LINUX.ORG.RU
решено ФорумAdmin

Squid+SSL_Bump+Google-Почта

 , ,


1

2

Доброго времени суток!

Тема уже обсуждалась ранее на форуме, много чего про это есть, но вот для себя я так ничего в существующих темах форума так и не подчерпнул. В инете искал.

Сегодня я наконец-то дошел мозгами до того, как заставить работать SSL_Bump на сквиде для фильтрации HTTPS-трафика. Использовал статью http://habrahabr.ru/post/168515/. Заработало. Ранее не работало потому что использовал не самоподписной сертификат (хотя поэтому ли, не знаю).

В итоге всё набираемые мною страницы с https загружаются нормально. Проверял почту на mail.ru, yandex.ru, также проверял youtube.com, google.com и его вариации, также прочие внешние ресурсы.

Не работает лишь https://mail.google.com/, который ссылается ссылка на глайной странице гугла, и который при этом перенаправляется при нажатии на https://www.gmail.com/, который в свою очередь использует сертификат SSL разрешающий использовать только доменные имена mail.google.com, inbox.google.com. Мой FireFox в этой ситуации ругается с ошибкой ssl_error_bad_cert_domain.

Все это провляется лишь в режиме SSL_Bump. Когда на фаерволле делаю прямое перенаправление на этот ресурс в обход прокси-сервера, то вижу пару редиректов с mail.google.com на gmail.com и обратно, страница при этом загружается нормально с нужным сертификатом. Чую в этом и кроется проблема.

Что сделать чтобы это все обойти?

Дать сквиду гугловский CA сертификат чтобы все его сертификаты пропускались доверенными? Или что-то иное в конфиге сквида подкрутить?

В инете ничего похожего не нашел. Возможно, плохо искал :)

Такое происходит из-за редиреков с адреса на адрес, причем не загружает ресур только FireFox, остальные браузеры загружают страницу ни смотря ни на что. Не знаю плохо это или хорошо!

Видимо SSL_Bump генерирует лишь первый попавшийся сертификат (mail.google.com), считая его основным, а остальные (http://www.gmail.com) во время редиректа упускаются им из виду.

Думаю тут ничего не поделаешь!

dmnord ()

Такая же история: подружил Squid с HTTPS, всё работает, кроме почты Гугла. В природе есть живой админ - Kuzz, которому это удалось. Он щедро поделился настройками и конфигами в упомянутой теме. Вот пробую сие постич...

Alpha789 ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.