Categoria PFSense

porplague70

Senha do WebGUI e Console do PFSense foram perdidas, o que fazer.

Bom, vamos ao que interessa….

1– Reinicie o PFSense
2– Ao iniciar, selecione a opção “Single User Mode” no menu de boot. (dependendo da versão pode ser a opção 2 ou 4)
3– Fique atento após selecionar essa opção, pois no decorrer do processo de inicialização irá aparecer “Start /bin/sh”, então pressione “Enter”
4– Remonte as unidades de forma que seja possível sobrescrever os dados
/sbin/mount/ -o rw / (após pressione enter)
5– Em seguida digite o comando de reset de password
/etc/rc.initial.password
Após pressionar enter, siga os passos solicitados pelo Wizard.
6– Ao concluir reinicie
/sbin/reboot

Agora seu PFSense estará acessível com o usuário “admin” e a senha “pfsense”.

porplague70

INSTALEI O FREEBSD E ESQUECI A SENHA DE ROOT

Para resolver não precisamos instalar o sistema FreeBSD de novo. Siga estes passos:

Quando aparecer a tela de boot com o Beastie na tela, selecione a opção 4, “Boot FreeBSD in single user mode”. Em determinado momento esta ação vai lhe pedir um shell, que por padrão é “/bin/sh”, apenas pressione Enter.

Checando partições:

# fsck -y

Agora digite:

# mount -a

Mudando a senha:

# passwd

Digite a senha de root nova e dê um reboot!

porplague70

atualizar pfsense via console.

na conlose digitar:

pfSense-upgrade -4

 

porplague70

Gateway Monitoring Daemon não funcionando no pfSense 2.3 – dpinger

Pessoal,

Para quem estiver tendo problemas com o “Gateway Monitoring Daemon” no pfSense 2.3, ficando sempre com o status Down, basta seguir o passo a seguir:

Motivo:

Alguns modens/roteadores descartam ICMP com 0 byte, e como o dpinger utiliza 0 byte como default, será necessário alterar o valor do parâmetro “data payload”, que estipula quatos bytes será enviado no pacote ICMP para checagem do Gateway.

Solução:

1- Vá em System -> Routing
2- Clique para editar o Gateway
3- Altere o campo “Data Payload” de 0 para 1
4- Salve e aplique a modificação
5- Reinicie o dpinger

porplague70

liberando whatsapp ligação e video no squid.

incluir estes host na whitlist do squid.

web.whatsapp.com
web.whatsapp.com:443
dyn.whatsapp.com:443
w1.web.whatsapp.com:443
w2.web.whatsapp.com:443
w3.web.whatsapp.com:443
w4.web.whatsapp.com:443
w5.web.whatsapp.com:443
w6.web.whatsapp.com:443
w7.web.whatsapp.com:443
w8.web.whatsapp.com:443

porplague70

Script para aplicação de configuração do Samba3 para autenticação AD no Squid3 para o pfSense®

Script para aplicação de configuração do Samba3 para autenticação AD no Squid3 para o pfSense®

http://pf2ad.mundounix.com.br/pt/index.html

 

pf2ad é um script para a automatização de instalação do ambiente de autenticação via NTLM/AD no Squid3 para o pfSense®. O script já faz todo o trabalho necessário para deixar o pfSense® compativel com AD e adiciona-lo como membro na arvore AD.

porplague70

Failover no PFSense 2.0.0

Failover no PFSense 2.0.0

Segue a seguir o procedimento e failover aplicado no PFSense 2.0.0. O cenário utilizado é com 2 conexões com a internet (WAN) e apenas 1 conexão de rede local (LAN).

Observação.: O servidor possui 3 placas de rede, 2 conectadas a internet e 1 conectada a rede interna. Na instalação eu defini apenas 1 wan e 1 lan. A segunda placa wan será configurada abaixo.

Vamos iniciar ativando a segunda interface WAN. Vá em: Interfaces > Assign

Clique no Botão Add:

Imediatamente o PFSense vai adicionar a interface restante. Agora basta clicar em Save

Agora vamos ativar e renomear a interface para evitar confusão. Vá em Interfaces > OPT1

Clique em Enable Interface, Altere o campo Description para WAN2, defina o tipo de conexão em Type para DHCP e clique em salvar.

Agora precisamos definir os endereços de servidores DNS, para isso vamos no menu System, opção General Setup:

Preencha os campos com o seus servidores DNS de cada provedor de acesso e defina a respectiva interface de conexão, ou faça como eu e defina os servidores DNS do google para cada interface:

8.8.8.8 – WAN
8.8.4.4 – WAN
8.8.8.8 – WAN2
8.8.4.4 – WAN2

Agora vamos iniciar o processo de configuração do failover propriamente. Vamos definir um Grupo de gateways, para isso vá em System > Routing:

confirme na aba Gateways que os gateways das interfaces WAN e WAN2 estão preenchidos.

Agora entre na aba Groups e clique no botão Add:

Preencha os campos da seguinte forma:

Group Name: Multilan
Gateway priority:
* Tier1 – WAN
* Tier 2 – WAN2
trigger Level: Packet Loss

Depois disso basta clicar em Save.

Depois desses passos vamos as configurações de Firewall. Vá em Firewall > Rules:

Entre na aba Floating e clique no botão Add new rule:

Preencha os campos da seguinte maneira:

Action: Pass
Interface: Selecione WAN e WAN2
Direction: Out
Protocol: TCP
Source: Any
Destination: Any
Destination Port Range
* From: HTTP
* To: HTTP

Desça a barra de rolagem até Advanced Features, Clique no botãoAdvanced na opção Gateway e selecione Multilan:

Salve e vá para Firewall > NAT:

Vá para a guia Outbound e marque a opção Manual Outbound NAT rule generation e salve. As regras abaixo irão aparecer na sua tela:

Vamos adicionar duas regras. Clique no botão Add e preencha os seguintes campos:

Interface: WAN
Protocol: Any
Source: Any
Destination: Any
Translation: Interface address

e clique em salvar.

Repita o procedimento criando nova regra só alterando a interface WAN por WAN2:

O resultado será a tela abaixo:

Pronto, o failover já estará funcionando. Agora só nos resta testar e confirmar que ele está realmente OK.

porplague70

Instalando pfSense utilizando um pendrive.

Instalando pfSense utilizando um pendrive

Criei um blog novo, que vou levar adiante. Além de pFsense, o blog trará conteúdos do mundo da tecnologia.

Atualizei este tutorial no novo blog, então, peço que todos verifiquem a versão atualizada deste tutorial no novo site:

http://www.techtest.com.br/2015/02/instalando-pfsense-utilizando-um.html

Aproveitem para conhecer o site!

Grato a todos!

——————————————————-

Olá galera!

Hoje vou compartilhar uma dica muito valiosa.

Como instalar o pfsense utilizando um pendrive como mídia, ao invés de um CD-ROM.

Muito útil para aqueles micros que não tem drive de cd, além de ser mais prático e rápido.

É muito simples.

Vai precisar apenas de um pendrive e dos seguintes programas:

Alexander Beug’s USB Image ToolDownload
pfSense memdisk image – Download

Extraia a imagem do pfsense para algum lugar em seu computador.
Extraia o USB image tool para uma pasta qualquer e depois execute.

ATENÇÃO! Esse procedimento vai apagar todos seus arquivos no seu pendrive!

Selecione o pendrive desejado na lista e clique no botão restore. Será exibida uma tela para escolher uma imagem. Escolha a que extraiu do pfSense.

Pronto! O programa vai começar a gravar a imagem no pendrive. Depois, é só dar boot na máquina que deseja instalar o pfSense com o pendrive e a instalação vai funcionar normalmente, como se fosse pelo CD.

Testei em um Sandisk de 4gb e funcionou perfeitamente.

Tutorial baseado na dica do Spook, no forum do pfSense.

porplague70

Pfsense+Squid+SquidGuard logando no Active Directory

Pfsense+Squid+SquidGuard logando no Active Directory

 

Na aba “Available Packages” procure por “squid” e mande instalar clicando no ícone no canto direito

Imediatamente você será direcionado para a página do Package Installer, nele veremos o progresso da instalação do pacote squid e suas dependências:

Vamos inserir as regras para a rede LAN:

OBS.: LAN net = LAN subnet

Agora vamos no menu Services > Proxy Server:

Na aba “General” certifique que “Transparent Proxy” está desmarcada.

Considerando que seu servidor wk3 está com o IP: 192.168.1.12, a senha do usuário Administrador é “pwd1admin” e seu domínio é prototipo

 

Na aba “Auth Settings” vamos adicionar os seguintes parâmetros:

 

Authentication method: LDAP

LDAP version: 3

Authentication server: 192.168.1.12

Authentication server port: 389

LDAP server user DN: cn=Administrador,cn=Users,dc=prototipo

LDAP password: pwd1admin

LDAP base domain: dc=prototipo

LDAP username DN attribute: uid

LDAP search filter: sAMAccountName=%s

OBS: Meu domínio coloquei somente o nome prototipo, não coloquei nada como .com.br ou .com

 

Após este processo o squid estará buscando os usuários pelo Ad, agora precisamos instalar o SquidGuard para que ele possa controlar estes usuários na rede.

Vá na aba Blacklist e baixe no site da shallalist os arquivos, ou cole na blacklist upload:http://www.shallalist.de/Downloads/shallalist.tar.gz

Vá na aba Common ACL e acesse Target Rules List e de um Deny no Default access All

Agora vamos adicionar em Group ACL os grupos que já temos cadastrados no Active directory.

No meu exemplo tenho cadastrado somente dois, um deles é “Internet-TI” “Internet-Padrao”, deixe-os  com letras maiúsculas ou minúsculas do jeito que postou no Active Directory.

Note que no campo cliente, possui alguns usuários, é importante adiciona-los pois o SquidGuard vai bloquear de acordo com as especificações que você adicionará logo em Target Rules list

 

No meu exemplo, o Grupo Internet-TI terá bloqueado somente webmail.

Para fazer o teste, clique em save e volte para a aba General Settings e deixe de acordo com a tela abaixo.

 

Assim que o squidguard iniciar ficará com status start. Aí é só testar.

Para fazer o teste fui no Internet Explorer e vá em Ferramentas>Opções da Internet>Configurações da LAN

 

Configure de acordo com o Ip de seu PfSense.

Agora de um Ok e Ok

Feche o navegador e abra-o novamente e agora coloque o login e senha do grupo que adicionou, no meu caso Internet-TI

 

Agira vou acessar um site que contenha webmail. Ex: www.hotmail.com.br

 

Este é o resultado.

porplague70

Squid + Autenticação NCSA + Controle de Acesso por Grupos

Squid + Autenticação NCSA + Controle de Acesso por Grupos

Esse tutorial busca ajudar aqueles que necessitam montar um servidor proxy aonde os usuários precisem ser autenticados, separados por grupos e que cada grupo tenha uma lista específica de sites liberados para acesso, de uma forma prática e rápida sem ter que usar algum tipo de integração como o AD, Samba ou LDAP.

Parte 1 – Instalação do Squid

Vá no menu ”System > Packages”, na tela que se segue clique em ”Available Packages” e procure na lista o Squid. Clique na setinha ao lado da linha do Squid para instalar o pacote. Com a instalação bem sucedida do Squid vamos à próxima etapa.

Figura 1: Menu System > Packages

Figura 1: Menu System > Packages

Figura 2: Pacote do Squid

Figura 2: Pacote do Squid

Figura 3: Instalação bem sucedida do Squid.

Figura 3: Instalação bem sucedida do Squid.

Parte 2 – Configurações Básicas do Squid

Vamos realizar a configuração básica do nosso Proxy. Para isso vamos acessar as configurações do Squid no menu ”Services > Proxy Server”.

Figura 4: Configurações Básicas do Squid.

Figura 4: Configurações Básicas do Squid.

Na aba “General”, estão localizadas as configurações básicas do nosso servidor proxy. Geralmente não é preciso alterar nada para que o proxy funcione. Então vamos deixar os valores como padrão para a maioria dos campos, alterando somente o campo”Language” para “Portuguese” (isso fará com que o Squid exiba as páginas de erro em Português) e um pouco mais abaixo vamos marcar a opção ”Supress Squid Version”(para que o Squid não mostre a sua versão na página de erros). E por fim clicamos em”Save” para guardar nossas configurações.

Figura 5: Continuação das Configurações Básicas do Squid

Figura 5: Continuação das Configurações Básicas do Squid

Figura 6: Continuação das Configurações Básicas do Squid

Figura 6: Continuação das Configurações Básicas do Squid


Parte 3 – Configurações de Autenticação do Squid

Ainda nas configurações do Squid, vamos até a aba “Auth Settings”. Aqui vamos configurar nosso Squid para que ele utilize a base de dados Local. Então vamos até o campo ”Authentication Method” e vamos escolher a opção “Local”.

Figura 7: Configurações de Autenticação do Squid

Figura 7: Configurações de Autenticação do Squid

Ainda nessa tela temos 3 campos importantes:

“Authentication prompt”: Texto que vai ser exibido na janela que pede o usuário e a senha.
“Authentication processes”: Número de autenticações simultâneas. Ajuste conforme preciso.
“Authentication TTL”: Este campo define o tempo de vida da sessão de um usuário autenticado.

Figura 8: Configurações de Autenticação do Squid

Figura 8: Configurações de Autenticação do Squid

Clicamos em ”Save” e vamos à próxima etapa.

Parte 4 – Cadastro de novos usuários

Nas configurações do proxy na aba “Local Users”, vamos cadastrar os 3 usuários para utilizarmos no nosso exemplo. Para cadastrar um usuário clique no ícone da setinha marcado na figura abaixo.

Figura 9: Cadastros de Usuários no  Squid

Figura 9: Cadastros de Usuários no Squid

Na tela que se abre, temos 2 campos obrigatórios: ”Username” e ”Password”. Já o campo “Description” é opcional, porém é muito útil para caráter administrativo. No nosso exemplo eu usei esse campo para definir qual departamento o usuário pertence. Clicamos em “Save” para finalizar essa etapa de cadastro.

Figura 10: Continuação dos Cadastros de Usuários no  Squid

Figura 10: Continuação dos Cadastros de Usuários no Squid

Parte 5 – Administrando Usuários: Remover Usuário e Troca de Senha

Ainda em “Local Users”, podemos perceber que na listagem dos usuários cadastrados no sistema, ao lado aparece dois pequenos ícones, eles são a função editar e deletar.

No botão editar você poderá trocar o nome de usuário e a senha. E no de remover, excluímos o usuário do sistema.

No caso de alterar o dados do usuário, o pfSense traz o mesmo formulário só que preenchido com os Dados Originais bastando você alterar aonde necessário.

Figura 11: Cadastros de Usuários no Squid

Figura 11: Cadastros de Usuários no Squid

Parte 6 – Definindo os Grupos e seus respectivos Sites Liberados

Finalmente chegou a hora de fazermos a autenticação por grupos no pfSense. Vamos no menu “Diagnostics > Edit File”. No campo que aparece vamos digitar:“/usr/local/pkg/squid.inc” e apertar no botão “Load”. Uma vez  conteúdo do arquivo carregado, vamos procurar (Control + F) pelo seguinte conteúdo: “acl password proxy_auth REQUIRED” (sem as aspas).

Figura 12: Alterando o squid.inc

Figura 12: Alterando o squid.inc

Entre a linha “acl password proxy_auth REQUIRED” e a “EOD;” vamos inserir o código abaixo:

### Definição ACLs dos Grupos com Seus Respectivos Usuários ###
acl COMERCIAL proxy_auth “/var/squid/acl/usuarios_comercial.acl”
acl FINANCEIRO proxy_auth “/var/squid/acl/usuarios_financeiro.acl”
acl ADMINISTRATIVO proxy_auth “/var/squid/acl/usuarios_administrativo.acl”

### Definição das ACLs dos Sites Liberados para Cada Grupo ###
acl SITES_COMERCIAL url_regex “/var/squid/acl/sites_comercial.acl”
acl SITES_FINANCEIRO url_regex “/var/squid/acl/sites_financeiro.acl”
acl SITES_ADMINISTRATIVO url_regex “/var/squid/acl/sites_administrativo.acl”

### Liberação do Acesso para os Grupos ###
http_access allow password COMERCIAL SITES_COMERCIAL
http_access allow password FINANCEIRO SITES_FINANCEIRO
http_access allow password ADMINISTRATIVO SITES_ADMINISTRATIVO
http_access deny all

Agora salvamos o arquivo “squid.inc” alterado.

OBSERVAÇÃO

Em nosso ambiente de implementação de autenticação por grupos, cada grupo tem a sua própria lista de site permitidos, há um detalhe muito importante a realçar.

Na interface de configuração do Squid, em “Services > Proxy Server” na aba “Access Control” temos os campos “Whitelist” e “Blacklist”.

Essas duas listas tem precedência sobre as demais liberações ou bloqueios que usamos no “squid.inc”.

DICA

Particularmente, eu uso esse campo “Whitelist” para cadastrar os sites que serão disponíveis para todos os grupos, ou seja, os sites em comum a todos eles. Pois todos terão acesso. Restando a lista personalizada de cada grupo somente àqueles sites que são acessados só por aquele grupo em específico.

Parte 7 – Criação dos arquivos que definem o grupo e os sites que podem ser visitados

O próximo passo é criar e popular os arquivos que referenciamos nas ACLs de grupos e de sites. Vou dar um exemplo com a criação de ambos arquivos para o Grupo Comercial:

Vamos trocar o endereço “/usr/local/pkg/squid.inc” para o endereço”/var/squid/acl/usuarios_comercial.acl” e então apertamos o botão “Load”.

O pfSense vai dar a seguinte mensagem avisando que o arquivo não existe: “File does not exist or is not a regular file.”. Vamos ignorar essa mensagem e iremos povoar o arquivo com o nome do usuário do departamento Comercial, no caso “joao”.

Se houver mais de um usuário por Departamento, iremos manter sempre o padrão de um usuário por linha. Ao término do processo vamos apertar em “Save”. Notaremos então que a mensagem de arquivo inexistente irá ser alterada para “File Save Sucessfully”. Isso irá nos informar que nosso arquivo agora existe e que foi criado com sucesso.

Figura 14: Criação do Arquivo de Grupo com o Usuário

Figura 14: Criação do Arquivo de Grupo com o Usuário

Agora vamos repetir o processo acima alterando o arquivo a ser criado para:“/var/squid/acl/sites_comercial.acl” que é o arquivo que contém a lista dos sites liberados para esse grupo.

Nesse arquivo vamos continuar mantendo o padrão de um site cadastrado por linha.

.uol.com.br/*

Figura 15: Cadastro de Sites por Grupo

Figura 15: Cadastro de Sites por Grupo

Iremos repetir os processos acima para os grupos restantes e suas respectivas listas de sites liberados:

Grupos:

/var/squid/acl/usuarios_financeiro.acl
/var/squid/acl/usuarios_administrativo.acl

Sites Liberados:

/var/squid/acl/sites_financeiro.acl
/var/squid/acl/sites_administrativo.acl

Com tudo devidamente criado, vamos acessar o menu ”Services > Proxy Server”, vamos apenas rolar a tela para baixo e apertar no botão ”Save”. Isso fará que o Squid tenha as suas regras recarregadas, eliminando a necessidade de reiniciar o pfSense ou parar/recarregar o serviço do Squid.

Se tudo foi feito corretamente seu Squid estará funcionando com a autenticação NCSA e políticas de controle de acesso por grupos. Parabéns!

Parte 8 – Soluções de Problemas

Caso o seu Squid não esteja funcionando, vamos até o menu ”Status > Services”. Aqui saberemos o serviço do Squid está iniciado ou parado.

Outra dica importante é ir em “Status > System Logs”, na aba “System” temos os últimos 50 registros de logs do sistema. E ali provavelmente será mostrado o erro do Squid caso o mesmo não venha a ser iniciado corretamente. Se for um erro na ACL ele irá lhe dizer qual a ACL está com o problema.

Criado Por: Daniel Herzer
Fortaleza, 25 de Setembro de 2012
E-mail: [email protected]