LINUX.ORG.RU

Squid блокирует пользователя

 ,


0

1

Добрый день! Имеется машина с Debian на которой крутится Squid 3.5.27. Эта машина раздает интернет в локальную сеть. Squid настраивал по этой инструкции https://habr.com/ru/post/354708/ . Сами пакеты для установки взял там же. И ситуация такая. Все работает нормально, но через некоторое время юзер перестает получать доступ к сети. У всех остальных все работает исправно. К слову машина у юзера на винде, сертификат установлен. При диагностике сети на винде, пишет, что удаленный сервер не принимает подключения. Конфиг вот такой

acl localnet src 10.6.85.0/24

acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT
acl SSL method CONNECT

dns_nameservers 127.0.0.1

acl tor url_regex "/etc/squid/tor_url"

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
http_access allow localnet
http_access allow localhost
http_access deny all
icp_access deny all
htcp_access deny all

http_port 10.6.85.88:3128 intercept options=NO_SSLv3:NO_SSLv2
http_port 10.6.85.88:3130 options=NO_SSLv3:NO_SSLv2
https_port 10.6.85.88:3129 intercept ssl-bump options=ALL:NO_SSLv3:NO_SSLv2 connection-auth=off cert=/etc/squid/squidCA.pem
#https_port 10.6.85.88:3131 ssl-bump options=NO_SSLv3:NO_SSLv2 connection-auth=off cert=/etc/squid/squidCB.pem

sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER

acl blocked ssl::server_name  "/etc/squid/blocked_https.txt"
acl step1 at_step SslBump1
ssl_bump peek step1

ssl_bump terminate blocked
ssl_bump splice all

never_direct allow tor

cache_peer 127.0.0.1 parent 8118 0 no-query no-digest default

cache_peer_access 127.0.0.1 allow tor
cache_peer_access 127.0.0.1 deny all

sslcrtd_program /usr/lib/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB

coredump_dir /var/spool/squid
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
logfile_rotate 4
pid_filename /var/run/squid.pid

Проблема только с одним пользователем/компьютером? И как она лечится — перезапуском браузера? http тоже перестаёт работать или только https? squid в лог что-нибудь пишет? У клиента тот же dns, как и у squid?

mky ★★★★★ ()
Ответ на: комментарий от mky

Да, проблема с одним компьютером. Не могу проверить что будет дальше, так как это все работает на предприятии. Приходится просто пускать трафик мимо Сквида. Потом пробую снова пустить трафик на Сквид и через некоторое время та же беда. Проблема не лечится перезапуском браузера, интерфейса. На счет работы http не догадался проверить. Dns у клиентов выступает сервак с Debian, у клиентов прописано 10.6.85.88, в Сквида 127.0.0.1 (вроде так правильно). Да, Сквид пишет лог, но сейчас не скажу что. На работе буду и напишу то, что в логе.

Alkantel ()
Ответ на: комментарий от Alkantel

Это:

TAG_NONE/200 0 CONNECT

вроде ничего страшного.

Поймал этот глюк на своей машине.

Это можно было исследовать подробнее, делать запросы чем-то простым, типа curl и смотреть логи, tcpdump и т.д.

mky ★★★★★ ()
Ответ на: комментарий от darkenshvein

Проблема проявляется рандомно. Через случайный промежуток времени и со случайным пользователем. Так что конфиг юзера не имеет значения. Возможно какие-то действия юзера вызывают такой сбой, но я не уверен. Это гадание на кофейной гуще. Попробую пересобрать Кальмара, а там посмотрим.

Alkantel ()