Viber и прокси

teuda

@teuda:
 в фаерволе открыть 443-й порт на весь амазон разом.
Доброго дня! Напишите пожалуйста, на какой именно диапазон адресов открыли 443 порт. Уже только какие диапазоны ip адресов не пробовали всё равно не работает
Диапазон адресов брал из этого файла https://ip-ranges.amazonaws.com/ip-ranges.json

Спасибо за ответ, тогда такой вопрос, на клиенте с ОС windows настройки прокси включены в ie?

grommir

Конечно включены. Но, как я уже писал выше, для того чтобы это нормально работало, необходимо прямыми руками настроитьWPAD, DNS, DHCP, WINS.

MaximKa_Che

Ну очень хотят некоторые товарищи Viber…
При использовании на клиентских машинах Viber+Proxifier авторизация на прокси не проходит. При этом у меня в настройках Squid реализовано два способа авторизации: LDAP+Kerberos и Basic с запросом имени и пароля. Proxifier игнорирует оба варианта, как следствие Viber не работает, пишет, мол, "так и нету интернету..."
Поскольку сейчас pfSense находится в стадии внедрения, все порты открыты, проблема только с авторизацией. У меня уже складывается впечатление, что в непрозрачном режиме запустить Viber на pfSense в принципе невозможно. Где я не прав?

werter

Доброго.

При этом у меня в настройках Squid реализовано два способа авторизации: LDAP+Kerberos и Basic с запросом имени и пароля.

Нагородили огород. Оставьте что-то одно и доведите до ума.

grommir

Как я уже писал выше, viber - довольно тупая программа, которая знать ничего не знает про прокси и знать не хочет. Без использования дополнительных средств типа проксифаера не получится заставить его нормально через прокси работать. С мобильными устройствами всё ещё хуже.

MaximKa_Che

@werter:

Доброго.

При этом у меня в настройках Squid реализовано два способа авторизации: LDAP+Kerberos и Basic с запросом имени и пароля.

Нагородили огород. Оставьте что-то одно и доведите до ума.

Какой, простите, на фиг огород? Вам, похоже, не приходилось обслуживать большие организации, где кроме пользователей, жестко привязанных к домену, есть всякие разные "гости", желающие получить доступ к корпоративной сети, а заодно и к интернету весьма различными способами: начиная от своих ноутбуков и заканчивая смартфонами, подключаемыми по Wi-Fi. Всех включать в домен прикажете или всех же заставить вводить пароли до одурения???
Вопрос в силе, очень хочется услышать КОМПЕТЕНТНОЕ мнение.

MaximKa_Che

@grommir:

Как я уже писал выше, viber - довольно тупая программа, которая знать ничего не знает про прокси и знать не хочет. Без использования дополнительных средств типа проксифаера не получится заставить его нормально через прокси работать. С мобильными устройствами всё ещё хуже.

Еще раз: по умолчанию используется авторизация при помощи LDAP, являясь непрозрачным способом авторизации. Это означает, что proxifier вообще в данном случае ничем помочь не может - у него нет в настройках поддержки авторизации в домене. Для пользователей, не входящих в домен, дополнительно организован классический способ авторизации - имя+пароль. При прохождении своих тестов proxifier "видит" эти имя с паролем, однако Viber при этом уже работать отказывается - squid имя с паролем не получает.

werter

Доброго.

Порты открыты https://support.viber.com/customer/portal/articles/1506350-opening-ports-for-viber-desktop ?

Всех включать в домен прикажете или всех же заставить вводить пароли до одурения

Отдельная гостевая сеть для личных устройств (vlan \ физически)+ captive portal (можно и с freeradius)

MaximKa_Che

@werter:

Доброго.

Порты открыты https://support.viber.com/customer/portal/articles/1506350-opening-ports-for-viber-desktop ?

Всех включать в домен прикажете или всех же заставить вводить пароли до одурения

Отдельная гостевая сеть для личных устройств (vlan \ физически)+ captive portal (можно и с freeradius)

Порты, как я уже писал, сейчас вообще все открыты ;-). Проблема именно с авторизацией - в логах и веб-интерфейсе видно, что viber (ни самостоятельно, ни через proxifier) не подхватывает текущее учетное имя, назначенное через ldap.
По поводу отдельной vlan… В данном случае слишком это накладно получится. "Личные" устройства и сейчас подключаются к интернету в отдельной сети. В моем случае речь шла о десктопном viber, который (зачем-то и почему-то) нужен некоторым сотрудникам на рабочих компьютерах. Есть всякие экспортные и прочие отделы...
PS. К слову, на моем рабочем Mac'е есть примерно та же проблема: несмотря на наличие системных настроек прокси App Store отказывается подключаться к сети. При этом на работающем сейчас в прозрачном режиме Kerio этих проблем нет.

werter

https://forum.pfsense.org/index.php?topic=139667.0

MaximKa_Che

@werter:

https://forum.pfsense.org/index.php?topic=139667.0

Временно соорудил костыль для проблемной машины:

acl AuthIP src 192.168.0.3
http_access allow AuthIP

поставив это правило перед основным:

http_access deny !InetAccess

InetAccess - группа в AD. Все заработало, буду дальше разбираться

werter

Доброго.

Так у сквида ж в веб-фейсе есть возможность пустить локальную машину в обход сквида. Адрес в Source IP для исключения вносите и всё.

MaximKa_Che

@werter:

Доброго.

Так у сквида ж в веб-фейсе есть возможность пустить локальную машину в обход сквида. Адрес в Source IP для исключения вносите и всё.

Я с этого начал. Вот только почему-то не подхватилось…

werter

Доброе.
Apply не нажали после внесения изменений.

MaximKa_Che

@werter:

Доброе.
Apply не нажали после внесения изменений.

Не, я конечно понимаю, что старость - не радость, но не до такой же степени ;-)

PS. Добавление адреса в любом из форматов (192.168.x.y или 192/168.x.y/32) в Unrestricted IPs не приводит к должному результату. В то время как использование
acl AuthIP src 192.168.x.y
http_access allow AuthIP
дает нужный эффект. Легко проверяется по логам, а заодно у меня есть хороший индикатор, в роли которого выступает icloud.com - непрозрачная авторизация приводит к ошибке подключения. Может я не прав в первом варианте?

werter

Доброе.

Добавление адреса в любом из форматов (192.168.x.y или 192/168.x.y/32) в Unrestricted IPs не приводит к должному результату.

Bypass proxy for this source IPs Вот туда заносятся. И Apply после.

Вопрос в силе, очень хочется услышать КОМПЕТЕНТНОЕ мнение

Ага.

Вам, похоже, не приходилось обслуживать большие организации

Люблю эту ссылку ;) https://ru.wikipedia.org/wiki/Эффект_Даннинга_—_Крюгера

MaximKa_Che

@werter:

Доброе.
@MaximKa_Che:

Добавление адреса в любом из форматов (192.168.x.y или 192/168.x.y/32) в Unrestricted IPs не приводит к должному результату.

Bypass proxy for this source IPs Вот туда заносятся. И Apply после.

Ну да, конечно: по-моему, мы начинали беседу с того, что у меня используется НЕ транспарентный вариант :). Как следствие, этот пункт по определению недоступен.

@werter:

@MaximKa_Che:

Вопрос в силе, очень хочется услышать КОМПЕТЕНТНОЕ мнение

Ага.

Ну вот зачем заставлять меня вручную рисовать кучу тегов для того, что уличить некоторых? Ага? ;)

@werter:

Люблю эту ссылку ;) https://ru.wikipedia.org/wiki/Эффект_Даннинга_—_Крюгера

А что там насчет невнимательности и самоуверенности википедия ничего не пишет? ;)

Cyber100

перечитывал "проблему" топикстартера == так и не понял, в чем она?

имею пользовать пф2.4.1 с прозрачным прокси + снорт = никаких трудностей с вайбером не испытываю. никаких специфичных портов не открывал.

вайбер версии 6.5.5. для gentoo. собирал из исходников.

на работе около 54 человек им пользуется и этой же версией я дома(через pf), так же дома мобильные клиенты для андроид у меня и моей супруги.

smils

@Cyber100:

перечитывал "проблему" топикстартера == так и не понял, в чем она?

имею пользовать пф2.4.1 с прозрачным прокси + снорт = никаких трудностей с вайбером не испытываю. никаких специфичных портов не открывал.

вайбер версии 6.5.5. для gentoo. собирал из исходников.

на работе около 54 человек им пользуется и этой же версией я дома(через pf), так же дома мобильные клиенты для андроид у меня и моей супруги.

Squid c ssl?
У вас установлен squidguard?

Напишите подробно, какая конфигурация. Тут последние две страницы борьба с https. Вы пришли, и заявляете, у меня все гуд. не вежливо :o

Yokohama

Вайбер реально не возможно заставить работать через прокси, а как насчет WhatsApp или Telegram, кто знает?