Lab #40 PfSense Squid Proxy - Alias ByPass - Facebook ACL Block

Lab #40 PfSense Squid Proxy - Alias ByPass - Facebook ACL Block

Seguimos publicando acerca de PfSense, un versátil firewall/router por software.
En este lab se realiza la instalación de Squid, como proxy server.
Montar un proxy tiene sus ventajas a la hora de brindar el servicio de acceso a Internet para los clientes de una red LAN.
Una de las ventajas es la posibilidad de filtrar el contenido.

El acceso WEB se realiza a través de 2 protocolos HTTP (puerto 80, inseguro) y HTTPS (puerto 443, seguro). En el puerto 80, no hay mucho detalle y Squid funciona muy bien filtrando contenido, ya que puede "ver íntegramente" lo que pasa a través de HTTP.
Con HTTPS se complica bastante. Los navegadores intercambian certificados con los servidores a fin de garantizar el acceso. El contenido que viaja por HTTPS no es explicito.

Para que SQUID opere sobre HTTPS, se debe contar con un certificado, el cual puede ser provisto por una entidad "certificante", o bien, utilizar el gestor de certificados incluido en PfSense.

Realmente HTTPS es un problema y es ahí donde sacan ventaja los equipos certificados para operar en Capa 7.

En el labo, una vez montado el Proxy sobre HTTPS, no pudimos acceder a Gmail ni Outlook (los sitios / servicios utilizados como prueba). En ambos casos se presentaba un error de SSL, o sea relacionado con el certificado que utilizan estos sitios para funcionar.
para solventar este problema, hemos utilizado la opción ByPass de SQUID. Todo dirección declarada en el campo "Bypass Proxy for These Destination IPs" no pasara por el Proxy, y el cliente accederá a estos destinos como NAT.

El otro problema que se presenta (hay un video anterior de como crear los alias) es que los sitios como Gmail (Google) u Outlook (Microsoft) no poseen una única IP, sino que tienen cintos de direcciones. Estas empresas brindan la información de sus direcciones IP y el puerto que operan y con esa información, se pueden definir los alias.

Por ultimo, se hace la demostración de como bloquear Facebook, por un ACL.

Todo esto sin instalar SquidGuard, solamente con SQUID.

En Resumen:
Instalación y configuración de Squid.
Proxy Transparente HTTP y HTTPS.
Creación de Certificados para HTTPS.
Configuración Alias ByPass: "Bypass Proxy for These Destination IPs"
Bloqueo de Sitio por ACL.

Facebook: www.facebook.com/laboratorio.it.mp