• Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login
Netgate Discussion Forum
  • Categories
  • Recent
  • Tags
  • Popular
  • Users
  • Search
  • Register
  • Login

Отзовитесь спецы! Нужна помощь по pfsense+squid

Scheduled Pinned Locked Moved Russian
12 Posts 4 Posters 5.5k Views
Loading More Posts
  • Oldest to Newest
  • Newest to Oldest
  • Most Votes
Reply
  • Reply as topic
Log in to reply
This topic has been deleted. Only users with topic management privileges can see it.
  • R
    roman01
    last edited by Sep 13, 2011, 12:22 PM

    облазил интернет и так и не нашел конкретного, однозначного решения.
    Как известно Сквид не проксирует https трафик. Для меня необходимо использовать прозрачный режим прокси - что бы не настраивать на клиенте сетевые параметры. А мне нужно ограничивать трафик https как и http. То есть пользователь с IP 10.55.0.111 может входить только на сайт Госуслуг (gosuslugi.ru) и никуда больше - а там и http и https.

    И получается ерунда полная: в файрволе разрешить 443 порт для IP адреса или подсети - это совсем не вариант для меня. Я наметил 2 решения - по ним и нужна ваша помощь. К тому же у меня необходим Captive Portal.
    1. Перевести прокси из прозрачного режима в обычный, в котором https работает. В файрволе настроить переназначение портов 80 и 443 из локальной сети на LAN карту pfsense. То есть так: "Локальная сеть, порты 80, 443"-> перенаправляются на 3128.
    ЭТО БУДЕТ РАБОТАТЬ?
    2. Пусть прокси работает в прозрачном режиме. Перенаправлять 443 порт на порт 3128 прокси. А это будет работать?

    Помогите, голову сломал уже. Как быть. Должен быть Captive Portal, на клиенте нельзя менять настройки браузеров (можно, но это самый крайний случай), обязательно нужно ограничивать https трафик.

    1 Reply Last reply Reply Quote 0
    • D
      dvserg
      last edited by Sep 13, 2011, 1:22 PM

      Как известно Сквид не проксирует https трафик. Для меня необходимо использовать прозрачный режим прокси - что бы не настраивать на клиенте сетевые параметры. А мне нужно ограничивать трафик https как и http. То есть пользователь с IP 10.55.0.111 может входить только на сайт Госуслуг (gosuslugi.ru) и никуда больше - а там и http и https

      1. Оставите прозрачный режим, а правилами разрешите трафик HTTPS только на госуслуги.
      2. Убрать прозрачный режим и использовать WPAD для перенаправления клиентов на прокси, а прямое хождение по HTTP / HTTPS запретить. В этом случае у клиентов в браузерах должна стоять галка автоопределения прокси-сервера

      SquidGuardDoc EN  RU Tutorial
      Localization ru_PFSense

      1 Reply Last reply Reply Quote 0
      • N
        nickston
        last edited by Sep 13, 2011, 6:01 PM

        Как известно Сквид не проксирует https трафик. Для меня необходимо использовать прозрачный режим прокси - что бы не настраивать на клиенте сетевые параметры. А мне нужно ограничивать трафик https как и http. То есть пользователь с IP 10.55.0.111 может входить только на сайт Госуслуг (gosuslugi.ru) и никуда больше - а там и http и https

        "проксирует" забавная фраза, ему вроде без разницы он и сокс обработает.
        другое дело что в прозрачном режиме он перехватывает только запросы на 80 порт

        1 Reply Last reply Reply Quote 0
        • R
          roman01
          last edited by Sep 14, 2011, 5:35 AM

          Спасибо за ваши отзывы. Вопрос пока не решен. У меня около 100 пользователей. Правилами файрвола разграничивать https не выйдет

          1 Reply Last reply Reply Quote 0
          • D
            dvserg
            last edited by Sep 14, 2011, 5:51 AM

            @roman01:

            Спасибо за ваши отзывы. Вопрос пока не решен. У меня около 100 пользователей. Правилами файрвола разграничивать https не выйдет

            Думаю автоконфигурация все запросы браузера загонит в прокси
            http://squid.h12.ru/FAQ/FAQ-5.html

            SquidGuardDoc EN  RU Tutorial
            Localization ru_PFSense

            1 Reply Last reply Reply Quote 0
            • R
              roman01
              last edited by Sep 15, 2011, 7:24 AM

              Спасибо, а как быть с программами? Там WPAD не пройдет.

              1 Reply Last reply Reply Quote 0
              • F
                forestman99
                last edited by Sep 15, 2011, 10:00 AM

                с программами или настройками в них или рулесами, но муторно

                1 Reply Last reply Reply Quote 0
                • N
                  nickston
                  last edited by Sep 15, 2011, 10:02 AM

                  проксификаторы используй и вообще ничего настраивать не надо

                  1 Reply Last reply Reply Quote 0
                  • F
                    forestman99
                    last edited by Sep 15, 2011, 10:19 AM

                    ему тогда надо по 100 тачкам их поставит и настроить  ;)

                    1 Reply Last reply Reply Quote 0
                    • D
                      dvserg
                      last edited by Sep 15, 2011, 10:43 AM

                      @roman01:

                      Спасибо, а как быть с программами? Там WPAD не пройдет.

                      Думаю никак. Прозрачного HTTPS прокси не существует в принципе по причине шифрованного трафика

                      SquidGuardDoc EN  RU Tutorial
                      Localization ru_PFSense

                      1 Reply Last reply Reply Quote 0
                      • N
                        nickston
                        last edited by Sep 15, 2011, 12:13 PM

                        @forestman99:

                        ему тогда надо по 100 тачкам их поставит и настроить  ;)

                        ну один проксифИКАТОР

                        1 Reply Last reply Reply Quote 0
                        • N
                          nickston
                          last edited by Sep 15, 2011, 12:14 PM

                          @forestman99:

                          ему тогда надо по 100 тачкам их поставит и настроить  ;)

                          один проксификатор настроить один раз а потом можно просто копировать.
                          Это как бы проще чем во всех прогах указывать прокси

                          1 Reply Last reply Reply Quote 0
                          2 out of 12
                          • First post
                            2/12
                            Last post
                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.
                            This community forum collects and processes your personal information.
                            consent.not_received