IT-блог Жаконды

Доброго дня! А не существует разве реальных, а не самоподписных сертификатов для таких задач?
И второе. WCCP не пощупали?

Насколько мне известно netdb нужен для настройки работы нескольких прокси серверов, у меня он отключен. Отключается в конфиге строчкой netdb_filename none, у меня она в самом вверху. После этого эти ошибки не появляются. Но думаю тормоза не из-за этих ошибок.

Доброго времени,есть проблема в очень медленной работе.Первое открытие сайта 5-10 секунд на http и 10-15с https сайт.Может подскажете что может быть…Squid работает внутри(прим) сети 192.168.10.0/24 имея ip 192.168.10.30. Роутер микрот с правилами
/ip firewall mangle
add action=mark-routing chain=prerouting dst-address=!192.168.10.0/24 \
dst-port=80,443,8080 new-routing-mark=squid passthrough=yes protocol=tcp \
src-address=!192.168.10.30 src-address-list=squid
/ip route
add distance=1 gateway=192.168.10.30 routing-mark=squid
——Конфиг squi.conf
# Recommended minimum configuration:
acl localnet src 0.0.0.1-0.255.255.255 # RFC 1122 «this» network (LAN)
acl localnet src 10.0.0.0/8 # RFC 1918 local private network (LAN)
acl localnet src 100.64.0.0/10 # RFC 6598 shared address space (CGN)
acl localnet src 169.254.0.0/16 # RFC 3927 link-local (directly plugged) machines
acl localnet src 172.16.0.0/12 # RFC 1918 local private network (LAN)
acl localnet src 192.168.0.0/16 # RFC 1918 local private network (LAN)
acl localnet src fc00::/7 # RFC 4193 local private network range
acl localnet src fe80::/10 # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
#
# Recommended minimum Access Permission configuration:
#
# Deny requests to certain unsafe ports
http_access deny !Safe_ports

# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports

# Only allow cachemgr access from localhost
http_access allow localhost manager
http_access deny manager

# We strongly recommend the following be uncommented to protect innocent
# web applications running on the proxy server who think the only
# one who can access services on «localhost» is a local user
#http_access deny to_localhost
#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
# Example rule allowing access from your local networks.
# Adapt localnet in the ACL section to list your (internal) IP networks
# from where browsing should be allowed
http_access allow localnet
http_access allow localhost

# And finally deny all other access to this proxy
http_access deny all

# Squid normally listens to port 3128
http_port 3128
http_port 3129 intercept
https_port 3130 intercept ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl/squidca.pem

acl step1 at_step SslBump1
ssl_bump peek step1
ssl_bump splice all

sslcrtd_program /usr/lib/squid/security_file_certgen -s /var/lib/ssl_db -M 4MB

# Uncomment and adjust the following to add a disk cache directory.
#cache_dir ufs /var/cache/squid 100 16 256

# Leave coredumps in the first cache dir
coredump_dir /var/cache/squid
error_directory /usr/share/squid/errors/ru
#
# Add any of your own refresh_pattern entries above these.
#
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320

На сервере в PREROUTING redirect 80 to 3129 и 443 на 3130

Также в логах часто NONE/200 0 CONENCT «какие-то ip» — HIER_NONE/- —

Прошу помогите, сил больше нет. На данный момент установлен Squid 4.9 на Debian 9 x64. Собирал из исходников для работы с HTTPS трафиком со следующими параметрами:

./configure –prefix=/usr –localstatedir=/var –libexecdir=/usr/lib/squid –datadir=/usr/share/squid –sysconfdir=/etc/squid –enable-ssl-crtd –with-openssl –enable-translation –enable-cpu-profiling –disable-dependency-tracking —

enable-delay-pools –enable-icmp –enable-linux-netfilter –with-large-files –enable-auth-negotiate=kerberos –with-default-user=proxy –with-logdir=/var/log/squid –with-pidfile=/var/run/squid.pid

На прокси работают 160 пользователей. Настроена доменная авторизации по kerberos, доступ разграничен на основе групп в AD. Авторизация работает, по группам из AD squid доступ в интернет предоставляет, https трафик фильтрует. Но стабильно раз в час, а бывает и по 5 раз за час Squid перезапускается, в логах /var/log/squid/cache появляется всегда одна и та же ошибка:

assertion failed: http.cc:1533: «!Comm::MonitorsRead(serverConnection->fd)»

Эмпирическим путем выявил что ошибка кроется в работе SSL Bumpa, конкретно в режиме «bump all». Убирал «bump all», ставил «splice all» и ошибка не появлялась, но при таком режиме работы squid не может фильтровать https трафик. Что очень важно.Скорее всего я как то не так его сконфигурировал.

Помогите пожалуйста, кто сталкивался с подобной проблемой, как ее решить. Посоветуйте пожалуйста какие еще существуют режимы работы ssl bumpa при которых возможна фильтрация https трафика. Возможно что при другом режиме работы ssl bumpa не будет данной ошибки. Или что можно поправить или добавить в существующую конфигурацию. Поделитесь опытом. До этого был squid 4.6 на Ubuntu 18 и была точно такая же проблема и думал это из-за бага в версии squid или о.с., но как выяснилось нет, тогда была такая же ошибка…

Заранее прошу прощения если где-то туплю, со squidом работаю нетак давно Прошу Вашей помощи. Буду признателен если укажите на ошибки.

сам конфиг:

$ Recommended minimum configuration:

pinger_enable off
cache deny all
netdb_filename none

$ Example rule allowing access from your local networks.
$ Adapt to list your (internal) IP networks from where browsing
$ should be allowed

$acl all src 0.0.0.0/0.0.0.0
$acl localnet src 0.0.0.1-0.255.255.255 $ RFC 1122 «this» network (LAN)
acl localnet src 10.0.0.0/8 $ RFC 1918 local private network (LAN)
$acl localnet src 100.64.0.0/10 $ RFC 6598 shared address space (CGN)
$acl localnet src 169.254.0.0/16 $ RFC 3927 link-local (directly plugged) machines
acl localnet src 172.16.0.0/12 $ RFC 1918 local private network (LAN)
acl localnet src 192.168.0.0/16 $ RFC 1918 local private network (LAN)
$acl localnet src fc00::/7 $ RFC 4193 local private network range
$acl localnet src fe80::/10 $ RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80 $ http
acl Safe_ports port 21 $ ftp
acl Safe_ports port 443 $ https
acl Safe_ports port 70 $ gopher
acl Safe_ports port 210 $ wais
acl Safe_ports port 1025-65535 $ unregistered ports
acl Safe_ports port 280 $ http-mgmt
acl Safe_ports port 488 $ gss-http
acl Safe_ports port 591 $ filemaker
acl Safe_ports port 777 $ multiling http
acl CONNECT method CONNECT

$ LDAP Kerb Groups from DC
external_acl_type DL-ACCESSALL ttl=300 negative_ttl=60 children-startup=30 children-max=80 %LOGIN /usr/lib/squid/ext_kerberos_ldap_group_acl -a -g DL-ACCESSALL -D domain.ru
external_acl_type DL-STANDART ttl=300 negative_ttl=60 children-startup=30 children-max=80 %LOGIN /usr/lib/squid/ext_kerberos_ldap_group_acl -a -g DL-STANDART -D domain.ru
external_acl_type DL-STUDENT ttl=300 negative_ttl=60 children-startup=30 children-max=80 %LOGIN /usr/lib/squid/ext_kerberos_ldap_group_acl -a -g DL-STUDENT -D domain.ru

$ ACTIVE DIRECTORY AUTH (KERBEROS)
auth_param negotiate program /usr/lib/squid/negotiate_kerberos_auth -s HTTP/srvproxy.domain.ru
auth_param negotiate children 80 startup=20 idle=2
auth_param negotiate keep_alive on

$Domain groups ACL
acl DL-ACCESSALL external DL-ACCESSALL
acl DL-STANDART external DL-STANDART
acl DL-STUDENT external DL-STUDENT

$acl upload_limit1 req_header Content-Length [0-9]{6,}

$acl auth proxy_auth REQUIRED

$Список облачных ресурсов
acl cloud url_regex -i «/etc/squid/accesses/cloud»

$список запрещенных доменов для группы «standart»
acl standart_block dst «/etc/squid/accesses/standart_block»

$список запрещенных доменов для группы «student»
acl student dst «/etc/squid/accesses/studentblock»

$список запрещенных доменов для всех
acl blockDOMAINall dst «/etc/squid/accesses/domain_block_for_all»

$список запрещенных ip для всех
acl blockIPall dst «/etc/squid/accesses/ip_block_for_all»

$список разрешенных доменов для всех
acl white_list dst «/etc/squid/accesses/white_list»

$список разрешенных ip для всех
acl allowIPall dst «/etc/squid/accesses/ip_allow_for_all»

$список запрещенных HTTPS сайтов
acl ssl_black_domain ssl::server_name_regex «/etc/squid/accesses/ssl_black_domain_reg»

$Список сайтов для которых не будет подменяться сертификат по регулярным выражениям.
acl NoSSLIntercept ssl::server_name_regex «/etc/squid/accesses/ssl_white_domain_reg»

$Список сайтов для которых не будет подменяться сертификат
acl domainwhite dst «/etc/squid/accesses/ssl_white_domain_dst»

$Список ip сайтов для которых не будет подменяться сертификат
acl white_ip dst «/etc/squid/accesses/ssl_white_ip»

$acl upload_limit1 req_header Content-Length [0-9]{6,}

$ ACL for method POST
acl upload_method method post

$Запрет POST на облачные ресурсы
http_access deny cloud upload_method

http_access deny blockIPall
http_access deny blockDOMAINall

http_access allow allowIPall
http_access allow white_list

$SSL Bump ACL
acl DiscoverSNIHost at_step SslBump1

$ Recommended minimum Access Permission configuration:
$ Deny requests to certain unsafe ports
http_access deny !Safe_ports

$ Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports

$ Only allow cachemgr access from localhost
http_access allow localhost manager
http_access deny manager

$ We strongly recommend the following be uncommented to protect innocent
$ web applications running on the proxy server who think the only
$ one who can access services on «localhost» is a local user
$http_access deny to_localhost

$ INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS

$ Example rule allowing access from your local networks.
$ Adapt localnet in the ACL section to list your (internal) IP networks
$ from where browsing should be allowed

$ ACTIVE DIRECTORY AUTH USERS
$http_access allow auth

$ Access rules for Domain groups

http_access allow DL-ACCESSALL
http_access deny DL-STUDENT student
http_access allow DL-STUDENT
http_access deny DL-STANDART standart_block
http_access allow DL-STANDART

$http_access allow localnet
http_access allow localhost

$ And finally deny all other access to this proxy
http_access deny all

$принимаем даже ошибочные ssl сертификаты

tls_outgoing_options flags=DONT_VERIFY_PEER
sslproxy_cert_error allow all

$HTTPS filter ON

http_port 10.168.60.18:3128 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl/sq4.pem

$ SSL bump rules

ssl_bump peek DiscoverSNIHost
ssl_bump splice NoSSLIntercept
ssl_bump splice white_ip
ssl_bump splice domainwhite
ssl_bump terminate ssl_black_domain
$ssl_bump peek all
$ssl_bump splice all
ssl_bump bump all

$ Certs generate ON
sslcrtd_program /usr/lib/squid/security_file_certgen -s /etc/squid/ssl/ssl_db -M 4MB
sslcrtd_children 30 startup=10 idle=1

$ HEADERS in logs
strip_query_terms off
$log_mime_hdrs on

$ Запрещаем отображение версии прокси-сервера и имени
httpd_suppress_version_string on
visible_hostname PROXYSERVER

$ DNS settings
dns_nameservers 10.168.60.100
dns_nameservers 10.168.60.200

$ Uncomment and adjust the following to add a disk cache directory.
$cache_dir ufs /var/cache/squid 100 16 256

$ Leave coredumps in the first cache dir
coredump_dir /var/cache/squid

error_directory /usr/share/squid/errors/ru

$
$ Add any of your own refresh_pattern entries above these.
$
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|?) 0 0% 0
refresh_pattern . 0 20% 4320

Вопрос, позвольте, коль тема свеженькая.
Кеширование некоторых объектов (тех же картинок с одноклассников и прочей ахинеи) приходящих по https реализованы в последних версиях сквида?

Спасибо.