[Resolvido] Erro certificado - JusBrasil
-
hmmmmmmm ?????
-
será um erro especial, se você acha que podemos investigar juntos, mas isto vai demorar um pouco
-
hahahahaha.. Cada vez não consigo entender mais.
Na Whitelist tinha jusbrasil.com.br quando removi, ele passou a funcionar.
Adicionei gov.br e isso resolveu o problema dos certificados dos outros sites, MENOS o gov.br
-
sim, fica cada vez mais complicado, mas no final será fácil e vamos nos divertir
-
@alexandre-angeli said in Erro certificado - JusBrasil:
gov.br
precisamos investigar essa "questão gov.br cert." um pouco mais profundamente, acho eu
-
a questão também é: porquê não recebe uma mensagem de erro do Squid, poderia ter algo errado com sua configuração básica?
se eu tiver erros, eles aparecem assim ...
e não como no teu caso:
-
Entendi, realmente fica mais uma coisa sem entender. Pelo que vi até agora, está sendo um bloqueio por parte do SquidGuard.
Quando coloquei na WhitList a palavra "gov.br" ela liberou os sites como do iti.gov.br, o estranho é não ter liberado o gov.br..
Estou sem saber como fazer o troubleshoot.
-
os endereços estão no "Bypass Proxy for These Destination IPs" ?
-
Ei Ismarcs,
Não estão, minha ideia não é "Bypassar" o proxy para esses IP's, preciso da correção com certificado, mas existem outros conteúdos bloqueados para eles. -
poderia ser o destino no "Bypass".
-
Eu faria o bypass por domínio logo, alguns sites dão problema mesmo com certificado, mesmo com o splice all que já não é tão intrusivo.
O problema na solução que irei propor acontece em maior parte para IOT, como celulares e etc, que não aceitam arquivos PAC (Proxy automatic configuration).
Já que nos posts iniciais você citou que as pessoas estão autenticando por AD, por que não distribuir um arquivo PAC?
Você pode instalar o Firefox por GPO já com o PAC incluído, o mesmo serve para o Chrome.
Caso você ainda utilize o IE, você deverá forçar o PAC direto no Windows, o que pode causar problemas de atualização do Windows, entre outros problemas.Os computadores estão no domínio do AD?
Caso não estejam, você pode distribuir o arquivo PAC por DHCP/DNS também.Eu pessoalmente distribuiria uma versão do Firefox e do Chrome por GPO já com o PAC incluído, fazendo bypass dos domínios problemáticos.
Caso queira que o IE também use o bypass, você precisará incluir domínios de windowsupdate.com, windows.com, entre outros para que o SO continue atualizando.
Edit:
Tem gente que tem preferido utilizar o pfblocker para fazer o filtro de conteúdo.
No entanto, você precisará se preocupar com o DOH que o Firefox implementou, que iria bypassar o filtro do dnsbl. -
@mcury Não conheço essa solução que está dizendo.
Esse ByPass seria colocar os domínios para passarem por fora do proxy? Na configuração direto no Proxy do Windows?
Esse procedimento já realizo para diversos sites, estava querendo colocar uma solução mais inteligente para isso, porém, como informado, se este problema é recorrente irei realmente fazer o bypass.
-
Tem vários sites problemáticos, uso uma lista de bypass bem controlada, sites para emissão de NFs, alguns sites do governo. O certificado local não vai passar pelo navegador.
-
Bem, a vantagem desse modo que sugeri, é que você faria bypass por domínio, ou por wildcard.
Um exemplo de arquivo PAC simples, seria esse:
function FindProxyForURL(url, host) {
//INICIO BYPASS POR REGEX OR WILDCARD
if (isPlainHostName(host) ||
shExpMatch(host, ".gov.br") ||
shExpMatch(host, ".local.lan") ||
//INICIO BYPASS BY DESTINATIONS NETWORK
isInNet(dnsResolve(host), "10.0.0.0", "255.0.0.0") ||
isInNet(dnsResolve(host), "172.16.0.0", "255.240.0.0") ||
isInNet(dnsResolve(host), "192.168.0.0", "255.255.0.0")||
//BYPASS DESTINATION DOMAINS OR FQDNS
dnsDomainIs(host, "lastpass.com") ||
//BYPASS Windows
dnsDomainIs(host, "download.windowsupdate.com") ||
dnsDomainIs(host, "microsoft.com"))
return "DIRECT";
//THE REST GOES TO PROXY
if (isInNet(myIpAddress(), "192.168.0.0", "255.255.255.0"))
return "PROXY 192.168.0.1:3128; DIRECT";Nesse caso, ao invés do navegador jogar para o proxy, ele fará uma conexão direta com o site.
E você não precisa se preocupar com IP de servidor, pois ele fará o bypass se o domínio, ou wildcard, der match no arquivo PAC.Os administradores das máquinas poderiam sim remover o arquivo PAC, por tanto é importante fazer um controle no nível de acesso as máquinas.
-
Entendi.. Trabalhando com as opções avançadas do proxy no Windows, da mesma forma que a imagem abaixo, não alcançaria o mesmo resultado? Estou perguntando, porque neste modelo eu já tenho controle de acesso dos usuários (bloqueado) e também posso aplicar via GPO no AD.
Lá em baixo nas Exceções.
-
Alcançaria sim, no entanto, essa configuração na sua imagem, seria exclusivamente para o Windows e IE.
Você precisaria fazer a mesma configuração nos outros navegadores e em todos os computadores.Eu pessoalmente prefiro fazer um arquivo PAC, centralizado, e não ter que configurar cada navegador que o cliente possa ter.
Apenas distribuo o PAC por GPO, existem versões do Firefox e do Chrome que trabalham com a GPO, então fica mais fácil o controle.Claro que cada cenário é diferente, e de repente essa opção não seria a melhor para você.
Mas como meus clientes que uso essa forma, possuem mais de 50 computadores, eu faço uma política de GPO com a configuração PAC para os navegadores, e não deixo a opção de remover o arquivo PAC disponível.
-
Entendi.
Bom, irei encerrar es tópico como resolvido, com o tempo tento encontrar o motivo exato dos bloqueios de certificados para alguns sites. Por hora, vou resolver neste formato que mencionou, e mesmo para aprendizado irei trabalhar em cima do PAC.Agradeço a todos que participaram e me ajudaram a diagnosticar o problema. Um abraço.
-
Se tiveres uma solução específica (com „ gov.br ”), entre em contacto.
Estou muito interessado no resultado final.Até logo
-
@DaddyGo Com certeza, digo o mesmo também pois ainda quero encontrar uma solução para este problema.
Até logo! E muito obrigado pelo suporte.
-
Olá...
Também tenho esse problema, faz algum tempo e nunca achei solução.
Nem o usuário passando totalmente por fora do firewall e proxy.
Uso Squid+squidguard com SLL transparente.
