso do vídeo essas portas serão redirecionadas para o proxy, porem as demais terão acesso liberado a partir rede de origem.
Olá, alguém poderia me dar uma ajudar? Por favor! Estou recebendo seguinte erro: O seguinte erro foi encontrado ao tentar recuperar a URL: https/* Impossível determinar o endereço IP do nome de host https O servidor DNS retornou: Name Error: The domain name does not exist. Isto significa que o cache não pode resolver o nome de host contido na URL. Verifique se o endereço está correto. Seu administrador do cache é admin@fwpfsense.com.br. Não sei como resolver isso... :(
Geralmente esse erro acontece por ter o proxy transparente habilitado no squid e ter o proxy configurado no browser seja de forma direta ou via wpad, se tiver usando proxy no browser desligue o modo transparente no squid, se estiver com usando o modo transparente remova a configuração de proxy do browser.
@@NETWORKPROBR Orbigado pela resposta irmão, vi e revi seus vídeos e descobri o erro, deve ser alguma bug do sistema... Quando habilito a opção de não permitir ip aos invés de url ele dá esse erro... vlw forte abraço... Jesus lhe abençoe...
www.shallalist.de/Downloads/shallalist.tar.gz acabei de testar tá ok, veja se o pfSense está conseguindo resolver nomes, talvez o seu problema esteja no DNS.
a minhas Target Rules List não aparece, pode me ajudar ?
Shallalist foi desativada, use essa lista aqui, dsi.ut-capitole.fr/blacklists/download/blacklists_for_pfsense.tar.gz
Conteúdo totalmente didático e 100% funcional, TUDO funciona perfeitamente, parabéns ao time da NetworkPRO.
Excelente. Estou seguindo por ele para dar uma aula sobre proxy com pfSense.
Parabéns!!!!
Obrigado... para uma rede sem domínio, vai servir bem essa documentação.
Olá, como vai?? Tem algum vídeo de implementação do squid sem ter que ficar subindo certificado para dentro do navegador?? Pois isso não faz sentido no meu cenário, sem contar os celulares que estão na rede como um todo. Não consegui achar em seu canal. Abraços
Cara muito bom, simples e funcional. Sucesso.
Ótimo vídeo.
Tem alguma alternativa ao Shallalist? Essa lista foi descontinuada.
Muito bom Parabéns ! Me ajudou muito
Bom dia, estou com uma dúvida, ao salvar minha Groups ACL, o pfsense não salva e deixa um aviso "pfSense is restoring the configuration /cf/conf/backup/config-1654090291.xml" ... alguma idéia do que pode ser ?
Instalei o pfSense em uma virtual Box, uma placa de rede está como NAT e outra em Bridge até ai tudo bem, coloquei o IP pra acesso a ele dentro da minha rede. 192.168.0.126, porém como configuro ele pois ele está atrás de um load balance TPLINK. O load balance tem duas WANS e uma LAN criada que é a 192.168.0.24. Como eu uso IP estático aqui eu coloco nos computadores o gateway 192.168.24 ai a internet funciona de boa só que creio que não está passando pro pfSense. Como devo proceder ? Devo apontar os DNS do meu load balance pro pfSense ? Inclusive fiz todo esse passo a passo porém não está bloqueando.
Bom dia, instalei o PFSense e fiz as configurações como passou, mas ao fazer uns testes em sites como ecac ou receita.fazenda ele dá erro "Falha ao estabelecer uma conexão segura com xxx.xxx.xxx.xxx". No meu caso é para uma empresa de contabilidade que usam muitos sites de bancos e do governo, além de programas da receita, etc... O que acha que pode ser? Recomenda algo? Valeu
Bom dia, Sr. Fernando, muito grato pelos ensinamentos.
Seguinte, uso o proxy transparente e necessito também bloquear o wifi; a nível de teste, pluguei um router wifi na placa LAN e comutei o sinal....No cabo, ótimo, perfeição, mas preciso que a navegação funcione bem tb no Wifi.
São erros de certificado todo o tempo.
Então pensei no Captive Portal, mas vi que os erros não se solucionam só por isto.
1) O que posso fazer - continuando com a interceptação ativada para a Lan e para uma placa de rede só para Wifi também - ?
Grato.
Nesse caso não tem como ter duas configurações diferentes no proxy diferentes para cada uma das redes, para você não precisar do certificado você pode tentar usar o modo splice all e assim usar o proxy para as duas redes porem, o esforço administrativo para normalização desse modo de operação do proxy é maior, conforme menciono nos vídeos desta serie.
@@NETWORKPROBR Resolvi o problema de acordo com a minha necessidade.
*Adicionei mais uma interface física de rede , a cuja dei o nome WIFI;
* Configurei Captive Portal nela;
* Conectei a saída WIFI na LAN via switch, então são duas portas somente para isto, tudo bem;
* Quando o Tracker do Captive Portal autenticado começou a rodar, todo o tráfego começou a ser inspecionado para a nova placa, e por conta da autenticação HTTPS (com uma CA e Certf. associado ao Captive Portal), o tráfego proibido é bloqueado, e dá para navegar razoavelmente bem e sem tantos empecilhos como rotear a LAN diretamente em sua porta.
* Por conta da gambiarra, não há mensagem de erro tão legível no wifi como as do Proxy Transparente da LAN, mas já está ótimo, pois me eximo de responsabilidades com a navegação não adequada e não preciso correr atrás de usuário para instalar certificado. Resultado parecido com WPAD.
* Minha fonte foi esta, só adaptei: ua-cam.com/video/tJaCiCauzoE/v-deo.html.... WIFI substituindo LAN...
Eras isto. Valeu!
opa boa tarde show de bola, mas assim que termino tudo certinho de configurar e começo a realizar os teste a tela do firewall fica nesse erro e me trava tudo
swap_pager_getswapspace(1) failed
swap_pager_getswapspace(2) failed
swap_pager_getswapspace(3) failed
swap_pager_getswapspace(1) failed
oque pode ser ?
Meu proxy transparente está bloqueando alguns sites que eu não apontei, tem como resolver isso ? Só em ativar o proxy transparente ele já bloqueia o acesso a apps do Itau, por exemplo e outros sites.
É preciso alguma regra de firewall redirecionando tráfego Http e Https para o Squid?
Essa opção de incluir os bloque do SquidGuard nos logs do Squid requer um configuração adicional. Você poderia mostrar como fazer?
O professor e top, Fernando manja muito de PfSense. Mas as explicações são muito rápidas, as vezes tenho que voltar o vídeo pra entender o que ele falou. Mas tirando isso o restante e TOP demais.
Boa Noite,
primeiramente parabéns palas explicações, videos ótimos. Gostaria de saber se você teria algum video explicando a implementações de regra NAT, tanto de entrada quanto de saída, fico no aguardo, obrigado.
Detech, boa tarde! ainda não temos mais em breve vamos subir um vídeo com esse conteúdo aqui no canal.
bom dia, gostaria de saber se exite a possibilidade de não fazer cache com squid, somente interceptação das conexão com o relatório.
Errata: Em Hard Disk Cache Size deixe com 0, e em advanced options use a diretiva cache deny all.
amigo, segui todos os passos estou com PfSense 2.6, foi um copia e cola...criei CA criei o Certificado amarrado ao CA, instalei os pacotes, habilito o proxy e vou seguindo, no meio da configuração do squidguard até seu video é interrompido por causa do proxy, fiz exatamente como fez e não sei o que pode estar causando o bloqueio total de internet....a nova black list peguei nos comentários....não sei mais o que fazer
Nos reports ficam os IPs, é possível fazer a conversão para que mostre o site ?
Fiz todos os passos a passos no momento que vou em grupo ACL, na parte de target rules list + -. Quando Clico no sinal de + não abre as opções para fazer o deny.
provavelmente não ocorreu o download da blacklist
@@NETWORKPROBR pior que mostra que o download foi feito com sucesso.
Fiz todas as config no pfsense, mas o sqid não é lido. Mesmo com blocks o acesso passa normal
Parabéns pelo vídeo
Bom dia
Essa parte dos pacotes não abre mais infelizmente. Sabe como instalar manualmente?
Muito bom, parabéns, existe alguma forma de instalar o certificado somente nas máquinas que quero fazer os bloqueios e deixar as que não preciso bloquear, como diretoria por exemplo, sem o certificado e elas navegarem normalmente?
E possível via bypass, cria um alias coloca os ips dos diretores no aliás e faz o bypass no squid para o alias, porém você não terá os logs do que foi acessado por esse ips nos squid.
Boa tarde... Gostei muito do conteúdo.... mas quando vou criar uma ACL, salvo, não dá erro, mas tbm não cria.... o que poderia ser??
Do nada funcionou.. .rsrsrs
no caso seria possivel liberar alguns mac ou ips da rede para nao acessarem a blacklist
Muito bom vídeo ajudou bastante. Gostaria de saber como fez para colocar aquela página de erro do minuto 8:49 do vídeo que tem as informações detalhadas? Fiz a configuração na versão 2.4.5 e não aparece dessa forma. Poderia informar como fazer? Desde já obrigado!
Fiz algumas pesquisas. E como mostra no vídeo que está pegando do arquivo sgerror.php no meu caso estou fazendo um teste seguindo como mostrado no vídeo e fui testar em colocando o proxy configurado manualmente no Mozilla Firefox, mas as mensagens de erro que aparecem são as do Squid. Daí vou ter que mudar nos arquivos de error /usr/local/etc/squid/errors/pt-br/ERR_ACCESS_DENIED . O que gostaria era justamente que pegasse justamente pelo sgerror.php que só modificaria nele. Poderiam me ajudar? Desde já obrigado. Versão do Pfsense 2.4.5-RELEASE-p1
Olá, bom dia!
quando clico em salvar a ACL_Default, ela não salva. Simplesmente não lista a nova ACL e tbm não exibe erro algum! O que pode ser?
Olá Adriano, tente reinstalar os pacotes dos squid/squidguard, em seguida faça novamente o download da blacklist no squidguard e tente criar a ACL com outro nome, talvez isso te ajude.
@@NETWORKPROBR Testando!
@@NETWORKPROBR Deu certo! Muito obrigado!
@@NETWORKPROBR Funcionou no primeiro teste. Após isso, não consigo editar nenhuma acl, quando altero ou crio uma nova, recebo o alerta de que "pfSense is restoring the configuration /cf/conf/backup/config-....xml@..." o que pode ser? todos os pacotes instalaram sem erros.
@@MrAdrianowengrat você esta restaurando o pfSense a partir de algum backup?
Poderia passar conteúdo sobre o pacote "ACME"?
boa tarde so uma duvida é possivel no proxy transparente liberar alguns ips ou melhor mac na rede pra nao precisar passar pelo bloqueio liberando os sites bloqueados ?
Boa tarde, no caso se eu não quiser usar o cache do squid (tenho um link muito bom e não há necessidade de utilizar o cache). O que devo fazer ?
Você pode usar a diretiva cache deny all em opções avançadas.
parabéns pelo seu trabalho excelente vídeo. Fiz e foi tudo perfeito, porém, eu tenho um dois links de internet e quando eu uso uso o squid proxy ele deixa apenas o link default como faço para ele não altere para o link default. Você consegue me ajudar?
apesar do artigo ser de 2016 deve servir....opensourceforu.com/2016/08/configuring-pfsense-dual-wan-failover-mode/
Boa tarde, professor. Este vídeo tem sido meu guia de referência...porém, tem se repetido sempre o mesmo problema com o antivírus: clico para dar o update forçado, a página se atualiza rapidamente.
O antivirus ClamAv até está rodando, porém, não atualiza por nada neste mundo (em command prompt, o comando freshclam , o retorno é "your ClamAv instalattion is OUTDATED"!). O botão não esmaece e no console, não vejo nenhum tráfego de atualização observando com o comando tcpdump -i re0.
Pergunto-te pois já é o segundo servidor na sequência com o mesmo problema.
Desde já agradeço.
Eduardo, particularmente nunca peguei este erro, mais você abrir um ticket em redmine.pfsense.org/issues, e se for algo que necessite de correção, os devs corrigem.
@@NETWORKPROBR olha só, mais uma manha, vlw!
Boa tarde, eu gostaria de fazer relatórios de acessos, mas com toda a rede liberada. Eu consigo ativar o squid só para isso? Obrigado.
Consegue sim, nesse caso você não precisa do squidguard, precisa apenas do squid e do lightsquid para gerar os reports
@@NETWORKPROBR obrigado
top demais, ajudou !
Parabens pelo video ! ficou perfeito. Por gentileza tenho uma duvida, estou montando um proxy com ubuntu server e squid, como ele nao vai estar como servidor de mais nada apenas do squid nao preciso de duas placas de rede, correto ? pois qdo eu apontar o ip do squid com a porta nos terminais ja dara certo, correto ?
Opa, bom dia!
Excelente canal, e excelente vídeo. Muito bom mesmo...
Estou só com um probleminha e acho que é no cache. ( segui certinho seu vídeo ).
Meu lab está assim:
PfSense uma máquina
Ubuntu na outra utilizando Firefox
Antes de qualquer criação de ACL estava acessando normal, facebook, instagram and playboy
Após criação de ACL, não acessa mais, perfeito ...
Ai resolvi deixar tudo liberado, e ao testar ainda mostra bloqueado.
depois de vários testes, reload no squid and squidguard limpei o cache do firefox, pimba, acessou normal ...
Como resolvo isso ?
Meu pfsense não bloqueia nada, mesmo com tudo instalado e com os serviços funcionando.
Show o vídeo!!! Fiz e está bloqueando tudo👏👏, como faço para liberar update do Windows
Alexandre, nesse caso o que você pode fazer é acompanhar em squid/real time pra ver se há algum bloqueio referente ao Windows update, se tiver, nas configurações do squidguard em target categories crie um novo item e adicione os domínios do windows update em domain list feito isso salve, em Groups ACL edite a acl que você criou e configure a nova categoria (que você acabou de criar) como whitelist, com isso você garante permissão para os domínios do windows update.
Cara, seguinte, coloco ip fixo para a placa wan no meu pfsense, ao dar save, o servidor não pinga mais para @t (no route to host) e a máquina cliente não navega.Somente pinga para as máquinas da rede local. Não importa se coloco o mesmo ip dhcp q aparece no console e mesmo CIDR.
O que pode ser? Um dos servidores que lhe mencionei uns dois meses atrás deve ter ip estático na Wan.
Esse tipo de duvida é algo difícil de prever, por ser algo relacionado especificamente ao seu ambiente, acredito que deva ser algo com o default gw, de uma olhada nos gateways e veja se tem algum gw a mais, se tiver remova e faça um restart do firewall para ver se o problema persiste, algo diferente disso, so analisando diretamente o fw.
Olá, na versão 2.5.1 você ja testou essa implementação? Abraços.
Bom dia, sabem me dizer se o shallalist esta fora do ar?
Shallalist foi desativada, use essa lista aqui, dsi.ut-capitole.fr/blacklists/download/blacklists_for_pfsense.tar.gz
O meu squid transparente esta barrando as redes sociais, Face, WhatsApp e Instagram, mesmo colocando na lista branca de permitidos. Fernando, sabe me dizer onde estou errando? Já repassei 3x seguindo sua explicação aqui do vídeo e nada.
O que é exibido no real-time do squid quando você tentar acessar esse sites? E sempre quando fizer testes limpe o cachê do navegador.
Show!!! Mas um detalhe, como libero o facebook neste caso para um gestor?
Sandro, Basta você criar uma outra ACL com o IP do gestor e liberar acesso a redes sociais nesta ACL.
@@NETWORKPROBR , Obrigado vou testar, para não gravar o log deste gestor existe alguma forma ?
@@bystl em "Services/Squid Proxy Server/General/Transparent Proxy Settings/Bypass Proxy for These Source IPs" adicione os IPs dos gestores neste campo em seguida faça uma regra de firewall na lan permitindo o trafego 80/443 com os IPs dos gestores em origem para qualquer destino.
@@NETWORKPROBR , deu certo, porem estou tendando bloquear mais categorias no shalalist e aconteceu ao contrario, liberou foi tudo na ACL defaut..
@@bystl minha sugestão é que você revise as configs, por que marcar ou desmarcar categorias no squidguard não deveria liberar o trafego, veja se o ip do qual você esta testando não está no bypass e por isso o acesso esta totalmente liberado e verifique se os serviços do squid e squidguard estão executando.
Primeiro parabens, excelente didatica.
Cara consegui rodar o squid, todos os serviços ativos, mas, o filtro nao funciona. Segui inclusive o exemplo de bloquear as sociais net, mas entra mesmo assim. Consegue dar uma luz ?
Os serviços, squid e squidguard estão running?
ola, quando criar a groupe acl, não me aparece a lista de black list, a lista foi atualizada, mas ela não aparece igual voce fez ai no video, tentando o bloqueio do facebook
Você fez o download da blacklist no squidguard?
Essa regra funciona caso eu queria usar para bloqeuio de sites pelo celular ?
Hola, no me deja guardar Groups ACL... que puede ser?
elimine acentos de los mensajes de error y ver si el error persiste
Parabéns pelo vídeo.
Estou com problema na versão 2020 2.4.5-RELEASE-p1 para funcionar o certificado CA no navegador você teria alguma solução para esse problema ele sempre fica falando que o certificado não e valido e o sites https fica com erro de acesso .
Você seguiu o processo de importação da CA no windows? Isso ocorre em todos os navegadores?
olá, ativando o SSL filter já para a navegação e começa dar erro de ssl em vários sites
Olá Thiago, você instalou o certificado (CA) que você selecionou na configuração do SSL filtering na estação na qual você esta executando os testes? Senão tiver instalado aqui está o vídeo com o todo processo ua-cam.com/video/33r0REbSDMg/v-deo.html. Outro ponto é que no modo transparente você não deve configurar o proxy no browser.
@@NETWORKPROBR Então, eu configurei o CA conforme video, o proxy não está configurado no browser, outra coisa é quando marco a opção SPLICE ALLL, algumas maquinas navegam mas alguns sites acontece o erro de SSL por ex. banco bradesco.
@@thiagohcsilva o modo de operação apresentado no vídeo, com CA instalado nas maquinas não deveria apresentar problemas mesmo para sites de banco, estou usando nesse momento e fiz um teste para o site do Bradesco e consegui o acesso sem problemas. No modo splice all você não precisa de certificado nas maquinas porém esse modo apresentas muitos erros que estão associados a consultas DNS por isso eu evito o uso do modo SPLICE ALL.
Como liberar o WhatsApp no proxy transparente ? Uso o e2guardian, porém deve ser a mesma coisa no squid !
Você pode criar um alias com os ips do Whatsapp e adicionar esse alias no bypass. Caminho: services > squid proxy server > general > transparent proxy settings > Bypass proxy for these DESTINATION ips "colar o nome da alias aqui".
Edvan, se você tiver bloqueando a categoria do whatsapp no squidguard, e quiser liberar apenas o whatsapp basta criar um categoria com o domínio do whatsapp e colocar como whitelist, e liberar as portas do app caso você esteja aplicando filtro de porta por regra de firewall.
fiz conforme dito nos tutoriais, porem esse erro: 7:38 nunca some... alguem tem uma ideia do que fazer ?
Desabilita o antivírus no squid e reincia o serviço do squid.
Quando você dasabilita o serviço do antivirus no squid, salva e reincia, o serviço do clamav fica ativo? Faz isso e limpa o cache do navegador. senão der certo, nas configs do squid desmarca keep setting, reinstala o pacote do squid, reconfigura o squid e antes de incia certifica que o antivirus nao esteja habilitado e veja se funciona.
@@NETWORKPROBR não, ele nunca ativou, ontem eu reinstalei todos os pacotes do zero e reconfigurei, mesma coisa. hoje fiz algo diferente, como precisei colocar mais memoria RAM no servidor. eu direcionei mais memoria para o pfsense tambem. e como tive que reiniciar todo o PC acho que isso ajudou de alguma forma porque o erro sumiu. e agora no log diz que esta atualizando a data base principal. quando terminar de atualizar volto aqui e digo se resolveu
( por algum motivo meus comentarios estão sumindo kkk )
Realmente o clamav consome bastante memória mesmo, sobre os comentários estarem sumido, acho que é por conta do nickname rsrs
@@NETWORKPROBR Agora funcionou e ele habilitou :D uffa. eu acredito que foi por causa da memoria ram, o pfsense estava apenas com 1gb. como agora o servidor tem 16gb eu coloquei 4gb para a maquina virtual do pfsense. e então cliquei em "update AV" dentro da aba antivirus. com isso consegui verificar no log que o erro já tinha sumido, e que ele começou a atualizar as bases de antivirus. é isso. agora ta funcionando. Obrigado professor. suas video aulas me salvaram !!!!
Olá professor, agradeço os conhecimentos.
Estou com a seguinte dificuldade.
Após rodar o SquidGuard, o navegador não acessa mais páginas web. aparece o seguinte erro:
"A URL requisitada não pôde ser recuperada
O seguinte erro foi encontrado ao tentar recuperar a URL: http/*
Impossível determinar o endereço IP do nome de host http
O servidor DNS retornou:
Name Error: The domain name does not exist.
Isto significa que o cache não pode resolver o nome de host contido na URL. Verifique se o endereço está correto.
Seu administrador do cache é"
Desativando o Guard, a navegação se dá de forma normal.
O que pode ser?
Eduardo, você fez o download da Blacklist shalla? Criou a alguma ACL e selecionou pelo menos uma categoria como deny ou allow dentro da ACL? Outra ponto é, certifique-se que não esta com proxy marcado no navegador, caso o erro persista remova a pacote do squidguard, reinstale e reconfigure novamente.
@@NETWORKPROBR Bah, que professor solícito, caramba...
Fiz tudo conforme o vídeo, sem exceções.
Não tinha nenhum proxy no navegador...resolvi criando uma Common Acl tb...com allow lá abaixo. Aí foi.
Mas...surgiu outro problema. Os browsers não aceitam este certificado gerado no próprio PfSense e negam qualquer entrada a páginas.
O que fazer?
@@eduardocardoso8967 o ideal para este cenário é que você gere um certificado CA no pfsense, em seguida você gera um certificado a partir do CA (que você acabou de criar), feito isso você importa o CA no windows para os navegadores reconhecerem os certificados emitidos pelo pfSense como certificados validos (no firefox você deve importar o certificado direto na confgs do navegador), feito isso você altera o certificado do pfSense em system/advanced/SSL Certificate para o certificado que você criou. da uma olhada que tem um vídeo no canal que trata sobre esse assunto.
@@NETWORKPROBR Vi lá...procedi como no video e agora estou fazendo uma produção de servidores com o PFSENSE. Valeu mesmo!
Olá amigo, excelente aula!! Tive o seguinte problema aqui, quando habilito o SquidGuard todo acesso retorno um erro dizendo a URL não pode ser recuperada "", e quando desabilito o acesso volta ao normal. É como se ao habilitar o meu certificado entrasse em ação e ficava dobrado o https, e quando desabilito os certificados são de cada site respectivo. Poderia me ajudar nesse caso?
Geralmente esse erro está associado a usar o proxy no navegador e habilitar o proxy transparente ao mesmo tempo. Certifique se esse não é o seu caso.
@@NETWORKPROBR amigo, realmente não está habilitado o proxy em ambos navegadores, e o problema persiste..
Olá, dependendo da tua necessidade pode fazer como eu fiz. Lá onde tu habilita "Enable SSL Filtering", a opção SSL/MITM Mode deixa como Splice ALL. Em Remote Cert Checks deixa como "Accept remote Servers with erros". Essas mensagens de erro pararam, e os bloqueios ocorrem mostrando a ACL junto com a msg que defini. Sou novo também no assunto, se puderem me corrigir, mas acho que isso evita o uso do certificado, mas permite filtrar SSL (No meu caso no momento preciso só monitorar o que acessam).
Show
Parabéns! Ótima didática. Explicado cada detalhe! Ganhou um inscrito, você vende curso completo da ferramenta?
Obrigado pelo feedback, por hora não temos curso a venda, mas temos o conteúdo aqui no youtube :) Abs
@@NETWORKPROBR ótimo, muito bom mesmo! Me tira uma dúvida estou fazendo lab com E2Guardian transparente, eu teria que fazer grupos por IP, qual melhor forma de realizar esta configuração do e2guardian?
@@brunojosedossantos9397 infelizmente não consigo ate ajudar com o esse proxy, por que ele não faz parte do repositório oficial da NETGATE, e como a NETWORKPRO é parceiro oficial da NETGATE no Brasil, atuamos somente como os pacotes do repositório oficial. De qualquer forma minha sugestão é que você procure algum grupo ligado ao desenvolvedor deste pacote para que eles possam te ajudar com essa duvida. Abs
@@NETWORKPROBR entendi, maravilha. Obrigado pelo feedback!
Cara funcionou comigo, fiz apenas uma alteração no Squid Proxy->General->SSL MAN e na opcao SSL/MITM coloquei Splice ALL para nao precisa de instalar o certificado nos equipamento, uma duvida que me surgiu agora suponha que eu tenha 3 tipos de usuários na empresa 1º Diretor tudo liberado 2º Tudo liberado exceto rede sociais 3º somente alguns sites liberados(bancos, email, fornecedores) como eu faria isso ? nao consegui ver nem uma opcao que integra ao Firewall
Rhyann, o Splice ALL tem alguns problema de operação relacionando DNS na versão do squid que esta em uso na versão 2.4.4 P3 do pfsense, esse problemas foram corridos na versão atual do squid que será usada na proxima atualizacao do pfSense 2.4.5 sobre os tipo de grupo de usuario, basta voce criar as 3 acl e vincular os ips das maquinas nas respectivas ACLs.
Olá, me tira uma dúvida!
Para usar o Proxy transparente, necessariamente eu tenho que criar um CA ou usar um válido, e além disso eu preciso necessariamente instalar em todos os Hots o CA?
No modelo em uso no vídeo, sim. Existe o modo de operação do squid "splice all" no qual não precisa da ca nas maquinas porém, você pode ter alguns problemas com alguns sites que usem CDN, por esse e outros motivo, eu não uso esse modo, mais se o certificado nas maquina for um problema você pode testar esse modo e ver se funciona pra o seu ambiente.
@@NETWORKPROBR A minha intenção é fazer o controle de sites, o que as máquina podem acessar ou não. Não achei um vídeo no seu canal falando do E2Guardian. Porém vi que ele é bem simples de configurar e faz o controle que eu preciso. Já pensou em fazer um vídeo sobre ele? Ou um vídeo comparativo sobre E2Guardian vs Squid? Se souber de um vídeo confiável para indicar, irá me ajudar e muito. De qualquer forma muito obrigado!
@@ememachado como parceiros NETGATE (Empresa mantenedora do pfSense) no Brasil, podemos abordar apenas pacotes do repositório oficial. Mais estou certo que você vai encontrar algum conteúdo sobre este outro pacote.
Muito show o video.
Tenho uma dúvida, em relação aos dispositivos móveis, tem que instalar um a um o certificado criado pelo PfSense?
Olá Raphael, isso mesmo! tanto para IPhone quanto para android.
@@NETWORKPROBR Olá Fernando tudo bem? Em cenário Ex: uma escola onde muitos alunos tenham que acessar a rede wifi passando pelo proxy como eu faria para instalar o certificado em todos os celulares dos alunos?? Instalar manualmente seria quase impossivel até mesmo pq o celular dos alunos não são de nossa responsabilidade o gerenciamento o que eu poderia fazer nesse caso?
@@MsZacheo conseguiu resolver o problema com IPsec? Para colégio você pode usar o modo Splice All do squid, assim você não precisa dos certificados no clientes.
@@NETWORKPROBR Grande Fernando!!! Resolvi sim graças a Deus...Era coisa boba, primeiro eu liberei todas as portas no ipsec de ambos os lados para melhor identificar o problema, depois liberei todas as portas do meu firewall na matriz o problema continuou, liberei todas as portas no meu firewall da filial ai sim consegui ter acesso ao servidor de arquivos, então voltei as portas no firewall da matriz como estavam antes continuei acessando entao criei na regra de firewall da filial a liberação das portas 137,139, 445 e 138 SMB esta funcionando perfeitamente.
Fernando só tenho uma duvida quais regras devemos criar no IPSEC no momento deixei tudo liberado, no meu caso seria as mesmas portas acima mencionada??? Teria que manter essa regra na regra da LAN e no IPSEC??
Outra duvida por gentileza, eu tenho uma vlan no pfsense com TAG no meu SW criei uma VLAN com a porta do PFSENSE no modo HIBRIDO, criei tambem as TAGS nos meus APS até ai tudo bem, tudo funcionando!! meus APS estao trabalhando na rede 200 e minha rede administrativa na rede 0. Baixei um aplicativo de SCAN DE REDE eu na rede 200 consigo escanear a minha rede 0....sabe me dizer como posso bloquear este acesso da rede 200 a rede 0?
@@MsZacheo que bom que deu certo, para restringir você pode fazer um alias de porta e outro de host e fazer uma regra vinculada ao ipsec liberando o tráfego dessas portas e hosts. No caso das rede se acessarem, você precisa restringir na origem, coloque uma regra de block na origem bloqueando acesso da rede origem para rede destino acima das regras de liberação que estão vinculadas a interface, com isso você alcança esse objetivo.
E o hamachi? Como liberar?Liberei a porta TCP/UDP 17771 e TCP: 12975 e 32976, funciona mas muito lento, se desativo o filtro ssl funciona normal. Se puder me ajudar desde já agradeço muito.
com o logmein você pode agregar as portas em um alias, e colocar um regra de liberação liberando no source sua rede interna para destino any (*) e em porta você seleciona o alias assim voce bypassa o proxy para essa aplicação. Outra opção você desmarca o opção de interceptar e trabalha com o proxy fixo no navegador, porém nesse caso, acredito que voce terá que configurar o proxy no logmein também.
não tem outro jeito de bloquear conteúdo sem instalar o certificado nos dispositivos?
Mario, Usando o Squid, uma maneira de não precisar dos certificados seria usando o modo splice all com esse modo você consegue usar o modo transparente sem a necessidade do certificado nas maquinas e nos dispositivos porém, se você optar por esse modo de operação, e necessário que você trabalhe muito bem as consultas DNS para que tanto o squid quanto os clientes, para que ambos usem o mesmo DNS. Se optar por esse modo é importante acompanhar em realtime os eventos TAG 409, se houverem muitos, para os domínios com mais incidência de erro você deverá criar uma lista de bypass. Outra opção seria usar o E2Guardian que trabalham melhor o modo transparente sem certificado que o squid.
aqui fiz tudo mas nao bloqueou
Excelente vídeo, implementei um proxy MITM transparente no pfsense, usando a opção "Splice all" no modo SSL / MITM, não tenho problemas, exceto com gmail e google drive que me bloqueia depois de um tempo e funciona, então bloqueia novamente, e depois de um tempo ele funciona. Preciso comprar um certificado válido para que ambos funcionem sem problemas?
Rolando o modo splice all tem alguns problemas com domínios que usem CDN, nesse caso o que deverá trabalhar com bypass para os domínio que apresentarem problemas.
@@NETWORKPROBR ok entendi e se eu usar a opção "Splice whitelist, Bump else" em vez de "Splice All", será que consigo resolver o problema?
@@ERolando78 sim porém muda o cenário, vocÊ vai precisar instalar o certificado CA maquina a maquina, assista esse vídeo ua-cam.com/video/dcMltgOvha8/v-deo.html, aqui você vai conseguir entender o que melhor se adequa ao seu ambiente.
Show de Bola !!!!
Estou com uma dúvida: eu preciso instalar o certificado 'CA' em todas a maquinas da empresa para ter acesso a internet?
No mais, parabéns pelo conteúdo do vídeo.
Rhuan, isso mesmo!
Bom dia tira uma dúvida. Consigo fazer 2 lans e uma San, essas LAN não ter comunicação entre si, aplicar o proxy transparente em uma só LAN ? Da pra utilizar o mesmo CA criado para a VPN ?
Paulo, sim, para todas a perguntas!
Qual quantidade de processos filhos no squid e squidGuard vcs utilizam, para ambiente de até 100 dispositivos?
Squid:
SSL Certificate Deamon Children: 32
SquidGuard
Rewrite process children: 16
Rewrite process children startup: 8
Rewrite process children idle: 4
Cara não deu certo segui todos os passos mais não deu certo, o site pra baixar as listas da time out.
Shallalist foi desativada, use essa lista aqui, dsi.ut-capitole.fr/blacklists/download/blacklists_for_pfsense.tar.gz
Boa tarde, obrigado pelo vídeo. Você exclui as regras padrão do Firewall? Ou isso é só pro proxy manual na 3128?
Geralmente sim, por que o proxy vai atuar apenas na 80/http e 443/https, então se deixar a regra padrão, no caso do vídeo essas portas serão redirecionadas para o proxy, porem as demais terão acesso liberado a partir rede de origem.
É preciso instalar o certificado em todos os hosts?
Sim, em todos os host que forem usar o proxy!
@@NETWORKPROBR em se tiver smartphones?
Olá, alguém poderia me dar uma ajudar? Por favor!
Estou recebendo seguinte erro:
O seguinte erro foi encontrado ao tentar recuperar a URL: https/*
Impossível determinar o endereço IP do nome de host https
O servidor DNS retornou:
Name Error: The domain name does not exist.
Isto significa que o cache não pode resolver o nome de host contido na URL. Verifique se o endereço está correto.
Seu administrador do cache é admin@fwpfsense.com.br.
Não sei como resolver isso... :(
Geralmente esse erro acontece por ter o proxy transparente habilitado no squid e ter o proxy configurado no browser seja de forma direta ou via wpad, se tiver usando proxy no browser desligue o modo transparente no squid, se estiver com usando o modo transparente remova a configuração de proxy do browser.
@@NETWORKPROBR Orbigado pela resposta irmão, vi e revi seus vídeos e descobri o erro, deve ser alguma bug do sistema... Quando habilito a opção de não permitir ip aos invés de url ele dá esse erro... vlw forte abraço... Jesus lhe abençoe...
Show de bola, teria o link da www.shallalist.de/downloads/shallalist.tar.gz, atualizado? Este não funciona.
www.shallalist.de/Downloads/shallalist.tar.gz acabei de testar tá ok, veja se o pfSense está conseguindo resolver nomes, talvez o seu problema esteja no DNS.
@@NETWORKPROBR É agora funcionou, não entendi o meu pfsense parou de funcionar, tem algo que eu deveria fazer antes disso, alguma regra de lan?
@@markwolfofficialbr não precisa, as regras são inseridas pelo serviço de proxy automaticamente que você habilita o mesmo.
@@NETWORKPROBR Eu não preciso ir ao Firewall, regras e criar uma regra de liberação? Pq estou sem internet apos mudanças, não entendi.
revise as configurações e veja e se a resolução de nomes (DNS) esta funcionando.
:D