[Çözüldü] Pfsense SSL Https Block

Selamlar,

Active Directory  kullanıyorsanız Group Policy ile  tüm clientlara sertifikayı dağıtabilirsiniz.

Alternatif  olarak daha önce  denemedim ancak Comodo gibi güvenilir  bir  sertifika  otoritesinden  alınan sertifika ile SSL inspection'da  kullanılırsa  clientşara  sertifika yükleme  zorunluluğu olmayabilir. 

merhaba,

sertifika dağıtımına gerek kalmadan e2guardian ile ssl filter gerçekleştirmeniz mümkün.

https://lifeoverlinux.com/how-to-block-http-and-https-websites-with-e2guardian/

@turancoskun hocam tam e2guardian aklıma gelmişti onu yazmak için girmiştim ? 

@turancoskun hocam o makaleyi ben de okudum aslında sorumun amacı sadece https block için değildi bu tip bir durumda pfsense verified bir sertifika yüklenebilir mi diye de merak ediyorum. Cevabınız ve çözümünüz için çok teşekkürler.

@cumhuraltan üstad sizin sunduğunuz öneri de bir çözüm GPO dan sertifika dağıtımı yapılabiliyor. Fakat bu sefer de mobile cihazlarda sorun oluşuyor veya sisteme misafir bir pc bağlandığında sorun oluşuyur. Size de çok teşekkürler.

@SevanAKAL O sebepten alternatif  olarak 3rd party güvenilir  bir sertifika otoritesinden ssl sertifika le  ssl inspection'ı  test  etmenizi önerdim test  için  trial sertifikalar  oluşturabilirsiniz comodo vb sertifika  otoritesinden.

Gönderen: Sevan AKAL

@turancoskun hocam o makaleyi ben de okudum aslında sorumun amacı sadece https block için değildi bu tip bir durumda pfsense verified bir sertifika yüklenebilir mi diye de merak ediyorum. Cevabınız ve çözümünüz için çok teşekkürler.

pfsense üzerinde daha önce internal ca haricinde ihtiyaç olmadığından çözüm aramadım.

ancak @cumhuraltan hocanın belirttiği gibi test etmeden sonucu bilmek mümkün değil.

kurumsal sertifikanız için import işlemi adımları referans adreslerde mevcut.

"https://www.informaticar.net/how-to-import-pfx-certificate-to-pfsense "

pfsense üzerinde acme addonu ile let's encrypt tarafında çözüm üretilmiş görünüyor, inceleyebilirsiniz.

"https://www.youtube.com/watch?time_continue=3&v=h7Rlru3agdA"

@turancoskun @cumhuraltan sorumun cevabını biraz araştırdım ve biraz deneyimledim bunları da burdan paylaşmak istedim.

Öncelikle araştırmama göre squid e yetkili bir servisden SSL sertifikası alarak kullanamayız.
Bunun nedeni SSL sertifikasının domain bazlı çalışması. Yani Oluşturacağımız sertifika hangi domain veya domainleri içerecek, çünkü biz squid kullanırken rastgele sitelere girmek istiyoruz. Dolayısıyla comodo veya herhangi bir servisten SSL alarak bu işi yapmak mümkün değil.

Squid aslında https bir siteye girmek istediğimizde bu isteği kendi CA yapısına alıyor generate ediyor da diyebiliriz herhalde. Bu sayede zaten bizim hangi siteye girdiğimizi anlayabiliyor aksi halde zaten https bir siteye girdiğimizde loglarda site ismi yerine ip adresini görüyoruz.  Clientlara bu sertifikayı yükleyip buna güven dememizin nedeni de bu aslında. 

Şöyle bir soru gelebilir aklımıza, "Peki Fortigate, Sonicwall veya CheckPoint" cihazlarda neden böyle bir sertifika yükleme gereksinimi olmadan çalışıyor. Bu sorunun cevabı da sanırım bu cihazların Uygulama Katmanında çalışan cihazlar olması. Bu cihazlardaki engelleme veya filtreleme biçimi Pfsense Squid yapısındaki gibi değil.