Прозрачный прокси squid3 и https

@mrCube · Регистрация: 20.11.2012

Студворк — интернет-сервис помощи студентам

Всем хорошего дня. Вообщем настраиваю на debian7 squid3 прозрачный наткнулся на проблему с https, если не прописывать в браузере прокси то не пускает. может кто знает как обойти или как завернуть 443 порт мимо squid???

@Amet13 · 14.03.2014, 19:48

https не поддерживается в прозрачном прокси.

@Naglfar · 11.04.2014, 00:46

Несмотря на то, что

Сообщение от Amet13

https не поддерживается в прозрачном прокси

таки удалось методом "костыля" ssl_bump фильтровать шифрованый трафик. 80 порт переведен на 3128, 443 на 3129. В сквиде включена подмена сетрификата сайта. Вобщем работает, но есть несколько неприятных моментов.
1. В Хроме адресная строка работает только как адресная, как поисковая не работает, вылетает "ошибка SSL" "не удалось подключиться к подлинному сайту". Если вводить корректный URL - хром работает нормально. В ФФ и ИЭ таких проблем нету. Если в Хроме поиском по умолчанию сделать другую поисковую систему (яндекс или мейл.ру) тоже проблем нету.
2. Сайт Фейсбук открывает только текст (фейсбук работает только через https).
3. Твиттер не открывается совсем (тоже работает только через https).
Уверен что есть еще что-то подобное, но пока не столнулся непосредственно.
Что твиттер что фейсбук мне не интересны, но очень хочется разобраться в чем проблема. А вот хром - другое дело, в нем работает вся контора. На что-то другое переучивать людей не получится.
Подозреваю, что крупные ИТ конторы используют какую-то хитрую систему шифрования, с которой мой фейковый сертификат не справляется.
Кто сталкивался, помогите разобраться с даной проблемой, или посоветуйте как по другому блокировать https трафик, когда нужно закрыть социальные сети. И желательно чтоб персонал имел минимум изменений при работе в броузере. Понимаю что костыли влекут за собой другие костыли, но как по другому выполнить задачу пока не знаю.

Заранее благодарен.
И я не верю в то, что никто из форумчан не пробовал использовать даный костыль

@mrCube · 11.04.2014, 09:04 **[ТС]**

я сделал по другому мне так было проще по средствам iptables

Bash
1
2
3
4
5
iptables -I INPUT -i lo -j ACCEPT
iptables -t filter -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
 
iptables -t filter -A FORWARD -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source x.x.x.x - внешний IP eth0 lan, eth1 wan

то есть пустил в обход squid
единственный косяк что правила squid не работают, и если заходить в контакт или ютуб через https то все работает, но и тут можно выйти из ситуации основные сайты бан через iptables

Bash
1
2
3
4
5
6
7
iptables -A FORWARD -m string --string "vk.com" --algo kmp --to 65535 -j DROP
iptables -A FORWARD -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
iptables -A FORWARD -m string --string "odnoklassniki.ru" --algo kmp --to 65535 -j DROP
iptables -A FORWARD -m string --string "my.mail.ru" --algo kmp --to 65535 -j DROP
iptables -A FORWARD -m string --string "facebook.com" --algo kmp --to 65535 -j DROP
iptables -A FORWARD -m string --string "rutube.ru" --algo kmp --to 65535 -j DROP
iptables -A FORWARD -m string --string "youtube.com" --algo kmp --to 65535 -j DROP

@Amet13 · 11.04.2014, 09:14

Naglfar, это не костыль.
Оно не работает правильно, это даже костылём назвать нельзя.

@mrCube · 11.04.2014, 10:25 **[ТС]**

почему не правильно??? я пока не заметил ничего негативного

@Naglfar · 11.04.2014, 10:26

Сообщение от mrCube

я сделал по другому мне так было проще по средствам iptables

Мне такой вариант не подойдет. У меня локалка поделена на две части: у одной ограничений нету, у второй бан на социальные сети.
Можно ли фаерволлом разделить локалку на две части и одну пустить через squid, а вторую напрямую?

@mrCube · 11.04.2014, 10:53 **[ТС]**

как вариант можно и так, но не пойму я этими правилами просто разрешил 443 порту идти в обход squid, а в squid уже распределяю кому куда ходить можно или нельзя в плоть до 1 ip

@Naglfar · 11.04.2014, 15:37

Code
1
add fwd 127.0.0.1,3129 tcp from [B]any[/B] to any 443 via re0

вот стандартное правило для перенаправления трафика всей сети на сквид.
В выделеной части мне нужно перенправить не всю сеть, а конктретные IP-адреса. Как правильно записать правило?

Code
1
add fwd 127.0.0.1,3129 tcp from [B]IP_1,IP_2,IP_3[/B] to any 443 via re0

так?

@mrCube · 11.04.2014, 16:27 **[ТС]**

а на чем стоит система?

@Naglfar · 11.04.2014, 18:41

FreeBSD 9.2, squid 3.2. Сервер находится далеко от меня, смотрит в мир, подключаюсь по ssh. К нему пока ничего не подключено, поетому задаю такие вопросы, т.к. не могу ничего проверить сам.

@Moonlight0x0 · 14.08.2015, 17:39

Прозрачное проксирование HTTPS в Squid работает, вот нашел инструкцию - http://losst.ru/prozrachnyj-pr... ps-v-squid

Dmitry · 14.08.2015, 17:46

Сообщение от Moonlight0x0

работает

в свете финального коментария

Нашего ssl сертификата нет в списке доверенных сертификатов браузера, поэтому при попытке открыть https сайт пользователь получит предупреждение о недостоверном ssl сертификате.

это вряд-ли можно назвать словом "работает":

во первых, про самогенеренные сертификаты современные браузеры не "предупреждают", а "орут"
а во вторых, современные толи браузеры, толи сайты полюбляют еще и выполнять проверку на подмену сертификата....

@gng · 14.08.2015, 22:31

Сообщение от Dmitry

во первых, про самогенеренные сертификаты современные браузеры не "предупреждают", а "орут"

Самоподписные сертификаты, как и сертификаты, подписанные собственным CA, используются в тех случаях, когда существует более надежный способ проверки подлинности сертификата, нежели просто доверие конторе, которая этот сертификат подписала + производителю браузера и/или ОС, включивших сертификат CA в свой состав. Например, в локальной сети, или в инете для связи со своими серверами я всегда сам подписываю сертификаты.
Что касается браузеров и ОС, то включить свой CA в число доверительных - не составляет труда.
Что касается подмены сертификата в прокси, то сотрудники должны предупреждаться о "прослушке" всей информации на рабочем месте.

Сообщение от Dmitry

а во вторых, современные толи браузеры, толи сайты полюбляют еще и выполнять проверку на подмену сертификата....

В случае с прозрачным прокси - да, сквид пока не умеет динамически генерировать сертификаты, соответсвующие нужному доменному имени, хотя разрабы сквида над этим работают. Но в корпоративной сети, ИМХО, полноценный прокси с авторизацией - более подходящее решение, нежели прозрачный, а там у сквида всё в порядке.

@Duke_Nukem147 · 18.08.2015, 11:15

Сообщение от mrCube

Всем хорошего дня. Вообщем настраиваю на debian7 squid3 прозрачный наткнулся на проблему с https, если не прописывать в браузере прокси то не пускает. может кто знает как обойти или как завернуть 443 порт мимо squid???

у меня в данном вопросе был немаленький опыт. скажем так.
собирать сквиду с поддержкой ssl. покупать сертификат. тебе будет достаточно и positive ssl (стоит около 20 долларов за год). можно. сделать по другому (пример из моего фаервола):

$IPTABLES -A FORWARD -p tcp -m multiport --dports $FORWARD_TCP_PORTS -j ACCEPT
соотвественно в первой переменной будет слово iptables. во второй до 15 портов, которые вы хотите пропустить транзитом. в них должен быть и 443 порт.

Других выходов в данном случае нет.

@virpio · 01.10.2015, 13:19

Прозрачное проксирование прекрасно работает на ssl (MitM). Сертификат покупать не обязательно, если добавить свой сертификат в доверенные ЦС на клиентах (если маленькая сеть без домена - руками, если большая с AD - через gpo, если большая без домена - лучше не заморачиваться))))) Суть настройки такова: в сквиде открываем 3 порта. 3128 http непрозрачный, 3129 http прозрачный, 3130 https прозрачный+ssl_bump. Далее в Safe_Port добавляем 443. И устанавливаем опцию server_first. Примерный блок конфига сквида:

Bash
1
2
3
4
5
6
7
8
9
http_port 3128
http_port 3129 intercept
https_port 3130 intercept ssl-bump cert=/usr/local/etc/squid/ssl/newcert.pem key=/usr/local/etc/squid/ssl/privkey.pem generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cipher=TLSv1:!AES128:!CAMELLIA
sslproxy_flags DONT_VERIFY_PEER
sslproxy_cert_error allow all
always_direct allow all
ssl_bump server-first all
ssl_bump none all
sslcrtd_program /usr/local/libexec/squid/ssl_crtd -s /var/squid/ssl_db -M 4MB

В случае с сертификатом можно попробовать юзать StartSSL.com. Сертификаты дает бесплатно, но надо иметь dns имя в платной зоне (ru, com, org, etc.)

Из всего есть несколько минусов, главный из них - неработоспособность gmail.com. У него сертификат выдан google.com, а ssl_bump выдает именно на gmail. Был один человек, который парой костылей обошел и это.

Добавлено через 47 секунд
Забыл, в файрволле заворачиваем траффик с 80 порта на 3129 а с 443 на 3130

Новые блоги и статьи Все статьи Все блоги /
SDL3 для Web (WebAssembly): Обработчик клика мыши в браузере ПК и касания экрана в браузере на мобильном устройстве 8Observer8 02.02.2026 Содержание блога Для начала пошагово создадим рабочий пример для подготовки к экспериментам в браузере ПК и в браузере мобильного устройства. Потом напишем обработчик клика мыши и обработчик. . .	Философия технологии iceja 01.02.2026 На мой взгляд у человека в технических проектах остается роль генерального директора. Все остальное нейронки делают уже лучше человека. Они не могут нести предпринимательские риски, не могут. . .	SDL3 для Web (WebAssembly): Вывод текста со шрифтом TTF с помощью SDL3_ttf 8Observer8 01.02.2026 Содержание блога В этой пошаговой инструкции создадим с нуля веб-приложение, которое выводит текст в окне браузера. Запустим на Android на локальном сервере. Загрузим Release на бесплатный. . .	SDL3 для Web (WebAssembly): Сборка C/C++ проекта из консоли 8Observer8 30.01.2026 Содержание блога Если вы откроете примеры для начинающих на официальном репозитории SDL3 в папке: examples, то вы увидите, что все примеры используют следующие четыре обязательные функции, а. . .
SDL3 для Web (WebAssembly): Установка Emscripten SDK (emsdk) и CMake для сборки C и C++ приложений в Wasm 8Observer8 30.01.2026 Содержание блога Для того чтобы скачать Emscripten SDK (emsdk) необходимо сначало скачать и уставить Git: Install for Windows. Следуйте стандартной процедуре установки Git через установщик. . . .	SDL3 для Android: Подключение Box2D v3, физика и отрисовка коллайдеров 8Observer8 29.01.2026 Содержание блога Box2D - это библиотека для 2D физики для анимаций и игр. С её помощью можно определять были ли коллизии между конкретными объектами. Версия v3 была полностью переписана на Си, в. . .	Инструменты COM: Сохранение данный из VARIANT в файл и загрузка из файла в VARIANT bedvit 28.01.2026 Сохранение базовых типов COM и массивов (одномерных или двухмерных) любой вложенности (деревья) в файл, с возможностью выбора алгоритмов сжатия и шифрования. Часть библиотеки BedvitCOM Использованы. . .	SDL3 для Android: Загрузка PNG с альфа-каналом с помощью SDL_LoadPNG (без SDL3_image) 8Observer8 28.01.2026 Содержание блога SDL3 имеет собственные средства для загрузки и отображения PNG-файлов с альфа-каналом и базовой работы с ними. В этой инструкции используется функция SDL_LoadPNG(), которая. . .

@mrCube 0 / 0 / 0 Регистрация: 20.11.2012 Сообщений: 5

	Прозрачный прокси squid3 и https 14.03.2014, 11:21. Показов 17478. Ответов 15 Метки нет (Все метки) Всем хорошего дня. Вообщем настраиваю на debian7 squid3 прозрачный наткнулся на проблему с https, если не прописывать в браузере прокси то не пускает. может кто знает как обойти или как завернуть 443 порт мимо squid??? 0

@Amet13 1362 / 1074 / 110 Регистрация: 16.03.2012 Сообщений: 4,543
	14.03.2014, 19:48
	https не поддерживается в прозрачном прокси. 0

@Amet13 1362 / 1074 / 110 Регистрация: 16.03.2012 Сообщений: 4,543
	11.04.2014, 09:14
	Naglfar, это не костыль. Оно не работает правильно, это даже костылём назвать нельзя. 0

@mrCube 0 / 0 / 0 Регистрация: 20.11.2012 Сообщений: 5
	11.04.2014, 10:25 [ТС]
	почему не правильно??? я пока не заметил ничего негативного 0

@mrCube 0 / 0 / 0 Регистрация: 20.11.2012 Сообщений: 5
	11.04.2014, 10:53 [ТС]
	как вариант можно и так, но не пойму я этими правилами просто разрешил 443 порту идти в обход squid, а в squid уже распределяю кому куда ходить можно или нельзя в плоть до 1 ip 0

@mrCube 0 / 0 / 0 Регистрация: 20.11.2012 Сообщений: 5
	11.04.2014, 16:27 [ТС]
	а на чем стоит система? 0

@Naglfar 2 / 2 / 0 Регистрация: 08.11.2010 Сообщений: 64
	11.04.2014, 18:41
	FreeBSD 9.2, squid 3.2. Сервер находится далеко от меня, смотрит в мир, подключаюсь по ssh. К нему пока ничего не подключено, поетому задаю такие вопросы, т.к. не могу ничего проверить сам. 0

@Moonlight0x0 0 / 0 / 0 Регистрация: 20.06.2015 Сообщений: 6
	14.08.2015, 17:39
	Прозрачное проксирование HTTPS в Squid работает, вот нашел инструкцию - http://losst.ru/prozrachnyj-pr... ps-v-squid 0