Proxy Transparente HTTPS Problema com MSN

[tabajara]

Pessoal,

após deixar transparente a porta 443 para a porta do squid com o comando:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 443 -j REDIRECT --to-port 3128

O msn parou de funcionar... o pessoal não consegue acessar o msn pelo programa.. apenas pela web...

OBS: Não tem nenhum bloqueio no squid.

Removi este nat e o MSN voltou a funcionar normalmente... alguém sabe oq pode estar ocorrendo?

Valeu galera...

[wrochal]

Caro,

Qual é a interface que esta ligada na internet a eth1 ou eth0?

Falou,

[Brenno]

o squid não suporta https, então so user transparencia na porta 80 pra 3128... mas não fique assustado, mesmo assim, o squid barra sites como orkut e outros que são https, viva o squid

abraço

[tabajara]

Caro,

Qual é a interface que esta ligada na internet a eth1 ou eth0?

Falou,

a interface da Net eh a eth0.... a eth1 eh da minha rede interna..

[Bruno]

usa a eth0 e postrouting
iptables -t nat -A POSTROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3128

[Bruno]

ops PREROUTING

mais é eth0

[tabajara]

usa a eth0 e postrouting
iptables -t nat -A POSTROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3128

Bennato,

implementei a nova regra... porém nao deu certo retornou o seguinte erro:

iptables v1.2.9: Can't use -i with POSTROUTING

[1c3m4n]

postrouting eh pra saida, intaum vc tem q usar -o e nao menos -i

coloque -o PLACA_NET

mas vc viu a msg q o brenno passou?

[Bruno]

po falei merda ali


usa a regra

iptables -t nat -A PREROUTING -s sua rede -p tcp -m tcp --dport 443 -j REDIRECT --to-ports 3128


e tb ve se no seu squid vc ta liberando a porta 443

[Brenno]

teu squid vai bixa do mesmo jeito, squid não suporta https, aff

nem falo mais...

[Bruno]

o squid não faz proxy transparente na porta 443 ????

se naum faz alguem sabe o pq???

[frikasoide]

E talvez a culpa dessa confusão toda, seje artigo publicado aqui na UnderLinux dia 16 de Abril de 2005:

Entendendo o iptables, saiba o que não fazer
https://under-linux.org/noticia4712.html

Uma das dicas é:

3) Não chega a ser um erro, mas a regra de REDIRECT apenas redireciona as portas 80(http) para o squid(3128), faltaria criar a regra para redirecionar a porta 443(https).

Andei fazendo umas pesquisas, e não encontrei documento claro algum, que dissesse que Squid suporta HTTPS... afinal, suporta ou não? :P

...

Sem mais,

[Brenno]

squid não suporta proxy transparente em https, tem outro topico

https://www.orkut.com

que já falamos sobre isso, la postei uma url de um site que explica melhor isso...

em dia de hj, isso já devia ser claro pra todos administradores de redes.


sobre esse artigo, eu nem comento nada. temos moderadores pra isso.
abraço a todos

[1c3m4n]

Povo vo explicar direito, a regra do redirect pra https nao eh pra deixar squid transparente pra https, jah foi falado 5000000000 vezes que squid nao suporta transparencia no https, eu uso isso pra obrigar a pessoa a usar o proxy, pq se ele tentar tirar ai nao funciona, entenderam?

vo coloca isso no artigo pra ficar mais claro

[frikasoide]

Povo vo explicar direito, a regra do redirect pra https nao eh pra deixar squid transparente pra https, jah foi falado 5000000000 vezes que squid nao suporta transparencia no https, eu uso isso pra obrigar a pessoa a usar o proxy, pq se ele tentar tirar ai nao funciona, entenderam?

vo coloca isso no artigo pra ficar mais claro

Sim 1c3, entendido...
Mas, isso é muito relativo. Por exemplo, com minhas regras atuais, adicionei a tal linha logo abaixo da que faz redirect da 80:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 443 -j REDIRECT --to-port 3128

E aconteceu a mesma coisa que se passa com nosso amigo tabajara (quem abriu o topico). O MSN Messenger da rede parou de funcionar. Pois, como a semana que se passou, não tinha muita coisa pra fazer, resgatei um pequeno Servidor ZERADO e deixei apenas as regras básicas e tentei novamente... NADA. MSN MESSENGER CAI.

Bom, acho que ta na hora de a gente por um "." nessa história, mas que é RELATIVO... é...

Abraço galera,