Newsgroup: it.comp.os.linux.sys
Titolo: squid e https

salve,
ho una installazione di un proxy squid che perlo pi� funziona, non l'ho
installato io, e non sono molto pratico, il problema � che non si esce
verso siti https, nel file squid.conf ho queste righe
acl SSL_ports port 443 563
...altre regole...
acl Safe_ports port 443 563
http_access deny !Safe_ports
http_access deny !SLL_ports
la configurazione � giusta vero?

Umberto Carrara (mediaus) wrote:

siccome sono dietro a un router cisco mi � passata in mente l'idea che a
impedire fosse il router, dove se digito:
show  running-config | grep https
ho questa riga :
access-list acl_out permit tcp any host service-out eq https
service-out � l'ip  pubblico dello squid
se do invece quest'altro comando:
show  running-config | grep http
ho:
fixup protocol http 80
rfa le altre cose................
pu� darsi che mi manchi questa istruzione?
grazie
Umberto

 
se hai fatto copia e incolla, non funziona di certo.
guarda i nomi delle acl SSL_ports � diverso da SLL_ports.
e comunque alla fine dovresti avere un http_access allow da qualche parte
poi, per trovare il problema, fai partire uno sniffer sul proxy e attiva
il logging di squid. debuggando vedi perch� non passano.

 il logging di squid. debuggando vedi perch� non passano.
intanto grazie dell'aiuto,
come si pu� notare non sono affatto un esperto, 
comunque ho spento lo squid e sulla macchina dove girava 
ho aperto due shell su una ho avviato 
tcdump port 443 -i eth0 -n
e sull'altra ho aperto
lynx 
login.yahoo.com
 
purtroppo adesso non posso ripetere l'output ma credo di aver capito che al
momento che la chiamata passa sulla porta 443 non c'� pi� risposta, quindi
credo che il problema sia effettivamente nel router che � un cisco 
PIX-515E, 64 MB RAM, CPU Pentium II 433 MHz
ora quello che non riesco a fare � analizzare il traffico all'interno del
router, ho trovato un link  dove spiega come fare
http://www.computernetworkinghelp.com/content/view/40/1/
ma c'� differenza fra i comandi suggeriti qui e quelli che mi fa impostare
il mio cisco, in paricolare non riesco a impostare tutti i parametri,mi
spiego, se digito questa istruzione
PIX(config)# access-list webcap line 1 extended permit tcp any host
ip-didestinazione eq 80 
non me la prende devo ridurla cos�
access-list webcap permit tcp any host ip-didestinazione eq 80
anche l'istruzione capture
PIX# capture webcapinside type raw-data access-list webcap interface inside
non funziona devo togliere type raw-data
il problema � che poi quando eseguo
 
show capture webcapinside
il prompt mi ritorna e non vedo i pacchetti catturati
purtroppo non sono esperto ne di firewall ne tanto meno di cisco firewall vi
chiedo qualche dritta o materiale da visionare per capirci qualcosa
grazie a tutti
Umberto
P.S.
allego le regole del firewall relative alla macchina che fa da squid e anche
da webserver
access-list acl_inside permit tcp 192.168.1.0 255.255.255.0 host srvmail-dmz
access-list acl_dmz permit icmp host srvmail-dmz any
access-list acl_dmz permit udp host srvmail-dmz any eq domain
access-list acl_dmz permit tcp host srvmail-dmz any eq smtp
access-list acl_dmz permit tcp host srvmail-dmz any eq www
access-list acl_dmz permit tcp host srvmail-dmz host service-in eq 7080
access-list acl_dmz permit ip host srvmail-dmz any
access-list acl_dmz permit tcp host srvmail-dmz any eq https
access-list acl_dmz permit tcp host srvmail-dmz eq https any

 
sono riuscito a catturare dei pacchetti sul router cisco
qualcuno mi pu� aiutare?
15:55:03.027143 srvmail-dmz.49007 > ip-esterno.443: S 1756129953:175612995
(0) win 5840 <mss 1460,sackOK,timestamp 301298173[|tcp]>
15:55:03.027205 ip-esterno.443 > srvmail-dmz.49007: R 0:0(0) ack 1756129954
win 5840 <mss 1460,sackOK,timestamp 301298173[|tcp]>
� giusto dire che ipacchetti in risposta da ip-esterno non arrivano a
srvmail-dmz?

 access-list acl_dmz permit tcp host srvmail-dmz eq https any
Come acl sull'outside hai qualcosa (relative a quella macchina) ?
La pubblichi con qualche static ?
Se fai un clear counter delle acl e poi torni a provare ad effetturare 
una connessione dopo uno "sh access-l" cosa ti da come risultato dei 
counter ?
Perche' l'acl corretta che dovrebbe funzionare e' questa:
 > access-list acl_dmz permit tcp host srvmail-dmz any eq https
Io per capire proverei a mettere in testa a tutte le altre regole un bel:
access-list acl_inside permit ip 192.168.1.0 255.255.255.0 host srvmail-dmz
access-list acl_dmz permit ip host srvmail-dmz any
poi vedo se va e da li scendo nel dettaglio poco alla volta.
Ricordati anche che il PIX ragiona per pesi delle diverse interfacce e 
se lo squid e' in dmz devi permettergli di raggiungere i client in 
inside attraverso un'acl perche' la dmz e' piu' insicura della inside e 
deve essere gestita manualmente.
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la verit� � che non avere nulla da perdere 
significa essere pronti a rischiare tutto ci� che si possiede.

 Rizio
grazie dell'aiuto
Umberto

 Umberto
Np, ho impostato il f-up sul gruppo che mi sembra piu' appropriato vista 
la piega che sta prendendo il problema (e magari troviamo anche un aiuto 
piu' mirato e piu' capace riguardo al pix)
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la veritï¿œ ï¿œ che non avere nulla da perdere 
significa essere pronti a rischiare tutto ciï¿œ che si possiede.