Squid transparent proxy + SSL + IP aliasing

Linux-kezdő

Sziasztok!

Kicsit belegabalyodtam a kovetkezobe:

Szeretnek transparent Squid proxy-t, hogy menjen rajta keresztul a https is + a halokartyan ip aliasing is van, azaz eth0 es eth0:1, aminek az IPTABLES nem kifejezetten orul. (bar mukodik)

Warning: weird character in interface `eth1:0' (No aliases, :, ! or *).

Eddig odaig jutottam el, hogy http-re megy a transparent proxy, de barmilyen eddig probalt felallasban azt irja a squid logja https keresekre, hogy:

TCP_DENIED/400 1175 NONE error:unsupported-request-method - NONE/- text/htm

IPTABLES-ben ezzel probalkoztam, ebbol a 80-as portra okes volt, meg az alias-olt cim felol is a keres, https-re viszont eddig nem az igazi.

$IPTABLES -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
$IPTABLES -t nat -A PREROUTING -i eth1:0 -p tcp --dport 80 -j REDIRECT --to-port 3128
$IPTABLES -t nat -A PREROUTING -i eth1 -p tcp --dport 443 -j REDIRECT --to-port 3128
$IPTABLES -t nat -A PREROUTING -i eth1:0 -p tcp --dport 443 -j REDIRECT --to-port 3128

Squid honlap szerint ez nem fog menni. Szerintetek?

Koszi!

  • 2845 megtekintés

( eyez00 | 2007. 11. 25., v – 16:36 )

osszegezve a https-sel van baj, az aliasing-gal nincs.

Eppenseggel ez ey epkezlab magyarazat:

Finally, as far as transparently proxing HTTPS (e.g. secure web pages using SSL, TSL, etc.), you can't do it. Don't even ask. For the explanation, do a search for 'man-in-the-middle attack'. Note that you probably don't really need to transparently proxy HTTPS anyway, since squid can not cache secure pages.

Meg el is fogadnam, de az igazsag az, hogy nekem azert kell a transparent proxy, hogy szepen csak azt engedjek ki a halora, amit akarjak, maradjanak csak a bongeszesnel es nekem ne kelljen szopnom a torrent es egyeb filterezessel.

Szal azt sem banom, ha a https resze nem cache-elodik, sot ha jol tudom, azt nem is nagyon lehet.

Ugy tunik, ram ez vonatkozik:

“Long answer: SSL is specifically designed to prevent “man in the middle” attacks, and setting up squid in such a way would be the same as such a “man in the middle” attack. You might be able to successfully achive this, but not without breaking the encryption and certification that is the point behind SSL“.

Therefore, I had quickly reopen port 443 (router firewall) for all my LAN computers and problem was solved.

Na ez az amit en nem tudok/szeretnek.
Egy linux-os PDC van, a kliensek nem elerhetoek a szamomra es nem is akarok veluk foglalkozni. Ebbol domain policy-t csinalni kicsit nehezkes, plane, hogy sok gep AD mentesen, csak ugy kapcsolodik a http access miatt.
Azt szeretnem, hogy legyen a bongeszokben beallitva a proxy vagy nem, tomje kersztul a Squid-en. Es ezzel le lenne szurve minden egyeb folosleges forgalom is halorol.

Persze hogy tudsz.
Port 80 -> proxyra
port 443 -> kienged
Többi tilt.
(Ennél konkrétabb segítséget nem tudok adni, mert az iptables szintaxisát régóta nem vágom.)
It doesn't matter if you like my song as long as you can hear me sing