Squid Autenticando no Windows Server 2008 R2

O Squid é um poderoso servidor proxy que suporta conexões HTTP e HTTPS entre outros, ele reduz incrivelmente a utilização de link e melhora o tempo de resposta fazendo cache das requisições mais frequentes de páginas da internet em redes de computadores, entretanto usar ele em ambientes de médio e grande porte torna-se um pouco complicado uma vez que temos diversos usuários com politicas diferentes de acesso aos sites, neste artigo demonstrarei como integrar o Squid ao Active Directory do Windows 2008 permitindo e liberando o acesso a sites por grupos de usuários.

Esse ambiente foi testado utilizando um Windows 2008 R2 e um servidor Ubuntu 10.04 LTS com o Squid 2.7.

1. Primeiramente vamos preparar o ambiente Windows, demonstrar como fazer em detalhes as configurações no AD não faz parte do escopo do artigo mas no google diversos artigos demonstram como fazer.

Dentro de Active Directory Users and Computers vamos primeiramente criar uma OU com o nome squid, criar dentro dela o usuário squid e determinar uma senha forte para ele, criar também dois grupos de usuários, INTERNET_LIBERADA e INTERNET_RESTRITA.

Essas configurações foram tudo o que precisam ser feitas no Windows, daqui para diante será tudo no servidor Linux e Squid.

Para entendermos melhor a ideia e o porque do que foi feito no AD veja:

O usuário squid será apenas para que o servidor squid possa se autenticar no AD e ter acesso as contas de usuários e grupos.

O grupo INTENRET_LIBERADA como sugerido pelo próprio nome deverá conter os usuários que poderão ter acesso a internet, mais adiante veremos ainda que para eles todos os sites serão liberados menos os que estiverem classificados como sites proibidos dentro do server Squid.

O grupo INTERNET_RESTRITA deverá ter dentro de si os usuários que terão todos os sites da internet bloqueados menos os sites que estiverem liberados pelo administrador.

Obs.: A imaginação será o limite para as regras que poderão ser criadas, mais grupos com finalidades diferentes poderão ser incluídos de acordo com a necessidade de cada administrador.

2. Vamos instalar agora o Squid no servidor Linux, para isso execute.

$ sudo apt-get install squid

3. Depois de instalado vamos configurar o squid.conf que fica dentro de /etc/squid, vamos fazer uma cópia de segurança do arquivo original do squid.conf

$ sudo cp squid.conf squid.conf.old

vamos então editar o arquivo squid.conf alterando os parametros padrões e adicionando os novos deixando exatamente assim:

##########################################################################

# SQUID 2.7 em Ubuntu 10.04LTS - Integrado com Active Directory

#seudominio.local deverá ser substituído pelo seu domínio válido exemplo empresa.br

#seuip deverá ser substituído pelo seu endereço de IP do Controlador de domínio

#senha – Senha definida por você para o usuário squid criado no AD.

##########################################################################

#Configurações de cache do Squid

#Cache de Ram

cache_mem 1024 MB # Determina o espaço da memoria ram que será reservada para o cache.

maximum_object_size_in_memory 256 KB # Determina o tamanho maximo que um unico objeto poderá ter para ficar no cache ram.

#Cache em Disco

maximum_object_size 750 MB # Espaço do disco destinado a ser usado como cache do squid

minimum_object_size 0 KB

cache_swap_low 90

cache_swap_high 95 # Limite máximo do cache que ele pode chegar, depois disso começa a deletar cache mais antigo.

#Diretorio de armazenamento do Cache

cache_dir ufs /var/spool/squid 4096 16 256

#Linguagem de mensagem de erro do Squid

error_directory /usr/share/squid/errors/Portuguese/

# Configuração da integração do Squid com o AD

auth_param basic program /usr/lib/squid/ldap_auth -R -b dc=seudominio,dc=local -f sAMAccountName=%s -hseuip -D cn=squid,ou=squid,dc=seudominio,dc=local -w senha

# Mensagem da popup que será aberta quando algum site não estiver liberado, só irá aceitar as contas de usuário que forem membro do grupo INTERNET_LIBERADA

auth_param basic children 5

auth_param basic realm Site nao liberado, entre com usuario e senha.

auth_param basic credentialsttl 2 hour

auth_param basic casesensitive off

external_acl_type ldap_group %LOGIN /usr/lib/squid/squid_ldap_group -R -b dc=seudominio,dc=local -D cn=squid,ou=squid,dc=seudominio,dc=local -w senha -f (&(objectclass=person)(sAMAccountName=%v)(memberof=cn=%a,ou=squid,dc=seudominio,dc=local)) -h seuip

#ACL Restringe acesso a Internet por Grupos do AD

acl proxyadmins external ldap_group INTERNET_LIBERADA

acl proxyusers external ldap_group INTERNET_RESTRITA

acl sites_sem_autenticacao dstdom_regex -i /etc/squid/rules/sites_sem_autenticacao

acl sites_proibidos dstdom_regex -i /etc/squid/rules/sites_proibidos

acl sites_restritos dstdom_regex /etc/squid/rules/sites_restritos

acl password proxy_auth REQUIRED

# Lista de IP's externos liberados

acl ips_liberados dst /etc/squid/rules/ips_liberados

#Recommended minimum configuration:

acl all src all

acl manager proto cache_object

acl localhost src 127.0.0.1/32

acl to_localhost dst 127.0.0.0/8

# Example rule allowing access from your local networks.

# Adapt to list your (internal) IP networks from where browsing

# should be allowed

acl localnet src 10.0.0.0/8 # RFC1918 possible internal network

acl localnet src 172.16.0.0/12 # RFC1918 possible internal network

acl localnet src 192.168.0.0/16 # RFC1918 possible internal network

acl SSL_ports port 443 # https

acl SSL_ports port 563 # snews

acl SSL_ports port 873 # rsync

acl Safe_ports port 80 # http

acl Safe_ports port 21 # ftp

acl Safe_ports port 443 # https

acl Safe_ports port 70 # gopher

acl Safe_ports port 210 # wais

acl Safe_ports port 1025-65535 # unregistered ports

acl Safe_ports port 280 # http-mgmt

acl Safe_ports port 488 # gss-http

acl Safe_ports port 591 # filemaker

acl Safe_ports port 777 # multiling http

acl Safe_ports port 631 # cups

acl Safe_ports port 873 # rsync

acl Safe_ports port 901 # SWAT

acl purge method PURGE

acl CONNECT method CONNECT

# Configuracao das regras de acesso

http_access deny sites_proibidos

http_access deny sites_restritos !proxyadmins

http_access allow ips_liberados all

http_access allow sites_sem_autenticacao

http_access allow proxyadmins

http_access allow proxyusers

http_access allow localhost

# Only allow purge requests from localhost

http_access allow purge localhost

http_access deny purge

# Deny requests to unknown ports

http_access deny !Safe_ports

# Deny CONNECT to other than SSL ports

http_access deny CONNECT !SSL_ports

#http_access allow localnet

http_access allow localhost

#Libera acesso para usuários convencionais

http_access allow proxyusers

# And finally deny all other access to this proxy

http_access deny all

#Allow ICP queries from local networks only

icp_access allow localnet

icp_access deny all

# Por padrão Squid escuta pelas na porta 3128 para ele também escutar na porta 8080 foi adicionado nova httpport.

http_port 3128

http_port 8080

#We recommend you to use at least the following line.

hierarchy_stoplist cgi-bin ?

#Arquivo de logs de acesso do Squid

access_log /var/log/squid/access.log squid

#Suggested default:

refresh_pattern ^ftp: 40 20% 10080

refresh_pattern ^gopher: 40 0% 1440

refresh_pattern -i (/cgi-bin/|\?) 0 0% 0

refresh_pattern (Release|Package(.gz)*)$ 0 20% 2880

refresh_pattern . 0 20% 4320

# Don't upgrade ShoutCast responses to HTTP

acl shoutcast rep_header X-HTTP09-First-Line ^ICY.[0-9]

upgrade_http0.9 deny shoutcast

# Apache mod_gzip and mod_deflate known to be broken so don't trust

# Apache to signal ETag correctly on such responses

acl apache rep_header Server ^Apache

broken_vary_encoding allow apache

# TAG: extension_methods

# Squid only knows about standardized HTTP request methods.

# You can add up to 20 additional extension methods here.

extension_methods REPORT MERGE MKACTIVITY CHECKOUT

#Default:

# hosts_file /etc/hosts

hosts_file /etc/hosts

# Leave coredumps in the first cache dir

coredump_dir /var/spool/squid

#Fim da configuracao do squid.conf

Salve e saia do arquivo de configuração.

4. Vamos agora criar as listas de sites proibidos, liberados e outros, em /etc/squid crie uma pasta chamada rules e dentro dessa pasta os arquivos conforme abaixo. 

$ sudo mkdir /etc/squid/rules
$ sudo touch /etc/squid/rules/sites_sem_autenticacao
$ sudo touch /etc/squid/rules/sites_proibidos
$ sudo touch /etc/squid/rules/sites_restritos
$ sudo touch /etc/squid/rules/ips_liberados 

Vamos entender oque cada arquivo de regras deverá fazer.

sites_sem_autenticacao - Todos os sites contidos nesse documento estarão liberados por padrão para todo mundo, nele poderá ser colocado por exemplo o endereço da intranet da empresa, site da empresa e demais sites que podem ser acessados por qualquer um.

sites_proibidos – Todos os sites que não serão acessados nem pelas pessoas que estarão no grupo INTERNET_LIBERADA sites como sites de sexo, badalas e etc são sugestões.

ips_liberados – Todos os endereços Ips válidos colocados aqui dentro serão liberados para todos da empresa sem necessidade de autenticação, é similar a regra sites_sem autenticacao mas é para endereços IP.

5. Vamos agora criar o cache para o Squid e reiniciar o serviço squid para que as regras entrem em funcionamento.

$ sudo squid -z 
$ sudo service squid restart

6. Agora devemos colocar no bronser das estações o IP e porta do servidor squid, isso pode ser feito manualmente ou via regra do próprio AD.

No internet explorer

Ferramentas->Opções da Internet->Conexões->Configurações da LAN

No Firefox

Ferramentas->Opções->Avançado->Rede->Configurar Conexão

Read more »

Introdução ao Windows Live Mesh (Muito Bom)

Eis um programinha muito bacana e útil - mas que quase ninguém ouviu falar ou sabe do que se trata: o Windows Live Mesh. Esse software, que já foi integrado ao Windows Live Sync e até chegou a ser descontinuado, voltou com tudo em meados de outubro do ano passado com o objetivo de sincronizar arquivos e configurações entre computadores Windows.

Na prática, isso quer dizer que você pode usar dois PCs, um no trabalho e outro em casa, por exemplo, e ter em cada um deles uma pasta com os mesmos arquivos, além poder mantê-los com as mesmas configurações de personalização. E isso é possível graças ao disco virtual 5 GB que o Live Mesh dispõe para o usuário guardar pastas de sincronização, o que ainda permite, de quebra, o acesso a elas mesmo sem ter o Live Mesh instalado na máquina, já que basta apenas acessar o site dos serviços Windows Live para conferir o conteúdo delas. Além disso, ele também sincroniza favoritos do IE e permite acesso remoto de um computador.

Ainda não ficou muito claro como isso tudo funciona? Não se preocupe, pois vamos detalhar e te ensinar a usufruir de todos os recursos do Live Mesh muito em breve. Para começar, vamos ver como rola o primeiro acesso a esse serviço. Siga o passo a passo a seguir.

Abra o programa (é só digitar "mesh" depois de clicar no botão Iniciar para acessá-lo rapidamente) e faça login com suas credenciais Windows LiveID.

Depois de logado, clique no link "Ir para Windows Live Dispositivos", localizado logo abaixo do nome da sua máquina lá em cima.

Nesta tela, clique na opção "Personalizar" que está logo abaixo do nome do seu computador.

A dica é começar dando um nome mais específico para seu PC para melhor diferenciá-lo quando for acessar as pastas sincronizadas. Que tal nomear seus computadores como "Escritório" e "Casa" ao invés de "Máquina Mortífera do Dudu" ou "Trovão Azul"? Dá também para escolher um ícone para cada máquina. E, claro, você pode escolher o nome que você quiser para nomear seus PCs; o importante é saber quem é quem na hora de fazer a coisa acontecer. Clique em salvar caso já tenha terminado.

Read more »

Instalando e Configurando o WDS no Windows Server 2008

Galera estou aqui mais uma vez para compartilhar com vocês um guia passo a passo que utilizei para instalar e configurar o WDS no Windows Server 2008. Utilizei para implementar aqui na empresa e funcionou 100% :D chega de papo e vamos ao que interessa.

Instalando e Configurando o WDS 

O WDS fornece uma tecnologia de implantação de Sistemas Operacionais baseada em Servidor e em imagem. As imagens podem ser implantadas em estações de trabalho e em servidores através do processo de inicialização Pre-boot eXecution Environment (PXE), ou boot através da placa de rede, como alguns costumam chamar.

O WDS é ideal para empresas de pequeno e médio porte que precisam automatizar a tarefa de implantação de Sistemas Operacionais em estações de trabalho e em Servidores por toda a empresa.

Requisitos para instalação do WDS:

Servidor executando: Windows Server 2008 Standard, Enterprise ou Datacenter. O mesmo vale para o Windows Server 2008 R2.

Active Directory: o servidor WDS deve ser membro de um domínio Active Directory.

Servidor DNS

Servidor DHCP: o WDS utiliza o DHCP para informar ao cliente que existe um servidor PXE na rede.

Volume NTFS: as imagens devem ser armazenadas em um volume NTFS.

1 – Instalando:

Abra o Gerenciador de Servidores para adicionar a função de WDS.

2 – Marque Serviços de implantação do Windows, clique em Próximo.

3 – A próxima tela traz uma visão geral do WDS, é recomendável dar uma lida para conhecer melhor o serviço.

4 – Na próxima tela selecione as duas caixas de seleção e clique em Próximo.

5 – Clique em Instalar.

6 – Configurando :

Após terminar a instalação abra Serviços de implantação do Windows através das “Ferramentas Administrativas”.

7 – Clique com o botão direito do mouse em cima do Servidor e selecione “Configurar Servidor”.

8 – A próxima tela informa os requisitos para o funcionamento do WDS.

9 – Devemos selecionar um local para armazenar as imagens de instalação, por padrão o WDS sugere uma pasta chamada RemoteInstall na raiz do sistema, mas é recomendável utilizar outro volume em NTFS para armazenar as imagens. Para efeito de demonstração estou instalando no local sugerido pelo WDS.

10 – A próxima tela talvez seja a mais importante em toda a configuração.

Caso o WDS esteja no mesmo servidor que executa a função de DHCP, marque as duas caixas de seleção.

Não escutar na porta 67: Por padrão o DHCP escuta nesta porta, então para evitar conflitos e o não funcionamento do WDS marque esta caixa de seleção.

Configurar a opção 60 do DHCP como ‘PXEClient’: Marcando está caixa de seleção, estaremos anunciando ao servidor DHCP que ele também é o servidor PXE da rede.

Obs. Se o WDS e o DHCP estiverem em servidores diferentes, será necessário deixar desmarcadas as duas caixas de seleção (Não escutar na porta 67 e Configurar a opção 60 do DHCP como ‘PXEClient’) nas propriedades do servidor WDS, e no servidor DHCP adicionar a opção 66 apontando para o FQDN do servidor WDS, e a opção 67 com o valor boot\x86\wdsnbp.com

11 – Marque a terceira opção para que o WDS responda a todas as solicitações de clientes, sejam eles conhecidos ou não pelo Active directory. Clique em Avançar.

12 – Aguarde o término da configuração.

13 – Após o termino da configuração temos a opção de adicionar a imagem de inicialização e as imagens de instalações ao WDS:

Imagem de inicialização: Essa é imagem com o qual os clientes se comunicarão com o WDS para fazer o processo de boot antes da instalação.

Imagem de Instalação: É a imagem do S.O que será instalado no computador cliente, pode ser uma imagem do Windows Vista, Windows 7, Windows Server 2008 ou Windows Server 2008 R2. Para instalar o Windows XP ou o Windows Server 2003 são necessárias configurações adicionais no WDS.

Se você quiser adicionar as imagens posteriormente, então desmarque a caixa de seleção.

Neste exemplo já vou adicionar as imagens de inicialização e de instalação.

14 – O próximo passo é selecionar onde estão as imagens de inicialização e instalação, por padrão no Windows Vista, Windows 7 e Windows Server 2008, as imagens de boot e de instalação tem a extensão .WIM, são elas boot.wim e install.wim e estão na pasta sources do DVD de instalação do sistema operacional.

15 – Devemos criar um grupo para armazenar as imagens, é recomendável criar um grupo para imagens de sistemas para Desktops e um grupo para sistema de Servidores, enfim crie um grupo da forma que achar melhor.

16 – A próxima tela informa quantas imagens de boot e de instalação foram encontradas no DVD ou ISO.

Note que no meu DVD havia uma imagem de instalação e cinco imagens de instalação. Clique em avançar.

17 – Primeiro será adicionada a imagem de inicialização e depois as imagens de instalação.

18 – Clique em Concluir.

19 – Note nas imagens abaixo que foi adicionada uma imagem de inicialização e cinco imagens de instalação.

20 – O próximo passo é configurar o computador cliente para inicializar através da PXE, isso é feito no Setup da BIOS.

Quando o computador identificar o servidor WDS, para fazer o boot pela PXE é necessário teclar F12, caso isso não seja feito, o computador não fará o boot pela PXE.

Obs.Você pode configurar para não ser necessário teclar F12 e inicializar o computador cliente automaticamente através do arquivo boot.wim armazenado no WDS, isso é feito nas propriedades do servidor WDS.

21 – O computador fará o boot através do arquivo de inicialização armazenado no servidor WDS.

22 – Após o computador fazer o boot através do arquivo de inicialização é necessário selecionar as opções regionais e de Teclado, e digitar uma conta do domínio com permissão no WDS.

Obs. Por padrão qualquer usuário do domínio tem permissão para instalar o S.O nos computadores através do WDS, caso você queira restringir esse privilégio basta ir ao servidor WDS e abrir as propriedades de cada imagem de instalação e aplicar as permissões conforme achar necessário.

Clique em OK e avance.

23 – Selecione qual Sistema Operacional será instalando, daqui por diante a instalação é semelhante a qualquer instalação do Windows Vista, 7 ou Server 2008. Aguarde o término da instalação.

Conclusão

O WDS é um ótimo recurso para empresas que precisam automatizar o processo de instalação de S.Os em suas redes, pois, a instalação e configuração são muito simples de serem feitas. Vale a pena pesquisar sobre o WDS e também sua integração com outros produtos como o System Center Configuration Manager, para automatizar ainda mais o processo de instalação de S.Os.

Read more »