прозрачный squid и https

[W03L]

привет.
есть прозрачный squid

Код: [Выделить]

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32
acl localnet src 192.168.1.0/24 # RFC1918 possible internal network
acl SSL_ports port 443          # https
acl SSL_ports port 563          # snews
acl SSL_ports port 873          # rsync
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl Safe_ports port 631         # cups
acl Safe_ports port 873         # rsync
acl Safe_ports port 901         # SWAT
acl Safe_ports port 8080        # phpmyadmin
acl purge method PURGE
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access deny localnet
http_access allow localhost
http_access deny all
http_port 3128 transparent
hierarchy_stoplist cgi-bin ?
access_log /SQUID/log/access.log squid
logfile_rotate 4
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern (Release|Package(.gz)*)$        0       20%     2880
refresh_pattern .               0       20%     4320
acl shoutcast rep_header X-HTTP09-First-Line ^ICY.[0-9]
upgrade_http0.9 deny shoutcast
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
extension_methods REPORT MERGE MKACTIVITY CHECKOUT
hosts_file /etc/hosts
coredump_dir /SQUID
cache_mem 128 MB
maximum_object_size 8092 KB
maximum_object_size_in_memory 512 KB
cache_dir ufs /SQUID/cache 10240 64 256
cache_log /SQUID/log/cache.log
cache_store_log /SQUID/log/store.log
pid_filename /SQUID/log/squid.pid

iptables (eth0 - local; eth1 - inet)

Код: [Выделить]

#!/bin/bash
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t nat -Z
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -t mangle -Z
sudo iptables -F
sudo iptables -X
sudo iptables -Z

sudo iptables -A INPUT -i eth0 -j ACCEPT
sudo iptables -A INPUT -i eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
#sudo iptables -A INPUT -i eth1 -p tcp --dport 53 -j ACCEPT
#sudo iptables -A INPUT -i eth1 -p tcp --dport 139 -j ACCEPT
sudo iptables -A INPUT -i eth1 -p tcp --dport 25 -j ACCEPT
sudo iptables -A INPUT -i eth1 -p tcp --dport 110 -j ACCEPT
sudo iptables -A INPUT -i eth1 -p tcp --dport 20 -j ACCEPT
sudo iptables -A INPUT -i eth1 -p tcp --dport 21 -j ACCEPT
sudo iptables -A INPUT -i eth1 -p tcp --dport 443 -j ACCEPT
sudo iptables -A INPUT -i eth1 -p udp -j ACCEPT
sudo iptables -A INPUT -i eth1 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
sudo iptables -A INPUT -i eth1 -j DROP
sudo iptables -A OUTPUT -j ACCEPT

sudo iptables -A FORWARD -j ACCEPT

sudo iptables -t nat -A PREROUTING -i eth0 ! -d 192.168.1.0/24 -p tcp -m multiport --dport 80,8080,443 -j DNAT --to 192.168.50.254:3128
sudo iptables -t nat -A PREROUTING -i eth1 -p tcp -m multiport --dport 80,8080,443 -j REDIRECT --to-port 3128

обычные сайты у пользователей открываются нормально.
если сайт https, то нет (в логах 1277876627.388      0 192.168.1.107 TCP_DENIED/400 1664 NONE NONE:// - NONE/- text/html)
если я пропишу явным образом прокси для https, то всё ок.
подскажите, чего не так?

[blacksun]

В режиме transparent - только http. Из цепочки PREROUTING надо убрать 443 порт.

[W03L]

В режиме transparent - только http. Из цепочки PREROUTING надо убрать 443 порт.

если я уберу 443 порт, то в логах вообще не будет данных о посещении сайтов https

[AnrDaemon]

Естественно. Прочисть себе мозги на предмет того, что вообще есть https и как оно работает.

[W03L]

Естественно. Прочисть себе мозги на предмет того, что вообще есть https и как оно работает.

у меня лог складывается в базу для учёта.

[AnrDaemon]

Естественно. Прочисть себе мозги на предмет того, что вообще есть https и как оно работает.

у меня лог складывается в базу для учёта.

При чём тут это?

[W03L]

Естественно. Прочисть себе мозги на предмет того, что вообще есть https и как оно работает.

у меня лог складывается в базу для учёта.

При чём тут это?

при том, что если убрать заворачивание 443 порта на сквид, то данные о количестве байт при посещении https сайтов не будет учитываться.

[AnrDaemon]

Мда... скажи, ты не хочешь или не можешь понять, что https через прозрачный сквид работать не будет никогда?

[W03L]

Мда... скажи, ты не хочешь или не можешь понять, что https через прозрачный сквид работать не будет никогда?

уже понял, приходится клиентам (кому надо) прописывать прокси для https