[résolu]Squid+SquidGuard et filtrage HTTPS : SSL-Bump !
Squid+SquidGuard et filtrage HTTPS : SSL-Bump ! [résolu] - Réseaux - Systèmes & Réseaux Pro
Marsh Posté le 06-09-2011 à 09:34:27
Ha oui, j'ai oublié de préciser, le flux https passe bien par le proxy, sur le firewall les ports http et https sont bloqués pour tout le monde sauf le proxy.
---------------
Plop ! Mon feedback - Mes ventes
Marsh Posté le 06-09-2011 à 14:48:50
ne faudrait-il pas scinder la ligne de conf en deux, ie
http_port 8080
ssl_bump cert=/etc/ssl/server.crt key=/etc/ssl/server.key
ou remplacer ssl-bump par ssl_bump dans la ligne complète ?
Message édité par pkc le 06-09-2011 à 14:50:38
Marsh Posté le 06-09-2011 à 15:18:27
ben dans la doc squid c'est écrit sur une ligne avec "ssl-bump"
et sur les (rares) sites que j'ai trouvé, ils implémentent tous avec cette syntaxe.
---------------
Plop ! Mon feedback - Mes ventes
Marsh Posté le 06-09-2011 à 15:18:55
Reply
Marsh Posté le 07-09-2011 à 18:06:30
effectivement, un rtfm plus tard ...
always_direct allow all
ssl_bump allow all
#the below should be placed on a single line
http_port 8080 ssl-bump cert=/etc/squid/ssl_cert/proxy.testdomain.deCert.pem key=/etc/squid/ssl_cert/private/proxy.testdomain.deKey_without_Pp.pem
est-ce que ton utilisateur squid a bien les droits en lecture sur les deux fichiers de clé utilisés ?
Marsh Posté le 07-09-2011 à 21:24:21
Punaise, je suis sûr que t'as raison...
...je matte ça demain matin !
---------------
Plop ! Mon feedback - Mes ventes
Marsh Posté le 08-09-2011 à 08:56:27
Salut,
Et bien ce n'est pas non plus un problème de droits (mais ça aurait pu 
).
J'ai ce message :
| Citation : ... |
Donc à priori c'est une commande qu'il ne reconnaît pas.
Ma version de squid est pourtant censée supporter le ssl-bump, à partir de la 3.1 dixit la doc.
---------------
Plop ! Mon feedback - Mes ventes
Marsh Posté le 08-09-2011 à 09:24:50
Bon, je crois que j'ai trouvé le pourquoi du comment :
Le paquet squid3 d'ubuntu server n'est pas configuré avec l'option --enable-ssl. Il faut que je réinstalle à partir des sources et avec cette option.
Fait suer, c'est un serveur en prod...
...y-a pas moyen de reconfigurer sans tout réinstaller ?
---------------
Plop ! Mon feedback - Mes ventes
Marsh Posté le 08-09-2011 à 11:32:39
C'est résolu.
J'ai suivi cette procédure qui fonctionne sous ubuntu server
| Citation : apt-get source squid3 |
J'ai remis les mêmes options dans le squid.conf, un coup de service squid3 reload et ça roule 
Maintenant, les utilisateurs ont un message pour accepter le certificat du serveur à chaque page ssl consultée, mais ça marche.
Nouvelle étape : faire accepter ce certificat automatiquement...
---------------
Plop ! Mon feedback - Mes ventes
Marsh Posté le 08-09-2011 à 16:03:51
Il faut installer l'autorité de certification racine de confiance sur chaque poste.
Message édité par still_at_work le 08-09-2011 à 16:04:38
---------------
In my bed, but still_at_work.
Marsh Posté le 08-09-2011 à 16:23:24
yep, j'ai vu ça, je vais passer par une gpo pour déployer tout ça.
---------------
Plop ! Mon feedback - Mes ventes
Marsh Posté le 08-09-2011 à 16:24:44
Ok, bon courage !
---------------
In my bed, but still_at_work.
Marsh Posté le 02-11-2011 à 15:06:03
Pour tous ceux qui n'arrivent pas à obtenir les sources de squid3,
via les commandes :
apt-get source squid3
apt-get build-dep squid3
ouvrez le fichier /etc/apt/sources.list
et ajoutez y ceci:
deb http://www.backports.org/debian lenny-backports main contrib non-free
deb-src http://www.backports.org/debian lenny-backports main contrib non-free
Faites ensuite dans un terminal un petit
apt-get update
Ne vous en faites pas si vous avez un retour concernant la clef publique de backport manquante, car maintenant vous pouvez obtenir les sources de squid3 via
apt-get source squid3
apt-get build-dep squid3
Cordialement
Sujets relatifs:
- [A moitié Résolu] Squid : impossible d'accèder à internet
- IPP SSL
- [RESOLU] Redirection OpenWRT vers SQUID
- Gadmin-Squid Access Log
- SquidGuard et Active Directory [résolu]
- Squid & Squidguard
- Filtrage d'URL avec authentification
- Problème redirection SQUID [sous windows]
Marsh Posté le 05-09-2011 à 17:01:48
Salut,
J'ai un serveur proxy Squid avec SquidGuard pour le filtrage.
Jusque là, noproblémo, ça fonctionne impecc...
...sauf pour le https ou squid laisse tout passer.
J'ai un peu cherché, et apparemment il faut utiliser l'option ssl-bump de squid qui va (d'après ce que j'ai compris), venir s'intercaler entre le site ssl et le client.
Par contre je n'arrive pas à l'implémenter.
Donc, où j'en suis :
Je reload squid et là ça m'envoie péter (dans le cache.log) :
FATAL: Bungled squid.conf line 885: http_port 8080 ssl-bump cert=/etc/ssl/server.crt key=/etc/ssl/server.key
Squid Cache (Version 3.1.11): Terminated abnormally.
Quelqu'un à déjà implémenté avec succès le ssl-bump ?
J'ai beau arpenter le net, je ne trouve pas.
Message édité par Buen le 08-09-2011 à 11:33:17
---------------
Plop ! Mon feedback - Mes ventes