Kindersicherung Android via PfSense und Squidguard - eigene CA unterschieben

Moinsen zusammen!

Nachdem ich gezwungenermaßen (Kinder) auf Android Smartphones umsteigen musste und nach einer funktionierenden skalierbaren Kidersicherung gesucht habe, ohne etwas zu finden das mir gefällt, habe ich mich entschlossen, das selber zu realisieren.

Plan:
Ein Squid mit Squidguard wird dem Phone für alle Belange untergeschoben.
Technisch sollte das realisierbar sein.

Schritte bisher:

Vorhandenen Squid auf PfSense mit Squidguard erweitert. Auch das WAN-Interface für Squid-Verbindungen auf Port 3128 freigeben. HTTPS für den Squid aktiviert. Firewall anpassen. User anlegen. Authentifizierung erzwingen. (lokal)
( Auf meiner Firewall. Aua. Aber ist ja nur testweise und der Squid hat keine mir bekannte Lücke, dass der berühmte Angreifer die Kontrolle über das System erlangt)
Auf dem Android-Phone "ProxyDroid" installiert und konfiguriert.

2 Probleme nerven mich nun:

1.: Ich kann weder dem "Browser" noch Firefox auf dem Android das Zertifikat meiner eigenen CA auf der PfSense als vertrauenswürdig unterschieben. (Auf Windows und mit dem dortigen Firefox geht das problemlos und ich bin hier über den Squid auf der öffentlichen IP.)

Das bedeutet letztlich, dass Andoid-Firefox keine Verbindungen zu https Seiten akzeptiert, DA DER BUTTON "AUSNAHMEN HINZUFÜGEN" NICHT ERSCHEINT und der "Browser" ebenfall zickt, obwohl das Zertifikat meiner CA auf dem Phone installiert ist.

Wie kann ich Firefox auf Android dazu bringen, meine CA zu akzeptieren? Das Web gibt da nix her (???) Mozilla spricht von nicht angezeigten Frames, was nützt mir das, wenn der Button nicht da ist?

2.: Der Squidguard sollte eigentlich eine Fehlerseite anzeigen, wenn eine Verbindung wegen ACL's blockiert wurde.
Das kann er auf der PfSense aber nur, wenn diese nicht auf https-Zugrif umgestellt wurde. Sobald die PfSense-Verwaltung über https läuft, gibt der Squid einen Fehler wegen einer selbst signierten CA in der Kette aus.

Allle Verbindungen über https ins www akzeptiert er mit seiner "Interception" problemlos. Nur die Webseite auf seinem eigenen Host mag er nicht anzeigen. (???)
Die Fehlerseite für den Virenschutz via icap wird aber angezeigt. Das beweist mir, dass es ein Workaround geben muss.

Prinzipiell wäre es mir egal, diese Seite auch auf meiner Domain zu hiosten, allerdings geht da erstmal gar nichts, wenn man das File sgerror.php dorthin kopiert. Das Skript findet diverse Variablen nicht.
Schade. Nirgends (auch im PfSense Forum) was brauchbares...

Und noch ein 3. Punkt, aber am Ende nicht so relevant: Wenn ich in der PfSense im Squid "Allow Users on Interface" für die aktivierten Interfaces setze, geht nix. Erst ein "All" im entsprechenden Menü gibt Zugriff auf den Proxy. Das ist Mist.

Ich weiss, dass das relativ spezifische Fragen sind und hier womöglich niemand ist, der in der Materie so extrem involviert ist, aber wer weiß. Hier ist jedenfalls die Hilfsbereitschaft ausgeprägter, als an manchen anderen Orten.

Am Ende könnte das zu einem Tutorial führen, wie man mit eigenen Mitteln eine sinnvolle Kindersicherung für Android realisiert, wenn nur die "Kinderkrankheiten" überwunden werden.


Irgendwer? Besonders das nervige Zertifikatproblem.

Buc