opnsense download sperren + ssl logging

[echoslider]

hallo.

was ich habe:

windows 10 host system mit 2 virtuellen rechnern auf hyper v.

vm1:opnsense firewall
1x gebrückter netzwerk adapter 192.168.0.5
1x nur interner netzwerk adapter für die vms. 10.0.0.1


vm2: windows server 2016
1x interner netzwerk adapter. 10.0.0.2


was ich möchte:

1) 192.168.0.0/24 von 10.0.0.0/24 trennen
2) urls filtern. auch mit ssl.
3) download bestimmter dateitypen verhindern.
4) beim MITM auch den POST auslesen(logs).was gesendet wird. in html formularen. Passwörter brauch ich nicht.
zertifikat ist erstellt...
5) ads usw blockieren über ne fertige liste.

ich habe mir mehrere firewalls angeschaut.
ipfire kann die netze nicht richtig trennen.
pfsense bekommt diese blockliste nicht installiert.

opnsense gefällt mir sehr gut. aber:
-wenn der transparente proxy aktiv ist funktioniert meine per "alias" definierte blockliste nicht mehr.und beim alias wird leider auch nicht alles geblockt. z.b www.facebook.com schon. aber de-de.facebook.com nicht. obwohl alles eingetragen ist..kapier ich nicht.
-wenn ich dann den normalen proxy aktiviere gibts aber keine https logs mehr.
-dateitypen können nicht gesperrt werden.





habe versucht eine acl für die verbotenen dateitypen in /usr/local/etc/squid/squid.conf hinzuzufügen. die aber immer verschwindet.
habe gelesen das es in den ordnern post-auth und pre-auth drin bleiben soll.

die acl dort eingefögt mit der blockliste der dateien.. z.B \.exe(\?.*)?$ ...
die regel funktioniert aber auch nicht.

alles wird per fw regel über den proxy geleitet. aber exe dateien können weiterhin heruntergeladen werden.



fragen:

-wie kann ich bestimmte datei typen blockieren?
-wie kann ich den ssl verkehr mitlesen?

[hsiewert]

Hallo,

das ist alles schon machbar.

Wenn du z.B. ganze Domains blocken möchtest würde es sich anbieten die DNS-Einträge zu "überschrieben".
Wenn die FW auch als DNS-Server betrieben wird kannst du facebook.com (und alles was drunter hängt) auf z.B. 127.0.0.1 zeigen lassen.

Eine Anleitung für den Proxy gibt es unter
https://docs.opnsense.org/manual/how-tos/proxytransparent.html und
https://docs.opnsense.org/manual/how-tos/proxywebfilter.html

Wenn du Dateien im Filesystem anpasst, denke daran, dass diese ggf. vom System nach eine Änderung überschrieben werden, sofern diese nicht über die GUI eingetragen wurden.

Mit squid ist es schon möglich bestimmte Dateitypen zu sperren. vgl. https://www.cyberciti.biz/faq/squid-content-filter-block-files/

Die Frage ist: Bist du sicher, dass die Daten ausschließlich über den Proxy laufen ?

Ich bin kein Experte für squid, bedenke, es gibt ggf. verschiedenen Wege wie eine Datei in HTTP "verpackt" werden kann.  Vielleicht musst du das hier ein wenig aufdröseln.

Um SSL mitlesen zu können musst du den Tunnel an der Firewall terminieren lassen und danach wieder in SSL verpacken. Am Client musst du das Zertifikat der Firewall "vertrauen".