[Techinfo] windows update - squid 3.5 - sslbump esetén nem működik

[Fehér Sándor]

Sziasztok!

Csináltam egy transparens squid proxit ssl-bumping szolgáltatással, 
egyelőre teszt jelleggel.
Sajnos a windows update nem működik rajta keresztül, hiába van whitelist 
no bump opcióval, amiben benne vannak az update domainek .
Miért van az, hogy egyes kivételek esetében a squidnél nem működik az 
"ssl-bump none <acl>" beállítás.
Pl: google és windowsupdate nem ok, a facebook viszont jó
HSTS hibát ad a google, ha proxytanúsítvány nélkül nyitom az oldalt az 
ssl-bump none esetén is.

A konfig:
acl windowsupdate dstdomain "/etc/squid/list.d/windowsupdate"
http_access allow windowsupdate
http_port 3127 ssl-bump generate-host-certificates=on 
dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl_cert/proxy.pem
http_port 3128
http_port  3129 intercept
https_port 3130 intercept ssl-bump generate-host-certificates=on 
dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl_cert/proxy.pem
ssl_bump none localhost
ssl_bump none windowsupdate
ssl_bump server-first all
sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER
sslcrtd_program /usr/lib/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB

url_rewrite_program /usr/bin/squidGuard
url_rewrite_children 100 startup=0 idle=1 concurrency=0

icap_enable on
icap_send_client_ip on
icap_send_client_username on
icap_client_username_encode off
icap_client_username_header X-Authenticated-User
icap_preview_enable on
icap_preview_size 1024
icap_service service_req reqmod_precache bypass=0 
icap://127.0.0.1:1344/squidclamav
icap_service service_resp respmod_precache bypass=0 
icap://127.0.0.1:1344/squidclamav
adaptation_access service_req allow all
adaptation_access service_resp allow all

Kikapcsolt clamav/icap és squidguard esetén sem jó, de ez érthető 
ugyanis kikapcsolt ssl-bump esetén nincs virus szűrés és squidguard is 
csak connect method alapján tud szűrni.
A gépre importáltam a tanúsítványt és a fenti konfiggal nem működik.
Ha a gép ip címére csinálok ssl-bump none <gép ip acl>, ilyenkor minden 
működik!!!! (de ilyenkor nincs ssl proxy/vírusszűrés stb ssl-en)

Normális működés ez így??


--------- következő rész ---------
Egy csatolt HTML állomány át lett konvertálva...
URL: <http://lista.sulinet.hu/pipermail/techinfo/attachments/20170327/2ce1c9d3/attachment.html>