PFSense Firewall com Squid e SquidGuard

O presente documento visa instruir e informar o leitor, a forma de configurar um Firewall PFSense para controle de internet. Para configuração do controle de acesso serão utilizados os pacotes Squid e SquidGuard, para configuração automática nos terminais clientes, computadores e dispositivos moveis, serão mostradas como utilizar o protocolo WPAD (Web Proxy Auto Discovery) e o arquivo PAC (Proxy Auto configuration).

[ Hits: 83.757 ]

Por: Willian Mendonça em 06/11/2017


Resultados e discussões



Nesse ponto, o Firewall deve estar apto a realizar bloqueios de sites da internet e monitorar todo o tráfego da rede interna. O Firewall também fará o monitoramento de todo o tráfego SSL, já que todas as requisições para a internet deverão, obrigatoriamente, passar pelo Proxy.

O Squid não está funcionando de forma transparente, ele funciona como se fosse configurado manualmente nos navegadores de internet, por isso a interceptação e bloqueio dos sites com o protocolo HTTPS funciona normalmente e sem maiores problemas.

O SquidGuard fará o bloqueio e controle de internet baseando-se nas categorias dos sites que serão requisitados, ele funciona como um facilitador de controle de acesso, visto que é mais fácil bloquear a categoria de sites que contenham conteúdo pornográfico, por exemplo, do que bloquear os sites um a um. Isso facilita o trabalho do administrador de rede, pois, devido a imensa quantidade de sites com conteúdo impróprio que são lançados diariamente, o controle de acesso por categorias realiza o bloqueio automático desses sites.

O Firewall que foi configurado baseado nesse documento, além do controle de acesso à internet, faz também o controle das portas que a rede interna pode acessar. Pois devido às regras criadas, que são as mínimas para o funcionamento da internet, o Firewall impede por exemplo, downloads com gerenciadores de torrente, acesso a servidores de arquivo FTP, comunicação SSH com servidores internos e externos e outros serviços de rede que dependem que portas especificas sejam liberadas no Firewall.

Para o funcionamento dos serviços citados, é necessário que sejam criadas novas regras no PFSense, que faça a liberação das portas conforme a necessidade da empresa. O bloqueio das portas realizadas pelo Firewall impede o acesso tanto interno quanto externo, ou seja, a liberação das mesmas pode causar diminuição da segurança da rede.

Conclusão

O dispositivo de segurança configurado, seguindo o presente documento, é mais voltado para controle de acesso à internet, a segurança por ele trazida é somente baseada nas regras simples de bloqueio de portas feita no PFSense, com isso, caso uma segurança maior e mais sofisticada seja exigida, é necessário configurar algumas outras regras.

Caso alguns serviços de rede sejam exigidos no ambiente em que esse dispositivo estiver operando, algumas outras configurações seriam necessárias visto que nada disso foi abordado nesse documento. O controle de acesso imposto por esse dispositivo de segurança e bastante seguro e importo, de forma involuntária, a qualquer dispositivo que deseje acessar a internet através de sua rede, sendo assim ele pode garantir maior segurança dos dispositivos, e pode aumentar a produtividade dos funcionários de uma empresa, visto que sites de redes sociais, vídeos e conteúdos impróprios ao ambiente corporativo, serão bloqueados.

Referências


Página anterior    

Páginas do artigo
   1. Introdução
   2. Embasamento teórico
   3. Metodologia (passo a passo)
   4. SquidGuard
   5. Resultados e discussões
Outros artigos deste autor

O Modelo de Referência OSI

OCS-NG Inventory no Debian 8 (Jessie) - Instalação e Configuração

Leitura recomendada

Introdução ao Firewall Linux

Conexões redundantes e com balanceamento de carga - Ubuntu 9.04

Como construir um firewall de baixo custo para sua empresa (parte 2)

Firewall seguro com o IPTables

GUI para Iptables via web, linha de comando e outros

  
Comentários
[1] Comentário enviado por willian.firmino em 08/11/2017 - 00:08h

Utilizando o DNS Forwarder muda alguma coisa no proxy.pac e nas configuraçoes? tenho esse cenário e nao ta funcionando o wpad de jeito nenhum.

[2] Comentário enviado por mendoncawillian em 08/11/2017 - 13:53h

o registro do wpad.seudominio está feito no DNS Forwarder?
--
Atenciosamente
Willian Mendonça
Administrador de Redes
Bacharelando em Engenharia da Computação
willian.ricardo.mendonca@gmail.com
Não esqueça de avaliar a melhor resposta

[3] Comentário enviado por willian.firmino em 10/11/2017 - 12:43h


[2] Comentário enviado por mendoncawillian em 08/11/2017 - 13:53h

o registro do wpad.seudominio está feito no DNS Forwarder?
--
Atenciosamente
Willian Mendonça
Administrador de Redes
Bacharelando em Engenharia da Computação
willian.ricardo.mendonca@gmail.com
Não esqueça de avaliar a melhor resposta


Sim, esta sim.

[4] Comentário enviado por geovane.barreto em 15/12/2017 - 16:26h

Em pesquisa, encontrei que o PFSense está fora ou saindo de linha e que o sucessor é o OPNsense...
Sabe informar se isto é correto ??

[5] Comentário enviado por mendoncawillian em 15/12/2017 - 23:33h

Amigo desconheço qualquer informação sobre a descontinuação do PFSense! Ainda não utilizei o OPNSense, mais qualquer informação que eu conseguir, posto aqui imediatamente. Mais creio que são projetos paralelos, apesar de que desconheço também o OPNSense pois nunca utilizei esse software.

Sobre o amigo acima e o problema do DNSForwarder, por qual motivo está utilizando o DNSForwarder? Pode me detalhar melhor sua topologia?
--
Atenciosamente
Willian Mendonça
Administrador de Redes
Bacharelando em Engenharia da Computação
willian.ricardo.mendonca@gmail.com
Não esqueça de avaliar a melhor resposta

[6] Comentário enviado por MarcelloMiX em 05/01/2018 - 16:12h

Willian,

Excelente artigo, me ajudou a entender um pouco mais sobre o PFSense.
Aqui na empresa temos o PFSense, mas eu apanho muito dele. (Peguei o bonde andando - Já estava configurado e rodando).
Você poderia me indicar onde encontro bons artigos sobre manutenção, liberação de sites, bloqueio entre outros?

Gostaria de bloquear serviços como o spotify, deezer...
Outro problema que estou tendo é que se você deixar de setar o proxy na máquina da pessoa, ele consegue navegar na internet (com velocidade bem reduzida). Não queria de forma alguma que isso ocorresse.

[7] Comentário enviado por mendoncawillian em 05/01/2018 - 19:43h


[6] Comentário enviado por MarcelloMiX em 05/01/2018 - 16:12h

Willian,

Excelente artigo, me ajudou a entender um pouco mais sobre o PFSense.
Aqui na empresa temos o PFSense, mas eu apanho muito dele. (Peguei o bonde andando - Já estava configurado e rodando).
Você poderia me indicar onde encontro bons artigos sobre manutenção, liberação de sites, bloqueio entre outros?

Gostaria de bloquear serviços como o spotify, deezer...
Outro problema que estou tendo é que se você deixar de setar o proxy na máquina da pessoa, ele consegue navegar na internet (com velocidade bem reduzida). Não queria de forma alguma que isso ocorresse.



Marcello,

Sobre ter pego o bonde andando no PFSense, realmente é uma situação complicada ainda mais quando não tem documentação. Eu recomendaria refazer, porém é mais facil falar do que realmente fazer né. Enfim, sobre navegar na internet sem o proxy o navegador, no artigo eu citei uma regra de firewall que resolve isso. Sobre artigos eu desconheço, o que sei aprendi lendo a documentação e alguns canais no youtube por exemplo um canal chamado Cavalcante Treinamentos, tem bastante conteudo sobre o PFSense, e é excelente.

Sobre os bloqueios, é necessário descobrir uma forma de bloquear os acessos entendendo como o serviço funciona, por exemplo, qual acesso o spotify faz para iniciar o streaming e ai no firewall você faz esse bloqueio. Mais se tratando de bloqueios cada caso é um caso.

Se precisar de alguma coisa pode me mandar e-mail e vamos conversando, eu te ajudo no que puder e souber.

[8] Comentário enviado por kram3r em 12/01/2018 - 10:34h


[4] Comentário enviado por geovane.barreto em 15/12/2017 - 16:26h

Em pesquisa, encontrei que o PFSense está fora ou saindo de linha e que o sucessor é o OPNsense...
Sabe informar se isto é correto ??


O OPNsense é um fork do pfSense! para de andar com a pessoa que te falou que o pfSense está morrendo :) ou tira o site do seu bookmarks
para maiores informações, https://docs.opnsense.org/fork/thefork.html

[9] Comentário enviado por brunoras em 11/04/2018 - 01:08h

Willian,
Muito bom o artigo, sou iniciante na área de redes, estou tentando implementar um firewall aqui na minha rede local mais para estudos. Segui o passo a passo pela maquina virtual, mas o cliente windows não está acessando a internet. Consigo logar normalmente no pfsense pelo navegador do cliente, está pegando o ip do dhcp. Tens como dar um help?

Atenciosamente,
Bruno

[10] Comentário enviado por small em 15/07/2019 - 17:44h

Boa tarde.
Sei que o post é antigo, mas foi muito bom.

Configurei o pfsense, squid e squid guard.
Estou usando proxy transparente.
No squid guard eu configurei minha blacklist

Se tento acessar http://dominio-blockeado.com.br ele bloqueia, porém no https ele acessa.

A solução que encontrei era ativar na configuração do SQUID para filtrar https, porém teria que importar o certificado configurado em cada cliente (e isso não é viável pra mim), tem alguma outra solução?

Obrigado antecipadamente.

[11] Comentário enviado por FernandoHS99 em 27/07/2019 - 18:55h

Boa noite, após realizar a configuração e reiniciar o pfsense eu perdi o acesso pela Web, tem alguma dica do que pode ser ?


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts