Назад | Перейти на главную страницу

Фильтрация SSL-соединений с прокси-сервером squid

У нас есть сервер Ubuntu между нашей сетью и брандмауэром для фильтрации URL-адресов. Конечно, SSL-соединения - проблема. Я ищу способы выполнить базовую фильтрацию. Я даже думал об использовании sslstrip и squid, но это не кажется очень хорошим решением. Есть ли у кого-нибудь предложение, как я могу это сделать. Я много искал в Google, но на самом деле не получил хороших ответов ... может быть, это потому, что их нет?

Спасибо!

В настоящее время я не думаю, что вы можете сделать это с помощью Squid. Потенциал есть:

Мы считаем, что технически возможно реализовать динамическую генерацию сертификатов для прозрачных соединений. Для этого необходимо перевернуть этапы обработки транзакций Squid вверх дном, чтобы безопасное соединение с сервером устанавливалось до безопасного соединения с клиентом. Реализация будет сложной, но она позволит Squid получить имя сервера из сертификата сервера и использовать его для генерации поддельного сертификата сервера для передачи клиенту. Приветствуются качественные патчи или спонсорство.

Источник: см. Раздел ограничений http://wiki.squid-cache.org/Features/DynamicSslCert

Я знаю по крайней мере один коммерческое решение, которое делает это. Может быть больше.

Вы не можете этого сделать. SSL создан для предотвращения любых манипуляций / изменений.

Вы можете заблокировать целые хосты, но вы не можете видеть URL-адрес, который видит пользователь.

Вопрос немного устарел, но все еще актуален для ответа.

Что для вас «базовая фильтрация SSL»? Вы хотите фильтровать HTTPS (HTTP-протокол с оберткой SSL) или фильтровать все на порту 443?

ufdbGuard - это URL-фильтр для Squid, который помимо простой фильтрации на основе URL-адресов также проверяет порт 443, чтобы узнать, какой тип трафика проходит через Squid. ufdbGuard распознает SSL + HTTP, SSH, различные туннели / VPN, различные основные чат-приложения и нераспознанные протоколы, помеченные как «неизвестный протокол». ufdbGuard может блокировать каждый тип и может принудительно использовать действительные сертификаты SSL и использование полного доменного имени.