HTTP-Proxy/Squid konfigurieren

[Micky]

Guten Abend @all,

ich habe auf einem APU2C4 eine aktuelle OPNsense (embedded) Installation, welche brav seit einigen Wochen läuft. Damit ich dem Nachwuchs div. Filterregeln setzen kann, habe ich Squid als transparennten HTTP-Proxy eingerichtet und div. Filter erstellt. Auch dies funktioniert 1A.

Nun versuche ich die Proxy soweit einzurichten, dass meint HTTP-Traffic nach aussen nicht mehr so gesprächig ist. Im 1.Step unterdrücke ich die Client-IP via "X-Forwarded for Header Handling auf off gestellt. Dies klappt ebenfalls.

Welche weiteren Einstellungen machen eurerseits Sinn um hier etwas mehr Privatsphäre zu erzeugen?

Grüße M.

[fabian]

• Via-Header auch noch abdrehen
• Bei den Remote Blacklists Werbeserver, Tracker und Social Plugins hinzufügen
• HTTPS Interception aufdrehen (da das Sperren von Seiten sonst nicht so gut funktioniert)

[Micky]

Danke für den Tipp,

kann man eigentlich Browser/OS Infos auch ausblenden lassen?

[fabian]

Squid scheint das zu können: http://www.squid-cache.org/Doc/config/request_header_replace/

Ich kann aber derzeit nicht sagen, ob die Version in OPNsense das kann (müsste nachschauen), im GUI geht es auf jedem Fall derzeit nicht.

[Micky]

Genau der Stichpunkt wäre meine nächste Frage gewesen ;-) hab aber auch nix in der GUI gefunden... Kann die squid.conf manuell zB. per vi bearbeitet werden oder gibt das später Probleme?

[fabian]

Man kann Konfigurationen hinterlegen, die bei Generieren des Templates eingebunden werden:
https://github.com/opnsense/core/blob/master/src/opnsense/service/templates/OPNsense/Proxy/squid.conf#L261
https://github.com/opnsense/core/blob/master/src/opnsense/service/templates/OPNsense/Proxy/squid.conf#L265

[Micky]

Also würde es nix bringen, per SSH auf der Konsole die squid.conf manuell zu bearbeiten?

[fabian]

Nein - die würde überschrieben werden. Darum hier eines der beiden Includes verwenden, dann überlebt die Änderung OPNsense updates oder einfach nur das Speichern der Proxy-Einstellungen.

[Micky]

ok, danke für die Info/Tipp. Muss mich mit dem Templates intensiver beschäftigen, auf die Schnelle wüsst ich nicht wie und wo ich die einbinden muss...

[fabian]

sollte hier sein:
/usr/local/opnsense/service/templates/OPNsense/Proxy/squid.user.pre_auth.conf

[ford]

... Browser/OS Infos auch ausblenden lassen?

Servus Micky

Das mit dem ausblenden ist, imho, so eine Sache.
Erstmal ist es möglich den Agent aus dem String auszulesen (da setzt der override ein)
und falls der Server dies nicht tut/kann, kann er bei deinem agent per script nachfragen.

Testweise- falls Du einen der mozillen hast-
kannst Du mal den String general.useragent.override anlegen
und dort Nix oder uralt strings eintragen.
...und dann surfen. Good Luck

Grüsse
Rainer