Сборка на виртуалке
- apt install git fakeroot build-essential devscripts
- apt build-dep squid3
- apt install libssl-dev libgnutls28-dev
- deb-src http://ftp.de.debian.org/debian/ testing main contrib non-free
- apt source squid3/testing
- в debian/rules добавляю --enable-ssl \ --enable-ssl-crtd \ --with-openssl \
- dpkg-buildpackage -us -uc -nc
установка:
- apt install squid-langpack
- apt install libdbi-perl squid-langpack
- dpkg -i squid-common_4.6-1_all.deb squid_4.6-1_amd64.deb
- dpkg -i squid3_4.6-1_all.deb squidclient_4.6-1_amd64.deb
- в каталоге /etc/squid : openssl req -new -newkey rsa:1024 -days 365 -nodes -x509 -keyout squidCA.pem -out squidCA.pem
- ./usr/lib/squid/security_file_certgen -с -s /var/lib/ssl_db -M 4MB
Может есть какие ошибки или что добавить/убавить нужно. Кеш не нужен, может можно пересобрать без этой функции? Конфиг посмотрите, может подкорректировать нужно?
acl localnet src 192.168.1.0/24 # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
dns_nameservers 8.8.8.8
dns_nameservers 8.8.4.4
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
http_access allow localnet
http_access allow localhost
http_access deny all
http_port 192.168.1.1:3128 intercept
http_port 192.168.1.1:3130
https_port 192.168.1.1:3129 intercept ssl-bump connection-auth=off cert=/etc/squid/squidCA.pem
cache deny all
always_direct allow all
sslproxy_cert_error allow all
#укажем правило со списком блокируемых ресурсов (в файле домены вида .domain.com)
acl blocked ssl::server_name "/etc/squid/blocked_https.txt"
acl step1 at_step SslBump1
ssl_bump peek step1
#терминируем соединение, если клиент заходит на запрещенный ресурс
ssl_bump terminate blocked
ssl_bump splice all
sslcrtd_program /usr/lib/squid/security_file_certgen -s /var/lib/ssl_db -M 4MB
coredump_dir /var/spool/squid
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320
cache_dir aufs /var/spool/squid 20000 49 256
maximum_object_size 61440 KB
minimum_object_size 3 KB
cache_swap_low 90
cache_swap_high 95
maximum_object_size_in_memory 512 KB
memory_replacement_policy lru
logfile_rotate 4
dns_v4_first on
Работал нормально, потом перестал писать логи, отрубил в iptables, снова врубил заработало, но стало сыпать в лог
*kid1| SECURITY ALERT: Host header forgery detected on local=64.233.162.105:443 remote=192.168.1.23:53096 FD 62 flags=33 (local IP does not match any domain IP)
*kid1| SECURITY ALERT: on URL: www.google.com:443
