https://doc.ycharbi.fr/index.php?action=history&feed=atom&title=Proxy_web_-_pfsense 2026-07-03T22:26:59Z Historique des versions pour cette page sur le wiki MediaWiki 1.45.3 https://doc.ycharbi.fr/index.php?title=Proxy_web_-_pfsense&diff=1027&oldid=prev 2019-06-19T20:26:26Z

<p>Page créée avec « <a href="/index.php/Cat%C3%A9gorie:Pfsense" title="Catégorie:Pfsense">Category:pfsense</a> Cette documentation a pour but de décrire la mise en place d&#039;un service proxy sur le pare-feu pfSense via Squid. Des règles de blocage de flux pour... »</p> <p><b>Nouvelle page</b></p><div>[[Category:pfsense]]<br /> <br /> Cette documentation a pour but de décrire la mise en place d&#039;un service proxy sur le pare-feu pfSense via Squid. Des règles de blocage de flux pour les clients du proxy seront mise en œuvre via SquidGuard. La journalisation des accès sera conservée un an, conformément à l&#039;article 3 du [https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000023646013&amp;categorieLien=id décret n° 2011-219] du 25 février 2011 relatif à la [https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000801164 loi n° 2004-575] du 21 juin 2004 - LCEN (article 6).<br /> <br /> =Téléchargement des paquets=<br /> De base, pfSense ne comporte pas de proxy. Il faut passer par le menu &lt;source lang=&quot;bash&quot; inline&gt;System &gt; Package Manager &gt; Available Packages &gt; Search term &gt; taper &quot;squid&quot;&lt;/source&gt; et installer les paquets &#039;&#039;Squid&#039;&#039; ainsi que &#039;&#039;SquidGuard&#039;&#039;.<br /> <br /> Par défaut, aucune connexion via Squid n&#039;est possible. Nous allons y remédier.<br /> <br /> =Configuration de Squid=<br /> Pour configurer Squid, il faut aller dans le menu &lt;source lang=&quot;bash&quot; inline&gt;Services &gt; Squid Proxy Server&lt;/source&gt;.<br /> <br /> Dans cette page, il faut:<br /> * Cocher la case &#039;&#039;&#039;&#039;&#039;Enable Squid Proxy&#039;&#039;&#039;&#039;&#039;<br /> * Faire écouter le proxy sur le &#039;&#039;&#039;&#039;&#039;LAN&#039;&#039;&#039;&#039;&#039; dans &#039;&#039;&#039;&#039;&#039;Proxy Interface&#039;&#039;&#039;&#039;&#039;<br /> * Activer la journalisation via &#039;&#039;&#039;&#039;&#039;Enable Access Logging&#039;&#039;&#039;&#039;&#039; et donner 365 jours pour la durée de conservation (&lt;source lang=&quot;bash&quot; inline&gt;/var/squid/logs&lt;/source&gt;)<br /> <br /> Ne pas oublier de sauvegarder.<br /> <br /> Désormais, il convient de tester le fonctionnement du réseau en configurant le proxy sur le navigateur WEB du client. Le flux doit passer sans problème.<br /> <br /> =Configuration de SquidGuard=<br /> ==Activation du service==<br /> Par défaut, SquidGuard ne laisse passer aucun trafic, il va falloir changer ça.<br /> <br /> Deux solutions:<br /> * laisser tout le flux et interdire les accès à des listes d&#039;adresses (listes noires)<br /> ou<br /> * bloquer tout le flux et n&#039;autoriser les accès qu&#039;à des listes d&#039;adresses (listes blanches).<br /> <br /> Nous choisirons ici de faire des listes noires.<br /> <br /> Dans &#039;&#039;&#039;&#039;&#039;General settings&#039;&#039;&#039;&#039;&#039;, cocher la case &#039;&#039;&#039;&#039;&#039;Enable&#039;&#039;&#039;&#039;&#039; pour activer SquidGuard.<br /> <br /> {{info|Notez la présence du bouton &#039;&#039;&#039;&#039;&#039;Apply&#039;&#039;&#039;&#039;&#039; juste en dessous, il faudra cliquer dessus à chaque changement de configuration pour qu&#039;elle soit prise en compte.}}<br /> <br /> Enregistrer la modification via le bouton &#039;&#039;&#039;&#039;&#039;save&#039;&#039;&#039;&#039;&#039;. À ce stade, plus aucune communication n&#039;est autorisé (politique par défaut). Il va falloir changer ça.<br /> <br /> Aller dans l&#039;onglet &#039;&#039;&#039;&#039;&#039;Common ACL&#039;&#039;&#039;&#039;&#039; et dans &#039;&#039;&#039;&#039;&#039;Target Rules List&#039;&#039;&#039;&#039;&#039;, déplier le menu via le bouton &#039;&#039;&#039;&#039;&#039;+&#039;&#039;&#039;&#039;&#039;. Passer la règle &#039;&#039;&#039;&#039;&#039;Default access [all]&#039;&#039;&#039;&#039;&#039; à &#039;&#039;&#039;&#039;&#039;allow&#039;&#039;&#039;&#039;&#039;. Enregistrer la modification via le bouton &#039;&#039;&#039;&#039;&#039;save&#039;&#039;&#039;&#039;&#039;. Revenir sur sur l&#039;onglet &#039;&#039;&#039;&#039;&#039;General settings&#039;&#039;&#039;&#039;&#039; et cliquer sur le bouton &#039;&#039;&#039;&#039;&#039;Apply&#039;&#039;&#039;&#039;&#039;.<br /> <br /> La communication est de nouveau fonctionnelle. Il va falloir appliquer nos listes noires pour rendre tout ceci utile.<br /> <br /> ==Ajout de listes noires==<br /> Les listes noires doivent respecter une arborescence pré-définie comme suit:<br /> <br /> &lt;source lang=&quot;bash&quot; inline&gt;blacklists/{toto/{domains,urls},titi/{domains},tata/{domains,urls}}&lt;/source&gt; où &#039;&#039;&quot;domains&quot;&#039;&#039; et &#039;&#039;&quot;urls&quot;&#039;&#039; sont des fichiers textes comportant une adresse par ligne. Le tout doit être compressé en &#039;&#039;tar.gz&#039;&#039; (le nom de cette archive compressée n&#039;est pas important).<br /> <br /> Il est donc possible de créer des listes noires à partir de rien par vos propres moyens. Pour l&#039;exemple, nous téléchargerons une archive compressée de listes déjà faites et entretenue par Fabrice Prigent de l&#039;[https://dsi.ut-capitole.fr/documentations/cache/squidguard.html université Toulouse 1 Capitole].<br /> <br /> {{Astuce|Rien ne vous empêches de télécharger une archive compressée de règles près-faites et de modifier son contenu à votre guise (ajout, suppression ou modification). Un &lt;source lang=&quot;bash&quot; inline&gt;tar czvf blacklists.tar.gz ./blacklists&lt;/source&gt; la recréera. Il vous suffira de la téléversée dans pfSense.}}<br /> <br /> Je vous propose 2 façons de faire pour donner des listes noires à SquidGuard:<br /> * Soit télécharger le fichier directement depuis la source via l&#039;interface WEB: dans l&#039;onglet &#039;&#039;&#039;&#039;&#039;blacklist&#039;&#039;&#039;&#039;&#039; donner le chemin HTTP ou FTP du tgz (ftp://ftp.ut-capitole.fr/pub/reseau/cache/squidguard_contrib/blacklists.tar.gz pour l&#039;exemple - mis en cache [https://{{SERVERNAME}}/fichiers/bsd/pfsense/proxy_web/blacklists.tar.gz ici] le 19/06/2019) et faire &#039;&#039;&#039;&#039;&#039;Download&#039;&#039;&#039;&#039;&#039;. La zone de texte du journal montre l&#039;avancée de la tâche. Notez la ligne &#039;&#039;&quot;&#039;&#039;&#039;Copy DB to workdir.&#039;&#039;&#039;&quot;&#039;&#039;. À titre d&#039;information, le &#039;&#039;&#039;&#039;&#039;Workdir&#039;&#039;&#039;&#039;&#039; fait référence à &lt;source lang=&quot;bash&quot; inline&gt;/var/db/squidGuard&lt;/source&gt;. Son arborescence est faite du contenu du fichier &#039;&#039;tar.gz&#039;&#039;, soit des répertoires contenant des listes de règles, préfixés du terme &#039;&#039;&#039;&#039;&#039;blk_blacklists_&#039;&#039;&#039;&#039;&#039; (chaque dossier représente une catégorie).<br /> * Soit héberger vous même le fichier sur votre machine et mettre à disposition l&#039;archive compressée via le serveur WEB embarqué à [[Busybox#Serveur_WEB|Busybox]]:<br /> ** Sur votre PC: &lt;source lang=&quot;bash&quot; inline&gt;busybox -fvv -h &lt;chemin_du_répertoire_du_tgz&gt;&lt;/source&gt; et utiliser la méthode de l&#039;onglet &#039;&#039;&#039;&#039;&#039;blacklist&#039;&#039;&#039;&#039;&#039; décrite au premier point. Ou bien...<br /> ** Ou bien, depuis le SHELL de pfSense: &lt;source lang=&quot;bash&quot; inline&gt;curl --output /tmp/blacklists.tar.gz http://&lt;IP_PC&gt;/blacklists.tar.gz&lt;/source&gt;:<br /> *** Le fichier est alors présent sur le disque dur du pfSense, il faudra passer par le menu &lt;source lang=&quot;bash&quot; inline&gt;General Settings &gt; Blacklist URL&lt;/source&gt;, renseigner le chemin du fichier (&lt;source lang=&quot;bash&quot; inline&gt;/tmp/blacklists.tar.gz&lt;/source&gt;), sauvegarder pour pré-remplir le champ de &#039;&#039;&#039;&#039;&#039;Blacklist Update&#039;&#039;&#039;&#039;&#039; de l&#039;onglet &#039;&#039;&#039;&#039;&#039;blacklist&#039;&#039;&#039;&#039;&#039; et procéder au &#039;&#039;&#039;&#039;&#039;Download&#039;&#039;&#039;&#039;&#039;.<br /> <br /> Bon ça fait beaucoup d&#039;explications pour pas grand chose au final. Actuellement, notre Proxy laisse tout passer, nous allons donc définir des catégories à interdire. Pour ce faire, revenir dans &#039;&#039;&#039;&#039;&#039;Common ACL&#039;&#039;&#039;&#039;&#039;, le menu &#039;&#039;&#039;&#039;&#039;Target Rules List&#039;&#039;&#039;&#039;&#039; s&#039;est rempli d&#039;autant de lignes que de dossiers dans le &#039;&#039;&#039;&#039;&#039;workdir&#039;&#039;&#039;&#039;&#039;. Il est alors possible de définir le traitement de chaque règles (autoriser ou refuser). Terminer la configuration par un &#039;&#039;&#039;&#039;&#039;save&#039;&#039;&#039;&#039;&#039; en bas de page et appliquer les modifications via le bouton &#039;&#039;&#039;&#039;&#039;Apply&#039;&#039;&#039;&#039;&#039; de l&#039;onglet &#039;&#039;&#039;&#039;&#039;General settings&#039;&#039;&#039;&#039;&#039;.</div>

Ycharbi