squid, otbank.hu es FTP

[quote:18bbcbff98="szucs_t"][quote:18bbcbff98="jaci"]Hát nemtudom... Én is nézegettem, de nem tettem be a configba, Hétfőn kipróbálhatom. Egyébként nem vagyok egy squid guru, nekem is csak 2 napja üzemel:)

Én is kipróbálom, de bosszant, hogy várnom kell nekem is hétfőig. Tegnap is túlóráztam, mert nem bírom, ha valami nem megy! Sajnos én sem vagyok -- mint látszik -- Squid-guru, már működik egy hónapja, de egyszerűen fel sem tűnt, és senki nem szólt (a saját SSL-es weblapunkat a kutya sem nézte bentről, én sem). Tegnap vettem észre a problémát.

No megcsináltam jelszavasra, most itthonról is tudom tesztelni.
Szóval ha ezt beteszema configba:
acl SSL method CONNECT
never_direct allow SSL

Akkor nem a proxy-t használja ugyebár. Ha viszont neked ez belső hálóról megy, és nincs NAT-tolva, akkor nem tud direktbe csatlakozni...
Viszont enélkül megy szépen, és az ssl is a proxyn keresztül megy.

[quote:9cdd79c773="jaci"]Akkor nem a proxy-t használja ugyebár. Ha viszont neked ez belső hálóról megy, és nincs NAT-tolva, akkor nem tud direktbe csatlakozni...
Viszont enélkül megy szépen, és az ssl is a proxyn keresztül megy.

A munkaállomások belső hálóról csatlakoznak a proxyhoz, de NAT-olva vannak (persze nem a proxy szemszögéből, hanem kintről nézve). Direktbe úgy tudnak csatlakozni az Internetre, hogy routolom. A proxy nélkül tudnak kommunikálni kifelé, de ha be van állítva a proxy, akkor a 443-as porton nem (proxyn keresztül még magával a szerverrel sem tudnak beszélgetni a 443-as porton, kilátnak, de nem kapnak választ a proxy miatt).

Nálad ezzel a két sorral hogyan működik ponotosan?

[code:1:9cdd79c773]never_direct allow SSL[/code:1:9cdd79c773]

Ez tulajdonképpen mit csinál? A sosem közvetlenül való csatlakozás engedélyezve az SSL portjáról? És ha az "always_direct"-et írom be, mi történik? No, ezeket ki kell próbálnom.

[quote:67c6ed4e94="szucs_t"][quote:67c6ed4e94="jaci"]Akkor nem a proxy-t használja ugyebár. Ha viszont neked ez belső hálóról megy, és nincs NAT-tolva, akkor nem tud direktbe csatlakozni...
Viszont enélkül megy szépen, és az ssl is a proxyn keresztül megy.

A munkaállomások belső hálóról csatlakoznak a proxyhoz, de NAT-olva vannak (persze nem a proxy szemszögéből, hanem kintről nézve). Direktbe úgy tudnak csatlakozni az Internetre, hogy routolom. A proxy nélkül tudnak kommunikálni kifelé, de ha be van állítva a proxy, akkor a 443-as porton nem (proxyn keresztül még magával a szerverrel sem tudnak beszélgetni a 443-as porton, kilátnak, de nem kapnak választ a proxy miatt).

Nálad ezzel a két sorral hogyan működik ponotosan?

[code:1:67c6ed4e94]never_direct allow SSL[/code:1:67c6ed4e94]

Most mivel kinntröl csatlakoztam a proxyhoz, a webszerver logja szerint a http kapcsolat a proxy-n keresztül ment, viszont a https kapcsolatba már a saját dsl-es IP-m volt. Szóval mint a neve is mondja directbe csatlakoztat, a proxy-t kihagyva.

Ez tulajdonképpen mit csinál? A sosem közvetlenül való csatlakozás engedélyezve az SSL portjáról? És ha az "always_direct"-et írom be, mi történik? No, ezeket ki kell próbálnom.

Ehh, rosszul idéztem:)

[quote:299f2a67be="jaci"]Most mivel kinntröl csatlakoztam a proxyhoz, a webszerver logja szerint a http kapcsolat a proxy-n keresztül ment, viszont a https kapcsolatba már a saját dsl-es IP-m volt. Szóval mint a neve is mondja directbe csatlakoztat, a proxy-t kihagyva.

Aha, kösz! Hétfőn kipróbálom, remélem sikerem lesz.

Nekem ugyanez a problémám, vagyis nem tudok a proxyn keresztül 443-as portokra csatlakozni. Hogy tudom beállítani a szervert, hogy a 443-as portokra ne a proxyn keresztül menjenek a munkaállomások?

A squid naplója azt mondja, hogy eléfogadva, TCP_MISS, mégsem jön be.

Az MTU tényleg megoldás? Azt beállíthatom a router utáni szerveren? Hiába állítom be a hálókártyák MTU-ját 1380-ra vagy alacsonyabbra, nem történik változás.

Mit kell beállítani ahhoz azon a szerveren, ahol a Squid fut, hogy a 443-as porton ne figyeljen a proxy?

[quote:ee4526892f="szucs_t"]Mit kell beállítani ahhoz azon a szerveren, ahol a Squid fut, hogy a 443-as porton ne figyeljen a proxy?

Figyelhet, csak ne menjen rajta keresztül...
Transzparens proxyd van? akkor egyszerűen az iptables szabályokból kiveszed a 443 portot.

[quote:dce4aa2ba2="norcrys"][quote:dce4aa2ba2="szucs_t"]Mit kell beállítani ahhoz azon a szerveren, ahol a Squid fut, hogy a 443-as porton ne figyeljen a proxy?

Figyelhet, csak ne menjen rajta keresztül...
Transzparens proxyd van? akkor egyszerűen az iptables szabályokból kiveszed a 443 portot.

Sajnos nem transzparans. Ilyenkor mit kell tennem?

[quote:e6d13cc4d1="szucs_t"][quote:e6d13cc4d1="norcrys"][quote:e6d13cc4d1="szucs_t"]Mit kell beállítani ahhoz azon a szerveren, ahol a Squid fut, hogy a 443-as porton ne figyeljen a proxy?

Figyelhet, csak ne menjen rajta keresztül...
Transzparens proxyd van? akkor egyszerűen az iptables szabályokból kiveszed a 443 portot.

Sajnos nem transzparans. Ilyenkor mit kell tennem?

Próbáld meg úgy hogy kiveszed a configbol ezt:
acl SSL_ports port 443 563 # https, snews

vagy mit tegyek, hogy a proxy rendesen kiengedje az SSL-kéréseket?

Telepítéskor úgy kezdtem, hogy ./configure --enable-ssl. Nem így kellett volna?

[quote:a39766be39="szucs_t"]
Sajnos nem transzparans. Ilyenkor mit kell tennem?

Akkor viszont a klienseknél állítod be hogy mi menjen a proxyn, nemde?

[quote:89333d4536="szucs_t"]vagy mit tegyek, hogy a proxy rendesen kiengedje az SSL-kéréseket?

Telepítéskor úgy kezdtem, hogy ./configure --enable-ssl. Nem így kellett volna?

Próbáld meg úgy hogy kiveszed a configbol ezt:
acl SSL_ports port 443 563 # https, snews

Eldöntötted mit szeretnél?:))

[quote:a38d00eda1="szucs_t"]vagy mit tegyek, hogy a proxy rendesen kiengedje az SSL-kéréseket?

Telepítéskor úgy kezdtem, hogy ./configure --enable-ssl. Nem így kellett volna?

Biztos jó, de a konfigban is meg kellene nézni, mindenkit kienged-e.

[quote:092cce0a53="jaci"]Próbáld meg úgy hogy kiveszed a configbol ezt:
acl SSL_ports port 443 563 # https, snews

Kiszedtem, de semmi sem változott. Amúgy is allowra tettem korábban.

[quote:98a6664d67="szucs_t"][quote:98a6664d67="jaci"]Próbáld meg úgy hogy kiveszed a configbol ezt:
acl SSL_ports port 443 563 # https, snews

Kiszedtem, de semmi sem változott. Amúgy is allowra tettem korábban.

kapcsold ki a proxyt és úgy nézd meg, mi történik.

[quote:e72b2b917e="norcrys"]Biztos jó, de a konfigban is meg kellene nézni, mindenkit kienged-e.

Beírtam, hogy mindenkit kiengedjen mindenhova, mégsem jó a HTTPS-es kapcsolat. Proxy nélkül viszont természetesen az is jó. Nem értem.

[quote:eaab33aa1a="norcrys"]
Akkor viszont a klienseknél állítod be hogy mi menjen a proxyn, nemde?

Igen, a klienseken állítottam be, de már nem egyszerű minden gépen kiszedni a HTTPS-es kapcsolatra a proxy címét. Gondolom, valahogyan a szerveren is be lehet állítani. Vagy nem?

Ez így szörnyű!

Vagy én nem tudom jól, hogy a --enable-ssl paraméterrel kell konfigurálni a telepítendő squidet, vagy hiányzik valami a squid.conf-ban (pl. a https_port-nál), vagy a Squid nem engedi át a HTTPS-es kéréseket.

:cry:

[quote:e50e6222ef="szucs_t"][quote:e50e6222ef="norcrys"]
Akkor viszont a klienseknél állítod be hogy mi menjen a proxyn, nemde?

Igen, a klienseken állítottam be, de már nem egyszerű minden gépen kiszedni a HTTPS-es kapcsolatra a proxy címét. Gondolom, valahogyan a szerveren is be lehet állítani. Vagy nem?

PAC szkript

http://szabilinux.hu/squid2/index.html

Bár ha PAC szkriptet használsz, egyszer akkor is végig kell járni a gépeket, de legalább többet nem...

A brant egye meg, a munkaállomás vírusirtójában volt a hiba! :evil:

Szóval a hibám nem Squid hiba!

[quote:4b2ccd5b9e="szucs_t"]A brant egye meg, a munkaállomás vírusirtójában volt a hiba! :evil:

Szóval a hibám nem Squid hiba!

:)
De legalább megvan a bibi.

Bizonyos helyeken, főleg budán szarakszik az Axelero-s ADSL. Én magam is szívtam vele márciusban rengeteget.

[quote:841b8496a2="edaile"]Bizonyos helyeken, főleg budán szarakszik az Axelero-s ADSL. Én magam is szívtam vele márciusban rengeteget.

Nemtudom ez most hogy jön ehhez a témához.

Kipróbáltam nekem ment
http(s)-n keresztül nekem bejött pár másodperc alatt squid/2.5.STABLE1 -en keresztül.
A letöltés közben http-ről "átvált" https -re nem az lehet a gond hogy a https nincs engedélyezve ?

[quote:f817f42422="jaci"] :)
De legalább megvan a bibi.

Legalább meg van! Furcsállottam, hogy minden jó a Squidben, és mégsem jó. Valami session probléma volt. Kora reggel bejöttem, a hétvégén felírt beállítások próbája után semmi lényeges változás. Aztán végigjártam majdnem 30 gépet, mire rájöttem a problémára. A munkaállomások spamirtójával volt hasonló probléma, amikor feltelepítettem a szerverre a központi spamirtót, nem volt kommunikáció a klienses spamirtós gépekre.

[quote:7390f3abcf="jaci"]Bár ha PAC szkriptet használsz, egyszer akkor is végig kell járni a gépeket, de legalább többet nem...

Köszi, ez is jó dolog, de ez nem csak egy adott webkiszolgálóra vonatkozik? Egy Finnországban lévő HTTPS-es szervert hogyan érhetek el ennek segítségével?

Miért kell minden egyes böngészőt végigjárni?

Elvileg a Squid kezeli az SSL-t is. Hogyan tehetem meg vele, hogy minden esetben átengedje az SSL-es kéréseket?

[quote:ecaab4364d="szucs_t"][quote:ecaab4364d="jaci"]Bár ha PAC szkriptet használsz, egyszer akkor is végig kell járni a gépeket, de legalább többet nem...

Köszi, ez is jó dolog, de ez nem csak egy adott webkiszolgálóra vonatkozik? Egy Finnországban lévő HTTPS-es szervert hogyan érhetek el ennek segítségével?

Miért kell minden egyes böngészőt végigjárni?

Elvileg a Squid kezeli az SSL-t is. Hogyan tehetem meg vele, hogy minden esetben átengedje az SSL-es kéréseket?

A webkiszolgálóra a pac szkriptet teszed fel, ezt beallitod a bongeszoben, majd innen tölti le a szabályokat. Tehat te a serveren tudod szabalyozni hogy hogyan használják a proxy-t, es nem kell külön minden egyes kliens vegigjarni a beallitasok miatt. Ha scripten valtozatsz, a bongeszo restart utan mar az uj szabajokkal uzemel.
A squid nem szo szerint "kezeli" a https-t, mert ilyenkor ugye letárolás nincs, csak átengedi. Ehhez a fennt említett sorokat kell hozzáadni a confighoz az acl-eknél.

Hogy a finnországi https hogy jön a képbe, nem értem... Tökmindegy hol van a https server....

Van egy két weszerver amely nem a 80-as porton hanem a 8080-as porton keresztül érhető el, de szerintem neked nem ez a bajod.

[quote:045f5e786d="jaci"]
A webkiszolgálóra a pac szkriptet teszed fel, ezt beallitod a bongeszoben, majd innen tölti le a szabályokat. Tehat te a serveren tudod szabalyozni hogy hogyan használják a proxy-t, es nem kell külön minden egyes kliens vegigjarni a beallitasok miatt. Ha scripten valtozatsz, a bongeszo restart utan mar az uj szabajokkal uzemel.

A klienseknél mit kell beállítani? A szövegből nem sikerült rájönnöm.

[quote:045f5e786d="jaci"]
A squid nem szo szerint "kezeli" a https-t, mert ilyenkor ugye letárolás nincs, csak átengedi. Ehhez a fennt említett sorokat kell hozzáadni a confighoz az acl-eknél.

Hát ez az, nem akarom letárolni, csak továbbengedni. Melyik fent említett sorokat kell ehhez hozzáadni az acl-eknél?

[quote:ccb5c296cd="szucs_t"][quote:ccb5c296cd="jaci"]
A webkiszolgálóra a pac szkriptet teszed fel, ezt beallitod a bongeszoben, majd innen tölti le a szabályokat. Tehat te a serveren tudod szabalyozni hogy hogyan használják a proxy-t, es nem kell külön minden egyes kliens vegigjarni a beallitasok miatt. Ha scripten valtozatsz, a bongeszo restart utan mar az uj szabajokkal uzemel.

A klienseknél mit kell beállítani? A szövegből nem sikerült rájönnöm.

[quote:ccb5c296cd="jaci"]
A squid nem szo szerint "kezeli" a https-t, mert ilyenkor ugye letárolás nincs, csak átengedi. Ehhez a fennt említett sorokat kell hozzáadni a confighoz az acl-eknél.

Hát ez az, nem akarom letárolni, csak továbbengedni. Melyik fent említett sorokat kell ehhez hozzáadni az acl-eknél?

Hát minden böngészőben más a neve:
ie: automatikus konfigurációs parancsfile használata
Mozilla/firefox:automatikus proxybeállítás URL
konqueror:proxy beállító script használata

Itt megadod azt az elérési utat, ahova a pac scriptet tetted:
http://akarmi.akarmi/valami.pac

A squid configba nekem ez van ezzel kapcsolatban az acl-leknél:
acl SSL_ports port 443 563 # https, snews
acl Safe_ports port 443 563 # https, snews

[quote:0cd2fc930b="jaci"]Hát minden böngészőben más a neve:
ie: automatikus konfigurációs parancsfile használata
Mozilla/firefox:automatikus proxybeállítás URL
konqueror:proxy beállító script használata

Itt megadod azt az elérési utat, ahova a pac scriptet tetted:
http://akarmi.akarmi/valami.pac

Értem már, köszi!

[quote:0cd2fc930b="jaci"]A squid configba nekem ez van ezzel kapcsolatban az acl-leknél:
acl SSL_ports port 443 563 # https, snews
acl Safe_ports port 443 563 # https, snews

Ezek az acl-ek nálam is be vannak állítva, és aztán allow-n vannak. Akkor "mi a rossebér" nem megy? Minden más szabály megy rendesen. Pedig olyan frankón mennek a dolgok... mindig van valami.

Mindig "Connection refused" üzenetet ad vissza.

[quote:d9c7f2079e="szucs_t"][quote:d9c7f2079e="jaci"]Hát minden böngészőben más a neve:
ie: automatikus konfigurációs parancsfile használata
Mozilla/firefox:automatikus proxybeállítás URL
konqueror:proxy beállító script használata

Itt megadod azt az elérési utat, ahova a pac scriptet tetted:
http://akarmi.akarmi/valami.pac

Értem már, köszi!

[quote:d9c7f2079e="jaci"]A squid configba nekem ez van ezzel kapcsolatban az acl-leknél:
acl SSL_ports port 443 563 # https, snews
acl Safe_ports port 443 563 # https, snews

Ezek az acl-ek nálam is be vannak állítva, és aztán allow-n vannak. Akkor "mi a rossebér" nem megy? Minden más szabály megy rendesen. Pedig olyan frankón mennek a dolgok... mindig van valami.

Hát ha nem transproxy-d van, akkor a böngészőkbe külön be kell állítani hogy a https kapcsolat is átmenjen a proxy-n, de ezen gondolom már túl vagy, és más öteltem nincs...

[quote:c81c9d90e2="jaci"]Hát ha nem transproxy-d van, akkor a böngészőkbe külön be kell állítani hogy a https kapcsolat is átmenjen a proxy-n, de ezen gondolom már túl vagy, és más öteltem nincs...

Igen. Vagyis nem külön állítottam be a böngészőkben, hanem úgy, hogy minden kapcsolat a proxyn keresztül menjen. Éppen akkor lehet SSL-esen böngészni, ha nem állítom be a proxyt a HTTPS-es kapcsolatokra. Ez természetesen megoldás, de már nem sok kedvem van 150 számítógép böngészőjében ezt állítgatni.

Mindig "Connection refused" üzenetet ad vissza a titkosított lap (ezt ngreppel megfigyeltem), miközben a Squid naplója "TCP_MISS direct" üzenetet tartalmaz, persze csak a kapcsolatfelvételeknél, további üzenet tőlük nincs. Pedig működnie kellene. Valahogy a proxy kiengedi, de mégsem.

:x

Várjunk csak!

Mit kell beállítani az smb.conf-ban, hogy a HTTPS-es kapcsolatokat ne csak továbbengedje, hanem ne cache-elje, és úgy engedje tovább?

[quote:9192141d0a="szucs_t"]Várjunk csak!

Mit kell beállítani az smb.conf-ban, hogy a HTTPS-es kapcsolatokat ne csak továbbengedje, hanem ne cache-elje, és úgy engedje tovább?

smb.conf -ba??
Most hogy jön ide a samba?

[quote:099f38a2e5="jaci"]smb.conf -ba??
Most hogy jön ide a samba?

Elírtam! A squid.conf-ban természetesen. Nem kell beállítani a https_port-nál vagy másutt valamit?

[quote:116ab47843="szucs_t"][quote:116ab47843="jaci"]smb.conf -ba??
Most hogy jön ide a samba?

Elírtam! A squid.conf-ban természetesen. Nem kell beállítani a https_port-nál vagy másutt valamit?

Nekem mindössze a fennt említett két sor tartalmazza a "https"-t.
Még valami eszembe jutott: úgy nekem se ment, hogy az iptablessel irányítottam át a https portot a proxyportra, csak úgy, ha a böngészőbe beállítottam. Ezért csinaptam pac-ot.

[quote:08fe5696e6="jaci"]Nekem mindössze a fennt említett két sor tartalmazza a "https"-t.
Még valami eszembe jutott: úgy nekem se ment, hogy az iptablessel irányítottam át a https portot a proxyportra, csak úgy, ha a böngészőbe beállítottam. Ezért csinaptam pac-ot.

Én sem állítottam át a tűzfalnál a 443-as portot a 3128-asra, Nálam nem is transzparens.

Láttam egy ilyet:
[code:1:08fe5696e6]acl SSL method CONNECT
never_direct allow SSL[/code:1:08fe5696e6]

Miért lehet jó az, ha nem közvetlen kapcsolatot akarok az SSL-es oldalakkal? Ezt jelenti, nem?

[quote:6efa7a4bbc="szucs_t"][quote:6efa7a4bbc="jaci"]Nekem mindössze a fennt említett két sor tartalmazza a "https"-t.
Még valami eszembe jutott: úgy nekem se ment, hogy az iptablessel irányítottam át a https portot a proxyportra, csak úgy, ha a böngészőbe beállítottam. Ezért csinaptam pac-ot.

Én sem állítottam át a tűzfalnál a 443-as portot a 3128-asra, Nálam nem is transzparens.

Láttam egy ilyet:
[code:1:6efa7a4bbc]acl SSL method CONNECT
never_direct allow SSL[/code:1:6efa7a4bbc]

Miért lehet jó az, ha nem közvetlen kapcsolatot akarok az SSL-es oldalakkal? Ezt jelenti, nem?

Hát nemtudom... Én is nézegettem, de nem tettem be a configba, Hétfőn kipróbálhatom. Egyébként nem vagyok egy squid guru, nekem is csak 2 napja üzemel:)

[quote:c8e971b746="jaci"]Hát nemtudom... Én is nézegettem, de nem tettem be a configba, Hétfőn kipróbálhatom. Egyébként nem vagyok egy squid guru, nekem is csak 2 napja üzemel:)

Én is kipróbálom, de bosszant, hogy várnom kell nekem is hétfőig. Tegnap is túlóráztam, mert nem bírom, ha valami nem megy! Sajnos én sem vagyok -- mint látszik -- Squid-guru, már működik egy hónapja, de egyszerűen fel sem tűnt, és senki nem szólt (a saját SSL-es weblapunkat a kutya sem nézte bentről, én sem). Tegnap vettem észre a problémát.

Ja, és köszi a segítséget! Ha valamire sikerül jutnod a Squid konfjával, írd már meg! Én is megteszem.