Dotaz: Informovanie pouzivatela o blokovani portu 443

[Peter]

Pozdravujem osadenstvo.

Riesim problem s proxy serverom. Co sa tyka portu 80, tak tam je vsetko OK. Mam nastavene transparent proxy, cize pomocou iptables dnat-ujem vsetku komunikaciu na port 80 na ip adresu servera na port 8080, cize aj ked niekto ma uplne zakazany proxy vo svojom prehliadaci, tak ma proste smolu a aj tak ide cez proxy.

Trapi ma ale port 443. Realne funkcne transparentne proxy sa pre ssl urobit neda (ja viem, ze si mozem dat vlastny certifikat, ale toto fakt nie je riesenie). Mam rozbehany wpad.dat, ktory funguje perfektne na vsetkych prehliadacoch na vsetkych platformach, ale mam problem ako dat vediet pouzivatelovi, ze si ma vo svojom prehliadaci zapnut "automaticku detekciu siete".

V principe vlastne potrebujem nasledovne: potrebujem aby ked uzivatel ide na volajaku https stranku aby mu namiesto nej zobrazilo stranku na mojom serveri kde budem mat navod ako si zapnut proxy v prehliadaci.

Doteraz som mal take dost blbe riesenie: v iptables som dnat-oval vsetko co islo na 443 na mojuipadresu:443 a v apache som mal nastavenu vlastnu 404 stranku, kde som mal informaciu o "zlom nastaveni proxy". Malo to totizto dve vady. Za prve to pouzivatelovi pred nacitanim vyhodilo chybu o neplatnom certifikate (nemam na serveri kvalifikovany certifikat) a laik sa na tom hned zastavil, lebo ani len netusil, ze ako ma "povolit vynimku" a za druhe co je podla mna este horsie, je znasilnovanie 404 dokumentu (obvzlast co sa tyka spojeni z internetu).

Je toto mozne riesit nejakym elegantnym riesenim?

Dakujem.

Odpovědi

[Jendа]

A co má být cílem? Proč nepustíš 443 rovnou?

[misch]

Třeba potřebuje z nějakého důvodu logovat přístupy. S iptables a targetem LOG dostane jen IP adresu, zatímco při přístupu přes proxy tam bude CONNECT vč. hostname. Těžko říct, těch důvodů můžou být spousty.

Ale _korektně_ řešitelné to není. IMHO je nejlepší v takovém případě ty přímé přístupy (bez proxy) prostě zakázat. A když si pak bude uživatel stěžovat že mu nefunguje internetové bankovnictví :), nastavit mu ten proxy autodiscovery v prohlížeči ručně.

[Peter]

No, je to hlavne kvoly squidguard - cize facebook a spol (ale aj kvoly logovaniu)

No a prave o to ide, ze forward 443 mam zakazany a pouzivatelia ma otravuju, ze nejde gmail, banka, ... Preto som im chcel ten navod na autodiscoveri zobrazit automaticky.

[graviton]

Nějakou chybu certifikátu to na https musí hodit v každém případě - minimálně proto, že certifikát bude pro jinou doménu, než na kterou uživatel šel. Technické řešení v tomhle případě moc možné nebude. Co lidsko-komunikační řešení? Myslím pověsit někde na nástěnku, rozeslat e-mail či tak něco?

Ohledně znásilňování 404 mne napadá použít mod_rewrite a všechno redirektovat na tu informační stránku. Problém s certifikátem to ovšem neřeší (podstrkování jiného obsahu je přesně něco čemu má https bránit).

[Jendа]

Takže ti fakt jde o ten CONNECT? Nestačí ti IP? A nechceš to radši řešit backdoorem na počítači uživatelů?

[Peter]

??????????????????? Akym backdoorom? Mimochodom, ako som uz napisal, tak je to hlavne kvoly squidguard a logovanie je pre vedenie aby mohli kontrolovat zamestnancov, ze na ake stranky v praci chodia (neriesme moralnost tohto pocinu, ja som tam plateny za to aby som robil to co je nakazane - a nie - skakat z mosta a vrazdit nebudem ).

[Jendа]

No protože jakmile povolíš HTTPS (resp. obecný CONNECT), tak ti všechno protunelují přes to.

[j]

Pres proxy ti spousta veci fungovat nebude a to nikdy. A to vcetne veci na normalnim http, natoz na https. Jop, taky sem resil podobnou kravinu v jedy nejmenovany firme, a kdyz prisel majitel, ze mu nefunguje tohle a tamhle, tak sem mu rek, at si vybere ... logovat provoz nebo funcni sit. Tak si vybral a proxy je zrusena.

[Jendа]

logovat provoz nebo funcni sit

HTTP přece můžeš logovat i bez proxy, prostě Wiresharkem/tcpdumpem.

[j]

Samo neslo jen o logovani a navic odchytavanim kompletni komunikace se dopoustis trestneho cinu (ty, ne majitel firmy).