Automatická konfigurace proxy serveru v síti (diskuse)

[msk]

Aku to ma vyhodu proti transparentnej proxy riesenej nat-om?

[Max]

U transparentní proxy musíš podvrhovat certifikáty. Aby prohlížeč nepeskoval, tak na každý dns musíš vygenerovat cert, takže zátěž pro server. Jenomže i v takovém případě ti nemusí weby fungovat, protože DNS CAA.
Zdar Max

[msk]

Hm, ja som mal na mysli transparentnu http proxy, proxyovanie https trafficu pomocou podvrhovania certifikatov povazujem za zvrhlost najvacsiu a nikdy som neimplementoval, tak mi to nedoslo.

[Josef Kufner]

Spíš jde o to, že u HTTPS řekne prohlížeč CONNECT a přes proxy se naváže spojení přímo, tedy do dat ani certifikátů po cestě nic nezasahuje. V případě transparentní proxy prohlížeč neví, že se má chovat jinak, a celé to jde k šípku.

[Max]

Transparentní proxy je právě podvrhování certifikátů. Prohlížeč neví, že jde přes proxy, protože mu to nutíš natem. Kromě milion nevýhod máš výhodu v tom, že vidíš do https komunikace. Když jdeš přes netransparentní (prohlížeč ví, že jde přes proxy), tak certifikáty nepodvrhuješ, vše se chová korektně, ale na proxyně nevidíš do https komunikace a nemůžeš jí tak pěkně filtrovat jako u http.
Pokud myslíš transparentní jen pro http a netransparentní pro https, tak nechápu smysl nasazení k té netransparentní i tu transparentní.
Takže stále nevím, jak jsi to myslel, když se ptáš na transparentní proxynu a přitom nechceš podvrhovat certifikáty.
Zdar Max

[msk]

Ano, takto som to mal chvilu nasadene (transparentnu na http, https slo napriamo). Je to ale 12 rokov, odvtedy situaciu okolo proxy nesledujem pretoze skoro vsetko preslo na https a do toho za normalnych okolnosti nie je vidiet *1.

*1 ano viem ze to existuje a ze sa to tak bezne v korporaciach pouziva, ja osobne to ale povazujem za zlocin za ktory by mal byt trest smrti (myslim cumiet do sifrovanej komunikacie a podvrhovat certifikaty).

[Max]

Proto je potřeba používat netransparentní proxynu. Sice nelze provoz moc dobře filtrovat, ale lze jej filtrovat aspoň na základně adres, člověk má i statistiky, dlouhou historii a lze odhalit a případně předejít i nějakým nepěkným věcem.
Každopádně když toto všechno víš, tak stále nechápu, proč jsi vznesl na počátku ten dotaz.
Zdar Max

[zigi]

Pokud se nepletu, tak certifikaty se daji podvrhovat i s netransparentni proxy…

[Jendа]

Jednoznačně, například BURP to tak dělá.

[V.]

Ok, hodí se prozkoumat i RFC 3040 (Internet Web Replication and Caching Taxonomy).

[Max]

Spíš mi dej hint, na co konkrétně narážíš?
Že můžu použít i dns záznamy txt a srv? Něco jako :

# srv
_wpad._tcp  SRV   0 0 80 wpad.corp.devaine.cz  

# txt
IN      TXT    "service: wpad:http://wpad.corp.devaine.cz/wpad.dat"

Přiznám se, že to jsem nevěděl a nezkoušel. SRV záznamem by šel vyřešit problém s překladem bez dns suffixu (což je v případě AD nula stanic).
Jestli to tedy bylo to, na co narážíš, tak díky. Pokud ne, prosím o hint.
díky
Zdar Max

[V.]

Já znam použití statického proxy.pacu, pro větvení přístupu pokud proxy něco neumí nebo se jedná kolizní či jinak nepřístupné sítě/cíle.
Takže dík za osvětu a to RFC jsem našel jako jediné, co se vztahuje k wpad. Pátral jsem po podkladech ve smyslu "když přečtu man, objevím toho ještě víc".

[Max]

Tak jsem hodil do zápisku update o txt a srv záznamech.
Zdar Max

[NN]

Kdysi jsem Squid proxy provozoval, ale dnes uz si moc nedokazu predstavit nejaky vetsi vyznam. Puvodne to na HTTP kesovalo stranky a urychlovalo brouzdani, blokace porku etc. Dnes s HTTPS anywhere to nemuze delat nic moc uzitecneho. Mozna nejake statistiky a IP based blokace, ale to vsechno dnes zastane lepsi firewall/IPS.

[Max]

Je to tak, statistiky, ip blokace + spousta webů ještě https nemá. Zatím si myslím, že to má větší smysl, než firewall/ips.
Zdar Max

[VSi]

Další věc je autentizace. Pomocí proxy lze zajistit jednoznačnou identifikaci uživatele nebo servisního účtu pro každé spojení, ať už pro potřeby povolení/blokace nebo logování. Hodí se to v řadě případů, kdy je v daném prostředí povolena komunikace "ven" jen striktně vymezené skupině uživatelů / služeb. Na firewallu/IPS to lze řešit jen velmi obtížně, zvlášť v případě sdílených strojů nebo sítí kde nelze dostatečně spolehlivě zajistit identitu na úrovni IP adres.

[zigi]

A bezpecnost takoveho reseni? Ve vychozim stavu mit zapnutou autokonfiguraci proxy je divny - kdokoliv kdekoliv mi pak muze podvrhnout svoji proxy... Kdyby slo v prohlizecich/systemech nastavit seznam duveryhodnych proxy, tak to by byla jina pisnicka.

[zigi]

To uz mi fakt prijdou lepsi ty sitovy profily.

[Max]

Nemyslím si, že by to bylo nějak víc nebezpečné, než kdyby tato volba byla vypnutá. Pokud jsem v cizí síti, tak musím očekávat man in middle útok. Tj. můžeš být napadnut transparentní proxynou a podvrhováním certifikátů ještě jednodušeji, než někde vystavovat wpad a snažit se nějak oblbout prohlížeč, kterému předem oznámíš, že se ho snažíš oblbnout.
Jinak kdokoli ti podvrhnout wpad nemůže, jen ten, kdo ti vnutí svoje dns.
Zdar Max

[Tom.š Ze.le.in]

Aspoň dřív se to we windowech na wpad ptalo i přes netbios. Responder se mi chytal, když jsem to zkoušel naposled.

[Filip Jirsák]

Co je na „podvržení“ proxy špatného? Když chci, tak o tom vím, a veškerá komunikace by stejně měla být šifrovaná. Když mi nepodvrhne svoji proxy, bude rovnou unášet celou komunikaci, o čemž se dozvím až když něco nebude fungovat – a sledovat komunikaci může úplně stejně.

[MP]

Firefox je v tomhle opet debilni jako v mnoha dalsich pripadech, oproti ostatnim, kde to funguje out-of-box. Ma nastaveno defaultne pouziti systemoveho nastaveni, ale pokud je systemove nastaveni automaticka detekce proxy, tak s tim stejne nefunguje.

Mimochodem, obzvlast v Linuxu je pouziti WPADu casto prekerka, ne kazda aplikace to podporuje (ahoj balickovaci systemy!).

[Max]

Je to tak, v některých věcech je to smutnější pohled než u Windows. Další kapitolou pak byl Android, kde třeba i je ruční nastavení pro proxy, ale skoro nic na to nebere ohled. Aktuální stav ale neznám, už je to nějaký pátek, co jsem na to koukal (Android 4/5).
Zdar Max

[Bedňa]

Příloha:

• container_smile.jpg (448557 bytů)

Tak mi sme boli kolegovia ani som nevedel

Ja som bol rok v Budapešti.

[Max]

Jako na naší pobočce? Jinak Budapešť mají na povel kolegové z SK. Já mám na starosti CZ (kromě toho, že je to největší pobočka/hlavní sídlo, tak jsou zde i všechny servery/služby), PL, DE.
Zdar Max

[Bedňa]

Jj na Slovensku Branko s Matúšom to spravujú na diaľku zo Slovenska a ja som na to fyzicky šahal :) Teda občasne chodia aj do Budapešti. To že sú servers v Prahe viem, stačilo, že to niekde po ceste k nám spadlo a už som mal telefonát. Ja son bol externista. 10dní tam, 4doma. V Budapešti je krásne, vynikajúci ľudia, krásne mesto. Vôbec to nie je ako sa hovorí. Keď napr. porovnám aj kolegiálne vzťahy, tak sa hanbím akí sme u nás na seba psy.

Mno stací tam prísť a spýtať sa na SuperMario, to som tam dostal prezývku

Zo Slovenského ´M' si výborne rozumiem s COO Palim to asi vieš kto je.

Mám užasné zážitky na celý život.

[Max]

Ptal jsem se, byl jsi ověřen, svět je malý :).
Zdar Max

[Bedňa]

Bohužial jeden človek v deň mojho odchodu vyrobil FUD, tak dúfam že sa ti to nedostalo do uší

Kvôli tomu človeku som sa rozhodol že odídem a je to človek zo Slovenska. To zaboli, ale ja to berem tak, že toto je život a hajzlíci sú všade.

Ten svet je fakt malý a som rád, že som pracoval s takou legendou ako si ty, hoci som o tom nevedel

Nikomu prosím ťa nič nehovor, pretože bývalýxh kolegov mám moc rád a bol by som nerád aby som ich občas nemohol ísť pozrieť, pretože tam dostanem ban.

Szia Max