Squid + ssl

Не подскажите как научить сквид пропускать https? Мне нужно не для прозрачного прокси.

Видел тут http://www.opennet.ru/openforum/vsluhforumID12/5890.html#1

Я тут тоже видел. Тему можно закрыть. Все сделал. smile
Правда как работает не нравится.
Соединение сбрасывается почему то. Приходится обновлять страницу.
Весь траф пустил через прокси, а SSL напрямую

iptables -t nat -A PREROUTING -i vlan5 -s 192.168.2.100 -p tcp --sport 1024:65535 --dport 443 -j REDIRECT --to-port 3129

Фигня короче.

Кто знает как траф по 443 порту сделать в обход squid?

--=XliN=-- написал:

Кто знает как траф по 443 порту сделать в обход squid?

А обычный маскарад только 443 порта,. не?

iptables -t nat -A PREROUTING -i vlan5 -s 192.168.2.100 -p tcp --dport 443 -j MASQUERADE

Я впендюрил такое правило и у меня упал сервер. Завтра ехать на работу :( ХЗ, может из-за этого?

Конечно из-за этого. Только он не упал, он работает как н ив чём не бывало. Просто Вы до него достучаться не можете.
И да. если он раздавал инет в локалку, то раздача прекратилась. А так всё как в песне - "всё хорошо, прекрасная маркиза...", сервер работает.

Работает, но толку от него нет. Такое состояние я называю "упал" :D Тем паче он не только инет раздавал, но на нем и DHCP стоит.
В чем моя ошибка? Мне нужно траф 192.168.2.0/24 (vlan5) запустить на прокси 3128, но без 443 порта. Т.к. прокси не хочет работать с https.

newzenon написал:

А обычный маскарад только 443 порта,. не?

Пытался это сделать :D

--=XliN=--, забавная ситуёвина, у тебя squid на шлюзе? (напряумю в интернет)?

И вообще не понятно.. Траф завернулся только с 5 влана и конкретного IP. Почему тогда оно отрабатывает? Я даже не могу приконектиться по VPN на другой сервер. Шлюз меня не пропускает.

newzenon написал:

--=XliN=--, забавная ситуёвина, у тебя squid на шлюзе? (напряумю в интернет)?

Да. Сквид на шлюзе. А как по другому? Я бы при желании перенес бы на другой, например на Citrix. Там хоть откатиться можно.

А вот это how2 видел, может с настройками transparent что не так http://www.cyberciti.biz/tips/linux-setup-transparent-proxy-squid-howto.html

--=XliN=-- написал:

Да. Сквид на шлюзе. А как по другому? Я бы при желании перенес бы на другой, например на Citrix. Там хоть откатиться можно.

Ну nat' или redirect на машину со squid'ом никто не отменял, и пусть клиенты туда цепляются.

newzenon, Хавтушку почитал. Довольно занимательная. Сделано все почти так же, но ехать придется все равно. :( Исправлю и попробую сделать по этой инструкции и на другой тачке. Что бы не было таких касяков. Тем более это нужно для домена и пусть там и сквид будет.

Странно, сервак начал отвечать на пинги, но по ssh все равно не пускает.

newzenon написал:

--=XliN=--, забавная ситуёвина, у тебя squid на шлюзе? (напряумю в интернет)?

И что тут такого криминального? Какая разница где стоит прокся? Тут главное каие правила на фаерволе.
А ТС с правилом конечно загнул.
--=XliN=--
Ваши правила (под Вашу задачу) должы бы выглядеть так:
[console]
iptables -t nat -A PREROUTING -i eth1 -p tcp –dport 443 -j DNAT –to 192.168.1.1:3128
iptables -t nat -A PREROUTING -i eth0 -p tcp –dport 443 -j REDIRECT –to-port 3128[/console]
Но https кешировать и пускать на сквид нету смысла, так как шифровка.
Правильно в этом случае просто сделать форвард для 443 порта, без велосипедов.
А DHCP работает, куда ж он денется. Он со сквидом вообще ни каким боком не связан.

--=XliN=-- написал:

Странно, сервак начал отвечать на пинги, но по ssh все равно не пускает.

Ничего странног, я ж говорю - СЕРВЕР РАБОТАЕТ!
А вот выставлять пинг наружу - не есть тру.

--=XliN=-- написал:

Не подскажите как научить сквид пропускать https? Мне нужно не для прозрачного прокси.

Ни как. Тоесть сделать конечно можно, имеются разные велосипеды, на основе того же сквида, но это фигня полная.
HTTPS - шифрованный трафик. Джае если Вам и удастся его закешировать, то воспользоваться им сможет только этот же клиент и только во время этого сеанса. больше никто.
ИМХО пустая трата времени и ресурсов. Правильнее сделать форвад для 443 порта и всё.
По крайней мере я отказался от кеширования https и пропустил его напрямую ибо смыла нету так как нету разницы.

Подведем итоги.
eth1 - XXX.XXX.XXX.XXX - смотрит в инет
vlan5 - 192.168.2.0/24 - все делается для этой подсети.

192.168.1.77 - шлюз со squid.
Конфиг squid. Верный ли он? Взята с выше данной хавту. Обратите внимания на выделенный текст.

Далее идем в iptables и после всех натов добавляю

iptables -t nat -A PREROUTING -i vlan5 -p tcp --dport 80 -j DNAT --to 192.168.1.77:3128
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

Эти правила актуальны только для второй сети?

Vadimsky написал:

Правильнее сделать форвад для 443 порта и всё.
По крайней мере я отказался от кеширования https и пропустил его напрямую ибо смыла нету так как нету разницы.

Я в общем-то с самого начала и имел ввиду. Немного недовник в правила просто.

Первое что бросается в глаза это acl lan src 192.168.1.77 192.168.2.0/24
Нужно acl lan src 127.0.0.1 192.168.2.0/24
Второе cache_mem 512 MB я бы увеличил, если RAM позволяет. Если не позволяет, то добавил бы RAM, а затем увеличил cache_mem
Третье добавлять правила в iptables следует по такому принципу - читается сверху вниз. Если в самом начале стоят какие лобо запрещающие правила, под определения которых попадает то, что Вы разрешаете позже этими двумя своими, то они просто не отработаются, так как до них не дойдёт. Я бы на вашем месте эти два правила переставил в начало.
Четвёртое. Правила в конфиге сквида читаются так же и там действует тот же метод. Провертье ещё раз всё.
Пятое. В итое Вы получили прозрачный прокси, хотя старт темы

--=XliN=-- написал:

Мне нужно не для прозрачного прокси.

Что бы этого добится, Вам как раз не нужны эти два правила.
Ну вообщем Вам решать, чего Вы конкретно хотите.

Vadimsky написал:

Третье добавлять правила в iptables следует по такому принципу - читается сверху вниз. Если в самом начале стоят какие лобо запрещающие правила, под определения которых попадает то, что Вы разрешаете позже этими двумя своими, то они просто не отработаются, так как до них не дойдёт. Я бы на вашем месте эти два правила переставил в начало.

Ой! Как раз отработают, в скрипт кидаю всегда сначала политики, потом правила. Или мы о разном?